已经过了ISO 27001，还有必要做ISO 20000吗？

这两个标准管的事不一样，不能互相替代。先把区别讲清楚，再说判断标准。

ISO 27001管信息的安全，核心是资产识别、风险评估、控制措施，保护信息的机密性、完整性和可用性。它的产出是风险评估记录、适用性声明、各类安全策略与运行记录。

ISO 20000管服务的交付，核心是服务目录、服务级别、事件与问题、变更与发布、容量与需求、可用性与连续性、供应商管理。它的产出是服务目录、级别协议、工单记录、服务报告、演练记录。

举个例子说明区别。一次系统故障，两组要求的关注点不同：信息安全体系关注的是这次故障有没有影响数据安全、要不要通报、事后有没有加固；服务管理体系关注的是故障多久恢复、有没有影响服务承诺、根因是什么、怎么避免重复发生。

那么要不要做，看几个实际因素。客户或招标文件是否明确要求；投标中是否因为缺少这张证书而失分；企业是否对外提供运维、托管、外包这类持续性服务；服务承诺是否已经写在合同里但缺少内部的管理机制。

如果企业只做软件产品交付，不承担持续运维责任，服务管理的必要性相对低一些。如果企业对外承诺了服务级别，却只有口头约定和临时协调，那体系的价值会比较直接。

两套体系同时做，整合的空间比较大。文件与记录管理、内部审核、管理评审、纠正措施、人员能力与培训这些过程可以共用。需要分别设计的是两套体系各自的核心内容。接口部分要提前约定，特别是事件管理、变更管理、供应商管理和连续性管理这四处。

如果企业的服务对象主要是内部业务部门，评估的侧重可以放在服务响应的规范性与业务方的满意度上；如果对外承接运维服务，则需要严格按协议约定的指标管理与报告，把服务级别回顾做成固定安排。

从行业实践看，同时持有两张证书的企业在运维服务类项目的投标中通常更有优势，因为评审方既看服务能力也看数据安全。如果企业已经完成信息安全体系建设，做服务管理的边际投入主要落在服务目录与级别协议的设计、过程记录的积累以及服务报告机制上，相对可控。

从投入角度看，已经通过信息安全认证的企业做服务管理，主要增量在服务目录与级别协议的设计、过程记录的积累、以及服务报告机制。如果有现成的工单系统，落地会快一些。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI、CCRC、ITSS、ISO27001、ISO20000、FSC、IATF16949、EcoVadis评级、ISO22000等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869

公司官网：www.fjgelue.com