“技術(shù)分和價(jià)格分都有優(yōu)勢(shì)，最后卻因?yàn)橘Y質(zhì)分落后而丟標(biāo)?！?br />   這是一家軟件開(kāi)發(fā)公司負(fù)責(zé)人在復(fù)盤某次政務(wù)系統(tǒng)招標(biāo)時(shí)的感慨。對(duì)方多拿的那幾分里，有兩分來(lái)自ISO 27001信息安全管理體系認(rèn)證。
  在軟件行業(yè)的招投標(biāo)中，這樣的情況越來(lái)越常見(jiàn)。

  一、ISO 27001在投標(biāo)中扮演什么角色？

  政府與公共事業(yè)項(xiàng)目
  政務(wù)系統(tǒng)、公共服務(wù)平臺(tái)等項(xiàng)目的招標(biāo)文件，普遍將ISO 27001列為資格性審查項(xiàng)或技術(shù)評(píng)分項(xiàng)。沒(méi)有證書可能直接失去投標(biāo)資格。
  金融與保險(xiǎn)行業(yè)項(xiàng)目
  銀行、證券、保險(xiǎn)等金融機(jī)構(gòu)對(duì)信息安全的敏感度很高。在軟件開(kāi)發(fā)、系統(tǒng)運(yùn)維等招標(biāo)中，ISO 27001幾乎是bi備資質(zhì)。
  大型企業(yè)信息化項(xiàng)目
  制造業(yè)、能源、通信等領(lǐng)域的大型企業(yè)，普遍將ISO 27001納入供應(yīng)商評(píng)估體系。具備認(rèn)證的軟件公司更容易進(jìn)入合格供應(yīng)商名錄。
  軟件出口與外包業(yè)務(wù)

  承接海外客戶的軟件開(kāi)發(fā)或測(cè)試外包業(yè)務(wù)時(shí)，ISO 27001是許多國(guó)際采購(gòu)商的準(zhǔn)入門檻。

  二、投標(biāo)中如何有效使用ISO 27001？

  1. 確認(rèn)證書有效性
  投標(biāo)前核對(duì)三個(gè)維度：證書是否在有效期內(nèi)、認(rèn)證范圍是否覆蓋投標(biāo)項(xiàng)目涉及的業(yè)務(wù)、認(rèn)證機(jī)構(gòu)是否具有CNAS認(rèn)可標(biāo)識(shí)。
  2. 將證書與評(píng)分標(biāo)準(zhǔn)對(duì)應(yīng)
  在投標(biāo)文件中，將ISO 27001證書與對(duì)應(yīng)的評(píng)分項(xiàng)明確對(duì)應(yīng)，附上簡(jiǎn)要說(shuō)明，幫助評(píng)審專家快速理解認(rèn)證價(jià)值。
  3. 準(zhǔn)備完整資質(zhì)材料
  除證書復(fù)印件外，建議同時(shí)提供認(rèn)證機(jī)構(gòu)的CNAS認(rèn)可證書、最近一次監(jiān)督審核通過(guò)的證明、官網(wǎng)查詢結(jié)果截圖。
  4. 將體系能力寫入技術(shù)方案
  在技術(shù)方案中適當(dāng)引用體系中的關(guān)鍵機(jī)制，如訪問(wèn)控制、數(shù)據(jù)加密、事件響應(yīng)等，展示認(rèn)證背后的實(shí)際能力。

  三、軟件公司如何推進(jìn)ISO 27001？

  對(duì)于希望提升投標(biāo)競(jìng)爭(zhēng)力的軟件公司，推進(jìn)ISO 27001認(rèn)證可以從以下幾個(gè)角度入手：
  1. 選擇合適的認(rèn)證范圍
  認(rèn)證范圍需要與主營(yíng)業(yè)務(wù)和投標(biāo)方向匹配。常見(jiàn)的范圍包括：“計(jì)算機(jī)軟件開(kāi)發(fā)”“軟件運(yùn)維服務(wù)”“系統(tǒng)集成服務(wù)”“云計(jì)算平臺(tái)運(yùn)營(yíng)”等。建議在啟動(dòng)前列舉未來(lái)一年計(jì)劃參與的主要投標(biāo)項(xiàng)目類型，據(jù)此確定認(rèn)證范圍。
  2. 與現(xiàn)有體系整合運(yùn)行
  很多軟件公司已經(jīng)通過(guò)了ISO 9001或CMMI認(rèn)證。ISO 27001與ISO 9001采用相同的高層結(jié)構(gòu)，在文件控制、內(nèi)部審核、管理評(píng)審、糾正措施等方面可以整合運(yùn)行。CMMI與ISO 27001在項(xiàng)目管理、配置管理等方面也有銜接空間。合理整合可以降低維護(hù)成本。
  3. 注重實(shí)際運(yùn)行而非形式
  部分軟件公司擔(dān)心認(rèn)證會(huì)帶來(lái)大量文書負(fù)擔(dān)。實(shí)際上，好的體系應(yīng)該為業(yè)務(wù)服務(wù)。例如，代碼管理、訪問(wèn)控制、備份策略等，you秀軟件公司本來(lái)就在做。ISO 27001的作用是將這些分散的動(dòng)作整合成系統(tǒng)化的管理框架，并補(bǔ)上缺失的環(huán)節(jié)。
  4. 獲證后持續(xù)維護(hù)
  證書每年需要接受監(jiān)督審核。建議設(shè)置內(nèi)部提醒，提前與認(rèn)證機(jī)構(gòu)確認(rèn)審核時(shí)間，避免因錯(cuò)過(guò)監(jiān)督審核導(dǎo)致證書暫停。證書狀態(tài)異常不僅影響投標(biāo)資格，還可能影響現(xiàn)有客戶的信任。
  
  ISO 27001正在從加分項(xiàng)演變?yōu)閎i備項(xiàng)。對(duì)于希望拓展政府、金融、大型企業(yè)及海外市場(chǎng)的軟件公司，這張證書是投標(biāo)文件中的重要一頁(yè)。
  與其在招標(biāo)公告發(fā)出后才匆忙應(yīng)對(duì)，不如提前完成認(rèn)證布局。當(dāng)下一次投標(biāo)的評(píng)分細(xì)則擺在面前時(shí)，能夠從容地在ISO 27001那一欄打上勾，本身就是一種競(jìng)爭(zhēng)優(yōu)勢(shì)。