ISO27001認證信息風險評估 目的：實施風險評估，識別不可接受風險，明確管理目標。 內容：風險評估是整個風險管理的基礎，本階段將根據(jù)前期策劃的風險評估方法。 包括：a. 根據(jù)業(yè)務要求及信息的密級劃分，對信息資產的重要程度進行判定，識別對關鍵核心業(yè)務具有關鍵 作用的信息資產清單;對重要信息資產從內部及外部識別其所面臨的威脅; b. 根據(jù)威脅，從管理和技術兩方面識別重要信息資產所存在的薄弱點; c. 根據(jù)風險評估的方法指南，對威脅利用薄弱點對重要信息資產所產生的風險在保密性、完整性、可 用性三方面所造成的影響進行評價;評價威脅利用薄弱點引發(fā)風險事件的可能性; d. 根據(jù)風險影響及發(fā)生的可能性評價風險等級; e. 根據(jù)信息方針，各核心業(yè)務流程的要求，與管理層進行溝通，確定不可接受風險等級的標 準; f. 針對不可接受的高風險，制定風險處理計劃，從ISO27002及顧問的行業(yè)經(jīng)驗來選擇適宜的風險管 控措施;實施所選擇的控制措施，降低、轉移或風險; g. 編寫風險評估報告。

首先，要高度重視人力資源配置問題。應明確人力資源需求，采用社會 招聘，接受大學、中專畢業(yè)生，送出去培養(yǎng)等多渠道去積極解決。經(jīng)常聽到許多企業(yè)領導喊人材缺乏，一喊幾年并未采取果斷的切實 措施去解決，致使企業(yè)缺乏生氣，競爭力不強。認證 要舍得在人力資源方面 進行大的投入，這是一種長遠的戰(zhàn)略投資。不要那么短視，只見前的市場。要想在競爭中占據(jù)優(yōu)勢，或者至少跟得上行情不掉隊，這 個大帳是非算不可的。在知識經(jīng)濟時代，為了保持和發(fā)展企業(yè)的競爭力，在人力資源方面，作必要的投入，是極其重要的。 強化全員培訓，要保證每個崗位人員的素質符合要求，現(xiàn)實的方法， 莫過于通過嚴格的培訓、考核并逐步加以篩選。然而，令人遺憾的是，目前多數(shù)企業(yè)培訓投入嚴重不足，按人員素質來優(yōu)選員工的用 工機制尚未建立或完善。 其次，建立識別資源需求的信息渠道。目前來 說，多數(shù)企業(yè)有一個根據(jù)各部門的需要視廠情而編制的年度資源配置計劃。但對質量管理體系運行中，如外審、內審及不合格的糾正和措施所反映出的 資源短缺問題（其中大部分是不需要花很多錢的小項目），卻不能及時而有效地解決。因此，需要建立由質量管理部門負責反饋的質 量管理體系運行資源短缺信息，經(jīng)管理者代表報告給負有執(zhí)行職責的管理者。 在企業(yè)資源配置中重要的一點，是要編制滾動的資源配置計劃并加以 落實。宜根據(jù)企業(yè)總體需要和體系運行的具體需要編制滾動的資源配置計劃，以便適時解決資源問題，對暫時未能配置到位的資源， 應搞清是什么原因阻礙計劃的完成，并實施后續(xù)的監(jiān)督管理，確保對資源配置做到閉環(huán)管理。

ISO9000質量管理體系標準是由國際標準化組織（The International Organization For Standardization簡稱ISO，成立于1947年2月23日，是世界上的具有民間性質的標準化機構）在1987年提出的 概念，由ISO/TC176（國際標準化組織質量管理和質量保證技術委員會）工作組制定的國際通用標準。它總結、提煉了世界各國質量管 理理論及實踐經(jīng)驗的精華，是一套先進的管理標準。并在其意義在于證實組織具有提供滿足顧客（上級政府、廣大市民）要求和適用 法規(guī)要求的產品（服務）的能力，目的在于不斷增進顧客（上級政府、廣大市民）滿意。 作為世界各國質量管理先進 經(jīng)驗的科學總結，英國、美國、加拿大、新加坡等國的政府行政部門近年紛紛推行ISO認證標準。政府導入ISO質量管理體系，是借 用ISO的語言、方法和理念規(guī)范日常工作，實現(xiàn)政府管理化、運行規(guī)范化、服務標準化。