ISO20000新舊版標(biāo)準(zhǔn)差異概述

　　差異點(diǎn) 說(shuō)明 新增部分 在信息安全方針的控制上，ISO20000:2011 版新增部分要求。

　　進(jìn)一步明確和新增了信息安全方針方面的內(nèi)容，包括安全需求、法律法規(guī)和合同要求。

　　詳細(xì)描述了授權(quán)管理者的具體職責(zé)，并特別強(qiáng)調(diào)了要“定期執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估”的要求。

　　ISO20000:2011 版新增了服務(wù)提供者應(yīng)對(duì)信息安全控制的有效性進(jìn)行檢查，并采取必要的改進(jìn)續(xù)措施的要求。

　　ISO20000:2011 版新增了信息安全風(fēng)險(xiǎn)應(yīng)進(jìn)行優(yōu)先級(jí)劃分。 優(yōu)化與完善部分

　　ISO20000:2011 版進(jìn)一步明確了信息安全應(yīng)從物理、管理、技術(shù)三個(gè)維度進(jìn)行控制。

　　ISO20000:2011 版對(duì)信息安全控制的目標(biāo)內(nèi)容進(jìn)行了細(xì)化與擴(kuò)展。

　　ISO20000:2011 版進(jìn)一步細(xì)化了評(píng)估變更請(qǐng)求的風(fēng)險(xiǎn)與影響的要求。

　　ISO20000:2011 版明確了信息安全事件應(yīng)通過(guò)事件與服務(wù)請(qǐng)求管理程序進(jìn)行管理。

　　ISO20000新舊版標(biāo)準(zhǔn)變化度

　　ISO20000:2011 版本 控制點(diǎn) ISO20000:2005 版本 控制點(diǎn) 變化度 6.6 信息安全管理 13 6.6 信息安全管理 11 3

　　說(shuō)明：變化度是指新版標(biāo)準(zhǔn)該條款相對(duì)舊版標(biāo)準(zhǔn)要求的變化程度，按分值計(jì)量，5 分指變化程度最大，0 分指沒有變化。

　　ISO20000新舊版標(biāo)準(zhǔn)差異分析

　　ISO20000:2011版 ISO20000:2005版 差異分析 信息安全方針 Management with appropriate authority shall approve an information security policy taking into consideration the service requirements, statutory and regulatory requirements and contractual obligations.

　　Management shall:

　　a) communicate the information security policy and the importance of conforming to the policy to appropriate personnel within the service provider, customer and suppliers;

　　b) ensure that information security management objectives are established;

　　c) define the approach to be taken for the management of information security risks and the criteria for accepting risks;

　　d) ensure that information security risk assessments are conducted at planned intervals;

　　e) ensure that internal information security audits are conducted;

　　f) ensure that audit results are reviewed to identify opportunities for improvement. 具有適當(dāng)授權(quán)的管理者應(yīng)在考慮服務(wù)需求、法律法規(guī)要求和合同要求的基礎(chǔ)上審批信息安全方針。

　　管理者應(yīng)：

　　a) 與服務(wù)提供者、客戶和供應(yīng)商等相關(guān)人員溝通信息安全方針和人員遵守方針的重要性;

　　b) 確保信息安全管理目標(biāo)被確立;

　　c) 定義信息安全風(fēng)險(xiǎn)管理和風(fēng)險(xiǎn)接受原則所采用的方法;

　　d) 確保定期執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估;

　　e) 確保執(zhí)行信息安全內(nèi)部審計(jì);

　　f) 確保對(duì)審計(jì)結(jié)果進(jìn)行回顧以識(shí)別改進(jìn)的機(jī)會(huì)。 Management with appropriate authority shall approve an information security policy that shall be communicated to all relevant personnel and customers where appropriate. ISO20000:2011版進(jìn)一步明確和新增了信息安全方針方面的內(nèi)容，包括安全需求、法律法規(guī)和合同要求。

　　ISO20000:2011版新增了授權(quán)管理者具體的管理職責(zé)，并特別強(qiáng)調(diào)了要“定期執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估”。 信息安全控制 The service provider shall implement and operate physical, administrative and technical information security controls in order to:

　　a) preserve Confidentiality, integrity and accessibility of information assets;

　　b) fulfil the requirements of the information security policy;

　　c) achieve information security management objectives;

　　d) manage risks related to information security.

　　These information security controls shall be documented and shall describe the risks to which the controls relate, their operation and maintenance.

　　The service provider shall review the effectiveness of information security controls. The service provider shall take necessary actions and report on the actions taken.

　　The service provider shall identify external organizations that have a need to access, use or manage the service provider's information or services.

　　The service provider shall document, agree and implement information security controls withthese external organizations. 服務(wù)提供者應(yīng)實(shí)施和運(yùn)行物理的、管理的和技術(shù)的信息安全控制以：

　　a) 保護(hù)信息資產(chǎn)的機(jī)密性、完整性和可訪問(wèn)性;

　　b) 履行信息安全方針的要求;

　　c) 實(shí)現(xiàn)信息安全管理目標(biāo);

　　d) 管理信息安全相關(guān)風(fēng)險(xiǎn)。

　　信息安全控制措施應(yīng)文件化，同時(shí)應(yīng)描述控制措施相關(guān)的風(fēng)險(xiǎn)，以及控制措施的運(yùn)行和維護(hù)。

　　服務(wù)提供者應(yīng)對(duì)信息安全控制的有效性進(jìn)行評(píng)估。同時(shí)，應(yīng)采取必要的改進(jìn)措施，并報(bào)告所采取的措施。

　　服務(wù)提供者應(yīng)識(shí)別具有訪問(wèn)、使用或管理服務(wù)提供者信息或服務(wù)需要的外部組織。

　　服務(wù)提供者應(yīng)記錄、協(xié)商和實(shí)施對(duì)外部組織的信息安全控制。 Appropriate security controls shall operate to:

　　a) implement the requirements of the information security policy;

　　b) manage risks associated with access to the service or systems.

　　Security controls shall be documented. The documentation shall describe the risks to which the controls relate, and the manner of operation and maintenance of the controls.

　　Arrangements that involve external organizations having access to information systems and services shall be based on a formal agreement that defines all necessary security requirements.

　　ISO20000:2011版進(jìn)一步明確了信息安全要從物理、管理、技術(shù)三個(gè)維度進(jìn)行控制。

　　ISO20000:2011版對(duì)信息安全控制的目標(biāo)內(nèi)容進(jìn)行了細(xì)化與擴(kuò)展(由2條擴(kuò)充到4條)。

　　關(guān)于信息安全控制措施的文件化方面，新舊版本要求基本一致。

　　ISO20000:2011版新增了服務(wù)提供者應(yīng)對(duì)信息安全控制的有效性進(jìn)行檢查，并采取必要的改進(jìn)續(xù)措施的要求。

　　對(duì)外部組織的訪問(wèn)控制方面，新舊版本要求基本一致。

　　信息安全變更和事件 Requests for change shall be assessed to identify:

　　a) new or changed information security risks;

　　b) potential impact on the existing information security policy and controls.

　　Information security incidents shall be managed using the incident management procedures, with a priority appropriate to the information security risks.

　　The service provider shall analyse the types, volumes and impacts of information security incidents.

　　Information security incidents shall be reported and reviewed to identify opportunities for improvement. 應(yīng)對(duì)變更請(qǐng)求進(jìn)行評(píng)估，以識(shí)別：

　　a) 新的或變更的服務(wù)的信息安全風(fēng)險(xiǎn);

　　b) 對(duì)現(xiàn)有信息安全方針和控制的潛在影響。

　　信息安全事件應(yīng)通過(guò)事件管理程序進(jìn)行管理，并對(duì)信息安全風(fēng)險(xiǎn)進(jìn)行適當(dāng)?shù)膬?yōu)先級(jí)排序。

　　服務(wù)提供者應(yīng)分析安全事件的類型、數(shù)量和影響。同時(shí)，信息安全事件應(yīng)被報(bào)告和檢查，以識(shí)別改進(jìn)的機(jī)會(huì)。 The impact of changes on controls shall be assessed before changes are implemented.

　　Security incidents shall be reported and recorded in line with the incident management procedure as soon as possible.

　　Procedures shall be in place to ensure that all security incidents are investigated, and management action taken.

　　Mechanisms shall be in place to enable the types, volumes and impacts of security incidents and malfunctions to be quantified and monitored. ISO20000:2011版在ISO20000:2005版的基礎(chǔ)上，進(jìn)一步細(xì)化了評(píng)估變更請(qǐng)求的風(fēng)險(xiǎn)與影響的要求。

　　ISO20000:2011版新增了信息安全風(fēng)險(xiǎn)應(yīng)進(jìn)行優(yōu)先級(jí)劃分的要求。

　　ISO20000:2011版明確了信息安全事件應(yīng)通過(guò)事件管理程序進(jìn)行管理。 流程改進(jìn) 無(wú) 無(wú) Actions for improvements identified during this process shall be recorded and provide input into a plan for improving the service. ISO20000:2005版要求應(yīng)記錄本流程定義的改進(jìn)措施，并輸入服務(wù)改進(jìn)計(jì)劃，但I(xiàn)SO20000:2011版刪除了此要求。分析原因是：在ISO20000:2011版的引言部分已經(jīng)明確了“將PDCA方法應(yīng)用于SMS中，包括服務(wù)管理流程和服務(wù)”，故在此無(wú)需重復(fù)要求。