标题: [原创] IT服务管理体系与信息安全管理体系的整合方法
IT服务管理体系与信息安全管理体系的整合方法
跟大家讨论一下ITSM和ISMS的整合，下面都是一些理论，如果大家对实际如何实施也感兴趣，就在下面跟贴讨论吧。 从大的层面上，应当在如下方面进行整合： ?组织结构整合：建立信息安全及IT服务管理的整合组织结构。并建立统一的PDCA循环。 ?管理体系运行整合：包括风险管理、可用性、容量及连续性管理的整合管理； ?内部审计整合：旨在建立整合的IT内审机制，定期对信息安全和IT服务管理体系进行整合审计，减少审计频次； ?文件管理制度整合：则、旨在从公司统一的架构考虑制度文件的整合。 ?信息安全目标与服务绩效的整合：旨在通过设定包括信息安全及IT服务管理目标在内的信息技术部总体目标，建立完整且多面向考虑的服务水平与指标，并建立整合的指标度量和报告机制； ?信息资产与配置管理的整合：实现以信息资产搜集为基础，建立配置管理及信息资产整合的配置项信息； ?风险管理的整合：建立以服务观点出发的风险识别方法，实现整合的风险根源分析、风险应对建议收集及制订改进计划的机制； 除此之外，为实现管理体系整合的实施，也应当在组织架构、PDCA过程、流程设计等方面进行全面的设计与改进，以确保上述所提到的几个关键整合任务的落实保障。 ?管理体系组织架构的整合与转化：基于ISO27001与ISO20000的不同要求，在企业当前的组织架构以及人力资源配置的基础上，对IT组织架构的重新设计提供建议，包括进行决策、管理和执行三个层面的管理体系组织结构如何统一的建议。在客户根据建议实施后，从而可以满足两个管理体系在组织方面的要求； ?统筹策略并设计组织的PDCA过程：与客户已有的质量管理体系的机制保持融合一致； ?设计统一的流程管理机制：实现对于信息安全管理、IT服务管理以及其他重要流程的规范化管理。 上面目标和绩效整合、信息资产与配置管理整合、风险管理整合，相对会更值得探讨一些。尤其是信息资产与配置管理整合后，对信息安全风险评估过程和结果的贡献，会是有价值的一件事。虽然在ITIL V3中，已经把信息资产和配置管理作为一个流程，但主要还是从资产管理和配置管理的角度，而对这种整合带来的衍生价值没有太多讨论。 我在一家国际性的咨询公司工作，如果大家有兴趣和我共事，或进一步讨论，请联系 []
跟大家讨论一下ITSM和ISMS的整合，下面都是一些理论，如果大家对实际如何实施也感兴趣，就在下面跟贴讨论吧。 从大的层面上，应当在如下方面进行整合： ?组织结构整合：建立信息安全及IT服务管理的整合组织结构。并建立统一的PDCA循环。 ?管理体系运行整合：包括风险管理、可用性、容量及连续性管理的整合管理； ?内部审计整合：旨在建立整合的IT内审机制，定期对信息安全和IT服务管理体系进行整合审计，减少审计频次； ?文件管理制度整合：则、旨在从公司统一的架构考虑制度文件的整合。 ?信息安全目标与服务绩效的整合：旨在通过设定包括信息安全及IT服务管理目标在内的信息技术部总体目标，建立完整且多面向考虑的服务水平与指标，并建立整合的指标度量和报告机制； ?信息资产与配置管理的整合：实现以信息资产搜集为基础，建立配置管理及信息资产整合的配置项信息； ?风险管理的整合：建立以服务观点出发的风险识别方法，实现整合的风险根源分析、风险应对建议收集及制订改进计划的机制； 除此之外，为实现管理体系整合的实施，也应当在组织架构、PDCA过程、流程设计等方面进行全面的设计与改进，以确保上述所提到的几个关键整合任务的落实保障。 ?管理体系组织架构的整合与转化：基于ISO27001与ISO20000的不同要求，在企业当前的组织架构以及人力资源配置的基础上，对IT组织架构的重新设计提供建议，包括进行决策、管理和执行三个层面的管理体系组织结构如何统一的建议。在客户根据建议实施后，从而可以满足两个管理体系在组织方面的要求； ?统筹策略并设计组织的PDCA过程：与客户已有的质量管理体系的机制保持融合一致； ?设计统一的流程管理机制：实现对于信息安全管理、IT服务管理以及其他重要流程的规范化管理。 上面目标和绩效整合、信息资产与配置管理整合、风险管理整合，相对会更值得探讨一些。尤其是信息资产与配置管理整合后，对信息安全风险评估过程和结果的贡献，会是有价值的一件事。虽然在ITIL V3中，已经把信息资产和配置管理作为一个流程，但主要还是从资产管理和配置管理的角度，而对这种整合带来的衍生价值没有太多讨论。 我在一家国际性的咨询公司工作，如果大家有兴趣和我共事，或进一步讨论，请联系 []