ISO27001認(rèn)證信息風(fēng)險(xiǎn)評(píng)估 目的：實(shí)施風(fēng)險(xiǎn)評(píng)估，識(shí)別不可接受風(fēng)險(xiǎn)，明確管理目標(biāo)。 內(nèi)容：風(fēng)險(xiǎn)評(píng)估是整個(gè)風(fēng)險(xiǎn)管理的基礎(chǔ)，本階段將根據(jù)前期策劃的風(fēng)險(xiǎn)評(píng)估方法。 包括：a. 根據(jù)業(yè)務(wù)要求及信息的密級(jí)劃分，對(duì)信息資產(chǎn)的重要程度進(jìn)行判定，識(shí)別對(duì)關(guān)鍵核心業(yè)務(wù)具有關(guān)鍵 作用的信息資產(chǎn)清單;對(duì)重要信息資產(chǎn)從內(nèi)部及外部識(shí)別其所面臨的威脅; b. 根據(jù)威脅，從管理和技術(shù)兩方面識(shí)別重要信息資產(chǎn)所存在的薄弱點(diǎn); c. 根據(jù)風(fēng)險(xiǎn)評(píng)估的方法指南，對(duì)威脅利用薄弱點(diǎn)對(duì)重要信息資產(chǎn)所產(chǎn)生的風(fēng)險(xiǎn)在保密性、完整性、可 用性三方面所造成的影響進(jìn)行評(píng)價(jià);評(píng)價(jià)威脅利用薄弱點(diǎn)引發(fā)風(fēng)險(xiǎn)事件的可能性; d. 根據(jù)風(fēng)險(xiǎn)影響及發(fā)生的可能性評(píng)價(jià)風(fēng)險(xiǎn)等級(jí); e. 根據(jù)信息方針，各核心業(yè)務(wù)流程的要求，與管理層進(jìn)行溝通，確定不可接受風(fēng)險(xiǎn)等級(jí)的標(biāo) 準(zhǔn); f. 針對(duì)不可接受的高風(fēng)險(xiǎn)，制定風(fēng)險(xiǎn)處理計(jì)劃，從ISO27002及顧問的行業(yè)經(jīng)驗(yàn)來選擇適宜的風(fēng)險(xiǎn)管 控措施;實(shí)施所選擇的控制措施，降低、轉(zhuǎn)移或風(fēng)險(xiǎn); g. 編寫風(fēng)險(xiǎn)評(píng)估報(bào)告。

ISO10012認(rèn)證計(jì)量確認(rèn)和測(cè)量過程的實(shí)現(xiàn) ISO10012要求應(yīng)設(shè)計(jì)并實(shí)施計(jì)量確認(rèn)，以確保測(cè)量設(shè)備的計(jì)量特性滿足測(cè)量過程的計(jì)量要求。 ISO10012計(jì)量確認(rèn)包括測(cè)量設(shè)備校準(zhǔn)和測(cè)量設(shè)備驗(yàn)證。 測(cè)量設(shè)備的操作者應(yīng)得到與測(cè)量設(shè)備計(jì)量確認(rèn)狀態(tài)有關(guān)的信息，包括所有限制和特殊要求。 用于確定或改變計(jì)量確認(rèn)間隔的方法應(yīng)用程序文件表述。計(jì)量確認(rèn)間隔應(yīng)經(jīng)評(píng)審， 每次對(duì)不合格的測(cè)量設(shè)備進(jìn)行維修、調(diào)整或修改時(shí)，應(yīng)評(píng)審其計(jì)量確認(rèn)間隔。 在經(jīng)確認(rèn)的測(cè)量設(shè)備上，對(duì)影響其性能的調(diào)整裝置進(jìn)行封印或采取其它保護(hù)措施，以防止未經(jīng)授權(quán)的改變。 封印或保護(hù)裝置的設(shè)計(jì)和實(shí)施應(yīng)保證一旦改變將會(huì)被發(fā)現(xiàn)。 計(jì)量確認(rèn)過程程序應(yīng)包括當(dāng)封印或保護(hù)裝置被發(fā)現(xiàn)損壞、破損、轉(zhuǎn)移或丟失時(shí)應(yīng)采取的措施。 適用時(shí)，計(jì)量確認(rèn)過程的記錄應(yīng)注明日期并由授權(quán)人審查批準(zhǔn)以證明結(jié)果的正確性。 應(yīng)保持并可獲得這些記錄。 指南 記錄短的保存時(shí)間決定于許多因素，包括顧客的要求，法律法規(guī)要求和制造者的責(zé)任。有關(guān)測(cè)量標(biāo)準(zhǔn)的記錄可能需要 保存。 計(jì)量確認(rèn)過程記錄應(yīng)證明每臺(tái)測(cè)量設(shè)備是否滿足規(guī)定的計(jì)量要求。 需要時(shí)，記錄應(yīng)包括： a). 設(shè)備制造者的表述和 性標(biāo)識(shí)、型號(hào)、系列號(hào)等； b). 完成計(jì)量確認(rèn)的日期； c). 計(jì)量確認(rèn)結(jié)果； d). 規(guī)定的計(jì)量確認(rèn)間隔； e). 計(jì)量確認(rèn)程序的標(biāo)識(shí)（見6.2.1）； f). 規(guī)定的 允許誤差； g). 相關(guān)的環(huán)境條件和必要的修正說明； h). 設(shè)備校準(zhǔn)引入的測(cè)量不確定度； i). 維護(hù)的詳細(xì)情況，如調(diào)整、維修和修改等； j). 使用限制； k). 執(zhí)行計(jì)量確認(rèn)的人員標(biāo)識(shí)； l). 對(duì)信息記錄正確性負(fù)責(zé)的人員標(biāo)識(shí)； m). 校準(zhǔn)和報(bào)告以及其它相關(guān)文件的 性標(biāo)識(shí)（如編號(hào)）； n). 校準(zhǔn)結(jié)果的溯源性的證據(jù)； o). 預(yù)期使用的計(jì)量要求； p). 調(diào)整、修改或維修后的校準(zhǔn)結(jié)果以及要求時(shí)的調(diào)整、修改或維修前的校準(zhǔn)結(jié)果。 計(jì)量職能應(yīng)確保只有經(jīng)授權(quán)的人員才允許形成、修改、出具和刪除記錄。 應(yīng)對(duì)作為測(cè)量管理體系組成部分的測(cè)量過程進(jìn)行策劃、確認(rèn)、實(shí)施、形成文件和加以控制。應(yīng)識(shí)別和考慮影響測(cè)量過程的影響量。 每一個(gè)測(cè)量過程的完整規(guī)范應(yīng)包括所有有關(guān)設(shè)備的標(biāo)識(shí)、測(cè)量程序、測(cè)量軟件、使用條件、操作者能力和影響測(cè)量結(jié)果可靠性的其他因素。測(cè)量過程控制應(yīng)根據(jù)形成文件的程序進(jìn)行。 應(yīng)根據(jù)顧客、組織和法律法規(guī)的要求確定計(jì)量要求。為了滿足這些規(guī)定要求而設(shè)計(jì)的測(cè)量過程應(yīng)形成文件，并確認(rèn)有效，必要時(shí)，征得顧客同意。 對(duì)每一測(cè)量過程，應(yīng)識(shí)別有關(guān)的過程要素和控制。要素和控制限的選擇要與不符合規(guī)定的要求時(shí)引起的風(fēng)險(xiǎn)相稱。這些過程要素和控制應(yīng)包括操作者、設(shè)備、環(huán)境條件、影響量和應(yīng)用方法的影響。 測(cè)量過程應(yīng)在設(shè)計(jì)的受控條件下實(shí)現(xiàn)，以滿足計(jì)量要求。 受控條件應(yīng)包括： a) 使用經(jīng)確認(rèn)的設(shè)備， b) 應(yīng)用經(jīng)確認(rèn)有效的測(cè)量程序， c) 可獲得所要求的信息資源， d) 保持所要求的環(huán)境條件， e) 使用具備能力的人員， f) 合適的結(jié)果報(bào)告方式， g) 按規(guī)定實(shí)施監(jiān)視。