ISO27000認證信息風險評估FAQ 深圳ISO27000認證為什么要進行信息風險評估？ 　　通過風險評估，你可以知道組織范圍內存在哪些重要的信息資產、信息處理設施及其面臨的威脅，發(fā)現(xiàn)技術和管理上的脆弱點，綜合評估現(xiàn)有綜合資產的風險狀況。 什么是信息風險評估？ 　　風險評估：對信息及信息載體、應用環(huán)境等各方面風險進行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認風險及其大小的過程。 　　風險評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎上做決策服務；風險控制措施為組織實施信息的改進提供指導。 信息風險評估的實施的主體是什么？ 　　風險評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進行的風險評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務主管發(fā)起的，旨在依據已經頒布的法規(guī)或標準進行的，具有強制意味的檢查活動，是通過行政手段加強信息的重要措施。 　　檢查評估應該是具有一定資質的風險評估服務機構實施的。自評估可以在信息風險評估服務機構的咨詢、服務、培訓下，由系統(tǒng)所有者和評估服務機構共同完成。 信息風險評估的政策依據及標準依據？ 　　 信息化領導小組《關于加強信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風險評估作為一項重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務、電力三個行業(yè)進行試點，根據試點經驗，各省市建立信息風險評估管理制度。 　　 國信辦標準草案《信息風險評估指南》、《信息風險管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風險評估包括哪幾個主要實施階段？ 　　風險評估可以分為資產識別、重要資產賦值、威脅分析、脆弱性識別、風險計算、風險控制措施提出等實施階段。 信息風險評估的主要內容及方法？ 　　信息風險評估的實施主要有以下內容： 　　 （1）資產識別 　　 （2）資產的屬性賦值及權重計算 　　 （3）威脅分析 　　 （4）薄弱點分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風險計算 　　 （7）風險處理計劃制定 　　 風險評估是一項綜合的系統(tǒng)工程，既涉及到技術，又涉及到管理。風險評估過程中既需要采用技術的檢測手段，又需要進行綜合的歸納、總結和分析方法。 　　 風險評估中資產價值的判斷、威脅判斷、事件造成影響的判斷標準都需要根據被評估實際情況，與被評估方共同確定。 信息風險評估是否會影響系統(tǒng)的業(yè)務正常運行？ 　　除針對服務器的漏洞掃描、診斷及滲透性測試外，風險評估不會對系統(tǒng)的業(yè)務運行造成影響。即使是滲透性測試，也僅僅是為了驗證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關鍵程序/進程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細的滲透測試方案與用戶交流，包括滲透測試對象、測試強度、可能后果、提前備份等要求，并經用戶認可后方能實施。 信息風險評估的結果形式是什么？ 　　信息風險評估在評估過程中將生成一系列的風險評估操作記錄，包括：重要資產列表、脆弱性匯總表、資產威脅識別表、資產威脅風險系數(shù)表、信息資產綜合風險值表等， 將生成三份評估結果： 　　 脆弱性評估報告：以資產為核心，描述該資產存在的薄弱點。 　　 風險評估報告：反映了風險評估整個過程、方法、內容及風險結果。 　　 風險處理計劃：針對識別的風險，提出具體的控制目標和控制措施。 信息風險評估的周期有多長　 　　信息風險評估沒有確定的時間周期，一般兩年一次進行定期的評估，但當組織新增信息資產、系統(tǒng)發(fā)生重大變更、業(yè)務流程發(fā)生重大變化、發(fā)生嚴重信息事故等情況下應進行風險評估。 　　 此外，對系統(tǒng)規(guī)劃、擴建時也需要進行風險評估，為需求、策略的制定提供依據。 信息風險評估的收費標準　 　　根據評估對象的不同而不同。風險評估的對象可以是：單個獨立的信息系統(tǒng)、支持組織業(yè)務的整體信息處理環(huán)境、整個組織范圍。信息風險評估的費用主要依據以下幾個方面進行核算： 　　 網絡規(guī)模 　　 聯(lián)網單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設備的多少 　　 被評估的組織范圍大小

房地產開發(fā)企業(yè)是房地產開發(fā)經營活動的組織者和承擔者，擔負著開發(fā)過程的組織、指揮、協(xié)調 與控制的職能。房地產開發(fā)是指取得土地使用權并在其上改造、生產和建設的過程，它的根本原料是 土地，它的產品是不動產（包括土地和建筑物）。經營是指在開發(fā)的全過程中運籌資金、開辟市場、 組織指揮生產、進行銷售和服務的經濟活動。從房地產開發(fā)企業(yè)的職員組成、業(yè)務特點看，這類企業(yè) 是間接的生產指揮者，是向顧客提供房地產產品和服務的經營者，而不是實物產品的生產者。 房地產開發(fā)企業(yè)應處理好企業(yè)與外部的關系，包括企業(yè)與 、企業(yè)與企業(yè)、企業(yè)與顧客之間的 關系，企業(yè)絕大多數(shù)職員從事的工作也是處理和協(xié)調這種關系。 房地產開發(fā)企業(yè)的對外經營活動是通過內部管理來實現(xiàn)的。圍繞經營活動所進行的計劃、指揮、 協(xié)調、監(jiān)督和檢查等工作就是ISO9000族質量管理和質量保證標準所指的對象。因此，房地產開發(fā)企 業(yè)的貫標認證應側重于經營質量和服務質量，而非針對實物產品——房產品的質量。 房地產開發(fā)企業(yè)的內部行為和活動過程 ISO9000認證的重點是房產品質量，也是企業(yè)管理和貫標認證的終目標。從表面看，房地 產開發(fā)企業(yè)派出的專門人員或委托工程監(jiān)理公司到施工現(xiàn)場進行質量監(jiān)督，對施工組織設計和施工工 藝工序進行的確認和改進，對直接影響房產品實體質量的人、機、料、法、環(huán)五大因素進行的監(jiān)督管 理，對產品的過程質量進行的檢查（隱蔽工程檢查、中間驗收等），對終產品進行的多道驗收（竣 工驗收、交付驗收和綜合驗收等），似乎是房地產開發(fā)企業(yè)參與了實物產品的生產，并對自己經營的 房產品實體質量進行了直接調控。其實，即使房地產開發(fā)企業(yè)在施工現(xiàn)場查出了質量批漏，改進了施 工工藝，提高了房產品實物質量，也不意味著這種現(xiàn)場監(jiān)督檢查是房產品質量提高的決定因素，房產 品實物質量的形成過程也不會成為房地產開發(fā)企業(yè)的內部過程或與分承包方的共同生產過程。 不論是過程控制、檢驗和試驗、不合格品控制、糾正和措施要素，都是針對企業(yè)的內部過程 和活動。房地產開發(fā)企業(yè)與施工承包方及顧客的聯(lián)系主要通過合同的形式實現(xiàn)：通過采購合同完成與 承包方之間的產品交付、資金支付、信息聯(lián)系和反饋；通過銷售合同完成與顧客之間的產品交付、資 金支付、信息聯(lián)系和反饋等。因此，房產品實物質量的形成過程是在房地產開發(fā)企業(yè)內部過程之外完 成的，不是房地產開發(fā)企業(yè)貫標認證的重點，其重點是內部行為和活動過程。 企業(yè)監(jiān)督管理行為屬于采購的范疇 房地產開發(fā)企業(yè)與分承包方簽訂的工程承包合同規(guī)定，分承包方有要求發(fā)包方進行隱蔽工程質量 驗收檢查的權利，也賦予了發(fā)包方有隨時檢查分承包方作業(yè)質量和進度的權利。同時，合同也規(guī)定了 分承包有完成施工作業(yè)、交付房產品的義務，發(fā)包方有向分承包方支付酬金的義務。所以，合同的執(zhí) 行過程對房地產開發(fā)企業(yè)來講是一種采購過程。 ISO 9000族標準規(guī)定了采購要素，其中有采購驗證的要求。房地產開發(fā)企業(yè)對施工現(xiàn)場的監(jiān)督檢 查就屬于這種采購驗證的行為，只不過因為建筑的產品特性不同于一般產品，這種采購驗證過程相對 復雜、特殊和重要。房地產開發(fā)企業(yè)對所有隱蔽工程的驗收、中間的工程檢驗和竣工驗收等都是對采 購產品質量的確認和驗證行為，與一般普通產品的進貨檢驗和采購驗證的性質相同。 房地產ISO9000認證應將其所從事的施工過程質量控制、進度控制和投資控制歸入采購控制要素。 根據監(jiān)理合同完成對監(jiān)理方所提供服務的采購 開發(fā)商聘請監(jiān)理公司來履行對房屋質量的控制是一種趨勢。監(jiān)理方與房地產開發(fā)企業(yè)簽訂監(jiān)理委 托合同，規(guī)定由房地產開發(fā)企業(yè)支付酬金，由監(jiān)理方代表房地產開發(fā)企業(yè)完成施工監(jiān)理任務。 監(jiān)理委托合同也屬于采購的范疇。施工承包合同采購的是包括承包方服務在內的實物房產品，監(jiān) 理委托合同采購的是一種由監(jiān)理方提供的服務。因此，應通過委托合同，把本屬于房地產開發(fā)企業(yè)的 采購及采購驗證工作轉化為企業(yè)的外部過程。同樣，施工合同中規(guī)定的應由房地產開發(fā)企業(yè)承擔的對 房產品的采購驗證責任，絕大部分也可以通過委托合同由監(jiān)理方承擔。所以，房地產開發(fā)企業(yè)在貫標 認證中應該謹慎而正確地處理好對監(jiān)理方所提供服務的采購控制。 提高開發(fā)經營的服務質量 房地產開發(fā)企業(yè)是經營企業(yè)而非生產企業(yè)，雖然提供的是質量要求高的房產品，但改變不了經營 服務的根本性質。就像施工承包和監(jiān)理委托一樣，房地產開發(fā)企業(yè)主要通過一系列合同間接完成工作 過程，如地質勘測委托、工程設計委托、形象策劃委托、市場調查委托、動遷和征地委托、銷售和物 業(yè)管理委托等。隨著房地產市場的發(fā)展和分工的日益專業(yè)化，許多過程都將越來越多地通過委托專業(yè) 機構來完成。房地產ISO9000認證應越來越側重于對合同的管理，通過對企業(yè)履行合同過程的質量的 控制，達到間接控制實物產品質量的終目的，更好地為顧客服務。

iso9000:2015認證顧客溝通的內容和方式 4.1 溝通的內容 4.1.1 外部信息 a) 與顧客有關的溝通（如合同、訂單等）； d) 與供應商有關的溝通（如采購合同、訂單、進貨不合格等）； c) 與其他相關方的溝通（如政府監(jiān)管部門等）； 4.1.2 內部信息 a）公司質量方針、質量目標的溝通； b) 公司領導層的決議，包含經營管理目標、公司戰(zhàn)略規(guī)劃及發(fā)展方向等； c) 各種會議精神的傳達； d) 本公司經營、生產和管理過程中發(fā)現(xiàn)的異常信息，包括質量、進度、成本、員工意識等； e）有關經營管理績效及改進的溝通； f) 本公司重要事項的報告,重要事項主要指： 1）重大招、投標事項和合同評審； 2）重大合同項目的技術交底； 3）公司新產品開發(fā)進程、試驗、確認情況； 4）重要顧客對公司現(xiàn)場考評； 5）重大產品質量事故； 6）重大人身傷亡和設備損壞事故； 7）重大生產或管理項目的整改結果。 g）其他需要溝通的日常工作 4.2 內部溝通的主要方式 a) 口頭（含電話）方式溝通──適用于需立即溝通或不需要留有證據的溝通事項； b) 書面方式溝通（含電子信息溝通）──包括：郵件、企業(yè)、通知/通報、會議紀要、溝通聯(lián)絡函、書面報告、公告欄以及各程序文件中規(guī)定的用于相互傳遞的記錄； c) 會議方式溝通──公司需要定期召開或者臨時召開的會議 d) 其他方式溝通──如員工關愛訪談、員工績效面談、員工的合理化建議等。 4.3 外部溝通 4.3.1銷售部和成套綜合辦負責與客戶有關的溝通，詳見《與顧客有關的過程控制程序》； 4.3.2采購部負責與供應商有關的溝通，詳見《供應商管理控制程序》； 4.3.3 其他相關方的溝通職責詳見《組織環(huán)境及相關方需求控制程序》； 4.3.4 以上部門負責相關信息的接收，并將接收到的信息進行處理和報告，必要時應保留書面材料，需要內部其他部門協(xié)助進行完成的，由信息接收部分負責組織協(xié)調。 4.4內部溝通 4.4.1會議溝通 4.4.1.1公司級例會：對于公司系統(tǒng)性工作采用例會的形式進行溝通，公司確定的例會內容及召開頻次要求如下： 例會名稱 會議主題 會議時間 負責人 參加人員 經營管理例會 經營管理工作總結、改進及下一步方向及計劃 每月一次 總經理 經理班子成員 管理 例會 對近一個月的管理工作進行總結、下一步工作部署、管理案例分享等 每月一次 管理/副總總監(jiān) 中高層管理者及后備管理干部 質量 例會 討論近一個月的質量情況、顧客投訴、質量案例等（成套和元件分開召開） 每月一次 管理者代表 技術副總 中高層管理者、車間/技術/質檢相關人員 生產 調度會 生產進度管理情況 每月一次 生產副總/總監(jiān) 生產管理中心相關管理人員以及采購、質檢、技術部門或其他相關部門人員 4.4.1.2部門級例會：部門級例會應保證每月至少召開一次，部門例會由部門經理主持，并留有《會議紀要》。 4.4.1.3 其他臨時性會議：臨時性會議由發(fā)起部門組織并通知會議議題內容、地點、時間、參加人員及會議主持人。根據會議內容及性質確定是否出具《會議紀要》。 4.4.1.4對于公司級例會，會后兩日內，由會議負責人安排人員將會議簡況、主要內容和會議精神進行整理，形成《會議紀要》，向會議負責人匯報后，將《會議紀要》或者相關的會議PPT上傳至OA，相關人員應及時查看，了解會議精神，執(zhí)行會議決定，會議負責人應對會議上做出決定的工作進行檢查，保證會議各項工作落實。有特殊要求的會議按照要求執(zhí)行。 4.4.2公司重要事項的溝通 公司重要事項應及時通過書面文件、公告、會議等形式溝通。 重要事項 提出報告部門 提出報告時間 報告上至人 報告下至人 報告方式 重要客戶參觀 接到通知部門 接到通知后及工作開展前1天 總經理 相關部門和人員 報告/通知 上級工作檢查及項目驗收 接到通知部門 接到通知后及工作開展前1天 總經理 相關部門和人員 報告/通知 重大合同 銷售部 成套綜合辦 得到可靠信息1個工作日內 總經理 合同評審的相關人員 報告/通知 重大項目技術交底 技術部 交底前 技術副總/總工 相關部門 報告 新產品 開發(fā)進度 技術部 重要節(jié)點 總經理及有關 副總經理 相關部門、車間 報告 重大質量事故 技術部/質檢部 當下口頭報告，三日內出書面報告 總經理 管理者代表 有關人員 分析報告 重大事故 生產部 當下口頭報告，三日內出書面報告 總經理/負責人/人事負責人 相關人員 調查報告 重大設備事故 生產部 當下口頭報告，三日內出書面報告 總經理 及生產副總 相關人員 調查報告 重大生產、 管理項目整改 主管部門 事前請示，整改完畢后書面報告 總經理 生產/管理副總 相關人員 工作總結 4.4.3員工意見和投訴溝通 4.4.3.1員工意見和投訴主要包含兩方面的內容： a）一是合理化建議。合理化建議是指任何員工個人或集體針對公司生產、經營或管理的任何環(huán)節(jié)所提出的具有可操作性的改進方法和措施。 b）二是員工投訴。員工投訴主要是指任何員工個人或集體針對公司生產、經營或管理的任何環(huán)節(jié)所提出的抱怨和不滿以及改進建議。 4.4.3.2針對合理化建議 公司合理化建議貫徹“全員參與” 的基本原則，以確保公司的持續(xù)改進，并對提出合理化建議的員工實施獎勵。 4.4.3.3針對員工投訴： 員工投訴的方式可以采用：直接投訴、電話/短信投訴、郵件投訴、意見箱投訴等，企管部負責員工投訴的處理，并根據員工投訴的情況進行調查，結合事件的影響程度以及公司的現(xiàn)狀作出是否需要改進的決定。所有員工投訴的內容應登記公司投訴臺賬，并上報公司總經理。