ISO9001：2008標準的0.2條款用較大篇幅闡明了過程方法在質(zhì)量管理體系中的應用，強調(diào)了過程方法的重要性，并提出了具體要求。4.1"總要求"的"注"指出，"質(zhì)量管理體系所需的過程應當包括與管理活動、資源提供、產(chǎn)品實現(xiàn)和測量有關的過程。"該條款要求組織"應按本標準的要求管理這些過程。"按照《質(zhì)量管理體系的過程方法指南（ISO/TC176/SC2/N544R）》所述，ISO9001：2008標準4.1a)~f的要求就是實施過程管理方法的具體內(nèi)容和要求。這充分說明，新標準的思路、理念及其總要求都以過程為基礎，其基本原則之一是采用過程方法管理組織。 　　如果采用過程方法管理過程，就抓到了要害和質(zhì)量管理活動的本質(zhì)?？梢?，只有抓好過程的管理和控制，把質(zhì)量管理體系的有效性落實到產(chǎn)品上，才是ISO9001：2008標準的終目的。按過程方法管理組織由質(zhì)量管理的基本理念所決定，是質(zhì)量管理工作深化的具體體現(xiàn)。 　　采用過程方法管理質(zhì)量管理體系有很多優(yōu)越性：有利于對過程進行連續(xù)的控制；有利于識別過程和顧客的需求，更好地體現(xiàn)"以顧客為關注焦點"的原則；有利于開展質(zhì)量策劃活動，明確過程的目標和要求；有利于了解、協(xié)調(diào)和確定過程內(nèi)部和過程之間的相互關聯(lián)、相互作用、從而明確過程的流程和程序；有利于明確過程中的職責和權限，加強協(xié)調(diào)合作和溝通；有利于確定過程所需的文件，增強文件的實用性；有利于加強對過程的監(jiān)視、測量、數(shù)據(jù)分析和控制；有利于實施PDCA動態(tài)循環(huán)管理，實施持續(xù)改進，確程增值；有利于增強顧客滿意，使組織得到發(fā)展。 　　一、組織如何采用過程方法建立質(zhì)量管理體系 　　1、按照4.1條款的要求，認真開展對過程、體系的策劃。策劃的內(nèi)容應涉及體系的全部過程。要識別過程，明確過程的輸入、輸出及活動，明確需求及其流程；確定過程的作用及其指職責的分配；確定過程所需的資源、信息及其所需的文件；確定對過程實施監(jiān)視、測量及有效控制的方法；按組織的方針確定過程的目標及如何評價過程的有效性，實施持續(xù)改進。通過策劃活動識別需求，是應用過程方法的前提和基礎。 　　2、要采用以過程管理為主導的方法，對現(xiàn)行質(zhì)量管理體系進行評審，確定要達到過程管理模式而需要進行的改進和提高。必要時，采用以過程管理為主導的方法重新設計管理體系。 　　3、按標準要求制定、修改質(zhì)量管理體系文件。體系是通過文件表述的，文件使體系運行的重要依據(jù)。過程分析應成為確定質(zhì)量管理體系所需文件數(shù)量的途徑，不應以文件來決定過程，而應由過程來決定文件，把過程、體系的策劃作為制定、修改文件的基礎?？衫眠^程圖、流程圖方法加深對過程的理解，加強對過程有效運行的控制。應將采用過程方法管理組織的理念體現(xiàn)在體系文件中。 　　4、開展以過程管理體系為主導的培訓工作。應確定以過程管理為主導的培訓項目，增強全員的顧客意識、過程意識、尤其要提高運用過程方法的意識，自覺按過程方法的要求對體系實施管理。 　　5、進行質(zhì)量管理體系試運行，進行內(nèi)部審核。按過程管理要求，并通過符合性的證據(jù)評價過程、體系的有效性。 　　二、組織如何采用過程方法保持質(zhì)量管理體系 　　1、組織的領導應按標準的思路和理念，以過程管理為主導建立體系，確保資源的獲得，確保體系所需的過程得到建立、實施和保持，并提供相應的組織保證。應明確標準第4～8章是實施過程方法的范圍，0.2條款在a)~d)中強調(diào)的四個方面，是實施過程方法、保持質(zhì)量管理體系的要求。 　　2、對每一個過程（包括產(chǎn)品實現(xiàn)所需的過程、質(zhì)量管理體系體系實施所需的過程），都應按照標準4.1條款a)~f)提出的具體要求實施連續(xù)的控制。應使過程達到期望的結(jié)果，以體現(xiàn)過程管理的連續(xù)性。 　　3、將以過程為基礎的質(zhì)量管理體系模式，作為一個體系的大過程實施系統(tǒng)的管理，把各過程有機地聯(lián)系起來。將相互關聯(lián)的過程作為系統(tǒng)加以識別和理解，有利于實現(xiàn)組織的方針和目標。過程方法應與管理的系統(tǒng)方法結(jié)合實施，以體現(xiàn)過程管理的系統(tǒng)性。 　　4、突出過程間的相互作用。應用過程方法拓寬了標準的內(nèi)容和要求，如以顧客為關注的焦點、顧客滿意、質(zhì)量管理體系的策劃、職責權限與溝通、資源管理、過程的監(jiān)視和測量、數(shù)據(jù)分析、持續(xù)改進等。這些內(nèi)容都是過程方法應用中不可缺少的重要環(huán)節(jié)，互相之間具有緊密的聯(lián)系，體現(xiàn)了過程管理的關聯(lián)性。 　　5、實現(xiàn)過程管理的程序化和定量化。管理過程和過程中的每一個環(huán)節(jié)要有符合運行對象需要的合理程序，這樣過程才能有效運行。所以，程序具有十分重要的作用。為此，應加強監(jiān)視和測量，通過數(shù)據(jù)分析反映過程中各種因素之間的動態(tài)關系，反映過程的輸入和輸出特性及其活動和業(yè)績，實現(xiàn)過程的量化管理。這是進行過程管理和控制的兩個重要環(huán)節(jié)，體現(xiàn)了過程管理的可控性。 　　6、對過程實施PDCA動態(tài)循環(huán)管理，促進過程增值。要對每個過程循環(huán)開展策劃－實施－檢查－改進活動，及時對質(zhì)量目標的實現(xiàn)情況、產(chǎn)品質(zhì)量、過程能力、顧客滿意度進行考核，促進組織持續(xù)進行改進過程的能力和業(yè)績，以體現(xiàn)過程管理的有效性。 　　三、組織如何采用過程方法改進質(zhì)量管理體系認證 　　1、開展過程的評價，識別改進的區(qū)域。對過程進行評價，應回答ISO9001：2008標準2.8.1條款提出的四個基本問題：過程已被識別并適當規(guī)定；職責是否已被分配；程序是否得到實施和保持；在實現(xiàn)所要求的結(jié)果方面，過程是否有效。通過過程評價，尋找改進的輸入。 　　2、通過對數(shù)據(jù)的收集和分析，識別改進產(chǎn)品、過程、體系的機會。其中，顧客（包括內(nèi)部和外部）對過程輸出滿意與否的反饋，是持續(xù)改進過程的根本輸入，也是做出準確決策的依據(jù)。 　　3、完善質(zhì)量方針，實施目標管理。明確產(chǎn)品、過程、體系的質(zhì)量目標要求，建立目標管理體系。應不斷改進、完善、充實、提高質(zhì)量方針、目標的要求，以實施改進。 　　4、建立有內(nèi)部審核、管理評審、糾正和措施三個環(huán)節(jié)組成的自我完善機制，實施有序的管理。要以過程那為基礎，按照過程方法的要求，以過程的有效性為目的開展內(nèi)部審核活動。通過故管理評審做出科學、合理的改進決策。通過糾正和措施提高組織滿足要求的能力。

房地產(chǎn)ISO9001認證過程中，容易出現(xiàn)的問題列出如下： 　　4.2.1 　　a.沒有將質(zhì)量方針、質(zhì)量目標、質(zhì)量記錄做為文件來控制。 　　b.文件范圍太大，數(shù)量太多，使體系運作效率降低。 　　c.組織的規(guī)模大，過程復雜，員工的 能力一般，但文件數(shù)量過于少，描述也過于簡單，不能有效地指導質(zhì)量管理體系的運作。 　　4.2.2 　　a.對質(zhì)量管理體系的描述不清晰，所做的裁剪沒有充分的依據(jù)或沒有將依據(jù)明確地描述。 　　b.由于法律法規(guī)及顧客要求的改變，原來所做的裁剪已不適宜或不合理，但沒有及時糾正。 　　c.質(zhì)量手冊對質(zhì)量體系所包含的過程順序和相互作用的表述不清楚，所引用的程序過于散亂，與手冊條款的對應關系不清晰。 　　4.2.3 　　a.沒有對文件是否持續(xù)適用進行審核、更新和重新批準，文 件的規(guī)定與現(xiàn)實的運作有出入。 　　b.由于節(jié)省資源或也于保密的考慮，在文件使用場所沒有適用的文件。 　　c.文件內(nèi)容不清晰或文件使用者所不能理解的語言(如外國語)寫成。 　　d.由于存在一個以 上的體系，所以針對某項要求而檢索文件變得非常困難。 　　e.外來文件沒有得到控制。 　　f.由 于沒有適當?shù)臉俗R而使用了作廢文件。 　　4.2.4 　　a.記錄貯存條件不良 。 　　b.記錄不清晰、不完整。 　　c.電子媒體或其他媒體記錄沒有得到符合其技術特點要求的控 制。 　　d.記錄不易查閱。 　　e.記錄的失效處置不及時，且處理方式與文件化的規(guī)定不符。 　　5.1 　　a. 管理者把做出承諾的工作交給其他人，自己不能清楚地 說明這些承諾是何種方式體現(xiàn)的。 　　b.沒有明確的證據(jù)證明 管理者已在組織內(nèi)部傳達了滿足顧客以及法律法規(guī) 要求的重要性(如會議、MEMO、板報、宣傳品、廣播等)。 　　c. 管理者不清楚自己在管理評審活動中應擔負的 職責和應做的事情。 　　d. 管理者不能說明具有識別所需資源的機制或方式。 　　5.2 　　a.質(zhì)量方針與質(zhì)量目標的關系不清晰。 　　b. 員工不知道質(zhì)量方針或雖能夠背誦質(zhì)量方針，但卻不理解質(zhì)量方針的定義。 　　c.沒有對質(zhì)量方針進行定期的評審， 質(zhì)量方針可能已是不適宜的了。 　　d.在組織內(nèi)有一個以上的質(zhì)量方針，員工不能說明哪一個是 的。 　　5.3 　　a.與實現(xiàn)質(zhì)量目標有關的職能部門(層次)，沒有分解到應承 擔的指標。 　　b.質(zhì)量目標不是書面的，部門負責人只能口頭說出一些組織內(nèi)要求的指標。 　　c. 質(zhì)量目標沒有體現(xiàn)持續(xù)改進的承諾。 　　d.質(zhì)量目標中個別指標無法被測量。 　　e.在策劃產(chǎn)品實 現(xiàn)的過程中，沒有針對產(chǎn)品\項目和合同規(guī)定質(zhì)量目標。 　　5.4 　　a.只 在質(zhì)量手冊中描述了應進行的溝通，但實際操作中如何進行溝通沒有規(guī)定的文件，以至于溝通的實際效果不佳。 　　b.沒有進行溝通，或溝通只是表面化的工作。 　　c.由于沒有足夠的溝通，各部門任務職責和權限不能做了解，以 至于影響到體系的有效運作。 　　5.5 　　a.管理評審沒有按照規(guī)定的時間 間隔進行。 　　b.沒有充分討論那些內(nèi)部和外部的變化對質(zhì)量管理體系的影響。 　　c.連續(xù)幾次管 理評審所提出需改進的問題都類似，說明對以往管理評審的跟蹤措施實施不力。 　　d.管理評審輸出中對與顧客要求 有關的產(chǎn)品的改進沒有涉及。 　　6.1 　　a.從質(zhì)量管理體系運作的終效 果來看，組織提供的資源的不充分的。 　　b.造成顧客不滿意的終原因是資源不足。 　　c.對人 員的能力的判斷更多地是從教育、培訓、經(jīng)歷等方面考慮而忽略了對技能的要求。 　　6.2 　　a.沒有對全部從事與影響質(zhì)量的人員規(guī)定任職要求。 　　b.沒有按照任職要求分析培訓需 求。 　　c.沒有評價培訓的有效性。 　　d.員工對他們從事的活動的相互作用和重要性認識不 足，也不知道如何為實現(xiàn)質(zhì)量目標作出貢獻。 　　e.所保存的培訓記錄不能證明要求的經(jīng)歷和資格。 　　6.3 　　a.對為了實現(xiàn)產(chǎn)品符合性所需的設施，沒有方法識別需要配置 到何種程度是適合的工作場所的空間和條件，不能滿足保證產(chǎn)品質(zhì)量和使顧客滿意的 要求。 　　b.支持性服務不 能滿足 要求，如通訊/交通工具等。 　　c.維護只被理解為出現(xiàn)故障的修理，沒有包括有計劃的性維護保養(yǎng) 。 　　7.1 　　a.沒有對所有的產(chǎn)品實現(xiàn)過程進行策劃。 　　b.策劃的結(jié)果千篇一律，而實際不同產(chǎn)品的產(chǎn)品實現(xiàn)過程是不同的。 　　c.策劃的結(jié)果顯示，策劃沒有包括所要求 的全部的應策劃的內(nèi)容。 　　d.策劃的結(jié)果與質(zhì)量管理體系的其他要求有矛盾。 　　7.2 　　a.忽視了應明確支持方面的要求和與產(chǎn)品相關的責任、法律法規(guī)的要求。 　　b.受審核方說所有的要求都已明確，但審核員卻看不到證據(jù)。 　　c.以口頭方式提 出的要求沒有得到評審確認的。 　　d.產(chǎn)品要求發(fā)生變更后，有一些有關的文件沒有得到修改和確認。 　　e.與產(chǎn)品要求變更有關的人員不知道修改后的要求。 　　7.3 　　a.沒有充分地考慮在設計活動中所需要的組織職責和技術接口。 　　b.設計計劃沒有及時的 更新，以至于計劃失去意義。 　　c.設計輸入沒有考慮有關的法律、法規(guī)要求。 　　d.設計輸出沒 有包含產(chǎn)品驗收準則或與和正常使用有重大關系的產(chǎn)品特性。 　　e.設計評審的參加者沒有包括所有的相關人員 。 　　f.設計確認沒有在正常生產(chǎn)條件下進行。 　　g.對于以項目為單位進行設計、生產(chǎn)和安裝的 活動設計驗證和設計確認與過程檢驗和終檢驗之間發(fā)生混淆。 　　7.4 　　a.對不同類型的采購過程的控制方式和程度沒有區(qū)別。 　　b.什么是合格的供方，沒有明確的、可操作的標準，選 擇和評價供方具有較多的主觀性。 　　c.對供方評價后的跟進措施沒有實施。 　　d.采購信息不齊 全，尤其缺少與質(zhì)量有關的要求。 　　e.對要求到供方處實施驗證的活動，采購信息中沒有提及。 　　7.5.1 　　a.沒有、充分地考慮到與產(chǎn)品特性有關的要求如國際、 行業(yè)標準等。 　　b.作業(yè)指導書不充分、操作者隨意性較強。 　　c.作業(yè)指導書的規(guī)定與其他標準 (如檢驗標準)要求不符，與實際操作不一致。 　　d.缺乏足夠的測量和監(jiān)控設備。 　　e.缺少危 機對策。 　　7.5.2 　　a.不會識別哪些過程是特殊過程或識別的結(jié)果是錯 誤的。 　　b.過程確認所選擇的方式、方法與該過程的控制要點不匹配。 　　c.特殊過程的特性已 發(fā)生變化，但沒有進行新的確認。 　　7.5.3 　　a.沒有對顧客的財產(chǎn)進行必要的查驗，標識和防護控制。 (房地產(chǎn)開發(fā)一般無顧客財產(chǎn)) 　　7.5.4 　　a.對產(chǎn)品提供的防護，沒有包括產(chǎn) 品的各個組成部分。 　　b.對產(chǎn)品提供的防護與顧客的要求不一致。 　　c.只提供了適宜的搬運工 具，但沒有規(guī)定適宜的搬運方法。 　　d.產(chǎn)品的包裝不能有效地保護產(chǎn)品。 　　e.倉庫規(guī)定的儲存 要求與產(chǎn)品說明書或包裝上的要求不一致。 　　7.6 　　a.使用的測量和監(jiān)控設備與被測量參數(shù)特性不匹配。 　　b.操作工不清楚測量儀器的讀數(shù)含義及使用的有效期。 　　c.校驗沒注明校驗采用的、可追溯的 標準。 　　d.當發(fā)現(xiàn)儀器失準時，無法追溯和識別已被失準儀器檢驗過 的產(chǎn)品。 　　e.把在儀器使用中進行比較用的儀器附件(如標準物質(zhì))當做檢定或校準的標準。 　　f.企業(yè)自校的儀器沒有制定校準規(guī)程。 　　8.1 　　a.測量和監(jiān)控活動沒 有包括所需要的全部范圍，如涉及持續(xù)改進方面。 　　b.在應使用統(tǒng)計技術的地方，沒有采用統(tǒng)計技術。 　　c.在顧客滿意度進行的監(jiān)控方法不合理，如將無投訴視為顧客滿意。 　　d.監(jiān)控的終結(jié)果不能展現(xiàn)質(zhì)量管理體系的運行績效。 　　8.2 　　a.沒有充分考慮受審核區(qū)域的狀況和重要性。 　　b.審核員與被審核的部門或活動有關系，通常都發(fā)生在規(guī)模較小的公司。 　　c.選擇不適當?shù)娜藛T指導和實施內(nèi)部質(zhì)量審核。 　　d.內(nèi)部質(zhì)量審核中沒有追溯驗證的部分。 　　e.沒有對所有部門進行審核的完整記錄。 　　f.糾正措施是由審核員提議的。 　　g.公司的內(nèi)審員不清楚整個審核的程序，內(nèi)部質(zhì)量審核由咨詢顧問實施。 　　8.2.1 　　a.選擇對產(chǎn)品的特性進行測量和監(jiān)控的控制點不完整、不科學。 　　b.測量和監(jiān)控標準未 明確規(guī)定檢驗員在測量時僅憑經(jīng)驗，沒有參照產(chǎn)品手冊中的要求或標準。 　　c.檢驗員不知道如何判斷供方測量和監(jiān)控的結(jié)果。 　　d.測量和監(jiān)控完成后沒有保存相應的記錄。 　　e.產(chǎn)品放行的授權者不能從有關記 錄找到。 　　f.不符合測量和監(jiān)控標準的要求可能導致嚴重不合格項的產(chǎn)生。 　　8.3 　　a.未規(guī)定如何處置各個階段測量和監(jiān)控所發(fā)現(xiàn)的不合格品。 　　b.糾正后的不合格品沒有重新檢驗。 　　c.在交付或開始使用后發(fā)現(xiàn)的不合格品，只對不合格 現(xiàn)象采取了措施，沒有對其造成的后果采取措施。 　　d.讓步處理不符合產(chǎn)品時，必要時沒有向顧客、終用戶、法定 機構或其它機構報告。 　　8.4 　　a.沒有根據(jù)管理的需求收集相應的數(shù)據(jù) 或收集不全。 　　b.沒有規(guī)定數(shù)據(jù)的分析方法和分析結(jié)果的用途。 　　c.沒有對質(zhì)量管理體系的適宜性和有效性得出結(jié)論。 　　d.沒有有效地指示需要改進的功能/區(qū)域。 　　8.5 　　a.對體系持續(xù)改進所需要的過程認識不清，誤認為持續(xù)改進就是連續(xù)的糾正與措施。 　　b.糾正措施與措施的概念混淆不清。 　　c.受審核方稱不需要采取措施，但實際情況是體系中表現(xiàn)出許 多有規(guī)律的問題。 　　d.沒有查清問題的根本原因并采取適當?shù)拇胧?　　e.沒有對措施的實施進 行追蹤驗證。 　　f.害怕記錄客戶的投訴。

ISO27001認證控制要求 文章導讀：表 A.1 控制目標和控制措施 A.5 方針 A.5.1 信息方針 目標：依據(jù)業(yè)務要求和相關法律法規(guī)提供管理指導并支 持信息。 A.5.1.1 信 息 方針 文件 信 息 方針 的評審 控制... 表 A.1 控制目標和控制措施 A.5 方針 A.5.1 信息方針 目標：依據(jù)業(yè)務要求和相關法律法規(guī)提供管理指導并支持信息。 A.5.1.1 信 息 方針 文件 信 息 方針 的評審 控制措施 信息方針文件應由管理者批準、發(fā)布并傳達給所有員工和外部相 關方。 A.5.1.2 控制措施 應按計劃的時間間隔或當重大變化發(fā)生時進行信息方針評審，以 確保它持續(xù)的適宜性、充分性和有效性。 A.6 信息組織 A.6.1 內(nèi)部組織 目標：在組織內(nèi)管理信息 A.6.1.1 信息的管 理承諾 信息協(xié)調(diào) 控制措施 管理者應通過清晰的說明、可證實的承諾、明確的信息職責分配 及確認，來積極支持組織內(nèi)的。 A.6.1.2 控制措施 信息活動應由來自組織不同部門并具備相關角色和工作職責的 代表進行協(xié)調(diào)。 A.6.1.3 A.6.1.4 A.6.1.5 信息職責 的分配 信息處理設施 的授權過程 保密性協(xié)議 控制措施 所有的信息職責應予以清晰地定義。 控制措施 新信息處理設施應定義和實施一個管理授權過程。 控制措施 應識別并定期評審反映組織信息保護需要的保密性或不泄露協(xié)議的 要求。 A.6.1.6 A.6.1.7 A.6.1.8 與政府部門的 聯(lián)系 與特定利益團 體的聯(lián)系 信息的獨 立評審 控制措施 應保持與政府相關部門的適當聯(lián)系。 控制措施 應保持與特定利益團體、其他專家組和專業(yè)協(xié)會的適當聯(lián)系。 控制措施 組織管理信息的方法及其實施（例如信息的控制目標、控制 措施、策略、過程和程序）應按計劃的時間間隔進行獨立評審， 當安 全實施發(fā)生重大變化時，也要進行獨立評審。 A.6.2 外部各方 目標：保持組織的被外部各方訪問、處理、管理或與外部進行通信的信息和信息處理設施的。 A.6.2.1 與外部 各方相 關風險的識別 處理與顧客有 關的問題 控制措施 應識別涉及外部各方業(yè)務過程中組織的信息和信息處理設施的風險， 并在允許訪問前實施適當?shù)目刂拼胧? A.6.2.2 控制措施 應在允許顧客訪問組織信息或資產(chǎn)之前處理所有確定的要求。 A.6.2.3 處理第三方協(xié) 議中的問 題 控制措施 涉及訪問、處理或管理組織的信息或信息處理設施以及與之通信的第 三方協(xié)議，或在信息處理設施中增加產(chǎn)品或服務的第三方協(xié)議， 應涵 蓋所有相關的要求。 A.7 資產(chǎn)管理 A.7.1 對資產(chǎn)負責 目標：實現(xiàn)和保持對組織資產(chǎn)的適當保護。 A.7.1.1 A.7.1.2 資產(chǎn)清單 資產(chǎn)責任人 控制措施 應清晰的識別所有資產(chǎn)，編制并維護所有重要資產(chǎn)的清單。 控制措施 與信息處理設施有關的所有信息和資產(chǎn)應由組織的指定部門或人員 1 承擔責任 。 A.7.1.3 資 產(chǎn) 的 合 格 使 控制措施 用 與信息處理設施有關的信息和資產(chǎn)使用允許規(guī)則應被確定、形成文件 并加以實施。 A.7.2 信息分類 目標：確保信息受到適當級別的保護。 A.7.2.1 A.7.2.2 分類指南 信息的標記和 處理 控制措施 信息應按照它對組織的價值、法律要求、敏感性和關鍵性予以分類。 控制措施 應按照組織所采納的分類機制建立和實施一組合適的信息標記和處 理程序。 A.8 人力資源 2 A.8.1 任用 之前 目標：確保雇員、承包方人員和第三方人員理解其職責、考慮對其承擔的角色是適合的，以降 低設 施被竊、欺詐和誤用的風險。 A.8.1.1 角色和職責 控制措施 雇員、承包方人員和第三方人員的角色和職責應按照組織的信息 方針定義并形成文件。 A.8.1.2 審查 控制措施 關于所有任用的候選者、承包方人員和第三方人員的背景驗證檢查應 按照相關法律法規(guī)、道德規(guī)范和對應的業(yè)務要求、被訪問信息的 類別 和察覺的風險來執(zhí)行。 A.8.1.3 任用條款和條 件 控制措施 作為他們合同義務的一部分，雇員、承包方人員和第三方人員應同意 并簽署他們的任用合同的條款和條件，這些條款和條件要聲明他 們和 組織的信息職責。 A.8.2 任用中 目標：確保所有的雇員、承包方人員和第三方人員知悉信息威脅和利害關系、他們的職責和義 務、并準備好在其 正常工作過程中支持組織的方針，以減少人為過失的風險。 1 解釋：術語“責任人”是被認可，具有控制生產(chǎn)、開發(fā)、保持、使用和資產(chǎn)的個人或?qū)嶓w。術語“責 任人”不指實際上對資產(chǎn)具 有財產(chǎn)權的人。 2 解釋：這里的“任用”意指以下不同的情形：人員任用（暫時的或長期的） 、工作角色的指定、工作角色 的變化 、合同的分配及所有這些安排的終止。 A.8.2.1 管理職責 控制措施 管理者應要求雇員、承包方人員和第三方人員按照組織已建立的方針 策略和程序?qū)ΡM心盡力。 A.8.2.2 信息意識、 控制措施 教育和培訓 組織的所有雇員，適當時，包括承包方人員和第三方人員，應受到與 其工作職能相關的適當 的意識培訓和組織方針策略及程序的定期更 新培訓。 紀律處理過程 A.8.2.3 控制措施 對于違規(guī)的雇員，應有一個正式的紀律處理過程。 A.8.3 任用的終止或變化 目標：確保雇員、承包方人員和第三方人員以一個規(guī)范的方式退出一個組織或改變其任用關系。 A.8.3.1 A.8.3.2 終止職責 資產(chǎn)的歸還 控制措施 任用終止或任用變化的職責應清晰的定義和分配。 控制措施 所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時， 應歸還他們使用的所有組織資產(chǎn)。 A.8.3.3 撤銷訪問權 控制措施 所有雇員、承包方人員和第三方人員對信息和信息處理設施的訪問權 應在任用、合同或協(xié)議終止時刪除，或在變化時調(diào)整。 A.9 物理和環(huán)境 A.9.1 區(qū)域 目標：防止對組織場所和信息的未授權物理訪問、損壞和干擾。 A.9.1.1 物理邊界 控制措施 應使用邊界 （諸如墻、 卡控制的入口或有人管理的接待臺等屏障） 來保護包含信息和信息處理設施的區(qū)域。 A.9.1.2 物理入口控制 控制措施 區(qū)域應由適合的入口控制所保護，以確保只有授權的人員才允許 訪問。 A.9.1.3 辦公室、 房間和 控制措施 設 施 的 安 全 保 應為辦公室、房間和設施設計并采取物理措施。 護 外部和環(huán)境威 脅的防 護 在區(qū)域工 作 A.9.1.4 控制措施 為防止火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為 災難引起的破壞，應設計和采取物理保護措施。 A.9.1.5 A.9.1.6 控制措施 應設計和運用用于區(qū)域工作的物理保護和指南。 公共訪問、 交接 控制措施 區(qū) 訪問點（例如交接區(qū)）和未授權人員可進入辦公場所的其他點應加以 控制，如果可能，要與信息 處理設施隔離，以避免未授權訪問。 A.9.2 設備 目標：防止資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)以及組織活動的中斷。 A.9.2.1 設備安置和保 護 控制措施 應安置或保護設備，以減少由環(huán)境威脅和危險所造成的各種風險以及 未授權訪問的機會。 A.9.2.2 支持性設施 控制措施 應保護設備使其免于由支持性設施的失效而引起的電源故障和其他 中斷。 A.9.2.3 布纜 控制措施 應保證傳輸數(shù)據(jù)或支持信息服務的電源布纜和通信布纜免受竊聽或 損壞。 A.9.2.4 A.9.2.5 設備維護 控制措施 設備應予以正確地維護，以確保其持續(xù)的可用性和完整性。 組 織 場 所 外 的 控制措施 設備 應對組織場所的設備采取措施，要考慮工作在組織場所以外的不 同風險。 設備的 處 置或再利用 資產(chǎn)的移動 A.9.2.6 控制措施 包含儲存介質(zhì)的設備的所有項目應進行檢查，以確保在銷毀之前，任 何敏感信息和注冊軟件已被刪除或重寫。 A.9.2.7 控制措施 設備、信息或軟件在授權之前不應帶出組織場所。 A.10 通信和操作管理 A.10.1 操作程序和職責 目標：確保正確、的操作信息處理設施。 A.10.1.1 A.10.1.2 A.10.1.3 文件化 的操作 程序 變更管理 責任分割 控制措施 操作程序應形成文件、保持并對所有需要的用戶可用。 控制措施 對信息處理設施和系統(tǒng)的變更應加以控制。 控制措施 各類責任及職責范圍應加以分割，以降低未授權或無意識的修改或者 不當使用組織資產(chǎn)的機會。 A.10.1.4 開發(fā)、測試和 運行設施分離 控制措施 開發(fā)、測試和運行設施應分離，以減少未授權訪問或改變運行系統(tǒng)的 風險。 A.10.2 第三方服務交付管理 目標：實施和保持符合第三方服務交付協(xié)議的信息和服務交付的適當水準。 A.10.2.1 服務交付 控制措施 應確保第三方實施、運行和保持包含在第三方服務交付協(xié)議中的 控制措施、服務定義和交付水準。 A.10.2.2 第三方服務的 監(jiān)視和評審 第三方服務的 變更管理 控制措施 應定期監(jiān)視和評審由第三方提供的服務、報告和記錄，審核也應定期 執(zhí)行。 A.10.2.3 控制措施 應管理服務提供的變更，包括保持和改進現(xiàn)有的信息方針策略、 程序和控制措施，要考慮業(yè)務系統(tǒng)和涉及過程的關鍵程度及風險 的再 評估。 A.10.3 系統(tǒng)規(guī)劃和驗收 目標：將系統(tǒng)失效的風險降至小。 A.10.3.1 容量管理 控制措施 資源的使用應加以監(jiān)視、調(diào)整，并應作出對于未來容量要求的預測， 以確保擁有所需的系統(tǒng)性能。 A.10.3.2 系統(tǒng)驗收 控制措施 應建立對新信息系統(tǒng)、升級及新版本的驗收準則，并且在開發(fā)中和驗 收前對系統(tǒng)進行適當?shù)臏y試。 A.10.4 防范惡意和移動代碼 目標：保護軟件和信息的完整性。 A.10.4.1 控制惡意代碼 控制措施 應實施惡意代碼的監(jiān)測、和恢復的控制措施，以及適當?shù)奶岣哂?戶意識的程序。 A.10.4.2 控制移動代碼 控制措施 當授權使用移動代碼時，其配置應確保授權的移動代碼按照清晰定義 的策略運行，應阻止執(zhí)行未授權的移動代碼。 A.10.5 備份 目標：保持信息和信息處理設施的完整性及可用性。 A.10.5.1 信息備份 控制措施 應按照已設的備份策略，定期備份和測試信息和軟件。 A.10.6 網(wǎng)絡管理 目標：確保網(wǎng)絡中信息的性并保護支持性的基礎設 施。 A.10.6.1 網(wǎng)絡控制 控制措施 應充分管理和控制網(wǎng)絡，以防止威脅的發(fā)生，維護系統(tǒng)和使用網(wǎng)絡的 應用程序的，包括傳輸中的信息。 A.10.6.2 網(wǎng)絡服務的安 全 控制措施 特性、服務級別以及所有網(wǎng)絡服務的管理要求應予以確定并包括 在所有網(wǎng)絡服務協(xié)議中，無論這些服務是由內(nèi)部提供的還是外包 的。 A.10.7 介質(zhì)處置 目標：防止資產(chǎn)遭受未授權泄露、修改、移動或銷毀以及業(yè)務活動的中斷。 A.10.7.1 A.10.7.2 A.10.7.3 可移動 介質(zhì)的 管理 介質(zhì)的處置 信息處理程序 控制措施 應有適當?shù)目梢苿咏橘|(zhì)的管理程序。 控制措施 不再需要的介質(zhì)，應使用正式的程序可靠并地處置。 控制措施 應建立信息的處理及存儲程序，以防止信息的未授權的泄漏或不當使 用。 A.10.7.4 系統(tǒng)文件 控制措施 應保護系統(tǒng)文件以防止未授權的訪問。 A.10.8 信息的交換 目標：保持組織內(nèi)信息和軟件交換及與外部組織信息和軟件交換的。 A.10.8.1 信息交換策略 和程序 控制措施 應有正式的交換策略、程序和控制措施，以保護通過使用各種類型通 信設施的信息交換。 A.10.8.2 A.10.8.3 交換協(xié)議 運輸中的物理 介質(zhì) 電子消息發(fā)送 業(yè)務信息系統(tǒng) 控制措施 應建立組織與外部團體交換信息和軟件的協(xié)議。 控制措施 包含信息的介質(zhì)在組織的物理邊界以外運送時，應防止未授權的訪 問、不當使用或毀壞。 A.10.8.4 A.10.8.5 控制措施 包含在電子消息發(fā)送中的信息應給予適當?shù)谋Ｗo。 控制措施 應建立并實施策略和程序，以保護與業(yè)務信息系統(tǒng)互聯(lián)相關的信息。 A.10.9 電子商務服務 目標：確保電子商務服務的及其使用。 A.10.9.1 電子商務 控制措施 包含在使用公共網(wǎng)絡的電子商務中的信息應受保護，以防止欺詐活 動、合同爭議和未授權的泄露和修改。 A.10.9.2 在線交易 控制措施 包含在在線交易中的信息應受保護，以防止不完全傳輸、錯誤路由、 未授權的消息篡改、未授權的泄露、未授權的消息復制或重放。 A.10.9.3 公共可用信息 控制措施 在公共可用系統(tǒng)中可用信息的完整性應受保護，以防止未授權的修 改。 A.10.10 監(jiān)視 目標：檢測未經(jīng)授權的信息處理活動。 A.10.10.1 審核日志 控制措施 應產(chǎn)生記錄用戶活動、異常和信息事態(tài)的審核日志，并要保持一 個已設的周期以支持將來的調(diào)查和訪問控制監(jiān)視。 A.10.10.2 A.10.10.3 監(jiān)視系統(tǒng)的使 用 日志信息的保 護 管理員和操作 員日志 故障日志 時鐘同步 控制措施 應建立信息處理設施的監(jiān)視使用程序，監(jiān)視活動的結(jié)果要經(jīng)常評審。 控制措施 記錄日志的設施和日志信息應加以保護，以防止篡改和未授權的訪 問。 A.10.10.4 A.10.10.5 A.10.10.6 控制措施 系統(tǒng)管理員和系統(tǒng)操作員活動應記入日志。 控制措施 故障應被記錄、分析，并采取適當?shù)拇胧? 控制措施 一個組織或域內(nèi)的所有相關信息處理設施的時鐘應使用已設的 時間源進行同步。 A.11 訪問控制 A.11.1 訪問控制的業(yè)務要求 目標：控制對信息的訪問。 A.11.1.1 訪問控制策略 控制措施 訪問控制策略應建立、形成文件，并基于業(yè)務和訪問的要求進行 評審。 A.11.2 用戶訪問管理 目標：確保授權用戶訪問信息系統(tǒng)，并防止未授權的訪問。 A.11.2.1 用戶注冊 控制措施 應有正式的用戶注冊及注銷程序，來授權和撤銷對所有信息系統(tǒng)及服 務的訪問。 A.11.2.2 A.11.2.3 A.11.2.4 特殊權限管理 用戶口令管理 用戶訪問權的 復查 控制措施 應限制和控制特殊權限的分配及使用。 控制措施 應通過正式的管理過程控制口令的分配。 控制措施 管理者應定期使用正式過程對用戶的訪問權進行復查。 A.11.3 用戶職責 目標：防止未授權用戶對信息和信息處理設施的訪問、危害或竊取。 A.11.3.1 A.11.3.2 A.11.3.3 口令使用 無人 值守的用 戶設備 清空桌面和屏 幕策略 控制措施 應要求用戶在選擇及使用口令時，遵循良好的習慣。 控制措施 用戶應確保無人值守的用戶設備有適當?shù)谋Ｗo。 控制措施 應采取清空桌面上文件、可移動存儲介質(zhì)的策略和清空信息處理設施 屏幕的策略。 A.11.4 網(wǎng)絡訪問控制 目標：防止對網(wǎng)絡服務的未授權訪問。 A.11.4.1 A.11.4.2 A.11.4.3 A.11.4.4 A.11.4.5 A.11.4.6 使用網(wǎng)絡 服務 的策略 外部連接的用 戶鑒別 網(wǎng)絡上的設備 標識 遠程診斷和配 置端口的保護 網(wǎng)絡隔離 網(wǎng)絡連接控制 控制措施 用戶應僅能訪問已獲專門授權使用的服務。 控制措施 應使用適當?shù)蔫b別方法以控制遠程用戶的訪問。 控制措施 應考慮自動設備標識，將其作為鑒別特定位置和設備連接的方法。 控制措施 對于診斷和配置端口的物理和邏輯訪問應加以控制。 控制措施 應在網(wǎng)絡中隔離信息服務、用戶及信息系統(tǒng)。 控制措施 對于共享的網(wǎng)絡，特別是越過組織邊界的網(wǎng)絡，用戶的聯(lián)網(wǎng)能力應按 照訪問控制策略和業(yè)務應用要求加以限制（見 11.1）。 A.11.4.7 網(wǎng)絡路由控制 控制措施 應在網(wǎng)絡中實施路由控制，以確保計算機連接和信息流不違反業(yè)務應 用的訪問控制策略。 A.11.5 操作系統(tǒng)訪問控制 目標：防止對操作系統(tǒng)的未授權訪問。 A.11.5.1 A.11.5.2 登錄程序 用戶標識和鑒 別 控制措施 訪問操作系統(tǒng)應通過登錄程序加以控制。 控制措施 所有用戶應有 的、 其個人使用的標識符（用戶 ID），應選擇 一種適當?shù)蔫b別技術證實用戶所宣稱的身份。 A.11.5.3 A.11.5.4 口令管理系統(tǒng) 系統(tǒng)實用工具 的使用 會話超時 聯(lián)機時間的限 定 控制措施 口令管理系統(tǒng)應是交互式的，并應確保優(yōu)質(zhì)的口令。 控制措施 可能超越系統(tǒng)和應用程序控制的實用工具的使用應加以限制并嚴格 控制。 A.11.5.5 A.11.5.6 控制措施 不活動會話應在一個設定的休止期后關閉。 控制措施 應使用聯(lián)機時間的限制，為高風險應用程序提供額外的。 A.11.6 應用和信息訪問控制 目標：防止對應用系統(tǒng)中信息的未授權訪問。 A.11.6.1 信息訪問限制 控制措施 用戶和支持人員對信息和應用系統(tǒng)功能的訪問應依照已確定的訪問 控制策略加以限制。 A.11.6.2 敏感系統(tǒng)隔離 控制措施 敏感系統(tǒng)應有專用的（隔離的）運算環(huán)境。 A.11.7 移動計算和遠程工作 目標：確保使用可移動計算和遠程工作設施時的信息。 A.11.7.1 移動計算和通 信 遠程工作 控制措施 應有正式策略并且采用適當?shù)拇胧?，以防范使用移動計算和通?設施時所造成的風險。 A.11.7.2 控制措施 應為遠程工作活動開發(fā)和實施策略、操作計劃和程序。 A.12 信息系統(tǒng)獲取、開發(fā)和維護 A.12.1 信息系統(tǒng)的要求 目標：確保是信息系統(tǒng)的一個有機組成部分。 A.12.1.1 要 求分析 和說明 控制措施 在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務要求陳述中，應規(guī)定對安 全控制措施的要求。 A.12.2 應用中的正確處理 目標：防止應用系統(tǒng)中的信息的錯誤、遺失、未授權的修改及誤用。 A.12.2.1 A.12.2.2 輸入數(shù)據(jù)驗證 內(nèi)部處理的控 制 消息完整性 控制措施 輸入應用系統(tǒng)的數(shù)據(jù)應加以驗證，以確保數(shù)據(jù)是正確且恰當?shù)摹? 控制措施 驗證檢查應整合到應用中，以檢查由于處理的錯誤或故意的行為造成 的信息的訛誤。 A.12.2.3 控制措施 應用中的確保真實性和保護消息完整性的要求應得到識別，適當?shù)目?制措施也應得到識別并實施。 A.12.2.4 輸出數(shù)據(jù)驗證 控制措施 從應用系統(tǒng)輸出的數(shù)據(jù)應加以驗證，以確保對所存儲信息的處理是正 確的且適于環(huán)境的。 A.12.3 密碼控制 目標：通過密碼方法保護信息的保密性、真實性或完整性。 A.12.3.1 A.12.3.2 使用密碼控制 的策略 密鑰管理 控制措施 應開發(fā)和實施使用密碼控制措施來保護信息的策略。 控制措施 應有密鑰管理以支持組織使用密碼技術。 A.12.4 系統(tǒng)文件的 目標：確保系統(tǒng)文件的 A.12.4.1 A.12.4.2 A.12.4.3 運行軟件的控 制 系統(tǒng)測試數(shù)據(jù) 的保護 控制措施 應有程序來控制在運行系統(tǒng)上安裝軟件。 控制措施 測試數(shù)據(jù)應認真地加以選擇、保護和控制。 對 程 序 源 代 碼 控制措施 的訪問控制 應限制訪問程序源代碼。 A.12.5 開發(fā)和支持過程中的 目標：維護應用系統(tǒng)軟件和信 息的。 A.12.5.1 變更控制程序 控制措施 應使用正式的變更控制程序控制變更的實施。 A.12.5.2 操作系統(tǒng)變更 后應用的技術 評審 軟件包變更的 限制 信息泄露 外包軟件開發(fā) 控制措施 當操作系統(tǒng)發(fā)生變更后，應對業(yè)務的關鍵應用進行評審和測試，以確 保對組織的運行和沒有負面影響。 A.12.5.3 控制措施 應對軟件包的修改進行勸阻，限制必要的變更，且對所有的變更加以 嚴格控制。 A.12.5.4 A.12.5.5 控制措施 應防止信息泄露的可能性。 控制措施 組織應管理和監(jiān)視外包軟件的開發(fā)。 A.12.6 技術脆弱性管理 目標：降低利用公布的技術脆弱性導致的風險。 A.12.6.1 技 術 脆 弱 性 的 控制措施 應及時得到現(xiàn)用信 息系統(tǒng)技術脆弱性的信息，評價組織對這些脆弱性 控制 的暴露程度，并采取適當?shù)拇胧﹣硖幚硐嚓P的風險。 A.13 信息事件管 理 A.13.1 報告信息事態(tài)和弱點 目標：確保與信息系統(tǒng)有關的信息事態(tài)和弱點能夠以某種方式傳達，以便及時采取糾正措施 。 A.13.1.1 A.13.1.2 報告信息 事態(tài) 報告弱點 控制措施 信息事態(tài)應該盡可能快地通過適當?shù)墓芾砬肋M行報告。 控制措施 應要求信息系統(tǒng)和服務的所有雇員、承包方人員和第三方人員記錄并 報告他們觀察到的或懷疑的任何系統(tǒng)或服務的弱點。 A.13.2 信息事件和改進的管理 目標：確保采用一致和有效的方法對信息事件進行管理。 A.13.2.1 職責和程序 控制措施 應建立管理職責和程序，以確保能對信息事件做出快速、有效和 有序的響應。 A.13.2.2 A.13.2.3 對信息事 件的總結(jié) 證據(jù)的收集 控制措施 應有一套機制量化和監(jiān)視信息事件的類型、數(shù)量和代價。 控制措施 當一個信息事件涉及到訴訟（民事的或刑事的），需要進一步對 個人或組織進行起訴時，應收集、保留和呈遞證據(jù)，以使證據(jù)符 合相 關訴訟管轄權。 A.14 業(yè)務連續(xù)性管理 A.14.1 業(yè)務連續(xù)性管理的信息方面 目標：防止業(yè)務活動中斷，保護關鍵業(yè)務過程免受信息系統(tǒng)重大失誤 或災難的影響，并確保它們的 及時恢復。 A.14.1.1 業(yè)務連續(xù)性管 理過程中包含 的信息 業(yè)務連續(xù)性和 風險評估 制定和實施 包 含信息的 連續(xù)性計劃 業(yè)務連續(xù)性計 劃框架 測試、維護和 再評估業(yè)務連 續(xù)性計劃 控制措施 應為貫穿于組織的業(yè)務連續(xù)性開發(fā)和保持一個管理過程，以解決組織 的業(yè)務連續(xù)性所需的信息要求。 A.14.1.2 控制措施 應識別能引起業(yè)務過程中斷的事態(tài)，這種中斷發(fā)生的概率和影響，以 及它們對信息所造成的后果。 A.14.1.3 控制措施 應制定和實施計劃來保持或恢復運行，以在關鍵業(yè)務過程中斷或失敗 后能夠在要求的水平和時間內(nèi)確保信息的可用性。 A.14.1.4 控制措施 應保持一個 的業(yè)務連續(xù)性計劃框架，以確保所有計劃是一致的， 能夠協(xié)調(diào)地解決信息要求，并為測試和維護確定優(yōu)先級。 A.14.1.5 控制措施 業(yè)務連續(xù)性計劃應定期測試和更新，以確保其及時性和有效性。 A.15 符合性 A.15.1 符合法律要求 目標：避免違反任何法律、法令、法規(guī)或合同義務，以及任何要求。 A.15.1.1 可用法律的 識 別 控制措施 對每一個信息系統(tǒng)和組織而言，所有相關的法令、法規(guī)和合同要求， 以及為滿足這些要求組織所采用的方法，應加以明確地定義、形 成文 件并保持更新。 A.15.1.2 知 識 產(chǎn) 權 （IPR） 保護組織的記 錄 數(shù)據(jù)保護和個 人信息的隱私 控制措施 應實施適當?shù)某绦?，以確保在使用具有知識產(chǎn)權的材料和具有所有權 的軟件產(chǎn)品時，符合法律、法規(guī)和合同的要求。 A.15.1.3 控制措施 應防止重要的記錄遺失、毀壞和偽造，以滿足法令、法規(guī)、合同和業(yè) 務的要求。 A.15.1.4 控制措施 應依照相關的法律、法規(guī)和合同條款的要求，確保數(shù)據(jù)保護和隱私。 A.15.1.5 A.15.1.6 防止濫用信息 處理設施 密碼控制措施 的規(guī)則 控制措施 應禁止用戶使用信息處理設施用于未授權的目的。 控制措施 使用密碼控制措施應遵從相關的協(xié)議、法律和法規(guī)。 A.15.2 符合策略和標準以及技術符合性 目標：確保系統(tǒng)符合組織的策略及標準。 A.15.2.1 符合策略 和標準 技術符 合性檢 查 控制措施 管理人員應確保在其職責范圍內(nèi)的所有程序被正確地執(zhí)行，以確 保符合策略及標準。 A.15.2.2 控制措施 信息系統(tǒng)應被定期檢查是否符合實施標準。 A.15.3 信息系統(tǒng)審核考慮 目標：將信息系統(tǒng)審核過程的有效性 化，干擾小化。 A.15.3.1 信息系統(tǒng)審核 控制措施 信息系統(tǒng) 審核 工具的保護 控 制措施 涉及對運行系統(tǒng)檢查的審核要求和活動，應謹慎地加以規(guī)劃并取得批 準，以便小化造成業(yè)務過程中斷的風險。 A.15.3.2 控制措施 對于信息系統(tǒng)審核工具的訪問應加以保護，以防止任何可能的濫用或 損害。