ISO20000-2018《配置管理计划》

XXXXXXXX科技有限公司IT服务管理手册（本手册与IDT ISO/IEC 20000-1:2018标准相符）[ZBX-A-01]Ver 1.0文件编号：ZBX-ITMS-A-01版本：1.0编制（林XX）：审核（饶XX）：批准（郑XX）：发布日期：2019年7月6日实施日期：2019年7月6日变更履历目录01 颁布令为满足与顾客有关信息技术服务的相关要求，提高公司信息技术服务管理水平，防止因信息技术服务的不及时和不到位等原因导致的公司和客户的损失。

公司开展贯彻ISO/IEC 20000-1 《信息技术服务管理第一部分:要求》国际标准,建立、实施和持续改进文件化的信息技术服务管理体系，制定了本公司《IT服务管理手册》。

《IT 服务管理手册》是公司规范IT服务管理体系的指导性文件，指导公司建立并实施信息技术服务管理体系的纲领和行动准则，用于贯彻公司的信息技术服务管理方针、目标，实现信息技术服务管理体系有效运行、持续改进，也体现公司对社会的承诺。

《IT 服务管理手册》符合相关信息技术服务法律、法规要求及ISO/IEC 20000-1《信息技术服务管理第一部分:要求》标准和企业实际情况，经评审后，现予以批准发布，自2019-07-06起实施。

公司全体员工必须遵照执行。

公司全体员工必须严格按照《IT 服务管理手册》的要求，自觉遵循信息技术服管管理方针，贯彻实施本手册的各项要求，努力实现公司信息技术服务管理方针和目标。

总经理（郑XX）：2019年7月6日02 管理者代表授权书为贯彻执行信息技术服务管理体系，满足ISO/IEC 20000-1 《信息技术服务管理第一部分:规范》标准的要求，加强领导，特任命饶XX 为我公司信息技术服务管理者代表。

授权代表有如下职责和权限：1、按照ISO/IEC 20000-1 《信息技术服务管理第一部分:要求》标准的要求，公司相关资源，识别、建立、实施和保持信息技术服务管理体系，不断改进信息技术服务管理体系，确保其有效性、适宜性和符合性。

1目的 (2)2过程定义 (2)2.1范围 (2)2.2过程负责人 (2)2.3主要输入 (2)2.4主要输出 (2)2.5职责权限 (2)2.6过程重要控制点 (2)2.7过程测量指标 (2)3术语 (2)4流程 (2)5过程描述 (2)5.1配置计划 (2)5.2配置定义和标识 (2)5.3建立配置管理数据库 (2)5.4CMDB的控制和维护 (2)5.5配置审计和验证 (2)5.6生成配置报告 (2)6相关文件 (2)7相关记录 (2)8附加说明 (2)9文件历史记录 (2)1目的配置管理流程的总体目的是提供一个统一的、一致的流程来管理售后服务环境中的所有组成部分，以确保：1)所有配置项（CI）被识别和记录下来；2)配置项当前和历史状态得到汇报；3)配置项记录的完整性得到维护和确认；4)客户服务环境的稳定性；5) 实现资产管理的目的。

2过程定义2.1范围配置管理的范围是公司开发的管理信息系统的运行和服务环境下所包含的配置项（CI），包括系统运行环境的部署环境设备、系统软件等，及服务环境中涉及的客户信息配置。

具体活动包括识别、控制、汇报和审核等行为。

包括：●客户信息●软件信息●服务文档：服务项目文档、服务记录、用户手册等；●供应商：供应商信息。

不包括：●处于开发或测试环境的业务系统。

2.2过程负责人配置管理负责人2.3主要输入2.4主要输出2.5职责权限配置管理负责人主要具有以下职责：1)定义并维护配置管理流程文件及所需要的记录模板；2)管理配置管理流程的实施；3)确保配置管理流程目标的实现；4)识别配置管理过程中存在的问题并提出改进措施；5)定期向IT服务管理小组汇报实施过程中存在的问题；6)批准建立配置库基线；7)对配置报告进行核对和审核。

配置管理员主要具有以下职责：1)建立配置管理数据库；2)及时录入各设备、软件、供应商、服务等的配置项信息；3)根据服务需求说明来协调用户之间的联系；4)配置管理数据的完整性和准确性，确保为其他操作管理提供准确的信息；一线支持人员主要具有以下职责：1)识别ITSM配置库中存在的问题并提出改进措施；2)核对并修改ITSM各设备、供应商、服务等的配置项信息。

信息安全管理规范广东广凌计算机科技股份有限公司档案号：目录1目的 (3)2范围 (3)3访问控制策略 (3)4系统使用策略 (3)5电子邮件 (3)6口令管理策略 (4)7备份策略 (4)8保密策略 (4)9桌面清理和清除屏幕策略 (5)10防病毒策略 (5)11相关文件 (5)12文档说明 (7)13附加说明 (7)14文件历史记录 (7)1目的本策略的目的是规范广凌软件XXXX运维项目运行和客户服务过程中的信息安全性，包含公司及客户信息的保密性、可用性和完整性。

2范围本策略适用于公司运作所覆盖的信息安全的范围。

针对不同的用户，本规范可以部分删减或增加，以符合级别协议要求为准绳。

系统范围：广凌软件XXXX运维项目、数据库系统、中间件、操作系统、CRM设施范围：服务器、网络设备、个人计算机、办公设施人员安全：一线支持数据范围：客户信息、CRM数据、广凌软件XXXX运维项目数据文件范围：各种操作规范、纸质的记录表等3访问控制策略公司采取强访问控制策略，即规定“除非得到明确的许可，否则一切访问都是禁止的”。

权限配置应遵守“最小范围”原则，每个岗位得到的授权应仅限于其工作需要；当员工岗位发生变化时，权限配置人员应重新评审并及时更新权限配置情况；权限配置人员应至少每季度作对由本人负责的权限分配情况进行一次评审；员工不能滥用其获得的权限做有损公司利益的事或做出与其岗位要求不一致的操作，也不能试图访问未获得许可的信息。

4系统使用策略广凌软件XXXX运维项目和CRM系统应能根据处理信息的不同安全等级而提供相应的保护，并制定访问控制列表。

广凌软件XXXX运维项目和CRM系统应能根据不同的使用人提供权限区分功能；新增的信息系统应充分考虑与现有系统的兼容性和扩展性；广凌软件XXXX运维项目和CRM系统应满足现行的各种安全标准和详尽的日志功能；5电子邮件网络管理员为公司人员分配邮件帐号和权限；员工只应使用公司规定的邮件系统，禁止私设邮件系统；禁止利用个人邮箱处理公司事务；在发送邮件前应该审查拼写和语法，检查发送地址是否正确；在公司应尽量减少私人邮件的使用；通过电子邮件在发送敏感及密级信息时必须进行加密；在对发件人和附件标识不明确的情况下禁止打开附件；禁止通过邮件发送秘级标识“绝密”、“机密”类的相关文档；附件信息如有加密或需要口令时，不得在邮件正文内发送相关密钥或相关口令信息；不应该给任何人发送垃圾邮件；不应该给任何人发送骚扰或恐怖邮件；不应该发送任何含有非法或不道德内容的邮件；对外单位发送电子邮件时，文档的格式应转换为pdf格式；员工收发电子邮件时，应使用公司规定的病毒扫描软件进行扫描；员工应自行定期对重要的邮件信息进行备份；公司可考虑对进出邮件进行备份、监控、过滤和收发控制处理；员工离职时网管应及时将其邮件帐号注销。