22080-2016-ISO27001-2013信息安全管理体系第三方服务管理工作指南

第三方服务管理工作指南

目录

1 范围 (2)

2 规范性引用文件 (2)

3 职责 (2)

4 管理内容和要求 (3)

4.1 第三方服务的确定 (3)

4.2 对第三方服务的监督和评审 (3)

4.3 第三方服务的变更管理 (4)

4.4第三方人员及外包商安全管理 (4)

4.5供应商协议中的安全 (5)

4.6 信息和通信技术供应链 (6)

第三方服务管理工作指南

1 范围

适用于公司信息安全第三方服务管理活动,包括第三方确定过程、第三方的服务安全控制措施、第三方的服务监督和评审方法、第三方的变更管理。为加强对第三方服务提供商（合作商）的控制，减少安全风险，防范公司信息资产损失，特制定本程序。

2 规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

《信息技术安全技术信息安全管理体系要求》（GB/T 22080-2016/ISO/IEC 27001:2013）

3 职责

3.1 商务采购部

负责统一管理第三方服务的控制活动，负责确定合格的第三方服务商。

3.2 各相关部门

a) 与第三方服务商签订服务合同和保密协议；

b) 负责对第三方服务商的服务进行安全控制；

c) 负责定期对第三方服务商进行监督和评审。