2012 SGS個人資料管理講座
個資法最新發展暨個資管理系統有效落實分享
在我國新通過的個人資料保護法規範中,企業主除須面對個人資料外洩可能產生的責任外,賠償的最高總額更大幅度增加至2億元!面對新版個資法的要求,企業如何規劃流程中對於個人資料的蒐集、處理與利用程序並建置有效的管理系統,將會是企業面臨的一大挑戰。

sidneyho 發表在 痞客邦 留言(0) 人氣()

文章開始前,先跟持續關注此部落格的讀者道歉,筆者太疏於用功,真是汗顏!! 鞠躬致歉!!!
最近到了不少機關單位演講 ITIL/ ISO 20000,說實在的,機關單位對於 ITIL 導入的興趣缺缺,從演講的參與度可略知一二,位置是坐滿了,但是呼呼大睡的比例頗高。筆者曾自我反省,是不是今天笑話講得不好笑? 數量不夠多? 還是演講技巧下降? 舞台魅力不夠等等… 不過側面了解後發現,其實在很多資訊技術人員心中,視 ITIL 是理想的烏托邦,幾近遙不可偶及,是一條漫長的道路,而且牽涉範圍規模之大,非你我二人可以成事,故事不關己,己不關心,有些事有了解即可,真正要去做,時間成熟了再說吧…
反觀最近另一個演講的主題:BCM (營運持續管理),受歡迎的程度就呈現極度的反差了!! 看著台下專心的眼神,心裡不禁懷疑,這些人是上星期我來演講 ITIL 的同一批人嗎? 還是午餐有附贈咖啡? 每個人對於這個主題十分關注,並且躍躍欲試提出許多問題,真是出乎我的意料!!
個人觀察,技術人員不重視管理,但對於本身維運系統或服務的可用性、持續性如何確保,這一點他們倒是願聞其詳。目前資訊環境日趨複雜,目前做得一些災害復原措施是否足夠? 還有哪些關鍵點要納入考量,常流於本位主義考量,並不是最符合組織單位最大利益為前提來設計,此外,很多技術人員也不知如何下手,如何做好資訊服務持續性,進而支援企業持續營運? 這些問號,讓 BCM 主題演講,每次都有很好的效果,笑話少講幾個,學員們還是很捧場喔!
的確,對於企業及技術人員而言,會對我的存在感產生威脅的,如資安(ISMS)、BCM等,即使導入上述管理對於企業營收沒有直接貢獻,但為了存亡考量,還是要買個保險;反觀 ITIL導入會對企業營收或效能有明顯提昇,但這是錦上添花的措施,在沒有時間急迫壓力之下,永遠會"waiting list"上的項目之一,等我們有空、準備好了再來做,何時呢? 再看看吧…
至於 BCM,是個看似簡單,但也可能很複雜的管理,有空我再好好解析給各位讀者了解…
P.S: 有空…有空的話…好像有點敷衍…我也跟其他企業單位一樣懶散啊! 真是糟糕…

sidneyho 發表在 痞客邦 留言(4) 人氣()

分享一個訊息,為持續配合行政院國家資通安全會報推動國內各政府機構及公民營事業機構建置資訊安全管理系統(ISMS)以降低我國整體資訊安全風險,強化資訊防衛能力,經濟部標準檢驗局(BSMI)與台灣檢驗科技股份有限公司(SGS)共同主辦,中華民國資訊安全學會(CCISA)承辦「資訊安全管理系統標準化系列討論會 」,即將於7月17日於台中登場,也歡迎所有關心資訊安全的朋友們可以屆時與會, 一同討論新興趨勢與發展。以下是研討會的資訊:
時間:7月17日(星期五)
地點:臺中市南區工學路70號(經濟部標準檢驗局臺中分局大禮堂)
報告方式:一律以email報名:iso.service@bsmi.gov.tw





08:50~09:25




報到






09:25~10:35




ISMS稽核常見問題分享


主講人:SGS ISO 27001稽核員暨ISO 20000產品經理 何星翰






10:35~10:50




休息






10:50~12:00




落實電子化政府資安管理實作初探-根基於ISO/IEC 27001標準系列


主講人:中華民國資訊安全學會秘書長 樊國楨博士






12:00~13:30




午餐(供應便當)






13:30~14:40




Web 2.0與資訊安全


主講人:台灣微軟股份有限公司 林宏嘉經理






14:40~14:55




休息






14:55~16:05




資安社群眼中之資訊系統的攻與防


主講人:網駭科技股份有限公司 陳威豪經理





sidneyho 發表在 痞客邦 留言(2) 人氣()

最近一直有人問我,已決定要採購 ITIL 工具來協助導入,要選擇哪一個工具比較適合? 很可惜,不是每一項工具的功能我都十分熟捻,故無法提供具體答案,不過,依最近的軟體發展趨勢而言,SaaS (軟體即服務)是一種即將演化而成的新資訊服務架構,企業組織可以研究一下可行性,並且考量是否適用於 ITIL 流程管理。
以前大型企業(如銀行業、電信業等)習慣採購大量大型主機及套裝軟體,亦或是組成為數可觀的開發團隊自行建置,建立符合自身需求且於封閉環境之內的資訊服務及系統,好處是量身定製,自身具有主導權,展現相對資訊安全性,但壞處則是開發、維運成本高,隨著日子一久,資訊系統逐漸形成巨大的怪獸,等到無法駕御之時,只能重新打破再來過,又是一次次龐大的支出,因此你會常到某系統2代、3代等的字眼,而另值得注意的是,能成功改版是理想的狀況,最怕是無能為力,只能困在舊系統功能,進而限制住企業營運的發展。
未來在 SaaS 的風潮推動之下,目前許多資訊廠商,利用 Web 2.0 的特性,企圖結合雲端運算的優勢,將資訊服務完全架構於網路服務之上,建立起新形態的委外服務營運模式。少量多樣的服務特性,可廣泛符合各類型顧客之所需,網路頻寬的成長及雲端運算的理想,也讓服務效率不會是你疑慮的項目;試推想,若撇開資訊安全的爭議,不久的將來,企業會發現許多資訊服務在網路上即可取得,不必再自行開發,而且往後的維運,包含硬體及軟體,都由資訊供應商負責,或許,日後連電腦機房都不再需要,企業組織資訊部門只須專案管理員、技術專家及委外管理專家等。
回到 ITIL 工具,其實國內某 A 開頭的資訊服務廠商,也推出不同於坊間大多數昂貴套裝軟體的 ITIL 網路平台,藉由接近 SaaS 的概念,以低價普及的角度切入市場。筆者個人不是很清楚此平台的整體功能,但純論 ITIL 資訊服務工具的新模式,它倒是另一種新時代的選擇。科技日新月異,此新風潮山雨欲來,許多新形態的資訊服務將紛紛問世,也會為資訊服務管理帶來新的面貌,讓我們一起期待吧!!

sidneyho 發表在 痞客邦 留言(2) 人氣()

前些日子跟工研院的組長們討論,ISO 20000/ ITIL 對政府組織有何效益之議題,這的確是很多主管關切的重點。
其實台灣政府機關一直以來,並不十分重視各機關的資訊單位及其服務,所以主管機關的政策方向是建議資訊服務「儘可能」委外,造成了目前各機關資訊單位技術人員不多,高度仰賴外部資訊廠商支援的現象。也許公職人員培養純技術人力有其難度,衍生造成資訊服務委外的決策,不過資訊高度委外的現象,倒是造成了不少負面的奇怪現象;譬如,部份機關單位的資訊人員無法深入掌握核心技術及架構,任由資訊廠商左右,甚至嚴重時會影響到機關單位的營運服務品質;而針對此現象,往往只能怪所託非 人,頂多透過合約上的規範進行罰款、懲罰的爭議處置,不過無論勝負誰屬,傷害已成,只能寄望下一次的採購委外,能夠找到優質的資訊廠商,不要重蹈覆轍。
為了避免資訊廠商的軟體開發能力不足,政府機關單位對於資訊廠商的軟體開發成熟度(CMM),於標案內已有某種程度的要求(e.g: Level 3 以上),希望資訊廠商提供軟體開發的成熟度能力,來證明可勝任資訊系統開發的技術。不過,上述規定針對資訊系統開發案較為合適,還有許多維護專案,要如何要求資訊廠商的維運能力呢? 資訊廠商又如何展現自己優良品質的維運能力呢?
其實,ITIL 就是目前 IT 資訊環境管理、維運的最佳答案!!
其理由分析如下:
1. 利用 Service Level Management,與服務使用者(政府機關)簽定服務等級協定(SLA),時時監控服務品質,進而提昇顧客(政府機關)滿意度。
2. 透過 Capacity, Availability and IT Service Continuity Management 整合,確保適切資源、容量,展現最符合經濟效益的高可用性,並支援政府機關營運持續不中斷。
3. 許多政府機關目前重視為民服務的效率,民眾反應的問題應於最短時間內排除與解決,故建立單一窗口(Service Desk),並輔以親切且專業的服務,並利用 Incident Management 最短時間內解決事故的效益,再加上 Problem Management 治本避免復發的效益,可大幅改善服務使用者對於政府機關的觀感,展現高品質的資訊服務水準。
4. 任何新服務及變更,皆可透過 Change, Release and Configuration Management 的整合,以高品質的變更一次到位,減少對正式營運不必要的衝擊。
5. ITIL 內的 Measurement 和 Metric,可以量測出資訊服務的品質,針對可改善之處 ,利用 PDCA 模式進行自身改善。
筆者自身也曾為政府機關服務過,擔任大型開發暨維運專案的專案經理,深知資訊廠商有時內部資源窘困,會鑽些專案管理的小漏洞,來控制成本的支出,相對而言,有時對於顧客權益會造成一些損失,維運只求不出狀況,符合最基本要求,畢竟品質越好,代表投入的成本越多,廠商不是來做公益的,賺錢才是首要考量。不過,若反過來站在顧客(政府機關)的角度來考量,當然希望要求維運資訊廠商能有 ITIL 管理,最好在標案中要求此維運能力規格,讓廠商不得不呈現出程度以上的維運水準,最後受益者其實是政府機關及所有民眾;甚至,針對有些廠商自吹自擂,可要求檢附 ISO 20000 的驗證證書來客觀展現已具備此管理框架,且通過公正第三方的驗證,這才會是未來各政府機關良好資訊服務的保障。
已有一些具有遠見的政府機關,自身導入 ITIL 管理,未來為符合管理框架,所選擇的資訊廠商最好也有相同管理流程,或是能融入此管理流程,呈現出高效率的服務品質。雖然可能無法跟 ISO 27001 (資訊安全管理)一樣,成為重要政府機關強制導入的管理,但建議各政府機關可仿效國外政府機關的要求,於未來標案中將 ITIL/ ISO 20000 納入成為選擇維運廠商的必要規格,來保障委外資訊服務的品質及效率。

sidneyho 發表在 痞客邦 留言(5) 人氣()

日前與許多顧問討論,有關 ISO 20000 推動與導入的甘苦談,顧問們紛紛看壞今年 ITIL 在台灣的發展,在缺乏充沛金援及企業主的支持之下,已有度小月的心態來暫渡難關,寄望來年經濟好轉再藉機大展身手。我十分理解這些顧問朋友的心情及處境,甚至有人看衰 ISO 20000 的未來,這也是可以預期的…不過,我倒是提出另一個新思維,讓顧問及客戶重新來了解 IT 治理導入的觀點。
經濟短時間不會好轉,這已是必然的趨勢,企業主在營運收益不穩定的狀態下,「生養休息,以訓備戰」是許多企業今年的重要方針,預期今年資訊教育訓練的市場,將會有可觀的成長,尤其是具備考取證照的課程。不過,許多人上完 ITIL 或 ISO 20000 相關課程後,卻出現了一些令人意料之外的負面反應;「這不是我們能玩的東西,規模太大!!」、「預算可能要上看千萬,老闆可能不會准!?」、「這資訊服務管理立意甚佳,但一旦導入,事情會多到做不完!!」…
反過頭來檢視這些反應,ITIL 可適用於所有大小不同規模的企業,不一定要使用高費用的自動化工具,而且它的導入效益是使效能提昇,品質確保,還能有效掌控成本支出。為何這些課程上一再強調的重點,卻是上完課部份學員們的心中恐懼呢? 是講師的錯誤講解,還是學員們吸收理解錯誤呢?
其實,我個人研判,應該是理論所呈現的最佳實踐境界,帶給學員們許多壓力,深知要達到如此境界,企業所面臨的變更及調整非同小可。的確,許多顧問也是存有如此的想法,找尋大型高獲利的公司,設計繁雜的導入階段及活動,並想盡辦法去說服企業主,願意一起來場華麗的冒險…(費用高、成功率低,有可能帶來服務改善…我是企業主,應該是沒信心賭這一把…)
其實企業主的擔憂是可以理解的,如果以另一個思維,由小處著手,先尋求 early stage 的 quick win,建立最基本的要求 (60分,如先獲得 ISO 20000 的認證,確保基礎的完整),可能會是可行的方案。在手頭困窘的經濟困境下,先讓企業主投入可接受的低度成本,以快速有效率的導入手法,建立全面但低度成熟的資訊服務管理基礎,讓企業主充份體會到此 IT 治理的初期效益,在客觀數據呈現之下,高層自然分辨得出此舉對企業的效益影響,一般而言,懷有遠景的企業主會繼續加碼、充份授權並支持後續階段的導入;另一方面,且在初期效益的保證之下,企業內各單位的配合度會逐漸提高,隱性的消極抵抗也會隨之減退,再利用 ITIL 理論中的 CSI (Continue Service Improvement) 來逐步提昇服務品質 70, 80 甚至到 90 分,這樣的導入手法,可能會比較貼近實務上的需求。
傳統而言,先做到 90 分以上,再來申請驗證,這是舊思維,也是一場豪賭 (畢竟 ITIL 導入成功率不到 50%,常常還走不到一半,就宣告失敗,然後企業主開始痛心投資的浪費,不再相信 IT 未來的鬼話…);先從小處嘗試,初期有效後再逐步擴大,可以是較實務有效率的服務方案。

sidneyho 發表在 痞客邦 留言(4) 人氣()

簡單說明了 Event Management 的理論,回到現實世界,來談談我周遊許多公司資訊環境後,常見的管理問題。
個人曾經到訪過一個地方政府資訊單位,該單位規劃出不錯的 Log Center 功能,以 Web Service 為所有軟硬體環境界接的界面,去接收所有 Event 訊息,各系統依照五大類別去分類呼叫,集中整合所有 Log,最後連接 SMS 及 Mail 平台去通知相關承辦人及廠商,進行必要的處理。上述例子是不錯的 Event Management Process Design (落實度還未完整),成本也相對昂貴,也有比較簡易平實的做法,就是寫 cron-job 全部收進來,再列印報表去審視。
無論是哪種管理流程,個人曾見過的 Event Management 問題如下,供大家參考:
一、Event or Log 未過瀘:
許多組織都了解 Event or Log 保存的重要性,為了怕有疏漏,寧可錯殺一百不可放過一個,沒有 Filtering 機制全部收進來,曾見過一個資訊單位僅一天的 Log 檔案大小就超過 4 GB,光開個檔案電腦幾近當機,更別提如何去區分正常及異常的 Event了…另一個曾見過的例子,某單位資訊人員手機簡訊功能關閉,我好奇問他為何不用? 他回答說,Event 簡訊通知太多太頻繁,他索性就直接關掉了,眼不見為淨…令人啞然失笑,也想起過濾的重要性。
二、Event or Log 未分類:
就管理而言,時間的運用是很重要的,基本上應該遵循 80/20 法則,將大部份心力關注在少數異常的 Event 上,去進行必要的處理。依照個人之前的經驗,所有 Log 集結成一大塊,並在報表上全數登載時,其實日子一久,管理人員常因鬆懈,無法一一去細看,就等於沒看…適度的分類是會容易協助專注於異常 Event 的監控;另外,在資訊安全 ISO 27001 的控制項,也特別關注不同種類的 Log,尤其是 Administrator 及 Fault Log 的保存及監控。
三、Event 的保存期限如何界定?
其實我一直覺得這是很直覺的問題,就 ISO 27001 而言,A.10.10.1 控制項的說明提到,Log 的保存應在「an agreed period」,此言可以是法律上的要求(如檔案法),或是該組織自行定義合適的期限,端視情況而定。不過有一個客戶問我這個問題時,我提供上述的回答後,他的後續疑問倒是讓我有了不同的思考…他回問說:「是的,我們可以自行定義,不過如果我把 20 多年前的 Log 刪除,哪一天立委跟我調相關資料,若無法提供,你覺得他會放過我嗎?」的確,任何問題扯上了政治,都會變得很複雜…
四、Event 的保存
很多單位收集 Event or Log 在一個公用的資料庫或資料夾,若沒有適當的權限控管,要特別在意非授權竄改的風險(ISO 27001 控制項之一),畢竟當相關資訊安全事故發生時,若涉及法律責任,正確 Log 資料會是舉證的重要資訊之一。此外,為了降低風險,若預算許可的情況之下,可以進行定期備份或異地備份作業。

sidneyho 發表在 痞客邦 留言(0) 人氣()

Event Management Process 可以很簡單,譬如簡易的伺服器及應用系統 log 收集;當然也可以很複雜,詳如 ITIL V3 理論內容,它勾勒出完整的處理程序及流程,輔以不同狀態的子流程因應,以供有興趣之企業組織參考。
Event Management Process:
一、Event Occur, Notification and Detection
在服務設計階段,應儘量邀請各流程、角色參與討論,並針對"重要"區域及服務進行 Event 偵測及通報的機制,若預算許可,則應盡可能以自動化去收集並接受 Event 通知,降低人力維運成本。
二、Event Filtering
就管理而言,時間及能量要用在刀口上,許多 Event 需要偵測並記錄下來,但卻不一定都須進行後續的行動及審查,故在此階段活動,應制定出 Event 過濾的條件,針對不同等級的 Event 進行相對應的處置。
三、Significaces of Event
一般而言, Event 可分成三種等級:
(1) Informational:泛指不需進一步行動的事件,且不算是意外性質(exception)。
(2) Warning:某種事件之影響,已即將超過可接受門檻值(threshold)。
(3) Exception:代表某資訊服務之運行已不正常(abnormal),通常而言,此類情形發生時,SLA 或 OLA 所承諾之服務等級已無法達成,可轉由事故管理或變更管理流程進行處置。切記,此類事件不完全等同於事故!
四、相對應子流程處理程序
(1) Informational Event => Event Logging => Action(if neccessary) => Event Clsoure.
此類事件較為單純,大多記錄後備查,若有必要則進行行動補強。
(2) Waring Event:
Warning 事件接收後,應進行 Event Correlation 事件關連性分析,若多個相似或相關連的 Warning Event 已產生,則可依情節嚴重程度區分,進行不同處置方法:
1. 情節嚴重者,則轉由 Incident or Change management processes 處理。
2. 情節適中,需進一步觀察者:發出 Alert 通知相關人員等,並視情況進行 Human Intervention 人為介入改善處理。
3. 常見情節者:則設計、建置自動修正處置(Auto-Response)。
(3) Exception Event:
轉由 Incident, Problem or Change management processes 處理。
五、Event Effectiveness confirm and Closure
事件改善處理後,應進行有效性確認 (Action effectiveness confirm),若有效則可結案(Closure);若無效,則重新導回 Incident, Problem or Change management processes.

sidneyho 發表在 痞客邦 留言(0) 人氣()

又到了歲末年終之際,通常企業會在此時預估明年的企業成長展望。不免俗地,很多朋友也常問我,ITIL 明年的展望 (in Taiwan) 會好嗎?
老實說,在金融海嘯的摧毀性侵襲之下,大多數企業明年在各方面的投資應該是趨近凍結,連人員飯碗都保不住了,更別提積極性的資訊服務改善規劃…不過,若以市場產品週期來看,台灣資訊業界 management framework solution,拜政府機關強制要求所賜,近 2 年以資訊安全為發展重心,而且這一把火燒得轟轟烈烈,筆者行程滿檔直到農曆年後,每天到不同單位進行資訊安全稽核,由此可知,台灣各機關單位對於資安有一定的重視(有關資安議題十分有趣,其實可以再開一個版來細談,但…我目前應該沒那個美國時間…);但隨著資訊安全驗證的最後期限將至(註一),資訊顧問業界紛紛尋找下一個產品明星,預料 ITSM 及 BCM 將是下一波可受期待的資訊管理論。
造化弄人,時局實在太壞,照循環的理論而言,好不容易資訊安全漸歇,該輪到 ITIL 大放異彩時,這一波全球金融海嘯又把這個時間點往後無限期挪延,因此,筆者個人是抱持著「度小月」心態來看待,不過經濟衰退之際,是菁英充實自己的好時機,最近有一些書刊也提到 ITIL 證照的必要性及未來競爭優勢,因此,為了在未來某適當時刻可以 join ITIL wave,當個 qualified 的顧問或中高階管理人才,有興趣的朋友倒是可以在今年好好研究 ITIL,並放眼未來;另外有一點一定要提醒大家,只拿 ITIL Foundation certificate 是不夠的…。 
個人觀點:持續沉潛,2009 年是 ITIL 學習年。

sidneyho 發表在 痞客邦 留言(0) 人氣()

如果您也是熱心吸收 ITIL 第一手新知的同好,告訴您一個好地方,全球同步最新 ITIL 概念的分享園地:itSMF e-Symposium,一定不容錯過!!
其實 itSMF international 這個創舉真是令人感佩,召集全球頂尖各企業或專業領域之 ITIL 專家,每月於線上召開講座及座談會,讓全球資訊學人可以吸收第一手新知,此貼心服務讓身在台灣的筆者感激涕零。很多人可能不太了解此服務之內容,讓筆者分享一下使用經驗:首先您要先註冊成為 itSMF 的會員,然後 itSMF 會定期透過 e-mail 告知你新講座訊息(不只一次通知,數天前先寄一封,當天再來一封,一個小時前又來一封!! 貼心!),各會員視題目之吸引程度,可自行決定是否按時上線收聽及閱覽,例如 11/20 是有關於 Service Desk 的議題,筆者有興趣,就上線拜讀了一番。
通常而言,台灣的收聽時間是晚上10點,約莫一個小時的時間,包含 3 個相關連的議題(例如皆與 service desk 有關,但是由不同顧問、企業或學者來主講)再加上最後一個座談。線上收聽時,網頁會播放投影片搭配,讓您有如身歷現場;更貼心的是,投影片還可以下載!! 此外,在每個議題講授完畢後,為增進互動,也有一個即時傳訊的網頁空間,開放全球各地的聽眾輸入欲詢問的問題,讓講授者可以代為解惑。 真是佛心來著的!! 
筆者使用後只有一個小小困擾,就是受邀的專家大多數是英國人,所以濃厚的英國腔聽起有點吃力,只能按投影片的內容去聯想;其餘的部份,只能以滿分來表達我的敬意;在台灣 ITIL 目前仍尚未有廣泛討論研習的園地,幸好有此無障礙論譠提供更多新知。12/11 的議題是有關組態管理(CMDB),有興趣者千萬不要錯過哦!!
 

sidneyho 發表在 痞客邦 留言(0) 人氣()

由台灣科技化服務管理協會志工共同合作翻譯的 ITIL V3 繁體中文詞彙定義表,經過 itSMF International 及 OGC/TSO 審核通過後,已正式刊登於 OGC 官方網站供大家下載使用。請大家點選下列連結,詳細閱讀使用者版權條例後,在網頁右下角點選【Accept】(如下圖所示),進入網頁下載 ITIL V3 繁體中文詞彙定義表。
http://www.best-management-practice.com/officialsite.asp?FO=1230366&action=confirmation&tdi=575004

sidneyho 發表在 痞客邦 留言(1) 人氣()

在文章開始之前,先向關心這個部落格的朋友們致歉;由於最近資安驗證之工作太忙,行程天天爆滿,已經有好一陣子沒有更新部落格內容,自責自己是位不盡責的版主,先向大家說聲對不起!! 接下來每個月會有 1~2 天的空檔,會好好抽空做研究,跟大家交流交流。
今天觀看網頁新聞時,發現這一則新聞:「台灣通過 ISO 20000 認證單位數,為全球排名第7名」http://www.itsma.org.tw/news/show1.asp?news_id=224 ,心裡有一些感想,五味雜陳…樂觀的角度而言,台灣在 ISO 20000 及 ITIL 的導入,算是走在世界領導的潮流,已有一定的成績(筆者公司驗證客戶數也佔台灣市場數近五成);但說實在的,依筆者身處跨國驗證公司的內部角度來觀察,比對起 ISO 27001 資安驗證而言,這個市場其實是欲振乏力的。
依筆者的接觸,許多企業其實對 ITIL 最佳實務表示認同,在預算及策略許可的假設前提之下,其實都十分願意據以改善本身的資訊環境。不過大多數企業希望導入 ITIL 管理,但不一定要取得 ISO 20000 認證,因為 ISO 20000 只是 ITSM 的最低要求(minimum requirement),取得此認證,在企業聲譽上有一定的加分,但對企業組織而言,更在意的是 ITIL 對組織帶來的實質效益,證書只是附加的價值。
切回產業鏈的生態而言,大多數具規模的 ITIL 導入及 ISO 20000 驗證,可能會由三種單位進行上中下游整合:工具廠商、顧問業及驗證公司,目前而言,這產業鍵的成熟度在台灣還有待培養,或許是市場的動力不足,讓眾家仍持觀望態度。不過,若以顧客的角度去設想,自動化工具可有可無,但顧問的功力深淺則是導入成功失敗與否的關鍵,目前台灣此領域顧問業的累積經驗尚顯不足,若顧客為確保導入過程的品質及成效,也可考慮聘請驗證公司進行導入過程中定期執行第二者稽核,依據 ITIL 專業,代顧客向顧問確認各階段之導入有效性,我想,這可能比最後給一張第三者驗證認證,會更讓顧客安心 ITIL 的導入成效。
資安驗證在台灣已成氣候,在政令推廣之下,已有超過200多家的企業組織取得認證,顧問與驗證公司的配合,已循模式合作行之有年,相形之下,ISO 20000 才剛破2位數,仍有很大的成長空間。最後來個工商廣告時間,雖然我目前礙於職責,無法進行顧問服務,但若有興趣導入 ITIL 的企業組織,還是可以請我來監督顧問導入過程,這一點對身為 ITIL Expert 的我,一定勝任愉快的!!(各位熟識的顧問朋友們,不要打我…),另外想申請 ISO 20000 驗證的企業組織,當然歡迎來洽詢,。

sidneyho 發表在 痞客邦 留言(0) 人氣()

Blog Stats
⚠️

成人內容提醒

本部落格內容僅限年滿十八歲者瀏覽。
若您未滿十八歲,請立即離開。

已滿十八歲者,亦請勿將內容提供給未成年人士。