广东凤山街道雨林联盟认证公司 不严

ISO27000认证信息风险评估FAQ 深圳ISO27000认证为什么要进行信息风险评估？ 　　通过风险评估，你可以知道组织范围内存在哪些重要的信息资产、信息处理设施及其面临的威胁，发现技术和管理上的脆弱点，综合评估现有综合资产的风险状况。 什么是信息风险评估？ 　　风险评估：对信息及信息载体、应用环境等各方面风险进行辨识和分析的过程，是对威胁、影响、脆弱性及三者发生的可能性的评估。它是确认风险及其大小的过程。 　　风险评估为管理层确定具体的策略，以及在“成本-效益”平衡基础上做决策服务；风险控制措施为组织实施信息的改进提供指导。 信息风险评估的实施的主体是什么？ 　　风险评估可分为自评估和检查评估两大类。自评估是由被评估信息系统的拥有者依靠自身的力量，对其自身的信息系统进行的风险评估活动。检查评估则通常是被评估信息系统的拥有者的上级主管或业务主管发起的，旨在依据已经颁布的法规或标准进行的，具有强制意味的检查活动，是通过行政手段加强信息的重要措施。 　　检查评估应该是具有一定资质的风险评估服务机构实施的。自评估可以在信息风险评估服务机构的咨询、服务、培训下，由系统所有者和评估服务机构共同完成。 信息风险评估的政策依据及标准依据？ 　　 信息化领导小组《关于加强信息保障工作的意见》(中办发[2003]27号文件)将信息风险评估作为一项重要的举措。国信办2005年5号文率先在北京、上海、黑龙江、云南等地，以及银行、税务、电力三个行业进行试点，根据试点经验，各省市建立信息风险评估管理制度。 　　 国信办标准草案《信息风险评估指南》、《信息风险管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息风险评估包括哪几个主要实施阶段？ 　　风险评估可以分为资产识别、重要资产赋值、威胁分析、脆弱性识别、风险计算、风险控制措施提出等实施阶段。 信息风险评估的主要内容及方法？ 　　信息风险评估的实施主要有以下内容： 　　 （1）资产识别 　　 （2）资产的属性赋值及权重计算 　　 （3）威胁分析 　　 （4）薄弱点分析 　　 （5）威胁发生可能性及影响分析 　　 （6）风险计算 　　 （7）风险处理计划制定 　　 风险评估是一项综合的系统工程，既涉及到技术，又涉及到管理。风险评估过程中既需要采用技术的检测手段，又需要进行综合的归纳、总结和分析方法。 　　 风险评估中资产价值的判断、威胁判断、事件造成影响的判断标准都需要根据被评估实际情况，与被评估方共同确定。 信息风险评估是否会影响系统的业务正常运行？ 　　除针对服务器的漏洞扫描、诊断及渗透性测试外，风险评估不会对系统的业务运行造成影响。即使是渗透性测试，也仅仅是为了验证漏洞存在给系统可能造成的后果（如文件窃取、控制修改关键程序/进程等），而不是以破坏系统为目的。评估人员在执行渗透性测试前，会将详细的渗透测试方案与用户交流，包括渗透测试对象、测试强度、可能后果、提前备份等要求，并经用户认可后方能实施。 信息风险评估的结果形式是什么？ 　　信息风险评估在评估过程中将生成一系列的风险评估操作记录，包括：重要资产列表、脆弱性汇总表、资产威胁识别表、资产威胁风险系数表、信息资产综合风险值表等， 将生成三份评估结果： 　　 脆弱性评估报告：以资产为核心，描述该资产存在的薄弱点。 　　 风险评估报告：反映了风险评估整个过程、方法、内容及风险结果。 　　 风险处理计划：针对识别的风险，提出具体的控制目标和控制措施。 信息风险评估的周期有多长　 　　信息风险评估没有确定的时间周期，一般两年一次进行定期的评估，但当组织新增信息资产、系统发生重大变更、业务流程发生重大变化、发生严重信息事故等情况下应进行风险评估。 　　 此外，对系统规划、扩建时也需要进行风险评估，为需求、策略的制定提供依据。 信息风险评估的收费标准　 　　根据评估对象的不同而不同。风险评估的对象可以是：单个独立的信息系统、支持组织业务的整体信息处理环境、整个组织范围。信息风险评估的费用主要依据以下几个方面进行核算： 　　 网络规模 　　 联网单位或客户端抽样比例 　　 被评估系统的多少 　　 被评估信息设备的多少 　　 被评估的组织范围大小

襄阳（十堰）GJB9001C认证对需要证实性能，而又无法完整、有效或经济地实施产品检验的过程进行识别，并对这些过程进行确认。例如焊接、粘接、硫化、热处理、表面涂覆等。这些过程应以成文信息明确。确认过程能力通常是考核人、机、料、法、环、测等相关因素的影响。确认的范围应覆盖产品实现的相关过程以及与该过程有关的相关产品。确认的时机应在过程正式用于产品和服务提供的过程实施运行前进行，即先进行"确认"，后用于产品和服务提供的"实施"。组织应在规定的时间间隔或过程条件发生变化时实施再确认。 襄阳（十堰）GJB9001C认证通常情况下确认活动按以下要求实施∶ 1）明确确认过程的范围，考虑覆盖产品实现的相关过程以及与该过程有关的相关产品； 2）预先规定需确认的具体项目、内容、拟获得的结果（质量特性）验证方法、合格判定准则以及审查和批准的程序； 3）进行设备认可和人员资格鉴定。应规定确认过程所需生产设备、监视和测量设备的能力（精度和鉴定状态等）要求，按照规定的能力要求对拟使用的生产、监视和测量设备的能力进行认可，包括对设备的精度和状态进行认可;对过程参与人员的资格，包括教育、培训、技能和经验等提出要求，并确认其资格能满足该过程的作业要求； 4）规定过程的方法和程序，如过程参数、工作环境、操作程序等； 5）按以上策划的要求实施确认，验证过程输出结果，证明其符合接收准则； 6）经评审和批准后，将相关内容纳入工艺规程或作业指导书，作为特殊过程的控制要求，这些控制要求应与确认时的方法和程序相一致； 7）为了证实对确认过程的控制，应记录确认过程的有关人员、设备、过程参数、检验试验结果、评审和审批等确认时的信息。 （7）识别易产生"错忘漏"的薄弱环节，制定防止人为错误的措施。包括操作技能培训、防错技术及措施的利用、设置报警装置、采用自动控制等。还包括纠正人为错误后的技术总结和举一反三等措施。 （8）实施放行、交付、交付后活动的控制。按本标准8.2.2条款的要求和8.1运行策划的安排对产品放行、交付、交付后的活动实施控制，具体活动参照8.6和8.5.5条款要求实施。应依据策划的安排实施控制，如应明确放行（工序间的转序）的约束条件、交付（指交付给顾客）的约束条件（如组织完成了规定的检验和试验并确认符合接收准则后方可交付产品和服务），确保向顾客交付的产品经检验（试验）符合验收标准。按规定（合同、技术协议、承诺）的要求开展交付后活动。 （9）控制数字化制造过程。确定数字化制造所需的应用技术，提出相应的控制要求，规范信息格式、数据接口、电子签名、版本控制等。 （10）控制生产所需的原材料和其他辅助材料。应按8.3.5 设计和开发输出给出的采购的适当信息，对原辅材料进行控制。原辅材料应经进货检验且有合格证明文件并符合使用条件。 （11）控制用于生产过程的计算机软件。如数控加工、整机操控、调校用的程序，在正式用于生产和服务提供前进行确认，并履行批准手续。确认可通过样件试加工的方法验证等能够证实软件能力满足策划要求的适当方式进行。也包括生产和服务使用的计算机软件，应关注条款k）与条款i）之间的关联，采取相适应的措施控制数字化制造过程中说使用的计算机软件。 （12）控制温度、湿度、清洁度、静电防护等重点环境。当产品特性形成的过程受环境条件影响时，应根据产品特性需要实施相关工作环境参数的控制，在相应的过程文件中做出明确的规定，并保持监视、测量、控制和改进措施的记录。还应综合考虑物理、化学、社会等多种因素所构成的其他环境影响。 （13）识别并控制多余物。对多余物的控制做出规定，多余物控制环节包括对相关现场、过程的排查、清理和防护。在生产和服务提供过程中，应识别需要控制多余物的场所和过程（包括软件产品）。 （14）规定技艺评定准则。确定技艺评定准则的需求，采取适当方式规定技艺评定准则，如文字描述、图样、标准;或者样件、样板;或图示、喷漆用的色板、弯管用的样件等。需要时，按测量设备的要求实施管理。 （15）实施首件自检和专检。按策划要求开展首件自检和专检。自检和专检通常不使用同一件测量设备进行检验，保留实测信息，并对首件做出易于识别的标记，如对首件隔离摆放、涂色、使用标牌等。不宜实行首件自检、专检的产品，组织必须制定具体的、行之有效的替代控制方法。 （16）控制器材代用。规定器材代用的方法和程序，完善申请、审查和批准手续。代用单的管理应符合组织策划的要求，便于追溯。影响产品功能特性和物理特性的器材代用，应征得顾客同意，并纳入技术状态管理（控制）。对本条款的应用应与 8.5.6 协调一致。

IATF16949+ISO14001整合一化体系认证的好处？ IATF16949 (汽车 供应链 品质标准，QMS与 ISO 14001 ( 环境管理体系 标准，EMS) 与) 已渐渐成为供货商需要符合的两大主要标准，不少汽车制造商及主要的 线供应商，如福特、戴姆勒克莱斯勒和Visteon， 均已将环境管理体系 要求加进他们的客户特定要求之中。 究竟这两套标准有没有重叠的地方呢？如有的话，又是否可以将他们共通的部分组合为一个体系，而不是分别推行两个独立的体系去处理环境管理和品质管理 呢？ 其实，只要通过策略性的规划和协调，加上适当的组织架构，机构是可以把 品质管理 体系和 环境管理体系 组合，从而资源利用效率。本文会就ISO 14001:2004和IATF16949:2016的主要共通处进行分析，同时找到推行综合管理体系共同处的机会。 到底在什么地方可以找到 综合管理体系 的机会？其实几乎在所有的重要条文中都能找到两个体系标准的共通处。这里通过比较ISO 14001:2004和IATF6949:2016的相关条文，举例了主要的可组合领域。 文件管理TIATF16949的4.2.3条和ISO 14001的4.4.4.c条 两套标准均要求要有体系来管理所有用来阐明政策、程序和方法的文件，而TS 的要求已完全将ISO 14001的要求包含在内，即在TS的体系内推行ISO 14001文件管理，也会符合ISO 14001的要求。 要注意的地方，是核准这两套文件的负责人或许会不相同，但两套标准都允许机构自行决定核准人。对核准 质量管理 体统和环境管理体系文件并不要求一定是同一个人。 记录管理TIATF16949的4.2.4.1条和ISO 14001的4.5.4条 两套标准都要求将记录标识和保存。虽然两套体系的记录显然会不同，但却可共享一套方法和程序去阐明如何推行记录管理。 信息传递 IATF16949的5.1 及5.5.3条和ISO 14001的4.4.3条 两者也强调将客户要求、法规要求、品质政策和环境政策在内部和外部进行有效的沟通。其实只要通过协调，便可利用相同的渠道或媒体，将环境及品质管理 体系的信息传送出去。现实情况是，对普通的公司来讲，可用的沟通渠道就只有有限的几种。很多公司试着通过管理评审、创办公司刊物、小组会议等方式来贯彻标准中对信息传递的要求。但经常会出现一种无序状态，如明明一份刊物已经足够传递信息，还会有第二份刊物的出台。 目的、目标、方案、监察及测量IATF16949的5.1.1、5.4.1条和ISO 14001的4.4.3及4.5.1条 监控及测量品质管理体系和环境管理体系运作绩效的指标虽有分别，但也可共享一套体系及流程将绩效信息向 管理层和其它有关人士或组织汇报。 规划IATF16949的5.4.2条和ISO 14001的4.3条 品质管理体系和环境管理体系的目的，都是将会对机构造成影响的挑战识别出来；同时妥善处理任何体系上的变动，使另一体系不致受影响。如设立综合管理体系，评估及推行变动时便可同时考虑到对品质管理体系和环境管理体系的潜在影响。 管理评审IATF16949的5.6.1条和ISO 14001的4.6条 两套标准都确定了介定管理评审流程输入及输出的资料的必要性。虽然输入及输出的资料会有不同，但方法却基本上没有分别。此外，若把两个独立的管理评审组合为一，而评审报告也包含对品质管理体系和环境管理体系的成效评估，便可协助企业同时符合营运目的和客户的要求。 能力、培训及意识 TS 16949的6.2.2条和ISO 14001的4.4.2条 两套标准都提出了对员工能力的要求，都希望有受过培训的人员来胜任各自的工作要求。尽管两套标准的条款文字表述有所不同，但定义资格认定和胜任要求、确保能力、评估有效性和持续培训等方面所采用的方法，实质都是相同的。 内部审核TS 16949的8.2.2条和ISO 14001的4.5.5条 对两套体系用同样的内部审核体系进行审核是组合体系中省时有效的领域之一。 虽然内部审核员的要求资格有分别，但内部审核的目的却相同，所以只要在流程中找出TS 和ISO 14001的共通要求，便可共享一个内部审核体系，也只需执行一次内部审核，便能同时符合两套标准的要求，主要可从如下几大问题着手： 这个过程的目的，目标，对象是什么？实现这些目的应该如何做？ 谁是客户、相关方和政府机构？他们的要求是什么？ 有没有和这个过程相关的环境要素、影响和程序？ 你在这个过程中的角色、职责是什么？ 如何测量、监控和跟踪这个过程？ 你曾经接受过哪些培训？你清楚的了解这些要求吗？遇到环境相关的突发事件是怎么处理的？ 这个过程是否有相关的文件和记录要求？ 建议改进的过程是什么？你是否有参与到这个过程中？ 方针是什么？为完成方针，做了什么？ 是如何汇报或记录产品和环境的不符合项的？ TS 16949对环境方面的相关要求 除了以上可以在两套体系中找到对应的条文进行组合之外，ISO/TS 16949:2002的部分条文也涵盖了环境管理体系的要求在内： 6.4.1条 组织必须考虑产品和员工潜在风险小化的方法，特别是在设计和开发过程和制造过程的活动中。 7.2.1(C)条 注2和3说明了在循环、考虑环境影响、政府、和环境适用于材料的获得、存储、搬运 、和处理。 7.3.2.1条 考虑在车辆报废等方面的环境问题，组织必须对产品设计输入要求进行识别、形成文件并进行评审。在环境管理体系相关条款中的顾客特殊要求，和ISO 14001 4.3.2条的"其他"要求一致，而用"其他"要求评估符合性与ISO 14001中的4.5.2条一致。 7.3.2.2条 这一条包含了环境管理在制造过程设计活动需要考虑的方面。 7.4.1.1条 这一条要求所有采购的产品或材料，均必须满足使用的法规要求，在ISO 14001的第4.4.6(C)条有所提及。当与供方存在合并、兼并或从属关系时，组织应该验证供方质量管理 体系的延续性和有效性。 效率节约成本 由此可见，把品质管理体系和环境管理体系组合起来的机会可说是很多；至于能否成功推行，关键却在于组织的管理架构和汇报体系。很多组织认为环境管理体系的功能促使组织实践符合法律、法规的承诺；而品质管理体系则针对客户产品和机构的运作，所以故意让品质管理体系和环境管理体系独立运作。 但退一步看，品质管理体系和环境管理体系却是互有关连、互相影响的，如果将它们组合起来，便可用一个宏观的方法来作决策，所作的决定亦能同时符合不同层面的要求，包括环境管理、品质管理、机构目标和客户要求等