ISO27000認證信息風險評估FAQ 深圳ISO27000認證為什么要進行信息風險評估？ 　　通過風險評估，你可以知道組織范圍內存在哪些重要的信息資產、信息處理設施及其面臨的威脅，發(fā)現(xiàn)技術和管理上的脆弱點，綜合評估現(xiàn)有綜合資產的風險狀況。 什么是信息風險評估？ 　　風險評估：對信息及信息載體、應用環(huán)境等各方面風險進行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認風險及其大小的過程。 　　風險評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎上做決策服務；風險控制措施為組織實施信息的改進提供指導。 信息風險評估的實施的主體是什么？ 　　風險評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進行的風險評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務主管發(fā)起的，旨在依據(jù)已經頒布的法規(guī)或標準進行的，具有強制意味的檢查活動，是通過行政手段加強信息的重要措施。 　　檢查評估應該是具有一定資質的風險評估服務機構實施的。自評估可以在信息風險評估服務機構的咨詢、服務、培訓下，由系統(tǒng)所有者和評估服務機構共同完成。 信息風險評估的政策依據(jù)及標準依據(jù)？ 　　 信息化領導小組《關于加強信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風險評估作為一項重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務、電力三個行業(yè)進行試點，根據(jù)試點經驗，各省市建立信息風險評估管理制度。 　　 國信辦標準草案《信息風險評估指南》、《信息風險管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風險評估包括哪幾個主要實施階段？ 　　風險評估可以分為資產識別、重要資產賦值、威脅分析、脆弱性識別、風險計算、風險控制措施提出等實施階段。 信息風險評估的主要內容及方法？ 　　信息風險評估的實施主要有以下內容： 　　 （1）資產識別 　　 （2）資產的屬性賦值及權重計算 　　 （3）威脅分析 　　 （4）薄弱點分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風險計算 　　 （7）風險處理計劃制定 　　 風險評估是一項綜合的系統(tǒng)工程，既涉及到技術，又涉及到管理。風險評估過程中既需要采用技術的檢測手段，又需要進行綜合的歸納、總結和分析方法。 　　 風險評估中資產價值的判斷、威脅判斷、事件造成影響的判斷標準都需要根據(jù)被評估實際情況，與被評估方共同確定。 信息風險評估是否會影響系統(tǒng)的業(yè)務正常運行？ 　　除針對服務器的漏洞掃描、診斷及滲透性測試外，風險評估不會對系統(tǒng)的業(yè)務運行造成影響。即使是滲透性測試，也僅僅是為了驗證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關鍵程序/進程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細的滲透測試方案與用戶交流，包括滲透測試對象、測試強度、可能后果、提前備份等要求，并經用戶認可后方能實施。 信息風險評估的結果形式是什么？ 　　信息風險評估在評估過程中將生成一系列的風險評估操作記錄，包括：重要資產列表、脆弱性匯總表、資產威脅識別表、資產威脅風險系數(shù)表、信息資產綜合風險值表等， 將生成三份評估結果： 　　 脆弱性評估報告：以資產為核心，描述該資產存在的薄弱點。 　　 風險評估報告：反映了風險評估整個過程、方法、內容及風險結果。 　　 風險處理計劃：針對識別的風險，提出具體的控制目標和控制措施。 信息風險評估的周期有多長　 　　信息風險評估沒有確定的時間周期，一般兩年一次進行定期的評估，但當組織新增信息資產、系統(tǒng)發(fā)生重大變更、業(yè)務流程發(fā)生重大變化、發(fā)生嚴重信息事故等情況下應進行風險評估。 　　 此外，對系統(tǒng)規(guī)劃、擴建時也需要進行風險評估，為需求、策略的制定提供依據(jù)。 信息風險評估的收費標準　 　　根據(jù)評估對象的不同而不同。風險評估的對象可以是：單個獨立的信息系統(tǒng)、支持組織業(yè)務的整體信息處理環(huán)境、整個組織范圍。信息風險評估的費用主要依據(jù)以下幾個方面進行核算： 　　 網絡規(guī)模 　　 聯(lián)網單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設備的多少 　　 被評估的組織范圍大小

IATF16949認證之過程管理 一、看流程 看流程的目的是看一家企業(yè)是否有一個精益的布局，是否在創(chuàng)造無間斷的操作流程使問題可視化。流程非常重要，一個隨時間斷的流程布局，浪費隨處可見，一個精益的布局流程能在設計的源頭上很多的浪費。實施精益管理，先期進行精益的布局，這是至關重要的。 二、看可視化 可視化是讓問題簡單化，是用眼睛管理?？梢暬彩瞧髽I(yè)管理氛圍的體現(xiàn)，管理水平的直觀傳達。可視化的體現(xiàn)是目視化的管理看板，我將它分為靜態(tài)的和動態(tài)的管理看板。靜態(tài)的看板主要是傳達組織長期的管理理念，動態(tài)的看板是管理者隨時要把握的管理信息，我認為動態(tài)管理看板更能反映一個組織的管理水平和能力。 三、看標準化 一個企業(yè)肯定有許多標準，之所以叫標準化，是將標準普及到可執(zhí)行的層面。建立標準有四個關鍵問題： 1、是否每個人都能知道正常與異常？ 2、是否每個人都能知道自己應該采取的標準方法？ 3、是否每個人都知道自己工作的主要問題？ 4、是否每個人都知道自己在做什么？ 四、看文化 進入一家企業(yè)耳聞的目睹的文化元素的表象體現(xiàn)。如果這家企業(yè)5分鐘之內聽不到“改善”、10分鐘之內聽不到“現(xiàn)場”這些詞匯，它就不是精益企業(yè)。如果一家企業(yè)它具備了這樣一種精益文化，首先，這種企業(yè)文化要求高級管理人員堅持到生產一線去，直接聆聽員工的聲音；其次，這種文化里，每天都會使用精益工具，目的是潛在問題凸現(xiàn)出來，每個人都會問“為什么”，直到找出問題的根本原因，并提出相應的對策，并不斷點檢對策的正確性；第三就是，這是一種“問題優(yōu)先”文化,高層管理人員會和員工一起解決面臨的問題，會感激那些找出新問題的新麻煩的人。 精益的企業(yè)文化是企業(yè)發(fā)展的內在動力。有精益的流程，有可視化的問題管理方法、有標準化的管理基準、有創(chuàng)新的企業(yè)文化，這家企業(yè)應該是能看的，值得參觀學習的。 看的第二個層次是：著眼于管理環(huán)節(jié)，用管理者的眼光去看。 方法是：一看、二問、三思、四做。一看：站在距現(xiàn)場5M遠的地方用客戶的眼光去觀察20-30分鐘，對象是人、機、料、法、環(huán)，然后再進入現(xiàn)場去近距離看、聽、想。 人是否有計劃？設備是否有點檢基準？物料是否能夠配送？加工方法是否易于遵守？環(huán)境是否易于輕松工作？ 二問：分為問操作者和問自己。 問操作者：為何這樣做？這樣做的依據(jù)是什么？----強化遵守規(guī)定意識；這樣做的目的是什么？----強化返回原點思考的意識；要達到什么樣的標準？----強化質量意識；有沒有異常？出現(xiàn)異常怎么辦？----強化異常問題“呼、停、待”意識；問自己：為何要這樣做？有沒有更好的辦法？----強化改善意識。 三思：思考原點、思考根源、思考方案。 思考原點：針對看到的現(xiàn)象，返回原點(創(chuàng)造價值)進行思考；原點就是：以客戶需求為導向，用少的資源，制造有價值的商品如果偏離了這個原點，就存在問題。 思考根源：針對問題點，思考問題產生的根源，(切忌不要被表面現(xiàn)象蒙蔽)用“五步為什么？”查找問題的根源； 思考方案：針對問題，思考改善方案，能否采取改善四原則排除/簡化/合并/重排。 四做： 1.調查分析：現(xiàn)狀調查分析，用數(shù)據(jù)說話，用數(shù)據(jù)統(tǒng)計分析，查找出關鍵的因素； 2.改善方案：制定改善方案，組織進行實施； 3跟蹤檢查：對執(zhí)行過程進行跟蹤檢查，出現(xiàn)偏差及時修正； 4.鞏固：對改善效果標準化，制定再發(fā)防止措施,落實到相關管理文件。 看的第三個層次是：著眼于管理細節(jié)。 這一種觀察方法主要應用于現(xiàn)場一線直接的管理者，現(xiàn)場巡察細節(jié)對象是人、機、料、法、信息。 人：人-Q（質量） 人員能力狀況是否清楚？是否有訓練計劃并執(zhí)行？是否有新人/頂崗人員？是否有標記？是否有針對措施？是否按《標準作業(yè)》規(guī)定操作？是否按《品確書》實施頻檢？是否有不易保證質量（難操作工序）的操作？對關重工序是否有操作資格規(guī)定？ 人-C（成本） 生產線上人員是否按標準作業(yè)配置？有無多余人員？是否有作業(yè)動作停止現(xiàn)象？是否有等待（單手/雙手）現(xiàn)象？是否有費力操作？動作太大、步行多、轉身角度大、移動中變換狀態(tài)、伸背動作、彎腰動作？是否有左、右手交換動作？是否有重復/不必要的動作？ 人-D（效率） 是否有尋找現(xiàn)象？是否有不熟練操作？是否有離開生產線現(xiàn)象？是否用同一順序反復進行作業(yè)嗎？注重觀察作業(yè)者手的動作/腳的動作/腰部的動作/頭的動作，是否能省略/合并/重排/簡化？ 人-S/E（/環(huán)境） 操作方法和周圍環(huán)境是否有不因素？作業(yè)時光線是否充足？是否有異常噪音，是否刺耳？作業(yè)周圍是否清潔？地板上是否有油污？是否容易使人滑倒？ 設備-Q（質量） 是否有設備精度點檢制度，并得到遵守？是否有開工條件點檢/工裝點檢制度，并得到遵守？設備調整是否有管理制度，并得到遵守？條件設定是否可由作業(yè)員隨意更改？是否鎖定？負責變更的責任人明確了嗎？---需要可視化。 設備-C（成本） 是否有設備故障率/停機時間每日變動趨勢目視化管理？設備切削參數(shù)是否設定？是否 化？并得到遵守？是否有生產線設備節(jié)拍顯示？是否有對節(jié)拍長的設備不斷改善活動？是否有刀具異常消耗管理制度？并嚴格執(zhí)行？是否有設備換型時間管理？是否在不斷改善減少換型時間？ 設備-D（效率） 設備的日常維護（點檢）的事實是否夠清晰可見？設備上面、加工部位、天花板上是否沾有灰塵或異物？所使用的工具是否有規(guī)定放置位置？并得到遵守？是否從設備的運動部位發(fā)出較大的聲音或奇怪的響聲？切削油、冷卻液是否正好打到切削部位？是否有定量/定時換刀管理制度？是否得到遵守？公眾號：精益生產促進中心。 設備-S/E（/環(huán)境） 設備運動的地方，身體一部分進去設備會自動停止嗎？是否有設備漏油現(xiàn)象并得到管理？是否有切屑飛濺現(xiàn)象？設備是否有異常聲音/氣味/溫度等？設備防護罩是否正常使用？設備上是否放置有多余物料？ 材料-Q（質量） 是否有專門的廢品箱（紅色）？是否能做到先入先出？成品或半成品是否清潔、生銹？放置場所是否有區(qū)分并得到遵守？成品、半成品是否有規(guī)定的容器，標識是否清晰，是否按規(guī)定放置？工序間在制品是否遵守標準手持，對零件放置位置、數(shù)量是否有規(guī)定？相似零件的防錯，標識是否清晰？批次管理是否遵守？ 材料-C（成本） 是否有不良品分層管理制度并得到遵守？是否有不良品每日變動趨勢管理？是否有輔料消耗管理制度并得到遵守？注意觀察多切屑工序，是否能改成少或無切屑加工方法？ 材料-D（效率） 零件放置位置/方式是否方便取放？零件盒/箱是否方便搬運？零件數(shù)量是否能一目了然？是否存在零件來回倒箱的浪費現(xiàn)象？ 材料-S/E（/環(huán)境） 物品是否有放在通道現(xiàn)象？零件容器是否有滴油現(xiàn)象？ 如何做一名的生產管理者 生生產管理者是企業(yè)組織生產經營活動的基本單位，是企業(yè)基層的生產管理組織，企業(yè)的所有生產活動都在工段中進行，工段工作的好壞直接關系著企業(yè)經營的成敗，只有工段充滿了勃勃生機，企業(yè)才能有持續(xù)穩(wěn)定的發(fā)展，才能在激烈的市場競爭中長久立于不敗之地，因此加強工段管理至關重要。 一、生產管理者應明白的道理 生產管理者是車間生產中的，是公司生產管理的直接指揮和組織者，是生產管理中的直接負責人，實際工作中生產管理者不僅是產品生產的組織，也是直接的生產者。 生產管理是指為完成生產任務而必須做好的各項管理活動，生產管理者要充分發(fā)揮全體人員的主觀能動性和生產積極性，團結協(xié)作，合理地組織人力、物力、充分利用各方面信息，使工段生產均衡有效地進行，產生1+1>2的效應,終做到按質、按量、按時、的完成上級下達的各項生產計劃指標。 生產管理者自身應具備“做人、做事、做領導”的三種能力，簡單地說：做人,自身必須具備良好的品格與徳行，才能以德服人，感染員工，讓員工信服；做事，工作中要有高度的責任感，對工作負責的良好心態(tài)，同時工作中起到帶頭作用，精于本工段生產中的各個環(huán)節(jié)；做領導，加強本工段各項管理工作，充分調動員工的工作激情，使工段工作有條不紊的開展。 二、生產管理者應做的工作內容 生產管理者是生產的直接組織者和生產的勞動者，所以生產管理者既是生產技術骨干，又應該是生產的管理人員，所以生產管理者在此崗位上盡職盡責至關重要，生產管理者應該做的工作包括以下幾個方面： 1、人員管理 生產管理者要增強員工的責任心，樹立員工的榮辱感，我們要以對產品質量負責為榮，以對產品質量不負責為恥，由于我們的不負責導致廢次品、不合格產品的產生，糟蹋企業(yè)和自身利益，夸張的說,這是犯罪。 2、設備管理 不是 的設備就能生產出 的產品，反之，好的產品一定要用好的設備生產出來，再好的設備如果不加維護和保養(yǎng)，總有 會變成一堆廢鐵.設備性能雖有高低之分，但維護和保養(yǎng)是始終如一的，設備運轉良好是生產合格產品的保證,更是按時完成生產計劃的保證。 3、物料的管理 生產管理者要加強對本車間原輔物料的管理，從源頭保證產品質量，減少不必要的浪費，質量隱患，生產過程中要加強控制，降低生產成本。 4、生產過程管理 生產管理者要合理安排機臺生產計劃，明確生產工藝單上的各項要求，對紙板、紙箱半成品、成品的外觀和物理性能等環(huán)節(jié)，經檢查、調試測定合格后才能投入批量生產，應及時發(fā)現(xiàn)生產過程中出現(xiàn)的問題，并及時解決。 5、生產現(xiàn)場管理 生產現(xiàn)場是正常的生產場所，環(huán)境是否整潔有序，直接影響生產的有序進行，遵循現(xiàn)場管理5S要求，加強現(xiàn)場管理。 6、輔助上級開展工作 生產管理者應及時、準確的向上級反映工作中的實際情況，提出合理化建議，做好上級領導的參謀手，工作不僅僅停留在通常的人員調配和生產排班上，更要充分發(fā)揮承上啟下的橋梁作用。 三、生產管理者應負的責任 生產管理者在加強工段管理時既要行使自己的權利、義務，又要承擔相應的責任，主要包括以下幾個方面。 1、 保證和提高產品質量：質量是企業(yè)的命脈，產品質量的好壞直接關系到企業(yè)的興衰存亡，把好產品質量關是義不容辭的責任，同時要領導員工鉆研生產技術，為按時、按質、按量地生產高質量的產品而不懈努力。 2、 提高生產效率：通過不斷的創(chuàng)新并挖掘員工生產積極性，改進操作方法和管理流程，提高設備利用率，提高生產效率。 3、 降低生產成本：降低生產成本包括原材料、能源的節(jié)約，生產過程中廢次品的控制，加強設備維護與保養(yǎng)，減少設備維修成本，人力成本的降低等等。 4、 對生產負責：生產包括人身和設備，有了不一定有了一切，但沒有就沒有一切，生產一定要堅持， 、為主的生產管理方針，防止工傷事故和重大事故的發(fā)生。 四、生產管理者應如何去開展工作 生產管理者在明確自己的工作內容和責任后，應該如何去開展工作，發(fā)揮在生產管理中的作用，應該從以下幾個方面去做 1、 首先應該清楚地知道自己在生產管理中地位和作用，明確自己的工作職責，知道自己該做哪些工作，應該承擔什么樣的責任，只有這樣才能充分發(fā)揮應有的作用，做一個有實際價值的生產管理者。 2、 要具備對工作的強烈責任感，只有對工作負責，才能把工作做好做對，同時工作中要勇于承擔責任，不斷地提高自己的工作能力和素質。 3、 在生產現(xiàn)場要善于發(fā)現(xiàn)問題，并及時處理和解決問題，并對問題進行總結分析，遇到重大質量、等問題應及時向上級領導匯報，以便得到及時處理解決。 4、 在管理本工段的工作中，應制定明確的工作目標和計劃，目標明確是一個重要和起碼的前提，目標的實現(xiàn)需要制定詳細的工作計劃，計劃要有時間性、階段新性，也可分短期計劃和長期計劃。 5、 要關注員工的工作和生活，及時了解員工的思想狀況，對員工及時進行指導，生活上的關心，啟發(fā)和引導員工，把工作做好。 五、生產管理者的業(yè)績體現(xiàn)在哪些方面 1、 產品質量的提高 2、 生產效率的提高 3、 廢次品率的降低，生產成本有效控制 4、 保持良好的生產現(xiàn)場，使生產有序進行 5、 生產管理

ISO14064溫室氣體認證實施流程 組織與運行邊界設定----擬定基準年----識別排放源----排放量量化與計算----建立GHG清單----報告與記錄----報告制作----內部審核與改善---- 高層評審----內部審核報告 （一）實施步驟說明 1、溫室氣體清冊的設計和開發(fā) 1.1組織邊界 1.2 運營邊界 1.3溫室氣體排放和移除的量化 2、溫室氣體清冊組成 2.1溫室氣體 排放和移除 2.2減少溫室氣體排放量和增加溫室氣體移除量的組織活動 2.3基準年的溫室氣體清冊 2.4不確定性評估和降低 3、溫室氣體清冊質量管理 3.1溫室氣體信息管理 3.2文件保留與記錄保存 4、溫室氣體報告 4.1總則 4.2溫室 氣體報告計劃 4.3溫室氣體報告內容 4.4組織在神惡化活動中的作用 5、審核/認證 5.1總則 5.2審核 準備 5.3審核管理 （二）重點部分簡介 1、邊界范圍 這部分包括組織邊界以及營運邊界 。組織邊界的定義主要是從企業(yè)集團的角度著眼，須涵蓋旗下子公司、轉投資公司、合資企業(yè)等各項握有權益的獨立法人或非法人機構。而營運邊界主要就公司的營運活動，以及將之區(qū)分為直接排放與外購電力、蒸汽、熱之使用的間接排放，以及其它間接排放（如 委 外作業(yè)或商務旅行等）三個類別。 2、溫室氣體量化計算 2.1溫室氣體活動強度數(shù)據(jù)收集及匯總 搜集與統(tǒng)計企業(yè)內各項活動數(shù)據(jù)如 各種燃料或原料使用單據(jù)、電費單、商務旅行或貨品運輸車輛行駛里程數(shù)、廢水操作測量數(shù)據(jù)等。溫室氣體活動強度數(shù)據(jù)收集過程中，應盡量查詢是否有可重復核對之數(shù)據(jù)以作為對比。有時某些溫室氣體的年度活動強度數(shù)據(jù)可能同時存在于不同的部門，在統(tǒng)計過程 中應評估其差異性，并選取較正確的數(shù)據(jù)作為代表。若不同活動/設施有相同的排放源而又無法分開紀錄時，則可采用合并紀錄的方式 作為替代方案。 2.2溫室氣體排放系數(shù)收集及匯總 由于排放系數(shù)是將每單位原燃物料使用量換算成產生溫室氣體排放量的重要依據(jù)，因此在量化過程中為十分重要的因子。一般而言，排放系數(shù)應使用現(xiàn)場或本土化的數(shù)據(jù)較為適當，而對于排放系數(shù)來源的識別與 使用的適當性，即為本階段首要工作。 2.3 溫室氣體排放量計算 在收集匯總包含活動強度及排放系數(shù)等所有溫室氣體排放源數(shù)據(jù)后，即可進行溫室氣體 的量化計算。六種不同溫室氣體中，由于CO2與其它五種氣體有造成不同溫室效應的特點，為了校正這種差距，需要利用全球暖化潛勢（Global Warming Potential，GWP），將其換算為實際的CO2當量；即以特定氣體的排放量乘以此氣體的全球暖化潛勢 而計算得出。 匯總完成整個計算。在計算過程中，應特別注意活動強度及排放系數(shù)之單位是否能夠匹配；此外由于CO2以外之五種 溫室氣體有不同之GWP值，在換算成CO2當量時亦應特別注意，若引用錯誤則可能造成量化結果數(shù)千甚至數(shù)萬倍的差異。