Сертификация ИСО 20000: система менеджмента услуг информационных технологий
Стандарт описывает, как организация управляет услугами, которые оказывает в области информационных технологий: собственному бизнесу или внешним заказчикам.
- Оформляем такие документы регулярно — это наша ежедневная работа, а не разовый опыт
- Берёмся за сложные проекты, от которых отказываются другие: нестандартная продукция, спорная классификация, зарубежное производство
- Доводим до результата — до получения документа, а не до первого отказа
- Собственный орган по сертификации, аттестат 11НК35
- Цену и срок называем до начала работ, ответ в течение часа в рабочее время
Стоимость зависит от численности персонала, числа площадок и области сертификации. Документ выдаётся на три года с ежегодными надзорными аудитами.
К нам приходят после отказов в других органах и после остановки партии на таможне. Разбираем причину, исправляем доказательную базу и доводим до выдачи документа.
Оборудование единичного изготовления, спорная классификация, пересечение нескольких регламентов, зарубежные площадки с выездом экспертов — работаем с тем, что требует разбора, а не шаблона.
Называем реальный срок и цену до начала работ. Если по продукции документ не нужен — скажем прямо и оформим отказное письмо вместо лишнего сертификата.
Аттестат аккредитации 11НК35. Не посредники: работы ведём сами, сроки зависят от нас, а не от цепочки подрядчиков.
Стандарт описывает, как организация управляет услугами, которые оказывает в области информационных технологий: собственному бизнесу или внешним заказчикам. Речь не о качестве техники, а о предсказуемости сервиса — известно, какие услуги оказываются, с каким уровнем доступности, что происходит при сбое и как вносятся изменения. Его путают со стандартом информационной безопасности: тот отвечает за защиту информации, этот — за работоспособность и управляемость услуг. Ниже — что входит в систему и на что смотрит аудитор.
01
Что входит в систему
- каталог оказываемых услуг с их описанием;
- соглашения об уровне обслуживания с потребителями;
- управление мощностями и доступностью;
- управление инцидентами и запросами на обслуживание;
- управление проблемами: устранение причин повторяющихся сбоев;
- управление изменениями и релизами;
- управление конфигурациями;
- непрерывность оказания услуг;
- управление отношениями с поставщиками.
02
Соглашения об уровне обслуживания
- фиксируют измеримые параметры услуги;
- типичные параметры: доступность, время реакции, время восстановления;
- параметры должны быть достижимы и измеряемы;
- фактические показатели сопоставляются с согласованными;
- отклонения анализируются, а не игнорируются;
- соглашение пересматривается при изменении потребностей.
03
Отличие от стандарта информационной безопасности
- стандарты дополняют друг друга;
- часть процессов общая, но цели различаются;
- совместное внедрение снижает трудоёмкость;
- заказчики иногда требуют оба документа;
- подмена одного другим при подаче документов заметна сразу.
| Признак | Менеджмент услуг | Информационная безопасность |
| Предмет | Работоспособность и управляемость услуг | Защита информации |
| Ключевой вопрос | Услуга оказывается как обещано | Информация защищена от угроз |
| Основные процессы | Инциденты, изменения, уровни сервиса | Оценка рисков, меры защиты |
| Пересечение | Управление инцидентами, непрерывность | Те же процессы с иным фокусом |
04
Как проходит сертификация
- записи о работе системы — основной предмет проверки;
- внутренний аудит обязателен до внешнего;
- значительные несоответствия препятствуют выдаче;
- при нескольких площадках проверяется выборка либо все;
- область сертификации фиксируется в сертификате.
- Разработка и внедрение системы.
- Работа системы до накопления записей.
- Внутренний аудит и анализ со стороны руководства.
- Подача заявки в орган по сертификации.
- Первый этап: анализ документации и готовности.
- Второй этап: аудит на площадке.
- Устранение несоответствий.
- Выдача сертификата на три года.
- Ежегодные надзорные аудиты.
- Ресертификация.
05
Что проверяется при аудите
- процессы управления услугами описаны и выполняются;
- каталог услуг ведётся и актуален;
- уровни обслуживания согласованы с заказчиками;
- инциденты регистрируются и разрешаются в срок;
- изменения проходят через управляемую процедуру;
- проблемы расследуются для устранения причин;
- показатели измеряются и анализируются.
06
На что смотреть при выборе органа
- наличие аккредитации и её признание;
- возможность проверки документа в реестре органа;
- опыт работы в вашей отрасли;
- реальное проведение аудита, а не заочная выдача;
- стоимость, соразмерная объёму работ;
- готовность заказчиков принимать документы этого органа.
07
Что такое ИСО 20000
- стандарт устанавливает требования к системе менеджмента ИТ-услуг;
- охватывает планирование, предоставление и улучшение услуг;
- включает управление инцидентами, изменениями, конфигурациями;
- сертификация добровольная;
- востребована у ИТ-аутсорсинга, дата-центров, интеграторов;
- интегрируется с ИСО 9001 и ИСО 27001.
Цена зависит от конкретного изделия и объёма испытаний. Опишите товар — назовём точную сумму и срок до начала работ.
08
Процессы ИСО 20000
| Процесс | Что даёт |
|---|---|
| Управление инцидентами | Быстрое восстановление услуг |
| Управление изменениями | Меньше сбоев после изменений |
| Управление уровнем услуг | Понятные обязательства перед заказчиком |
| Управление конфигурациями | Знание состава ИТ-инфраструктуры |
09
Подготовка к сертификации
- каталог услуг;
- соглашения об уровне услуг;
- процедуры процессов;
- записи об инцидентах и изменениях;
- внутренний аудит.
10
Как проходит аудит ИСО 20000
- первый этап — проверка документации и готовности;
- второй этап — проверка процессов в работе;
- интервью с персоналом службы поддержки;
- проверка записей об инцидентах и изменениях;
- оценка выполнения соглашений об уровне услуг;
- решение органа о выдаче сертификата.
11
Связь с другими стандартами
| Стандарт | Что добавляет |
|---|---|
| ИСО 9001 | Общий менеджмент качества |
| ИСО 27001 | Защита информации |
| ИСО 22301 | Непрерывность бизнеса |
| ИСО 20000 | Управление ИТ-услугами |
12
Показатели ИТ-услуг
- доступность услуг;
- время реакции на инцидент;
- время восстановления;
- число повторных инцидентов;
- удовлетворённость пользователей;
- выполнение соглашений.
13
Частые ошибки
- процессы только на бумаге;
- нет соглашений об уровне услуг;
- инциденты не регистрируются;
- изменения без оценки рисков;
- нет анализа руководством.
Частые вопросы
Что охватывает стандарт?
Каталог услуг, соглашения об уровне обслуживания, управление мощностями, инцидентами, проблемами, изменениями, конфигурациями и непрерывностью.
Чем инцидент отличается от проблемы?
Инцидент устраняют для восстановления работы, проблему решают, чтобы инцидент не повторялся.
Какими должны быть параметры соглашения?
Измеримыми и достижимыми: обязательство «оперативно реагировать» проверить невозможно.
Чем стандарт отличается от информационной безопасности?
Он отвечает за работоспособность и управляемость услуг, а не за защиту информации.
Как проходит сертификация?
В два этапа с выдачей сертификата на три года и ежегодными надзорными аудитами.
Что фиксируется в сертификате?
Область сертификации: документ на один вид деятельности не подтверждает систему для другого.
Как выбрать орган?
По наличию признаваемой аккредитации, опыту в отрасли и готовности ваших заказчиков принимать его документы.
Что входит в систему?
Различие между инцидентом и проблемой — основа системы: инцидент устраняют, чтобы восстановить работу, проблему решают, чтобы инцидент не повторялся. Организации, работающие только с инцидентами, тушат одни и те же пожары годами.
Соглашения об уровне обслуживания: что важно знать?
Требование измеримости отсекает формальные соглашения: обязательство «оперативно реагировать» невозможно проверить, а значит и нарушить, и такой пункт системе не помогает.
Обязателен ли ИСО 20000?
Нет, это добровольный стандарт.
Кому он полезен?
ИТ-сервисным компаниям, дата-центрам, интеграторам, внутренним ИТ-службам крупных компаний.
Можно ли совместить с ИСО 27001?
Да, в интегрированной системе.
Сколько действует сертификат?
Обычно три года с надзорными аудитами.
Что проверяет аудитор?
Процессы управления услугами и их результаты.
Нужна ли сертификация для внутренней ИТ-службы?
Не обязательна, но помогает выстроить процессы.
Связан ли ИСО 20000 с ITIL?
Да, многие процессы стандарта опираются на практики ITIL.
Нужен ли каталог услуг?
Да, это основа системы.
Можно ли сертифицировать только часть услуг?
Да, область сертификации определяется заявителем и органом.
Подходит ли ИСО 20000 для внутренних ИТ-отделов?
Да, стандарт применим и к внутренним ИТ-службам, и к внешним поставщикам услуг.
Совмещают ли ИСО 20000 с ИСО 27001?
Да, системы часто внедряют вместе.
Бесплатная консультация
Разберём ваш случай
Опишите товар и задачу — определим, какой документ нужен по техрегламентам, подберём схему подтверждения соответствия и назовём срок и стоимость до начала работ.
- Проверим, попадает ли товар под технические регламенты
- Подберём схему и состав испытаний под ваш код ТН ВЭД
- Скажем срок и стоимость до начала работ
- Проверим документы поставщика в реестре — без оплаты