内部使用 IT外包管理制度 版本号状态拟稿和修改时间说明 V1.0新建 2021/02/10 V2.0修改 2023/4/2第一章总则 第一条目的 为了加强北京思度文库股份有限公司（以下简称“公司”） IT采购与外包 服务的信息安全管理，明确 IT外包的范围，指导 IT采购与外包服务合同签订 和外包服务实施过程监督管理，防范和控制公司 IT采购与外包服务中的信息安 全风险，制定本制度。 第二条适用范围 本制度适用于公司 IT采购与外包服务的安全管理。 第二章术语定义 第三条IT采购 指公司对外购买软硬件产品，用于公司的信息化建设。 第四条IT外包 指公司将信息系统的规划、开发、建设、运行、维护和监控等相关服务， 委托给合作伙伴或外部供应商。 第五条 供应商 指为公司提供软硬件产品，或承接公司 IT外包服务工作的企业。第三章岗位职责 第六条采购管理部门 负责管理符合公司要求的 IT产品与服务供应商。 第七条归口管理部门 负责IT采购与外包服务协议的内容制订和合同签订和在项目执行过程中对 供应商人员和服务进行监督。 第四章管理内容 第八条不可外包工作 直接影响公司核心业务运行的 IT服务工作不能外包，如核心生产系统的运 维管理不可外包。 第九条供应商的选择 采购管理部门根据公司供应商管理办法从资金情况、人员情况，评估和选 择合适的供应商。采购管理部门在对供应商进行评估和选择时应考虑供应商的 信息安全资质，审核供应商资质信息真实性：供应商提供的产品和服务是否符 合国家法律法规和各级监管机构的监管要求；供应商是否有信息安全违规事件 历史；第十条供应商清单 采购管理部门及时根据实际情况维护和更新供应商清单。 第十一条合同签订 归口管理部门与供应商签订合同时，应注意以下内容： (一)应要求供应商对外包服务人员进行背景调查，并对调查结果负责； (二)应有明确的保密条款，或包含《保密承诺函》作为合同附件。必要 时还应要求外包人员签署保密承诺； (三)应要求供应商遵守 XXXX公司各项相关的管理规定，包含《信息安 全承诺函》作为合同附件； (四)应明确项目过程中的信息安全管理要求，尤其是出现信息安全相关 问题时，对处理措施和流程的要求，如异常事件的处理流程、响应机制等； (五)应明确项目最终交付物要达到的安全标 准，如信息系统的安全 功能 服务的连续性等，并将 此作为验收的内容之一； (六)应明确供应商 所提供产品及相关服务的 知识产权归属。 第十二条实施过程管理 实施过程中，归口管理部门应监督供应商在服务执行过程中对信息安全要 求的遵从情况，对于违 反信息安全要求的行为应及时进行 纠正。情节严重者还 应及时通知采购部门，作为采购部门考核供应商的 参考依据。 第十三条风险管理 归口管理部门应定 期对IT采购与外包服务 存在的风险进行评估，并对 高风 险情况采 取控制措施。可能的风险包 括但不限于： (一)软件开发的安全 漏洞； (二)知识产权的非法转移； (三)为公司提供服务的关 键技术人员的 变动；(四)未经许可将服务 转包或分包。 第十四条驻场外包人员管理 归口管理部门应安 排专人负责驻场外包人员的安全管理，对 驻场外包人员 的信息安全行为进行监督管理，包 括但不限于： (一)要求外包人员遵从员工信息安全 手册的信息安全管理要求； (二)明确外包人员的工作职责，采 取相应措施限制其对 非授权信息资源 的访问权限； (三)限定驻场外包人员的工作 区域，未经授权不得随意访问其他区域； (四)限定驻场外包人员的工作时间，如 需在非工作时段驻场工作，需要 提前进行申请，并经过相关管理部门 批准后方可进行。 第五章附则 本规定由公司人力资源部和信息安全部负责 解释和修订。 本规定自发布之日起执行。