信息系统软件管理程序(含表格)

信息系统软件管理程序（ISO27001-2013）第一章总则第一条为加强软件版本管理，规范软件版本管理工作流程，提高版本运行维护质量，保证信息系统安全可靠高效地运行，特制定本办法。

第二条本办法涉及的软件包括在线运行的软件和拟投产的软件。

软件版本管理对象包括应用软件版本以及相关操作系统、数据库、中间件等基础软件。

第三条软件版本管理是信息系统开发管理和日常维护管理工作的一个重要组成部分，本办法作为软件版本管理的重要依据，软件版本管理归口管理部门、业务支撑部门、信息部门、内审部门及各软件供应商要认真履行各自职责，严格执行软件版本管理的各项流程和规定，保障信息系统的安全稳定运行。

第四条任何未经版本归口管理部门许可的软件版本不允许在生产环境使用。

在商务合同中若涉及信息系统软件版本，应确认为版本归口管理部门允许使用的软件版本。

因使用未经许可的软件版本而造成系统故障影响正常业务交易，相关部门及各厂商要承担相应的责任。

第五条本办法由信息部负责解释和修订，自发文之日起开始执行。

第二章组织与职责第六条软件版本管理实行总行集中管理体系。

第七条信息部是信息系统软件版本的归口管理部门。

第八条人事部是信息系统软件版本管理的内审部门。

第九条信息部是信息系统软件版本管理的风险控制部门。

第十条信息系统软件版本管理工作还涉及软件提供商，软件提供商包括软件最终提供商、代理商和维保服务商（以下简称厂商）。

第一节归口管理部门职责第十一条归口管理部门负责制定和完善的软件版本管理办法。

第十二条归口管理部门负责制定信息系统软件版本管理工作的工作计划、工作要求和技术规范，并组织实施。

第十三条归口管理部门负责审批业务支撑部门上报的版本变更申请，组织进行资料审核和上线测试，安排试运行工作及全行推广实施。

第十四条归口管理部门负责建立软件版本信息库，发布软件版本管理各类信息；建立版本预警体系，发布软件版本缺陷信息和版本预警信息。

第十五条归口管理部门负责与业务支撑部门、信息部门、内审部门、厂商协调信息系统软件版本管理的相关工作。

第二节业务支撑部门职责第十六条版本管理业务支撑部门负责业务类需求的日常收集和集中收集。

第十七条版本管理业务支撑部门负责发起新版本的试运行申请。

第十八条版本管理业务支撑部门负责协助归口管理部门审核新版本发布资料（包括申请、厂家及仿真环境测试报告、版本说明文档、升级方案、测试方案等），并协助归口管理部门开展新版本试运行测试工作。

第十九条版本管理业务支撑部门负责自查并督促其下属机构履行职责，严格执行版本管理相关制度和流程。

第三节信息部门职责第二十条版本管理信息部门负责重大版本发布前的风险评估。

第四节内审部门职责第二十一条版本管理内审部门负责监督和检查版本管理归口管理部门、业务支撑部门、信息部门和厂商是否严格执行版本管理的相关制度与流程。

第五节厂商义务第二十二条信息系统厂商应严格遵守软件版本管理的规章制度、技术规范。

第二十三条信息系统厂商应根据业务发展及运行维护的需要及时更新版本，保证在线运行的软件版本是允许使用的版本。

第二十四条信息系统厂商应配合软件版本归口管理部门进行软件仿真测试，及时提供各类运行维护及仿真测试所需的文件资料和技术咨询，并对这些材料的真实性、可靠性和实时性负责。

在不具备相应仿真测试环境的情况下，厂商有义务提供仿真环境配合开展测试。

第二十五条信息系统厂商应配合进行试运行工作。

厂商应根据版本变更情况选择能够测试所有升级功能点的分支机构，并结合用户量、安全性等的要求向提出试验点建议。

第二十六条信息系统厂商应配合做好信息系统软件版本管理工作，建立本厂家信息系统软件版本管理资料库信息，协助软件版本归口管理部门做好版本预警信息的发布与管理，提供必要的技术资料和技术支持。

第二十七条信息系统厂商应指定专门的版本管理联系人与软件版本归口管理部门衔接，以便配合进行软件的升级实施和及时跟踪处理升级过程中或者升级后出现的各种故障。

第二十八条信息系统厂商有义务在升级过程中按照的要求配合完成各项工作，包括协助软件版本归口管理部门模拟重现升级或试运行期间出现的和软件版本相关的故障。

第二十九条信息系统厂商有义务在工程招标书中，承诺按照版本管理相关制度和流程履行投标方的义务。

第三章版本管理内容与流程第三十条信息系统软件版本分为版本和补丁。

版本是指软件系统中的核心部分发生结构性变化、应用部分新增若干功能而生成的软件版本。

补丁是指软件系统中不涉及核心部分的变化，只是应用部分的故障修复或功能完善而生成的软件版本。

第三十一条版本管理的各项工作必须按照规定的操作流程执行，各相关部门应认真履行本部门的职责，做好部门之间的衔接和协调。

第三十二条版本管理工作内容主要包括需求管理、认证管理、变更管理、评估管理和信息管理。

其中，需求管理是通过收集、整理和分析版本的新特性需求或未修复缺陷，引导厂家新版本开发，确定待认证的版本；认证管理是依据技术规范，对厂家待认证版本的符合性和可用性进行认证，并对已认证版本进行更新或废止管理；变更管理是对生产运行版本变更的技术审核和流程管控；评估管理是对生产运行版本的版本能力、缺陷等方面的评价和管理；信息管理是对全行软件版本信息及版本管理工作各环节输出信息的动态管理，主要包括信息的收集、整合、关联、更新、价值挖掘和全行共享，是版本管理各项工作的基础。

第一节需求管理第三十三条版本需求管理主要分为业务类需求管理和运行维护类需求管理两大类，两大类需求的特点如下：(一) 业务类需求：包括对原有业务模型、业务流程进行变更完善的需求，对新业务模式、新业务功能的支撑需求以及与业务推广能力相关的需求等；(二) 运行维护类需求：包括运维监控类需求、系统软件版本缺陷和问题解决需求等与运行维护工作直接相关的需求；第三十四条运行维护类需求由信息部牵头收集整理，业务类需求由信息部牵头收集整理，最终由软件版本归口管理部门负责进行统一梳理后落实到建设项目中，组织技术规范的修订。

第三十五条需求收集分为两种：日常收集和集中征集。

(一)日常收集：业务类需求由需求提交部门发起，开发中心收集整理，运行维护类需求由运行中心不定期向综合部提交新需求并填写《软件版本需求汇总表》（见附表一）作为附件。

(二)集中征集：在专项治理工作中，由专项治理工作归口管理部门发起、在规定时期内征集各方需求，然后统一汇总整理，向需求归口管理部门提交新需求并填写《软件版本需求汇总表》（见附表一）作为附件。

第二节认证管理第三十六条软件新版本的认证过程包括仿真环境测试和生产环境试运行测试。

第三十七条仿真环境测试主要测试内容包括：版本差异化测试（新增功能测试、功能变更测试、故障修复有效性测试）、新版本回归性验证测试（即原有功能点的测试）、新版本的升级过程测试、性能测试、业务功能测试等。

由厂商自行组织的内部测试也应涵盖上述测试内容。

第三十八条原则上，业务类需求导致的新软件版本由信息部开发中心组织进行仿真环境测试；运行维护类需求导致的新软件版本由信息部运行中心组织进行仿真环境测试。

如果新版本包含以上两方面的需求，则由软件版本归口管理部门统一组织新版本的仿真环境测试。

新版软件正式开始测试前，厂商应向上述部门提交相关技术资料和说明书。

说明书中应包含以下内容：(一)软件版本变更的原因及必要性，新版软件与旧版软件的差异性说明、新增功能说明、新版软件对硬件环境的要求、涉及第三方的软件版本说明；(二)维护手册及有关资料变更部分；(三)新版软件对所在平台及所承载业务的影响以及对相连的系统的影响以及相关接口（包括第三方接口）变化的说明文档；(四)新版本的历史应用情况，已知缺陷、隐患或与需求（含商务需求、设计需求、业务需求、运维需求等）不符之处并列出解决方案；(五)对新版软件进行测试的测试方案，包括测试所用的软硬件环境、测试项目及具体测试方法步骤、测试环境要求及预期结果；(六)详细的升级方案及针对各种异常情况的应急预案，升级失败的应急回退方案等；(七)厂商内部测试情况报告。

第三十九条对于信息系统软件新版本的仿真环境测试原则上应在提供的仿真环境中进行，对不具备测试条件的，厂商须提供相应的仿真环境。

厂商应在测试前，配合进行仿真环境的准备工作。

仿真环境应能对版本进行尽量完整的测试。

第四十条对于仿真环境下无法测试的测试用例，经归口管理部门审核后可在试运行阶段再进行测试。

第四十一条因版本质量问题导致不能完成测试或测试报告结论为不通过的，需由厂商修改问题后重新测试。

测试完成后测试单位应向软件版本归口管理部门提交新版本的测试报告《XX系统XX版本测试报告》（见附表三）。

测试报告文档应包含内容：(一)测试原因(二)测试环境拓扑图(三)测试所需软硬件及其他工具（可选）(四)基本连接和配置（可选）(五)测试项目及具体测试方案(六)测试结论（包含测试情况如何，该版本功能是否完善，是否符合申请内容以及升级建议等）第四十二条对于测试中不满足要求的项目，厂商应给出相应的改进承诺和时间表。

第四十三条完成版本测试后，业务支撑部门应向软件版本归口管理部门提出试运行建议申请，并填写《XX系统XX版本试运行建议表》（详见附表四），由软件版本归口管理部门发布新版本的试运行通知。

第四十四条信息系统的试运行升级申请应至少在升级日期前七个工作日提交到软件版本归口管理部门，软件版本归口管理部门在收到升级申请后的四个工作日内完成批复，试运行准备时间不少于三个工作日。

在紧急情况下，试运行申请至少提前四个工作日提交到软件版本归口管理部门，软件版本归口管理部门在收到申请后两个工作日内完成批复，试运行准备时间不少于两个工作日。

升级方案所需要的内容具体参见第三章第三节变更管理。