30.18 -变更管理
老板:
- 位置: 信息技术副总裁和首席信息官，信息技术
- 电子邮件: oit-security@spontando.com
最后更新: 2024年2月13日
内容:
A. 目的
B. 范围
C. 定义
D. 政策
E. 不服从
F. 异常
G. 联系信息
H. 参考文献
A. 目的. 该政策建立了审核和批准大学管理的技术资源变更的机制. 为了解决问题，需要定期和紧急地对信息系统进行更改, 添加新功能, 处理新的安全性和遵从性需求, 改善用户体验. 由于现代技术系统的复杂性, 这些变化必须仔细审查, 执行, 并被审查为, 如果操作不当, 会造成干扰, 削弱安全态势, 并导致数据丢失. 为了解决这个问题, 以及协助大学的合规要求, 本政策规定:
- 改变的方式是将对大学的风险降到最低.
- 所有安全性和遵从性需求都将按照U of I标准和最少特权和功能原则执行.
- 及时跟踪和批准所有对技术资源有影响的变更.
B. 范围. 本政策适用于技术资源的任何变更 APM 30.12 C-1, 可能对被变革咨询委员会归类为生产或高影响的服务或数据产生负面影响, 系统/数据所有者, 或其他有关当局.
本策略的范围不取代已批准的系统安全计划, 法律, 规定, 或合同变更管理的限制或要求.
C. 定义
C-1. 变革咨询委员会(CAB). 评审小组, 批准, 并优先考虑变化, 显式地, 或者通过批准的程序, 并保持标准的变化.
C-2. 变更控制委员会(CCB). 由项目或专用技术中的一个或多个个人组成的小组，负责确保更改遵循标准. 例子包括但不限于:主题专家、经理或受影响的团队.
C-3. 紧急变更. 执行紧急变更是为了处理诸如安全事件之类的意外中断, 应用程序, 或者需要立即解决的服务器中断.
C-4. 正常的变化. 所有其他非紧急或标准更改的更改. 例子包括, 但不限于, 数据迁移和软件实现, 网络, 或者系统配置更改. 每个变更都有预定义的范围和行动计划.
C-5. 标准的变化. 期刊, 遵循CAB批准的标准操作程序的低风险和低影响的变更. 每个变更都有预定义的范围和行动计划.
C-6. 系统. 为存储、处理、维护、共享或处置数据而组合起来的一组离散资源. 这包括, 但不限于, 任何端点设备(桌面), 笔记本电脑, 智能手机, 平板电脑)和服务器, 网络, 或者第三方和云服务.
D. 政策
D-1. 变化
- 信息技术系统和服务的所有变更必须遵循CAB定义或批准的结构化流程，以确保适当的规划, 沟通, 和执行.
- 每个更改都需要明确地考虑更改的安全影响.
- 不符合CAB或指定CCB对标准变更或紧急变更的要求的变更必须遵循正常变更程序.
- 确保紧急变更及时发生, 在紧急事件的后续活动期间，对变更的审查和批准发生在事件之后.
D-2. 改变咨询委员会(CAB)的成员和职责
- CAB将由首席信息官指定的代表组成，并在《bet365亚洲官网》中公布.
- 谘询局的职责如下:
- 及时评估、确定优先级、授权、安排和沟通变更.
- 审查紧急变更，并根据需要要求跟进或提供额外的文件.
- 为微小的变更、项目或专用技术指定ccb.
- 定期开会，回顾即将发生的变化.
- 建议和维护由CIO批准的变更和变更批准的标准.
- 建立和维护程序, 的指导方针, 以及变更和变更批准的流程, 包括自动化流程.
- CAB可能在批准前要求包括但不限于:
- 附加文档或通信.
- 遵循更改窗口指南的适当更改窗口.
- 延迟进度以适应风险.
- 在变更之前或之后实现的其他缓解措施.
D-3. 变更控制委员会(CCB)的职责
- 建行的职责如下:
- 根据CAB定义的标准或CAB批准的自定义标准，及时审查和批准范围内的变更.
- 审查紧急变更，并根据需要要求跟进或提供额外的文件.
- 指定相关干系人作为审批人.
- ccb可能要求在获得d - 2c批准之前提供项目.
E. 不服从. 不遵守此政策可能会导致后果, 视不遵守的性质而定, 如B部分所述，在用户帐户中或被暂停访问U或I技术资源.APM 30中的3个.12 (可接受的技术使用).
F. 异常. 可以提交此政策的例外请求 通过OIT支持门户网站. 伊利诺伊大学首席信息安全官将评估风险，并向伊利诺伊大学信息技术副校长和首席信息官提出建议. 例外情况必须至少每年审查一次以重新授权.
G. 联系信息. 资讯科技署资讯保安办事处(oit-security@spontando.com)可协助解答有关本政策及相关标准的问题. 问题应通过 石油技术支持门户.
H. 参考文献.
版本历史
采用2024.