ISO27001/ISO20000——信息不容忽視 隨著網(wǎng)絡的告訴發(fā)展，我們的生活越來越信息化，信息技術(shù)越來越接近于我們的生活。信息對于我們來說就是一種資源，它具有普遍性、共享性、增值性、可處理性和多效性，這對于人類具有特別重要的意義。 當然，任何事情的發(fā)展都是帶有兩面性的，在信息化改變生活的同時，雖然由著它便利的一面，但也存在著相當大的隱患。信息的實質(zhì)就是要保護信息系統(tǒng)或信息網(wǎng)絡中的信息資源免受各種類型的威脅、干擾和破壞，即保證信息的性。 根據(jù)國際標準化組織的定義，信息性的含義主要是指信息的完整性、可用性、保密性和可靠性。而我們ISO27001、ISO20000就是特別針對于信息而推出的一系列管理體系。 ISO/27001是用于為建立、實施、運行、監(jiān)視、評審、保持和改進信息管理體系(InformationSecurityManagementSystem,簡稱ISMS)提供模型。是基于并取代獲得國際認可的英國標準BS7799，并與其他國際標準一起組成一個標準族，包括OECD的信息實施指南的ISO/IEC17799信息的實踐指南。 ISO/27001定義了信息管理體系（ISMS）的要求。標準被編寫用于保證您選擇適當?shù)暮瓦m度的控制措施來保護信息資產(chǎn)，并保證包括您的客戶在內(nèi)的利益相關方的信心。 ISO/20000是一個關于IT服務管理體系的要求的國際標準，它幫助識別和管理IT服務的關鍵過程，保證提供有效的IT服務滿足客戶和業(yè)務的需求。 ISO/20000標準著重于通過“IT服務標準化”來管理IT問題，即將IT問題規(guī)類，識別問題的內(nèi)在聯(lián)系，然后依據(jù)服務水準協(xié)議進行計劃、推行和監(jiān)控，并強調(diào)與客戶的溝通。該標準同時關注體系的能力，體系變更時所要求的管理水平、財務預算、軟件控制和分配。其前身是BS/15000，和政府商業(yè)辦公室（OGC）的IT基礎設施庫（ITIL）界定的過程論密切一致。ISO/20000包含兩個部分：審核規(guī)范和實踐要點。 當然，在信息保護方面上，我們肯定不能一味的只依靠于我們的管理體系，而是在我們管理體系給與我們一定的方向和基礎的前提下，要做到落實標準，將信息意識印入我們的腦海，只有時刻警惕信息，我們才能做到真正的信息保護。 從事企管咨詢多年，為超過300家的電子信息、企事業(yè)單位、物業(yè)、保安、清潔、金融、能源、教育裝備、制造業(yè)、交通物流、餐飲服務等行業(yè)企業(yè)完成資質(zhì)體系建立與認證，在相關領域積累了深厚的經(jīng)驗、人脈。 由于軟件外包的重要程度，產(chǎn)品與服務質(zhì)量的好壞將直接影響到或企業(yè)的外在形象及收益，如何提供更好的過程持續(xù)改進質(zhì)量，成為企業(yè)及政府重點關注的問題。

IT組織從產(chǎn)生到發(fā)展的很長一段時期，一直是以搞好技術(shù)，做好技術(shù)支持配角為特征的。但今天的信息系統(tǒng)已不單純是企業(yè)的技術(shù)支撐，信息化由“技術(shù)驅(qū)動”向“業(yè)務驅(qū)動”轉(zhuǎn)變，IT部門的角色也逐步開始從單純的信息技術(shù)提供者向信息服務供應者轉(zhuǎn)換，職能的轉(zhuǎn)變，客觀上也要求信息管理向IT服務管理模式轉(zhuǎn)變。 隨著IT技術(shù)的發(fā)展，越來越多的組織基于IT技術(shù)構(gòu)筑自己的價值鏈，需要IT的支持來支撐組織的運行，IT構(gòu)架已經(jīng)成為影響組織生存的關鍵要素，特別是對于銀行、證券、保險、電信等高度依賴信息技術(shù)的組織。而且隨著逐年IT的投入，建設了大量的軟硬件系統(tǒng)，對客戶要求的提高，對故障發(fā)生的恐懼，對投入成本逐年增加的不安，都促使現(xiàn)在的組織要采取措施規(guī)范IT服務的管理。 在產(chǎn)品生產(chǎn)過程中，需要遵循一定的質(zhì)量控制標準(如ISO9000系列標準)，可以確保產(chǎn)品的質(zhì)量保持較高的水準(如較高的產(chǎn)品合格率)，同時也可以降低產(chǎn)品制造成本。而對于服務提供(運營)過程來說，遵循相關的服務管理標準(如ISO20000)可以實現(xiàn)服務運營的輸入(Inputs)和生產(chǎn)流程(Process)的標準化。只有將過程標準化了，才能保證終的服務質(zhì)量和成本符合預定的標準，才能實現(xiàn)過程控制，從而達到質(zhì)量控制的目標。 在傳統(tǒng)的IT管理模式下，IT部門是作為技術(shù)支持的角色被動地存在的，而在新的IT服務管理模式下，IT部門是作為一個主動的服務提供者向其客戶和用戶(企業(yè)的業(yè)務部門)提供賴以支撐組織業(yè)務運作的IT服務，IT部門和IT外包商往往需要向客戶提供服務目錄(SC)并和客戶簽訂正式的服務級別協(xié)議(SLA)。 目前，全球的IT服務業(yè)正逐漸走向?qū)I(yè)化和外包化。隨著企業(yè)和政府組織的業(yè)務運作越來越依賴于IT，越來越多的組織考慮將其IT服務運營外包給專業(yè)的IT服務提供商或?qū)?nèi)部的IT支持部門提出更明確的服務要求，以確保提高服務質(zhì)量，降低服務成本，降低因IT服務中斷所導致的業(yè)務風險。 如何控制這個IT服務的整體風險(無論是內(nèi)部還是外部)，提高IT的整體服務水平是一個需要高度重視的問題，而ISO/IEC20000就是解決該問題的一個很好的指南。