ISO20000についてのQ&A
- SO20000の認証を取得する時、ITILは必須条件になりますか？
- サービスを届ける手段として直接ITを使用していなくても、ISO20000認証取得範囲とする事ができますか？
- ISO20000で要求されている「CMDB」は、どの程度のDBをイメージすればよいですか？
- ISO9001では7章に関して適用除外がありますが、ISO20000では適用除外は可能なのでしょうか？
- すでにISMS取得済みの組織の場合、ISO20000が要求する情報セキュリティ要求事項は満たせますか？
Q1. ISO20000の認証を取得する時、ITILは必須条件になりますか？
ISO20000要求事項には含まれていませんので、必須条件ではありません。ITIL（IT Infrastructure Library）はITサービスの品質に関するベストプラクティス集で、ITサービスマネジメントを導入する際、質の高いプロセスを構築するためのガイダンスとして利用する事が望まれます。
Q2. サービスを届ける手段として直接ITを使用していなくても、ISO20000認証取得範囲とする事ができますか？
ITがなくてもサービスが継続できてしまうような場合は無理かと思われます。ITでそのサービスが支えられている場合でも、その程度が問題になります。審査機関に確認して頂くことが必要になります。
Q3. ISO20000で要求されている「CMDB」は、どの程度のDBをイメージすればよいですか？
企業規模や、サービスの内容、プロセスのDBへの依存度により大きく異なりますが、CMDBにはCI(Configuration Item)や既知エラーなどが格納され、サービスの中心的な役割を果たす必要があると考えられます。インシデントマネジメント・問題マネジメント・構成マネジメント・変更マネジメントなど複数のプロセスで活用されますので、利用者の同時アクセスに耐えられ、応答レスポンスが確保できるDBが望ましいでしょう。(CIを記述してあるファイルを共有する方法をDBと見なすのは難しいでしょう。)
Q4.ISO9001では7章に関して適用除外がありますが、ISO20000では適用除外は可能なのでしょうか？
基本的に規格要求事項の適用除外は認められません。しかし、すべてのプロセスを自組織で保有しなければならない訳ではありません。一部を外部業者に委託していても、マネジメントする仕組みが自組織にあれば、ISO20000の認証を取得できます。但し、こちらについても程度の問題になりますので、一概に決めることはできません。
Q5. すでにISMS取得済みの組織の場合、ISO20000が要求する情報セキュリティ要求事項は満たせますか？
ITサービスマネジメントの適用範囲とISMSの認証取得適用範囲が一致している場合、ISO20000の情報セキュリティマネジメント要求事項を満たしていると言えます。ISO20000は、必ずしもISMSの認証取得を求めるものではありませんので、ISMS認証を取得していなくても、ISO20000の情報セキュリティマネジメント要求事項を満たすことは可能な場合があります。
