ISO27001認(rèn)證信息風(fēng)險(xiǎn)評(píng)估 目的：實(shí)施風(fēng)險(xiǎn)評(píng)估，識(shí)別不可接受風(fēng)險(xiǎn)，明確管理目標(biāo)。 內(nèi)容：風(fēng)險(xiǎn)評(píng)估是整個(gè)風(fēng)險(xiǎn)管理的基礎(chǔ)，本階段將根據(jù)前期策劃的風(fēng)險(xiǎn)評(píng)估方法。 包括：a. 根據(jù)業(yè)務(wù)要求及信息的密級(jí)劃分，對(duì)信息資產(chǎn)的重要程度進(jìn)行判定，識(shí)別對(duì)關(guān)鍵核心業(yè)務(wù)具有關(guān)鍵 作用的信息資產(chǎn)清單;對(duì)重要信息資產(chǎn)從內(nèi)部及外部識(shí)別其所面臨的威脅; b. 根據(jù)威脅，從管理和技術(shù)兩方面識(shí)別重要信息資產(chǎn)所存在的薄弱點(diǎn); c. 根據(jù)風(fēng)險(xiǎn)評(píng)估的方法指南，對(duì)威脅利用薄弱點(diǎn)對(duì)重要信息資產(chǎn)所產(chǎn)生的風(fēng)險(xiǎn)在保密性、完整性、可 用性三方面所造成的影響進(jìn)行評(píng)價(jià);評(píng)價(jià)威脅利用薄弱點(diǎn)引發(fā)風(fēng)險(xiǎn)事件的可能性; d. 根據(jù)風(fēng)險(xiǎn)影響及發(fā)生的可能性評(píng)價(jià)風(fēng)險(xiǎn)等級(jí); e. 根據(jù)信息方針，各核心業(yè)務(wù)流程的要求，與管理層進(jìn)行溝通，確定不可接受風(fēng)險(xiǎn)等級(jí)的標(biāo) 準(zhǔn); f. 針對(duì)不可接受的高風(fēng)險(xiǎn)，制定風(fēng)險(xiǎn)處理計(jì)劃，從ISO27002及顧問(wèn)的行業(yè)經(jīng)驗(yàn)來(lái)選擇適宜的風(fēng)險(xiǎn)管 控措施;實(shí)施所選擇的控制措施，降低、轉(zhuǎn)移或風(fēng)險(xiǎn); g. 編寫風(fēng)險(xiǎn)評(píng)估報(bào)告。

質(zhì)量管理體系的設(shè)計(jì) 質(zhì)量管理體系策劃的重點(diǎn)是提出質(zhì)量管理體系的方案，也就是對(duì)質(zhì)量管理體系進(jìn)行設(shè)計(jì) 。設(shè)計(jì)質(zhì)量的高低，在很大程度上決定了質(zhì)量管理體系的運(yùn)行結(jié)果。 （1）質(zhì)量管理體系設(shè)計(jì)的原則 ①必須滿足“要求”； ②必須符合組織的實(shí)際情況； ③要充分考慮利益、成本和風(fēng)險(xiǎn)； ④要盡量利用現(xiàn)有的資源； ⑤要使質(zhì)量管理體系有廣泛的適應(yīng)性； ⑥要使設(shè)計(jì)過(guò)程成為一個(gè)“增值”的過(guò)程。 （2）質(zhì)量管理體系設(shè)計(jì)的基本程序 ①深刻理解質(zhì)量管理體系策劃的輸入 參與設(shè)計(jì)的人員特別是外聘的專家顧問(wèn)，應(yīng)通過(guò)學(xué)習(xí)、討論、調(diào)查、研 究、訪談等多種 形式，、深刻地理解“要求”、“情況”、“利益、成本和風(fēng)險(xiǎn)”等策劃的輸入。 ②選擇標(biāo)準(zhǔn) 1994版GB/T 19000 — ISO 9000族標(biāo)準(zhǔn)提供了三種質(zhì)量保證模式。2000版將三種模式進(jìn) 行了合并，但依然有GB/T 19001 — 2000和GB/T 19004 — 2000供組織選用。此外，還有QS 9000等專業(yè)性質(zhì)量管理體系標(biāo)準(zhǔn)可供組織選擇。 ③決定必要的刪減 GB/T19001 — 2008規(guī)定：“當(dāng)本標(biāo)準(zhǔn)的任何要求因組織及其產(chǎn)品的特點(diǎn)而不適用時(shí)， 可以考慮對(duì)其進(jìn)行刪減?！睒?biāo)準(zhǔn)規(guī)定，刪減只限于“產(chǎn)品實(shí)現(xiàn)”這一“板塊”要素中的要素 或子要素。在設(shè)計(jì)時(shí)，對(duì)刪減一定要慎重。 ④提出質(zhì)量方針草案 質(zhì)量方針是由 管理者制定的。策劃人員可為 管理者提供質(zhì)量方針草案，以供 其選擇或參考。質(zhì)量方針要根據(jù)組織的總方針、“要求”和“情況”等來(lái)制定。在策劃中， 應(yīng)由 管理者召開專門會(huì)議，對(duì)組織的發(fā)展戰(zhàn)略和現(xiàn)狀進(jìn)行分析和反思，有針對(duì)性地提出 來(lái)。 ⑤提出質(zhì)量目標(biāo)草案 質(zhì)量目標(biāo)也是由 管理者制定的。策劃人員可根據(jù)質(zhì)量方針草案提 供質(zhì)量目標(biāo)方案 ，以供 管理者選擇或參考。質(zhì)量目標(biāo)與質(zhì)量方針保持一致。 ⑥確定質(zhì)量職能 根據(jù)選擇的標(biāo)準(zhǔn)（經(jīng)過(guò)允許的刪減）和組織的實(shí)際情況，確定質(zhì)量職能，提出質(zhì)量職能 的清單。 ⑧確定質(zhì)量手冊(cè)的框架結(jié)構(gòu) 質(zhì)量手冊(cè)是規(guī)定組織質(zhì)量管理體系的文件。質(zhì)量管理體系策劃至少要確定質(zhì)量手冊(cè)的框 架結(jié)構(gòu)，也就是說(shuō)，要確定其所包含的全部?jī)?nèi)容，包括質(zhì)量管理體系的范圍（要素和子要素 ）。 ⑨確定所需的程序文件目錄 GB/T19001 — 2000雖然只規(guī)定了必須建立的六個(gè)程序文件，但絕大多數(shù)組織所必需的 程序文件遠(yuǎn)不止于此。策劃時(shí)，應(yīng)根據(jù)組織的實(shí)際情況，確定所需的程序文件。凡那些對(duì)產(chǎn) 品、過(guò)程、體系有重大影響的過(guò)程或質(zhì)量管理活動(dòng)，都應(yīng)當(dāng)建立程序文件。 ⑦進(jìn)行質(zhì)量職能分配 這是質(zhì)量管理體系策劃中重要又困難的工作。質(zhì)量職能分配不下去，下一步建立或 改進(jìn) 質(zhì)量管理體系的工作就無(wú)法開展。而要合理分配質(zhì)量職能又相當(dāng)困難，很可能涉及組織機(jī)構(gòu) 和人員調(diào)配等多種問(wèn)題。為使質(zhì)量職能分配真正落到實(shí)處，必要時(shí)可以調(diào)整組織的組織機(jī)構(gòu) 和相關(guān)人員。 ⑩編制質(zhì)量管理體系策劃方案 內(nèi)容包括： a.為什么要建立或改進(jìn)質(zhì)量管理體系（主要闡述“要求”和“情況”）； b.質(zhì)量管理體系方案的概述（選擇什么標(biāo)準(zhǔn)以及策劃所遵循的原則）； c.質(zhì)量方針和質(zhì)量目標(biāo)草案； d.質(zhì)量職能分配（可以將分配結(jié)果作為附件列在方案之中）； e.質(zhì)量手冊(cè)框架（如果已編制了質(zhì)量手冊(cè)草案，可附在方案之后）； f.程序文件目錄； g.對(duì)質(zhì)量管理體系方案的有關(guān)說(shuō)明； 11對(duì)方案和計(jì)劃進(jìn)行評(píng)審和修改 方案和計(jì)劃都應(yīng)提交給質(zhì)量管理體系策劃領(lǐng)導(dǎo)小組進(jìn)行評(píng)審， 管理者要親自主持評(píng)審會(huì) 議。對(duì)評(píng)審中提出的意見和建議，合理的應(yīng)當(dāng)接納，以對(duì)方案和計(jì)劃進(jìn)行修改；不合理的則 應(yīng)做好解釋工作；爭(zhēng)執(zhí)不下的，則由 管理者裁決認(rèn)證。