IATF16949    ISO9001   ISO14001

ISO20000认证咨询

ISO20000与ISO27001体系的整合

2022-07-17 10:50:55 admin 17

ISO20000和ISO27001等关注不同的领域,但是不同标准在信息安全方面存在交叉,同时,由于ISO20000和ISO27001两者都属于国际标准,所以在宏观上又存在相似之处,为了避免重复性项目建设,同时也为了将两种体系尽量融合,给出整合建议。

 

借助于安信达咨询公司之前在多家企业的ISO20000和ISO27001咨询项目中的ISO20000&ISO27001体系整合实施的经验,本项目中,安信达将尽可能实现ISO27001和ISO20000标准的体系融合,尽量避免重复建设及标准的冲突,同时将考虑与及ISO9000的体系融合与接口。

 

ISO20000和ISO27001整合思路

将两个体系作为一个整体的体系来建设,这样最终只有一套体系文件。主要思路是:

1. ISO20000、ISO27001、ISO9000具有相同的文档体系结构:定义相同的体系文档结构,包括管理层承诺、目标、方针、组织架构、管理体系要求和PDCA等方面的要求,这种文档体系以满足标准的共同要求。

2. ISO20000和ISO27001在信息安全方面具有交叉内容,而ISO27001在信息安全方面完全覆盖ISO20000中信息安全的要求部分,同时一个企业只能存在一种安全标准,因此,信息安全主要以ISO27001构建为主,同时考虑ISO20000的信息安全的要求,做好两个标准的接口。

3. 需要实现文件编码方面的整合,争取两个体系采用类似或者同样的文件编码结构,如ISO20000体系可采用ITSM-2-IM-01形式,其中第一段代表所属体系简写,第二段代表文件阶层,第三段代表控制域或者过程缩写,第四段采用顺序号来编号。

4. CMMI和ISO27001在信息系统的开发及维护上存在交叉内容,ISO27001体系要求在信息系统开发过程中需符合ISO27001 A12(信息系统的开发及维护)中的安全管控要求,以满足ISO27001的整体安全管控要求。因此要做好软件开发中安全管理与信息安全的接口。

5. CMMI和ISO20000在软件的变更、发布以及新服务或变更的服务交付上存在交叉内容,因此在整合文档时要考虑以上几点,并界定两个体系的接口。

6. ISO9000的章节7.1和7.3(产品交付)与ISO20000的新服务和变更的服务(章节5)存在交叉,ISO9000的章节7.2与ISO20000客户关系管理方面存在交叉,因此在整合文档时会覆盖ISO9000的相关内容。

 

ISO20000和ISO27001融合的体系文件结构

多个体系可公用一套体系文件,整个体系分为四阶:

1. 一阶:主要是Statement和手册,定义了体系的目标、组织架构、管理层声明、管理者代表和体系的总体要求的纲领性文件。

2. 二阶:各个体系的流程层面的管理指引文件,在二阶文件中来最大限度的整合ISO27001&ISO20000体系的管理流程,信息安全的流程尽力整成一个文件。所有的二阶流程文件都是各个体系的流程层面的指引,规定了各个流程的整体活动、角色、执行原则、KPI要求等方面。

3. 三阶:各体系的执行层面的规章制度,比如服务台热线操作手册、系统使用说明等。如果存在总公司-分公司管理、或者不同客户的要求有很大的不同时,可在相应二阶流程指引的框架下,在三阶文件中制定不同的执行制度,比如可制定各个分运维中心的事件管理流程或事件操作制度。

4. 四阶:各体系的文件记录和相关报表。


ISO20000体系认证有什么好处?

1、提升客户满意度

通过提高IT服务本身的可用性、可靠性以及安全性;持续不断地对服务流程进行优化,提升服务水平,保证项目能够如期交付。从而为客户提供更加高质量的服务,让客户的满意度提升,更好地服务客户。

2、提高企业竞争实力

获得业内普遍认同的国际ISO20000认证,也就是向国际标杆靠齐,增强市场竞争力,提高组织声誉,从而能够在总体上提高组织或者企业IT投资的报酬率。

3、管控风险

它能帮助IT企业或者组织更好地管理成本,明确企业业务和IT战略目标的结合点,通过诸多管理手段把现有的IT服务结构和资源配置整合并且完善,从而降低IT运营的管理成本和风险。还能够将公司管理体系和业务流程整合起来,让IT企业或者IT部门的服务水平都更上一层楼,降低由于人员变动引起的各种风险。


首页
产品
新闻
联系