更換服務安排
先把交接說清楚
交接不只是交出一組密碼 先確認公司擁有哪些帳戶、設備與紀錄 再按營運需要安排存取、驗收及後續跟進 資料未齊也可以先查詢
轉換服務
先有一張清楚的清單
先了解現有供應商管理甚麼、哪些地方欠清楚 以及企業最想改善的問題 這份清單用來準備討論 不是安全評估結果
- 準備續約或比較服務方案 先釐清目前包括甚麼
- 保留合適的現有安排 把有待改善的責任分清楚
- 先找出欠缺資料 再商討時間與交接步驟
01帳戶與管理權限
準備系統名稱、負責人及存取狀態 不要提供密碼或驗證碼
帳戶與管理權限
準備系統名稱、負責人及存取狀態 不要提供密碼或驗證碼
列出電郵、網域、雲端平台、防火牆及備份系統的管理帳戶 確認公司內的授權人、復原聯絡方式及供應商存取情況
02設備、授權與到期日
資料未齊可標示「待查」 不用先作更換或終止決定
設備、授權與到期日
資料未齊可標示「待查」 不用先作更換或終止決定
整理設備、軟件授權、互聯網線路及服務的擁有者、到期日和支援狀態 租用設備、續約或終止安排 按現有合約確認
03重要資料與復原安排
整理備份範圍、檢查紀錄及可提供的測試結果
重要資料與復原安排
整理備份範圍、檢查紀錄及可提供的測試結果
確認哪些系統要優先恢復、備份位置由誰管理 以及最近一次成功還原測試 只有備份完成通知 未足以說明實際復原能力
04設定文件與未完成事項
先列明文件是否存在、保管人及問題概況
設定文件與未完成事項
先列明文件是否存在、保管人及問題概況
整理必要的網絡、遠端接入及系統文件 列出已知問題、例外設定與正在跟進的工作 詳細設定另行商討安全交接方式
05營運時段與供應商依賴
整理重要系統、營運限制及已知聯絡角色
營運時段與供應商依賴
整理重要系統、營運限制及已知聯絡角色
說明哪些業務不能中斷、可接受的維護時段 以及 ERP、會計、診所或生產系統需要哪些供應商配合
06驗收與後續權限覆核
確認誰負責驗收 以及哪些結果仍待驗證
驗收與後續權限覆核
確認誰負責驗收 以及哪些結果仍待驗證
變更前約定檢查項目、回復安排及負責人 交接後核對服務與紀錄 再按批准程序處理不再需要的權限 並保留待辦清單
實際交接時間、停機影響及工作範圍 視乎現有環境、授權、文件與供應商配合而定 此清單不能保證零中斷或完整安全
把常見疑問先說清楚
一定要先終止現有供應商的合約嗎？
不需要先作終止決定 先分清要保留、協作或交接的工作；通知期、終止及設備歸還 按現有合約安排 改變權限前 先確認責任與授權
現有設備可否繼續使用？
先檢視支援狀態、相容性、設定與風險 再區分可保留、需調整或建議更換的設備 新增設備與授權費用 應在決定前列明
現有供應商掌握管理帳戶 如何開始？
先整理系統名稱、公司內的授權人及已知存取情況 按合約與授權程序取得必要資料 初次查詢不要提供密碼或復原驗證碼
文件不完整 是否要等齊才查詢？
可以先從已知資料開始 標示欠缺文件及可能的保管人 不要把未知項目當作已驗證 實際範圍與時間取決於可取得的證據、權限及供應商配合
公開指引與延伸閱讀
以下資料供一般準備及延伸閱讀 來源不代表 GDMME 的合作、認證或背書；適用範圍與發布日期請以原文為準
- 資訊安全網：資訊科技服務外判保安
外判後仍須管理供應商的存取權限 並清楚保留企業的資料保護責任
- 資訊安全網：備份及復原
備份安排應包括資產範圍、負責人、紀錄檢查及實際復原測試
- 資訊安全網：持續業務運作規劃
先找出重要業務、可接受的中斷時限及復原次序 再制定和測試應變安排
由最想改善的地方開始
人數、主要系統及簡述現況已足夠 不需要在初次查詢提交密碼、完整設定或個人資料檔案