更换服务安排
先把交接说清楚
交接不只是交出一组密码 先确认公司拥有哪些帐户、设备与纪录 再按营运需要安排存取、验收及后续跟进 资料未齐也可以先查询
转换服务
先有一张清楚的清单
先了解现有供应商管理甚么、哪些地方欠清楚 以及企业最想改善的问题 这份清单用来准备讨论 不是安全评估结果
- 准备续约或比较服务方案 先厘清目前包括甚么
- 保留合适的现有安排 把有待改善的责任分清楚
- 先找出欠缺资料 再商讨时间与交接步骤
01帐户与管理权限
准备系统名称、负责人及存取状态 不要提供密码或验证码
帐户与管理权限
准备系统名称、负责人及存取状态 不要提供密码或验证码
列出电邮、网域、云端平台、防火墙及备份系统的管理帐户 确认公司内的授权人、复原联络方式及供应商存取情况
02设备、授权与到期日
资料未齐可标示「待查」 不用先作更换或终止决定
设备、授权与到期日
资料未齐可标示「待查」 不用先作更换或终止决定
整理设备、软件授权、互联网线路及服务的拥有者、到期日和支援状态 租用设备、续约或终止安排 按现有合约确认
03重要资料与复原安排
整理备份范围、检查纪录及可提供的测试结果
重要资料与复原安排
整理备份范围、检查纪录及可提供的测试结果
确认哪些系统要优先恢复、备份位置由谁管理 以及最近一次成功还原测试 只有备份完成通知 未足以说明实际复原能力
04设定文件与未完成事项
先列明文件是否存在、保管人及问题概况
设定文件与未完成事项
先列明文件是否存在、保管人及问题概况
整理必要的网络、远端接入及系统文件 列出已知问题、例外设定与正在跟进的工作 详细设定另行商讨安全交接方式
05营运时段与供应商依赖
整理重要系统、营运限制及已知联络角色
营运时段与供应商依赖
整理重要系统、营运限制及已知联络角色
说明哪些业务不能中断、可接受的维护时段 以及 ERP、会计、诊所或生产系统需要哪些供应商配合
06验收与后续权限覆核
确认谁负责验收 以及哪些结果仍待验证
验收与后续权限覆核
确认谁负责验收 以及哪些结果仍待验证
变更前约定检查项目、回复安排及负责人 交接后核对服务与纪录 再按批准程序处理不再需要的权限 并保留待办清单
实际交接时间、停机影响及工作范围 视乎现有环境、授权、文件与供应商配合而定 此清单不能保证零中断或完整安全
把常见疑问先说清楚
一定要先终止现有供应商的合约吗？
不需要先作终止决定 先分清要保留、协作或交接的工作；通知期、终止及设备归还 按现有合约安排 改变权限前 先确认责任与授权
现有设备可否继续使用？
先检视支援状态、相容性、设定与风险 再区分可保留、需调整或建议更换的设备 新增设备与授权费用 应在决定前列明
现有供应商掌握管理帐户 如何开始？
先整理系统名称、公司内的授权人及已知存取情况 按合约与授权程序取得必要资料 初次查询不要提供密码或复原验证码
文件不完整 是否要等齐才查询？
可以先从已知资料开始 标示欠缺文件及可能的保管人 不要把未知项目当作已验证 实际范围与时间取决于可取得的证据、权限及供应商配合
公开指引与延伸阅读
以下资料供一般准备及延伸阅读 来源不代表 GDMME 的合作、认证或背书；适用范围与发布日期请以原文为准
- 资讯安全网：资讯科技服务外判保安
外判后仍须管理供应商的存取权限 并清楚保留企业的资料保护责任
- 资讯安全网：备份及复原
备份安排应包括资产范围、负责人、纪录检查及实际复原测试
- 资讯安全网：持续业务运作规划
先找出重要业务、可接受的中断时限及复原次序 再制定和测试应变安排
由最想改善的地方开始
人数、主要系统及简述现况已足够 不需要在初次查询提交密码、完整设定或个人资料档案