ISO27001認(rèn)證體系建設(shè)分為四個(gè)階段：實(shí)施風(fēng)險(xiǎn)評(píng)估、規(guī)劃體系建設(shè)方案、建立信息管理 體系、體系運(yùn)行及改進(jìn)。也符合信息管理循環(huán)PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護(hù)企業(yè)信息系統(tǒng)的，確保信息的持續(xù)發(fā)展。 　　1、確立范圍 　　首先是確立項(xiàng)目范圍，從機(jī)構(gòu)層次及系統(tǒng)層次兩個(gè)維度進(jìn)行范圍的劃分。從機(jī)構(gòu)層次上，可以考慮 內(nèi)部機(jī)構(gòu)：需要覆蓋公司的各個(gè)部門，其包括總部、事業(yè)部、制造本部、技術(shù)本部等;外部機(jī)構(gòu)：則包括 公司信息系統(tǒng)相連的外部機(jī)構(gòu)，包括供應(yīng)商、中間業(yè)務(wù)合作伙伴、及其他合作伙伴等。 　　從系統(tǒng)層次上，可按照物理環(huán)境：即支撐信息系統(tǒng)的場(chǎng)所、所處的周邊環(huán)境以及場(chǎng)所內(nèi)保障計(jì)算機(jī) 系統(tǒng)正常運(yùn)行的設(shè)施。包括機(jī)房環(huán)境、門禁、監(jiān)控等;網(wǎng)絡(luò)系統(tǒng)：構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的線路介質(zhì) ，設(shè)備和軟件;服務(wù)器平臺(tái)系統(tǒng)：支撐所有信息系統(tǒng)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、客戶機(jī)及其操作系統(tǒng)、數(shù)據(jù)庫 、中間件和Web系統(tǒng)等軟件平臺(tái)系統(tǒng);應(yīng)用系統(tǒng)：支撐業(yè)務(wù)、辦公和管理應(yīng)用的應(yīng)用系統(tǒng);數(shù)據(jù)：整個(gè)信息 系統(tǒng)中傳輸以及存儲(chǔ)的數(shù)據(jù);管理：包括策略、規(guī)章制度、人員組織、開發(fā)、項(xiàng)目管理 和系統(tǒng)管理人員在日常運(yùn)維過程中的合規(guī)、審計(jì)等。 　　2、風(fēng)險(xiǎn)評(píng)估 　　企業(yè)信息是指保障企業(yè)業(yè)務(wù)系統(tǒng)不被非法訪問、利用和篡改，為企業(yè)員工提供、可信的服 務(wù)，保證信息系統(tǒng)的可用性、完整性和保密性。 　　本次進(jìn)行的評(píng)估，主要包括兩方面的內(nèi)容： 　　2.1、企業(yè)管理類的評(píng)估 　　通過企業(yè)的控制現(xiàn)狀調(diào)查、訪談、文檔研讀和ISO27001的 實(shí)踐比對(duì)，以及在行業(yè)的經(jīng)驗(yàn)上 進(jìn)行“差距分析”，檢查企業(yè)在控制層面上存在的弱點(diǎn)，從而為措施的選擇提供依據(jù)。 　　評(píng)估內(nèi)容包括ISO27001所涵蓋的與信息管理體系相關(guān)的11個(gè)方面，包括信息策略、組 織、資產(chǎn)分類與控制、人員、物理和環(huán)境、通信和操作管理、訪問控制、系統(tǒng)開發(fā)與維護(hù)、安 全事件管理、業(yè)務(wù)連續(xù)性管理、符合性。 　　2.2、企業(yè)技術(shù)類評(píng)估 　　基于資產(chǎn)等級(jí)的分類，通過對(duì)信息設(shè)備進(jìn)行的掃描、設(shè)備的配置，檢查分析現(xiàn)有網(wǎng)絡(luò) 設(shè)備、服務(wù)器系統(tǒng)、終端、網(wǎng)絡(luò)架構(gòu)的現(xiàn)狀和存在的弱點(diǎn)，為加固提供依據(jù)。 　　針對(duì)企業(yè)具有代表性的關(guān)鍵應(yīng)用進(jìn)行評(píng)估。關(guān)鍵應(yīng)用的評(píng)估方式采用滲透測(cè)試的方法，在應(yīng)用 評(píng)估中將對(duì)應(yīng)用系統(tǒng)的威脅、弱點(diǎn)進(jìn)行識(shí)別，分析其和應(yīng)用系統(tǒng)的目標(biāo)之間的差距，為后期改造提 供依據(jù)。 　　提到評(píng)估，一定要有方法論。我們以ISO27001為核心，并借鑒國(guó)際常用的幾種評(píng)估模型的優(yōu)點(diǎn) ，同時(shí)結(jié)合企業(yè)自身的特點(diǎn)，建立風(fēng)險(xiǎn)評(píng)估模型： 　　在風(fēng)險(xiǎn)評(píng)估模型中，主要包含信息資產(chǎn)、弱點(diǎn)、威脅和風(fēng)險(xiǎn)四個(gè)要素。每個(gè)要素有各自的屬性，信 息資產(chǎn)的屬性是資產(chǎn)價(jià)值，弱點(diǎn)的屬性是弱點(diǎn)在現(xiàn)有控制措施的保護(hù)下，被威脅利用的可能性以及被威 脅利用后對(duì)資產(chǎn)帶來影響的嚴(yán)重程度，威脅的屬性是威脅發(fā)生的可能性及其危害的嚴(yán)重程度，風(fēng)險(xiǎn)的屬 性是風(fēng)險(xiǎn)級(jí)別的高低。風(fēng)險(xiǎn)評(píng)估采用定性的風(fēng)險(xiǎn)評(píng)估方法，通過分級(jí)別的方式進(jìn)行賦值。 　　3、規(guī)劃體系建設(shè)方案 　　企業(yè)信息問題根源分布在技術(shù)、人員和管理等多個(gè)層面，須統(tǒng)一規(guī)劃并建立企業(yè)信息體系 ，并終落實(shí)到管理措施和技術(shù)措施，才能確保信息。 　　規(guī)劃體系建設(shè)方案是在風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上，對(duì)企業(yè)中存在的風(fēng)險(xiǎn)提出建議，增強(qiáng)系統(tǒng)的安 全性和抗攻擊性。 　　在未來1-2年內(nèi)通過信息體系制的建立與實(shí)施，建立組織，技術(shù)上進(jìn)行審計(jì)、內(nèi)外網(wǎng)隔 離的改造、產(chǎn)品的部署，實(shí)現(xiàn)以流程為導(dǎo)向的轉(zhuǎn)型。在未來的 3-5 年內(nèi)，通過完善的信息體系 和相應(yīng)的物理環(huán)境改造和業(yè)務(wù)連續(xù)性項(xiàng)目的建設(shè)，將企業(yè)建設(shè)成為一個(gè)注重管理，為主，防治結(jié)合 的先進(jìn)型企業(yè)。 　　4、企業(yè)信息體系建設(shè) 　　企業(yè)信息體系建立在信息模型與企業(yè)信息化的基礎(chǔ)上，建立信息管理體系核心可以更 好的發(fā)揮六方面的能力：即預(yù)警(Warn)、保護(hù)(Protect)、檢測(cè)(Detect)、反應(yīng)(Response)、恢復(fù) (Recover)和反擊(Counter-attack)，體系應(yīng)該兼顧攘外和安內(nèi)的功能。 　　體系的建設(shè)一是涉及管理制度建設(shè)完善;二是涉及到信息技術(shù)。首先，針對(duì)管理制 度涉及的主要內(nèi)容包括企業(yè)信息系統(tǒng)的總體方針、技術(shù)策略和管理策略等?？傮w方針 涉及組織機(jī)構(gòu)、管理制度、人員管理、運(yùn)行維護(hù)等方面的制度。技術(shù)策略涉 及信息域的劃分、業(yè)務(wù)應(yīng)用的等級(jí)、保護(hù)思路、說以及進(jìn)一步的統(tǒng)一管理、系統(tǒng)分級(jí)、網(wǎng)絡(luò)互 聯(lián)、容災(zāi)備份、集中監(jiān)控等方面的要求。 　　其次，信息技術(shù)按其所在的信息系統(tǒng)層次可劃分為物理技術(shù)、網(wǎng)絡(luò)技術(shù)、系統(tǒng)技 術(shù)、應(yīng)用技術(shù)，以及基礎(chǔ)設(shè)施平臺(tái);同時(shí)按照技術(shù)所提供的功能又可劃分為保護(hù)類、檢 測(cè)跟蹤類和響應(yīng)恢復(fù)類三大類技術(shù)。結(jié)合主流的技術(shù)以及未來信息系統(tǒng)發(fā)展的要求，規(guī)劃信息 技術(shù)包括：

齊ISO50001認(rèn)證信息交流? ISO50001認(rèn)證信息交流包括內(nèi)部溝通與外部溝通，企業(yè)應(yīng)根據(jù)不同的溝通對(duì)象采取不同的溝通方式，保障信息傳遞的順利、暢通。 一、信息交流的內(nèi)容 內(nèi)部交流的信息主要包括：各部門的職能； 管理者和管理層的節(jié)能決策；能源管理手冊(cè)、程序文件及作業(yè)指導(dǎo)書；適用的法律法規(guī)、政策標(biāo)準(zhǔn)及其他要求；能源方針、能源目標(biāo)指標(biāo)實(shí)現(xiàn)情況；能源基準(zhǔn)、能源績(jī)效參數(shù)；識(shí)別評(píng)價(jià)出的能源使用及主要能源使用；節(jié)能技術(shù)或管理經(jīng)驗(yàn)；對(duì)影響能源績(jī)效的關(guān)鍵特性定期監(jiān)視、測(cè)量和分析的結(jié)果；能源管理實(shí)施方案的實(shí)施情況及效果；能源評(píng)審、內(nèi)部審核、管理評(píng)審及外部評(píng)價(jià)的結(jié)果；不符合及糾正措施；體系運(yùn)行的信息，如生產(chǎn)運(yùn)行調(diào)度信息、能源績(jī)效參數(shù)及時(shí)反饋信息。 外部交流的信息主要包括：企業(yè)的概況；企業(yè)能源管理手冊(cè)、能源方針、能源目標(biāo)指標(biāo)；法律法規(guī)、政策標(biāo)準(zhǔn)和其他要求的更新；節(jié)能主管部門及有關(guān)部門對(duì)能源利用的要求及發(fā)布的政策，如節(jié)能監(jiān)察機(jī)構(gòu)出具的節(jié)能監(jiān)察報(bào)告；外部機(jī)構(gòu)對(duì)于企業(yè)能源利用效率的反饋，如能源利用檢測(cè)報(bào)告、能源審計(jì)報(bào)告、熱工測(cè)試報(bào)告等；與產(chǎn)品、能源利用有關(guān)的信息；能源基準(zhǔn)、能源標(biāo)桿的信息；與企業(yè)能源績(jī)效有關(guān)的信息，包括發(fā)展趨勢(shì)；可供采用的改進(jìn)能源績(jī)效的信息；財(cái)務(wù)信息，如成本節(jié)約或能源項(xiàng)目投資；成熟先進(jìn)的管理方法和節(jié)能技術(shù)；其它需要與外部溝通的信息。 二、信息交流的方式 1.內(nèi)部交流的方式 如運(yùn)行調(diào)度指揮系統(tǒng)、文件、會(huì)議紀(jì)要、公告欄、意見箱、網(wǎng)站、電子郵件、日常生產(chǎn)高度會(huì)議、內(nèi)部談話、ERP辦公系統(tǒng)等。 2.外部交流的方式 三、信息交流的原則 1.準(zhǔn)確原則 2.及時(shí)原則 3.優(yōu)先原則 四、建立信息交流機(jī)制 應(yīng)做好以下幾個(gè)方面的工作： 1.明確部門和職責(zé) 2.確定方式和內(nèi)容 3.制定制度和措施

ISO10012認(rèn)證計(jì)量確認(rèn)和測(cè)量過程的實(shí)現(xiàn) ISO10012要求應(yīng)設(shè)計(jì)并實(shí)施計(jì)量確認(rèn)，以確保測(cè)量設(shè)備的計(jì)量特性滿足測(cè)量過程的計(jì)量要求。 ISO10012計(jì)量確認(rèn)包括測(cè)量設(shè)備校準(zhǔn)和測(cè)量設(shè)備驗(yàn)證。 測(cè)量設(shè)備的操作者應(yīng)得到與測(cè)量設(shè)備計(jì)量確認(rèn)狀態(tài)有關(guān)的信息，包括所有限制和特殊要求。 用于確定或改變計(jì)量確認(rèn)間隔的方法應(yīng)用程序文件表述。計(jì)量確認(rèn)間隔應(yīng)經(jīng)評(píng)審， 每次對(duì)不合格的測(cè)量設(shè)備進(jìn)行維修、調(diào)整或修改時(shí)，應(yīng)評(píng)審其計(jì)量確認(rèn)間隔。 在經(jīng)確認(rèn)的測(cè)量設(shè)備上，對(duì)影響其性能的調(diào)整裝置進(jìn)行封印或采取其它保護(hù)措施，以防止未經(jīng)授權(quán)的改變。 封印或保護(hù)裝置的設(shè)計(jì)和實(shí)施應(yīng)保證一旦改變將會(huì)被發(fā)現(xiàn)。 計(jì)量確認(rèn)過程程序應(yīng)包括當(dāng)封印或保護(hù)裝置被發(fā)現(xiàn)損壞、破損、轉(zhuǎn)移或丟失時(shí)應(yīng)采取的措施。 適用時(shí)，計(jì)量確認(rèn)過程的記錄應(yīng)注明日期并由授權(quán)人審查批準(zhǔn)以證明結(jié)果的正確性。 應(yīng)保持并可獲得這些記錄。 指南 記錄短的保存時(shí)間決定于許多因素，包括顧客的要求，法律法規(guī)要求和制造者的責(zé)任。有關(guān)測(cè)量標(biāo)準(zhǔn)的記錄可能需要 保存。 計(jì)量確認(rèn)過程記錄應(yīng)證明每臺(tái)測(cè)量設(shè)備是否滿足規(guī)定的計(jì)量要求。 需要時(shí)，記錄應(yīng)包括： a). 設(shè)備制造者的表述和 性標(biāo)識(shí)、型號(hào)、系列號(hào)等； b). 完成計(jì)量確認(rèn)的日期； c). 計(jì)量確認(rèn)結(jié)果； d). 規(guī)定的計(jì)量確認(rèn)間隔； e). 計(jì)量確認(rèn)程序的標(biāo)識(shí)（見6.2.1）； f). 規(guī)定的 允許誤差； g). 相關(guān)的環(huán)境條件和必要的修正說明； h). 設(shè)備校準(zhǔn)引入的測(cè)量不確定度； i). 維護(hù)的詳細(xì)情況，如調(diào)整、維修和修改等； j). 使用限制； k). 執(zhí)行計(jì)量確認(rèn)的人員標(biāo)識(shí)； l). 對(duì)信息記錄正確性負(fù)責(zé)的人員標(biāo)識(shí)； m). 校準(zhǔn)和報(bào)告以及其它相關(guān)文件的 性標(biāo)識(shí)（如編號(hào)）； n). 校準(zhǔn)結(jié)果的溯源性的證據(jù)； o). 預(yù)期使用的計(jì)量要求； p). 調(diào)整、修改或維修后的校準(zhǔn)結(jié)果以及要求時(shí)的調(diào)整、修改或維修前的校準(zhǔn)結(jié)果。 計(jì)量職能應(yīng)確保只有經(jīng)授權(quán)的人員才允許形成、修改、出具和刪除記錄。 應(yīng)對(duì)作為測(cè)量管理體系組成部分的測(cè)量過程進(jìn)行策劃、確認(rèn)、實(shí)施、形成文件和加以控制。應(yīng)識(shí)別和考慮影響測(cè)量過程的影響量。 每一個(gè)測(cè)量過程的完整規(guī)范應(yīng)包括所有有關(guān)設(shè)備的標(biāo)識(shí)、測(cè)量程序、測(cè)量軟件、使用條件、操作者能力和影響測(cè)量結(jié)果可靠性的其他因素。測(cè)量過程控制應(yīng)根據(jù)形成文件的程序進(jìn)行。 應(yīng)根據(jù)顧客、組織和法律法規(guī)的要求確定計(jì)量要求。為了滿足這些規(guī)定要求而設(shè)計(jì)的測(cè)量過程應(yīng)形成文件，并確認(rèn)有效，必要時(shí)，征得顧客同意。 對(duì)每一測(cè)量過程，應(yīng)識(shí)別有關(guān)的過程要素和控制。要素和控制限的選擇要與不符合規(guī)定的要求時(shí)引起的風(fēng)險(xiǎn)相稱。這些過程要素和控制應(yīng)包括操作者、設(shè)備、環(huán)境條件、影響量和應(yīng)用方法的影響。 測(cè)量過程應(yīng)在設(shè)計(jì)的受控條件下實(shí)現(xiàn)，以滿足計(jì)量要求。 受控條件應(yīng)包括： a) 使用經(jīng)確認(rèn)的設(shè)備， b) 應(yīng)用經(jīng)確認(rèn)有效的測(cè)量程序， c) 可獲得所要求的信息資源， d) 保持所要求的環(huán)境條件， e) 使用具備能力的人員， f) 合適的結(jié)果報(bào)告方式， g) 按規(guī)定實(shí)施監(jiān)視。