信息安全管理體系認(rèn)證 中山ISO20000體系認(rèn)證認(rèn)監(jiān)委認(rèn)證

ISO20000 是世界上第一部針對(duì)信息技術(shù)服務(wù)管理(IT Service Management)領(lǐng)域的國際標(biāo)準(zhǔn)，ISO20000信息技術(shù)服務(wù)管理體系標(biāo)準(zhǔn)代表了被廣泛認(rèn)可的評(píng)估IT服務(wù)管理流程的原則的基礎(chǔ)。該標(biāo)準(zhǔn)定義了一套全面的、緊密相關(guān)的服務(wù)管理流程。 

ISO20000認(rèn)證指組織建立的信息技術(shù)服務(wù)管理符合ISO20000標(biāo)準(zhǔn)，從而通過ISO20000認(rèn)證。

認(rèn)證準(zhǔn)備

前期準(zhǔn)備

ISO 20000是面向機(jī)構(gòu)的IT服務(wù)管理標(biāo)準(zhǔn)，目的是提供建立、實(shí)施、運(yùn)作、監(jiān)控、評(píng)審、維護(hù)和改進(jìn)IT服務(wù)管理體系(ITSM)的模型。建立IT服務(wù)管理體系(ITSM)已成為各種組織，特別是金融機(jī)構(gòu)、電信、高科技產(chǎn)業(yè)等管理運(yùn)營風(fēng)險(xiǎn)不可缺少的重要機(jī)制。ISO 20000讓IT管理者有一個(gè)參考框架用來管理IT服務(wù)，完善的IT管理水平也能通過認(rèn)證的方式表現(xiàn)出來。

不同于ITIL只有個(gè)人認(rèn)證系列，ISO 20000則是對(duì)組織的整體認(rèn)證，因此需要全方位的建立符合標(biāo)準(zhǔn)的體系，也意味著認(rèn)證前期準(zhǔn)備工作將是復(fù)雜而細(xì)致的。正所謂“萬事開頭難”，在著手進(jìn)行認(rèn)證之初，必須充分認(rèn)識(shí)到良好而充分的前期準(zhǔn)備工作是通過這樣一項(xiàng)國際標(biāo)準(zhǔn)認(rèn)證的基石。實(shí)際上，對(duì)于大多數(shù)組織而言，通常沒有太多認(rèn)證工作相關(guān)的經(jīng)驗(yàn)，因此在認(rèn)證準(zhǔn)備階段打下扎實(shí)的基礎(chǔ)，對(duì)于整個(gè)認(rèn)證實(shí)踐都是頗有益處的。

本書將從認(rèn)證方案制定、調(diào)研訪談、咨詢審核機(jī)構(gòu)選擇、組織內(nèi)部流程4個(gè)方面來介紹認(rèn)證準(zhǔn)備階段工作。事實(shí)上，雖然這四部分內(nèi)容是大多數(shù)組織通過IT認(rèn)證所必不可少的，但由于每個(gè)組織的組織架構(gòu)和管理基礎(chǔ)的不同，前期準(zhǔn)備需要完成的具體工作會(huì)有一定的差異，通過認(rèn)證的過程也會(huì)不同。因此，組織應(yīng)“因地制宜”地開展認(rèn)證實(shí)踐工作。

制定認(rèn)證方案

認(rèn)證準(zhǔn)備階段第一步工作就是完成認(rèn)證可行性方案的編寫。如果把認(rèn)證活動(dòng)理解成一個(gè)項(xiàng)目，認(rèn)證方案的編寫就是通過對(duì)項(xiàng)目的主要內(nèi)容、目標(biāo)和相應(yīng)配套條件(如管理基礎(chǔ)、管理需求、項(xiàng)目規(guī)模、資源投入等)，從技術(shù)、經(jīng)濟(jì)、工程等方面進(jìn)行調(diào)查研究和分析比較，并對(duì)認(rèn)證可能取得的經(jīng)濟(jì)效益及社會(huì)效益進(jìn)行預(yù)測(cè)，從而形成該項(xiàng)目是否值得實(shí)施和如何實(shí)施的咨詢意見，為組織的高層提供項(xiàng)目決策的重要依據(jù)。從這個(gè)意義上來說，認(rèn)證方案的制定也是認(rèn)證準(zhǔn)備階段中最重要的工作。

1. 可行性分析

可行性分析通?？砂顿Y必要性、組織可行性、技術(shù)可行性、財(cái)務(wù)可行性、經(jīng)濟(jì)可行性、社會(huì)可行性、風(fēng)險(xiǎn)因素及對(duì)策等部分。由于各類型項(xiàng)目因行業(yè)特點(diǎn)而差異很大，具體到ISO 20000認(rèn)證，通常需要從管理基礎(chǔ)和效益兩方面進(jìn)行考慮和分析。

首先是管理基礎(chǔ)分析。需要對(duì)組織自身的管理基礎(chǔ)，包括ITIL體系實(shí)施的基礎(chǔ)、當(dāng)前的組織架構(gòu)和當(dāng)前管理體系在認(rèn)證過程中的風(fēng)險(xiǎn)進(jìn)行全面的評(píng)估。

IT服務(wù)管理體系的建設(shè)，首先是管理問題，其次才是技術(shù)問題。成功和失敗的經(jīng)驗(yàn)都表明，需要首先解決管理體制和機(jī)制的問題，建立以客戶為中心的理念，培養(yǎng)服務(wù)意識(shí)和質(zhì)量意識(shí)，建立內(nèi)部可行、科學(xué)的服務(wù)模式;其次才是借助軟件工具將管理流程固化和優(yōu)化，利用自動(dòng)化工具輔助和提升管理效率，實(shí)現(xiàn)技術(shù)和管理的有效結(jié)合。因此，在認(rèn)證可行性分析時(shí)應(yīng)更關(guān)注管理可行性，其次才是技術(shù)可行性。

對(duì)于那些已經(jīng)成功實(shí)施基于ITIL的管理方法的組織來說，需要更標(biāo)準(zhǔn)化的成熟IT服務(wù)質(zhì)量管理體系來確保管理與國際接軌。ISO 20000認(rèn)證將滿足其進(jìn)一步發(fā)展的戰(zhàn)略需求，同時(shí)ISO 20000的持續(xù)改進(jìn)機(jī)制也確保管理流程具備更強(qiáng)的生命力。

其次是效益分析?？梢詮馁Y源配置的角度衡量認(rèn)證項(xiàng)目的收益，評(píng)價(jià)認(rèn)證項(xiàng)目在實(shí)現(xiàn)組織發(fā)展目標(biāo)、有效配置IT資源、改善運(yùn)行環(huán)境、提高流程效率、減少人員工作量、提升盈利能力等方面的效益。

雖然對(duì)于不同的組織來說可能帶來的效益各有不同，但通常ISO 20000可能為組織帶來的效益可能包括以下內(nèi)容：

—在IT服務(wù)提供中有更多的管理手段，并能持續(xù)地改進(jìn);

—改進(jìn)服務(wù)交付的能力，為關(guān)鍵業(yè)務(wù)服務(wù)提供穩(wěn)定的，高質(zhì)量，低成本的可靠的服務(wù);

—通用的服務(wù)表達(dá)方式，方便不同組織之間的對(duì)話;

—為組織內(nèi)部運(yùn)營過程提供一個(gè)管理和溝通的平臺(tái);

—采納最佳實(shí)踐，提高組織內(nèi)部服務(wù)水平，以及服務(wù)級(jí)別的持續(xù)保持;

—減少服務(wù)交付中的時(shí)間成本;

—有效管理供應(yīng)商的方法;

—提高人員利用率，改善激勵(lì)，降低人員流失;

—有價(jià)值的管理數(shù)據(jù)，更好的決策支持;

……

2. 認(rèn)證實(shí)施計(jì)劃

認(rèn)證實(shí)施計(jì)劃是認(rèn)證方案書中的核心部分之一。提到計(jì)劃，通常的理解就是步驟、任務(wù)、人員、周期、里程碑等內(nèi)容，使用專業(yè)的工具如MS Project、Excel進(jìn)行編輯和制定。按照項(xiàng)目計(jì)劃的常用制定方法基本可以覆蓋認(rèn)證計(jì)劃的主要內(nèi)容，但必須注意認(rèn)證實(shí)施計(jì)劃與一般工作計(jì)劃幾個(gè)細(xì)節(jié)上的區(qū)別：

1) 本書前面已經(jīng)介紹過，認(rèn)證過程主要分為前期準(zhǔn)備階段、差距分析階段、流程建立改進(jìn)和試運(yùn)行階段、認(rèn)證審核階段等。各個(gè)階段的時(shí)間和人員分配取決于組織自身的成熟度，可以適當(dāng)調(diào)整幾個(gè)階段的資源分配。如果IT服務(wù)管理的基礎(chǔ)較好，前期準(zhǔn)備和流程建立改進(jìn)階段時(shí)間可以大大減少。

2) 始終牢記各個(gè)流程必須全部達(dá)到ISO 20000的要求才能獲得認(rèn)證，因此資源適當(dāng)向基礎(chǔ)薄弱、離標(biāo)準(zhǔn)要求有一定距離的管理流程，提早啟動(dòng)流程建立和改進(jìn)階段工作。

3) 認(rèn)證計(jì)劃中需要包括審核機(jī)構(gòu)的部分，由于整個(gè)審核過程會(huì)包括幾批次，每批次之間另有再改進(jìn)的時(shí)間，同時(shí)每一次審核需要提前預(yù)約，因此整個(gè)實(shí)施計(jì)劃建議預(yù)留一些時(shí)間給審核機(jī)構(gòu)。

圖4-1是一個(gè)認(rèn)證計(jì)劃的樣例，供讀者參考。事實(shí)上，計(jì)劃的形式并不重要，重要的是對(duì)制定認(rèn)證計(jì)劃這項(xiàng)工作的重視。

3. 資源與費(fèi)用

資源與費(fèi)用也是認(rèn)證方案準(zhǔn)備過程中需要了解的內(nèi)容之一。與實(shí)施計(jì)劃一樣，資源投入的多少主要取決于組織自身的成熟度，越成熟的組織需要在IT服務(wù)管理體系建設(shè)和完善上花費(fèi)的資源相對(duì)越少。

人力資源：通常包括組織自身、第三方咨詢機(jī)構(gòu)、認(rèn)證審核機(jī)構(gòu)等的人力資源，其中通常較為容易忽視的是組織在全員培訓(xùn)上的人力投入。這在流程體系試運(yùn)行和認(rèn)證審核階段都是相當(dāng)關(guān)鍵的。

工具資源：現(xiàn)階段，任何組織的IT服務(wù)管理體系都與工具軟件有一定關(guān)聯(lián)，而且這種依存度正在逐漸上升。組織在實(shí)施ISO 20000認(rèn)證時(shí)，可能需要對(duì)其現(xiàn)有的工具平臺(tái)進(jìn)行一定的調(diào)整，也可能需要采購一些新的產(chǎn)品。

費(fèi)用方面，通常認(rèn)證實(shí)施項(xiàng)目包含以下5個(gè)部分：

1) 認(rèn)證咨詢服務(wù)費(fèi)(咨詢合作方，可選)

2) 認(rèn)證服務(wù)費(fèi)(審核機(jī)構(gòu))

3) 培訓(xùn)費(fèi)用(可選)

4) 認(rèn)證相關(guān)參考資料、宣傳費(fèi)用(可選)

5) 工具軟件費(fèi)用(可選)

具體費(fèi)用根據(jù)組織規(guī)模而有所不同。對(duì)于希望通過該項(xiàng)認(rèn)證的組織來說，在項(xiàng)目方案中應(yīng)確認(rèn)認(rèn)證服務(wù)費(fèi)用是否包含后續(xù)年度的復(fù)審、復(fù)評(píng)和證書管理費(fèi)用等。

除以上介紹的管理基礎(chǔ)分析、效益分析、認(rèn)證實(shí)施計(jì)劃、資源與費(fèi)用等主要內(nèi)容外，認(rèn)證可行性方案中還可以包括ISO 20000認(rèn)證介紹、風(fēng)險(xiǎn)因素及對(duì)策等內(nèi)容，組織可根據(jù)自身情況豐富方案內(nèi)容。

前期調(diào)研

認(rèn)證準(zhǔn)備階段的另一項(xiàng)重要工作就是調(diào)研，對(duì)于整個(gè)組織而言，進(jìn)行充分細(xì)致的調(diào)研工作有助于梳理組織內(nèi)IT服務(wù)管理現(xiàn)狀，同時(shí)對(duì)于提高全員認(rèn)證意識(shí)，提升組織內(nèi)成員對(duì)認(rèn)證工作的重視程度有一定的積極作用。這一階段的工作在某種程度上和下一階段差距分析工作存在一定重疊，可以同步進(jìn)行。區(qū)別在于正式啟動(dòng)認(rèn)證前的調(diào)研承擔(dān)了部分可行性研究的職能，同時(shí)主要偏重于現(xiàn)狀的了解和梳理，并不過多地進(jìn)行與ISO 20000標(biāo)準(zhǔn)條款的對(duì)比，而差距分析主要立足于ISO 20000標(biāo)準(zhǔn)，運(yùn)用專業(yè)的分析方法和工具進(jìn)行比較性的分析，查找出組織現(xiàn)狀和ISO 20000標(biāo)準(zhǔn)中各條款的差距，進(jìn)而制定改進(jìn)課題。

下面簡(jiǎn)要介紹幾個(gè)認(rèn)證準(zhǔn)備階段常用的調(diào)研方式。

1.問卷調(diào)查

問卷調(diào)查是最為常用的方式之一，優(yōu)點(diǎn)是可以讓受訪對(duì)象能夠有針對(duì)性地準(zhǔn)備收集材料、整理相關(guān)信息，同時(shí)準(zhǔn)備的時(shí)間也相對(duì)充裕。在調(diào)研問卷回收的基礎(chǔ)上，可以安排進(jìn)行面對(duì)面的訪談，對(duì)問卷中的重要部分進(jìn)行展開了解。

問卷調(diào)查可根據(jù)ISO 20000的特點(diǎn)進(jìn)行設(shè)計(jì)，主要包括2個(gè)部分，即管理體系和13個(gè)管理流程。管理體系部分的調(diào)研范圍涵蓋認(rèn)證目標(biāo)、組織結(jié)構(gòu)、員工職位描述、人員知識(shí)結(jié)構(gòu)、文檔體系、培訓(xùn)體系、內(nèi)部審計(jì)和改善計(jì)劃等方面。管理體系的調(diào)研對(duì)象為組織的高層管理人員，這些人員通常也是ISO 20000體系整體質(zhì)量管理人員，或稱質(zhì)量經(jīng)理，對(duì)整個(gè)體系負(fù)有管理職責(zé)。管理流程部分相對(duì)細(xì)節(jié)層面的內(nèi)容較多，可以包括各流程的定義、輸入、輸出、文檔記錄、工具以及流程間關(guān)聯(lián)的內(nèi)容。管理流程的調(diào)研對(duì)象為組織內(nèi)當(dāng)前負(fù)責(zé)相關(guān)流程或者工作的管理和技術(shù)人員，通常可包括ISO 20000體系中各流程經(jīng)理、流程協(xié)調(diào)人員和流程執(zhí)行人員。

2. 人員職責(zé)匯總

除管理體系和管理流程外，組織內(nèi)部人員職責(zé)分工也是調(diào)研期間需要梳理和掌握的重要內(nèi)容。建議采用“人員角色和職責(zé)列表”(Role & Responsibility Matrix)的方式，通過建立人員和工作內(nèi)容的對(duì)應(yīng)矩陣，對(duì)組織內(nèi)所有人員的職責(zé)分工進(jìn)行匯總和整理。表4-1提供了一個(gè)范例：

范例說明：

1) 橫向：按組織的部門劃分來填寫，包括各部門經(jīng)理和員工?？梢园ńM織外部的合作廠商信息。

2) 縱向：按工作內(nèi)容排列。工作內(nèi)容可分為多級(jí)，填寫時(shí)應(yīng)盡可能覆蓋全面，各級(jí)工作內(nèi)容顆粒度應(yīng)統(tǒng)一。工作內(nèi)容分為兩級(jí)，在工作內(nèi)容的劃分時(shí)需要考慮覆蓋面與細(xì)致性問題。覆蓋面需要盡可能全面，而各級(jí)工作內(nèi)容劃分的顆粒度則又需要相對(duì)均衡。

3) 交叉點(diǎn)：橫縱向交叉點(diǎn)為工作項(xiàng)與人員的對(duì)應(yīng)關(guān)系。

P(Primary)：代表主要負(fù)責(zé)人;

B(Backup)：代表次要負(fù)責(zé)人或是主要負(fù)責(zé)人的

認(rèn)證的范圍

認(rèn)監(jiān)委《關(guān)于開展ISO20000信息技術(shù)服務(wù)管理體系認(rèn)證工作的公告》中把第一批開展ISO20000認(rèn)證業(yè)務(wù)類別表規(guī)定如下。 

 認(rèn)證實(shí)施效益

· 得以獲得業(yè)界普遍認(rèn)同的國際證書ISO20000認(rèn)證;

· 就服務(wù)質(zhì)量和服務(wù)承諾與業(yè)務(wù)及供貨商達(dá)成一致，建立和業(yè)務(wù)及供貨商統(tǒng)一的溝通平臺(tái);達(dá)到相關(guān)利益方均滿意的IT服務(wù)管理目標(biāo);

· 提高IT服務(wù)的可用性、可靠性和安全性，為業(yè)務(wù)用戶提供高質(zhì)量的服務(wù);

· 持續(xù)優(yōu)化服務(wù)流程，提升服務(wù)水平，提高業(yè)務(wù)滿意度;

· 提高項(xiàng)目的可提供性并確保如期交付;

· 從總體上提高組織/企業(yè)IT投資的報(bào)酬率，提升組織/企業(yè)的綜合競(jìng)爭(zhēng)力;

· 建立IT部門一整套行之有效的持續(xù)改善機(jī)制和內(nèi)控機(jī)制;

· 明晰IT管理成本和組織/企業(yè)業(yè)務(wù)戰(zhàn)略和IT戰(zhàn)略目標(biāo)的結(jié)合點(diǎn)，完善現(xiàn)有IT服務(wù)結(jié)構(gòu)和資源配置，使各項(xiàng)IT資源的運(yùn)用符合公司業(yè)務(wù)

戰(zhàn)略和IT戰(zhàn)略目標(biāo);

· 通過建立優(yōu)化、透明的管理流程和權(quán)責(zé)的定義，監(jiān)控管理流程、進(jìn)行績(jī)效評(píng)價(jià);降低IT運(yùn)營的管理成本和風(fēng)險(xiǎn);

· 易于整合服務(wù)管理流程和其它管理系統(tǒng)，如：信息安全管理體系ISMS 、質(zhì)量管理體系ISO9000等;

· 將現(xiàn)有管理體系和業(yè)務(wù)流程整合，規(guī)范IT部門服務(wù)水平，規(guī)范工作流程，降低由人員變動(dòng)導(dǎo)致的風(fēng)險(xiǎn);

· 提高IT部門相關(guān)員工的專業(yè)素質(zhì)，提高員工的服務(wù)能力和工作效率;

· 提升IT部門整體運(yùn)作及部門間溝通的能力。

隨著IT領(lǐng)域全面出現(xiàn)的業(yè)務(wù)和技術(shù)的融合，云計(jì)算的高速發(fā)展與普及，信息化水平不斷提高，信息安全逐漸成為人們關(guān)注的焦點(diǎn)，世界范圍內(nèi)的各個(gè)機(jī)構(gòu)，組織，個(gè)人都在探尋如何保障信息安全問題。目前，在信息安全管理方面，源自英國的標(biāo)準(zhǔn)ISO27001已經(jīng)成為世界上應(yīng)用最廣泛與典型的信息安全管理標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)源于BS7799-2.主要提出ISMS的基本要求，已于2005年10月正式發(fā)布，目前版本為ISO27001:2013.

ISO27001標(biāo)準(zhǔn)可以作為組織滿足顧客，組織本身及法律法規(guī)的信息安全要求的能力的依據(jù)，無論是組織自我還是供方能力，都可以采用，也可以用作獨(dú)立第三方認(rèn)證的依據(jù)。

二，認(rèn)證的價(jià)值

1、通過定義、和控制風(fēng)險(xiǎn)，確保經(jīng)營的持續(xù)性和能力

2、減少由于合同違規(guī)行為以及直接觸犯法律法規(guī)要求所造成的責(zé)任

3、通過遵守國際標(biāo)準(zhǔn)提高企業(yè)競(jìng)爭(zhēng)能力，提升企業(yè)形象

4、明確定義所有組織的內(nèi)部和外部的信息接口目標(biāo)：謹(jǐn)防數(shù)據(jù)的誤用和丟失

5、建立安全工具使用方針

6、謹(jǐn)防技術(shù)訣竅的丟失

7、在組織內(nèi)部增強(qiáng)安全意識(shí)

8、可作為公共會(huì)記審計(jì)的證據(jù)

9、獲得國際認(rèn)可的機(jī)構(gòu)的認(rèn)證證書，可得到國際上的承認(rèn)，擴(kuò)展公司業(yè)務(wù)

三，所需材料

1.公司簡(jiǎn)介

2.公司營業(yè)執(zhí)照

3.其他相關(guān)的行業(yè)許可資質(zhì)(如系統(tǒng)集成資質(zhì)，增值電信許可資質(zhì)，軟件著作權(quán)，專利，商標(biāo)許可等)

4.組織結(jié)構(gòu)圖(部門架構(gòu)和目前公司的主要人員姓名，歸屬部門，崗位)

5.公司網(wǎng)絡(luò)拓?fù)鋱D

6.公司內(nèi)現(xiàn)在的IT硬件，辦公電腦設(shè)備清單，網(wǎng)絡(luò)設(shè)備/服務(wù)器設(shè)備清單

7.公司現(xiàn)有IT方面的管理制度

中企檢測(cè)認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測(cè)、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識(shí)產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺(tái)。中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)行業(yè)相關(guān)檢驗(yàn)、檢測(cè)、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測(cè)認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測(cè)、認(rèn)證、商標(biāo)、專利、知識(shí)產(chǎn)權(quán)、版權(quán)法律法規(guī)知識(shí)資訊，包括商標(biāo)注冊(cè)、食品檢測(cè)、第三方檢測(cè)機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測(cè)、環(huán)境檢測(cè)、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請(qǐng)、知識(shí)產(chǎn)權(quán)、檢測(cè)法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測(cè)、認(rèn)證、知識(shí)產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識(shí)。

本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場(chǎng)監(jiān)督總局 、國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)、質(zhì)量認(rèn)證中心

免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請(qǐng)跟我們聯(lián)系刪除并致歉！

本文來源： http://bqlw.net/zs/202308/ccaa_54748.html