ISO∕IEC 20000-1：2018《信息技术服务管理第一部分：服务管理体系要求》之23-“8.7　服务保证”理解与应用指导材料.docxVIP

“8.7服务保证”理解与应用指导材料

PAGE3

PAGE3

ISO/IEC20000-1:2018《信息技术服务管理第一部分：服务管理体系要求》之23：

“8.7服务保证”理解与应用指导材料

ISO∕IEC20000-1-2018《信息技术—服务管理第1部分服务管理体系

ISO∕IEC20000-1-2018《信息技术—服务管理第1部分服务管理体系》

8服务管理体系的运行

8.7服务保证

8.7.1服务可用性管理

组织应按策划的时间间隔评估和记录服务可用性的风险。组织应确定服务可用性要求和目标。商定服务可用性要求时应考虑相关业务要求、服务要求、服务级别协议和风险。

应记录和保持服务的可用性要求和目标。

应监视服务可用性，记录结果并与目标进行比较。并对非计划的不可用性进行调查，并采取必要措施。

注：可以将6.1确定的风险作为服务可用性、服务连续性和信息安全提供风险的输入。

8.7.2服务连续性管理

组织应按策划的时间间隔，评估和记录服务连续性的风险。组织应确定服务连续性要求。商定服务连续性要求时应考虑相关业务要求、服务要求、服务级别协议和风险。组织应创建、实施并维护一个或多个服务连续性计划。服务连续性计划应包含以下内容：

a）启动服务连续性的条件和职责；

b）在发生重大服务缺失时执行的程序或引用的程序；

c）服务连续性计划启用时的服务可用性目标；

d）服务的恢复要求；

e）恢复正常工作环境的程序。

当访问正常的服务位置被阻止时，应能访问到服务连续性计划和联系人名单。

应按策划的时间间隔，测试服务连续性计划并与服务连续性要求进行比较。在服务环境发生重大变更后，应重新测试服务连续性计划。并记录测试结果。每次测试和启用服务连续性计划后均应进行评审。如果发现缺陷，组织应采取必要的措施并报告所采取的行动。

启用服务连续性计划时，组织应报告原因、影响和恢复措施。

8.7.3信息安全管理

8.7.3.1信息安全方针

具有适当授权的管理者应考虑了服务要求、法律法规要求和合同义务要求的基础上批准组织的信息安全方针。

适用时，组织应提供信息安全方针。组织应向以下范围的有关人员传达遵守信息安全方针的重要性及其对服务管理体系和服务的适用性：

a）组织；

b）客户和用户；

c）外部供方、内部供方和其他相关方。

8.7.3.2信息安全控制措施

应按策划的时间间隔评估服务管理体系和服务的信息安全风险并进行记录。应制定、实施和运行信息安全控制措施，落实信息安全方针，处理已确定的信息安全风险。应记录有关信息安全控制措施的决定。

组织应商定并实施信息安全控制措施，处理与外部组织有关的信息安全风险。组织应监视并评审信息安全控制的有效性并采取必要措施。

8.7.3.3信息安全事件

对于信息安全事件，应采取以下措施：

a）记录并分类；

b）根据信息安全风险分配优先顺序；

c）必要时升级；

d）解决；

e）关闭。

组织应按类型、数量和对服务管理体系、服务和相关方的影响来分析信息安全事件。应报告并评审信息安全事件，识别改进机会。

注：ISO/IEC27000系列标准规定了相关要求并提供了指南以支持信息安全管理体系的实施和运行。ISO/IEC27013提供了有关ISO/IEC27001和ISO/IEC20000-1（本标准）整合的指南。

服务管理体系的运行

服务保证

服务可用性管理

服务可用性管理的风险评估与目标设定；

组织应按策划的时间间隔评估和记录服务可用性的风险；

风险评估的重要性：服务可用性管理首先要进行风险评估，这是确保服务稳定性和可靠性的基础。通过定期评估，组织能够及时发现潜在的服务中断风险，从而采取相应的预防措施；

策划的时间间隔：组织应根据自身业务特点和服务需求，策划合理的时间间隔进行风险评估。这个间隔可以是固定的，如每季度或每年，也可以是动态的，根据服务运行状况和外部环境变化灵活调整；

风险评估的内容：风险评估应全面覆盖可能影响服务可用性的各种因素，包括但不限于技术故障、人为错误、自然灾害、供应链问题等。同时，评估过程中应收集相关数据和信息，为后续的风险管理提供依据；

记录要求：评估结果应及时、准确地记录在案，以便后续跟踪和分析。记录内容应包括风险评估的方法、过程、结果以及任何相关的改进措施或建议。

组织应确定服务可用性要求和目标；

服务可用性要求的确定：服务可用性要求是衡量服务稳定性和可靠性的重要指标。组织应根据自身业务需求和客户需求，结合服务级别协议（SLA）和相关法律法规要求，确定合理的服务可用性要求。这些要求应具体、明确、可衡量，以便后续的实施和监控；

考虑因素：在确定服务可用性要求时，组织应充分考虑相关业务要求、服务要求、服务级别协议和风险。例如，对于关键业务服务，其可用性要求可能更高；而对于非关键业务服