内部控制-信息备份管理细则

ABC公司信息备份管理细则文件编号：版本：页次：拟制审核批准日期信息备份管理细则1目的为了规范备份管理工作，合理存储历史数据及保证数据的安全性，依据相关法律法规和公司内部控制手册，制定本细则。2适用范围与定义本细则适用于信息管理部门备份信息数据相关事项。3引用标准及关联制度3.1《企业内部控制基本规范》3.2《企业内部控制应用指引第18号——信息系统》3.3《ABC公司内部控制手册2012》4职责4.1信息管理部专人负责信息系统备份工作。4.2备份管理人员负责制订备份、恢复策略，组织实施备份、恢复操作，指导备份介质的取放、更换和登记工作。日常备份操作可由备份管理人员或机房值班人员完成。5内容、要求与程序5.1备份策略5.1.1备份频率：（1）对于与财务报告相关的各种业务和财务系统数据须每天进行备份；（2）数据被大规模更新前后，须对数据进行备份；（3）在操作系统和应用程序发生重大改变前后，须对系统和应用程序进行备份。（4）具体备份策略请参见7.1。5.1.2备份数据保留时间。与财务报告相关的各种业务数据须保存十年。5.1.3备份存储和备份介质管理：（1）对数据、操作系统以及程序的备份，须保存在两份介质中，一份存放在本地，另一份存放在异地；（2）备份介质，无论是存放在本地还是异地，须确保存放场所的安全，保证只有授权人员可以访问；（3）在备份介质上，须有唯一标识，标明备份的内容和日期；（4）在本地和异地建立一份备份介质目录清单，用以记录备份介质的位置、内容和数据保留期限等。5.1.4备份恢复测试。备份介质中的数据须至少每年月进行恢复测试，以确保备份的有效性和备份恢复的可行性。5.1.5备份截至销毁：（1）备份介质销毁必须经过相关管理人员授权后才可执行，并由专人对该销毁行为进行记录；（2）若备份介质中存放机密数据，在销毁之前，须对备份介质进行处理，使备份介质中的数据处于不可读取状态；（3）备份介质销毁后，须在《备份介质登记表》（见7.5）中注明已销毁。5.2备份操作管理5.2.1备份申请及备份策略的制定需要经过申请部门填写《数据备份申请表》（见7.2），提出具体的备份要求，包括备份内容、备份周期等，交由申请部门负责人及信息管理部门相关负责人审批后方可执行。5.2.2信息管理部如需下属各站点配合备份工作，需要填写《数据备份通知表》（见7.3），提出具体的备份要求，包括备份内容、备份周期等，在信息管理部门相关负责人审批后，以通知形式下发至个站点数据备份负责人执行操作。5.2.3需按照数据的重要程度对不同备份对象进行分类，对不同的备份对象根据类别制定备份策略。5.2.4备份策略制定后应制订相应的备份操作手册（包含备份失败的处理办法）指导备份工作。同时备份操作日志也应进行备份。5.2.5备份操作人员须检查每次备份是否成功，并填写《备份工作汇总记录》（见7.4），对备份结果以及失败的备份操作处理需进行记录、汇报及跟进。5.2.6备份对象发生变更后，应及时评估和调整备份策略、备份操作手册。备份策略的变更应得到申请部门以及信息管理部相关负责人审批。5.2.7《数据备份申请表》和《备份工作汇总记录》必须由专人妥善保管，信息管理部门经理每半年安排专人对备份工作进行审核，核对系统中的备份策略与备份申请是否吻合，以保证备份是按照要求进行的；核对系统中的备份日志与备份工作汇总记录，以保证备份的有效性、完整性以及出现的问题能得到适当的处理。5.3备份介质的存放和管理5.3.1所有备份介质一律不准外借，不准流出公司，任何人员不得擅自取用，若要取用需经信息管理部门相关负责人批准，并填写《备份介质借用登记表》（见7.6）。借用人员使用完介质后，应立即归还。由备份管理员检查，确认介质完好。备份管理人员及借用人员须分别在《备份介质借用登记表》上签字确认介质归还。5.3.2备份介质要每半年进行检查，以确认介质能否继续使用、备份内容是否正确。一旦发现介质损坏，应立即更换，并对损坏介质进行销毁处理。5.3.3长期保存的备份介质，必须按照制造厂商确定的存储寿命定期转储，磁盘、磁带、光盘等介质使用有效期规定为三年，三年后更换新介质进行备份。需要长期保存的数据，应在介质有效期内进行转存，防止存储介质过期失效。5.3.4存放备份数据的介质必须具有明确的标识；标识必须使用统一的命名规范，注明介质编号、备份内容、备份日期、备份时间、磁带的启用日期和保留期限等重要信息（如有备份软件，可采用备份软件编码规则）。编码规则：（1）系统：SYS+机构代码+主机名+编号+备份日期+保留期限（2）应用系统：系统名称+版本+机构代码+主机名+编号+备份日期+保留期限（3）数据库：数据库名称+机构代码+主机名+系统名称+编号+备份日期+保留期限（4）其他文件文件名称+机构代码+主机名+编号+备份日期+保留期限+用途5.3.5备份介质的运送（本地和异地备份介质）应由专责人员负责，备份介质的存放应由专责人员负责，此人员必须不同于运送人员。本地和异地的备份介质均需填写《备份介质登记表》（见7.5）。5.3.6备份介质存放场所必须满足防火、防水、防潮、防磁、防盗、防鼠等要求。备份介质必须有由专人负责进行存取，其他人员未经批准不能操作。5.3.7存放生产数据的介质需要废弃或销毁时，应填写《介质冲洗/销毁登记表》（表7.7），并履行审批、登记和交接手续，销毁时须双人以上在场，防止生产数据的泄漏。5.4备份恢复5.4.1信息管理部门经理应制定相应的备份恢复计划，包括由于业务需求发起的备份恢复以及测试性的恢复计划。计划中应遵循数据重要性等级分类，保证按照优先级对备份数据进行恢复。5.4.2需要恢复备份数据时，需求部门应填写《数据恢复申请表》（见7.8），内容包括数据内容、恢复原因、恢复数据来源、计划恢复时间、恢复方案等，由需求部门以及信息管理部门经理审批。5.4.3备份管理员需按照备份恢复计划制定详细的备份恢复操作手册，手册应包含备份恢复的操作步骤、恢复前的准备工作、恢复失败的处理方法和跟进步骤、验收标准等。5.4.4备份管理员应每个月对备份数据进行恢复测试工作，确保备份恢复工作能够按照备份恢复操作手册顺利进行，备份恢复测试应作明细的纪录，填写《备份恢复测试表》（见7.9）根据测试结果更新备份恢复操作步骤。5.4.5信息管理部应指派专人对《数据恢复申请表》、《备份恢复测试表》以及备份恢复的系统日志记录进行保存和归档，信息管理部相关负责人应每半年对上述文档进行审阅，确保备份恢复工作的合规性。6附则信息管理部门负责制定、解释、修改、废除本细则，本细则自总经理签发之日起执行。7支持性文件、记录和图表7.1备份策略一、数据库备份1.自动备份2.手动备份3.异地备份4.备份恢复测试采用工具针对系统自动备份，信息技术部备份管理人员每月对其进行恢复测试，确保数据的完整性和可用性。针对手动备份，在每次备份结束后，备份操作人员负责进行恢复测试，确保数据的完整性和可用性。备份方式备份介质备份路径备份文件名备份频率备份时间执行人检查人二、操作系统和应用程序备份1.操作系统备份日常备份：信息技术部备份管理人员每三个月对服务器主机操作系统进行Ghost备份，备份至服务器本地硬盘或移动硬盘。特殊日期备份：信息技术部备份管理人员在操作系统发生重大变更之前，对原操作系统进行Ghost备份，备份至服务器本地硬盘或移动硬盘。2.应用程序备份（包括应用程序以及站点自定义文件，例如系统配置文件和自定义报表）日常备份：信息技术部备份管理人员每三个月对应用程序及站点自定义文件进行手动备份，备份至服务器本地硬盘或移动硬盘。特殊日期备份：信息技术部备份管理人员在操作系统或应用程序发生重大变更之前，对原应用程序及站点自定义文件进行手动备份，备份至服务器本地硬盘或移动硬盘。7.2数据备份申请表7.3数据备份通知表数据备份通知表应用系统名称适用单位备份要求备份内容备份要求（备份频率、数据保留时间、建议完成时间等）备份策略数据备份申请表应用系统名称申请部门申请日期申请人申请描述备份内容备份要求备份频率、数据保留时间、建议完成时间等申请部门负责人签字申请审批备份策略信息技术部备份操作人员签字：日期：审批意见信息管理部门经理签字：日期：申请部门负责人确认签字处理日期信息技术部负责人意见信息技术部负责人签字：日期：执行部门负责人意见执行部门负责人签字：日期：执行状态及反馈执行人签字：执行日期：7.4备份工作汇总7.5备份介质登记表备份介质登记表序号介质标识号备份日期备份内容介质位置介质运送人员签字介质保管人员签字备注7.6备份介质借用登记表备份介质借用登记表借用部门借用日期借用人预计归还日期借用介质标识编号借用原因说明申请部门负责人签字日期备份工作汇总表备份日期备份内容备份结果问题跟进备份负责人签字备注信息技术部负责人签字日期介质保管人签字实际归还日期归还检查借用申请人签字日期介质保管人签字日期7.7介质冲洗/销毁登记表介质冲洗/销毁登记表序号介质标识编号备份内容存放位置最近备份日期冲洗/销毁原因操作人操作日期7.8数据恢复申请数据恢复申请表应用系统名称申请日期申请部门申请人优先级紧急快标准使用的备份数据日申请描述恢复数据原因：恢复要求（数据要求、时间要求等）：申请部门负责人签字：日期：申请审批恢复方案：备份负责人签字：日期：审批意见：信息技术部负责人签字：日期：恢复结果确认恢复结果:备份负责人签字：申请部门责人签字：日期：日期：7.9备份恢复测试表备份恢复测试表测试日期恢复对象测试人备份介质编码信息技术部负责人签字使用的备份数据日测试步骤：测试结果：备份恢复测试所用时间测试负责人签字信息技术部负责人签字备注