ISO27001信息安全管理体系如何做

ISO20000和ISO2700的差别和联络

先，我们应该先了解一下ISO20000和ISO27000差别和联络。

01、规范具体内容的差别

ISO20000是面向机构的IT服务管理标准，目的是为了给予创建、执行、运行、监管、审查、维护保养和优化IT服务体系管理(ITSM)的实体模型。

ISO27001是一个机构的全面或部分信息内容安全风险管理评估的基本，它能够作为对一个组织的全面或部分信息内容安全风险管理开展审查认证的规范。

02、主体的着重点不一样

ISO20000 以步骤为基础，界定了一系列较为抽象化的流程总体目标。

ISO27001 以基准点/控制方法为主导，较为实际。

03、管理体系规范化的着重点各有不同

ISO20000 是面向IT 管理与服务的质量体系标准，而ISO27001 是面向网络信息安全的品质技术标准。

ISO20000 注重以步骤的形式做到质量管理标准，而ISO27001注重以风险性基准点的方式去做到网络信息安全管理的目标。

ISO20000 适用公司的IT 服务部门，一般是IT 单位；ISO27001 适用全部公司，不仅仅是IT单位，也包括各个部门、会计、人事部门等部门。

05、管理体系标准存有的关联性特点

ISO20000 与ISO27001在事件管理、业务连续性管理方法、信息资产管理等方面是相同的。

ISO20000与ISO27001融合标准

在开展ISO20000与ISO27001Z融合执行的过程当中，为了能能够更好的充分发挥2套管理体系融合所带来的企业价值评估，必须遵循管理体系融合标准，从而进行系统融合的建立与管理。管理体系融合标准，是公司建设服务管理与网络安全管理的前提基本与确保根据，融合标准在管理体系融合搭建与实施里将发挥其大功效。

管理体系融合必须遵循原则如下所示：

一、关心顾客服务水准

ISO20000是客户至上，以步骤为出发点的IT 服务管理体系，致力于提升顾客满意度水准。而ISO27001主要是针对信息资产的风险管控，同是为了保障公司内部总体服务水平，间接的确保了客户服务质量。

二、管理体系条文达到标准

2套管理体系融合的条款应先关联性规定条文融合为一体，不同类型的特殊规定条文也应当满足。

三、文件结构达到标准

2套管理体系应采用一致性的文本文档结构分析，便捷共享文件与统一检索途径，更有利于日常维护保养与参考。

四、职责一体化达到标准

构建体系融合执行，应先管理职责的集中化与分散化开展融合，要综合考虑2套体系的标准差异，调节与优化组织结构，保证对标准的关联性要求的规范化管理与统一操纵。

五、降低成本达到标准

2套管理体系融合后该在即时性与成本管理层面有明显的改善。

六、风险管控达到标准

确保在管理体系流程规划、执行与运行中，可以采取措施对各类风险性开展有效管理。

七、全员参与达到标准

要求在管理体系执行与执行过程中，机构全体成员都参与进来，充分保证我们在构思里的的共识。

八、管理体系运行模式达到标准

遵循PDCA 过程方法来对管理体系开展不间断的持续改善。

九、专用工具插口达到标准

如会对IT管理与服务与网络信息安全，要基本建设两个系统时，规定两个系统要设计详尽的插口，并有专门的文本文档来纪录接口标准。

     ISO20000与ISO27001融合具体内容

依照技术标准和实施指南，并根据对多系统融合的

执行经验的归纳，ISO20000与ISO27001两管理体系融合实施的具体内容分成如下所示几个方面，包含：

一、管理体系实施人员的融合

做为2套管理体系融合的要素，都是融合关键的影响因素，只有对实施人员的统一管理与每日任务分配，才能更好的体系管理执行与改善。即便工作人员有很大变化时，也能保证正常服务运营。

管理体系实施人员根据本身科学研究或依靠咨询管理公司深入分析2套管理体系标准，找到其关联性管理体系因素。如：ISO20000的“事件管理”与ISO27001的“信息安全事故管理方法”等。

公司从整体应该达到2套体系的法律法规、政策法规规定，这可以确保合乎法律的整体性。

ISO20000验证与ISO27001认证参考管理体系规范化的实体模型与流程建设标准，能够标准本质管理与外在系统服务，使服务保障与服务提供紧密联系，对其成本费资金投入开展有效管理，为机构给予事故处理的及时性、协调能力及风险性分区规划。根据管理体系中常论述的考核标准与表格，可以实现服务项目可计量检定。

五、管理体系执行文件编制的融合

现阶段，2套管理体系认证的文本文档体系框架关键都是以四级文本文档为标准，划分的结构层次也是有一定程度的共同之处。能够提炼共用的模版与文件结构。

六、机构运维管理规划与职责的融合

组织的运维管理整体规划可以从服务与风险管控2个关键要素去考虑，确保制订的战略合乎未来发展规定，根据详尽的控制方法来保障的整体服务水平。并依据2套体系的标准差异，调节与优化组织结构，健全人物角色人员的职能化规定，以此来实现职责一体化的基本建设。

七、内部结构与管理评审的融合

在管理评审的前期准备工作时，能够全方位考虑到其审查满足条件因素，审核后可以根据审批机构的提议来统一开展改善与提升。审批组织应尽量选同一家认证，确保验证及维护保养的一致性。

八、塑造与培训的融合

塑造与培训的融合管理体系融合的培训，能使机构职工马上就能够了解其运用本质，大大减少了经济成本。