P05 生产和服务提供

责任部门：生产部、制造部、服务部门

过程流程

运行策划 ； 生产准备 ； 运行环境 ； 特殊过程确认（适用时）； 生产/服务提供 ； 标识与可追溯性 ； 顾客财产 ； 生产变更

审核要点

生产和服务提供策划
是否根据产品和服务特点确定实施过程及控制要求。
是否明确服务实施的职责、权限及工作接口。
是否明确项目实施的时间、人员、设备、技术及资源要求。
是否根据客户要求、合同及项目特点制定实施方案。
是否识别项目实施过程中的质量、环境、职业健康安全、IT服务及信息安全风险。
对网络安全、系统集成、软件开发、运维等项目，是否明确具体实施步骤及控制要求。
是否根据项目实际情况确定检查、测试、确认、验收等活动。
项目实施过程中发生变化时，是否及时调整实施安排。
________________________________________
服务要求的确认
实施人员是否清楚客户要求和合同要求。
是否能够获得最新版本的项目资料、技术方案和实施要求。
项目开始前是否确认服务范围、工作内容及交付要求。
对系统集成项目，是否明确系统接口、设备、软件及配置要求。
对IT服务项目，是否明确服务级别、响应时间及服务边界。
对信息安全服务项目，是否明确测试范围、授权范围和实施边界。
是否避免超出客户授权范围开展相关安全测试、扫描或其他技术活动。
________________________________________
服务实施过程控制
是否按照规定的方案、程序、作业指导书及技术要求实施服务。
实施人员是否具备相应能力。
使用的设备、软件、工具及技术平台是否适宜。
实施过程中的关键步骤是否得到控制。
是否能够获得必要的技术资料和操作信息。
是否对实施过程中的重要参数、配置及结果进行记录。
发生异常情况时是否及时处理。
服务实施过程是否能够追溯到具体项目、人员和时间。
是否能够证明实际实施内容与合同及项目要求一致。
________________________________________
网络安全及信息系统集成项目
这一部分建议作为AIS的重点审核内容。
是否根据客户现有系统确定集成方案。
是否明确新系统与原有系统之间的接口关系。
是否明确需要集成的硬件、软件及网络设备。
是否明确系统之间的数据流向。
是否明确设备安装、配置、调试及联调要求。
是否对系统兼容性进行验证。
是否对系统集成后的功能进行测试。
是否对系统集成后的安全性进行必要确认。
是否保留系统配置、调试、测试及验收记录。
是否能够证明系统已经按照设计要求完成集成。
对第三方软硬件产品，是否明确双方职责和接口。
对组织自行开发或配置的软件，是否进行相应控制。
系统上线前是否经过必要测试和确认。
系统集成完成后，相关技术资料是否及时更新。
这里尤其适合你明天这样的审核：
不要直接问：
“你们有没有系统集成？”
而是问：
“找一个最近完成的系统项目，我们从客户需求开始看一下，最后系统是怎么交付的？”
然后顺着项目往下走。
________________________________________
软件开发及配置实施
是否按照规定的开发、配置及测试流程开展工作。
开发人员是否按照授权进行工作。
开发环境、测试环境和生产环境是否采取适当控制。
程序源代码是否得到适当管理。
软件版本是否能够识别和追溯。
程序修改是否经过授权。
重要程序修改是否经过测试和确认。
软件上线前是否经过必要验证。
配置文件是否进行版本及权限管理。
是否防止未经授权的软件或程序进入生产环境。
开发人员是否能够按照职责访问相关源代码和开发资源。
项目结束后，相关开发权限是否及时调整。
________________________________________
信息安全控制
项目实施过程中是否识别需要保护的信息。
是否根据实际需要控制人员访问权限。
是否采用账号、密码、权限、日志等措施保护系统。
是否按照最小必要原则分配访问权限。
是否对客户数据和敏感技术资料进行保护。
是否避免通过非必要的平台传递敏感信息。
使用微信、邮件等工具传递信息时，是否采取适当控制。
是否对敏感数据采取脱敏等措施。
项目实施过程中产生的报告、截图、配置文件等是否受到控制。
是否防止客户信息、系统配置及技术资料未经授权传播。
项目结束后是否按照要求处理客户数据及项目资料。
这里实际上可以直接融入你这次RVA给出的反馈：
先问“有没有必要使用额外的信息通信平台”，再考虑“如果必须使用，怎么控制风险”。
这比简单规定“禁止微信”更符合实际。
________________________________________
IT服务运行及维护
是否按照服务要求实施日常运行维护。
是否按照规定进行巡检、监控、维护和故障处理。
是否明确服务响应及问题处理流程。
是否对服务请求、故障及事件进行记录。
是否能够根据服务优先级及时响应。
重要故障是否进行原因分析。
是否跟踪故障处理结果。
维护活动是否经过授权。
维护人员是否具有相应权限。
远程维护是否采取适当安全控制。
维护完成后是否进行必要验证。
是否保留维护记录。
________________________________________
生产和服务过程中的环境管理
服务实施过程中是否考虑能源、资源使用。
是否合理使用纸张、耗材及其他资源。
设备运行过程中产生的废弃物是否得到适当处理。
废旧设备、电子废弃物等是否按照规定处理。
现场服务过程中是否控制可能产生的环境影响。
外部施工、安装及设备调试活动是否考虑环境因素。
________________________________________
职业健康安全
项目实施人员是否了解现场安全要求。
进入客户机房、配电间、施工现场等区域时是否遵守相关安全要求。
是否根据实际风险采取个人防护措施。
设备安装、调试、维修等作业是否按照安全要求实施。
临时用电、高处作业、设备搬运等特殊活动是否采取必要控制。
外来人员及承包商是否遵守现场安全要求。
是否对现场发现的安全隐患进行处理。
________________________________________
服务过程中的标识、状态及可追溯性
是否能够识别不同项目、客户及服务对象。
项目文件、设备、软件版本是否具有适当标识。
是否能够识别服务实施状态。
是否能够追溯实施人员、实施时间及实施内容。
软件、系统配置及设备版本是否能够追溯。
项目实施记录是否与实际工作保持一致。
________________________________________
客户财产及客户信息
客户提供的设备、软件、数据、账号及技术资料是否得到保护。
客户设备使用过程中是否防止损坏、丢失或未经授权使用。
客户账号是否按照授权使用。
客户数据是否按照规定进行保存和使用。
发现客户财产损坏、丢失或不适用时是否及时报告。
项目结束后客户数据、设备、账号及资料是否按照要求处理。
________________________________________
服务过程中的变更
项目实施发生变更时是否进行确认。
客户要求变化时是否及时调整实施方案。
系统配置、软件版本、设备型号等发生变化时是否进行确认。
重要变更是否经过测试和验证。
是否保留变更记录。
变更后的相关技术文件是否及时更新。
变更是否影响服务质量、信息安全及客户业务连续性。

审核记录示例

现场与项目实施人员沟通服务实施过程，结合近期完成的项目查看项目实施方案、技术资料及相关记录。组织能够根据客户需求、合同要求及项目实际情况制定相应实施安排，明确项目实施内容、人员职责、工作步骤及交付要求，项目实施过程基本按照策划要求开展。
现场抽查某网络安全服务项目，查看项目实施方案、授权文件及服务记录，组织能够根据客户要求确定服务范围，并在实施前确认相关工作内容和实施边界。实施人员能够依据项目要求开展安全巡检、漏洞扫描、基线检查等工作，相关实施结果形成相应记录。
现场抽查某系统集成项目，结合项目技术方案查看系统集成实施过程。组织能够根据客户原有系统及项目需求确定系统架构、设备配置、软件部署及接口关系，并实施设备安装、软件配置、系统调试及联调等工作。相关技术人员能够根据技术方案开展实施，项目完成后形成相应测试及验收资料。
现场查看系统集成项目的设备及软件配置情况，现场运行的设备、软件及相关配置与项目资料基本一致。组织能够对系统集成后的功能及运行状态进行确认，并根据项目要求实施测试，相关测试结果能够证明系统基本满足规定要求。
现场抽查软件开发及配置实施过程，组织能够按照项目要求开展程序开发、软件配置及测试工作。开发人员根据职责访问相关开发环境和技术资料，程序版本能够进行识别，程序修改能够通过版本管理或相关记录进行追溯，重要程序修改经过测试确认后投入使用。
现场查看客户信息及技术资料管理情况，项目实施过程中涉及的客户数据、系统配置、技术方案及项目报告能够按照组织相关要求进行管理。相关人员按照授权范围访问项目资料，涉及敏感信息时能够根据实际情况采取脱敏等保护措施，未发现无关人员随意获取客户敏感资料的情况。
现场查看项目实施过程中信息通信工具的使用情况，组织人员能够根据实际需要选择信息传递方式。在确需使用即时通信工具传递项目资料时，能够征求客户意见，并对涉及价格、客户信息等敏感内容采取适当脱敏措施；能够优先通过客户系统、投影或其他直接数据源查看相关信息。
现场抽查某IT服务维护项目，查看服务请求、故障处理及维护记录，组织能够按照服务要求实施日常维护和故障处理。服务人员能够根据问题情况进行分析、处理及跟踪，并对处理结果进行确认，相关服务记录能够反映实际服务过程。
现场查看客户设备及客户资料管理情况，客户提供的设备、系统账号、技术资料及相关数据能够按照项目要求进行管理，项目人员根据授权开展工作。项目结束后，能够根据合同及组织要求处理相关资料、账号及客户数据。
现场了解项目变更情况，组织在客户需求、软件版本、系统配置或实施条件发生变化时，能够根据实际情况进行确认和调整，对重要变化实施必要的评审、测试或验证，并更新相关项目资料。
现场结合项目实施环境查看职业健康安全及环境管理情况，项目人员进入客户机房、办公场所及其他工作区域时能够遵守现场管理要求，设备安装、调试及维护过程中能够采取相应安全措施；项目实施过程中能够合理使用纸张、能源及其他资源，对废旧设备及相关废弃物按照实际要求进行处理。
总体来看，组织能够结合客户需求和项目实际情况实施生产和服务提供，对项目实施过程、人员、设备、技术资料、客户财产及信息安全进行相应控制，并根据项目特点实施测试、确认、故障处理和变更管理，生产和服务提供过程基本处于受控状态。

高频问题

实际服务过程与体系文件描述不一致。
项目实施没有明确的实施方案。
服务人员主要依靠个人经验开展工作。
项目要求没有有效传递给实施人员。
实际实施内容超出合同或客户授权范围。
系统集成没有留下完整的配置、调试和测试记录。
系统集成完成后无法提供有效验收证据。
软件上线前没有充分测试。
开发环境与生产环境没有适当隔离。
程序源代码没有版本控制。
程序修改没有授权记录。
配置文件没有进行有效管理。
客户真实数据直接用于测试。
客户敏感信息通过微信等平台随意传递。
项目人员权限过大。
项目结束后账号没有及时关闭。
远程维护缺少访问控制。
故障处理没有记录。
故障关闭没有验证。
重要服务没有进行必要的监控。
项目实施人员能力与项目要求不匹配。
客户设备、账号及资料管理不到位。
现场作业没有充分考虑职业健康安全风险。
电子废弃物等没有按照要求处理。
项目发生重大变化但没有重新确认。
实际软件版本与项目资料不一致。
项目记录由实施人员事后补填，不能真实反映现场过程。