31变更管理制度

变更管理制度编制人***更改记录版本页数更改依据更改人更改日期审核人***V1共6页初稿2016.12.15批准人***第1页共6页一、目的规范信息安全方向类的变更行为，降低系统故障风险，保障系统可用性。二、范围本制度适用于IT生产环境中涉及到信息安全类的软件、硬件、配置等变更或基于规避信息安全风险原则发起的其它变更。三、定义(一)变更分级根据变更紧急程度将变更分为两类：标准变更和紧急变更。变更类型及级别定义详见附件1。(二)变更流程标准变更管理流程详见附件2，紧急变更管理流程详见附件3。(三)职责与权限阐述本制度/流程涉及的部门（角色）职责与权限。1.变更审批人的职责和权限对影响较大、风险较高的重要变更进行审批。2.变更审核人的职责和权限变更审核人负责审核变更实施方案，决策变更级别，监控、管理变更实施的全过程，并对影响较大、风险较高的重要变更操作，向变更审批人请示。3.变更申请人职责和权限撰写变更实施文档，确定变更的影响范围、实施范围和预期结果，以及变更失败的回退计划。第2页共6页4.变更实施人的职责和权限严格按照变更描述文档所述，按时按序执行变更步骤和相应验证步骤，如变更步骤失败则执行回退计划。在所有变更步骤执行完毕后，变更实施人通知受影响部门和变更审核人。四、要求(一)变更准备1.对于标准变更，必须提前1个工作日提交实施方案，并通知受影响用户以及关联系统负责人。对变更进行分级，如遇变更时长超过1小时的的标准变更，需要发布维护公告。2.重大变更实施前必须对变更对象相关配置进行备份，并判断是否需要发布维护公告。3.变更方案必须通过测试，测试结果需填写在变更申请表中（详见附件4）。(二)变更审批1.所有标准变更必须通过流程审批才能实施。变更申请人对于有固定周期、或低影响的标准变更，可将变更计划一次性提交审批。除非变更计划发生改变，否则后续变更无需再提交申请。2.变更审核人必须根据变更级别定义对变更进行分级（详见附件1），对实施方案进行操作可行性审批。对于重要变更、工作日的标准变更必须提交变更审批人审批。3.紧急变更必须由变更审批人批准，实施完毕后需补交审批流程。(三)变更实施1.除非特批，关于信息安全类的变更时间需控制在每周四19:00至次日8:00期间。2.在变更实施后必须需由相关人员对影响范围内的应用系统进行验证。3.变更实施人在变更成功实施后需通知变更审核人，在确认实施成功后方可结束变更流程。4.如遇变更失败需执行回退操作时，需获得变更审核人批准。失败后需查明原因，并提交相关文案。第3页共6页五、附录附件1变更分类及级别定义1.变更分类根据变更的紧急程度将变更类型划分为标准变更和紧急变更，具体定义见下表：序号变更类型类型描述1标准变更提前计划且需通过审批的才能实施的变更。例如：硬件设备更换、防火墙策略更改等。2紧急变更在变更计划之外，为应对突发的紧急情况必须立即执行的变更。例如：系统重大故障。2.变更级别定义根据变更影响程度对变更进行级别划分，具体定义见下表：序号级别级别描述1重要满足下列条件之一即可认为是“重要”：1)影响公司核心业务；2)系统需停机时间超过1小时；3)实施风险较大，易造成数据丢失，例如丢失当天业务数据。2一般1)系统部分组件或集群部分主机不能提供服务，例如Web集群WEB01服务器停机维护；2)停机时间不超过1小时；3)回退方式简单，不会影响业务数据。第4页共6页附件2标准变更管理流程变更实施5.变更计划通过审批后变更审核人应提前通知用户以及关联系统负责人。2.变更审核人检查变更申请单是否填写完整，描述是否准确清晰，评估该变更是否必须实施。变更申请1.变更申请者在提交变更前应事先与变更系统负责人进行沟通，确定变更方案，如有条件，需对其进行测试后再提交变更申请表。变更申请表必须完整填写（见附表一），必须明确计划变更时间，变更时间，变更方案，测试记录，回退方案，验证方案，配置修改项。变更审批标准变更管理流程流程流程节点说明变更审核人变更级别变更实施结束通知用户及关联系统负责人变更申请表变更前备份6.变更实施人在实施变更前需对变更对象实施备份。9.变更实施完毕后变更实施人需更新有关配置信息，并确认更新结果。7.变更实施人需按变更方案实施变更。8.变更实施人在实施变更后需验证系统是否正常、并观察确认。如果变更失败在获得变更审核人或变更审批人同意后立即回退。提交变更申请通过一般变更审批人重要通过不通过开始4.变更实施人对变更方案，变更计划进行核实，组织协调变更所需的各类资源。验证变更是否成功？否执行回退是变更计划与变更方案核实驳回不通过确认配置更新结果3.变更审核人对变更级别进行判断，如为重要变更需提交给变更审批人进行审批。第5页共6页附件3紧急变更管理流程变更记录6.变更实施后变更实施人需对系统进行验证。2.变更审核人组织各方对方案可行性进行评估。3.变更审核人对变更级别进行判断，如为重要变更，需请示变更审批人。4.变更审批人对变更进行审批。变更准备1.故障处理人员制定紧急变更方案，并请示变更审核人批准。变更执行紧急变更管理流程流程流程节点说明补交变更申请结束变更实施7.变更完成后，变更实施人需按变更申请表补交变更申请。8.变更审核人对申请进行审批，检查申请表填写是否完整，是否与实际情况吻合。制定变更方案变更审批人通过不通过不通过重大开始5.变更实施人立即依据商定方案实施变更。变更级别变更审核人一般是否符合规范？是否验证变更是否成功？是否通过第6页共6页附件4变更申请表变更申请表变更项目名称变更审核人变更申请人批准日期变更实施人计划变更时间变更类别□标准□紧急变更级别□一般□重要变更实施对象：□应用系统应用系统名称：______________受影响系统名称：______________□服务器服务器名称：______________受影响系统名称：______________□网络：设备位置：__________________设备用途：____________________□安全类：设备名称：__________________设备用途：____________________配置修改描述：变更目的：变更影响范围及时长：变更方案测试记录（如有）：变更实施、验证、回退步骤序号实施步骤验证步骤回退步骤1234