ISO 9000 és ISO 20000, minőségmndzsmnt és információtchnológiai szolgáltatások mndzsmntj gy szrvztn blül dr. Vondrviszt Lajos, Vondrviszt.Lajos@nhh.hu Nmzti Hírközlési Hatóság Előzményk A kormányzati intézményk és a piaci szktor informatikai függőségénk növkdésévl gyr inkább fltámadt az igény gy olyan gységs módszrtan kidolgozására, amly garantálni tudja az informatikai szolgáltatások színvonalát, gyúttal magyarázatot ad a bruházások szükségsségér illtv a szükségs bruházások mértékér a nm informatikus képzttségű vztők számára is. A probléma mgoldását lsőként az angol kormányzat vállalta fl, és mivl hamarosan kidrült, hogy mindnki számára automatikusan implmntálható szolgáltatási rndszr még a kormányzati szktoron Introduction to ITIL blül sm alakítható ki, a CCTA (Cntral Computr and Tlcommunication Agncy - Központi Számítástchnikai és Távközlési Ügynökség) támogatásával lindítottak gy programot, amlynk célja a példaértékű gyakorlat (bst practic) gységs szrkztb foglalása és dokumntálása volt. A dokumntációk 1986 és 1993 között így T h B u s i n s s létrjövő sorozatát nvzték l ITIL-nk (IT Infrastructur Library), amlynk lső változata összsn több mint 40 köttt tartalmazott. A Brit Planning To Implmnt Srvic Managmnt Th Businss Prspctiv Small-Scal Implmntation Srvic Managmnt Srvic Dlivry Application Managmnt Srvic Support Scurity Managmnt Softwar Asst Managmnt 1. ábra Az ITIL trülti ICT Infrastructur Managmnt Szabványügyi Hivatal (British Standards Institut) 1998-ban kiadta ITIL konform gyakorlati ljárásgyűjtményét (Cod of Practic) PD0005 azonosítóval. A kialakult módszrtan a 90-s évk végér ljutott a bonyolultság olyan fokára, hogy szükségssé vált újbóli átgondolása és gységsítés, ami mg is tötént 1999 és 2001 között. Az rdményt hét köttbn publikálták illtv publikálják. (1.sz.ábra 1 [8]) Az ITIL magját képző Szolgáltatásbiztosítás (Srvic Dlivry) [6] illtv Szolgáltatástámogatás (Srvic Support) [7] köttkt 2000-bn adták ki. T h T c h n o l o g y 1 Mivl a kiadott köttk cím mgfll az ábra nm szürk háttrű fliratainak, a könnybb azonosíthatóság érdkébn mghagytuk az angol rdtit.
2001-bn a CCTA bolvadt az OGC (Offic of Govrnmnt Commrc) nvű ugyancsak angol kormányzati szrvztb, amly ttől fogva átvtt az ITIL gondozásával kapcsolatos fladatokat is. Az ITIL ltrjdését nagymértékbn lősgíttt, hogy az angol kormányzat kötlzővé ttt bvztését az állami intézményknél, valamint a Brit Szabványügyi Hivatal BS 15000 szám alatt 2000-bn spcifikálta az ITIL auditálható minimum kövtlményit [10], d lgalább ugyanilyn fontos az, hogy a világ vztő cégi is lfogadják és alkalmazzák zt a d facto szabványt. Az ltrjsztésbn jlntős szrpt játszottak a világszrt mgalakuló IT szolgáltatásmndzsmnt fórumok is, amlyk nmzti alapon fogták össz a módszrtant lfogadó illtv támogató szrvztkt és magánszmélykt. Az ITIL llk a szolgáltatás mndzsmnt, amlynk lsődlgs fladata az üzlti célok vagy gy gytm stébn az oktatási/kutatási célok és az informatikai szolgáltatás összhangolása, mgfllttés. A szolgáltatás az ITIL trminológia szrint az ügyfél (customr) érdkit szolgálja, ő a tulajdonosa az informatikai szolgáltatásnak, ő az üzlti érdk képvislőj, illtv ő fizt a szolgáltatásért. A flhasználó (usr) az a szmély, aki valamly konkrét informatikai szolgáltatást igényb vsz. A fntiknk mgfllőn az ügyfél lsősorban az ügyfélmndzsrrl (Customr Rlationship Managr CRM) tarja a kapcsolatot, míg a flhasználók és az IT szolgáltatás találkozási pontja az ügyfélszolgálat. Az informatikai szolgáltató szrvzt az ügyfélll/ügyflkkl kll, hogy mggyzzn a szolgáltatások köréről, illtv azok minőségi paramétriről. Az ITIL a szolgáltatásmndzsmntt két fő résztrültr osztva tárgyalja, aszrint, hogy azok az ügyflk kiszolgálását (szolgáltatásbiztosítás) illtv a flhasználók kiszolgálását (szolgáltatástámogatás) tkintik lsődlgs céljuknak. A mgközlítés alapvtőn folyamatlvű, kivétlt képz z alól az ügyfélszolgálat, amit viszont funkcionális gységként tárgyal az ITIL. Az ITIL által nm kzlt kérdésk Az ITIL alapvtő problémája az, hogy nm nmztközi szabvány, hanm csak ajánlásgyűjtmény, amlyt kövtndő példákat tartalmaz, d kötlző érvényű lőírásokat nm, így alapvtőn az alkalmazóra van bízva a figylmb vétl mérték. A fntik miatt az sm jlnthtő ki, hogy gy adott informatikai szolgáltatás rndszr ITIL konform, hiszn a mgfllés kötlző mérték vagy kör sm dfiniált. A kötlző érvényű lőírások hiánya gyúttal magával hozza az auditálhatatlanságot is, hiszn az ITIL nm alakította ki azt a szmpontrndszrt, amink alapján vizsgálni lhtn az ITIL alkalmazásának mértékét, illtv azt, hogy az adott mgvalósítás valóban mgfll- az ITIL útmutatásainak. A már mlítt BS 15000-s szabvány mgpróbálta áthidalni a problémát, d nmztközi lfogadottság híján lgfljbb csak útmutatóként szolgálhatott, d nm gy nmzti szintn lfogadható auditálási folyamat alapjául. Az ITIL kapcsán kiadott tanúsítványok magánszmélyk stébn bizonyítják csak, hogy azok mgérttték az ITIL lvit és zkt alkalmazni is képsk, d az informatikai szolgáltatás tanúsítására az ITIL nm nyújt lhtőségt. Az auditálási rndszr hiányának másik fontos az ITIL trjdését gátló kövtkzmény, hogy a szrvztk ilyn módon nm váltak összhasonlíthatóvá illtv nm tudták bizonyítani kiválóságukat, így a másodlagos motiváló szmpontok (mint például a markting) kisbb szrpt tudtak csak játszani a vztés lkötlzttségénk mgnyrésébn. Az ITIL rndszr sajátossága, hogy mgpróbálta átfogni az informatikai szolgáltatáspaltta tljs spktrumát. Ennk mgfllőn az ITIL könyvk részltsn ismrttik az lvkt,
szmpontokat, lérndő célokat, ljárásrndkt, dokumntumokat, azonban mglhtősn kilátástalan fladatnak tűnht még gy nagyobb szrvzt számára is az összs dfiniált folyamat és rndszr mgvalósítása. Az ISO 20000 szabvány A világmértű ltrjdés és az lfogadottság növkdés miatt mgkzdődött az ISO szabványosítás folyamata, amly alapvtőn figylmb vtt az BS 15000-s szabványt és amlynk során 2005 dcmbrébn ISO/IEC 20000 számon mgszülttt az auditálási szmpontokat lőtérbn hlyző Információ tchnológia szolgáltatás mndzsmnt szabvány, amlynk lső rész (ISO/IEC 20000-1 tartalmazza a spcifikációt [4] és második rész (ISO/IEC 20000 2) a gyakorlati útmutatót (Cod of practic) [5]. Az ISO 20000 amlynk létrhozása során ügyltk az ISO 9000 szabvány család szmpontjainak figylmb vétlér a folyamatszmléltű mgközlítést alkalmazza, és nnk mgfllőn a Dming fél PDCA ciklus használatát írja lő a folyamatok 2. ábra folyamatos fjlsztés és javítása érdkébn. Az ISO 20000 mgfllőség kritériuma, hogy a szrvzt az összs ISO 20000 folyamat mindgyikévl kapcsolatosan mndzsmnt flügyltr lgyn képs, azaz ismrj a folyamatok bmntit és képs lgyn zk flügyltér, ismrj és használja a folyamatok kimntit, azokat lgyn képs értlmzni is, dfiniáljon mértékkt a folyamatokkal kapcsolatosan és azokat mérj is, a folyamatok funkcionalitásával kapcsolatosan objktív bizonyítékok alapján fllősségr vonható fllősök lgynk, a folyamat javításának dfiníciója rndlkzésr álljon, történjn mg a folyamat mérés és flülvizsgálata. Az ISO 20000 összsn 217 kövtlményt szrpltt, a mgfllőség kritériuma, hogy zk mind l lgynk fdv, nagyobb, lénygi ltérésk nélkül. Az ISO 20000 tanúsítást olyan szrvztk kaphatják mg, amlyknél van IT szolgáltatás mndzsmnt, és kizárólag az IT szolgáltatás mndzsmnt működésér vonatkozik. A tanúsítás nm vonatkozhat trmékkr, és konzultációs szrvztk által nyújtott tanácsadói szolgáltatásokra. Az ITIL és az ISO 20000 szabvány kapcsolata Mivl a BS 15000-s szabvány az ITIL-r épül és annak auditálhatóságát tűzt ki nmzti szintn, nm csodálkozhatunk azon, hogy az ISO 20000-s szabvány fogalomkészlt és fő folyamatai kisbb trminológiai pontosítások mlltt lfdik az ITIL fő könyvink címébn mgfogalmazott folyamatokat. (3. ábra)
A szolgáltatás mndzsmnt rndszr gondolatának központba hlyzés, valamint további nmztközi szabványokkal való kompatibilitás érdkébn az ISO 20000-s tartalmazza azokat az általános szmpontokat, amlykt a többi ISO szabvány is tartalmaz. Ennk mgfllőn az ITIL szmpontrndszrét kigészíttték a mndzsmnt rndszrrl (amlybn dfiniálták a mndzsmnt fllősségét, a dokumntálási kövtlménykt, a tudatosság és képzés szrpét), dfiniálták az IT szolgáltatásmndzsmnt trvzés és mgvalósítás folyamatot, amlynk részként dfiniálták a már mlíttt PDCA ciklust, valamint mghatározták az új szolgáltatások trvzés folyamat fő jllmzőit is. Bár az mlítttk szrint az ISO 20000-s szabványt közvtttn az ITIL-r alapozva hozták létr a kapcsolat közöttük nm rögzíttt, amit jól jlz az is, hogy a szabványban az ITIL kifjzés vagy rr utalás nm krül lő. Jogosan mrül fl thát a kérdés, hogy milyn mértékbn tétlzi fl gyik a másikat. Vizsgáljuk mg thát a lhtségs altrnatívákat: Lht- ITIL-t implmntálni ISO 20000 nélkül? o Trmésztsn lht, hiszn az ISO 20000 lőtt is implmntálták az ITIL-t. A mgoldás hátránya, hogy sm az intézményn blül, sm kiflé nm tudja az informatikai üzmlttés bizonyítani, hogy jól oldotta mg a fladatát. További hátrány, hogy amnnyibn a későbbikbn kívánatossá válik az ISO 20000 szrinti tanúsítás, a folyamatokat az új szmpontrndszr szrint bár várhatóan kis mértékbn újra kll szrvzni, illtv addicionális folyamatokat kll bvztni az ISO 20000 kompatibilitáshoz. Lht- az ISO 20000-t implmntálni ITIL nélkül? o Lhtségs, hiszn az ISO 20000 nm írja lő az ITIL alkalmazását. Ekkor azonban fl kll vállalni azt, hogy informatikai infrastruktúra mndzsmnt folyamatokat a Spcifikáció Gyakorlati szabályozás IT Infrastructur Library Eljárások 3. ábra ISO 20000-1 Kövtlményk ISO 20000-2 Útmutató Lgjobb ipari gyakorlat Szrvzti implmntáció tljs gészébn az alkalmazó 4. ábra szrvzt találja ki, ami trmésztsn sok buktatóval jár ahogy általában mások tapasztalatainak figylmn kívül hagyása.
Figylmb vév a szabvány kialakulásának körülményit valószínűlg a lgcélszrűbb az gymásra építhtőség lhtőségét kiaknázni (4. ábra) és az ISO 20000 szabvány kövtlményrndszréből lvztv az ITIL ajánlásai szrint mgvalósítani a szükségs folyamatokat. Az ISO 9000 szabvány család és az ISO 20000 szabvány kapcsolata Az ISO 9000 szabványcsalád [1],[2],[3] gy szrvzt minőségirányítási rndszrévl kapcsolatosan fogalmaz mg kövtlményrndszrt. Nm dfiniál konkrét trmékkkl vagy szolgáltatásokkal kapcsolatosan kövtlménykt, hanm annak szmpontrndszrét írja l, hogy milyn folyamatokat kll ahhoz mgvalósítani és miképpn, hogy a trmékk és szolgáltatások minőség garantálható lgyn, valamint a folyamatos minőségfjlsztésnk is mglgynk a szükségs lőfltétli. Az ISO 20000-s szabvány családot az ISO 9000-s család ismrtébn és szmpontjainak figylmb vétlévl fjlszttték ki, így jlntős gyzést tapasztalunk a két szabvány család szmléltmódjában. Elsőként érdms mgmlítni, hogy mindgyik folyamatszmléltű mgközlítést alkalmaz, amit gyaránt javasol a mndzsmnt (minőségmndzsmnt vagy szolgáltatás mndzsmnt) rndszr és a mndzslt rndszr számára. A folyamatok nyomonkövtésér és folyamatos javítására mindgyik szabvány család a PDCA ciklust vzti b, valamint közös még a két szmléltmódban, hogy mindgyik a minőség lérését és folyamatos javítását tűzi ki célul. Jogos thát a kérdés, hogy szükség van- gy szrvztn blül, amly a minőség mndzsmntjét tűzi ki célul, mind a kttőt alkalmazni, azaz milyn lőnyökkl és hátrányokkal jár ha gyikt vagy másikat próbáljuk csak bvztni. A vizsgálandó kérdésk thát: Lht- ISO 20000-t bvztni (tanúsítást szrzni) ISO 9000 tanúsítás nélkül? o Az ISO 20000 tanúsítás nm kövtli mg az ISO 9000 mglétét, azaz lhtségs. Érdms azonban figylmb vnni, hogy ha gy szrvztbn nm működik minőségmndzsmnt rndszr és trmésztsn ilyn értlmbn nm az ISO 9000 mgfllés a fontos akkor az IT szolgáltatás mndzsmnt nm tud mihz illszkdni, azaz önmagában a kiválóságra törkszik a lgjobb gyakorlati példák figylmb vétlévl, d korántsm biztos, hogy a szrvzt maga hlys irányt kövt, és így az ISO 20000 hiába vzti l a szolgáltatásmndzsmnt fladatokat a szrvzt fő folyamataiból, azok nm a szrvzt céljait, hanm a létző folyamatokat tudják csak támogatni. Ha a későbbikbn mégis bvzti a szrvzt a minőségmndzsmnt rndszrét, akkor lhtségs, hogy koncpcionális váltásra lsz szükség az IT mndzsmnt folyamatok szintjén. Lht- ISO 9000-t bvztni ISO 20000 nélkül? o Az ISO 9000 tanúsítás nm kövtli mg az ISO 20000 mglétét, azaz lhtségs. A minőségmndzsmnt rndszr bvztés trmésztsn lhtővé tszi az informatikai szolgáltatásmndzsmnt folyamatok fjlsztését és folyamatos javítását, így lvbn alkalmas az informatikai folyamatok kzlésér is. Az informatikai szolgáltatásmndzsmnt spciális szmpontjainak figylmn kívül hagyása kövtkztébn azonban mgtörténht, hogy az informatikai szolgáltatások folyamatai lokális optimum flé konvrgálnak, azaz a folyamat javítását és fjlsztését a minőségmndzsmnt rndszr garantálja, csak nm biztos, hogy a mgfllő folyamatról gondoskodik ilyn módon. A fntik kövtkztébn az ISO 20000 utólagos bvztés könnyn rdményzhti azt, hogy gys folyamatokat tljs gészébn más folyamatokra
kll csrélni, annak érdkébn, hogy a szolgáltatásmndzsmnt szmpontoknak tljs gészébn lgt tgyn a szrvzt. Könnyítést jlntht viszont, hogy az ISO 9000 szrint mgvalósított és mgőrizhtő folyamatok formailag nagy valószínűséggl ISO 20000 kompatibilisk lsznk. Nyilvánvaló a kövtkzttés, hogy lgcélszrűbb a kétfél tanúsításra gyszrr flkészülni, illtv amnnyibn a szrvzt távlatilag minőségmndzsmnt rndszr bvztését trvzi amit nagy valószínűséggl gy szrvzt sm tud hosszabb távon lkrülni úgy nm célszrű lőbb blkzdni az IT szolgáltatás mndzsmnt rndszr mgvalósításába. A fntik mlltt szól az is, hogy az ISO 20000 szabványcsoport nagyon rősn koncntrál az IT szolgáltatások működttésér, és mglhtősn kvés figylmt szntl többk között a fjlsztés kérdésénk, ami viszont nagy mértékbn bfolyásolja a szolgáltatási minőségt is. Állításunkat példával illusztráljuk. Az ISO 20000-s szabványban összsn a kövtkzők szrplnk a szoftvr fjlsztésről és bszrzésről: 10.1.4 Szoftvr fjlsztés és bszrzés az információs rndszrk blső csoportok, rndszrépítők, rndszr intgrátorok és más szrvztk által készíttt szoftvrk kiadásait llnőrizni kll. A tljs folyamatot dokumntálni kll a konfiguráció mndzsmnt trvbn. Az ISO 9000 szabványcsalád nnk a kérdésnk gy tljs szabványt szntl [9], amlybn részltsn fjti ki azt a kövtlményrndszrt, amlyt trvzés, fjlsztés, igazolás, érvénysítés, validálás, változáskzlés valamint a bszrzés során kövtni kll. Mgmlítjük még, hogy a fnti szabványokon kívül az informatikai biztonság kérdésévl foglalkozó ISO 27001 szabvány alkalmazásával tljs a kép, azonban nnk tárgyalása már mghaladja cikk krtit. Összfoglalás Az ISO 20000, IT szolgáltatásmndzsmnt szabvány kialakulásában jlntős szrpt játszott az IT Infrastructur Library nvű, az angol kormányzati szrvk által kzdményztt és karbantartott gyakorlati példa gyűjtmény, amlynk nmztközi szintn lfogadott auditálási lhtőségét trmtődött mg ilyn módon. Az ISO 9000 minőségmndzsmnt szabvány család hasonló célokat tűz ki a szrvzt szintjén, mint az ISO 20000 az IT szolgáltatásmndzsmnt trültén. A cikkbn bmutattuk, hogy a fnti szabványok implmntálása úgy célszrű, hogy lhtőség szrint az ITIL-t, az ISO 9000-t és az ISO 20000-t gyütt vztjük b, mrt z rdményzi a lgnagyobb harmóniát a három szmléltmód között, annak mgállapítása mlltt, hogy gyik sm várja l kötlzőn a másik kttő mgvalósítását. Hivatkozások: [1] Minőségirányítási rndszrk. Alapok és szótár (ISO 9000:2005) Magyar Szabványügyi Tstült, 2005 [2] Minőségirányítási rndszrk. Kövtlményk (ISO 9001:2000) Magyar Szabványügyi Tstült, 2001 [3] Minőségirányítási rndszrk. Útmutató a működés fjlsztéséhz (ISO 9004:2000) Magyar Szabványügyi Tstült, 2001 [4] Information Tchnology Srvic managmnt Part1: Spcification (ISO/IEC 20000-1:2005) ISO/IEC 2005 [5] Information Tchnology Srvic managmnt Part2: Cod of practic (ISO/IEC 20000-1:2005) ISO/IEC 2005
[6] Bartltt, J. t al. (2001): Srvic Dlivry. ITIL Th ky to Managing IT srvics. Offic for Govrnmnt Commrc, London [7]Brkhout, M. t al. (2001): Srvic Support. ITIL Th ky to Managing IT srvics. Offic for Govrnmnt Commrc, London [8]Lloyd, V. t al. (2002): Planning to Implmnt Srvic Managmnt. ITIL Th ky to Managing IT srvics. Offic for Govrnmnt Commrc, London [9] Szoftvrtchnológia. Az ISO 9001:2000 alkalmazási iránylvi számítógéps szoftvrkhz (ISO 90003:2004) Magyar Szabványügyi Tstült, 2005 [10 ]Whyt, I. (2003): BS15000 Crtification. In SERVICEtalk Issu No. 64, pp. 27-30 [11] Informatika. Biztonságtchnika. Az információbiztonság irányítási rndszri. Kövtlményk. (ISO/IEC 27001:2005), Magyar Szabványügyi Tstült, 2006