ISO27000認證信息風險評估FAQ 深圳ISO27000認證為什么要進行信息風險評估？ 　　通過風險評估，你可以知道組織范圍內(nèi)存在哪些重要的信息資產(chǎn)、信息處理設(shè)施及其面臨的威脅，發(fā)現(xiàn)技術(shù)和管理上的脆弱點，綜合評估現(xiàn)有綜合資產(chǎn)的風險狀況。 什么是信息風險評估？ 　　風險評估：對信息及信息載體、應(yīng)用環(huán)境等各方面風險進行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認風險及其大小的過程。 　　風險評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎(chǔ)上做決策服務(wù)；風險控制措施為組織實施信息的改進提供指導(dǎo)。 信息風險評估的實施的主體是什么？ 　　風險評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進行的風險評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務(wù)主管發(fā)起的，旨在依據(jù)已經(jīng)頒布的法規(guī)或標準進行的，具有強制意味的檢查活動，是通過行政手段加強信息的重要措施。 　　檢查評估應(yīng)該是具有一定資質(zhì)的風險評估服務(wù)機構(gòu)實施的。自評估可以在信息風險評估服務(wù)機構(gòu)的咨詢、服務(wù)、培訓(xùn)下，由系統(tǒng)所有者和評估服務(wù)機構(gòu)共同完成。 信息風險評估的政策依據(jù)及標準依據(jù)？ 　　 信息化領(lǐng)導(dǎo)小組《關(guān)于加強信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風險評估作為一項重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務(wù)、電力三個行業(yè)進行試點，根據(jù)試點經(jīng)驗，各省市建立信息風險評估管理制度。 　　 國信辦標準草案《信息風險評估指南》、《信息風險管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風險評估包括哪幾個主要實施階段？ 　　風險評估可以分為資產(chǎn)識別、重要資產(chǎn)賦值、威脅分析、脆弱性識別、風險計算、風險控制措施提出等實施階段。 信息風險評估的主要內(nèi)容及方法？ 　　信息風險評估的實施主要有以下內(nèi)容： 　　 （1）資產(chǎn)識別 　　 （2）資產(chǎn)的屬性賦值及權(quán)重計算 　　 （3）威脅分析 　　 （4）薄弱點分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風險計算 　　 （7）風險處理計劃制定 　　 風險評估是一項綜合的系統(tǒng)工程，既涉及到技術(shù)，又涉及到管理。風險評估過程中既需要采用技術(shù)的檢測手段，又需要進行綜合的歸納、總結(jié)和分析方法。 　　 風險評估中資產(chǎn)價值的判斷、威脅判斷、事件造成影響的判斷標準都需要根據(jù)被評估實際情況，與被評估方共同確定。 信息風險評估是否會影響系統(tǒng)的業(yè)務(wù)正常運行？ 　　除針對服務(wù)器的漏洞掃描、診斷及滲透性測試外，風險評估不會對系統(tǒng)的業(yè)務(wù)運行造成影響。即使是滲透性測試，也僅僅是為了驗證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關(guān)鍵程序/進程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細的滲透測試方案與用戶交流，包括滲透測試對象、測試強度、可能后果、提前備份等要求，并經(jīng)用戶認可后方能實施。 信息風險評估的結(jié)果形式是什么？ 　　信息風險評估在評估過程中將生成一系列的風險評估操作記錄，包括：重要資產(chǎn)列表、脆弱性匯總表、資產(chǎn)威脅識別表、資產(chǎn)威脅風險系數(shù)表、信息資產(chǎn)綜合風險值表等， 將生成三份評估結(jié)果： 　　 脆弱性評估報告：以資產(chǎn)為核心，描述該資產(chǎn)存在的薄弱點。 　　 風險評估報告：反映了風險評估整個過程、方法、內(nèi)容及風險結(jié)果。 　　 風險處理計劃：針對識別的風險，提出具體的控制目標和控制措施。 信息風險評估的周期有多長　 　　信息風險評估沒有確定的時間周期，一般兩年一次進行定期的評估，但當組織新增信息資產(chǎn)、系統(tǒng)發(fā)生重大變更、業(yè)務(wù)流程發(fā)生重大變化、發(fā)生嚴重信息事故等情況下應(yīng)進行風險評估。 　　 此外，對系統(tǒng)規(guī)劃、擴建時也需要進行風險評估，為需求、策略的制定提供依據(jù)。 信息風險評估的收費標準　 　　根據(jù)評估對象的不同而不同。風險評估的對象可以是：單個獨立的信息系統(tǒng)、支持組織業(yè)務(wù)的整體信息處理環(huán)境、整個組織范圍。信息風險評估的費用主要依據(jù)以下幾個方面進行核算： 　　 網(wǎng)絡(luò)規(guī)模 　　 聯(lián)網(wǎng)單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設(shè)備的多少 　　 被評估的組織范圍大小

惠州/惠陽ISO認證需求量很大，很多企業(yè)想走捷徑，想省錢，想取得ISO認證想直接找認證機構(gòu)發(fā)證。因為他們想，如果讓咨詢機構(gòu)介入，成本肯定會增加。 想法固然沒有錯，但 有規(guī)定，認證機構(gòu)如果直接給企業(yè)發(fā)是違規(guī)的，結(jié)果會被吊銷。等于白做。 從另外一個方面來說，企業(yè)直接找認證機構(gòu)，前期需要準備的資料，認證機構(gòu)也會安排咨詢師過來編寫文件。羊毛出在羊身上。 另外，如果找咨詢公司拿證，這其中的一些程序咨詢公司幫助企業(yè)處理了，同時，咨詢機構(gòu)與認證機構(gòu)有長期的合作價格，找咨詢機構(gòu)價格還便宜。有的認證機構(gòu)規(guī)定，企業(yè)找他們拿證，必須從公司帳號上匯12000元到認證機構(gòu)帳號上。再加上認證機構(gòu)安排人來做文件的費用，算下來少也要15000元。如果找咨詢機構(gòu)，12000元就搞定了。 惠州/惠陽ISO認證 惠州/惠陽ISO認證公司 惠州/惠陽博慧達咨詢機構(gòu)在做ISO誰敢證咨詢的同時，也代理了幾家認證機構(gòu)的業(yè)務(wù)，審核員就在惠州/惠陽，往返比較方便。為企業(yè)節(jié)省人力和物力。

◆JCI是國際醫(yī)療衛(wèi)生機構(gòu)認證聯(lián)合委員會(Joint Commission on Accreditation of Healthcare Organizations 簡稱JCAHO)用于對美國以外的醫(yī)療機構(gòu)進行認證的附屬機構(gòu)。JCI由醫(yī)療、新疆伊犁護理、新疆伊犁當?shù)匦姓芾砗凸舱叩确矫娴膰H專家組成，他們分別來自西歐、新疆伊犁當?shù)刂袞|、新疆伊犁本地拉丁美洲及中美洲、新疆伊犁當?shù)貋喬貐^(qū)、新疆伊犁本地北美、新疆伊犁附近中歐、新疆伊犁附近東歐以及非洲。目前JCI已經(jīng)給世界40多個 的公立、新疆伊犁同城私立醫(yī)療衛(wèi)生機構(gòu)和政府部門進行了指導(dǎo)和評審，13個 (包括中國)的78個醫(yī)療機構(gòu)通過了國際JCI認證。JCI標準是全世界公認的醫(yī)療服務(wù)標準，代表了醫(yī)院服務(wù)和醫(yī)院管理的 水平。也是世界衛(wèi)生組織認可的認證模式。 　　◆JCI認證是一個嚴謹?shù)捏w系， JCI標準的理念是 限度地實現(xiàn)可達到的標準，以病人為中心，建立相應(yīng)的政策、新疆伊犁本地制度和流程以鼓勵持續(xù)不斷的質(zhì)量改進并符合當?shù)氐奈幕?。JCI標準涵蓋368個標準（其中200年核心標準，168個非核心標準），每個標準之下又包含幾個衡量要素，共有1033小項，主要針對醫(yī)療、新疆伊犁護理過程中重要的環(huán)節(jié)，例如病人獲得醫(yī)療護理服務(wù)的途徑和連續(xù)性、新疆伊犁本地病人狀況的評估、新疆伊犁當?shù)蒯t(yī)院感染的控制與、新疆伊犁同城病人及其家屬的權(quán)利以及教育等等。同時JCI標準也重視公共設(shè)施及管理、新疆伊犁員工資格與培訓(xùn)、新疆伊犁本地質(zhì)量改進、新疆伊犁當?shù)蒯t(yī)院領(lǐng)導(dǎo)層的協(xié)調(diào)合作以及信息管理等等。 ◆JCI標準的原則是：要求醫(yī)院的管理制度要建立在標準之上，醫(yī)生，護士，管理者要有授權(quán)，所有員工要有崗位考核與績效評價，要求醫(yī)院的管理達到相應(yīng)的水平，尤其看重醫(yī)院質(zhì)量的評價依據(jù)．專家評價，考核醫(yī)院的重點與國內(nèi)的方式有不同，對于醫(yī)院的文件，臺帳，硬件建設(shè)不做為重點，而重點是對于醫(yī)院的制度建設(shè)＼醫(yī)療流程＼質(zhì)量的持續(xù)改進＼醫(yī)療．盡管JCI質(zhì)量標準為國際統(tǒng)一標準，但也考慮了特定 的國情，所以他的大部分標準都是只提供了行動的匡架，而將建立質(zhì)量目標與指標的工作留給了醫(yī)院.JCI的醫(yī)院目標是：為病人提供滿足其需求的服務(wù)，協(xié)調(diào)各服務(wù)流程，以提高病人的治療效果， 限度的利用醫(yī)療資源．評審的核心價值是：降低風險，保證，醫(yī)療質(zhì)量的持續(xù)改正． ◆如何進行JCI認證 　　考察小組分別由醫(yī)生、新疆伊犁當?shù)刈o士、新疆伊犁附近行政官各1名組成，采取輪換制。他們都是各自領(lǐng)域的專家，并有國際工作經(jīng)驗。每個認證官負責檢查所負責的標準是否符合要求，并進行評分。 　　認證所需時間并不固定，大約3～5天，一般包含以下幾個步驟： 　　1.文件回顧（往往在每天早上進行）回顧醫(yī)院的相關(guān)政策、新疆伊犁附近會議記錄等，有8個文件必須在認證官到來之前完成書面翻譯。 　　2.約見領(lǐng)導(dǎo)層　反饋每天的認證考察知識，討論需要改進和環(huán)節(jié)。 　　3.參觀醫(yī)療護理單元　一般在考察醫(yī)院設(shè)施、新疆伊犁環(huán)境之后，認證官會與醫(yī)療護理人員一起回顧住院病歷，一般要回顧8～10個；隨機約見低層員工，在有些科室還要與病人交談以了解醫(yī)療服務(wù)質(zhì)量；在醫(yī)院的職能部門檢查時，主要檢查醫(yī)院的感染控制、新疆伊犁附近質(zhì)量改進及病人等等；巡回檢查環(huán)境及醫(yī)院設(shè)施，其中包括廚房、新疆伊犁本地設(shè)備部等。 　　4.其他評估活動 　　以上這些認語程序，有利于認證官熟悉醫(yī)院運作的架構(gòu)；約見領(lǐng)導(dǎo)有利于了解醫(yī)院的總體戰(zhàn)略規(guī)劃；在認證中還會約見醫(yī)院的醫(yī)生、新疆伊犁本地護師以及各部門的主任等，與他們討論如何保證病人的權(quán)利和。在考察期間，對門診、新疆伊犁同城手術(shù)室、新疆伊犁產(chǎn)科、新疆伊犁當?shù)芈樽砜?、新疆伊犁當?shù)丶痹\、新疆伊犁本地影像科、新疆伊犁當?shù)刈≡翰俊⑿陆晾缤遣±砗团R床檢驗、新疆伊犁當?shù)乜祻?fù)服務(wù)等部門都要進行考察，但考察的類型及次數(shù)各不相同。 　　對職能部門的檢查中，主要考核員工資格與教育、新疆伊犁附近醫(yī)院感染控制、新疆伊犁質(zhì)量改進與病人等內(nèi)容。 　　考察小組并不能決定醫(yī)院能否通過認證，而是將考察結(jié)果做一個初步報告，呈報JCI原則與標準委員會，由該委員會的16位專家決定醫(yī)院能否通過認證JCI認證是十分講求細節(jié)的。比如，醫(yī)院里不準抽煙。一般來說，很多醫(yī)院會有護士有禮貌地勸病人不要在病區(qū)抽煙。但如果按照JCI的要求，僅僅這樣做還是不夠的。因為病人有可能會將煙頭亂扔而引發(fā)火災(zāi)，因此，醫(yī)護人員還要上前告訴他怎樣正確熄滅煙頭，并對病人進行教育。 　　再如洗手，經(jīng)過兩年時間，員工才真正掌握了正確的洗手方法。因為這個小問題，顧問曾經(jīng)嚴厲批評過?，F(xiàn)在祈福醫(yī)院洗手池都且次性的擦手紙；而發(fā)藥車上也配備了洗手設(shè)備，每發(fā)一次藥都要洗一次手；在住院病房，也不共用肥皂而采用快速洗手液，以避免交叉感染。 　　JCI又十分講究“各司其職”。比如有一次，檢察官發(fā)現(xiàn)病區(qū)內(nèi)有護士在搞衛(wèi)生，就很惱火，因為她認為這是護工做的事情，護士去做，就沒有了效率。 　　根據(jù)規(guī)定，通過JCI認證的醫(yī)院并不是一勞永逸，因為3年之后，醫(yī)院還要重新申請，經(jīng)過認證官重新檢查合格后，才能保住JCI醫(yī)院的稱號。這是因為即使在美國，通過認證的醫(yī)院也有50％的醫(yī)院出現(xiàn)質(zhì)量滑坡的現(xiàn)象。 ◆JCI評核認可的宗旨，是站在病人利益的立場上，對醫(yī)院和醫(yī)務(wù)人員提出管理標準，其范圍包括： . 病人護理 . 病人的評估 . 感染管理及控制 . 病人及其家屬的權(quán)利和教育 . 設(shè)施管理與環(huán)境 . 護理人員的資格和教育 . 品質(zhì)改進 . 醫(yī)院決策及領(lǐng)導(dǎo) . 信息管理 簡單來說，JCI的標準是要確保「對」的人在「對」的時間做「對」的事。故除了硬件和軟件配備外，更需要醫(yī)院各部門和各員工在各司其職的同時，緊密合作，目的是為了給予病人 和的護理和照顧。 ◆JCI國際醫(yī)院認證的特色 JCI國際醫(yī)院認證的特色可以歸納為：①以國際公認的標準作為認證的基礎(chǔ)；②標準的基本理念是基于促進醫(yī)療質(zhì)量與病人的持續(xù)改進的原則；③把要求接受評審的醫(yī)療機構(gòu)必須達到的標準列為“核心標準”(在標準文本中，以黑體字印刷，共197條)，這些核心標準涉及到醫(yī)療機構(gòu)如何維護病人及家屬的基本權(quán)利、新疆伊犁提供可靠的醫(yī)療設(shè)施，以及減少病人醫(yī)療過程中的風險；④充分考慮標準體系與認證考核適應(yīng)所在 的法律、新疆伊犁本地宗教、新疆伊犁本地文化，以及行業(yè)等相關(guān)要求；⑤認證強調(diào)真實、新疆伊犁同城可靠和客觀 ◆JCI認證的核心是醫(yī)療質(zhì)量與醫(yī)療，已形成了促進醫(yī)療質(zhì)量與病人持續(xù)改進的氛圍，在全院范圍內(nèi)，絕不放過任何細小的、新疆伊犁同城可能影響病人和員工的隱患。醫(yī)院強調(diào)全員參與醫(yī)療質(zhì)量與管理，在醫(yī)院質(zhì)量改進委員會體系中，醫(yī)院管理者、新疆伊犁附近醫(yī)生、新疆伊犁醫(yī)技和護理人員各盡其責，群策群力，使醫(yī)院管理質(zhì)量得到持續(xù)性改進。如以往門診、新疆伊犁附近病房護士配液體存在隱患，醫(yī)院就成立輸液配置中心；過去一個住院病人的多種口服藥混在一起發(fā)，現(xiàn)在配藥中心把每一種都裝入一個小袋子，方便醫(yī)生隨時調(diào)整用藥；為使病人在醫(yī)院內(nèi)得到同質(zhì)服務(wù)，醫(yī)院嚴格規(guī)定醫(yī)生的權(quán)限，明確什么樣的外科醫(yī)生只能做一類手術(shù)，若要做二類手術(shù)，必須經(jīng)過考核達到相應(yīng)的標準。所以，在醫(yī)院，病人找同一級的任何一位醫(yī)生看病，都能得到同樣水平和質(zhì)量的服務(wù)。 　　除醫(yī)療質(zhì)量外，保證患者人身也是JCI標準的重要內(nèi)容。醫(yī)院要制定多項應(yīng)急預(yù)案，包括火災(zāi)預(yù)案、新疆伊犁本地停水預(yù)案、新疆伊犁本地停電預(yù)案、新疆伊犁附近電梯故障預(yù)案、新疆伊犁同城通訊故障預(yù)案、新疆伊犁醫(yī)用氣體故障預(yù)案、新疆伊犁本地臺風預(yù)案、新疆伊犁附近鍋爐突發(fā)事件預(yù)案、新疆伊犁同城 及可疑物預(yù)案、新疆伊犁本地危害公共秩序預(yù)案、新疆伊犁群體外傷預(yù)案及傳染病突發(fā)事件預(yù)案等，同時對醫(yī)務(wù)人員掌握各種預(yù)案的技能展開培訓(xùn)，還對消防墻上的1000多個洞進行修補，所有防火門整改，隱患。 ◆醫(yī)療流程持續(xù)改進成為管理重心 　醫(yī)院在實施JCI過程中，全體員工都建立了這樣的意識：“流程是管理的重心”。他們認為，制度和流程是質(zhì)量改進的起點。為此，醫(yī)院成立了制度委員會，專門承擔全院性制度的制定、新疆伊犁宣教、新疆伊犁同城定期審核和修改等工作。 　　對工作流程的重視，促使醫(yī)護人員更新觀念，特別是對于差錯的正確認識。以往醫(yī)護人員發(fā)生差錯，會千方百計隱瞞不報。實施JCI標準后，大家逐步認識到：很多差錯的原因源于服務(wù)流程上的問題，重要的是要分析原因，找出缺陷，不斷改進。醫(yī)院鼓勵醫(yī)護人員出現(xiàn)差錯積極上報，并要求當事人及有關(guān)人員認真查找流程的缺陷，提出改進措施。醫(yī)院強調(diào)，如果流程有問題，當事人無責，但當事人不報告再釀成新的差錯時，則責不容恕。 　 ◆追蹤檢查的獨 能 　　據(jù)了解，JCI認證對醫(yī)院整體狀況的考核評價，絕不搞一點花架子，沒有絲毫的形式主義表現(xiàn)。國際組織對醫(yī)院進行JCI認證，采用的是“循跡追蹤法”，即對醫(yī)療過程的各個環(huán)節(jié)進行的跟蹤檢查，尤其關(guān)注那些嚴重影響病人與醫(yī)療服務(wù)質(zhì)量的流程。檢查中，國際JCI檢查官在病人和工作人員完全不知情的狀態(tài)下，對幾名新入院的病人從進入醫(yī)院大門一直到住進病房接受醫(yī)囑處理，進行了全程追蹤，涉及服務(wù)環(huán)節(jié)幾十項。