在信息系统运行维护服务中，信息安全常常成为甲乙双方争论的焦点，甚至被用作推诿责任的借口。许多服务提供商以“信息安全”为由，将本应承担的运维责任转嫁给客户，或者客户以“安全”为名无限扩大服务商的义务。这种模糊地带不仅导致项目纠纷频发，更可能埋下真正的安全隐患。是时候拨开迷雾，厘清运行维护服务中的信息安全责任边界了。
一、信息安全不是筐，不能什么都往里装
信息安全保障是信息系统运行维护服务的重要组成部分，但绝非全部。运行维护服务的核心目标是确保信息系统的稳定、高效、安全运行。安全是其中的一个维度，而不是唯一维度。实践中，常见以下误区：
误区一：安全即运维。部分服务商将任何与安全相关的操作都视为额外服务，要求单独收费或拒绝提供。实际上，日常的安全巡检、补丁管理、日志审查、访问控制维护等，本就是运维服务的标准内容。
误区二：运维包安全。另一方面，有些客户认为既然支付了运维费用，服务商就应对所有安全事件负责，包括网络攻击、数据泄露等。安全是一个系统工程，需要客户自身的管理制度、人员意识、技术措施共同作用，服务商无法替代客户的安全主体责任。
误区三：安全责任无限扩大。在合同签订时，安全条款往往表述模糊，如“服务商应确保系统安全”，这种无限责任条款既不现实，也无法执行，最终导致扯皮。
二、厘清边界：运行维护服务中的安全责任划分
要避免被“信息安全”忽悠，关键在于明确划分服务商与客户的安全责任。根据《信息安全技术 信息系统运行维护服务 服务交付规范》（GB/T 28827.1）等标准，运行维护服务中的安全责任可参考以下框架：
- 基础设施安全：服务商负责运维范围内的网络、硬件、系统软件的安全配置、漏洞修补、安全监控等；客户负责机房环境安全、物理访问控制等。
- 应用系统安全：服务商负责应用系统的运行维护安全，如账号权限管理、安全日志分析、应用层漏洞修复等；客户负责应用系统自身的安全需求定义、安全测试验收、代码安全开发等。
- 数据安全：服务商负责运维过程中接触到的数据的保密性、完整性保护，如备份恢复、访问控制、传输加密等；客户负责数据分类分级、数据使用授权、数据生命周期管理等。
- 安全管理：服务商建立运维服务安全管理体系，包括人员安全、操作规范、应急响应等；客户负责整体信息安全策略制定、安全投入、安全监督等。
三、合同约定：把安全责任落实到纸面
清晰的责任划分需要合同条款来固化。在签订运行维护服务合建议关注以下几点：
- 明确服务范围：列举具体的运维服务项，区分基础运维与安全增强服务。
- 定义安全事件责任：约定不同级别安全事件的响应流程、处置责任和赔偿机制，避免无限责任。
- 界定安全边界：明确服务商不承担因客户自身安全管理不善、第三方攻击等导致的安全责任。
- 设定服务水平协议（SLA）：对安全相关的服务指标（如漏洞修复时间、安全事件响应时间）进行量化，作为考核依据。
四、
信息安全很重要，但不能成为忽悠的借口。信息系统运行维护服务的健康发展，需要甲乙双方理性看待安全责任，基于标准和合同明确边界，共同构建安全、可靠的运行环境。别再被“信息安全”忽悠瘸了，从厘清责任开始，让运维服务回归本质。
