企业应如何规避IT外包风险？

企业信息安全管理制度

一、计算机设备管理制度

1 计算机的使用部门要保持清洁、安全、良好的计算机设备工作环境，禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。

2 非本单位技术人员对我单位的设备、系统等进行维修、维护时，必须由本单位相关技术人员现场全程监督。计算机设备送外维修，须经有关部门负责人批准。

3 严格遵守计算机设备使用、开机、关机等安全 *** 作规程和正确的使用方法。任何人不允许带电插拨计算机外部设备接口，计算机出现故障时应及时向电脑负责部门报告，不允许私自处理或找非本单位技术人员进行维修及 *** 作。

二、 *** 作员安全管理制度

（一） *** 作代码是进入各类应用系统进行业务 *** 作、分级对数据存取进行控制的代码。 *** 作代码分为系统管理代码和一般 *** 作代码。代码的设置根据不同应用系统的要求及岗位职责而设置；

（二）系统管理 *** 作代码的设置与管理

1、系统管理 *** 作代码必须经过经营管理者授权取得；

2、系统管理员负责各项应用系统的环境生成、维护，负责一般 *** 作代码的生成和维护，负责故障恢复等管理及维护；

3、系统管理员对业务系统进行数据整理、故障恢复等 *** 作，必须有其上级授权；

4、系统管理员不得使用他人 *** 作代码进行业务 *** 作；

5、系统管理员调离岗位，上级管理员（或相关负责人）应及时注销其代码并生成新的系统管理员代码；

（三）一般 *** 作代码的设置与管理

1、一般 *** 作码由系统管理员根据各类应用系统 *** 作要求生成，应按每 *** 作用户一码设置。

2、 *** 作员不得使用他人代码进行业务 *** 作。

3、 *** 作员调离岗位，系统管理员应及时注销其代码并生成新的 *** 作员代码。

三、密码与权限管理制度

1 密码设置应具有安全性、保密性，不能使用简单的代码和标记。密码是保护系统和数据安全的控制代码，也是保护用户自身权益的控制代码。密码分设为用户密码和 *** 作密码，用户密码是登陆系统时所设的密码， *** 作密码是进入各应用系统的 *** 作员密码。密码设置不应是名字、生日，重复、顺序、规律数字等容易猜测的数字和字符串；

2密码应定期修改，间隔时间不得超过一个月，如发现或怀疑密码遗失或泄漏应立即修改，并在相应登记簿记录用户名、修改时间、修改人等内容。

3服务器、路由器等重要设备的超级用户密码由运行机构负责人指定专人（不参与系统开发和维护的人员）设置和管理，并由密码设置人员将密码装入密码信封，在骑缝处加盖个人名章或签字后交给密码管理人员存档并登记。如遇特殊情况需要启用封存的密码，必须经过相关部门负责人同意，由密码使用人员向密码管理人员索取，使用完毕后，须立即更改并封存，同时在“密码管理登记簿”中登记。

4系统维护用户的密码应至少由两人共同设置、保管和使用。

5有关密码授权工作人员调离岗位，有关部门负责人须指定专人接替并对密码立即修改或用户删除，同时在“密码管理登记簿”中登记。

四、数据安全管理制度

1 存放备份数据的介质必须具有明确的标识。备份数据必须异地存放，并明确落实异地备份数据的管理职责;

2 注意计算机重要信息资料和数据存储介质的存放、运输安全和保密管理，保证存储介质的物理安全。

3 任何非应用性业务数据的使用及存放数据的设备或介质的调拨、转让、废弃或销毁必须严格按照程序进行逐级审批，以保证备份数据安全完整。

4数据恢复前，必须对原环境的数据进行备份，防止有用数据的丢失。数据恢复过程中要严格按照数据恢复手册执行，出现问题时由技术部门进行现场技术支持。数据恢复后，必须进行验证、确认，确保数据恢复的完整性和可用性。

5数据清理前必须对数据进行备份，在确认备份正确后方可进行清理 *** 作。历次清理前的备份数据要根据备份策略进行定期保存或永久保存，并确保可以随时使用。数据清理的实施应避开业务高峰期，避免对联机业务运行造成影响。

6需要长期保存的数据，数据管理部门需与相关部门制定转存方案，根据转存方案和查询使用方法要在介质有效期内进行转存，防止存储介质过期失效，通过有效的查询、使用方法保证数据的完整性和可用性。转存的数据必须有详细的文档记录。

7非本单位技术人员对本公司的设备、系统等进行维修、维护时，必须由本公司相关技术人员现场全程监督。计算机设备送外维修，须经设备管理机构负责人批准。送修前，需将设备存储介质内应用软件和数据等涉经营管理的信息备份后删除，并进行登记。对修复的设备，设备维修人员应对设备进行验收、病毒检测和登记。

8管理部门应对报废设备中存有的程序、数据资料进行备份后清除，并妥善处理废弃无用的资料和介质，防止泄密。

9运行维护部门需指定专人负责计算机病毒的防范工作，建立本单位的计算机病毒防治管理制度，经常进行计算机病毒检查，发现病毒及时清除。

10 营业用计算机未经有关部门允许不准安装其它软件、不准使用来历不明的载体（包括软盘、光盘、移动硬盘等）。

五、机房管理制度

1进入主机房至少应当有两人在场，并登记“机房出入管理登记簿”，记录出入机房时间、人员和 *** 作内容。

2IT部门人员进入机房必须经领导许可，其他人员进入机房必须经IT部门领导许可，并有有关人员陪同。值班人员必须如实记录来访人员名单、进出机房时间、来访内容等。非IT部门工作人员原则上不得进入中心对系统进行 *** 作。如遇特殊情况必须 *** 作时，经IT部门负责人批准同意后有关人员监督下进行。对 *** 作内容进行记录，由 *** 作人和监督人签字后备查。

3保持机房整齐清洁，各种机器设备按维护计划定期进行保养，保持清洁光亮。

4工作人员进入机房必须更换干净的工作服和拖鞋。

5机房内严禁吸烟、吃东西、会客、聊天等。不得进行与业务无关的活动。严禁携带液体和食品进入机房，严禁携带与上机无关的物品，特别是易燃、易爆、有腐蚀等危险品进入机房。

6机房工作人员严禁违章 *** 作，严禁私自将外来软件带入机房使用。

7严禁在通电的情况下拆卸，移动计算机等设备和部件。

8定期检查机房消防设备器材。

9机房内不准随意丢弃储蓄介质和有关业务保密数据资料，对废弃储蓄介质和业务保密资料要及时销毁（碎纸），不得作为普通垃圾处理。严禁机房内的设备、储蓄介质、资料、工具等私自出借或带出。

10主机设备主要包括：服务器和业务 *** 作用PC机等。在计算机机房中要保持恒温、恒湿、电压稳定，做好静电防护和防尘等项工作，保证主机系统的平稳运行。服务器等所在的主机要实行严格的门禁管理制度，及时发现和排除主机故障，根据业务应用要求及运行 *** 作规范，确保业务系统的正常工作。

11定期对空调系统运行的各项性能指标（如风量、温升、湿度、洁净度、温度上升率等）进行测试，并做好记录，通过实际测量各项参数发现问题及时解决，保证机房空调的正常运行。

12计算机机房后备电源（UPS）除了电池自动检测外，每年必须充放电一次到两次。

针对这样的问题，企业应该制定相关的管理制度，下面是一份关于其他企业网络安全制定，希望能帮到您！

计算机网络为集团局域网提供网络基础平台服务和互联网接入服务，由网络维护中心负责计算机连网和网络管理工作。为保证集团局域网能够安全可靠地运行，充分发挥信息服务方面的重要作用，更好地为集团员工提供服务，现制定并发布《集团网络安全管理制度》。

第一条 所有网络设备（包括路由器、交换机、集线器、光纤、网线等）均归网络维护中心所管辖，其安装、维护等 *** 作由网络维护中心工作人员进行，其他任何人不得破坏或擅自维修。

第二条 所有集团内计算机网络部分的扩展必须经过网络维护中心实施或批准实施，未经许可任何部门不得私自连接交换机、集线器等网络设备，不得私自接入网络。网络维护中心有权拆除用户私自接入的网络线路并报告上级领导。

第三条 各分公司、处（室）的联网工作必须事先报经网络维护中心，由网络维护中心做网络实施方案。

第四条 集团局域网的网络配置由网络维护中心统一规划管理，其他任何人不得私自更改网络配置。

第五条 接入集团局域网的客户端计算机的网络配置由网络维护中心部署的服务器统一管理分配，包括：用户计算机的IP地址、网关、DNS和WINS服务器地址等信息。未经许可，任何人不得更改网络配置。

第六条 网络安全：严格执行国家《网络安全管理制度》。对在集团局域网上从事任何有悖网络法规活动者，将视其情节轻重交有关部门或公安机关处理。

第七条 集团员工具有信息保密的义务。任何人不得利用计算机网络泄漏公司机密、技术资料和其它保密资料。

第八条 严禁外来人员对计算机数据和文件进行拷贝或抄写以免泄漏集团机密，对集团办公系统或其它集团内部平台帐号不得相互知晓，每个人必须保证自己帐号的唯一登陆性，否则由此产生的数据安全问题由其本人负全部责任。

第九条 各部门人员必须及时做好各种数据资料的录入、修改、备份和数据保密工作，保证数据资料的完整准确和安全性。

第十条 任何人不得在局域网络和互联网上发布有损集团公司形象和职工声誉的信息。

第十一条 任何人不得扫描、攻击集团计算机网络和他人计算机。不得盗用、窃取他人资料、信息等。

第十二条 为了避免或减少计算机病毒对系统、数据造成的影响，接入集团局域网的所有用户必须遵循以下规定：

1任何部门和个人不得制作计算机病毒；不得故意传播计算机病毒，危害计算机信息系统安全；不得向他人提供含有计算机病毒的文件、软件、媒体。

2 采取有效的计算机病毒安全技术防治措施。建议客户端计算机安装使用网络维护中心部署发布的相关杀毒软件和360安全卫士对病毒和木马进行查杀。

3 定期或及时用更新后的新版杀病毒软件检测、清除计算机中的病毒。

第十三条 集团的互联网连接只允许员工为了工作、学习和工余的休闲使用，使用时必须遵守有关的国家、企业的法律和规程，严禁传播*秽、反动等违犯国家法律和中国道德与风俗的内容。一经发现集团网络维护中心有权撤消违纪者互联网的使用权。使用者必须严格遵循以下内容：

1 从中国境内向外传输技术性资料时必须符合中国有关法规。

2 遵守所有使用互联网的网络协议、规定和程序。

3 不能利用邮件服务作连锁邮件、垃圾邮件或分发给任何未经允许接收信件的人。

4 任何人不得在网上制作、查阅和传播宣扬反动、*秽、封建迷信等违犯国家法律和中国道德与风俗的内容。

5 不得传输任何非法的、骚扰性的、中伤他人的、辱骂性的、恐吓性的、伤害性的信息资料。

6 不得传输任何教唆他人构成犯罪行为的资料，不能传输助长国内不利条件和涉及国家安全的资料。

7 不能传输任何不符合当地法规、国家法律和国际法律的资料。

第十四条 为了发挥好网站的形象宣传作用，各分公司、处（室）要及时向网络维护中心提供有关资料，以便充实网站内容，加大宣传影响。由网络维护中心统一整理、编辑上传及内容更新。

第十五条 各分公司、处（室）人员在下班离开前必须关闭计算机和电源插座，避免浪费电能和发生消防隐患，违纪者通报批评并进行相应的处罚。有加班需要的工作人员必须提前通知网络维护中心。

企业规避IT外包风险的方法：

1．减少核心业务外包。根据调查，企业信息泄露的80%来自企业内部，例如来自对公司或领导不满的员工等。公司在决定IT外包之前，必须确定外包的部分包含的公司数据量较少。

2．制定外包工作进行期间的规范，例如，不得携带存储设备进入工作场地等。

3．法规制约。检查外包公司是否遵循数据隐私法案和特殊行业法规，例如萨班斯法案、HIPPA、ISO20007等。

4．技术保证。检查外包供应商是否具备保障信息安全的技术条件。

5．公司在选择外包供应商之初，应该首先查看外包供应商的保密政策，并在外包合同中明确保密协议和信息泄露后的责任归属。

比较有名的IT运维管理软件多了，比如上海北塔软件股份有限公司，是IT运维管理专家。

传统网络运维方式：传统的运维方式给人的印象是：故障发生前，维护人员似乎无所事事;故障发生后，则是手忙脚乱。这就是被动服务给人们留下的印象，运维人员是在被动地等待故障的发生。在新的运维系统中，我们必须改变原有的思维运维方式，变被动服务为主动服务。比如说一个故障出现，网络管理员看到自己的网络是好的，主机管理员看到自己的主机是可以正常登陆注销的，应用管理员看到我的应用进程还在，都没问题，但却不知道如何去处理，没有任何头绪。花很多的时间和精力去发现故障的根源点，身心疲惫，又不断被客户抱怨和投诉“技术人员服务水平差，服务效率低”。

类似北塔软件这样的公司提供的IT运维管理主动服务模式——在主动服务模式下，运维人员主动地监控系统的变化，对日常工作及故障处理完成后主动进行问题分析，对系统的变更风险进行评估。在现代化新思维系统中，可以通过种种技术措施，使得运维工作从被动服务转移到主动服务，出现问题时不需要人为的去分析，系统直接分析出来告诉给管理员就可以了。

在控制it外包风险与安全方面，做到心中有底、手中有招、控制有术，建立事前预防、事中控制、事后监督的三道防线。（一）事前预防

在日常工作中，各种外包风险的前期预兆是会表现出来的，关键是没有及时发现，马上纠正或是对发现的问题思想麻痹，错误扩大化变成案件，形成损失并为纠正错误付出高昂代价。因此，把风险消灭在萌芽状态，才是风险控制的重点。

1、制定IT业务外包战略。银监会颁布的《银行信息科技风险管理指引》和《商业银行外包风险管理指引》中对外包业务都提出了要求，重点考虑IT业务外包要能促进公司的科技业务发展、信息系统安全运营和科技业务管理水平，紧密配合公司业务发展规划，全面权衡外包的利益与风险，决定将哪些IT业务外包，制定IT业务外包战略规划。

2、建立IT业务风险与安全管理体系。体系制定要做到统一框架，统一标准、统一措施、统一监督管理，内容由IT业务风险与安全管理策略、管理制度与规范、技术标准、指引、流程、 *** 作手册等组成。通过制定风险与安全管理体系，指导公司IT业务风险与安全管理工作的开展，使其符合国际、国内的有关安全标准和我国的法律法规；在公司内部形成一个信息科技风险与安全管理机制，确保落实，保护公司所有信息科技资源和资产的安全；明确信息系统的防护、检测和应急恢复等各项信息科技风险与安全管理指标、原则和违规行为的处理措施；对与公司合作组织、商业伙伴、承包商和服务提供者提出相关的安全约束。项目管理者联盟

3、做好IT业务风险与安全的认知与培训。通过举办培训班、研讨会、发送邮件、赠送报刊等方式，为公司科技人员和业务人员提供IT业务风险与安全方面知识的培训，通过持续不断的培训学习，掌握本公司IT业务风险与安全管理制度规范，提高全员风险与安全防范意识，积极参与信息科技风险与安全防范工作中，形成全员参与信息科技安全管理的风险管理文化。

4、建立IT业务外包供应商信息管理系统，设计科学、全面的风险指标评估体系。西格玛中有句名言：有什么样的指标、就有什么样的结果。建立科学的IT业务外包供应商评估指标体系，有利于统一供应商与银行的IT业务发展目标。该指标体系需要从质量、成本、交付、服务、技术、资产、流程这些方面入手，确定外包供应商成立及上市时间、行业经验、规模、安全、人力、财务、问题响应时间、是否有产品保险、企业文化以及各种认证等重点内容，详细设计3K（KCS、KCSA和KRI）指标，每一项指标都要给出相应的分值区间，通过建立外包供应商信息管理系统，把设计的评估指标纳入系统中，详细记录外包供应商及其供应链上的各方面信息，通过系统统计分析，从而科学有效的评估外包供应商的服务能力。

（二）事中控制

银行与外包合作商签署合同，项目正式进入合作 *** 作阶段，在日常IT项目运营过程中，银行作为甲方应做好如下几方面的工作。

1、认真执行制度、不断完善制度

从出现的有关银行计算机系统风险安全与犯罪案件分析中，大多数都是因为没有章不循，没有按制度办事，按业务处理流程办事造成的，这就要求银行加强对制度执行严肃性的管理，违章必究，否则制定的各项制度规范形同虚设，起不到应用的作用。同时，还要注意IT业务外包供应商风险与安全管理制度规范建设与信息系统同步规划、同步建设、同步管理，能紧随银行信息科技业务的发展、环境的变化、中心工作的更替、创新的要求，及时得到调整、修订和补充。

2、选择适合自己的外包供应商，签署合作合同

签署合同是IT业务外包不可避免的风险。因此，根据前期对市场的调研分析，搜集的供应商信息，寻找合格的IT服务供应商，询价和报价，通过招投标方式，建立适合公司科技与业务经营发展需要的供应商，并协同法律部门做好外包合同文本的制定和签署，合理规避和防范合同风险的发生。

3、加强与外包供应商的合作与交流

一旦项目签署合同开始启动，银行作为甲方要提供项目研发办公条件，尽快让外包商到行里来工作，向同事一样给予相关方面的必要帮助。同时，银行科技人员以及业务人员要参与到项目建设中，既可以让自己的技术和业务人员与外包公司技术人员熟悉、了解掌握产品技术性能和业务功能，便于项目研发过程中问题的沟通交流，还可以全程对项目进度、质量进行跟踪，以便于在规定的时间内，高质量的完成软件项目的研发投产，让项目利益所有者都满意。

4、建立外包供应商服务评价体系

因很多外包公司特别是跨国公司，外包、分包普遍存在，也就降低了供应链的透明性和可追溯性，有意无意的形成漏洞，加大了供应链风险。所以，要采取日常业绩跟踪和阶段性评比方法，更加深入的了解外包供应商及其供应链的一些情况，避免信息不对称，便于更好地建立外包供应商信息管理系统，根据有关业绩的跟踪记录，对供应商的业绩表现进行综合考核，全面、正确的评价外包商工作情况。

5、做好项目建设的计划与控制

为避免人员频繁变动、项目延期、交付的技术文档不齐全及系统上线后支持服务跟不上等现象。要求银行科技人员与外包项目经理及项目组成员建立项目进度与质量控制沟通机制（如周例会、项目周报、问题跟踪管理报告等），定期监测与度量项目进展情况，识别有否偏离计划之处，及时发现问题、反馈问题、了解原因、解决问题，确保实现项目目标。

6、建立应急管理机制，保持业务持续性

你不能防范每种风险，但是你却可以迅速发现问题，并提前思考解决方法，动员所有的选择，这才是风险与安全管理的精髓。银行要制定可行的外包供应商应急管理计划，项目外包会使得银行对外包供应商产生依赖，如果外包供应商不能如期履行合同，而导致银行业务中断所引起的后果必须高度重视。这就需要银行要严格审查外包供应商提供的执行方案，并针对外包供应商不履行合同或者发生紧急事件制定应急应对方案。

（三）事后监督

外包项目完成后，银行相关职能部门应做好对外包项目从立项、招投标、建设、投产使用等全过程进行检查审计，主要做好如下几方面工作。

1、与完善规章制度相结合，实现各项工作制度化

在事后监督检查过程中，加强检查IT业务外包制度是否建立健全、科学有效、符合工作实际，不断完善规章制度，使外包各项工作有章可依，工作制度化。

2、与奖惩相结合，维护法规与制度的严肃性

适当的处罚，能促进责任人改正错误，增强法律法规观念，更好的促进工作，依据制定的IT业务外包风险与安全管理制度规范，检查项目外包实施过程中各项工作是否按制度办事，针对检查出来的问题，要查明原因，对于不按制度办事的违章行为要给予处罚，做的好的要表彰，做到奖罚分明，维护制度的严肃性。

3、与内审计相结合，制定外审策略

在做好内审的同时，也可以邀请外审机构对外包商以及外包供应链上公司的风险与安全管理能力等进行全面的评估。

4、与规范化管理相结合，实现业务 *** 作程序化

事后监督工作要深入到科技业务一线，认真执行规范化 *** 作规程，从细节入手，查找不足、堵塞漏洞，促进外包供应商管理制度化、程序化、规范化。

5、与IT服务内容相结合，做好多外包商的监督管理

监督、定期重新评估外包风险，并把所搜集信息和评估结果纳入外包供应商信息系统管理，通过合同和SLA协议管理供应商，要注重周期性地审查外包合同，并根据环境和银行业务发展的需要及时修改合同、重新设定外包服务标准。

总的来说，it外包要在国家法律法规和公司的制度规范内展开，要建立健全IT业务外包过程中信息披露和检查监督及考核机制，建立一个功能完善的外包供应商信息管理系统，有效防范IT业务外包风险，确保信息安全。

参考资料：

以上就是关于电子数据信息安全管理制度全部的内容，包括:电子数据信息安全管理制度、企业网络安全该怎么做、企业应如何规避IT外包风险等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！