ISO20000新舊版標(biāo)準(zhǔn)差異概述
| 差異點(diǎn) | 說明 |
| 新增部分 | 在信息安全方針的控制上，ISO20000:2011 版新增部分要求。 進(jìn)一步明確和新增了信息安全方針方面的內(nèi)容，包括安全需求、法律法規(guī)和合同要求。 詳細(xì)描述了授權(quán)管理者的具體職責(zé)，并特別強(qiáng)調(diào)了要“定期執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估”的要求。 ISO20000:2011 版新增了服務(wù)提供者應(yīng)對(duì)信息安全控制的有效性進(jìn)行檢查，并采取必要的改進(jìn)續(xù)措施的要求。 ISO20000:2011 版新增了信息安全風(fēng)險(xiǎn)應(yīng)進(jìn)行優(yōu)先級(jí)劃分。 |
| 優(yōu)化與完善部分 | ISO20000:2011 版進(jìn)一步明確了信息安全應(yīng)從物理、管理、技術(shù)三個(gè)維度進(jìn)行控制。 |
ISO20000新舊版標(biāo)準(zhǔn)變化度
| ISO20000:2011 版本 | 控制點(diǎn) | ISO20000:2005 版本 | 控制點(diǎn) | 變化度 |
| 6.6 信息安全管理 | 13 | 6.6 信息安全管理 | 11 | 3 |
說明：變化度是指新版標(biāo)準(zhǔn)該條款相對(duì)舊版標(biāo)準(zhǔn)要求的變化程度，按分值計(jì)量，5 分指變化程度最大，0 分指沒有變化。
ISO20000新舊版標(biāo)準(zhǔn)差異分析
| ISO20000:2011版 | ISO20000:2005版 | 差異分析 | ||
| 信息安全方針 | Management with appropriate authority shall approve an information security policy taking into consideration the service requirements, statutory and regulatory requirements and contractual obligations. Management shall: a) communicate the information security policy and the importance of conforming to the policy to appropriate personnel within the service provider, customer and suppliers; b) ensure that information security management objectives are established; c) define the approach to be taken for the management of information security risks and the criteria for accepting risks; d) ensure that information security risk assessments are conducted at planned intervals; e) ensure that internal information security audits are conducted; f) ensure that audit results are reviewed to identify opportunities for improvement. | 具有適當(dāng)授權(quán)的管理者應(yīng)在考慮服務(wù)需求、法律法規(guī)要求和合同要求的基礎(chǔ)上審批信息安全方針。 管理者應(yīng)： a） 與服務(wù)提供者、客戶和供應(yīng)商等相關(guān)人員溝通信息安全方針和人員遵守方針的重要性； b） 確保信息安全管理目標(biāo)被確立； c） 定義信息安全風(fēng)險(xiǎn)管理和風(fēng)險(xiǎn)接受原則所采用的方法； d） 確保定期執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估； e） 確保執(zhí)行信息安全內(nèi)部審計(jì)； f） 確保對(duì)審計(jì)結(jié)果進(jìn)行回顧以識(shí)別改進(jìn)的機(jī)會(huì)。 | Management with appropriate authority shall approve an information security policy that shall be communicated to all relevant personnel and customers where appropriate. | ISO20000:2011版進(jìn)一步明確和新增了信息安全方針方面的內(nèi)容，包括安全需求、法律法規(guī)和合同要求。 ISO20000:2011版新增了授權(quán)管理者具體的管理職責(zé)，并特別強(qiáng)調(diào)了要“定期執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估”。 |
| 信息安全控制 | The service provider shall implement and operate physical, administrative and technical information security controls in order to: a) preserve Confidentiality, integrity and accessibility of information assets; b) fulfil the requirements of the information security policy; c) achieve information security management objectives; d) manage risks related to information security. These information security controls shall be documented and shall describe the risks to which the controls relate, their operation and maintenance. The service provider shall review the effectiveness of information security controls. The service provider shall take necessary actions and report on the actions taken. The service provider shall identify external organizations that have a need to access, use or manage the service provider's information or services. The service provider shall document, agree and implement information security controls withthese external organizations. | 服務(wù)提供者應(yīng)實(shí)施和運(yùn)行物理的、管理的和技術(shù)的信息安全控制以： a) 保護(hù)信息資產(chǎn)的機(jī)密性、完整性和可訪問性； b) 履行信息安全方針的要求； c) 實(shí)現(xiàn)信息安全管理目標(biāo)； d) 管理信息安全相關(guān)風(fēng)險(xiǎn)。 信息安全控制措施應(yīng)文件化，同時(shí)應(yīng)描述控制措施相關(guān)的風(fēng)險(xiǎn)，以及控制措施的運(yùn)行和維護(hù)。 服務(wù)提供者應(yīng)對(duì)信息安全控制的有效性進(jìn)行評(píng)估。同時(shí)，應(yīng)采取必要的改進(jìn)措施，并報(bào)告所采取的措施。 服務(wù)提供者應(yīng)識(shí)別具有訪問、使用或管理服務(wù)提供者信息或服務(wù)需要的外部組織。 服務(wù)提供者應(yīng)記錄、協(xié)商和實(shí)施對(duì)外部組織的信息安全控制。 | Appropriate security controls shall operate to: a) implement the requirements of the information security policy; b) manage risks associated with access to the service or systems. Security controls shall be documented. The documentation shall describe the risks to which the controls relate, and the manner of operation and maintenance of the controls. Arrangements that involve external organizations having access to information systems and services shall be based on a formal agreement that defines all necessary security requirements. | ISO20000:2011版進(jìn)一步明確了信息安全要從物理、管理、技術(shù)三個(gè)維度進(jìn)行控制。 |
| 信息安全變更和事件 | Requests for change shall be assessed to identify: a) new or changed information security risks; b) potential impact on the existing information security policy and controls. Information security incidents shall be managed using the incident management procedures, with a priority appropriate to the information security risks. The service provider shall analyse the types, volumes and impacts of information security incidents. Information security incidents shall be reported and reviewed to identify opportunities for improvement. | 應(yīng)對(duì)變更請(qǐng)求進(jìn)行評(píng)估，以識(shí)別： a) 新的或變更的服務(wù)的信息安全風(fēng)險(xiǎn)； b) 對(duì)現(xiàn)有信息安全方針和控制的潛在影響。 信息安全事件應(yīng)通過事件管理程序進(jìn)行管理，并對(duì)信息安全風(fēng)險(xiǎn)進(jìn)行適當(dāng)?shù)膬?yōu)先級(jí)排序。 服務(wù)提供者應(yīng)分析安全事件的類型、數(shù)量和影響。同時(shí)，信息安全事件應(yīng)被報(bào)告和檢查，以識(shí)別改進(jìn)的機(jī)會(huì)。 | The impact of changes on controls shall be assessed before changes are implemented. Security incidents shall be reported and recorded in line with the incident management procedure as soon as possible. Procedures shall be in place to ensure that all security incidents are investigated, and management action taken. Mechanisms shall be in place to enable the types, volumes and impacts of security incidents and malfunctions to be quantified and monitored. | ISO20000:2011版在ISO20000:2005版的基礎(chǔ)上，進(jìn)一步細(xì)化了評(píng)估變更請(qǐng)求的風(fēng)險(xiǎn)與影響的要求。 ISO20000:2011版新增了信息安全風(fēng)險(xiǎn)應(yīng)進(jìn)行優(yōu)先級(jí)劃分的要求。 ISO20000:2011版明確了信息安全事件應(yīng)通過事件管理程序進(jìn)行管理。 |
| 流程改進(jìn) | 無 | 無 | Actions for improvements identified during this process shall be recorded and provide input into a plan for improving the service. | ISO20000:2005版要求應(yīng)記錄本流程定義的改進(jìn)措施，并輸入服務(wù)改進(jìn)計(jì)劃，但I(xiàn)SO20000:2011版刪除了此要求。分析原因是：在ISO20000:2011版的引言部分已經(jīng)明確了“將PDCA方法應(yīng)用于SMS中，包括服務(wù)管理流程和服務(wù)”，故在此無需重復(fù)要求。 |
中企檢測(cè)認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測(cè)、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識(shí)產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺(tái)。中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)行業(yè)相關(guān)檢驗(yàn)、檢測(cè)、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測(cè)認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測(cè)、認(rèn)證、商標(biāo)、專利、知識(shí)產(chǎn)權(quán)、版權(quán)法律法規(guī)知識(shí)資訊，包括商標(biāo)注冊(cè)、食品檢測(cè)、第三方檢測(cè)機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測(cè)、環(huán)境檢測(cè)、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請(qǐng)、知識(shí)產(chǎn)權(quán)、檢測(cè)法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測(cè)、認(rèn)證、知識(shí)產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識(shí)。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場(chǎng)監(jiān)督總局 、國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請(qǐng)跟我們聯(lián)系刪除并致歉！
