国家标准《信息安全管理实用规则》.doc

1、 服务外包能力 要求 认证技术规范 编制说明 一、 制订技术规范的必要性 服务外包产业是新兴的现代服务业，融合了金融服务业、现代物流业、高技术服务业和商务服务业 等 ，是服务业中的新领域、新业态。 “十一五”期间， 国家重视 我国服务外包产业 的 发展， 建立了 一些各具产业特色的园区，服务外包企业 规模 逐步发展壮大，国际竞争力和创新能力不断提高 。 与此同时， 服务发包方基于对外包方的能力要求，对服务外包企业提出了众多资质认证要求，包括 ：开发能力成熟度模型集成（ CMMI）、 质量管理体系（ ISO9001） 、信息安全管理 (ISO27001/BS7799)、 IT 服务管理 (ISO

2、20000)等。服务外包企业因此投入了巨大的经济和人员成本。 为降低服务外包企业在资质认证方面的成本，同时使得认证的标准更适合于我国的管理现状， 项目组 结合 国内 服务外包园区 发展现状和发展要求，分 析服务外包发展趋势，研究制定适合我国国情的服务外包评价认证体系， 并在“服务外包认证国家示范区”内 实施认证规范 的宣贯推广和认证 示范 工作 。 通过帮助服务外包企业建立综合能力管理体系，包括质量、安全、能力三个方面管理流程的建立及实施，以及对于企业能力管理体系的认证推动，有效提升服务外包 企业的综合能力。借此，扩大该标准在发包方的影响力，使得发包方认可该领域认证的有效性，以此能够取代之前服

3、务外包企业需要通过的质量管理体系、信息安全管理体系、 IT 服务管理体系等体系认证资质，有效减少服务外包企业在资质认证方面的经济压力。 二、 与相关法律法规的关系 本技术规范符合我国相关法律、法规，与有关现行法律、法规和强制性标准不抵触、不矛盾。 三、 与现行标准的关系，以及存在的差异及理由 现有国家标准 GB/T24405.1-2009/ISO/IEC 20000-1： 2005 信息技术 服务管理 第 1 部分：规范 主要通 过建立服务管理流程，使服务提供方有效地交付受管理的服务，且主要侧重于对提供信息技术服务类企业的要求。 申请备案技术规范主要从安全管理、质量管理和能力保障三个方面，对服

4、务提供方提出综合能力管理要求。在现有国家标准基础上，增加了安全管理和能力保障要求，进一步完善了服务质量管理要求。另外，突出强调服务外包的特点。 四、 参与制订技术规范的主要单位情况 中国电子技术标准化研究院 （工业和信息化部电子第四研究院，简称CESI），创建于 1963 年，是工业和信息化部直属事业单位，是国家从事电子信息技术领域标准化的专业研究机构。 CESI 以电子信息技术标准化工作为核心，通过开展标准科研、检测、计量、认证、信息服务等业务，面向政府提供政策研究、行业管理和战略决策的专业支撑，面向社会提供标准化技术服务。 江苏昆山 花桥 经济开发区 是以现代服务业为主导产业的省级开发区，

5、主要发展金融外包、电子商务、现代物流、总部经济等业务。开发区引进法国凯捷、简柏特、戴尔、东南融通、柯莱特、华道数据、远洋数据、中金数据、万国数据、上海微创、 IBM 等一批国内外知名的信息技术服务外包企业，形成了较为完备的服务外包产业链。 中国信息安全认证中心，是 经中央编制委员会批准成立，由原国务院信息化工作办公室、国家认证认可监督管理委员会等八部委授权，依据国家有关强制性产品认证、信息安全管理的法律法规，负责实施信息安全认证（包括产品认证、服务资质认证和 ISMS、 ITSM 认证）的专门机构。 中金国盛认证中心是 根据人民银行的决策部署，由中国人民银行直属单位中国金融电子化公司筹建，经国

6、家认证认可监督管理委员会（以下简称国家认监委）批准设立的专业认证机构。认证中心从事金融行业的标准符合性认证与相关合格评定活动。 五、 制订原则、确定主要内容及指标的依据和验证情况 本认证规范 主要技术内容包括：范围、服务能力管理 、服务保障、服务实现、服务安全及三个规范性附录。 1) 范围： 本规范 规定了 服务外包 组织在 质量管理、安全管理和能力管理 方面应具备的条件和能力 ； 2) 服务能力管理 ：提出了基于 PDCA 实施能力管理的总要求 ； 3) 服务保障 ：从资源管理和能力管理两个方面提出了能力保障要求 ； 4) 服务实现 ：基于服务流程 ，从服务需求管理、服务策划、服务过程管理、

7、服务交付管理、服务终止、外部供方管理、变更控制等方面提出了要求； 5) 服务安全 ： 从服务的安全角度，提出了安全管理职责、管理策略和安全措施等要求； 6) 附录 A（规范性附录 ） 信息 技术外包（ ITO）服务实现 ：考虑 ITO 服务特点，基于服务流程，提出了 ITO 类服务提供方特定的管理要求； 7) 附录 B（规范性附录） 业务流程外包（ BPO）服务实现 ：考虑 BPO 服务特点，基于服务流程，提出了 BPO 类服务提供方特定的管理要求； 8) 附录 C（规范性附录） 安全控制项 ：从 10 个方面提出了安全控制项要求。 六、 标准制定过程 2013 年 4 月，国家质量监督检验检

8、疫总局公益性行业科研专项经费项目 “ 服务外包园区认证评价制度与关键技术研究与示范 ”启动，制定适合我国特色的服务外包认证规范，成为课题的研究产出之一。会议研讨明 确了项目研究内容及项目实施方案内容，确定了工作机制、工作方法、研究思路、内容分工等。 2013 年 5 月 ，正式成立认证规范编写项目组。项目组按照任务分工，积极搜集国内外相关研究资料，确定了认证规范内容框架。针对内容框架中涉及的要求，策划、考虑针对 服务外包企业 的调研内容。 2013 年 8 月，形成认证规范初稿，以及“服务外包企业根据 基本情况 调查问卷 ”。 2013 年 11 月，针对项目组内容研讨意见，对规范初稿进行修订， 形成 修订稿。 2013 年 12 月，对 江苏 昆山 花桥 经济开发区 的 ITO/BPO/KPO 三种服务外包类 型的企业进行现场调研，并对规范修订稿实施意见征求。 2014 年 26 月，将服务外包企业反馈的意见以及认监委领导的意见进行汇总分析，对规范修订稿进行了多次修改和完善，形成最终的备案征求意见稿。 中国电子技术标准化研究院 2014 年 7 月 4 日