ISO/IEC 20000

ISO/IEC 20000 是 IT 服务管理的国际标准，规范了 IT 服务如何以严谨、可重复的方式设计、交付和改进。它本身并不是安全标准，但许多安全成果悄然依赖于它所围绕的服务管理成熟度：事件管理、变更管理和配置管理在两个领域中都会出现，只是表述的语言不同。

这种联系比乍看起来重要得多。管控不善的变更流程既是运营问题，也是安全问题：多数故障以及相当一部分数据泄露，都可以追溯到某次没有经过审查、测试或妥善回退的变更。把 ITSM 和安全当作两场互不相干的对话，通常会让双方都比本应达到的水平更弱。

我的切入点

我与正在争取 ISO/IEC 20000 的组织合作，确保所建立的服务管理流程，即事件处理、问题管理、变更控制，从一开始就把安全考虑在内，而不是事后再把安全作为一个独立并行的流程叠加上去。这意味着变更咨询流程真正会提出安全方面的问题，事件分类能够区分服务中断与安全事件，配置管理能让您准确了解实际运行着什么。

一点实用提示

认证作为一种推动力，以及向客户和合作伙伴提供的证明，是有用的，但真正的价值在于它所建立的规范：知道什么变了、何时变的、为什么变，以及谁批准的。无论您是否会把证书挂在墙上，这种规范都会带来回报。

如果您正在建立或完善 IT 服务管理，并希望把安全内置其中而不是事后叠加，请联系我。