Клиент передает IT-подрядчику поддержку инфраструктуры и ожидает двух вещей: сервис работает стабильно, а доступ к данным остается под контролем. Но быстро закрытая заявка еще не означает безопасное решение. Если администратор устранил сбой через общую учетную запись, бизнес получил результат вместе с риском.

Для компаний, развивающих IT аутсорсинг в Узбекистане, объединение ISO 20000 и ISO 27001 помогает связать качество обслуживания с защитой информации.

Что дает сочетание двух стандартов

ISO/IEC 20000-1 устанавливает требования к системе менеджмента услуг: их планированию, предоставлению, контролю и улучшению. ISO/IEC 27001 задает требования к системе менеджмента информационной безопасности на основе оценки рисков. Вместе они позволяют согласовать сервисные процессы и меры защиты. Интеграции этих систем посвящено отдельное руководство ISO/IEC 27013.

Например, изменение серверной конфигурации оценивают сразу с двух сторон: как оно повлияет на доступность услуги и какие угрозы создаст для информации клиента. Согласование, проверку и план отката включают в общий рабочий процесс.

Как выглядит единая система на практике

Управление IT услугами и безопасностью начинается с определения границ: какие услуги, команды, площадки и подрядчики входят в систему. Затем компания связывает обязательства перед заказчиком с конкретными действиями сотрудников.

Объединить полезно следующие процессы:

• Инциденты. Фиксировать влияние на сервис, признаки нарушения безопасности, порядок эскалации и уведомления клиента.
• Доступ. Назначать права под рабочие задачи, согласовывать привилегии и своевременно отключать учетные записи.
• Изменения. Проверять обновления, оценивать риски и сохранять подтверждения согласования.
• Поставщики. Определять ответственность облачного провайдера, субподрядчика и собственной команды.
• Восстановление. Согласовывать сроки и проверять возможность восстановить услугу из резервных копий.

Единая система не требует складывать все события в одну очередь. Заявка на настройку почты и подозрение на утечку могут иметь разные маршруты, но ответственность и правила взаимодействия должны быть согласованы.

Что получает руководство

Для директора результат выражается в понятных показателях: соблюдении SLA, числе повторных сбоев, сроках отзыва доступа и результатах проверок восстановления. CISO получает связь между рисками и ежедневными операциями. Юристы — основу для согласования договорных обязательств, а кризисная команда и PR-служба — порядок информирования при серьезных инцидентах.

При этом сертификат не гарантирует отсутствия сбоев. При выборе подрядчика стоит проверить область сертификации: охватывает ли она именно те услуги, которые покупает заказчик.

С чего начать компании в Узбекистане

Практичный первый шаг — выбрать ключевую услугу и проследить ее путь от договора до поддержки. На каждом этапе определить владельца, риски, критерии качества и необходимые записи. После внедрения процессов провести внутренний аудит, устранить несоответствия и оценить готовность к сертификации.

BALTUM BUREAU работает с ISO/IEC 27001 и ISO/IEC 20000-1. Чтобы обсудить задачи вашей компании и следующий шаг, оставьте заявку на iso27001.uz.