資 訊 科 技 服 務 外 判 的 管 理

如 向 一 個 或 多 個 第 三 方 服 務 供 應 商 外 判 資 訊 系 統 ， 必 須 制 定 適 當 的 保 安 管 理 程 序 以 保 護 數 據 ， 同 時 降 低 相 關 外 判 資 訊 科 技 項 目 ／ 服 務 的 保 安 風 險 。 以 下 列 出 應 該 考 慮 的 幾 個 方 向 ：

• 在 擬 定 外 判 服 務 合 約 時 ， 機 構 應 在 合 約 中 訂 明 將 予 外 判 的 資 訊 系 統 的 保 安 要 求 （ 例 如 ： 如 何 處 理 所 有 的 私 人 和 敏 感 的 資 料 ） 。 這 些 要 求 應 為 招 標 程 序 的 基 準 及 系 統 效 能 測 量 的 一 部 份 。

• 判 合 約 應 規 定 第 三 方 服 務 供 應 商 及 銷 售 商 的 所 有 工 作 人 員 簽 署 不 可 向 外 披 露 資 料 協 議 ， 以 保 護 系 統 中 的 敏 感 數 據 。
  

• 合 約 亦 須 包 括 一 系 列 服 務 水 平 協 議 （ SLAs） 。 服 務 水 平 協 議 用 於 界 定 所 要 求 的 各 項 保 安 控 制 的 預 期 水 平 ， 描 述 可 量 度 的 成 效 ， 以 及 就 任 何 經 確 認 的 違 約 行 為 訂 明 補 救 及 應 變 措 施 。
  

• 除 訂 立 服 務 水 平 協 議 外 ， 合 約 應 包 含 一 套 解 決 問 題 及 事 故 應 變 的 升 級 處 理 程 序 ， 以 便 處 理 事 故 ， 儘 量 減 低 事 故 對 機 構 造 成 的 影 響 。
  

• 在 聘 請 提 供 資 訊 科 技 服 務 的 供 應 商 時 ， 機 構 應 確 保 他 們 遵 守 機 構 的 相 關 保 安 政 策 ， 適 用 的 政 府 規 例 （ 例 如 銀 行 機 構 須 遵 守 香 港 金 融 管 理 局 的 規 定 ） 及 其 他 業 界 最 佳 作 業 實 務 。 服 務 供 應 商 必 須 如 同 機 構 內 部 人 員 一 樣 ， 遵 守 相 同 的 資 訊 保 安 規 定 及 承 擔 相 同 的 資 訊 保 安 責 任 。
  

• 機 構 應 積 極 及 定 期 監 控 和 覆 檢 服 務 供 應 商 及 用 戶 的 保 安 控 制 遵 行 情 況 ， 並 保 留 審 計 服 務 水 平 協 議 所 界 定 責 任 的 權 利 、 安 排 獨 立 第 三 方 進 行 審 計 。
  

• 機 構 應 確 保 服 務 供 應 商 有 適 當 的 資 訊 系 統 應 變 計 劃 及 備 份 程 序 。
  

• 機 構 應 清 晰 界 定 和 載 述 與 外 判 資 訊 系 統 有 關 的 第 三 方 服 務 供 應 商 、 內 部 員 工 及 終 端 用 戶 的 保 安 職 務 和 職 責 。
  

• 機 構 應 確 保 所 有 被 第 三 方 服 務 供 應 商 處 理 的 資 料 都 有 明 確 和 適 當 的 機 密 級 數 分 類 。 接 達 權 限 應 以 工 作 上 的 需 求 ， 或 以 合 約 上 的 服 務 需 要 來 分 配 。
  

• 雖 然 資 訊 系 統 能 被 外 判 ， 但 是 機 構 仍 須 承 擔 所 有 違 反 敏 感 或 個 人 資 料 的 法 律 責 任 。