ГОСТ Р ИСО/МЭК 20000-3—2014
ИСО/МЭК 20000-1. Поставщик услуг должен учитывать, как взаимоотношения между организациями,
входящими в цепочку поставок, сказываются на области применения SMS.
6.7.2 Демонстрация соответствия в рамках всей цепочки поставок
Поставщикуслугдолженрасполагатьсвидетельствамисоответствиятребованиям
ИСО/МЭК20000-1, пункт4.2, в областиуправленияпроцессами, осуществляемымидругими сторонами.
Это требование описывается в пункте 5.2 настоящейчастистандарта ИСО/МЭК 20000.
Поставщик услуг должен располагать свидетельствами выполнения требований к процессу управ
ления поставщиками, которыеустановленыдокументом ИСО/МЭК20000-1. пункт7.2. К ним должны отно
ситьсясвидетельства наличия соответствующих контрактов междупоставщиками ипоставщиком услуг.
Поставщик услуг должен располагать свидетельствами выполнения требований по управлению
внутренними группами или клиентами, действующими в качестве поставщиков, которые установлены
документом ИСО/МЭК 20000-1. пункт 6.1. К ним должны относиться документально зафиксированные
соглашения с внутренними группами или клиентами, действующими в качестве поставщиков.
Для того чтобы поставщик продемонстрировал соответствие требованиям документа
ИСО/МЭК20000-1. прочие стороны в цепочке поставок не обязаны соблюдать их.
Если и поставщикуслуг, и другая сторона (например, подрядчик) намереваются продемонстриро
вать соответствие требованиям документа ИСО/МЭК 20000-1. каждый из них может внедрить SMS и
выполнять все требования независимо друг от друга. Если один и тот же процесс используется двумя
или более организациями, демонстрировать управление этим процессом может лишьодна из них. Дру
гая организация может декларировать как свою цель демонстрацию управления самостоятельным
использованием этого процесса.
Поставщикуслугдолжен проследить за тем. чтобы в вопросахиспользованияодного итогоже про
цесса разными сторонами была ясность. В частности, каждое использование должно сопровождаться
отдельнымидокументами изаписями. Это можетповлиятьна SMSпоставщика услуг сточки зрения пла
нирования иоценкисоответствиятребованиямдокумента ИСО/МЭК20000-1. Такаяситуация может воз
никать у поставщиков услуг, имеющих более одного клиента. Кроме того, она может возникать в
организациях, полагающихся насложные цепочки поставок, в которыхучаствует многосторон, включая
множество поставщиков, ведущих поставщиков и поставщиковпо субподряду.
Каки требованиядокумента ИСО/МЭК20000-1 пункт4.2, прочиетребованияоказываютвлияниена
область применения, применимость и способностьдемонстрировать соответствие. Организация, кото
раяявляетсявнешней поотношениюк поставщикууслуг, может иметьдоступ кинформации или услугам
поставщика услуг, использовать их или иметь возможность управлять ими. В этом случае поставщик
услуг и внешняя организация должны внедритьсогласованные средства управления информационной
безопасностью (ИСО/МЭК 20000-1, пункт 6.6.2). В подобных ситуациях, если средства управления
информационнойбезопасностью не используются, вклад внешней организациидолжен быть исключен
из области применения SMS.
6.8 Интеграция или согласование сдругими системами управления
Поставщикуслугдолженосознавать, чтодокумент ИСО/МЭК20000-1 поддерживаетсогласование
и (или) интеграцию SMS с другими системами управления. Включение методологии PDCA в документ
ИСО/МЭК20000-1 повышаетсовместимостьсдругими стандартами вобласти систем управления.
Поставщикуслугдолжен осознавать, чтов областях применения SMS идругих систем управления
могут существовать различия. Поставщикуслугдолжентакжеосознавать, что каждыйтипсистем управ
ления имеет собственное назначение. SMS, ISMS (система управления информационной безопаснос
ти). QMS(системауправления качества) — каждаяизэтихсистем направлена натеобласти, которыене
входят в сферу применениядвух остальных.
Общие аспекты каждой системы управлениядолжны быть интегрированы для обеспечения боль
шейэффективности. результативности исогласованности. Примером могут служитьтребования кведе
ниюдокументации илиобязанности менеджеров.
Поставщикуслуг можетопределитьобластьприменениясвоейSMSкакгеографическиили органи
зационно идентичную области применения других систем управления. Это может быть система управ
ления информационной безопасности (ISMS) согласно стандарту ИСО/МЭК 27001 или система
управления качества QMS согласно стандарту ИСО 9001. Если поставщик услуг определяет область
применения интегрированной системы управления, соответствующей нескольким стандартам в облас
тисистем управления, тотакоеопределение областиприменениябудетболеесложным. При этомнеоб
ходимо приниматьвовниманиетребования каждогостандарта вобластисистемуправления. Кпримеру,
система управления, которая одновременно соответствует стандартам ИСО/МЭК 20000-1 и
ИСО/МЭК27001. недолжна начинаться со слов «Данная SMS...».
7