变更管理程序-ISO27001体系.doc

密级等级：机密 受控状态：受控 文件编号：HW-IP-033-V1.0 变更管理程序 V1.0 2019年01月10日 广东****技术股份有限公司 内部资料 版权所有 未经允许 不得抄印 变 更 履 历 版本 变更内容 编制人/ 创建日期 审核人/ 审核日期 批准人/ 批准日期 备注 V1.0 初始版本，文档建立 罗** 2019.01.07 沈*** 2019.01.09 黄** 2019.01.10 1 目的 为对组织内的软件的硬件与软件的变更进行有效控制，确保系统的各项安全要求得到识别并执行，防止未经授权及不充分的变更所造成的系统故障与业务中断，保证系统安全，特制定本程序。 2 范围 本程序适用于本组织IT设备（包括传输线路)、软件（操作系统及应用系统)等方面的变更控制的管理。 3 职责 3.1 研发中心 负责以下方面的IT设备及软件方面的变更管理： 组织内办公用计算机和网络设备及软件； 服务器设备； 财务管理系统等设备及软件； 3.2 信息安全管理小组 负责开发软件的变更管理 4 相关文件 《信息安全管理手册》 《变更管理安全策略》 5 程序 5.1 变更分类 IT设备变更：包括系统中服务器、网络设备、传输线路及计算机终端的新增、减少及其设备本身的变化（包括设备的报废）； 操作系统和信息系统软件变更：包括新安装、补丁、版本升级及更换（如打SP2补丁）； 开发软件包的变更。 5.2 IT设备变更控制 软件设备（包括传输线路)的变更需求由变更部门根据组织业务发展的需要提出，填写《变更申请表》，经研发中心批准后予以实施。 5.3 操作系统软件变更 当软件厂商发布操作系统或应用软件的更新补丁或版本时，研发中心负责分析更新内容对公司现有业务及工作的影响，研发中心人员可以先选一台测试机安装最新补丁，在未发现对工作业务产生重要负面影响的前提下，为使用该操作系统或应用软件的用户安装补丁。 5.4 软件的变更控制 当客户重新对项目的某一或某些模块进行重要要求时，项目组负责跟踪客户的新要求,进行业务及可以行性分析，组织有关人员进行方案评审，考虑系统改造对现有业务的影响，并制定有效的风险控制措施，方案在评审通过后，修改《需求开发说明书》，针对发生变更的模块，修改相应的详细设计书，数据库说明书，源程序。并对整个项目重新进行测试。 在软件正式变更前，项目组应考虑以下方面的安全要求： 变更对目前业务的影响； 变更对现有软件的影响； 变更实施前应进行安全测试； 不成功的变更恢复措施。 在变更实施前，由变更部