全国数据中心专业人才网
全国数据中心专业人才网详情页背景图
全国数据中心专业人才网详情页icon最新动态 全国数据中心专业人才网所在位置icon 您所在的位置:首页 > 最新动态
ISO27001管理体系在数据中心的实践(五)

文章结尾有彩蛋,一定要看完全文哦!

 

前文回顾:

ISO27001管理体系在数据中心的实践(四)

今天分享内容:

机房进出管理、生产运维场所管理、应用软件介质库管理三个小章节。

 
 

机房进出管理

一、概述

1.机房进出管理的目标

数据中心机房是维护A银行信息系统设备运行的重要场所。为加强进出机房人员管理,保障机房基础环境、物理设备及信息系统安全运行,制订了该流程。

2.建设背景及发展历程

(1)建设背景:根据IS020000IS027001国际标准要求,建立机房进出管理流程。

(2)发展历程

·2011,根据ISO20000国际标准要求,建立机房进出管理流程。

·20142015,根据据SO27001国际标准要求,完善机房进出管理流程。

·2016年至今,根据实际运行经验,优化完善流程部分细节。

二、流程及运作

1.术语定义

(1)长期授权:授予因日常工作需要经常性进出机房的人员权力,如机房巡检、日常维护人员等。该类授权包括在规定时限内机房指定区域的通行权,其通过门禁卡实现。

(2)临时授权:授予因工作需要而没有长期授权的人员权力,如故障处理设备维护等人员。该类授权包括在申请时限内(最长7)机房指定区域的通行权。该类授权采用“一事一申请”“谁申请、谁负责”方式,申请人员需填写《数据中心临时进出机房申请表》,经审批后,申请人员可在有长期授权人员或属地管理部门值班人员的陪同下进出机房。

(3)紧急授权:授予因紧急事件需处理而没有长期授权的人员权力,如事件、故障、应急处理的人员。该类授权采用“一事一申请”“补审批”方式,所属地机房值班人员通过录音电话获得申请人所属部门主管审批,申请人在有长期授权人员陪同下完成工作,并在一个工作日内补填《数据中心临时进出机房申请表》以交正式审批。

2.本管理流程的流程环节和关键活动介绍(流程的触发、输入、输出)

我们对需要进出机房的常用情况和人员角色进行了权限划分,给出机房进出授权指引,以便于判断审批,见表6-1

表6-1 机房进出管理权限

3.本管理流程的运作机制

机房进出管控采用“谁主管、谁负责”的属地机房管理原则。申请部门应对进出机房人员进行相关的机房安全培训,保证进出机房人员已履行授权和备案。所属地部部门负责机房进出管控,包括检查、核对机房进出人员授权或备案的一致性,对进入机房人员的工作过程进行监督。进入机房的人员应在规定区域内完成工作任务,未经允许不得进入其他区域。

长期授权流程如图6-3所示。

图6-3 机房进出长期授权流程

临时授权流程如图6-4所示。

图6-4 进出机房临时授权申请流程

紧急授权流程如图6-5所示。

图6-5 进出机房紧急授权申请流程

4.本管理流程管理工具的介绍

与数据中心IT运维流程管理平台工具集成。

三、绩效管理

1.指标设置

临时人员进入机房登记率、机房门禁检査合规率。

2.考核

(1)考核方式:量化指标。

(2)考核频率:定期执行。

(3)考核阈值:根据数据中心实际情况设置

四、持续改进

近三年的持续改进:机房进出管理细则解决了数据中心长期以来在机房管理过程中职责不清的问题,如设备监控谁来管、设备维护谁来管、机房环境谁来管等。这些问题的解决得到了数据中心总经理室的大力支持。也正是由于此问题的解决,数据中心的物理环境安全才能得到重大提升。

 

 

生产运维场所管理

 

一、概述

1.生产运维场所管理的定义和目标

生产运维场所管理的主要内容包括生产运维场所的布局规划划和调整,生产运维场所门禁权限的审批和生产运维场所人员行为的规范。生产运维场所管理适用于进行生产维护、准生产维护及投产演练的生产运维场所。

生产运维场所管理的目标是维护正常生产运维秩序、保保障运维场所安全。

2.建设背景及发展历程

(1)建设背景:根据管理要求,建立生产运维场所管理流程。

(2)发展历程

·2011,根据管理要求,建立生产运维场所管理流程。

·2012,根据实际运行经验,对流程部分细节进行优化完善善,例如对生产运维终端使用流程进行补充修改。

·2013,根据ISO27001国际标准要求,完善了生产运维场所管理流程。

·2014年至今,根据实际运行经验,优化完善流程部分细节,例如细化生产终端硬件管理、软件管理、维护管理等方面的要求。

二、流程及运作

1.角色和职责

角色包括体系负责人及体系承办人。

体系负责人的主要职责是审批《生产运维场所管理规范》。

体系承办人的主要职责是制订《生产运维场所管理规范》,并按按照规范要求维护正常生产运维秩序、保障运维场所安全。

2本管理流程的流程环节和关键活动介绍(流程的触发、输入、输出)

(1)生产运维场所管理流程包括如下主要活动:人员管理、终端管理及大屏管理。

(2)流程触发:根据日常管理的变更,触发流程的补充和修改。

(3)输入包括各部门反馈的建议,包括人员管理和终端管理等。

(4)输出包括持续改进申请表和生产运维场所管理规范。

3.与其他流程的接口或集成

有效性测量:将上年度有效性测量结果输出至生产运维场所管理,测量终端借用权限的审核方法、频度、阈值是否需要调整,测量指标是否需要调整。

4.本管理流程的运作机制

生产运维场所管理流程是由本流程负责人负责该流程的策划、监督、执行及改进。

5.本管理流程管理工具的介绍

终端管理系统是生产运维场所管理的辅助工具,主要用于管理用户生产运维区终端。授权用户在借用界面通过刷员工卡来启用或禁用生产运维终端。终端管理系统还可以实时统计终端借用情况。目前,想使用生产运维公共终端,必须通过本系统借用。

三、绩效管理

1.指标设置

(1)指标名称:终端权限核查按计划完成率。

(2)指标定义:终端权限核查按计划完成率=本年度终端权限核查按计划完成次数/本年度终端权限核查计划完成次数。

2.考核

(1)考核方式:量化考核。

(2)考核频率:定期执行。

(3)考核阈值:根据数据中心实际情况设置

3.本管理流程的文化建设

生产运维场所管理自建立起,经过六年多的实践,整体运行平稳顺畅,“维护正常生产秩序,保障安全、合规运营”的管理要求逐步得到落实,各层级员工对管理规范的认识日益深入。

四、持续改进

1.近三年的持续改进简述

(1)根据终端使用情况,补充修改终端借用流程。细化生产终端硬件管理、软件管理和维护管理等方面的管理要求。

(2)根据日常工作需要,修改网络连通性等相关规定。

(3)根据门禁卡申请流程,修改生产运维场所门禁权限申请流程。

2.遇到的问题风险和处置措施

暂无。

 

 

应用软件介志库管理

 

一、概述

1.应用软件介质库管理的定义和目标

应用软件介质库管理的目标是保障最终介质库中应用软件介质更新的及时性、完整性和准确性,确保在生产环境中使用已获得授权的应用软件或脚本,降低变更对生产环境造成的风险,并实现应用软件变更历史版本的可追溯。

应用软件介质库管理的管理范围是数据中心T服务提供过程中所使用的各类应用软件,包括A银行统一开发、委托开发或外包采购的应用软件产品(以下简称“总行产品”)、数据中心外购的应用软件和数据中心自主编制的脚本。

2.建设背景及发展历程

(1)建设背景:根据ISO20000ISO27001国际标准要求,建立应用软件介质库管理规范。

(2)发展历程

·2013,根据ISO27001国际标准要求,建立应用软件介质库管理规范。

·2014年至今,根据实际运行经验,优化完善规范部分细节。

二、流程及运作

1.角色和职责

角色包括应用软件介质库管理者、数据中心版本管理员、部门版本管理员。具体职责包括以下内容。

(1)软件介质库管理者的主要职责是负责应用软件介质库的统一管理。

(2)数据中心版本管理员的主要职责是负责总行产品的接收、合规审核、保存和发放;以及负责AML(应用软件介质库:用于存放应用软件介质和配套文档的一个或多个区域)信息管理、AML信息汇总分析和AML抽检等。

(3)部门版本管理员的主要职责是负责数据中心外购应用软件和自编脚本的接收、合规审核、保存和信息管理。

2.本管理流程的流程环节和关键活动介绍绍(流程的触发、输入和输出)

(1)总体管理要求

为实现本规范的管理目标,本规范从访问控制、备份、历史版本保存等方面进行控制和管理,具体要求包括以下内容。

1)按照“最小授权”原则,针对不同的角色设置对AML的不同访问权限;

2)每日对AML进行备份,备份方式要保证AML可以恢复一天前的数据(RPO=1);

3)新的应用软件纳入AML,有关的历史版本无需清理,应归档保存;

4)对纳入AML的应用软件,应将其分类存放并对其进行状态标识。接收并通过合规审核的软件,应被标识为未投产;投产验证成功后的软件,应被标识为已投产;投产后下线的软件,应被标识为已下线。

(2)主要活动

1)接收:数据中心版本管理员通过数据中心指定邮箱,接收来自软件中心指定邮箱发送的总行产品。

2)合规审核:数据中心版本管理员根据总行产品合规审核标准,对接收到的应用软件(含附属文档)的完整性进行审核,审核通过的应用软件被纳入AML并登记,审核未通过的应用软件被退回并登记。部门版本管理员对接收到的应用软件(含附属文档)的完整性进行审核,审核通过的应用软件被纳入AML并登记,审核不通过的应用软件被退回应用软件提供方。

3)发放:数据中心版本管理员根据测试、投产的时间安排,将总行产品通过专用工具发放给使用部门。

4)信息管理:数据中心版本管理员建立应用软件介质清单;部门版本管理员建立数据中心外购应用软件介质清单/自编脚本清单。

3.与其他流程的接口或集成

持续改进管理流程:本规范产生的持续改进事项应被输入至持续改进流程以实施改进。

变更管理流程:应用版本投产需按照变更管理流程要求执行。

4.本管理流程的运作机制

应用软件介质库管理规范是由流程负责人负责该规范的策划、监督、执行及改进,由版本管理员负责接收、审核、发放和管理各类应用软件介质。

5.本管理流程管理工具的介绍

目前,通过FTP和邮箱系统实现版本的接收和发放,通过流程工具平台实现版本信息与变更管理信息的关联管理(跟踪版本投产状态)

三、绩效管理

1.指标设置

(1)指标名称:AML合规符合率。

(2)指标定义:AML合规符合率=抽检记录的合规数量/抽检记录总量×100%

2.考核

(1)考核方式:量化考核。

(2)考核频率:定期执行。

(3)考核阈值:根据数据中心实际情况设置。

3.本管理流程的文化建设

数据中心建立应用软件介质库管理规范,并通过年度培训、季度流程报告、版本月报等活动,加强自身对于应用软件介质库管理的认识和了解。

四、持续改进

1.近三年的持续改进简述

优化流程工具,在流程工具平台中增加版本管理模块,实现变更流程工具与该模块的信息关联,实现总行产品从接收到投产的全流程管理。

实现版本信息批量导入功能,提高版本管理工作效率。

2.遇到的问题风险和处置措施

3.未来展望

未来计划通过工具实现应用版本的接收、发放和信息管理,减少人工操作内容,提高管理效率。

文章摘自:管理体系在银行业数据中心的创新与实践

今日小编推荐
 

免费精彩视频课

《什么是EPS?》

打开方式1:识别下方二维码,报名观看视频

打开方式2:关注“数据中心人才基地”公众号→打开DC成长吧→点击右上角搜索课程名称

 

看完还可以分享给小伙伴哦!