山西玖零零幺时代科技有限公司

 一.什么是ISO/IEC20000-1认证

是对组织信息技术服务管理体系(ISMS)符合ISO20000-1要求的一种认证。这是一种通过权威的第三方审核之后提供的保证：受认证的组织实施了信息安全管理体系，并且符合ISO20000-1标准的要求。

通过ISO20000-1认证的组织，将会被注册登记，、中国认证认可监督管理委员会(CNCA)网站进行查询 。
二.什么是ISO/IEC27001:2013认证

ISO27001的受认可的认证:

是对组织信息安全管理体系(ISMS)符合ISO27001要求的一种认证。这是一种通过权威的第三方审核之后提供的保证：受认证的组织实施了信息安全管理体系，并且符合ISO27001标准的要求。

是全球广泛采纳和认可的信息安全标准，保护企业信息的保密、完整、可用，证书含金量极高

ISO27001认证适用于任何组织和企业，证书有效期为3年

通过ISO27001认证的组织，在中国认证认可监督管理委员会(CNCA)网站进行查询。

三.企业做ISO/IEC20000-1认证有什么好处与作用

一旦拥有了ISO20000-1认证，就象征着企业具有可靠的IT服务后盾。那么当一个企业通过了ISO20000-1的认证，坚持实施实践后，高效的lT服务管理究竟可以给企业带来哪些效益呢-

1、建立紧密的跨部门协件关系和完善的员工考核制度

ISO20000-1的实施首先带来的是IT 管理组织的自我调整，“以流程为主”的矩阵化管理模式，与国内企业传统的以“部门为主”的企业文化有着很大差异。而以往IT组织在实施服务管理时面临的挑战就是获得高层管理人员的关注和支持，但是要坚持执行ISO20000-1的管理体系，势必要对企业现有的架构进行重新改造，将以部门职能为主导的工作方式转变为以流程驱动为主的工作方式。

ISO20000-1的13个流程的输入输出帮助解决了员工工作无法量化的难题， IT工作被分解成13个不同的管理流程，每个部门、每位员工的日常工作都是13个流程中不同工作的组合，每个流程的负责人都能根据流程的量化数据对员工进行考核，对于员工所承担的流程责任也有了相应的考核体系。

2、遵循PDCA(计划——执行——检查——改进)的方法论，持续改进IT服务管理体系

企业建立IT服务管理的目标是为了给客户提供更优服务，建立以高质量客户服务为中心的不断自我完善的体系， ISO20000-1管理体系要求企业对每个流程和岗位工作都遵循PDCA方法论，不断地发现问题和解决问题，不断地完善;要求每位员工都要具有问题意识，在工作中不断优化自己的工作模式，提高工作效率。

3、提高市场竞争力

增强企业在市场上的竞争优势，提高企业的卢誉，提升投资回报，企业通过ISO20000-1认证， 就保证了IT组织严格执行IT 实践，而客户更愿意也更信任这些有着持续完善的IT 管理体系支撑的企业。目前国内通过ISO20000-1认证的企业不多，但ISO20000-1标准的核心ITIL已经被越来越多的组织认可和引入，越来越多的企业也开始对ISO20000-1标准高度重视，对于企业来讲，越早引入ISO20000-1国际标准，企业将越早的受益，提高在行业中的竞争力。

四、企业做ISO/IEC27001认证有什么好处与作用

ISO27001认证是关于信息安全管理体系认证，能有效保证企业在信息安全领域的可靠性，降低企业泄密风险，更好的保存核心数据。

提升企业形象，提高企业的竞争力

1、通过定义、评估和控制风险，确保经营的持续性和能力

2、减少由于合同违规行为以及直接触犯法律法规要求所造成的责任

3、通过遵守国际标准提高企业竞争能力，提升企业形象

4、明确定义所有组织的内部和外部的信息接口目标：谨防数据的误用和丢失

5、建立安全工具使用方针

6、谨防技术诀窍的丢失

7、在组织内部增强安全意识

8、可作为公共会计审计的证据

五.哪些企业可以申请ISO/IEC20000-1认证

ISO 20000-1的认证适合IT服务的提供者，可以是内部的IT部门，也可以是外部的服务提供商，包括(但不限于)以下类别：

1. IT服务外包提供商

2. IT系统集成商和软件开发商

3. 企业内部IT服务提供商或IT运营支持部门与

如——以信息为生命线的行业：

1、金融行业：银行、保险、证券、基金等

2、通信行业：电信、网通、移动、联通等

3、皮包公司：外贸、进出口、HR、猎头、会计师事务所等

如——对信息技术依赖度高的行业：

1、钢铁、半导体、物流

2、电力、能源

3、外包(ITO或BPO)：IT、软件、电信IDC、呼叫中心、数据录入，数据处理加工等

六、哪些企业可以申请ISO/IEC27001认证

信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。

从目前的获得认证的企业情况看，较多的是：

以信息为生命线的行业：

1、金融行业：银行、保险、证券、基金等

2、通信行业：电信、网通、移动、联通等

3、皮包公司：外贸、进出口、HR、猎头、会计师事务所等

对信息技术依赖度高的行业：

1、钢铁、半导体、物流

2、电力、能源

3、外包(ITO或BPO)：IT、软件、电信IDC、呼叫中心、数据录入，数据处理加工等

工艺技术要求高、竞争对手渴望得到的：

1、医药、精细化工

2、研究机构

七.企业申请ISO/IEC20000-1认证和ISO/IEC27001认证的条件

申请ISO20000和ISO27001认证的基本条件：

1. 中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件;外国企业持有关机构的登记注册证明。

2. 申请方的信息技术安全管理体系已按ISO/IEC 20000-1标准的要求建立，并实施运行3个月以上。

3. 至少完成一次信息技术安全风险评估、内部审核，并进行了管理评审。

4. 信息技术安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。

5. 企业受到行政处罚，已经处理掉了，没有暂停营业

6. 申请范围不超出资质许可范围、不超出认证机构的业务范围;

7. 无违规转机构、无违法、无失信;

8. 申报人数与实际人数相差不超出20%;

9.提供企业业务相关的必备资质：如系统集成资质、安防资质等，并且保证资质的有效性和合法性。

法律地位证明文件(如企业法人营业执照、事业单位法人代码证书、社团法人登记证等)

组织机构代码证复印件加盖公章。存在时，应提交分支机构的营业执照和组织机构代码证

复印件加盖公章;

临时场所清单(如工程建设施工组织在建项目清单、信息安全管理体系及信息技术服务管

理体系的临时服务点);

至少应提供以下文件信息：方针、目标、范围、组织为过程运行及沟通而保持的信息，

必须提供：组织简介、组织结构(组织机构图)、人员情况和职能分工、过程路线图/工

艺流程图/过程描述(应明确说明关键过程和特殊过程)及其有关的过程文件，如：风险

控制情况、对IT的应用等;

关于认证活动的限制条件(如出于安全和/或保密等原因，存在时);

SLA目录;

服务管理目标和计划;

适用的法律法规的标准的清单;

八.申请ISO/IEC20000-1和ISO/IEC27001认证的流程是什么

1、按照ISO20000-1/ISO27001标准要求建立体系框架;

2、体系建立后，需要运行一段时间，至少三个月，产生三个月的运行记录;

3、向认证机构递交审核申请;

4、认证机构评估费用和正式审核时间;

5、认证机构将进行第一阶段，在正式审核前排除一些重大的确失，同时让客户熟悉审核的方 法危险评估，审查方针，范围和采用的程序。检查体系中遗漏和繁琐需要修改的地方;

6、认证机构将进行第二阶段审核，主要进行实施审核，查看程序规定的执行情况。认证

机构通常将现场审核并给出建议;

7、如果能顺利完成审核，在确定清楚认证范围后，发放信息技术体系证书。在满足持续

审核情况下，三年有效。

九.申请ISO/IEC20000-1和ISO/IEC27001认证需要多久时间

企业配合《需要找一位懂信息安全人员对接》

1.能够及时提供项目认证符合性的资质证明，

2.协助完成各种记录数据的填写，

3.配合认证公司审核时间、协助陪同审核过程及时整改不合格项

在企业配合的情况下，一般30天可以完成从“认证申请——现场审核——出证”的流程