信息系统日常维护程序
（ISO27001-2013）
1、目的
为确保计算机功能的正常发挥、应用系统的正常运行，维护复读机信息系统的安全运行，防止不必要的操作造成业务活动中断。
2、适用范围
适用于公司所有信息系统的开发和维护。
3、术语和定义
无
4、职责和权限
信息安全领导办公室审批对信息系统的升级(更新) ；
XXX 部负责公司的信息系统开发、升级(更新) 和维护。
5、相关活动
5.1日常维护
信息系统中的硬件按照谁使用谁负责的原则，负责保管所用的网络设备和线路的完好。两人以上的用户，必须明确一人负责。
计算机设备的日常维护由XXX 部负责。计算机设备和软件发生故障或异常情况，由网络管理人员统一进行处理。
信息系统的软件安装，必须由网络管理人员安装，特别是对系统有重要影响的软件，必须经领导同意后方可安装，并保存相应的记录。
5.2信息系统的变更(升级) 管理
信息系统的变更由XXX 部负责。首先提出变更需求和实施变更计划，经评审报信息安全领导办公室批准后，在不影响(或影响最低的情况下，如夜间) 业务活动的前提下进行变更。
信息系统升级时，尽量不采用在线升级，将升级包下载到本地，测试后升级到正式服务器。确需在线升级，应在升级前对在用系统进行备份，防止因变更失败后的系统恢复。
对新系统或变更后的系统由XXX 部负责组织实施验收，对重要的升级也要组织验收，验收的准则由XXX 部根据不同情况确定不同的验收准则。但无论何种验收准则，都必须将验收准则和验收情况总结一同报信息安全领导办公室备案。
5.3日志管理
网络管理人员要监督和掌握信息系统的运行情况，确保信息系统能提供足够的能力来保障系统性能，以减少系统过载带来的风险。
信息系统的系统文件必须由网络管理人员负责安装和更新，网络管理人员要对系统文件妥善保存，限制使用范围和访问。由XXX 部负责建立系统文件访问人员列表和使用记录、网络管理人员对系统操作的活动情况记录。
网络管理人员必须对记录用户活动、异常等情况的日志进行保护，不得篡改日志，对日志的访问必须进行登记。日志的保存周期不得少于3个月。
网络管理人员通过日志等手段监视信息处理设施的使用。如授权访问、特殊权限操作、未授权的访问尝试、远程诊断和配置端口的使用和访问、系统警报或故障、改变或企图改变系统的安全设置和控制措施、应用过程的关键程度、系统渗透和不当使用的经历、设备被停用的情况等。
5.4系统时钟
公司的系统时钟源由XXX 部确定钟源，并向网络提供时间源，各部门和人员不得改变时间源。
6、相关文件和记录
系统文件访问人员和使用登记表
网络管理人员访问登记表
信息系统日常维护程序
（ISO27001-2013）
1、目的
为确保计算机功能的正常发挥、应用系统的正常运行，维护复读机信息系统的安全运行，防止不必要的操作造成业务活动中断。
2、适用范围
适用于公司所有信息系统的开发和维护。
3、术语和定义
无
4、职责和权限
信息安全领导办公室审批对信息系统的升级(更新) ；
XXX 部负责公司的信息系统开发、升级(更新) 和维护。
5、相关活动
5.1日常维护
信息系统中的硬件按照谁使用谁负责的原则，负责保管所用的网络设备和线路的完好。两人以上的用户，必须明确一人负责。
计算机设备的日常维护由XXX 部负责。计算机设备和软件发生故障或异常情况，由网络管理人员统一进行处理。
信息系统的软件安装，必须由网络管理人员安装，特别是对系统有重要影响的软件，必须经领导同意后方可安装，并保存相应的记录。
5.2信息系统的变更(升级) 管理
信息系统的变更由XXX 部负责。首先提出变更需求和实施变更计划，经评审报信息安全领导办公室批准后，在不影响(或影响最低的情况下，如夜间) 业务活动的前提下进行变更。
信息系统升级时，尽量不采用在线升级，将升级包下载到本地，测试后升级到正式服务器。确需在线升级，应在升级前对在用系统进行备份，防止因变更失败后的系统恢复。
对新系统或变更后的系统由XXX 部负责组织实施验收，对重要的升级也要组织验收，验收的准则由XXX 部根据不同情况确定不同的验收准则。但无论何种验收准则，都必须将验收准则和验收情况总结一同报信息安全领导办公室备案。
5.3日志管理
网络管理人员要监督和掌握信息系统的运行情况，确保信息系统能提供足够的能力来保障系统性能，以减少系统过载带来的风险。
信息系统的系统文件必须由网络管理人员负责安装和更新，网络管理人员要对系统文件妥善保存，限制使用范围和访问。由XXX 部负责建立系统文件访问人员列表和使用记录、网络管理人员对系统操作的活动情况记录。
网络管理人员必须对记录用户活动、异常等情况的日志进行保护，不得篡改日志，对日志的访问必须进行登记。日志的保存周期不得少于3个月。
网络管理人员通过日志等手段监视信息处理设施的使用。如授权访问、特殊权限操作、未授权的访问尝试、远程诊断和配置端口的使用和访问、系统警报或故障、改变或企图改变系统的安全设置和控制措施、应用过程的关键程度、系统渗透和不当使用的经历、设备被停用的情况等。
5.4系统时钟
公司的系统时钟源由XXX 部确定钟源，并向网络提供时间源，各部门和人员不得改变时间源。
6、相关文件和记录
系统文件访问人员和使用登记表
网络管理人员访问登记表