ISO27001信息安全管理系统和ISO20000信息技术服务管理系统(信息双系统)

ISO27001信息安全管理体系

在数字化浪潮席卷各行各业的今天，守护数据与系统安全已成为组织生存发展的基石。信息安全管理体系（ISMS）由化组织（ISO）发布，以信息保护为核心目标，协助企业建立、执行、运行、监测、审查、维持并提升防护水平，从而保障网络、应用、资产等各类关键信息。

适用范围

ISO27001具有普遍的适用性，不受地域、产业类别和公司规模限制。目前认证较多的行业主要包括软件和信息技术服务业、通信、金融、银行、数据处理中心、IC制造和软件外包等行业。

认证价值

（1）预防信息安全事故：保证组织业务的连续性，使重要信息资产受到与其价值相符的保护，防范商业秘密信息泄露、丢失、篡改和不可用。   

（2）降低风险，增强信任：降低法律风险，建立客户与合作伙伴间的信任纽带，提高公众形象和声誉。    

（3）降低运营成本：依据信息资产风险级别合理安排安全控制投资优先级，避免过度投入或投入不足。

（4）强化安全意识：增强员工的信息安全意识和责任感，减少人为原因造成的不必要损失。

（5）获得市场准入：众多组织及国际招投标项目均将ISO27001认证列为基础资质要求，已成为全球公认的数据安全与合规基础能力证明。

认证条件及材料

企业合法注册，持有有效工商营业执照和税务登记证等证照；按ISO27001标准建立并运行信息安全管理体系至少3个月以上；完成至少一次内部审核和管理评审；过去三年未发生重大信息安全事故或违法行为。

1.营业执照

2.企业简介及员工花名册 

3.网络硬件资料

4.人力资源资料

5.信息安全手册及一、二、三级体系文件

6.计量设备检定报告

7.特种设备年检记录

8.特殊工种上岗证书

9.内部审核和管理评审资料等

ISO20000信息技术服务管理体系

信息技术服务管理体系标准（ITSM）作为全球首个针对IT服务管理领域的国际规范，提供了一套清晰且系统的框架。该框架助力各类组织规划、执行、监测、评估、完善并优化自身的IT服务管理体系，进而交付优质可靠的IT支持，以匹配业务需求。此标准聚焦服务管理中的流程、人员、技术及资源要素，保障服务效能与持续改进。

产品特点

（1）以流程化管理为基础，将IT工作分解为若干流程，岗位职责对应流程组合，流程量化的输入输出为员工工作量化提供依据。

（2）建立量化的质量控制体系，设定完整考核指标，提供完善报表；客户满意度等可委托第三方调查，确保数据可信。

（3）量化管理有助于衡量IT部门价值与投资回报。CIO可借助ISO20000这一国际公认标准，证明IT服务管理实施阶段，在统一平台上沟通标准化与规范化。

（4）企业建立IT服务管理体系的目标是构建以客户为中心、自我完善的机制。实施后各流程、各岗位形成(P)策划—(D)执行—(C)检查—(A)改进的循环，培养员工问题意识，系统解决问题。

认证价值

（1）获得ISO20000国际认证证书，强化企业公信力。

（2）统一业务与供应商沟通平台，兑现服务承诺，达成利益相关方满意的IT服务管理目标。（3）增强IT服务可用性、可靠性与安全性，持续优化流程，改善业务满意度。

（3）保障项目可提供性如期交付，明晰IT成本与业务战略的关联，完善服务结构与资源配置，提升投资回报率及综合竞争力。

（4）构建IT部门持续改进与内控机制，借助透明化流程及权责绩效评价，降低运营成本与管理风险。

（5）易于整合服务管理流程与信息双体系，将现有管理体系和业务流程整合，规范IT服务水平与工作流程，降低人员变动带来的风险。

（6）提高IT部门员工的专业素质、服务能力和工作效率，提升部门整体运作及跨部门沟通能力。

认证条件与材料

企业营业执照；按ISO/IEC 20000-1:2018标准要求建立并运行IT服务管理体系至少3个月以上；完成至少一次内部审核和管理评审；体系运行期间及建立体系前一年未受到主管部门行政处罚。

1.营业执照及年检证明

2.组织机构代码证书

3.体系运行证明文件（体系文件发布控制表等） 

4.组织简介及主要业务流程文件

5.服务管理方针与计划

6.服务级别协议

7.能力管理流程

8.服务连续性和可用性管理流程

9.服务报告流程

10.业务关系管理流程

11.供方管理流程

12.事件/问题/配置/变更/发布管理流程文件

13.体系文件结构与清单

14.内部审核和管理评审证明资料等

信息双体系的共通性与整合价值

两者共通性：

ISO20000与ISO27001在事件管理、业务连续性及信息资产管理等方面具有明显互补性。大多数企业选择将双体系一同实施，以更全面、规范地控制服务运维与安全管理，提高信息服务的质量和效率，同时作为检验信息安全的标尺，推动业务发展系统化、管理化。

整合实施的实践优势

（1）协同联动，将ISO20000的事件及变更管理流程与ISO27001的安全告警机制打通，实现安全告警自动触发IT服务工单，大幅缩短处置时间。

（2）统一考核评价，对信息安全管理和IT服务管理进行综合考评。

（3）文档与内审资源整合，萃取共通流程、整并文件，降低重复成本及内外部审核负担，在人力资源管理、文档控制、管理评审、内部审核等方面实现一体化管理，形成闭环PDCA持续改进。