iso38505數據治理安全標準,ISO38505認證常見問題
發(fā)布時間：2025-08-10 點擊：6
ISO38505數據治理安全標準
隨著大數據時代來臨，數字技術從助力經濟發(fā)展的工具轉變?yōu)橐I經濟發(fā)展的核心。據IDC(國際數據公司)預測，2025年中國數據規(guī)模將達到 48.6ZB，總量將躍居世界第一。如此龐大的數據量之下，數據賦能企業(yè)價值的前景將大有可為。為保證數字化建設高質、高效、安全，不可或缺的便是開展數據治理。本文將從數據治理的角度出發(fā)，介紹該領域最新的國際標準ISO 38505-1.探討該標準的認證實踐。
1)背景
數據治理是指對數據資產管理行使權力和控制的活動集合(規(guī)劃、監(jiān)督和執(zhí)行)，旨在為組織的數字化轉型奠基并賦能，助力實現數據資產的價值最大化，并拓展數字化應用的想象空間。
ISO(國際標準化組織)于2008年推出第一個IT治理的國際標準：ISO 38500.隨后在2015年巴西會議上形成決議，將數據治理國際標準分為兩個部分：ISO/IEC 38505-1《基于ISO/IEC 38500的數據治理》(以下稱ISO 38505-1)和ISO/IEC TR 38505-2《數據治理對數據管理的影響》。目前，ISO/IEC 38505-1已正式發(fā)布，并沿用了ISO 38500 IT治理框架的原則及模型。
2)ISO 38505-1標準內容
ISO 38505-1闡述了數據治理的意義，明確了治理主體的職責以及對數據治理監(jiān)督機制的要求，提出了數據治理框架(包括目標、原則和模型)以幫助治理主體評估、指導和監(jiān)督數據利用的過程。
在目標方面，ISO 38505-1認為數據治理應在提升利用數據價值的同時，確保合規(guī)約束和風險管控;在原則方面，ISO 38505-1沿用了IT治理的六條基本原則：職責(Responsibility)、戰(zhàn)略(Strategy)、獲取(Acquisition)、績效(Performance)、合規(guī)(Conformance)和人員行為(Human behavior)，并具體闡述了這些原則如何指導數據治理中的決策;在模型方面，ISO 38505-1認為治理主體應運用評估(evaluate)-指導(Direct)-監(jiān)督(Monitor)的EDM模型來開展數據治理工作，如下圖所示：
ISO 38505-1 EDM模型
EDM模型用于評估、指導和監(jiān)督
評估：當前及未來的數據使用情況。例如評估數據方面的公司戰(zhàn)略與商業(yè)模式、技術工具的應用情況等。
指導：編制及實施戰(zhàn)略和政策，以確保數據使用符合業(yè)務目標。圍繞評估情況制定數據戰(zhàn)略及相應的治理體系政策。
監(jiān)督：政策及戰(zhàn)略的落地執(zhí)行情況。建立相應的監(jiān)督機制以確保在組織內部推行相關措施，例如將相關治理指標納入KPI考核體系等。
其中，數據治理范圍需涵蓋數據治理責任圖——收集、存儲、報告、決策、發(fā)布和處置。
ISO 38505-1 數據治理責任圖
在實際數據應用中，企業(yè)通過創(chuàng)建、采集、采購等方式來收集數據并進行存儲，將數據運用于報告分析、輔助決策來發(fā)揮其價值，并在某些情況下發(fā)布給外部各方或進行刪除處置。因此數據責任圖涵蓋了數據應用范圍，以促進企業(yè)改進數據責任點的管理，確保數據這一關鍵資產滿足不同業(yè)務場景的需要和監(jiān)管合規(guī)的要求。
數據責任圖可結合數據治理的3個特征：價值(Value)、風險(Risk)和約束(Constraints)進行評估。其中，數據價值包括數據質量、時效性、體量和語境;數據風險包括風險管理、數據分類和安全性;約束包括法律法規(guī)、組織政策等內容。
3）ISO 38505-1標準重點解讀
數據治理的責任主體在治理層，治理層在開展數據治理的過程中主要通過制定數據戰(zhàn)略來指導數據管理活動，而管理層需要通過管理活動來實現戰(zhàn)略目標。同時，治理主體需要通過建立數據政策來保障數據管理活動符合數據戰(zhàn)略的需要，進而滿足企業(yè)的戰(zhàn)略目標。數據治理體系文檔由數據戰(zhàn)略和數據政策組成。
ISO 38505-1標準主要內容
4)ISO 38505-1認證實踐
4.1 數據治理體系文檔編纂
數據治理體系的文檔需體現ISO 38505-1標準的指導思想和涵蓋內容，但并非照本宣科，而是以該標準為綱，首先對企業(yè)的數據治理現狀做自上而下全面的摸排檢視，再根據實際情況對既有的治理體系進行完善設計，形成完整而符合標準的數據治理體系文檔。
根據標準的要求，數據戰(zhàn)略需適配公司的業(yè)務戰(zhàn)略。因此在制定時需對公司戰(zhàn)略情況有深入了解，如此才能有的放矢，真正起到數據治理對企業(yè)發(fā)展目標的賦能作用。
而數據政策通常可分為三級文檔：一級文檔作為總綱，對治理體系進行指導和治理域框架劃定，主要涵蓋治理體系的方針目標、組織架構、治理域范圍等內容;二級文檔作為管理規(guī)范，涵蓋ISO 38505-1標準中的核心要求，建立各治理域的管理政策;三級文檔作為管理程序，具體構建管理規(guī)范在企業(yè)中的運行管理流程及附上相應的模板、表單等。
在實際編纂過程中，值得注意的是：
a. 對數據治理現狀進行詳盡評估是體系文檔編纂前的一大參考要素，也是保障數據治理實現常態(tài)化管控的重要起點。數據治理體系文檔的建設基礎是體系內容符合ISO 38505-1標準的各個要求，而真正難點在于實現與企業(yè)既有業(yè)務流程的高契合度，這是治理體系標準落地的核心，否則難以持續(xù)性地推行落地。
b.ISO 38505-1的數據治理屬于廣義概念，企業(yè)在認證前需框定具體的數據治理認證范圍：數據范圍和數據治理域(如數據安全、數據質量)。因此數據治理體系文檔在規(guī)劃時應覆蓋具體認證范圍，并從全局視角規(guī)劃體系文檔數量和各治理域要點。一方面是為了避免體系內部出現不必要的重復，另一方面是為了避免與企業(yè)其他文檔發(fā)生沖突或產生冗余而增大后續(xù)落地運行的難度。
c.數據治理體系文檔要符合ISO 38505-1標準的要求，除了內容需將標準中的要點覆蓋全面以外，還應從治理主體角度考慮，如何將體系文檔對應納入EDM 模型之中，從而體現治理層在開展數據治理工作時對EDM模型的運用。
4.2 體系宣貫與試運行
“實踐是檢驗理的唯一標準”
試運行階段是對已搭建完成的數據治理體系進行的一次測試，同時也是體系建設者對體系尋錯、糾正、調整的一次絕佳時機，更重要的是，該階段踐行著PDCA戴明環(huán)中“檢查(Check)”和“處理(Act)”兩個環(huán)節(jié)，為體系后續(xù)真正運行后進入下一循環(huán)做鋪墊。
PDCA循環(huán)管理模式圖
而數據治理體系的試運行工作終究是要落在各項涉及治理管控措施的負責人(包括實施者)手上，缺乏對這些體系所涉及的“一線”人員進行意識培訓與體系引導，很可能會導致辛苦建設完成的數據治理體系成為一紙空文。
當然，治理體系的培訓宣貫也需要講究方法與對策。這一過程通常會面對兩種挑戰(zhàn)：一是對涉及體系的多數人員來說都是初次接觸數據治理領域，直接灌輸治理體系知識反而效果差;再者，不同部門、不同角色對數據治理體系控制域的側重點不一樣，業(yè)務部門可能更關注數據利用的效率，安全部門可能更關注敏感數據的保密性。因此，治理體系的培訓宣貫適宜循序漸進，同時為了提高效率，涉及相同治理域的部門或角色可集中進行培訓宣貫。
以價值為導向持續(xù)優(yōu)化
數據治理體系的建設與投入始終是要以提升業(yè)務價值為導向，同時在數據治理體系的建設和維護過程中，需要注意避免對ISO 38505-1標準的教條式理解、缺少與企業(yè)實際業(yè)務場景的結合。最后需要強調的是，數據治理的落地建設是一項長期工程。企業(yè)需要不斷踐行PDCA循環(huán)，讓企業(yè)在數據治理方面持續(xù)地散發(fā)活力，讓數據與業(yè)務達到一個更加穩(wěn)定、平衡的狀態(tài)，更自信地迎接來自信息時代的機遇與挑戰(zhàn)。
5)實踐指導意義
ISO 38505-1在國內已經形成了認證體系，申請機構可獲得由國家認可的認證機構頒發(fā)的證書。但由于ISO 38505-1認證較新、覆蓋面較廣，目前在國內獲得認證的機構并不多。但隨著數字化時代的來臨，數據一方面成為組織的重要資產和新興商業(yè)模式的助推器，一方面也衍生出安全風險問題。在此背景下，越來越多的企業(yè)已認識到數據治理在長期戰(zhàn)略層面的的價值和必要性。因此建議相關企業(yè)也與時俱進，把握時代轉型浪潮，考慮申請認證。從而提升自身的數據治理能力與國際接軌，提前在市場上取得先發(fā)優(yōu)勢，為企業(yè)數字化轉型提供強勁動力，為未來的數據業(yè)務提前布局、奠定基礎。
ISO38505認證常見問題 1. ISO38505認證的性質
根據搜索結果，ISO38505認證并不是一次性的，而是一個持續(xù)改進的過程2.這意味著企業(yè)需要建立符合ISO標準要求的管理體系，并持續(xù)監(jiān)督和改進管理體系，以確保其持續(xù)符合ISO標準要求。
2. ISO38505認證的流程
申請ISO38505認證的基本條件包括具有獨立法人資格、公司成立3個月以上、提供大數據相關項目材料、依據ISO38505標準建立體系并運行3個月以上、至少進行一次內審和管理評審。認證流程包括收集基本信息、編寫體系文件初稿、識別企業(yè)認證范圍涉及的數據資產、檢查資料完備性、現場審核、不符合整改和發(fā)證。
3. ISO38505認證的意義
ISO38505認證的意義在于高效運營、從根本上解決數據質量問題、規(guī)范和共享的需要、風險管理的需求、管理創(chuàng)新需要、業(yè)務流程和資源配置的優(yōu)化以及避免出了問題再補漏。此外，ISO38505認證證書是全國通用的，這對于企業(yè)來說具有重要意義，能夠提升企業(yè)的市場競爭力，提高數據的可靠性和安全性，以及提高數據的規(guī)范性和一致性。
4. ISO38505認證的成本
雖然搜索結果中沒有直接提到ISO38505認證的成本，但可以推測，由于ISO38505認證是一個持續(xù)改進的過程，企業(yè)需要投入資源來維持和改進管理體系，這可能會帶來一定的成本。然而，這種投資可以通過提高業(yè)務管理能力、贏得更多商業(yè)機會、保護商業(yè)機密和客戶隱私等方式得到回報。
5. ISO38505認證的監(jiān)督機制
ISO38505認證的監(jiān)督機制包括定期的內審和管理評審，以及外部審核機構的評估和認證。這些監(jiān)督機制確保企業(yè)持續(xù)符合ISO標準要求，并不斷提升績效和滿足客戶需求。
6. ISO38505認證的法律責任
如果企業(yè)在初次審核中未能滿足所有要求，審核機構將提供具體的改進建議和指導，企業(yè)可以進行改進并重新申請認證。這表明企業(yè)在申請ISO38505認證時必須承擔法律責任，確保其管理體系符合ISO標準的要求。
7. ISO38505認證的有效期
搜索結果中沒有明確提及ISO38505認證的有效期，但一般來說，認證的有效期取決于認證機構的規(guī)定。企業(yè)需要在規(guī)定的時間內重新申請認證，以保持其管理體系的合規(guī)性和有效性。
8. ISO38505認證的全球通用性
ISO38505認證是全球通用的，被廣泛接受和認可。獲得ISO38505認證可以證明企業(yè)在數據治理安全方面符合國際標準，增加了企業(yè)在國際市場上的競爭力和信譽。
以上是對ISO38505認證常見問題的一些解答，希望對您有所幫助。如果您還有其他問題，歡迎繼續(xù)提問。
企業(yè)AAA信用等級證書去哪個部門辦理
SB-T 10595-2011 清潔行業(yè)經營服務規(guī)范
綠色產品認證證書是什么
OHSAS18000職業(yè)性定期健康檢查的四個目的
申請汽車租賃服務認證證書需要哪些文件材料
網頁設計如何更才能吸引客戶?
OHSAS18000標準要素與理解要點
門窗行業(yè)申報AAA信用評級證書
1)背景
數據治理是指對數據資產管理行使權力和控制的活動集合(規(guī)劃、監(jiān)督和執(zhí)行)，旨在為組織的數字化轉型奠基并賦能，助力實現數據資產的價值最大化，并拓展數字化應用的想象空間。
ISO(國際標準化組織)于2008年推出第一個IT治理的國際標準：ISO 38500.隨后在2015年巴西會議上形成決議，將數據治理國際標準分為兩個部分：ISO/IEC 38505-1《基于ISO/IEC 38500的數據治理》(以下稱ISO 38505-1)和ISO/IEC TR 38505-2《數據治理對數據管理的影響》。目前，ISO/IEC 38505-1已正式發(fā)布，并沿用了ISO 38500 IT治理框架的原則及模型。
2)ISO 38505-1標準內容
ISO 38505-1闡述了數據治理的意義，明確了治理主體的職責以及對數據治理監(jiān)督機制的要求，提出了數據治理框架(包括目標、原則和模型)以幫助治理主體評估、指導和監(jiān)督數據利用的過程。
在目標方面，ISO 38505-1認為數據治理應在提升利用數據價值的同時，確保合規(guī)約束和風險管控;在原則方面，ISO 38505-1沿用了IT治理的六條基本原則：職責(Responsibility)、戰(zhàn)略(Strategy)、獲取(Acquisition)、績效(Performance)、合規(guī)(Conformance)和人員行為(Human behavior)，并具體闡述了這些原則如何指導數據治理中的決策;在模型方面，ISO 38505-1認為治理主體應運用評估(evaluate)-指導(Direct)-監(jiān)督(Monitor)的EDM模型來開展數據治理工作，如下圖所示：
ISO 38505-1 EDM模型
EDM模型用于評估、指導和監(jiān)督
評估：當前及未來的數據使用情況。例如評估數據方面的公司戰(zhàn)略與商業(yè)模式、技術工具的應用情況等。
指導：編制及實施戰(zhàn)略和政策，以確保數據使用符合業(yè)務目標。圍繞評估情況制定數據戰(zhàn)略及相應的治理體系政策。
監(jiān)督：政策及戰(zhàn)略的落地執(zhí)行情況。建立相應的監(jiān)督機制以確保在組織內部推行相關措施，例如將相關治理指標納入KPI考核體系等。
其中，數據治理范圍需涵蓋數據治理責任圖——收集、存儲、報告、決策、發(fā)布和處置。
ISO 38505-1 數據治理責任圖
在實際數據應用中，企業(yè)通過創(chuàng)建、采集、采購等方式來收集數據并進行存儲，將數據運用于報告分析、輔助決策來發(fā)揮其價值，并在某些情況下發(fā)布給外部各方或進行刪除處置。因此數據責任圖涵蓋了數據應用范圍，以促進企業(yè)改進數據責任點的管理，確保數據這一關鍵資產滿足不同業(yè)務場景的需要和監(jiān)管合規(guī)的要求。
數據責任圖可結合數據治理的3個特征：價值(Value)、風險(Risk)和約束(Constraints)進行評估。其中，數據價值包括數據質量、時效性、體量和語境;數據風險包括風險管理、數據分類和安全性;約束包括法律法規(guī)、組織政策等內容。
3）ISO 38505-1標準重點解讀
數據治理的責任主體在治理層，治理層在開展數據治理的過程中主要通過制定數據戰(zhàn)略來指導數據管理活動，而管理層需要通過管理活動來實現戰(zhàn)略目標。同時，治理主體需要通過建立數據政策來保障數據管理活動符合數據戰(zhàn)略的需要，進而滿足企業(yè)的戰(zhàn)略目標。數據治理體系文檔由數據戰(zhàn)略和數據政策組成。
ISO 38505-1標準主要內容
4)ISO 38505-1認證實踐
4.1 數據治理體系文檔編纂
數據治理體系的文檔需體現ISO 38505-1標準的指導思想和涵蓋內容，但并非照本宣科，而是以該標準為綱，首先對企業(yè)的數據治理現狀做自上而下全面的摸排檢視，再根據實際情況對既有的治理體系進行完善設計，形成完整而符合標準的數據治理體系文檔。
根據標準的要求，數據戰(zhàn)略需適配公司的業(yè)務戰(zhàn)略。因此在制定時需對公司戰(zhàn)略情況有深入了解，如此才能有的放矢，真正起到數據治理對企業(yè)發(fā)展目標的賦能作用。
而數據政策通常可分為三級文檔：一級文檔作為總綱，對治理體系進行指導和治理域框架劃定，主要涵蓋治理體系的方針目標、組織架構、治理域范圍等內容;二級文檔作為管理規(guī)范，涵蓋ISO 38505-1標準中的核心要求，建立各治理域的管理政策;三級文檔作為管理程序，具體構建管理規(guī)范在企業(yè)中的運行管理流程及附上相應的模板、表單等。
在實際編纂過程中，值得注意的是：
a. 對數據治理現狀進行詳盡評估是體系文檔編纂前的一大參考要素，也是保障數據治理實現常態(tài)化管控的重要起點。數據治理體系文檔的建設基礎是體系內容符合ISO 38505-1標準的各個要求，而真正難點在于實現與企業(yè)既有業(yè)務流程的高契合度，這是治理體系標準落地的核心，否則難以持續(xù)性地推行落地。
b.ISO 38505-1的數據治理屬于廣義概念，企業(yè)在認證前需框定具體的數據治理認證范圍：數據范圍和數據治理域(如數據安全、數據質量)。因此數據治理體系文檔在規(guī)劃時應覆蓋具體認證范圍，并從全局視角規(guī)劃體系文檔數量和各治理域要點。一方面是為了避免體系內部出現不必要的重復，另一方面是為了避免與企業(yè)其他文檔發(fā)生沖突或產生冗余而增大后續(xù)落地運行的難度。
c.數據治理體系文檔要符合ISO 38505-1標準的要求，除了內容需將標準中的要點覆蓋全面以外，還應從治理主體角度考慮，如何將體系文檔對應納入EDM 模型之中，從而體現治理層在開展數據治理工作時對EDM模型的運用。
4.2 體系宣貫與試運行
“實踐是檢驗理的唯一標準”
試運行階段是對已搭建完成的數據治理體系進行的一次測試，同時也是體系建設者對體系尋錯、糾正、調整的一次絕佳時機，更重要的是，該階段踐行著PDCA戴明環(huán)中“檢查(Check)”和“處理(Act)”兩個環(huán)節(jié)，為體系后續(xù)真正運行后進入下一循環(huán)做鋪墊。
PDCA循環(huán)管理模式圖
而數據治理體系的試運行工作終究是要落在各項涉及治理管控措施的負責人(包括實施者)手上，缺乏對這些體系所涉及的“一線”人員進行意識培訓與體系引導，很可能會導致辛苦建設完成的數據治理體系成為一紙空文。
當然，治理體系的培訓宣貫也需要講究方法與對策。這一過程通常會面對兩種挑戰(zhàn)：一是對涉及體系的多數人員來說都是初次接觸數據治理領域，直接灌輸治理體系知識反而效果差;再者，不同部門、不同角色對數據治理體系控制域的側重點不一樣，業(yè)務部門可能更關注數據利用的效率，安全部門可能更關注敏感數據的保密性。因此，治理體系的培訓宣貫適宜循序漸進，同時為了提高效率，涉及相同治理域的部門或角色可集中進行培訓宣貫。
以價值為導向持續(xù)優(yōu)化
數據治理體系的建設與投入始終是要以提升業(yè)務價值為導向，同時在數據治理體系的建設和維護過程中，需要注意避免對ISO 38505-1標準的教條式理解、缺少與企業(yè)實際業(yè)務場景的結合。最后需要強調的是，數據治理的落地建設是一項長期工程。企業(yè)需要不斷踐行PDCA循環(huán)，讓企業(yè)在數據治理方面持續(xù)地散發(fā)活力，讓數據與業(yè)務達到一個更加穩(wěn)定、平衡的狀態(tài)，更自信地迎接來自信息時代的機遇與挑戰(zhàn)。
5)實踐指導意義
ISO 38505-1在國內已經形成了認證體系，申請機構可獲得由國家認可的認證機構頒發(fā)的證書。但由于ISO 38505-1認證較新、覆蓋面較廣，目前在國內獲得認證的機構并不多。但隨著數字化時代的來臨，數據一方面成為組織的重要資產和新興商業(yè)模式的助推器，一方面也衍生出安全風險問題。在此背景下，越來越多的企業(yè)已認識到數據治理在長期戰(zhàn)略層面的的價值和必要性。因此建議相關企業(yè)也與時俱進，把握時代轉型浪潮，考慮申請認證。從而提升自身的數據治理能力與國際接軌，提前在市場上取得先發(fā)優(yōu)勢，為企業(yè)數字化轉型提供強勁動力，為未來的數據業(yè)務提前布局、奠定基礎。
ISO38505認證常見問題 1. ISO38505認證的性質
根據搜索結果，ISO38505認證并不是一次性的，而是一個持續(xù)改進的過程2.這意味著企業(yè)需要建立符合ISO標準要求的管理體系，并持續(xù)監(jiān)督和改進管理體系，以確保其持續(xù)符合ISO標準要求。
2. ISO38505認證的流程
申請ISO38505認證的基本條件包括具有獨立法人資格、公司成立3個月以上、提供大數據相關項目材料、依據ISO38505標準建立體系并運行3個月以上、至少進行一次內審和管理評審。認證流程包括收集基本信息、編寫體系文件初稿、識別企業(yè)認證范圍涉及的數據資產、檢查資料完備性、現場審核、不符合整改和發(fā)證。
3. ISO38505認證的意義
ISO38505認證的意義在于高效運營、從根本上解決數據質量問題、規(guī)范和共享的需要、風險管理的需求、管理創(chuàng)新需要、業(yè)務流程和資源配置的優(yōu)化以及避免出了問題再補漏。此外，ISO38505認證證書是全國通用的，這對于企業(yè)來說具有重要意義，能夠提升企業(yè)的市場競爭力，提高數據的可靠性和安全性，以及提高數據的規(guī)范性和一致性。
4. ISO38505認證的成本
雖然搜索結果中沒有直接提到ISO38505認證的成本，但可以推測，由于ISO38505認證是一個持續(xù)改進的過程，企業(yè)需要投入資源來維持和改進管理體系，這可能會帶來一定的成本。然而，這種投資可以通過提高業(yè)務管理能力、贏得更多商業(yè)機會、保護商業(yè)機密和客戶隱私等方式得到回報。
5. ISO38505認證的監(jiān)督機制
ISO38505認證的監(jiān)督機制包括定期的內審和管理評審，以及外部審核機構的評估和認證。這些監(jiān)督機制確保企業(yè)持續(xù)符合ISO標準要求，并不斷提升績效和滿足客戶需求。
6. ISO38505認證的法律責任
如果企業(yè)在初次審核中未能滿足所有要求，審核機構將提供具體的改進建議和指導，企業(yè)可以進行改進并重新申請認證。這表明企業(yè)在申請ISO38505認證時必須承擔法律責任，確保其管理體系符合ISO標準的要求。
7. ISO38505認證的有效期
搜索結果中沒有明確提及ISO38505認證的有效期，但一般來說，認證的有效期取決于認證機構的規(guī)定。企業(yè)需要在規(guī)定的時間內重新申請認證，以保持其管理體系的合規(guī)性和有效性。
8. ISO38505認證的全球通用性
ISO38505認證是全球通用的，被廣泛接受和認可。獲得ISO38505認證可以證明企業(yè)在數據治理安全方面符合國際標準，增加了企業(yè)在國際市場上的競爭力和信譽。
以上是對ISO38505認證常見問題的一些解答，希望對您有所幫助。如果您還有其他問題，歡迎繼續(xù)提問。
企業(yè)AAA信用等級證書去哪個部門辦理
SB-T 10595-2011 清潔行業(yè)經營服務規(guī)范
綠色產品認證證書是什么
OHSAS18000職業(yè)性定期健康檢查的四個目的
申請汽車租賃服務認證證書需要哪些文件材料
網頁設計如何更才能吸引客戶?
OHSAS18000標準要素與理解要點
門窗行業(yè)申報AAA信用評級證書