软件企业投标咨询

软件企业投标要求ISO27001、ISO20000、ITSS，先准备什么？

先核对招标文件中的证书名称、适用范围、ITSS方向与等级、投标截止日期，再判断现有证书和运行记录还缺什么。ISO27001关注信息安全管理，ISO20000关注IT服务管理；ITSS运行维护服务能力关注人员、资源、技术和过程，三项不能互相替代。

赫挚（上海）科技有限公司提供软件开发、SaaS和IT运维企业的咨询辅导，协助梳理投标要求、业务范围和准备任务。首次沟通可提供脱敏后的相关条款、已有证书范围及截止日期，先讨论项目是否适合、准备工作能否排进当前计划。

项目区别

三个项目，分别核对哪些实际工作？

下面是软件企业梳理业务的起点。申请范围和材料要求需结合实际活动及受理机构的现行要求确认。

梳理软件开发、测试、发布、云资源、客户数据和外包活动；检查账号权限、代码访问、备份、安全事件、风险评估和处置记录。外包云基础设施不等于外包全部安全责任。

先列服务对象、服务目录与SLA，再对应工单、事件、问题、变更、配置和服务报告。软件交付后的维护、SaaS支持和运维外包，应按实际服务边界判断，不能直接把产品功能清单当作服务目录。

确认标书要求的ITSS方向与等级。以运行维护为例，核对人员分工、工具和资源、技术积累、服务过程及真实运维项目；不能只因公司名称中有“软件”就判断适合申报。

首次沟通

先提供摘要或脱敏副本即可，不需要在公开表单上传完整标书、客户合同或系统敏感信息。

咨询内容

具体交付范围在方案和合同中确认，企业负责真实实施并形成记录。

梳理主体、范围、有效期和材料缺口；需要澄清的招标条件，列明问题，由企业按招标程序向招标方确认。

围绕现有系统和服务项目安排任务，区分可共用的人员、培训和记录，以及各项目单独要求的证据。

协助内审、管理评审及问题整改准备，衔接后续申请。赫挚不实施认证审核、不作认证决定、不签发证书。

客户常问

先区分已有证书核查、补充材料、变更范围和首次申请。准备时间受现有体系、真实运行记录、机构受理及审核或评估安排影响。赫挚不承诺固定天数获证；证书为投标必备条件时，应先核对缺口和截止日期，不能把计划或受理材料当作有效证书。

先确认标书写明的ITSS方向和等级，以及实际业务是否符合。本文的人员、资源、技术和过程指运行维护场景；没有真实运维活动和项目证据时，应先核对适用性，不能临时编造项目记录。

组织职责、培训和部分流程可以协调安排，但信息安全风险、服务目录与SLA、运维能力证据各有用途。应逐项核对差距和申请要求，再决定并行准备或分阶段推进。

请说明团队规模、场所、业务和系统范围、外包情况、已有证书、运行记录及目标日期。比较报价时分别列明咨询费、第三方审核或评估费、差旅、整改支持与后续维护；是否包含税费及各项工作量，以书面报价和合同为准。

核查来源

ISO官方说明用于核对两项管理体系的用途；ITSS白皮书用于了解运行维护能力模型，不代替当期申报规则，也不是对赫挚的背书。

联系赫挚

首次咨询说明主营业务、已有证书和投标截止日期即可。