Будкова Л., Журавлёв Р. Методическое руководство для подготовки к профессиональным экзаменам ISO 20000 Foundation и ISO 20000 Foundation Bridge

Подождите немного. Документ загружается.

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

Результаты и выводы опросов удовлетворенности следует обсудить с

заказчиками услуг. Должен быть согласован план необходимых дей-

ствий, который будет включен в план улучшения услуг. Заказчик

должен быть информирован о результатах выполнения согласован-

ных действий

Положительные отзывы о результатах работы также следует доку-

ментировать и доводить до сведения персонала поставщика услуг

Рекомендации и практики в области управления поставщиками

Следует организовать процедуры управления поставщиками, обеспечи-

вающие следующее:

Каждый поставщик понимает свои обязательства перед поставщи-

ком услуг

требования законодательства, а также согласованные требования к

уровню и охвату услуг выполняются

изменения осуществляются управляемым образом

взаимодействие по обращениям бизнес-пользователей регистриру-

ются всеми сторонами

информация о выполнении работы каждым поставщиком доступна

для анализа и принятия необходимых решений

Управление договорами

Поставщику услуг следует определить сотрудника, ответственного за

управление договорами (контрактами) с поставщиками. В случаях

вовлечения нескольких сотрудников в эту область следует наладить

единый процесс для отслеживания работы поставщиков и выполне-

ния соответствующих действий

Поставщику услуг следует определить точку контакта для обеспече-

ния взаимоотношений с каждым поставщиком

Все контракты с поставщиками должны содержать календарный

план проведения анализа работ для оценки необходимости привле-

чения поставщиков для реализации актуальных требований бизнеса

Для управления каждым контрактом должен функционировать чет-

ко определенный регламент. Так же должна быть определена про-

цедура внесения изменений в контракт. Любые изменения в этих

процедурах следует официально доводить до сведения всех постав-

щиков, которых эти изменения касаются

Список контактов в соответствующих организациях (поставщиков и

поставщика услуг) следует поддерживать в актуальном состоянии

Если контрактом предусмотрено начисление штрафов или преми-

альных выплат, то следует четко определить процедуру их начисле-

ния и порядок отчетности о произведенных выплатах

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

Определение услуги

Для каждой услуги и каждого поставщика поставщику услуги следует

поддерживать в актуальном состоянии следующую информацию:

название (наименование) услуги, роли и ответственности

область применения и охват услуги

описание процесса управления контрактами, уровней утверждения

контрактов и порядка расторжения контракта

при необходимости, описание порядка оплаты услуг

описание согласованных параметров услуг, по которым производит-

ся отчетность и записи о фактическом уровне предоставления услуг

Управление несколькими подрядчиками

Следует четко определить, имеет ли поставщик услуг дело непосредст-

венно со всеми поставщиками или только с генеральным поставщиком, бе-

рущим на себя ответственность за деятельность субподрядчиков.

Генеральному поставщику следует учесть всех субподрядчиков, зареги-

стрировать ответственности и взаимоотношения между этими субподрядчи-

ками, а также, если потребуется, предоставить данную информацию

поставщику услуг.

Поставщику услуг следует получить свидетельства того, что генераль-

ный поставщик управляет субподрядчиками, руководствуясь, где это целесо-

образно, требованиями, изложенными в первой части стандарта

ISO/IEC20000.

Управление контрактными разногласиями

Поставщику услуг следует реализовывать процесс управления разно-

гласиями, который должен быть определен или упомянут в контракте.

Для разногласий, которые не могут быть решены обычным путем, сле-

дует определить путь их эскалации.

Процесс должен обеспечивать, что разногласия зарегистрированы, изу-

чены, что по ним предприняты соответствующие меры, и они формально за-

крыты.

Закрытие (расторжение) контракта

В процесс управления контрактами следует включить положение о за-

крытии контракта – запланированном или досрочном. Также процесс должен

обеспечивать передачу поставщиком права на предоставление услуги от од-

ного поставщика другому.

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

3.3.18. Рекомендации и практики для процессов предоставления услуг

В этот раздел вошли рекомендации и практики в области трех процес-

сов предоставления услуг: управления непрерывностью и доступностью услуг,

управления мощностями и управления информационной безопасностью

Рекомендации и практики в области процесса управления непрерывно-

стью и доступностью услуг

Обязательства поставщика по обеспечению непрерывности и дос-

тупности услуг следует определять с учетом приоритетов бизнеса за-

казчика, Соглашений об уровне услуг и оценки рисков

Поставщик услуг должен поддерживать достаточный уровень внут-

ренних возможностей и иметь работоспособные планы для обеспе-

чения доступности согласованных уровней услуг при любых

условиях (от нормального функционирования услуги до полной ос-

тановки услуги)

Поставщику услуг следует планировать рост и сокращение числен-

ности пользователей или объема данных, подлежащих хранению,

ожидаемые пики и провалы загруженности, а также любые другие

изменения условий предоставления услуг

Обязательства поставщика услуг должны содержать не только па-

раметры общей доступности услуг, но и детализацию до различных

уровней доступа, отдельных компонентов услуг и параметров под-

держки, влияющих на обеспечение доступности и непрерывности

(например, учитывать время реакции)

Для обеспечения предоставления согласованных уровней услуг

управление доступностью и управление непрерывностью услуг

должны планироваться и исполняться совместно

В охват процессов управления доступностью и непрерывностью сле-

дует также включить те элементы предоставления услуг, которые

находятся под контролем заказчика или других поставщиков услуг

Мониторинг доступности и другие виды деятельности по обеспечению

доступности услуг

Следующие виды деятельности следует реализовать в рамках управле-

ния доступностью:

мониторинг и регистрация значений параметров доступности услуги

поддержание в актуальном состоянии исторических данных о дос-

тупности услуг и компонентов

сопоставление фактически достигнутых значений параметров дос-

тупности со значениями, определенными в Соглашениях об уровне

услуг, выявление несоответствий

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

документирование и анализ выявленных несоответствий фактиче-

ской и плановой доступности услуг и компонентов

прогнозирование будущих требований к доступности

прогнозирование вероятных проблем и возможных превентивных

действий

Стратегия непрерывности услуг

Поставщику услуг следует разработать и поддерживать в актуальном

состоянии стратегию, определяющую общий подход к выполнению обяза-

тельств по непрерывности услуг. Разработка стратегии должна включать в

себя оценку рисков, определение согласованных часов предоставления услуги

и периодов, критичных для бизнеса.

Для каждой группы заказчиков и каждой услуги поставщику следует

согласовать параметры:

максимально допустимую продолжительность незапланированного

прекращения предоставления услуги

максимально допустимую продолжительность предоставления услу-

ги со сниженным качеством

допустимый уровень понижения качества предоставления услуги во

время её восстановления

Стратегию непрерывности услуг следует пересматривать через согласо-

ванные интервалы времени, но не реже одного раза в год.

Любые изменения в стратегии должны быть формально согласованы.

Планирование и тестирование непрерывности услуг

Поставщику услуг следует обеспечить, что:

в планах обеспечения непрерывности услуг учитываются зависимо-

сти между услугами и компонентами услуг

планы обеспечения непрерывности услуг и другие документы, необ-

ходимые для обеспечения непрерывности услуг, зарегистрированы и

поддерживаются в актуальном состоянии

ответственность за инициацию действий по выполнению планов

обеспечения непрерывности услуг четко определена, распределена

ответственность за выполнение действий по достижению каждой

цели обеспечения непрерывности услуг

резервные копии данных, документов и программных средств, а

также любое оборудование и персонал, необходимые для восстанов-

ления услуг, будут готовы незамедлительно после того, как произо-

шёл крупный сбой или авария

по крайней мере, одна копия каждого документа по обеспечению

непрерывности услуг хранится и поддерживается в актуальном со-

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

стоянии в защищенном месте на расстоянии, обеспечивающим её

безопасность, вместе с оборудованием, необходимым для исполне-

ния планов по обеспечению непрерывности услуг

сотрудники понимают свои роли в инициации и/или выполнении

планов по обеспечению непрерывности услуг, а также имеют доступ

к документам по обеспечению непрерывности услуг

Планы обеспечения непрерывности услуг и другие документы, имею-

щие отношение к планам (например, контракты), должны быть связаны с

процессом управления изменениями и процессом управления договорами.

Тестирование готовности к выполнению планов по обеспечению непре-

рывности услуг, следует проводить с частотой, достаточной для обеспечения

уверенности в том, что эти планы эффективны и останутся такими при изме-

нении систем, процессов, персонала и потребностей заказчика. Такая провер-

ка должна выполняться совместно заказчиком и поставщиком услуг,

базируясь на согласованном наборе целей обеспечения непрерывности услуг.

Ошибки, выявленные при проведении проверки, следует задокументи-

ровать и оценить целесообразность включения действий по их устранению в

план улучшения услуг.

Рекомендации и практики в области управления мощностями

Прогнозы развития бизнеса заказчиков и предварительные оценки

рабочей нагрузки следует преобразовать в конкретные требования к

услугам и документировать.

Результат отклонений от согласованной рабочей нагрузки или изме-

нений в окружающей среде должен быть предсказуем, поэтому не-

обходимо регулярно собирать и анализировать данные о ресурсах

Процесс управления мощностями должен быть центром, координи-

рующим решение всех вопросов в области производительности и

мощности предоставляемых услуг

Процесс управления мощностями должен содействовать созданию

новых и внесению изменений в существующие услуги посредством

предоставления сведений об объемах (производительности) услуг и

моделирования услуг

В Плане мощностей документируются сведения о фактической про-

изводительности инфраструктуры и ожидаемых требований к про-

изводительности. Поставщику услуг следует составлять

(актуализировать) план мощностей с периодичностью, соответст-

вующей темпу изменений в предоставляемых услугах, объемам пре-

доставляемых услуг, информации, содержащейся в отчетах

управления изменениями, а также соответствующей темпу измене-

ний бизнеса заказчика

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

План мощностей следует разрабатывать не реже одного раза в год.

Документ должен содержать оценку затрат на выполнение бизнес-

требований заказчика услуг и предлагаемые решения, обеспечи-

вающие достижение согласованных целевых показателей уровней

услуг, определенных в Соглашениях об уровне услуг

Организации следует иметь четкое понимание своей технической

инфраструктуры, а также её текущих и прогнозируемых потенци-

альных возможностей

Рекомендации и практики в области управления информационной безо-

пасностью

Информационная безопасность – это результат реализации комплекса

политик и процедур, созданных для идентификации, контроля и защиты ин-

формации, а также любого оборудования, используемого для хранения, пере-

дачи и обработки информации.

Всему персоналу поставщика услуг и, в первую очередь, специалистам

по обеспечению информационной безопасности, следует быть хорошо знако-

мыми с ISO/IEC 17799, Сводом практик для управления информационной

безопасностью».

Идентификация и классификация информационных активов

Поставщику услуг следует:

поддерживать в актуальном состоянии инвентаризационные данные

об информационных активах (например, о компьютерах, средствах

связи, окружающем оборудовании, документации и др.), необходи-

мых для предоставления услуг

классифицировать каждый актив в соответствии с его критичностью

для предоставления услуги и требуемым уровнем защиты, а также

назначить владельца актива

ответственность за защиту информационного актива возложить на

владельца этого актива

Меры по оценке рисков в области безопасности

Оценка рисков в области безопасности должна:

проводиться с согласованной периодичностью

записываться

актуализироваться при изменениях (потребностей бизнеса, процес-

сов и конфигураций)

способствовать пониманию того, что может повлиять на услугу, на-

ходящуюся под управлением

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

предоставлять информацию для принятия решений о том, какие ви-

ды управления необходимо использовать.

Риски, связанные с информационными активами

Риски, связанные с информационными активами, следует оценивать с

учетом:

их природы (например, сбой программного обеспечения, ошибки

эксплуатации, отказ средств связи и др.)

вероятности

потенциального влияния на бизнес

накопленного опыта

Безопасность и доступность информации

При оценке рисков особое внимание следует уделить следующим во-

просам:

возможности получения конфиденциальной информации сторона-

ми, не имеющими на это прав

неточности, неполноте или недостоверности информации

недоступности информации для использования (например, из-за

нарушения энергоснабжения)

физическому повреждению или уничтожению оборудования, необ-

ходимого для предоставления услуг

Также необходимо учесть цели политики информационной безопасно-

сти, необходимость выполнения особых требований заказчика услуг в облас-

ти информационной безопасности (например, к уровню доступности

информации) и установленные законодательством или регулирующими ор-

ганами требования по обеспечению информационной безопасности.

Средства управления и контроля

Дополнительно к другим средствам управления, применение которых

может быть оправдано, и к советам, содержащимся в других разделах на-

стоящего стандарта, поставщику услуг в качестве хорошей практики управле-

ния информационной безопасностью следует применять следующее:

высшему руководству необходимо определить свою политику ин-

формационной безопасности, довести её до сведения персонала и до

заказчиков услуг и осуществлять деятельность, гарантирующую её

эффективное исполнение

роли и ответственности в управлении информационной безопасно-

стью должны быть определены и назначены на соответствующих со-

трудников поставщика услуг

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

группа ответственных представителей руководства (роль может быть

закреплена за сотрудником, исполняющим роль ответственного ру-

ководителя) должна осуществлять мониторинг и поддерживать эф-

фективность политики информационной безопасности

персонал, исполняющий важные роли по обеспечению информаци-

онной безопасности, должен проходить соответствующую подготов-

ку

весь персонал должен быть ознакомлен с политикой информацион-

ной безопасности

для оценки рисков и внедрения средств управления и контроля ин-

формационной безопасности должна быть предусмотрена возмож-

ность привлечения экспертов

эффективность работы средств управления и контроля информаци-

онной безопасности не должна понижаться при проведении каких-

либо изменений

об инцидентах в сфере информационной безопасности должно быть

сообщено согласно процедурам управления инцидентами, а также

должна быть инициирована обратная связь

Документы и записи

Записи в области информационной безопасности следует периодически

анализировать для предоставления руководству сведений:

об эффективности политики информационной безопасности

о выявленных тенденциях в части инцидентов в области информа-

ционной безопасности

о входной информации для актуализации плана улучшения услуг

о контроле доступа к информации, активам и устройствам

Система управления информационной безопасностью, должна быть

корректно документирована.

3.3.19. Рекомендации и практики для процессов поддержки услуг

В этой части рассматриваются рекомендации и практики в области

управления инцидентами и проблемами.

Общие рекомендации для процессов разрешения

Управление инцидентами и управление проблемами являются отдель-

ными процессами, но они тесно взаимосвязаны. В рамках управления инци-

дентами принимаются меры по восстановлению услуги, а в рамках

управления проблемами – по выявлению и устранению причин инцидентов.

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

Установление приоритетов

Целевые значения параметров услуг для устранения инцидентов

или решения проблем должны быть основаны на приоритетах

Приоритет следует определять на основе учёта степени влияния и

срочности

Степень влияния следует определять на основании размера факти-

ческого или потенциального ущерба от инцидента или проблемы

для бизнеса

Срочность следует определять на основании времени от момента об-

наружения инцидента или проблемы до момента, начиная с которо-

го инцидент или проблема начнет оказывать существенное

отрицательное влияние на бизнес

При определении порядка устранения инцидентов или решения про-

блем, необходимо обращать внимание на следующее:

приоритет

доступность сотрудников соответствующей квалификации

конкурирующие между собой требования на использование ресурсов

эффективность/стоимость реализуемого способа решения

величину общего времени, затрачиваемого на реализацию выбран-

ного решения

Примечание: понятие «приоритет» используется практически во всех

процессах управления услугами, но своё основное применение приоритет на-

ходит в процессах управления инцидентами и управления проблемами

Обходные решения

В рамках процесса управления проблемами должен происходить по-

иск новых и актуализация существующих обходных решений для со-

действия процессу управления инцидентами в восстановлении

услуги самостоятельно пользователями или с помощью сотрудников

поставщика услуг

Известную ошибку следует закрывать только тогда, когда изменение

для устранения этой ошибки успешно произведено, или когда

ошибка больше не актуальна (например, услуга больше не использу-

ется заказчиком)

Процесс управления проблемами должен иметь доступ к информа-

ции о бизнес-аспектах работы заказчиков, находящихся под влияни-

ем проблем

Информацию об обходных решениях необходимо хранить в базе

знаний

Информацию о применимости и эффективности обходных решений

следует сохранять и поддерживать в актуальном состоянии

Методическое руководство для подготовки к профессиональным

экзаменам ISO 20000 Foundation / ISO 20000 Foundation Bridge

Рекомендации и практики в области управления инцидентами

Примечание 1:

Процесс управления инцидентами может быть реализован с помощью

Службы Сервис-деск, которая действует как точка ежедневного контакта с

пользователями.

Примечание 2:

Процесс управления инцидентами следует организовать таким обра-

зом, чтобы он был как проактивным, так и реактивным процессом, реаги-

рующим на инциденты, которые влияют или потенциально могут повлиять

на услугу и её предоставление, и ориентированным на восстановление пре-

доставления заказчику согласованной услуги, а не на выявление причин ин-

цидентов.

В охват процесса управления инцидентами следует включить:

- прием обращений, регистрацию, назначение приоритета и клас-

сификацию

- устранение инцидента на первой линии или назначение на вто-

рую линию для дальнейшей обработки

- рассмотрение возможных вопросов информационной безопасно-

сти

- отслеживание и управление инцидентом на всех этапах его жиз-

ненного цикла

- проверку результативности решения инцидента и закрытие

- обеспечение обратной связи с пользователями силами первой

линии поддержки

- эскалацию

Информация об инциденте может быть передана по телефону, при

помощи голосовой почты, при личном контакте, письмом по факсу

или электронной почте. Также инциденты могут регистрироваться

непосредственно пользователями, имеющими доступ к системе ре-

гистрации инцидентов, или на основании сообщений от систем ав-

томатического мониторинга

Все инциденты следует регистрировать таким образом, чтобы суще-

ствовала возможность получения и анализа необходимой информа-

ции об инцидентах.

Информацию о достигнутых результатах в ходе решения инцидента,

следует доводить до сведения тех сотрудников, на деятельность ко-

торых он влияет, или которые могут потенциально оказаться под

влиянием этого инцидента

Все действия по работе с инцидентом должны быть зарегистрирова-

ны в записи об инциденте