ITSS认证服务咨询-IT服务外包标准的通用要求

详情描述：

服务外包标准包含一簇相关的标准，这些标准可分为三类：通用规范、业务规范和基础规范。虽然服务外包的业务形态千差万别，但对于不同服务外包承接组织来说，存在为完成服务交付需要执行的共性和基础性的过程，为保证服务外包顺利实施，分别对服务外包供需双方的主要活动提出一般性要求，通用规范用于规范这部分过程，关注服务外包相关的活动，不涉及具体的服务过程；业务规范针对服务外包活动中，供需双方的某一具体活动或服务外包方式给出相应的规范；为保障更好地完成服务外包活动，基础规范提出服务外包供需双方都应遵守的基础性要求。
主要服务外包专业标准介绍如下：
1、服务交付保障通用要求
就信息技术服务外包承接组织的服务交付相关活动提出过程要求，以保障外包服务的顺利付，满足客户的服务需求。本标准的使用者可以是信息技术服务外包的发包方（或客户）、信息技术服务外包的承接方、信息技术审计人员、信息技术服务外包咨询人员、信息技术服务外包的从业人员以及关注信息技术外包服务交付质量的评估、审计和提升的人员。
标准主要内容：本标准涵盖了服务外包的23个主要过程，从服务提供方（以下简称“组织”）运营角度，将过程分为战略管理、服务实现和服务交付保障。本标准中引入戴明环的管理思想，对服务外包管理体系的建立、实施、监控和评估以及改善提出要求。
战略管理
关注于组织如何规划服务外包业务、组织能够提供什么样的服务以及组织如何建立和维护服务能力及可用性以满足服务外包的需求。战略管理包含以下三部分标准：业务规划和部署、服务目录管理、能力和可用性管理。
服务实现
涵盖了组织根据服务需求进行服务设计和部署，并交付服务的过程。主要包括以下五部分：服务设计和部署、服务移交、服务交付、问题管理和事件管理。服务交付保障 关注于组织服务交付的支撑活动，并将这些活动分为三个方面：业务管理、资源管理和威胁管理。业务管理指与外包业务的开展直接相关的过程，包括协议管理、服务级别管理、关系管理、沟通管理、配置管理和质量保证；资源管理指管理服务交付所需各种资源的过程，包括人员管理、知识管理、技术管理、财务管理和基础设施管理；威胁管理指对可能威胁服务顺利交付的因素实施管理的过程，包括安全管理、知识产权管理、合规性管理和风险管理。本标准适用于有信息技术服务外包的发包接包行为或准备发包接包的组织，包括公众和私有公司、政府组织、研究机构和非赢利组织，而不论其组织的规模大小，可以指导这些组织进行：
1) 建立和维护服务外包管理体系；
2) 评价、选择信息技术服务提供方的服务发包方；
3) 评价、认定信息技术服务提供方能力水平的第三方。
2、数据（信息）保护规范
在服务外包行业，数据保护已成为离岸外包的贸易壁垒。欧盟已制定了相关法律保护欧洲经济共同体内数据的合法、有序流动，并对向欧盟以外的国家传输数据，制定了严苛的规则，如与美国的“安全港协议”；日本则以法律与行业自律相互救济的方式保护数据，并采用P-MARK认证机制保证企业相应管理体系的充分、有效。我国要大力发展服务外包产业，需要制定一套符合国际标准的数据保护标准。本标准提出了数据保护的整体框架和规则，规定了个人信息保护、商业数据保护相关术语和定义、数据保护原则、数据主体权利、数据管理者的权利和义务、数据保护体系的建立和实施等基本规则和要求。
标准主要内容：数据保护原则
本标准应遵循目的明确、权利限制、数据质量、使用限制、安全保障以及责任等相关原则。数据主体权利数据主体应享有数据的知情权、支配权以及疑义和反对的权利。数据管理者责任和义务数据管理者应保障和维护数据主体的权益，收集目的明确，并负有告知、质量保证、安全和保密等相关责任和义务。
数据保护体系包括数据保护方针、管理机制、保护机制、安全机制、过程改进机制
等。数据保护方针指数据管理者应基于实际情况，依据国家相关法规、标准的原则和措施，以简洁、明确的语言阐述、公示，以指导数据保护工作；管理机制指数据管理者应制定实施数据保护体系应遵循的规章和制度，包括基本规章和适用于各从属机构、部门特点的管理细则，并切实执行；安全机制指包括风险管理、物理环境管理、工作环境管理、网络行为管理、信息安全管理、存储管理、使用管理、备份和恢复、人员管理、备案管理等；过程改进机制包括监察内审、持续改进等。本标准适用于信息技术服务外包组织中数据（个人信息、商业数据）的保护，为个人信息保护、 商业数据保护提供基本的规则和要求，以构建数据保护体系。本标准还可为服务外包企业建立数据保护机制提供可供参考的依据，提高其数据保护能力和数据安全规范管理水平和质量，大程度降低因偶然的或者恶意的原因，遭到破坏、篡改、泄露、窃取。
3、交付中心规范
本标准作为服务外包交付全生命周期管理（包括业务管理、人员管理、服务质量管理、知识管理、服务安全管理、服务环境管理、服务能力管理、服务关系管理、服务交付管理）规范。本标准适用于服务外包中心的建设和运营，也适用于服务外包中心的升级与扩展。从业务模式、业务过程到产品和服务等方面持续优化和提升企业交付能力。
4、非结构化数据管理与服务规范
本标准描述了非结构化数据的主要类型，规定了非结构化数据管理的四个主要阶段，以及各主要阶段的服务需要遵从的技术要求、业务规范。本标准适用于IT服务外包组织。
本标准处于征求意见阶段。