1. 目的和范圍

對第三方提供的服務(wù)進(jìn)行規范，減少由于服務(wù)不規范帶來(lái)的信息安全方面的風(fēng)險。

2. 引用文件

(1) 下列文件中的條款通過(guò)本規定的引用而成為本規定的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內容）或修訂版均不適用于本標準，然而，鼓勵各部門(mén)研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標準。

(2) ISO/IEC27001:2005信息技術(shù)-安全技術(shù)-信息安全管理體系要求

(3) ISO/IEC27002:2005信息技術(shù)-安全技術(shù)-信息安全管理實(shí)施細則

3. 職責和權限

(1) 技術(shù)部：是信息安全方面的第三方服務(wù)的歸口管理部門(mén)，負責對信息安全方面的第三方服務(wù)的定期監控和評審。

(2) 技術(shù)部：是日常行政管理方面的第三方服務(wù)的歸口管理部門(mén)，負責對行政方面的第三方服務(wù)的定期監控和評審。負責第三方服務(wù)合同中條款的審核。

4. 第三方服務(wù)管理規定

(1) 技術(shù)部匯總各部門(mén)的資產(chǎn)識別表，整理出公司的《第三方服務(wù)匯總表》，明確需要按本規定進(jìn)行管理的第三方服務(wù)項目和其中重要的第三方服務(wù)。

(2) 將設備、網(wǎng)絡(luò )、系統、軟件、信息安全、保安、保潔等事項進(jìn)行外包時(shí)，重要的第三方服務(wù)必須簽訂要與第三方服務(wù)提供方簽署《服務(wù)合同》，能接觸到公司敏感信息資產(chǎn)的服務(wù)項目的服務(wù)合同中應包含第三方保密要求的內容。

(3) 所有的第三方服務(wù)的提供方需提供服務(wù)人員的姓名、聯(lián)系方式等信息，技術(shù)部匯總《第三方服務(wù)廠(chǎng)商聯(lián)系表》

(4) 重要的第三方服務(wù)人員服務(wù)時(shí)相關(guān)的原始服務(wù)單據由歸口管理部門(mén)負責驗收簽字并保存好相關(guān)服務(wù)記錄。

(5) 對服務(wù)提供方技術(shù)人員在現場(chǎng)處理需要設備入網(wǎng)時(shí)，必須經(jīng)技術(shù)部門(mén)領(lǐng)導同意后方可入網(wǎng)。

(6) 對第三方提供服務(wù)的能力進(jìn)行評定，必要時(shí)通過(guò)招投標，確定合格第三方。

(7) 要確保第三方保持充分的提供服務(wù)的能力，即便發(fā)生重大的服務(wù)故障或災難也能保持服務(wù)的連貫性。

(8) 每次第三方服務(wù)完成時(shí)指定專(zhuān)人按照服務(wù)合同要求對服務(wù)內容和質(zhì)量進(jìn)行記錄和評審，并在相關(guān)服務(wù)原始記錄中作好驗收簽字確認。

(9) 第三方服務(wù)歸口管理部門(mén)應每年對服務(wù)提供商進(jìn)行定期評審，以確認是否繼續列為合格服務(wù)商。

(10)?? 當服務(wù)提供方發(fā)生變更時(shí)，進(jìn)行服務(wù)提供方變更登記，并進(jìn)行服務(wù)、現有狀態(tài)的評估。對變更后的服務(wù)提供方進(jìn)行服務(wù)評估。

5. 實(shí)施策略

(1) 第三方服務(wù)管理規定中涉及的《第三方服務(wù)管理總表》包括《第三方服務(wù)匯總表》、《第三方服務(wù)廠(chǎng)商聯(lián)系表》共2個(gè)表單。

(2) 技術(shù)部整理出公司的《第三方服務(wù)匯總表》

(3) 重要的第三方服務(wù)必須簽訂要與第三方服務(wù)提供方簽署《服務(wù)合同》,能接觸到公司敏感信息資產(chǎn)的服務(wù)項目的服務(wù)合同中應包含第三方保密要求的內容。

(4) 技術(shù)部匯總《第三方服務(wù)廠(chǎng)商聯(lián)系表》。

(5) 第三方服務(wù)歸口管理部門(mén)應每年對服務(wù)提供商進(jìn)行定期評審,必要時(shí)調整服務(wù)供方.

(6).相關(guān)記錄

本程序發(fā)生的記錄匯總表

表1-1 ISMS文件日常應用格式匯總