2023基于ISO IEC 20000-1的服務(wù)管理體系認(rèn)證認(rèn)可方案

基于ISO/IEC20000-1的服務(wù)管理體系認(rèn)證機(jī)構(gòu)認(rèn)可方案目 次前 言 2范圍 3規(guī)范性引用文件 3術(shù)語和定義 3SMS認(rèn)證機(jī)構(gòu)認(rèn)規(guī)范的構(gòu)成 3R部分 4預(yù)訪問（CNAS-RC01條款5.1.4） 4初次認(rèn)可的見證評(píng)審（CNAS-RC01條款5.4.3.1） 4認(rèn)證業(yè)務(wù)范圍的認(rèn)可（CNAS-RC01條款6） 4信息通報(bào)（CNAS-RC03條款5.2） 5其他 5C部分 5通用要求（CNAS-CC01條款5.1至5.3） 5信息要求（CNAS-CC01條款8.1至8.5） 5過程要求（CNAS-CC01條款9.1至9.9） 5G部分 6服務(wù)點(diǎn)的抽樣 6附錄A（規(guī)范性附錄）SMS認(rèn)證機(jī)構(gòu)認(rèn)證業(yè)務(wù)范圍分類 8基于ISO/IEC20000-1的服務(wù)管理體系認(rèn)證機(jī)構(gòu)認(rèn)可方案范圍ISO/IEC《信息1部分：服務(wù)管理體系要求》開展服務(wù)管理體系（SMS）認(rèn)證的（以下簡(jiǎn)稱“SMS認(rèn)證機(jī)構(gòu)SMS認(rèn)證機(jī)構(gòu)理解和實(shí)施認(rèn)可規(guī)范要求，特制定本文件。SMSCNASSMS證機(jī)構(gòu)的認(rèn)可。RCG分是對(duì)相關(guān)認(rèn)可準(zhǔn)則的應(yīng)用指南。規(guī)范性引用文件下列文件中的條款通過本文件的引用而成為本文件的條款。注明日期的引用文件，僅該版本適用于本文件；未注明日期的引用文件，其最新版本（包括任何修訂適用于本文件。CNAS-CC01 管理體系認(rèn)證機(jī)構(gòu)要求ISO/IECTR20000-1010CNAS-CC12 已認(rèn)可的管理體系認(rèn)證的轉(zhuǎn)換術(shù)語和定義CNAS-CC01和ISO/IEC20000-10中的術(shù)語和定義以及下列術(shù)語和定義適用于本文件?？蛻舻奈锢矸秶鷥?nèi)，且不會(huì)成為常設(shè)場(chǎng)所。例如駐場(chǎng)服務(wù)的客戶現(xiàn)場(chǎng)等。注：該定義基于“臨時(shí)場(chǎng)所”的定義（見CNAS-CC11，1.3）并進(jìn)行了改寫。SMS認(rèn)證機(jī)構(gòu)認(rèn)可規(guī)范的構(gòu)成主要規(guī)則和準(zhǔn)則：SMSCNAS-CC01SMS認(rèn)證機(jī)構(gòu)的基本認(rèn)可準(zhǔn)則；CNAS-CC175ISO/IEC20000-1SMS認(rèn)證機(jī)構(gòu)的專用認(rèn)可準(zhǔn)則。CNAS-R01《認(rèn)可標(biāo)識(shí)使用和認(rèn)可狀態(tài)聲明規(guī)則》CNAS-R02《公正性和保密規(guī)則》CNAS-R03《申訴、投訴和爭(zhēng)議處理規(guī)則》CNAS-RC02《認(rèn)證機(jī)構(gòu)認(rèn)可資格處理規(guī)則》CNAS-RC03《認(rèn)證機(jī)構(gòu)信息通報(bào)規(guī)則》CNAS-RC04《認(rèn)證機(jī)構(gòu)認(rèn)可收費(fèi)管理規(guī)則》CNAS-RC05《多場(chǎng)所認(rèn)證機(jī)構(gòu)認(rèn)可規(guī)則》CNAS-RC07《具有境外場(chǎng)所的認(rèn)證機(jī)構(gòu)認(rèn)可規(guī)則》CNAS-CC11CNAS-CC12《已認(rèn)可的管理體系認(rèn)證的轉(zhuǎn)換》CNAS-CC14《計(jì)算機(jī)輔助審核技術(shù)在獲得認(rèn)可的管理體系認(rèn)證中的使用》CNAS-CC106《CNAS-CC01在一體化管理體系審核中的應(yīng)用》R部分預(yù)訪問（CNAS-RC015.1.4）申請(qǐng)條件和是否基本具備接受認(rèn)可評(píng)審的條件。初次認(rèn)可的見證評(píng)審（CNAS-RC015.4.3.1）NAS1第二階審核。認(rèn)證業(yè)務(wù)范圍的認(rèn)可（CNAS-RC016）SMS（CNAS-RC016.2）A規(guī)定了認(rèn)證業(yè)務(wù)范圍。CNASAA.1類。SMS（CNAS-RC016.3.3）CNASSMS務(wù)范圍的大類實(shí)施見證評(píng)審。CAS1審。信息通報(bào)（CNAS-RC03條款5.2）CNAS-RC035.2/SMS獲證客戶發(fā)生具有下列之一影響的服務(wù)質(zhì)量事故：的合法權(quán)益；CNASCNAS帶責(zé)任。其他CNAS可能需要在評(píng)審中接觸認(rèn)證機(jī)構(gòu)的客戶的相關(guān)信息，認(rèn)證機(jī)構(gòu)應(yīng)向CNASCNASCNAS無法滿足相關(guān)要求，CNAS將根據(jù)評(píng)審所受的影響采取相應(yīng)的措施。C部分通用要求（CNAS-CC015.15.3）風(fēng)險(xiǎn)評(píng)估和責(zé)任安排（CNAS-CC015.3.1）認(rèn)證機(jī)構(gòu)應(yīng)對(duì)其審核和認(rèn)證活動(dòng)可能給客戶的信息安全帶來的風(fēng)險(xiǎn)以及認(rèn)證（立儲(chǔ)備金）。信息要求（CNAS-CC018.18.5）保密（CNAS-CC018.4）如果客戶事先沒有禁止認(rèn)證機(jī)構(gòu)接觸某一信息，或未告知認(rèn)證機(jī)構(gòu)應(yīng)滿足立即向客戶提出。認(rèn)證機(jī)構(gòu)宜要求直接接觸客戶信息的認(rèn)證人員（例如審核組成員）戶的保密政策，例如：按照客戶的保密要求與客戶簽署保密協(xié)議。審核組成員不宜在審核過程中以任何方式記錄客戶的保密或敏感信息。審客戶的任何保密或敏感信息。過程要求（CNAS-CC019.19.9）申請(qǐng)（CNAS-CC019.1.1）認(rèn)證機(jī)構(gòu)宜要求客戶向其說明適用的關(guān)于認(rèn)證機(jī)構(gòu)的資質(zhì)、誠(chéng)信守法記錄活動(dòng)的資格或條件。SMS共同提供服務(wù)的情況。審核方案（CNAS-CC019.1.3）對(duì)于獲得CNAS認(rèn)可的其他認(rèn)證機(jī)構(gòu)所頒發(fā)的SMS認(rèn)證，認(rèn)證機(jī)構(gòu)可以按照CNAS-CC12實(shí)施轉(zhuǎn)換。第一階段（CNAS-CC019.3.1.2）當(dāng)客戶由于信息安全的原因在申請(qǐng)?jiān)u審階段不能提供給認(rèn)證機(jī)構(gòu)足夠的信息請(qǐng)?jiān)u審。這種情況下，認(rèn)證機(jī)構(gòu)應(yīng)增加第一階段現(xiàn)場(chǎng)審核時(shí)間。G部分服務(wù)點(diǎn)的抽樣通過在服務(wù)點(diǎn)觀察客戶的服務(wù)狀況、與相關(guān)人員（如駐場(chǎng)的服務(wù)工程師、客戶的顧客等）SMS性的證據(jù)。抽樣條件當(dāng)客戶擁有滿足以下條件的多個(gè)服務(wù)點(diǎn)時(shí)，認(rèn)證機(jī)構(gòu)可以考慮使用基于抽樣的方法對(duì)服務(wù)點(diǎn)進(jìn)行審核：SMS下進(jìn)行管理，客戶對(duì)人員具有分配和數(shù)據(jù)；SMS運(yùn)行的完整性；SMS內(nèi)部審核方案和管理評(píng)審方案中。抽樣方法抽樣量。A.1中的中類；a服務(wù)點(diǎn)數(shù)量（個(gè)）增加的服務(wù)點(diǎn)抽樣量（個(gè)）5~10111~20221~40341~604注：當(dāng)服務(wù)點(diǎn)的數(shù)量超過60時(shí)，可沿用上表的規(guī)律確定應(yīng)增加的抽樣量。點(diǎn)；對(duì)出現(xiàn)審核組無法訪問服務(wù)點(diǎn)的情形規(guī)定了應(yīng)對(duì)措施。審核時(shí)間認(rèn)證機(jī)構(gòu)分配給每個(gè)服務(wù)點(diǎn)的審核時(shí)間宜與審核組在該服務(wù)點(diǎn)所需完成的審核活動(dòng)相匹配。0.25每個(gè)服務(wù)點(diǎn)的審核時(shí)間不含審核員的旅途時(shí)間。附錄A（規(guī)范性附錄）SMS認(rèn)證機(jī)構(gòu)認(rèn)證業(yè)務(wù)范圍分類表A.1 SMS認(rèn)證機(jī)構(gòu)認(rèn)證業(yè)務(wù)范圍分類大類中類中類內(nèi)容備注01服務(wù)01.01信息系統(tǒng)咨詢規(guī)劃信息系統(tǒng)咨詢、規(guī)劃服務(wù)01.02信息系統(tǒng)硬件設(shè)計(jì)、開發(fā)服務(wù)對(duì)信息系統(tǒng)硬件的架構(gòu)、選型和實(shí)施策略進(jìn)行設(shè)計(jì)，并實(shí)施開發(fā)。01.03信息系統(tǒng)軟件設(shè)計(jì)、開發(fā)服務(wù)軟件設(shè)計(jì)、開發(fā)服務(wù)。01.04信息技術(shù)咨詢服務(wù)硬件或軟件使用的咨詢及培訓(xùn)服務(wù)。02集成服務(wù)02.01設(shè)備系統(tǒng)集成服務(wù)指以搭建需方的信息化管理支持平臺(tái)為目的，將設(shè)備及其嵌入式軟件進(jìn)行集成設(shè)計(jì)、安裝調(diào)試的服務(wù)。如網(wǎng)絡(luò)系統(tǒng)集成服務(wù)、智能建筑系統(tǒng)集成服務(wù)、安全防護(hù)系統(tǒng)集成服務(wù)等。02.02軟件系統(tǒng)集成服務(wù)將各個(gè)分離的軟件、功能和信息等集成到相互關(guān)聯(lián)的、統(tǒng)一和協(xié)調(diào)的平臺(tái)之中的服務(wù)。如界面集成、數(shù)據(jù)集成、應(yīng)用集成等。03服務(wù)03.01信息系統(tǒng)測(cè)試服務(wù)檢驗(yàn)信息系統(tǒng)是否與要求相吻合的測(cè)試服務(wù)。03.02軟件產(chǎn)品測(cè)試服務(wù)檢驗(yàn)軟件產(chǎn)品是否與要求相吻合的測(cè)試服務(wù)。03.03信息系統(tǒng)工程監(jiān)理對(duì)信息系統(tǒng)工程實(shí)施監(jiān)理的服務(wù)。03.04軟件工程監(jiān)理服務(wù)對(duì)軟件開發(fā)實(shí)施監(jiān)理的服務(wù)。03.05其他測(cè)試與監(jiān)理服務(wù)04務(wù)04.01基礎(chǔ)設(shè)施運(yùn)行維護(hù)服務(wù)運(yùn)維服務(wù)。04.02硬件運(yùn)行維護(hù)服務(wù)自動(dòng)化控制設(shè)備及其他采用信息技術(shù)控制的等相關(guān)維護(hù)服務(wù)。04.03軟件運(yùn)行維護(hù)服務(wù)病毒防護(hù)等維護(hù)服務(wù)。04.04其他信息技術(shù)運(yùn)行維護(hù)服務(wù)大類中類中類內(nèi)容備注05安全服務(wù)05.01風(fēng)險(xiǎn)評(píng)估評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)的資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對(duì)組織造成的影響。05.02安全運(yùn)維以及安全技術(shù)支持等。05.03應(yīng)急處理動(dòng)。05.04災(zāi)難恢復(fù)將信息系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)的活動(dòng)和流程。05.05其他安全服務(wù)06務(wù)06.01電子