ISO27001認證體系建設(shè)分為四個階段：實施風險評估、規(guī)劃體系建設(shè)方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環(huán)PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業(yè)信息系統(tǒng)的，確保信息的持續(xù)發(fā)展。 　　1、確立范圍 　　首先是確立項目范圍，從機構(gòu)層次及系統(tǒng)層次兩個維度進行范圍的劃分。從機構(gòu)層次上，可以考慮 內(nèi)部機構(gòu)：需要覆蓋公司的各個部門，其包括總部、事業(yè)部、制造本部、技術(shù)本部等;外部機構(gòu)：則包括 公司信息系統(tǒng)相連的外部機構(gòu)，包括供應(yīng)商、中間業(yè)務(wù)合作伙伴、及其他合作伙伴等。 　　從系統(tǒng)層次上，可按照物理環(huán)境：即支撐信息系統(tǒng)的場所、所處的周邊環(huán)境以及場所內(nèi)保障計算機 系統(tǒng)正常運行的設(shè)施。包括機房環(huán)境、門禁、監(jiān)控等;網(wǎng)絡(luò)系統(tǒng)：構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的線路介質(zhì) ，設(shè)備和軟件;服務(wù)器平臺系統(tǒng)：支撐所有信息系統(tǒng)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、客戶機及其操作系統(tǒng)、數(shù)據(jù)庫 、中間件和Web系統(tǒng)等軟件平臺系統(tǒng);應(yīng)用系統(tǒng)：支撐業(yè)務(wù)、辦公和管理應(yīng)用的應(yīng)用系統(tǒng);數(shù)據(jù)：整個信息 系統(tǒng)中傳輸以及存儲的數(shù)據(jù);管理：包括策略、規(guī)章制度、人員組織、開發(fā)、項目管理 和系統(tǒng)管理人員在日常運維過程中的合規(guī)、審計等。 　　2、風險評估 　　企業(yè)信息是指保障企業(yè)業(yè)務(wù)系統(tǒng)不被非法訪問、利用和篡改，為企業(yè)員工提供、可信的服 務(wù)，保證信息系統(tǒng)的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內(nèi)容： 　　2.1、企業(yè)管理類的評估 　　通過企業(yè)的控制現(xiàn)狀調(diào)查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業(yè)的經(jīng)驗上 進行“差距分析”，檢查企業(yè)在控制層面上存在的弱點，從而為措施的選擇提供依據(jù)。 　　評估內(nèi)容包括ISO27001所涵蓋的與信息管理體系相關(guān)的11個方面，包括信息策略、組 織、資產(chǎn)分類與控制、人員、物理和環(huán)境、通信和操作管理、訪問控制、系統(tǒng)開發(fā)與維護、安 全事件管理、業(yè)務(wù)連續(xù)性管理、符合性。 　　2.2、企業(yè)技術(shù)類評估 　　基于資產(chǎn)等級的分類，通過對信息設(shè)備進行的掃描、設(shè)備的配置，檢查分析現(xiàn)有網(wǎng)絡(luò) 設(shè)備、服務(wù)器系統(tǒng)、終端、網(wǎng)絡(luò)架構(gòu)的現(xiàn)狀和存在的弱點，為加固提供依據(jù)。 　　針對企業(yè)具有代表性的關(guān)鍵應(yīng)用進行評估。關(guān)鍵應(yīng)用的評估方式采用滲透測試的方法，在應(yīng)用 評估中將對應(yīng)用系統(tǒng)的威脅、弱點進行識別，分析其和應(yīng)用系統(tǒng)的目標之間的差距，為后期改造提 供依據(jù)。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優(yōu)點 ，同時結(jié)合企業(yè)自身的特點，建立風險評估模型： 　　在風險評估模型中，主要包含信息資產(chǎn)、弱點、威脅和風險四個要素。每個要素有各自的屬性，信 息資產(chǎn)的屬性是資產(chǎn)價值，弱點的屬性是弱點在現(xiàn)有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產(chǎn)帶來影響的嚴重程度，威脅的屬性是威脅發(fā)生的可能性及其危害的嚴重程度，風險的屬 性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。 　　3、規(guī)劃體系建設(shè)方案 　　企業(yè)信息問題根源分布在技術(shù)、人員和管理等多個層面，須統(tǒng)一規(guī)劃并建立企業(yè)信息體系 ，并終落實到管理措施和技術(shù)措施，才能確保信息。 　　規(guī)劃體系建設(shè)方案是在風險評估的基礎(chǔ)上，對企業(yè)中存在的風險提出建議，增強系統(tǒng)的安 全性和抗攻擊性。 　　在未來1-2年內(nèi)通過信息體系制的建立與實施，建立組織，技術(shù)上進行審計、內(nèi)外網(wǎng)隔 離的改造、產(chǎn)品的部署，實現(xiàn)以流程為導向的轉(zhuǎn)型。在未來的 3-5 年內(nèi)，通過完善的信息體系 和相應(yīng)的物理環(huán)境改造和業(yè)務(wù)連續(xù)性項目的建設(shè)，將企業(yè)建設(shè)成為一個注重管理，為主，防治結(jié)合 的先進型企業(yè)。 　　4、企業(yè)信息體系建設(shè) 　　企業(yè)信息體系建立在信息模型與企業(yè)信息化的基礎(chǔ)上，建立信息管理體系核心可以更 好的發(fā)揮六方面的能力：即預警(Warn)、保護(Protect)、檢測(Detect)、反應(yīng)(Response)、恢復 (Recover)和反擊(Counter-attack)，體系應(yīng)該兼顧攘外和安內(nèi)的功能。 　　體系的建設(shè)一是涉及管理制度建設(shè)完善;二是涉及到信息技術(shù)。首先，針對管理制 度涉及的主要內(nèi)容包括企業(yè)信息系統(tǒng)的總體方針、技術(shù)策略和管理策略等?？傮w方針 涉及組織機構(gòu)、管理制度、人員管理、運行維護等方面的制度。技術(shù)策略涉 及信息域的劃分、業(yè)務(wù)應(yīng)用的等級、保護思路、說以及進一步的統(tǒng)一管理、系統(tǒng)分級、網(wǎng)絡(luò)互 聯(lián)、容災(zāi)備份、集中監(jiān)控等方面的要求。 　　其次，信息技術(shù)按其所在的信息系統(tǒng)層次可劃分為物理技術(shù)、網(wǎng)絡(luò)技術(shù)、系統(tǒng)技 術(shù)、應(yīng)用技術(shù)，以及基礎(chǔ)設(shè)施平臺;同時按照技術(shù)所提供的功能又可劃分為保護類、檢 測跟蹤類和響應(yīng)恢復類三大類技術(shù)。結(jié)合主流的技術(shù)以及未來信息系統(tǒng)發(fā)展的要求，規(guī)劃信息 技術(shù)包括：

常見的問題是：質(zhì)量目標中只有“工程項目合格率”、“產(chǎn)品合格率”、“出廠一次交檢合格率”等目標，而沒有ISO 9001；Z008標準7.la）提出的“產(chǎn)品的質(zhì)量目標和要求”?！昂细衤省笔遣皇穷櫩完P(guān)心的問題？通常不是，它是組織關(guān)心的問題顧客關(guān)心什么？顧客關(guān)心的是自己得到的產(chǎn)品是不是合格品、有沒有缺陷、是不是耐用，甚至希望產(chǎn)品具有超值的特性。但是，許多組織并沒有理會顧客的這些需求和期望，而是“執(zhí)著”地追求“合格率”，對于怎樣“增強顧客滿意”測研究不夠。為什么會出現(xiàn)這種情況呢？原因很簡單，就是沒有理解“以顧客為關(guān)注焦點”原則的理念，沒有理解標準的目的是為了“增強顧客滿意”，沒有想方設(shè)法了解顧客對自己的產(chǎn)品及其特性的需求和期望，或者沒有什對自己的產(chǎn)品及其特性狀況征求顧客的意見。因此，不了解顧客對自己的產(chǎn)品有哪些方面的不滿意（或者不是滿意），從而無法據(jù)此進行改進認證。

ISO14000環(huán)境管理體系培訓(doc72頁)[免費下載]內(nèi)容簡介ISO14000環(huán)境管理體系培訓目錄： 1.1保護環(huán)境，善待生命 1.2保護環(huán)境，持續(xù)發(fā)展 1.3ISO14000系列標準產(chǎn)生及組成 1.4ISO14000環(huán)境管理體系與ISO9000質(zhì)量體系的不同 1.5企業(yè)貫徹ISO14000標準的益處 1.6ISO14001標準特點 第2章基本概念 2.1環(huán)鏡 2.2環(huán)境影響 2.3環(huán)境因素 2.4環(huán)境方針 2.5環(huán)境目標 2.6環(huán)境指標 2.7組織 2.8相關(guān)方 2.9環(huán)境績效（表現(xiàn)） 2.10持續(xù)改進 2.11污染 2.12環(huán)境管理體系 2.13環(huán)境管理體系審核 第3章ISO14001環(huán)境管理體系要求解析 3.1概述 3.2ISO14001與ISO9001標準要素對照 3.3環(huán)境管理體系模式 3.4環(huán)境管理體系要求 4.1總要求 4.2環(huán)境方針 4.3規(guī)劃（策劃） 4.3.1環(huán)境因素 4.3.2法律與其他要求 4.3.3目標和指標 4.4實施和運行 4.4.1組織結(jié)構(gòu)和職責 4.4.2培訓、意識與能力 4.4.4環(huán)境管理體系文件 4.4.5文件控制 4.4.6運行控制 4.4.7應(yīng)急準備和響應(yīng) 4.5檢查和糾正措施 4.5.1監(jiān)測和測量 4.5.2不符合、糾正與措施 4.5.4環(huán)境管理體系審核 .............................. 上一篇：尚無數(shù)據(jù) 下一篇：