关于27001与20000的关系问题,我想主要要从三个方面进行分析:一是两者在组织管理中的地位关系;二是两者如何互相融合、借鉴;三是企业如何考虑使用这两套标准。
首先,来说说两者在组织管理中的地位。
我先接触的是20000体系,而且在学之前系统学过ITIL理论。关于完整的IT服务管理体系,我的认识是它是关于企业中如何进行IT系统的运行服务管理的体系。这里有三个关键词语需要注意,一是IT系统,如果一个组织的业务对IT系统的依赖不大,大可不必上此套管理体系;二是运行,最终目的强调的是IT系统的可用性,这也是整个ISO20000管理体系的核心;三是服务管理,强调说明运行维护是一项服务,服务级别管理及服务报告是服务管理的核心体现,也是ISO20000的精髓。在ISO20000的13个流程中有信息安全管理流程,标准中注明了信息安全管理要参考ISO17799。从这个层面理解,ISO20000应该包含ISO27001的内容。这也是我学完ISO20000后的初步认识和后来进一步学习27001的动机,目的都是为了做好IT服务的管理。
但是,当我学完27001后,我才发现,这个认识是错误的。正确的理解应该是,从整个组织管理的角度看,ISO27001应该包含ISO20000。为什么这么理解?这要从ISO27001在组织管理中所起的作用来分析。27001主要讲的是信息安全管理体系的建设、运行、维护和改进。对于信息安全管理的目的,标准中反复强调的是保证信息的保密性、完整性和可用性,而我们最容易陷入的误区是信息安全就是保密性,不牵涉到完整性和可用性,实际上三者的整合才是信息安全管理的目的。前面已经提到,ISO20000的最终目的是要管理IT系统的可用性,实际上只是完成了ISO27001中的可用性管理。而且从IT系统的生命周期看,20000管的是系统建设完成后的可用性管理,27001管的是从需求到开发到运行维护整个IT系统生命周期的可用性管理。从这个角度理解,仅仅对于可用性的管理,27001需要管理的范围就更大,而且,27001还要管理信息的保密性和完整性。当然,信息的完整性是个基本要求,信息不完整也意味者不可用,因此,无论是27001还是20000,对完整性的管理都是基本要求。
因此,我们基本可以得出结论,对于一个比较依赖IT系统的组织来说,27001的内容包含20000的内容。做好20000对于27001的建设是大有好处的,而且,对于一个有需求的组织来说我也建议先上20000,再上27001。
其次,来说说两者之间如何融合、借鉴。
ISO20000的服务管理思想是ISO27001所没有的,对于承担运维管理和安全管理的组织中的团队来说,服务管理的思想都是值得借鉴和采用的,因此服务级别协议和服务报告是首先应该考虑融合、借鉴的。
ITIL流程管理的思路,我觉得不论是运维管理还是信息安全管理都应该采用,大家应该好好学习和使用。尤其是对于27001的建设,133个控制措施,点太多,根本就没有串起来。我的感觉是应该用服务台、事件、问题、变更、发布、配置管理将20000和27001的要求串起来。至于如何将27001的要求串起来,可以作为一个课题讨论、研究。
ISO27001的风险管理的思想是一个非常好的且非常实用的思路,一定要融合及借鉴。
综合上述思路,可以归纳为“以服务管理的思想为指导,以风险管理的思想为核心,以ITIL流程管理的思路为主线对ISO27001和ISO20000进行融合”
最后,说说组织应该如何如何考虑使用这两套标准。
在这个话题上,组织应该着重考虑两个问题。其一,这两套标准公司需要吗?其二,何时具备上的条件?
我在这里主要强调的是第二个问题,当组织决定采用其中一个标准或两个标准都采用时,应该具备的条件。要知道,一套体系的建设是高难度的工作。按照我理解的成熟度模型,体系的建设应该是第三阶段的工作。第一个阶段为打基础阶段,主要解决日常工作和监控的问题;第二个阶段是流程建设阶段,要具备流程管理的能力;第三个阶段才是体系建设阶段。因此,一个组织在没有经历前两个阶段前,不要盲目进入体系建设阶段。
阅读(800) | 评论(0) | 转发(0) |