2013信息安全管理体系如何办理信息技术服务管理管理体系

联系人:黄潭 信息安​‌‌全管理体系，即InformationSecurityManagementSystem(简称ISMS)，是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的。ISO2005是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标与控制措施等一系列活动来建立信息安全管理体系；体系一旦建立，组织应按体系的规定要求进行运作，保持体系运行的有效性；信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系。 ISO20000是由英国标准BS15000演变而来的，是认可的信息技术服务管理标准，符合英国（OGC）在ITIL（IT基础设施库）中定义的流程方法。ISO20000的设计旨在使单位的内部或外包的IT基础设施保持一致，以使员工和客户受益。该标准基于13个关键流程，这些流程涉及服务报告、IT服务预算和会计、信息安全、供应商、和变更管理等方面，用以保证有效实现IT服务整体管理的终目标。部分（IS）：管理规范（Specification）－IT服务管理标准介绍；第二部分（IS）：实施准则（Codeofpractice）－实践。ISO/IEC20000-2005规定了组织向其顾客提供合格服务的具体规定和要求。 现阶段，组织的IT服务管理体系都与工具软件有一定关联，而且这种依存度正在逐渐上升。组织在实施ISO20000认证时，可能需要对其现有的工具平台进行一定的调整，也可能需要采购一些新的产品。费用方面，1)认证咨询服务费(咨询合作方，具体费用根据组织规模而有所不同。对于希望通过该项认证的组织来说，在项目方案中应确认认证服务费用是否包含后续年度的复审、复评和证书管理费用等。除以上介绍的管理基础分析、效益分析、认证实施计划、资源与费用等主要内容外，认证可行性方案中还可以包括ISO20000认证介绍、风险因素及对策等内容，组织可根据自身情况丰富方案内容。