《測量管理體系、測量過程和測量設(shè)備的要求》(ISO10012:2003)的實施 講八項質(zhì)量管理原則如何在計量體系中應(yīng)用(一) 國際組織認為:一個企業(yè)的管理者，若想成功地領(lǐng)導(dǎo)和經(jīng)營其企業(yè)，需要采用一種系統(tǒng)的、透明的方式對其企業(yè)進行管理。針對所有相關(guān)方的需求，實施并保持持續(xù)改進企業(yè)業(yè)績的管理體系，可以使企業(yè)獲得成功。一個企業(yè)的管理活動涉及多方面，如質(zhì)量管理、環(huán)境管理、職業(yè)與管理、財務(wù)管理、計量管理等。計量管理是企業(yè)各項管理的內(nèi)容之一，也是企業(yè)管理的重要組成部分。 為了更有效地指導(dǎo)企業(yè)實施管理，國際標準化組織質(zhì)量管理和質(zhì)量保證技術(shù)委員會ISO/TC176于1995年成立了一個工作組，用了約兩年時間，吸納了國際上受尊敬的一批質(zhì)量管理專家的意見，整理并編撰了八項質(zhì)量管理原則，同時又把八項質(zhì)量管理原則應(yīng)用于2000版ISO9000族標準中。ISO10012是由ISO/TC176的SC3技術(shù)分委員會制定的，因此，在ISO10012的引言和相關(guān)要求中都提出八項質(zhì)量管理原則應(yīng)適用于ISO10012標準。 八項質(zhì)量管理原則是質(zhì)量和計量管理的基本、通用的一般性規(guī)律，成為質(zhì)量和計量管理的理論基礎(chǔ)。八項質(zhì)量管理原則是企業(yè)領(lǐng)導(dǎo)有效實施質(zhì)量和計量管理工作必須遵循的原則，也是企業(yè)在市場競爭中取勝的法寶。 以下分析在ISO10012中應(yīng)如何貫徹八項質(zhì)量管理原則: 一、以顧客為關(guān)注焦點的原則ISO9000標準要求: a.以顧客為關(guān)注焦點 組織依存于顧客。因此，組織應(yīng)當理解顧客當前和未來的需求，滿足顧客要求并爭取超越顧客期望。 1.了解并掌握ISO10012對顧客需求的有關(guān)要求 ISO10012標準中多次提出應(yīng)滿足顧客的需求，如: (1)在ISO10012的“引言”中指出: “以下情況可能引用ISO10012標準:顧客在規(guī)定所要求的產(chǎn)品時”。 (2)在ISO10012“5.3條”中指出:5.3以顧客為關(guān)注焦點。 “計量職能的管理者應(yīng)確保:①將顧客的需要確定下來并轉(zhuǎn)化為計量要求；②計量管理體系滿足顧客的計量要求；③能證明和符合顧客規(guī)定的要求。” (3)在ISO10012“8.2.2條”中指出: “顧客滿意:計量職能應(yīng)就顧客的計量要求是否已滿足來監(jiān)測有關(guān)顧客滿意度的信息?！?按照ISO10012上述要求去做，就體現(xiàn)了“以顧客為關(guān)注焦點”的原則。 2.什么是顧客的要求 “顧客”一詞是代表性的含義，它代表了市場的需求，代表了政府和法律的要求，代表了所有外部和內(nèi)部用戶的意見。顧客對計量工作的需求和期望往往不會直接提出。顧客的要求主要體現(xiàn)在:產(chǎn)品技術(shù)指標的要求、產(chǎn)品標準、技術(shù)規(guī)范的要求、合同的要求以及法律和法規(guī)對產(chǎn)品的性和公平性要求，以及企業(yè)的協(xié)作者對企業(yè)的要求，還包括企業(yè)內(nèi)部各部門之間模擬市場時的相互要求等。這些要求有的是明確的，如技術(shù)標準和合同等；有的是隱含的，如性和公平性要求。 3.顧客要求應(yīng)轉(zhuǎn)化為計量的要求 ISO10012標準提出了顧客要求應(yīng)轉(zhuǎn)化為計量的要求并提出應(yīng)監(jiān)測顧客的要求。 計量職能部門的管理者應(yīng)確保將上述顧客要求和期望確定下來并將其轉(zhuǎn)化成計量要求。把這些要求表示為 允許誤差、允許不確定度、測量范圍、穩(wěn)定性、分辨率、環(huán)境條件或者操作技能要求等計量要求。計量職能部門的管理者應(yīng)保證測量管理體系滿足各方面的計量要求，并能提供數(shù)據(jù)證明體系滿足了顧客的要求。 4.測量管理體系如何滿足顧客對計量的要求 (1)計量管理職能通過確定并實施測量管理體系，來保證測量設(shè)備和測量過程能夠滿足這些計量要求。并通過對測量設(shè)備的計量確認和測量過程的受控程度來保證測量設(shè)備和測量過程滿足計量要求。要證明這些計量要求能夠符合產(chǎn)品的技術(shù)標準、規(guī)范、合同的要求，符合對測量設(shè)備的技術(shù)標準、規(guī)范、規(guī)程的要求。滿足計量要求也就是滿足了顧客的要求。 (2)監(jiān)測顧客滿意度 計量職能部門應(yīng)依據(jù)顧客的計量要求是否已滿足來監(jiān)測有關(guān)顧客滿意度的信息。ISO10012標準明確要求要監(jiān)視和測量顧客滿意(8.2.2)。企業(yè)可以借助于數(shù)據(jù)分析提供所需的顧客滿意的信息，進一步通過糾正措施和措施，達到持續(xù)改進的目的。 二、領(lǐng)導(dǎo)作用的原則 ISO9000標準的要求: b.領(lǐng)導(dǎo)作用 確立組織統(tǒng)一的宗旨及方向。他們應(yīng)當創(chuàng)造并保持使員工能充分參與實現(xiàn)組織目標的內(nèi)部環(huán)境。 1.企業(yè)計量工作為什么要實行“領(lǐng)導(dǎo)作用”這一原則 在企業(yè)的管理活動中，起著關(guān)鍵的作用。計量管理體系也適用于這條原則。計量的特點之一是:“統(tǒng)一性”。這是計量學本質(zhì)的特性。計量失去統(tǒng)一性，也就失去了存在的意義。計量的統(tǒng)一性不僅限于一個組織，也體現(xiàn)在一個企業(yè)，一個 ，甚至體現(xiàn)在全世界。在企業(yè)計量工作中，要達到統(tǒng)一性，就必須取得 領(lǐng)導(dǎo)的重視，發(fā)揮領(lǐng)導(dǎo)作用，否則就無法實現(xiàn)統(tǒng)一性。因此，計量的另一個特點是“權(quán)威性”。沒有高度的權(quán)威，就很難實現(xiàn)“統(tǒng)一性”；要做到權(quán)威性，就必須發(fā)揮領(lǐng)導(dǎo)的作用。 2.ISO10012條款中體現(xiàn)了“領(lǐng)導(dǎo)作用”的原則 實現(xiàn)“領(lǐng)導(dǎo)作用”主要是通過對組織、 領(lǐng)導(dǎo)以及計量職能部門提出職責和任務(wù)，從而體現(xiàn)加強企業(yè)領(lǐng)導(dǎo)的作用。 如，“ISO10012條款中多次提出: 5.管理職責 5.1計量職能 組織應(yīng)規(guī)定計量職能。組織的 管理者應(yīng)確保必要的資源以建立和保持計量職能。 指南:計量職能可能是一個單獨的部門或分布在整個組織中。 計量職能的管理者應(yīng)建立測量管理體系，形成文件，并加以保持和持續(xù)改進其有效性。 5.3質(zhì)量目標 計量職能的管理者應(yīng)為測量管理體系規(guī)定可測量的質(zhì)量目標。應(yīng)規(guī)定測量過程的客觀的性能準則、程序及其控制。 5.4管理評審 組織的 管理者應(yīng)按照計劃的時間間隔系統(tǒng)地評審測量管理體系，以確保其持續(xù)的充分性、有效性和適宜性。 管理者應(yīng)確保評審測量管理體系所需的必要資源。 計量職能的管理者應(yīng)利用管理評審的結(jié)果對體系進行必要的修正，包括改進測量過程和評審質(zhì)量目標。應(yīng)記錄所有評審結(jié)果和采取的所有措施。” 3.企業(yè) 領(lǐng)導(dǎo)承擔的職責 企業(yè) 領(lǐng)導(dǎo)應(yīng)承擔的職責是: ①應(yīng)為建立和維護企業(yè)計量體系提供必要的人力、物力、財力和其他相關(guān)條件，這些條件統(tǒng)稱為“資源”。 ②企業(yè) 領(lǐng)導(dǎo)應(yīng)在計劃的時間間隔系統(tǒng)地組織對測量管理體系的評審，以保證它被連續(xù)有效地執(zhí)行并滿足需要。在評審體系時，企業(yè) 領(lǐng)導(dǎo)應(yīng)保證提供評審所需要的設(shè)備、設(shè)施、人員以及文件資料等條件。測量管理體系管理評審的計劃和安排應(yīng)納入企業(yè)的文件中。 ③建立并保持計量管理機構(gòu)及其職能。 企業(yè)應(yīng)建立計量管理機構(gòu)，規(guī)定計量部門的職能，以保證計量管理體系的貫徹實施，這是加強企業(yè)計量工作必不可少的先決條件。計量職能是指組織中負責確定并實施測量體系的職能。由于計量工作可能貫穿到整個企業(yè)，所以，計量職能不單是指計量職能部門的職能，還包括整個企業(yè)與計量有關(guān)的職能。 4.企業(yè)計量職能部門應(yīng)承擔的職責是: ①首先應(yīng)該建立和制定維持并不斷改進測量管理體系的文件。 ②測量管理體系應(yīng)該滿足顧客對計量的要求。 ③制定測量管理體系的工作質(zhì)量目標。 計量職能部門的管理者應(yīng)為測量管理體系制定質(zhì)量目標。質(zhì)量目標應(yīng)規(guī)定實施測量過程的程序和客觀準則，并對它們進行控制。不同規(guī)模和類型的企業(yè)制定的測量體系的質(zhì)量目標是不相同的。 在ISO10012標準中，專門對企業(yè)計量管理職責規(guī)定了19條要求。這充分體現(xiàn)了“領(lǐng)導(dǎo)作用”這一原則在ISO10012中的貫徹。這是過去任何有關(guān)計量管理的國際標準中都沒有過的，充分說明國際標準也認識到了計量管理職責的重要。該標準要求企業(yè)應(yīng)建立計量管理機構(gòu)，規(guī)定計量部門的職能，以保證計量管理體系的貫徹實施，這是加強企業(yè)計量工作必不可少的先決條件。(未完待續(xù))

博慧達iso56005認證、as9100d認證(濮陽市分公司)的經(jīng)營理念：“誠信、創(chuàng)新、服務(wù)、共贏” 服務(wù)承諾：支持驗貨、隨貨帶材質(zhì)單、 IATF16949認證、as9100d認證、iso56005認證產(chǎn)品明細單。 服務(wù)宗旨：雄厚的實力、優(yōu)質(zhì)的 IATF16949認證、as9100d認證、iso56005認證產(chǎn)品、低廉的價格、完善的服務(wù)。 質(zhì)量方針：以嶄新的姿態(tài)獨樹一幟。誠實貴于珠寶、守信乃人民之珍。以產(chǎn)品質(zhì)量為立足之本、以重合同守信用為永恒的宗旨。 博慧達iso56005認證、as9100d認證(濮陽市分公司)全體員工充滿信心，公司將更加重視人才引進和技術(shù)創(chuàng)新，始終堅持科技創(chuàng)新和質(zhì)量，服務(wù)國內(nèi)外用戶，與時俱進，共創(chuàng)輝煌！

ISO27000認證信息風險評估FAQ 深圳ISO27000認證為什么要進行信息風險評估？ 　　通過風險評估，你可以知道組織范圍內(nèi)存在哪些重要的信息資產(chǎn)、信息處理設(shè)施及其面臨的威脅，發(fā)現(xiàn)技術(shù)和管理上的脆弱點，綜合評估現(xiàn)有綜合資產(chǎn)的風險狀況。 什么是信息風險評估？ 　　風險評估：對信息及信息載體、應(yīng)用環(huán)境等各方面風險進行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認風險及其大小的過程。 　　風險評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎(chǔ)上做決策服務(wù)；風險控制措施為組織實施信息的改進提供指導(dǎo)。 信息風險評估的實施的主體是什么？ 　　風險評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進行的風險評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務(wù)主管發(fā)起的，旨在依據(jù)已經(jīng)頒布的法規(guī)或標準進行的，具有強制意味的檢查活動，是通過行政手段加強信息的重要措施。 　　檢查評估應(yīng)該是具有一定資質(zhì)的風險評估服務(wù)機構(gòu)實施的。自評估可以在信息風險評估服務(wù)機構(gòu)的咨詢、服務(wù)、培訓下，由系統(tǒng)所有者和評估服務(wù)機構(gòu)共同完成。 信息風險評估的政策依據(jù)及標準依據(jù)？ 　　 信息化領(lǐng)導(dǎo)小組《關(guān)于加強信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風險評估作為一項重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務(wù)、電力三個行業(yè)進行試點，根據(jù)試點經(jīng)驗，各省市建立信息風險評估管理制度。 　　 國信辦標準草案《信息風險評估指南》、《信息風險管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風險評估包括哪幾個主要實施階段？ 　　風險評估可以分為資產(chǎn)識別、重要資產(chǎn)賦值、威脅分析、脆弱性識別、風險計算、風險控制措施提出等實施階段。 信息風險評估的主要內(nèi)容及方法？ 　　信息風險評估的實施主要有以下內(nèi)容： 　　 （1）資產(chǎn)識別 　　 （2）資產(chǎn)的屬性賦值及權(quán)重計算 　　 （3）威脅分析 　　 （4）薄弱點分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風險計算 　　 （7）風險處理計劃制定 　　 風險評估是一項綜合的系統(tǒng)工程，既涉及到技術(shù)，又涉及到管理。風險評估過程中既需要采用技術(shù)的檢測手段，又需要進行綜合的歸納、總結(jié)和分析方法。 　　 風險評估中資產(chǎn)價值的判斷、威脅判斷、事件造成影響的判斷標準都需要根據(jù)被評估實際情況，與被評估方共同確定。 信息風險評估是否會影響系統(tǒng)的業(yè)務(wù)正常運行？ 　　除針對服務(wù)器的漏洞掃描、診斷及滲透性測試外，風險評估不會對系統(tǒng)的業(yè)務(wù)運行造成影響。即使是滲透性測試，也僅僅是為了驗證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關(guān)鍵程序/進程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細的滲透測試方案與用戶交流，包括滲透測試對象、測試強度、可能后果、提前備份等要求，并經(jīng)用戶認可后方能實施。 信息風險評估的結(jié)果形式是什么？ 　　信息風險評估在評估過程中將生成一系列的風險評估操作記錄，包括：重要資產(chǎn)列表、脆弱性匯總表、資產(chǎn)威脅識別表、資產(chǎn)威脅風險系數(shù)表、信息資產(chǎn)綜合風險值表等， 將生成三份評估結(jié)果： 　　 脆弱性評估報告：以資產(chǎn)為核心，描述該資產(chǎn)存在的薄弱點。 　　 風險評估報告：反映了風險評估整個過程、方法、內(nèi)容及風險結(jié)果。 　　 風險處理計劃：針對識別的風險，提出具體的控制目標和控制措施。 信息風險評估的周期有多長　 　　信息風險評估沒有確定的時間周期，一般兩年一次進行定期的評估，但當組織新增信息資產(chǎn)、系統(tǒng)發(fā)生重大變更、業(yè)務(wù)流程發(fā)生重大變化、發(fā)生嚴重信息事故等情況下應(yīng)進行風險評估。 　　 此外，對系統(tǒng)規(guī)劃、擴建時也需要進行風險評估，為需求、策略的制定提供依據(jù)。 信息風險評估的收費標準　 　　根據(jù)評估對象的不同而不同。風險評估的對象可以是：單個獨立的信息系統(tǒng)、支持組織業(yè)務(wù)的整體信息處理環(huán)境、整個組織范圍。信息風險評估的費用主要依據(jù)以下幾個方面進行核算： 　　 網(wǎng)絡(luò)規(guī)模 　　 聯(lián)網(wǎng)單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設(shè)備的多少 　　 被評估的組織范圍大小