ISO10012認(rèn)證計(jì)量確認(rèn)和測量過程的實(shí)現(xiàn) ISO10012要求應(yīng)設(shè)計(jì)并實(shí)施計(jì)量確認(rèn)，以確保測量設(shè)備的計(jì)量特性滿足測量過程的計(jì)量要求。 ISO10012計(jì)量確認(rèn)包括測量設(shè)備校準(zhǔn)和測量設(shè)備驗(yàn)證。 測量設(shè)備的操作者應(yīng)得到與測量設(shè)備計(jì)量確認(rèn)狀態(tài)有關(guān)的信息，包括所有限制和特殊要求。 用于確定或改變計(jì)量確認(rèn)間隔的方法應(yīng)用程序文件表述。計(jì)量確認(rèn)間隔應(yīng)經(jīng)評審， 每次對不合格的測量設(shè)備進(jìn)行維修、調(diào)整或修改時(shí)，應(yīng)評審其計(jì)量確認(rèn)間隔。 在經(jīng)確認(rèn)的測量設(shè)備上，對影響其性能的調(diào)整裝置進(jìn)行封印或采取其它保護(hù)措施，以防止未經(jīng)授權(quán)的改變。 封印或保護(hù)裝置的設(shè)計(jì)和實(shí)施應(yīng)保證一旦改變將會被發(fā)現(xiàn)。 計(jì)量確認(rèn)過程程序應(yīng)包括當(dāng)封印或保護(hù)裝置被發(fā)現(xiàn)損壞、破損、轉(zhuǎn)移或丟失時(shí)應(yīng)采取的措施。 適用時(shí)，計(jì)量確認(rèn)過程的記錄應(yīng)注明日期并由授權(quán)人審查批準(zhǔn)以證明結(jié)果的正確性。 應(yīng)保持并可獲得這些記錄。 指南 記錄短的保存時(shí)間決定于許多因素，包括顧客的要求，法律法規(guī)要求和制造者的責(zé)任。有關(guān)測量標(biāo)準(zhǔn)的記錄可能需要 保存。 計(jì)量確認(rèn)過程記錄應(yīng)證明每臺測量設(shè)備是否滿足規(guī)定的計(jì)量要求。 需要時(shí)，記錄應(yīng)包括： a). 設(shè)備制造者的表述和 性標(biāo)識、型號、系列號等； b). 完成計(jì)量確認(rèn)的日期； c). 計(jì)量確認(rèn)結(jié)果； d). 規(guī)定的計(jì)量確認(rèn)間隔； e). 計(jì)量確認(rèn)程序的標(biāo)識（見6.2.1）； f). 規(guī)定的 允許誤差； g). 相關(guān)的環(huán)境條件和必要的修正說明； h). 設(shè)備校準(zhǔn)引入的測量不確定度； i). 維護(hù)的詳細(xì)情況，如調(diào)整、維修和修改等； j). 使用限制； k). 執(zhí)行計(jì)量確認(rèn)的人員標(biāo)識； l). 對信息記錄正確性負(fù)責(zé)的人員標(biāo)識； m). 校準(zhǔn)和報(bào)告以及其它相關(guān)文件的 性標(biāo)識（如編號）； n). 校準(zhǔn)結(jié)果的溯源性的證據(jù)； o). 預(yù)期使用的計(jì)量要求； p). 調(diào)整、修改或維修后的校準(zhǔn)結(jié)果以及要求時(shí)的調(diào)整、修改或維修前的校準(zhǔn)結(jié)果。 計(jì)量職能應(yīng)確保只有經(jīng)授權(quán)的人員才允許形成、修改、出具和刪除記錄。 應(yīng)對作為測量管理體系組成部分的測量過程進(jìn)行策劃、確認(rèn)、實(shí)施、形成文件和加以控制。應(yīng)識別和考慮影響測量過程的影響量。 每一個(gè)測量過程的完整規(guī)范應(yīng)包括所有有關(guān)設(shè)備的標(biāo)識、測量程序、測量軟件、使用條件、操作者能力和影響測量結(jié)果可靠性的其他因素。測量過程控制應(yīng)根據(jù)形成文件的程序進(jìn)行。 應(yīng)根據(jù)顧客、組織和法律法規(guī)的要求確定計(jì)量要求。為了滿足這些規(guī)定要求而設(shè)計(jì)的測量過程應(yīng)形成文件，并確認(rèn)有效，必要時(shí)，征得顧客同意。 對每一測量過程，應(yīng)識別有關(guān)的過程要素和控制。要素和控制限的選擇要與不符合規(guī)定的要求時(shí)引起的風(fēng)險(xiǎn)相稱。這些過程要素和控制應(yīng)包括操作者、設(shè)備、環(huán)境條件、影響量和應(yīng)用方法的影響。 測量過程應(yīng)在設(shè)計(jì)的受控條件下實(shí)現(xiàn)，以滿足計(jì)量要求。 受控條件應(yīng)包括： a) 使用經(jīng)確認(rèn)的設(shè)備， b) 應(yīng)用經(jīng)確認(rèn)有效的測量程序， c) 可獲得所要求的信息資源， d) 保持所要求的環(huán)境條件， e) 使用具備能力的人員， f) 合適的結(jié)果報(bào)告方式， g) 按規(guī)定實(shí)施監(jiān)視。

ISO20000認(rèn)證的關(guān)鍵點(diǎn) 1. 確保各項(xiàng)服務(wù)管理計(jì)劃均有實(shí)施憑證 服務(wù)管理計(jì)劃憑證指的是服務(wù)管理政策、計(jì)劃和方法以及任何與這些相關(guān)的行動的審計(jì)憑證。大多數(shù)這些關(guān)于服務(wù)管理計(jì)劃和操作的憑證應(yīng)該存在于正式的文檔，確保各項(xiàng)工作都在按照計(jì)劃進(jìn)行實(shí)施。 2. 文檔管理規(guī)范 針對文檔創(chuàng)建和管理的過程來保證各流程服務(wù)特性被恰當(dāng)?shù)拿枋觥? 3. 各類文檔的存檔方式 為確保已有憑證的可用性，需要建立起一套將各類文檔保護(hù)起來的備份策略。 ISO 20000認(rèn)證關(guān)鍵點(diǎn) 服務(wù)管理中的服務(wù)支持人員應(yīng)該具備由適當(dāng)?shù)呐嘤?xùn)所支持的工作能力。組織應(yīng)該對每個(gè)服務(wù)管理角色定義必要的能力，并保證個(gè)人能意識到他們自己的工作對整個(gè)服務(wù)上下的重要性以及對服務(wù)品質(zhì)完成的必要性。組織應(yīng)該提供培訓(xùn)或采取行動來滿足這些需要，并實(shí)施行動有效性的評估。 組織應(yīng)該開發(fā)和加強(qiáng)員工工作的專業(yè)能力。在征召新人的過程中，應(yīng)該針對職位的描述、服務(wù)管理目標(biāo)和整個(gè)服務(wù)質(zhì)量目標(biāo)檢查職位申請人的情況有效性，確定申請人的特長、弱點(diǎn)和潛在能力。為了安置新的或擴(kuò)展服務(wù)的員工，使用新技術(shù)，安排服務(wù)管理人員開發(fā)項(xiàng)目團(tuán)隊(duì)，不斷計(jì)劃和填補(bǔ)由于人員周轉(zhuǎn)造成的缺口。員工應(yīng)該在服務(wù)管理相關(guān)領(lǐng)域得到訓(xùn)練，應(yīng)該開發(fā)他們的團(tuán)隊(duì)工作和領(lǐng)導(dǎo)技能。對每個(gè)人的訓(xùn)練記錄以及訓(xùn)練的說明應(yīng)該被保留。 文檔管理 概述 每一個(gè)組織都希望結(jié)合自身特色有效管理和實(shí)施所有IT服務(wù)所需的方針和框架，這就意味著需要制定恰當(dāng)合理的管理政策、計(jì)劃，用以規(guī)范、細(xì)化相關(guān)的活動，使管理使命、目標(biāo)得以落實(shí)。這些管理政策、計(jì)劃、活動記錄將以文檔作為載體進(jìn)行保存，并在實(shí)施過程中指導(dǎo)服務(wù)開展，成為落實(shí)服務(wù)管理政策、計(jì)劃的保障和檢驗(yàn)實(shí)施效果的依據(jù)。 文檔管理(Documentation Management)是針對文檔創(chuàng)建和管理的過程，用以確保服務(wù)特性、管理政策、計(jì)劃被適時(shí)的、恰當(dāng)?shù)拿枋觯员憧刂坪凸芾砼c質(zhì)量體系有關(guān)的文檔資料，確保對質(zhì)量管理體系有效運(yùn)行起重要作用的各個(gè)場所都能得到和使用相應(yīng)體系文檔的有效版本。 以下是文檔管理相關(guān)的一些概念： 受控文檔：指按組織管理要求進(jìn)行審批、登記、分發(fā)并能確保收回、銷毀的文檔。受控文檔需要對文檔的版本進(jìn)行嚴(yán)格控制，確保文件的 有效性。一般來說這些文檔是長期使用并始終處于修改和換版狀態(tài)的，如組織的規(guī)章制度。 質(zhì)量文檔：質(zhì)量體系要求的各流程各種類型文件和記錄所要求的形成文件的過程和程序、要求的記錄，以確保服務(wù)管理的有效計(jì)劃、運(yùn)行和控制，包括以任何形式或類型的媒體作為載體的文件化的服務(wù)管理方針和計(jì)劃、文件化的服務(wù)等級協(xié)議、方法、流程、流程控制記錄等。 文檔訪問控制：文檔訪問控制實(shí)質(zhì)上是對文檔訪問者使用受控文檔的限制，它決定是否允許訪問者對不同類型的文檔進(jìn)行借閱、更新、發(fā)布等操作。并通過制度及工具確保只有經(jīng)授權(quán)的用戶，才允許對相應(yīng)的文檔進(jìn)行相關(guān)操作。 目標(biāo) 文檔管理的目的在提供服務(wù)管理政策、計(jì)劃和方法以及任何與這些相關(guān)的行動的憑證，以達(dá)到有效管理和實(shí)施IT服務(wù)的政策和框架這一目標(biāo)。為達(dá)到這一目標(biāo)需要通過以下幾個(gè)方面來實(shí)現(xiàn)： (1) 完善組織的質(zhì)量文檔管理，控制和管理與質(zhì)量體系有關(guān)的文檔資料，確保對質(zhì)量管理體系有效運(yùn)行起重要作用的各個(gè)場所都能得到和使用相應(yīng)體系文檔的有效版本。 (2) 建立不同類型文件和記錄的編制、評審、批準(zhǔn)、保持、銷毀和控制的程序和職責(zé)。 (3) 滿足組織文檔內(nèi)容管理需求，包括建立組織文檔體系架構(gòu)，規(guī)范組織文檔命名規(guī)則，對不同類別的文檔的生命周期進(jìn)行分類管理，包括文檔生成、文檔更新、文檔發(fā)布、文檔借閱、文檔銷毀； (4) 完善文檔備份機(jī)制以確保文檔的可用性，并針對不同類型的文檔進(jìn)行分級分類的信息管理，文檔訪問控制信息、防止信息泄露。 有效的文檔管理可以改善IT服務(wù)提供者的管理難度，推動質(zhì)量體系的落地、促進(jìn)各流程工作的開展。 與其他流程的關(guān)系 文檔管理工作是質(zhì)量體系實(shí)施中所不可缺少的一部分，從一定意義上講，ISO 20000的實(shí)施就是制定策略及計(jì)劃，按照計(jì)劃實(shí)施，生成文檔、討論文檔并終確定文檔的一系列過程。當(dāng)然，ISO 20000實(shí)施絕不是就是“紙上談兵”，這里所說的文檔包含的內(nèi)容非常廣泛，其中有很多是服務(wù)管理方針和計(jì)劃、文件化的服務(wù)等級協(xié)議、方法等，但更加關(guān)鍵的是，這些文檔中還包括流程和流程控制記錄等，當(dāng)具體工作和活動執(zhí)行過后，文檔就成了審計(jì)的憑證。所以，我們可以說，文檔管理與ISO 20000各個(gè)流程都息息相關(guān)，其專業(yè)化程度可以是反映整個(gè)ISO 20000管理水平的一個(gè)側(cè)面。 文檔訪問控制需按照信息管理流程要求進(jìn)行對文檔進(jìn)行分級，并對不同分級的文檔進(jìn)行權(quán)限管理，控制文檔的訪問者，確保信息。 活動和過程 1. 文檔分類 文檔分類可從多個(gè)角度進(jìn)行，包括從保存介質(zhì)上的分類、從內(nèi)容上的分類、從使用范圍的分類等。 一般來說，文檔從內(nèi)容上分類可分為管理文檔、技術(shù)文檔；從保存介質(zhì)上分，可分為紙質(zhì)文檔、電子文檔；從使用范圍來分可分為公開使用、內(nèi)部使用等。 不同的文檔分類方式，對于文檔管理的意義也是不同的，例如對文檔內(nèi)容的分類，旨在建立文檔知識體系架構(gòu)，一方面通過統(tǒng)一規(guī)劃的文檔架構(gòu)能清晰地對已有的各個(gè)流程的進(jìn)展情況進(jìn)行管理、跟蹤、審計(jì)，另一方面文檔分類也可指導(dǎo)組織的知識體系建立，是組織整體管理思路的展現(xiàn)。而從文檔使用范圍的分類則提出了對文檔訪問控制的要求。 2. 文檔控制 受控文檔的審批、發(fā)布、發(fā)放、分發(fā)、更改、保管和作廢過程中應(yīng)符合信息管理流程的相關(guān)要求。受控文檔應(yīng)做好版本管理，以保證需要文檔者獲得 版本文檔。 (1) 文檔的編寫、審核、批準(zhǔn) 文檔需按文檔編寫規(guī)范進(jìn)行編寫，文檔內(nèi)容在發(fā)布前須經(jīng)相關(guān)負(fù)責(zé)人審核以規(guī)范文檔格式，確保文檔準(zhǔn)確、恰當(dāng)?shù)孛枋龉芾碚?、?jì)劃，確保文檔內(nèi)容的真實(shí)性。經(jīng)審核的文檔由負(fù)責(zé)人批準(zhǔn)后可進(jìn)行發(fā)布。 (2) 文檔發(fā)布 文檔由文檔撰寫/修改者提交，經(jīng)由相關(guān)責(zé)任人批準(zhǔn)后統(tǒng)一、集中的發(fā)布在相關(guān)處所。為使閱覽者得到和使用相關(guān)文檔的有效版本，文檔需進(jìn)行統(tǒng)一的發(fā)布管理以保證文檔發(fā)布版本的 性。 (3) 文檔的歸檔控制 各類文檔由文檔管理員根據(jù)內(nèi)容、年度、部門等情況定期進(jìn)行歸檔。 (4) 文檔閱覽 組織根據(jù)信息管理流程對文檔進(jìn)行分級，對文檔及文檔的歷史版本進(jìn)行訪問控制，設(shè)定各類文檔的訪問列表，并通過工具的使用確保文檔被適當(dāng)保護(hù)的同時(shí)也要方便閱覽者閱覽文檔。 (5) 文檔更改/銷毀 文檔由原文檔編制人或相關(guān)管理人員進(jìn)行修改，經(jīng)負(fù)責(zé)人審核批準(zhǔn)后進(jìn)行發(fā)布，替換老版本。 紙質(zhì)文檔更改后的文檔按該文檔發(fā)放清單逐次回收更替原文檔；文檔更改除特別批準(zhǔn)外，一律采用以舊換新方法進(jìn)行。回收文檔的文檔需進(jìn)行統(tǒng)一的保管，機(jī)密文件應(yīng)集中銷毀。 (6) 文檔權(quán)限管理 文檔權(quán)限管理又稱文檔訪問控制，各類受控文檔需按照信息管理流程要求進(jìn)行分級，并對不同分級的文檔進(jìn)行權(quán)限管理，控制文檔的訪問者，確保信息。文檔權(quán)限管理包括對文檔閱覽、文檔上載、文檔修改、文檔審批等權(quán)限的集中管理。 (7) 文檔的修訂 文檔不是封閉的、靜止的，隨著業(yè)務(wù)發(fā)展、技術(shù)更新，文檔需要不斷地修訂，保持其有效性，以適應(yīng)不斷變化的管理需求。秉承PDCA的管理理念，對文檔，特別是質(zhì)量體系文檔提出在規(guī)定時(shí)間內(nèi)至少修訂一次的要求，整理文檔修訂計(jì)劃，檢驗(yàn)落實(shí)情況，督促文檔及時(shí)修訂，確保文檔的有效性。 (8) 制定文檔命名規(guī)范 文檔的規(guī)范化程度反映出文檔管理的水平，規(guī)范化首先需要對文檔進(jìn)行內(nèi)容分類，概括同類文檔的共同點(diǎn)，以此作為文檔規(guī)范化、模板化的依據(jù)。文檔規(guī)范化、模板化有利于對文檔進(jìn)行分類管理，通過經(jīng)驗(yàn)累積分析找出各類文檔的不足之處。文檔命名規(guī)范屬于文檔規(guī)范化的一部分，制定文檔命名規(guī)范需要跟據(jù)組織需求對文檔進(jìn)行分類，不同類別的文檔使用相應(yīng)的命名規(guī)范，便于文檔的查找，并為文檔的分類管理奠定了堅(jiān)實(shí)的基礎(chǔ)。 流程控制 1. 文檔管理流程的角色定義、職責(zé) (1) 文檔管理員 負(fù)責(zé)管理各類文檔，擬定文檔修訂計(jì)劃，根據(jù)管理要求對各類文檔進(jìn)行分級，設(shè)置不同級別文檔的權(quán)限。組織可根據(jù)自身特點(diǎn)設(shè)一個(gè)或多個(gè)文檔管理員管理文檔。 (2) 文檔審核員 負(fù)責(zé)文檔合規(guī)性管理及審計(jì)。 2. 管理工具 (1) 電子化的文檔管理平臺 文檔分散為文檔管理帶來許多問題，包括文檔查找、文檔版本控制、文檔管理等。組織建立起文檔管理平臺后，可通過集中文檔、統(tǒng)一管理的方式，在平臺上共享各類工作文檔，提高了文檔的使用頻率，使文檔發(fā)揮出 的效用。完善的備份機(jī)制，全文檢索功能，文檔版本控制的功能，文檔電子審批功能，文檔歸檔功能，信息權(quán)限管理功能等等，為組織提供了、便捷的文檔處理中心，提高了文檔的及時(shí)性和準(zhǔn)確性。 (2) 制度評審體制 為保證各類流程管理制度及時(shí)更新，組織須規(guī)范規(guī)章制度建設(shè)活動，建立和完善規(guī)章制度體系，制定流程管理制度更新計(jì)劃，定期組織制度評審會，對流程擬新增發(fā)布、修訂、合并及廢止的規(guī)章制度進(jìn)行評審。制度評審會對流程管理制度的合規(guī)性、合理性、嚴(yán)密性和操作性進(jìn)行評估，并及時(shí)廢止失效的制度，確保各流程管理制度能及時(shí)優(yōu)化，同時(shí)通過制度評審會，組織內(nèi)部對各流程管理制度達(dá)成一致的見解，為管理流程的落實(shí)做好鋪墊。 (3) 關(guān)鍵指標(biāo)KPI指標(biāo)的設(shè)置

ISO27000認(rèn)證信息風(fēng)險(xiǎn)評估FAQ 深圳ISO27000認(rèn)證為什么要進(jìn)行信息風(fēng)險(xiǎn)評估？ 　　通過風(fēng)險(xiǎn)評估，你可以知道組織范圍內(nèi)存在哪些重要的信息資產(chǎn)、信息處理設(shè)施及其面臨的威脅，發(fā)現(xiàn)技術(shù)和管理上的脆弱點(diǎn)，綜合評估現(xiàn)有綜合資產(chǎn)的風(fēng)險(xiǎn)狀況。 什么是信息風(fēng)險(xiǎn)評估？ 　　風(fēng)險(xiǎn)評估：對信息及信息載體、應(yīng)用環(huán)境等各方面風(fēng)險(xiǎn)進(jìn)行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認(rèn)風(fēng)險(xiǎn)及其大小的過程。 　　風(fēng)險(xiǎn)評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎(chǔ)上做決策服務(wù)；風(fēng)險(xiǎn)控制措施為組織實(shí)施信息的改進(jìn)提供指導(dǎo)。 信息風(fēng)險(xiǎn)評估的實(shí)施的主體是什么？ 　　風(fēng)險(xiǎn)評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進(jìn)行的風(fēng)險(xiǎn)評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務(wù)主管發(fā)起的，旨在依據(jù)已經(jīng)頒布的法規(guī)或標(biāo)準(zhǔn)進(jìn)行的，具有強(qiáng)制意味的檢查活動，是通過行政手段加強(qiáng)信息的重要措施。 　　檢查評估應(yīng)該是具有一定資質(zhì)的風(fēng)險(xiǎn)評估服務(wù)機(jī)構(gòu)實(shí)施的。自評估可以在信息風(fēng)險(xiǎn)評估服務(wù)機(jī)構(gòu)的咨詢、服務(wù)、培訓(xùn)下，由系統(tǒng)所有者和評估服務(wù)機(jī)構(gòu)共同完成。 信息風(fēng)險(xiǎn)評估的政策依據(jù)及標(biāo)準(zhǔn)依據(jù)？ 　　 信息化領(lǐng)導(dǎo)小組《關(guān)于加強(qiáng)信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風(fēng)險(xiǎn)評估作為一項(xiàng)重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務(wù)、電力三個(gè)行業(yè)進(jìn)行試點(diǎn)，根據(jù)試點(diǎn)經(jīng)驗(yàn)，各省市建立信息風(fēng)險(xiǎn)評估管理制度。 　　 國信辦標(biāo)準(zhǔn)草案《信息風(fēng)險(xiǎn)評估指南》、《信息風(fēng)險(xiǎn)管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風(fēng)險(xiǎn)評估包括哪幾個(gè)主要實(shí)施階段？ 　　風(fēng)險(xiǎn)評估可以分為資產(chǎn)識別、重要資產(chǎn)賦值、威脅分析、脆弱性識別、風(fēng)險(xiǎn)計(jì)算、風(fēng)險(xiǎn)控制措施提出等實(shí)施階段。 信息風(fēng)險(xiǎn)評估的主要內(nèi)容及方法？ 　　信息風(fēng)險(xiǎn)評估的實(shí)施主要有以下內(nèi)容： 　　 （1）資產(chǎn)識別 　　 （2）資產(chǎn)的屬性賦值及權(quán)重計(jì)算 　　 （3）威脅分析 　　 （4）薄弱點(diǎn)分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風(fēng)險(xiǎn)計(jì)算 　　 （7）風(fēng)險(xiǎn)處理計(jì)劃制定 　　 風(fēng)險(xiǎn)評估是一項(xiàng)綜合的系統(tǒng)工程，既涉及到技術(shù)，又涉及到管理。風(fēng)險(xiǎn)評估過程中既需要采用技術(shù)的檢測手段，又需要進(jìn)行綜合的歸納、總結(jié)和分析方法。 　　 風(fēng)險(xiǎn)評估中資產(chǎn)價(jià)值的判斷、威脅判斷、事件造成影響的判斷標(biāo)準(zhǔn)都需要根據(jù)被評估實(shí)際情況，與被評估方共同確定。 信息風(fēng)險(xiǎn)評估是否會影響系統(tǒng)的業(yè)務(wù)正常運(yùn)行？ 　　除針對服務(wù)器的漏洞掃描、診斷及滲透性測試外，風(fēng)險(xiǎn)評估不會對系統(tǒng)的業(yè)務(wù)運(yùn)行造成影響。即使是滲透性測試，也僅僅是為了驗(yàn)證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關(guān)鍵程序/進(jìn)程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細(xì)的滲透測試方案與用戶交流，包括滲透測試對象、測試強(qiáng)度、可能后果、提前備份等要求，并經(jīng)用戶認(rèn)可后方能實(shí)施。 信息風(fēng)險(xiǎn)評估的結(jié)果形式是什么？ 　　信息風(fēng)險(xiǎn)評估在評估過程中將生成一系列的風(fēng)險(xiǎn)評估操作記錄，包括：重要資產(chǎn)列表、脆弱性匯總表、資產(chǎn)威脅識別表、資產(chǎn)威脅風(fēng)險(xiǎn)系數(shù)表、信息資產(chǎn)綜合風(fēng)險(xiǎn)值表等， 將生成三份評估結(jié)果： 　　 脆弱性評估報(bào)告：以資產(chǎn)為核心，描述該資產(chǎn)存在的薄弱點(diǎn)。 　　 風(fēng)險(xiǎn)評估報(bào)告：反映了風(fēng)險(xiǎn)評估整個(gè)過程、方法、內(nèi)容及風(fēng)險(xiǎn)結(jié)果。 　　 風(fēng)險(xiǎn)處理計(jì)劃：針對識別的風(fēng)險(xiǎn)，提出具體的控制目標(biāo)和控制措施。 信息風(fēng)險(xiǎn)評估的周期有多長　 　　信息風(fēng)險(xiǎn)評估沒有確定的時(shí)間周期，一般兩年一次進(jìn)行定期的評估，但當(dāng)組織新增信息資產(chǎn)、系統(tǒng)發(fā)生重大變更、業(yè)務(wù)流程發(fā)生重大變化、發(fā)生嚴(yán)重信息事故等情況下應(yīng)進(jìn)行風(fēng)險(xiǎn)評估。 　　 此外，對系統(tǒng)規(guī)劃、擴(kuò)建時(shí)也需要進(jìn)行風(fēng)險(xiǎn)評估，為需求、策略的制定提供依據(jù)。 信息風(fēng)險(xiǎn)評估的收費(fèi)標(biāo)準(zhǔn)　 　　根據(jù)評估對象的不同而不同。風(fēng)險(xiǎn)評估的對象可以是：單個(gè)獨(dú)立的信息系統(tǒng)、支持組織業(yè)務(wù)的整體信息處理環(huán)境、整個(gè)組織范圍。信息風(fēng)險(xiǎn)評估的費(fèi)用主要依據(jù)以下幾個(gè)方面進(jìn)行核算： 　　 網(wǎng)絡(luò)規(guī)模 　　 聯(lián)網(wǎng)單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設(shè)備的多少 　　 被評估的組織范圍大小