成都ISO20000认证,成都先导药物开发股份有限公司ISO20000信息技术服务管理体系认证 发布时间: 2022-07-01 14:51 点击:
成都ISO20000认证,成都先导药物开发股份有限公司ISO20000信息技术服务管理体系认证
成都先导药物开发股份有限公司正式通过权威认证,获颁ISO/IEC 27001:2013信息安全管理体系认证证书,认证范围为“与提供新药研发及相关数据分析服务相关的信息安全管理活动”。这标志着成都先导的信息化建设再上新台阶,建立起了符合国际标准的信息安全管理体系,在确保信息环境有序稳定运作的同时,能够持续为合作客户提供更加优质的服务。
ISO27001信息安全管理体系,即Information Security Management System(ISMS),是组织在整体或特定范围内建立的信息安全方针和目标,以及完成这些目标所用的方法和体系。它是直接管理活动的结果,表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。
ISO27001审核极为严苛,是目前国际上被广泛接纳和采用的信息安全标准。其前身为英国标准协会(BSI)于1995年提出的BS7799标准,分为BS7799-1信息安全管理实施规则和BS7799-2信息安全管理体系规范两个部分。其中,BS7799-1对信息安全管理给出建议,供负责在其组织启动、实施或维护安全的人员使用;BS7799-2说明了建立、实施和文件化信息安全管理体系(ISMS)的要求,规定了根据独立组织的需要应实施安全控制的要求。2005年,BS7799被国际标准组织(ISO)采纳进而演变成为ISO 27001:2005国际信息安全管理体系认证标准,并于2013年9月升级成为ISO 27001:2013。
关于27001与20000的关系问题,我想主要要从三个方面进行分析:一是两者在组织管理中的地位关系;二是两者如何互相融合、借鉴;三是企业如何考虑使用这两套标准。
首先,来说说两者在组织管理中的地位。
我先接触的是20000体系,而且在学之前系统学过ITIL理论。关于完整的IT服务管理体系,我的认识是它是关于企业中如何进行IT系统的运行服务管理的体系。这里有三个关键词语需要注意,一是IT系统,如果一个组织的业务对IT系统的依赖不大,大可不必上此套管理体系;二是运行,最终目的强调的是IT系统的可用性,这也是整个ISO20000管理体系的核心;三是服务管理,强调说明运行维护是一项服务,服务级别管理及服务报告是服务管理的核心体现,也是ISO20000的精髓。在ISO20000的13个流程中有信息安全管理流程,标准中注明了信息安全管理要参考ISO17799。从这个层面理解,ISO20000应该包含ISO27001的内容。这也是我学完ISO20000后的初步认识和后来进一步学习27001的动机,目的都是为了做好IT服务的管理。
但是,当我学完27001后,我才发现,这个认识是错误的。正确的理解应该是,从整个组织管理的角度看,ISO27001应该包含ISO20000。为什么这么理解?这要从ISO27001在组织管理中所起的作用来分析。27001主要讲的是信息安全管理体系的建设、运行、维护和改进。对于信息安全管理的目的,标准中反复强调的是保证信息的保密性、完整性和可用性,而我们最容易陷入的误区是信息安全就是保密性,不牵涉到完整性和可用性,实际上三者的整合才是信息安全管理的目的。前面已经提到,ISO20000的最终目的是要管理IT系统的可用性,实际上只是完成了ISO27001中的可用性管理。而且从IT系统的生命周期看,20000管的是系统建设完成后的可用性管理,27001管的是从需求到开发到运行维护整个IT系统生命周期的可用性管理。从这个角度理解,仅仅对于可用性的管理,27001需要管理的范围就更大,而且,27001还要管理信息的保密性和完整性。当然,信息的完整性是个基本要求,信息不完整也意味者不可用,因此,无论是27001还是20000,对完整性的管理都是基本要求。
因此,我们基本可以得出结论,对于一个比较依赖IT系统的组织来说,27001的内容包含20000的内容。做好20000对于27001的建设是大有好处的,而且,对于一个有需求的组织来说我也建议先上20000,再上27001。
其次,来说说两者之间如何融合、借鉴。
中國中鴻實業有限公司旗下:中鸿认证服务 www.cnqr.org
1998年至今 ISO认证/企业资质服务 直办非中介 全国接单 远程或就近安排审核
1.诚聘专兼职审核员(全国/满足条件可定向培养),专职咨询老师/专职市场专员(成都) 。年薪10-35万
2.全国诚招ISO认证代理人(个人级/企业级),转发信息即佣金,免费培训。
3.本年度ISO内审员免费培训开始了,每月免费名额有限,从速预计。