运维服务质量管理制度完整优秀版.docx
《运维服务质量管理制度完整优秀版.docx》由会员分享，可在线阅读，更多相关《运维服务质量管理制度完整优秀版.docx（38页珍藏版）》请在冰豆网上搜索。
运维服务质量管理制度完整优秀版
运维服务质量管理制度
1目的
为确保公司提供的运维服务满足客户所需的服务质量，寻找公司服务实施过程中存在的问题和缺陷，为服务改进活动的有效实施提供目标和方向，保证组织的服务质量稳定可控并持续提升，特制订本制度。
2适用范围
本过程适用于运维服务实施全过程的检查与审计。
3职责
3.1公司高层
（1）负责审批年度服务管理计划。
（2）定期对服务实施过程进行监控和管理，对服务实施过程的改进进行审批。
（3）负责公司运维服务体系的管理评审，以确保运维服务能力的适应性和有效性。
3.2质量管理部
（1）负责公司运维服务体系的定期内部评审，对内审中不达标项的处理进行跟踪记录。
（2）负责运维服务的组织级质量保证。
（3）对公司运维服务业务的质量进行监控。
（4）负责组织级客户满意度的调查。
（5）负责改进措施的监督及检查。
3.3技术服务中心
（1）全面管理公司运维服务业务，负责制定总体的服务质量管理计划。
（2）监控运维服务质量,定期组织质量分析会议，对运维业务开展情况进行评估。
（3）对重大投诉进行原因分析、处理和回访。
（4）对每年运维服务报告进行审查。
3.4运维服务部
（1）负责对所管辖的业务质量计划的制定。
（2）负责对所管辖的业务进行质量控制,对质量管理部和服务台提供的客户服务质量调查结果进行分析和处理。
（3）定期组织召开质量分析会。
（4）跟踪客户投诉的处理过程。
（5）定期编写总结报告，持续改进完善维护服务能力和质量。
3.5服务台
（1）负责监控服务的处理过程。
（2）对每个处理事件进行客户回访。
（3）接收和处理客户投诉，重要的客户投诉信息及时反馈给相关部门处理。
（4）负责保证备品备件供应的及时性和完好性。
（5）负责服务数据的统计，并报送给相关部门。
3.6运维服务人员
包括项目经理、技术支持工程师、现场工程师等相关人员，按照运维岗位职责的要求、工作流程及质量要求，实施具体运维服务任务，并将过程形成记录。
4质量管理内容
4.1高层的质量管理活动
（1）制定管控指标:
根据市场情况、技术发展和公司自身变化，制定并周期性的评审公司运维业务的方针策略和目标，评审服务目录、管控目标，评审组织结构和管理制度
（2）管理评审:
管理评审的目的是通过对公司服务体系运行的适宜性、充分性和有效性进行评价，确定公司服务体系的改进方向。
（3）服务改进规划：
根据市场情况、技术发展和公司自身变化，周期性的评审服务工作中存在的问题，并评估批准整改措施；评审现有流程执行的差距和改进措施，更好地适应服务需求；通过服务改进管理，提高运维服务工作的适应性和管理水平。
4.2质量管理部的质量管理活动
（1）组织级质量月报：
通过定期或事件触发地收集组织内所有服务项目的质量情况，进行汇总分析形成质量月报，并送达到组织内所有相关人员（包括高层管理人员）。
（2）服务质量管控指标的分析：
通过阶段性（月度、季度）的服务工作总结，对公司服务业务发展过程的问题和偏差做出有效评估，提出改进措施和建议。
（3）内审和管理评审：
公司质量管理部负责组织每年一到两次的内审和每年一次的管理评审，来评价公司的运维服务能力的适应性和有效性。
（4）客户满意度调查：
公司质量管理部负责每年一次对客户进行满意度调查，并对调查结果进行分析和总结，对相关的调查结果进行分析，及时反馈给相关部门和责任人，对重大质量问题进行跟踪和督促。
4.3运维部门的质量管理活动
（1）签订服务协议：
运维服务部门经理协助销售部门与客户签订服务级别协议SLA（或包SLA服务合同）。
（2）质量计划：
运维服务部门经理或项目经理制定服务项目的质量保证计划，以确保服务目标的实现，服务风险的降低。
（3）服务执行：
从项目开始实施至结束，项目经理监督、控制服务过程中的每一个环节，包括事件、配置、变更、发布、信息安全，按合同要求形成服务报告，在报告中详细列明SLA达成情况。
服务台管理员及时回访客户，调查服务满意度。
（4）质量分析：
运维服务部门经理对本部门的各项目质量进行管理，包括数据统计、分析、预警、跟踪。
检查各项运维服务指标达成情况，并与SLA的要求进行对比，对未达标项提出改进措施，形成项目质量分析报告。
（5）质量改进：
由技术服务中心总经理组织相关人员，通过阶段性（月度、季度）的服务工作总结，对公司服务业务发展过程的问题和偏差做出有效评估，并进行调整和优化，及时了解客户的需求，并根据客户的意见或建议进行改进，保证年度运维服务目标的实现。
5运维服务质量管理要求
5.1客户满意度调查要求
（1）客户满意度调查工作由服务台和公司质量管理部完成，其中，服务台负责项目级客户满意度调查，质量管理部负责公司级客户满意度调查。
（2）项目级的客户满意度调查是对每个已解决的事件在24小时内进行回访，确认工程师是否成功解决问题，了解客户对处理结果的满意度。
（3）公司级客户满意度调查应每年最少进行一次，采用问卷填写，客户满意度调查内容必须与SLA（或服务合同）内容相一致，应注意调查样本的比例及覆盖范围，以降低抽样的风险。
5.2项目的质量管理要求
（1）项目经理必须严格按照SLA（或服务合同）的要求，为客户提供运维服务。
同时及时监控服务过程，以确保达到SLA的要求。
并定期向客户和部门总经理提交服务报告。
（2）服务台管理人员及时对已完成的项目进行客户回访，以获取客户的满意度评价，同时形成满意度报告提交给部门总经理。
（3）服务台经理根据SLA（或服务合同）制定指标体系，按月进行指标统计，形成质量报告，报送给相关部门及项目经理。
（4）运维部门经理每月须召开一次质量分析会，回顾和总结月度质量计划完成情况，提出下阶段的改进措施，并对相关人员进行指标考核。
5.3体系的质量管理要求
内审要求
（1）内审要求每年度执行一到两次，安排在每年年中、年底进行，可根据公司实际情况策划审核频次。
由IT运维质量部来负责组织内审计划、实施和报告，但必须得到管理者代表的批准。
（2）内审的范围是运维服务涉及的所有部门，包括运维服务的主要实施部门和支持部门。
内审要对GB/T28827.1-2021中人员、资源、技术和过程都进行审核。
（3）内审需要制订内审计划、检查表，内审员在审核过程中要详细记录审核内容；审核完成后需要对不合格项进行整改；编写内审报告。
管理评审要求
（1）管理评审要求每年必须执行一次，由管理者代表组织实施。
（2）管理评审的参加人员要包括：
公司领导、管理者代表、各运维服务部门的负责人、质量部负责人、人力资源部负责人、财务部负责人、运维管理体系负责人、技术研发负责人、行政负责人等。
（3）管理评审的主要内容为：
年度能力管理计划的实施情况汇报、各项KPI的完成情况、客户满意度调查汇报、各运维服务部门的工作汇报、运维服务管理体系内审报告、客户投诉报告、持续改进情况等。
管理评审需要先制定管理评审计划，收集相关材料，根据管理评审结果制定管理评审报告，如果在管理评审上发现问题，需要对问题进行跟踪、
6相关文件
《月度总结报告》
《内部审核报告》
《管理评审报告》
《客户满意度调查表》
7支持规程
Ø运维服务实施方案
Ø服务能力管理改进计划
Ø服务级别管理程序
Ø服务报告管理程序
Ø事件管理程序
Ø问题管理程序
Ø配置管理程序
Ø变更管理程序
Ø发布管理程序
Ø信息安全管理程序
Ø知识库管理程序
Ø备品备件管理规定
Ø客户沟通机制
XXXX公司发布
XXXX工业有限责任公司发布
安全运维管理制度
XX
1目录
2前言
为了保护XXXXXX信息网络系统的安全，促进信息化建设的顺利进行，保障XXXX信息化的应用和发展，根据公安部发布的《计算机信息网络国际联网安全保护管理办法》、国家XX专卖公司发布的《XX行业计算机信息网络安全保护规定》，制定本规定。
本标准由XXXXXX提出
本标准由XXXXXX信息管理部归口
本标准起草部门：
信息管理部
本标准主要起草人：
XXX
1.目的
为了保障XXXXXX业务的正常开展，确保信息系统的正常运行，规范信息系统日常操作及维护阶段安全要求，特制订此管理制度。
2.适用范围
本制度适用于XXXXXX信息管理部的所有信息系统管理和维护人员。
3.信息系统日常操作及维护管理
所有信息系统内的资源，包括主机操作系统、应用系统、网络设备和安全设备，信息管理部都应指派专门的信息技术管理员和职守员，进行日常操作和维护的管理工作，制定《信息系统日常操作及维护管理责任表》，责任到人，保证信息系统的正常运行。
信息系统实行7×24小时运行。
在法定工作日的工作时间应安排具备相应专业技术水平的人员进行5×8小时现场值班，制定《信息系统维护值班表》，于每月初定期发布，遇当月有重大节假日，应根据实际情况提前安排值班表，并通知到值班人员。
信息管理部信息系统第三方职守员应实行主、副岗备用制度。
当主岗不在时，第三方公司应指派具备主岗同等专业技术水平的副岗，代替其执行相关工作。
所有信息系统第三方职守员应每天向对应主管的信息管理部信息技术管理员或信息安全管理员提交工作日报。
第三方职守员对信息系统的所有操作都必须进行记录，日常维护操作应在工作日报中进行说明；对信息系统进行较大操作或修改前，必须向所对应的信息管理部信息技术管理员或信息安全管理员提交修改方案及申请。
1.
2.
3.
3.1.操作系统日常操作及维护
（1）必须严格管理操作系统账号，定期对操作系统账号和用户权限分配进行检查，系统职守员至少每月检查一次，并报信息技术管理员审核，删除长期不用和废弃的系统账号和测试账号。
（2）必须加强操作系统口令的选择、保管和更换，系统口令做到：
●长度要求：
8位字符以上；
●复杂度要求：
使用数字、大小写字母及特殊符号混合；
●定期更换要求：
每90天至少修改一次。
（3）订阅计算机紧急响应机构的公告或第三方专业安全机构提供的安全漏洞信息的相关资源，及时提醒信息管理部信息技术管理员和信息安全管理员任何可能影响系统正常运行的漏洞。
（4）信息安全管理员应指定安全职守员专门负责补丁更新工作，并根据《系统漏洞发现及补丁更新流程》完成补丁更新工作。
（5）安全职守员需定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每周一次，重大安全漏洞发布后，应在3个工作日内进行上述工作。
为了防止网络安全扫描以及病毒查杀对网络性能造成影响，应根据业务的实际情况对扫描时间做出规定，需安排在非业务繁忙时段。
信息技术管理员应为每个系统指定专门的系统职守员，由系统职守员对所负责的服务器进行检查，至少每天一次，确保各系统都能正常工作；监控系统的CPU利用率、进程、内存和启动脚本等使用情况。
（6）当系统职守员监测到以下几种已知的或可疑的信息安全问题、违规行为或紧急安全事件系统时，应立即报告信息技术管理员，同时采取控制措施，并记录《系统异常故障记录单》：
a）系统出现异常进程；
b）CPU利用率，内存占用量异常；
c）系统突然不明原因的性能下降；
d）系统不明原因的重新启动；
e）系统崩溃，不能正常启动；
f）系统中出现异常的系统账户；
g）系统账户口令突然失控；
h）系统账户权限发生不明变化；
i）系统出现来源不明的文件；
j）系统中文件出现不明原因的改动；
k）系统时钟出现不明原因的改变；
（7）系统日志中出现非正常时间登录，或有不明IP地址的登录；
（8）系统职守员对操作系统的任何修改，都需要进行备案，对操作系统的重大修改和配置（如补丁安装、系统升级等操作）必须向信息技术管理员提交系统调整方案，由信息技术管理员审核通过后方可实施。
操作系统的配置和修改必须在非业务时间进行，重大调整必须提前准备应急预案和回退方案。
（9）保证操作系统日志处于运行状态，系统值守员应定期对日志进行审计分析，至少每月审计一次，重点对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时及时向信息技术管理员报告。
（10）系统职守员应设置操作系统日志归档保存功能，历史记录保持时间不得低于一年。
3.2.应用系统安全日常操作及维护
（1）新的应用系统在正式上线运行前应由信息管理部信息安全管理员进行安全检查，检查通过方能正式运行使用。
严禁在不检查或检查未通过的情况下将应用部署到正式环境中。
检查的内容包括：
a）检查应用系统的软件版本；
b）检查应用系统软件是否存在已知的系统漏洞或者其它安全缺陷；
c）检查应用系统补丁安装是否完整；
d）检查应用系统进程和端口开放情况，并登记《系统进程及端口开放记录表》备案；
e）应用系统安装所在文件夹是否为只读权限；
f）检查是否开启应用系统日志记录功能，并启用日志定期备份策略。
（2）应用系统上线运行后，应经过一段时间的试运行，在试运行阶段，应严密监控其运行情况；当发现应用系统运行不稳定或者出现明显可疑情况时，应立即将事件报告IT服务平台，必要时应启动应用系统应急预案。
（3）应用系统经试运行正式上线运行后，信息技术管理员应指派专门的系统职守员，由职守员与开发测试人员进行系统交接。
（4）应用系统软件安装之后，应立即进行备份；在后续使用过程中，在应用系统软件的变更以及配置的修改前后，也应立即进行备份工作；确保存储的软件和文档都是最新的，并定期验证备份和恢复策略的有效性。
（5）必须严格管理应用系统账号，定期对应用系统账号和用户权限分配进行检查，至少每月审核一次，删除长期不用和废弃的系统账号和测试账号。
（6）必须加强应用系统口令的选择、保管和更换，系统口令做到：
●长度要求：
8位字符以上；
●复杂度要求：
使用数字、大小写字母及特殊符号混合；
●定期更换要求：
每90天至少修改一次。
（7）信息安全管理员应指定安全职守员专门负责应用系统补丁更新工作，并根据《系统漏洞及补丁更新流程》完成应用系统补丁更新工作。
（8）系统职守员应对所负责的应用系统进行检查，至少每天一次，确保各系统都能正常工作，当发现应用系统运行不稳定或者出现明显可疑情况时，应立即将事件报告IT服务平台，发生重大安全事件时，应立即报告信息管理部信息安全管理员，并记录《系统异常故障表》，必要时应启动应用系统应急预案。
（9）系统职守员对应用系统的任何修改，都需要进行备案，对应用系统的重大修改和配置（如补丁安装、系统升级等操作）必须向信息技术管理员提交系统调整方案，由信息技术管理员审核通过后方可实施。
应用系统的配置和修改必须在非业务时间进行，重大调整必须提前准备应急预案和回退方案。
（10）保证各应用系统的系统日志处于运行状态，系统值守员应定期对日志进行审计分析，至少每月审计一次，重点对登录的用户、登录时间、所做的配置和操作做检查。
（11）系统职守员应设置应用系统日志归档保存功能，历史记录保持时间不得低于一年。
3.3.网络及安全设备日常操作及维护
1.
1.1.
1.2.
1.
1.1.
1.2.
1.
2.
3.
3.1.
3.2.
3.3.
3.3.1.网络及安全设备管理
（1）必须严格管理设备系统账号，定期对设备系统账号和用户权限分配进行检查，至少每月审核一次，删除长期不用和废弃的用户账号。
（2）必须加强设备系统口令的选择、保管和更换，设备口令做到：
●长度要求：
8位字符以上；
●复杂度要求：
使用数字、大小写字母及特殊符号混合；
●定期更换要求：
每90天至少修改一次。
（3）对网络和安全设备的管理必须经过严格的身份认证和访问权限的授予，认证机制应综合使用多认证方式，如强密码认证+特定IP地址认证等。
（4）网络和安全设备的用户名和密码必须以加密方式保存在本地和系统配置文件中，禁止使用明文密码保存方式。
（5）网络和安全设备的配置文件，必须由负责此设备的职守员加密保存，由信息技术管理员加密留档保存，职守员和信息技术管理员必须确保配置文件不被非法获取。
（6）对网络和安全设备的远程维护，建议使用SSH、S等加密管理方式，禁止使用Telnet、等明文管理协议。
（7）限定远程管理的用户数量，每设备管理用户不能超过5个；限定远程管理的终端IP地址，设置控制口和远程登录口的超时响应时间，让控制口和远程登录口在空闲一定时间后自动断开，超时响应时间最多不能超过3分钟。
（8）对网络和安全设备的管理维护，尽可能避免使用SNMP协议进行管理，如果的确需要，应使用V3版本代替V1、V2版本，并启用MD5等校验功能；SNMP协议的CommunityString字串长度应大于12位，并由数字、大小写字母和特殊字符共同组成；启用SNMP协议后，必须指定SNMP服务器的地址。
（9）信息技术管理员应为每个网络和安全设备指定专门的职守员，由职守员对所负责的网络和安全设备进行账户、口令、账户认证方式、密码存储方式、远程管理方式等项目的检查，具体检查标准请参见4.3.1章节中的第1至8条制度；至少每月检查一次，确保各网络和设备都能正常工作。
（10）网络和安全设备职守员应定期对所负责的设备进行性能和故障检查，至少每天一次，监控设备的CPU、内存、硬盘使用率和网络接口状态等使用情况，确保各设备都能正常工作，如发现异常情况，应立即报告信息管理部信息安全管理员，同时采取控制措施，并记录《系统异常故障表》。
（11）网络和安全设备职守员对网络和安全设备的任何修改，都需要进行备案，对设备的重大修改和配置（如路由调整、系统升级等）必须向信息技术管理员提交设备调整方案，由信息技术管理员审核通过后方可实施。
设备的配置和修改必须在非业务时间进行，重大调整必须提前准备应急预案和回退方案。
（12）开启网络和安全设备日志记录功能，并将日志同步到集中网管系统上，系统值守员应定期对日志进行审计分析，至少每月审计一次，重点对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时及时向信息技术管理员报告。
（13）网络和安全设备职守员应设置定期对设备日志进行归档保存，历史记录保持时间不得低于一年。
3.3.2.网络设备安全配置
以下网络设备的安全维护制度，均为Cisco路由器和交换机操作命令为例。
（1）启用enablesecret代替enablepassword，从而对配置文件中的password进行加密，防止用户口令泄密。
（2）应关闭banner显示，远程拨入维护方式，以及不需要开放的服务，如tcp-small-servers，udp-small-servers等。
（3）在接入层交换机中，对于不需要用来进行第三层连接的端口，通过设置使其属于相应的VLAN，应将所有空闲交换机端口设置为Disable，防止空闲的交换机端口被非法使用。
（4）对于交换机做流量镜像的情况，应充分评估镜像的作用以及因为镜像造成的流量增加对交换机性能的影响，做镜像后交换机后的整体性能（如cpu、内存等）不能超过60%。
（5）关闭非必需的网络协议。
对于CISCO路由器，禁止用户侧接口的CDP协议功能。
（6）对于交换机，防止VTP攻击，应设置口令认证，口令强度应大于12位，并由数字、大小写字母和特殊字符共同组成。
（7）限制SYN包流量带宽，控制ICMP、TCP、UDP的连接数，每秒会话连接数不超过2000PPS。
3.3.3.安全设备配置规范
1
2
3
4
4.1
4.2
4.3
4.3.1
4.3.2
4.3.3
（1）防火墙设备
1）防火墙应部署在网络边界处，如XX公司与各直属单位，公司与互联网连接处等网络连接处进行风险和攻击隔离。
2）防火墙应保证正常应用的连通性，保证网络和应用系统的性能不因部署防火墙有明显下降，特别是一些重要业务系统。
3）尽量保持防火墙规则的清晰与简洁，并遵循“默认拒绝，特殊规则靠前，普通规则靠后，规则不重复”的原则，通过调整规则的次序进行优化。
4）防火墙各区域的路由设置应合理，严格禁止任何旁路路由。
5）配置或更改防火墙策略前，必须对防火墙进行配置备份，设备职守员必须向信息技术管理员提交防火墙策略调整方案，由信息技术管理员审核通过后方可实施。
防火墙的配置和更改必须在非业务时间进行，重大调整必须提前准备应急预案和回退方案。
6）配置或更改防火墙策略时，必须根据源地址、目的地址、目标端口、时间、策略行为这五个基本元素进行设计，确定每个元素的具体数值。
尽量避免使用Any、All等全值参数进行允许访问策略配置。
如：
各直属单位、下属卷烟集团和下属卷烟分厂与XXXX连接的防火墙，必须针对应用以及访问主机对IP地址、开放服务端口进行访问策略设置；互联网防火墙必须严格禁止从INTERNET主动对内网发起访问请求，开放DMZ区服务器的访问，必须根据所提供业务开放固定端口，如web服务器开放TCP80端口，邮件服务器开放TCP25、110等。
7）配置或更改防火墙策略后，必须对网络和业务的连通性进行逐一测试，保证信息系统的可用性。
8）临时性增加的访问控制规则在使用完成后，应及时删除。
9）安全职守员应定期对防火墙的访问控制规则进行检查和必要调整，至少每月执行一次。
（2）网络版防病毒软件
1）信息管理部对防病毒软件的部署应该做到统一规划，统一部署，统一管理。
2）安全职守员应根据XXXX终端和主机所在部门进行逻辑分组，并根据终端和主机的工作时间，制定扫描策略，建议每周扫描一次，在中午休息时间启动病毒扫描，避免在业务繁忙时执行。
3）信息管理部防病毒软件必须统一进行病毒特征库的更新，至少每周进行一次。
重大安全漏洞和病毒发布后，应立即进行更新，并在3个工作日内完成所有终端和主机的扫描工作。
4）安全职守员应及时了解防病毒厂商公布的计算机病毒情报，关注新产生的、传播面广的计算机病毒，并了解它们的发作特征和存在形态，及时发现计算机系统出现的异常是否与新的计算机病毒有关。
5）安全职守员应及时了解各系统厂商所发布的漏洞情况，对于很可能被病毒利用的远程控制的漏洞要及时提醒用户安装相关补丁。
6）安全职守员负责防病毒软件的总体维护，每天定时登陆防病毒总控制台，检查XXXX和各地市公司防病毒软件服务的运行状态，病毒实时监测和扫描状况以及防病毒服务器的运转情况，发现异常马上采取控制措施，如发现大规模病毒爆发，应及时上报信息安全管理员。
7）安全职守员有责任维护各应用服务器及终端防病毒系统的正常运转，也需要定期对防病毒软件的升级情况进行监控。
如果遇到问题或者病毒报警，应采取控制措施并及时上报信息安全管理员。
8）安全职守员应至少每次/月统计病毒报告，以分析历史病毒事件，加强安全策略防范。
9）新入网的终端及主机，在安装完操作系统后，要在第一时间内安装信息管理部统一部署的防病毒软件；没有安装统一防病毒软件的Windows系统不得接入公司网络；终端及主机不得私自安装非统一部署的防病毒软件。
（3）终端安全管理软件
1）信息管理部对终端安全管理软件的部署应该做到统一规划，统一部署，统一管理。
2）安全职守员应根据XXXX终端和主机所在部门进行逻辑分组，以便于统一管理。
3）安全职守员负责终端安全管理软件的总体维护，每天定时登陆终端安全管理总控制台，检查XXXX和各地市公司终端安全管理软件服务的运行状态，以及终端违规状况，发现异常马上采取控制措施，应及时上报信息安全管理员。
4）安全职守员应根据终端和XXXXXX的实际安全需求来制定终端控制策略，策略下发前，必须进行不少于两天的策略测试运行工作，必须在测试成功后才能对终端进行应用。
5）新入网的终端及主机，应及时安装信息管理部统一部署的终端安全管理软件；没有安装统一终端安全管理软件的Windows系统不得接入公司网络；终端及主机不
升级会员 