ISO27000認(rèn)證信息風(fēng)險評估FAQ 深圳ISO27000認(rèn)證為什么要進(jìn)行信息風(fēng)險評估？ 　　通過風(fēng)險評估，你可以知道組織范圍內(nèi)存在哪些重要的信息資產(chǎn)、信息處理設(shè)施及其面臨的威脅，發(fā)現(xiàn)技術(shù)和管理上的脆弱點(diǎn)，綜合評估現(xiàn)有綜合資產(chǎn)的風(fēng)險狀況。 什么是信息風(fēng)險評估？ 　　風(fēng)險評估：對信息及信息載體、應(yīng)用環(huán)境等各方面風(fēng)險進(jìn)行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認(rèn)風(fēng)險及其大小的過程。 　　風(fēng)險評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎(chǔ)上做決策服務(wù)；風(fēng)險控制措施為組織實(shí)施信息的改進(jìn)提供指導(dǎo)。 信息風(fēng)險評估的實(shí)施的主體是什么？ 　　風(fēng)險評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進(jìn)行的風(fēng)險評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務(wù)主管發(fā)起的，旨在依據(jù)已經(jīng)頒布的法規(guī)或標(biāo)準(zhǔn)進(jìn)行的，具有強(qiáng)制意味的檢查活動，是通過行政手段加強(qiáng)信息的重要措施。 　　檢查評估應(yīng)該是具有一定資質(zhì)的風(fēng)險評估服務(wù)機(jī)構(gòu)實(shí)施的。自評估可以在信息風(fēng)險評估服務(wù)機(jī)構(gòu)的咨詢、服務(wù)、培訓(xùn)下，由系統(tǒng)所有者和評估服務(wù)機(jī)構(gòu)共同完成。 信息風(fēng)險評估的政策依據(jù)及標(biāo)準(zhǔn)依據(jù)？ 　　 信息化領(lǐng)導(dǎo)小組《關(guān)于加強(qiáng)信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風(fēng)險評估作為一項重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務(wù)、電力三個行業(yè)進(jìn)行試點(diǎn)，根據(jù)試點(diǎn)經(jīng)驗(yàn)，各省市建立信息風(fēng)險評估管理制度。 　　 國信辦標(biāo)準(zhǔn)草案《信息風(fēng)險評估指南》、《信息風(fēng)險管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風(fēng)險評估包括哪幾個主要實(shí)施階段？ 　　風(fēng)險評估可以分為資產(chǎn)識別、重要資產(chǎn)賦值、威脅分析、脆弱性識別、風(fēng)險計算、風(fēng)險控制措施提出等實(shí)施階段。 信息風(fēng)險評估的主要內(nèi)容及方法？ 　　信息風(fēng)險評估的實(shí)施主要有以下內(nèi)容： 　　 （1）資產(chǎn)識別 　　 （2）資產(chǎn)的屬性賦值及權(quán)重計算 　　 （3）威脅分析 　　 （4）薄弱點(diǎn)分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風(fēng)險計算 　　 （7）風(fēng)險處理計劃制定 　　 風(fēng)險評估是一項綜合的系統(tǒng)工程，既涉及到技術(shù)，又涉及到管理。風(fēng)險評估過程中既需要采用技術(shù)的檢測手段，又需要進(jìn)行綜合的歸納、總結(jié)和分析方法。 　　 風(fēng)險評估中資產(chǎn)價值的判斷、威脅判斷、事件造成影響的判斷標(biāo)準(zhǔn)都需要根據(jù)被評估實(shí)際情況，與被評估方共同確定。 信息風(fēng)險評估是否會影響系統(tǒng)的業(yè)務(wù)正常運(yùn)行？ 　　除針對服務(wù)器的漏洞掃描、診斷及滲透性測試外，風(fēng)險評估不會對系統(tǒng)的業(yè)務(wù)運(yùn)行造成影響。即使是滲透性測試，也僅僅是為了驗(yàn)證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關(guān)鍵程序/進(jìn)程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細(xì)的滲透測試方案與用戶交流，包括滲透測試對象、測試強(qiáng)度、可能后果、提前備份等要求，并經(jīng)用戶認(rèn)可后方能實(shí)施。 信息風(fēng)險評估的結(jié)果形式是什么？ 　　信息風(fēng)險評估在評估過程中將生成一系列的風(fēng)險評估操作記錄，包括：重要資產(chǎn)列表、脆弱性匯總表、資產(chǎn)威脅識別表、資產(chǎn)威脅風(fēng)險系數(shù)表、信息資產(chǎn)綜合風(fēng)險值表等， 將生成三份評估結(jié)果： 　　 脆弱性評估報告：以資產(chǎn)為核心，描述該資產(chǎn)存在的薄弱點(diǎn)。 　　 風(fēng)險評估報告：反映了風(fēng)險評估整個過程、方法、內(nèi)容及風(fēng)險結(jié)果。 　　 風(fēng)險處理計劃：針對識別的風(fēng)險，提出具體的控制目標(biāo)和控制措施。 信息風(fēng)險評估的周期有多長　 　　信息風(fēng)險評估沒有確定的時間周期，一般兩年一次進(jìn)行定期的評估，但當(dāng)組織新增信息資產(chǎn)、系統(tǒng)發(fā)生重大變更、業(yè)務(wù)流程發(fā)生重大變化、發(fā)生嚴(yán)重信息事故等情況下應(yīng)進(jìn)行風(fēng)險評估。 　　 此外，對系統(tǒng)規(guī)劃、擴(kuò)建時也需要進(jìn)行風(fēng)險評估，為需求、策略的制定提供依據(jù)。 信息風(fēng)險評估的收費(fèi)標(biāo)準(zhǔn)　 　　根據(jù)評估對象的不同而不同。風(fēng)險評估的對象可以是：單個獨(dú)立的信息系統(tǒng)、支持組織業(yè)務(wù)的整體信息處理環(huán)境、整個組織范圍。信息風(fēng)險評估的費(fèi)用主要依據(jù)以下幾個方面進(jìn)行核算： 　　 網(wǎng)絡(luò)規(guī)模 　　 聯(lián)網(wǎng)單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設(shè)備的多少 　　 被評估的組織范圍大小

iso9001:2015認(rèn)證制造過程的質(zhì)量控制 東莞iso9001:2015認(rèn)證通過過程方法審核，對過程質(zhì)量控制的內(nèi)容包括以下幾個方面： 1、原材料和外購件的質(zhì)量控制 原材料質(zhì)量是影響產(chǎn)品質(zhì)量的重要因素之一，企業(yè)應(yīng)做到不合格的原材料不許入庫，禁止發(fā)生混料和錯料的事件。例如在基礎(chǔ)地理信息工程中要嚴(yán)把原始數(shù)據(jù)、原始圖紙的關(guān)，不規(guī)范的數(shù)據(jù)和圖紙不能接受。要從根本上保證原材料和外購件的質(zhì)量，有效的方法是對供方的質(zhì)量保證體系進(jìn)行質(zhì)量評審和質(zhì)量監(jiān)督。 2、嚴(yán)肅工藝紀(jì)律 企業(yè)要嚴(yán)格要求操作者忠實(shí)執(zhí)行工藝規(guī)程，并在關(guān)鍵工序設(shè)立質(zhì)量控制點(diǎn)，有重點(diǎn)地控制工序質(zhì)量。 3、驗(yàn)證工序能力 即驗(yàn)證工序是否能穩(wěn)定地加工出符合要求的產(chǎn)品。通過試生產(chǎn)，邊加工、邊檢驗(yàn)、邊調(diào)試，保證工序具有生產(chǎn)合格產(chǎn)品的能力。 4、工序檢驗(yàn) 在生產(chǎn)過程中，操作者應(yīng)牢固樹立"一切為了用戶"、"下一道工序就是用戶"的觀念，要做到這一點(diǎn)，必須對每一道工序出產(chǎn)的制品進(jìn)行質(zhì)量檢驗(yàn)。檢驗(yàn)的方法包括操作者自檢、自動化檢驗(yàn)、工序巡回檢驗(yàn)、終檢驗(yàn)。同時，工序檢驗(yàn)要做到自檢、互檢、專檢三結(jié)合。 5、驗(yàn)證狀態(tài)的控制和不合格品處理 驗(yàn)證狀態(tài)有三種：合格狀態(tài)、不合格狀態(tài)和待檢驗(yàn)狀態(tài)。對各狀態(tài)應(yīng)做好明顯標(biāo)記，以防混淆。 對不合格品的處理，一定要慎重，處理不妥，可能給企業(yè)帶來無法挽回的損失。如廣州某大企業(yè)生產(chǎn)了一批次品，當(dāng)時的廠長采納了部分人"降價處理"的建議，以減少損失。結(jié)果不到三個月，一個名聲顯赫的大企業(yè)迅速陷入銷售的困境，由于產(chǎn)品牌子倒地，企業(yè)陷入困境。 6、檢驗(yàn)設(shè)備的控制 沒有先進(jìn)的檢驗(yàn)設(shè)備，就不可能有高質(zhì)量的產(chǎn)品，

1. 現(xiàn)場和所有相關(guān)外部支持場所的員工數(shù)量； 2. 企業(yè)質(zhì)量管理體系文件資料，包括符合IATF 16949要求的證據(jù)，并顯示與任何外部支持功能、云南昆明附近外程的聯(lián)系和接口； 3. 自上次審核以來的顧客和內(nèi)部績效數(shù)據(jù)； 4. 自上次審核以來的顧客滿意度和投訴總結(jié)，包括近的顧客報告、云南昆明附近記分卡副本； 5. 自上次審核以來任何顧客特殊狀態(tài)的標(biāo)識； 6. 自上次審核以來內(nèi)部審核和管理評審結(jié)果。 以上情況主要針對監(jiān)督審核、云南昆明附近再審核等等。 如果是初次認(rèn)證第1階段審核，則需要如下內(nèi)容： 1. 提供外部場所和支持的描述； 2. 對顯示順序和相互作用的過程的描述，包括確認(rèn)外部支持功能和外程； 3. 至少前12個月的關(guān)鍵指標(biāo)和績效趨勢； 4. 客戶過程已經(jīng)滿足IATF 16949全部要求的證據(jù)； 5. 質(zhì)量手冊，包括與現(xiàn)場或外部支持功能的相互作用； 6. 已經(jīng)按照IATF 16949進(jìn)行了一個完整的內(nèi)部審核周期及隨后的管理評審的證據(jù)； 7. 合格內(nèi)部審核員名單以及資質(zhì)確認(rèn)準(zhǔn)則； 8. 如果適用，汽車顧客名單及其顧客特定要求； 9. 如果適用， 顧客投訴總結(jié)、云南昆明附近響應(yīng)、云南昆明附近記分卡和特殊狀況。