ISO认证企业资质认证正规团队

ISO27001标准简介 世界广泛采用的关于信息管理体系的英国标准——BS7799-2:2002，经修订后，于2005年10月15日作为国际标准ISO/IEC27001:2005发布。本文旨在向组织指出标准的变化及在实际应用中的意义，协助组织做好向新标准过渡的准备。新标准的正式标题是:《BS7799-2:2005(ISO/IEC27001:2005)信息技术-技术-信息管理体系-要求》这意味着它不仅仅是IT标准，标题中的“信息技术-技术”表明它还是以ISO委员会(JTC1/SC27)的名义发表的。该标准的焦点还是放在贯穿组织的信息管理上。尽管大部分控制在实际中会在IT部门或IT组织内部实现，但总体上标准执行的重点仍应放在业务信息的风险上。标准的主要改变在于它现在是国际公认的，这意味着除了英国标准的国际认可，组织可以构建一个全球性的框架来管理他们的信息。不管是为了组织自身的商业信息，如财政信息，知识产权，职员资料等等，或者是客户或第三方与组织间沟通的信息，标准都是适用的。实际上，它是组织能够对他们的信息管理系统进行客观独立评估的国际标准。新版的国际标准已经有一系列更新来阐明巩固原始英国标准——BS7799-2:2002的要求。这些更新主要集中在以下范围：风险评估、合同责任、范围、管理决策以及所选控制措施有效性的测量等。对于采用BS7799-2:2002的组织来说，新版的国际标准并没有太大的影响。的影响就是要求对所选的控制措施或控制措施组合的有效性进行测量。（详见ISO/IEC27001:2005的4.2.2d）下面是该标准重大改变的解释概要。附录A是一个显示BS7799-2:2002和ISO/IEC27001:2005之间的变化的表格。《ISO/IEC27001:2005》。范围和界线在执行信息管理体系的时候，组织所要做的件事就是定义ISMS的范围。现在国际标准要求组织定义ISMS的范围和界线[4.2.1a]，包括被排除在范围外的详细说明及理由。尽管富有经验的BSI审核员在评估过程中也会寻找这些东西，但是现在把这个要求加到标准中了，如果组织打算超越根据2002版标准取得的认证而达到新标准的要求，就必须把这个要求考虑在内。评估风险该国际标准的基础是：信息的保护是基于业务信息的风险，该风险能促使组织运用合适的措施来保护业务的。很少有业务信息会暴露在多种风险之下，因此太多的措施可能使公司花费过多的成本。标准的一个重大改变是组织现在需要详细说明（并文件化）风险评估的步骤[4.2.1c]，这也意味着挑选并文件化风险评估方法将会使风险评估“产生可比较、可重复的结果”[4.2.1c和4.3.1d]。目前已通过BS7799-2:2002认证的组织不会把这点看成一个比较大的变化，因为在评估过程中已经考虑过它了。打算通过BS7799-2:2002认证的组织可能会把它看成该国际标准的新要求。风险评估按照计划的时间间隔[4.2.3d]进行复查，对风险评估和风险处理计划[7.3b]的更新进行复查管理已经是标准的要求。这个要求必须作为组织信息管理体系的管理复查的一部分[7.1]，至少一年完成一次。在对BS7799-2:2002版标准进行审核的过程中，审核员应该根据ISMS的方针和目标[4.3.1]，寻找所选择的控制措施与风险评估结果和风险处理程序之间的关系。尽管BS7799-2:2002标准提到过这点，但现在已经在国际标准中阐明了。想获得BS7799-2:2002认证的组织可以把它看作国际标准的新要求。合同责任除了法律法规的要求，该国际标准还特别强调在所有ISMS所有过程中的合同责任，包括风险评估、风险处理、控制选择、记录控制、资源、ISMS的监视和复查、以及文件要求。通过BS7799-2认证的组织现在需要做什么？需要特别注意的是：新的国际标准是双重的，既可以是ISO/IEC27001:2005，又可以是BS7799-2:2005。这种情况会持续一段时间（预期2年左右），这就意味着BS7799-2:2005认证和ISO/IEC27001:2005认证没有什么不同。然而，目前所有通过现行的BS7799-2:2002认证的组织必须考虑2005版本的变化，及时更新他们信息管理体系。通过BS7799-2:2002认证的组织会逐步转换到ISO/IEC27001认证。转换期限多久现在还不得而知，要等待国际认可论坛(IAF)，或认可机构（如UKAS）发表正式声明来公布。实际上，在以后的监督审核中，会把这些不同点考虑在内；如果合适的话，建议客户取得ISO/IEC27001:2005标准的认证。如果在转换期内客户不及时转换到新标准，一直停留在旧标准，审核员可以把与ISO的不一致作为“注释/观察项”记录在案。一旦转换期结束，观察项就上升为不符合项，的注册就存在了风险。新标准发布后，就可以依据ISO/IEC27001:2005进行认证了。附录A变化摘要 BS7799部分2：2002（条款号）ISO/IEC27001:2005（条款号）变化和差异的注解1.2应用1.2应用确定对ISO/IEC27001条款4-8的删减都是不可接受的，解释在何种情况下对控制进行了删减是可能的。3术语和定义3术语和定义从ISO/IEC13335-1：2004，ISO/IECTR18044：2004和ISO/IEC指南73:2002中添加定义。改变部分现有定义以配合ISO/IEC13335-1：2004标准。重新明确定义了“风险处理”和“适用性声明”。4.2.1建立ISMS项目a)定义ISMS的范围4.2.1建立ISMS项目a)定义ISMS的范围和界线现在,定义了ISMS的“范围和界线”的要求。要求包括：1、说明在范围内的部分2、解释被排除在范围外的理由。项目c)定义风险评估的系统方法在项目c)中的第二句“定义组织的风险评估方法”被删除后新增了一条。新增一条对现有的要求进行阐明和补充。同时声明风险评估方法应产生可比较、可重复的结果。项目g)为风险处理选择控制目标及控制。项目g)“为风险处理选择控制目标及控制”已经被延伸了。现有的要求加上了这样的阐释：选择应该考虑到在法律、法规及合同的要求范围内接受风险的标准。项目h)准备适用性声明。项目j)添加了新项目j)2)“准备适用性声明”。阐明了现有关于适用性声明的要求。现在强调它要包括当前实施的控制目标及控制。4.22实施和运作ISMS4.22实施和运作ISMS新增项目d)定义如何测量有效性。这可能是实施和运作ISMS过程中的改变，要求定义如何测量控制及控制组合的有效性，要求详细列出测量方法使控制效果评估产生可比较、可重复的结果。4.2.3监控和评审ISMS项目a)执行监控程序及其它的控制。4.2.3监控和评审ISMS项目a)4)添加了“执行监控程序及其它的控制以探测事件”。项目c)添加了“测量控制的效力”。阐明了有助于事故的事件探测。包括使用指标。项目c)评审剩余风险和可接受风险。新增项目d)5)按计划的时间间隔评审风险评估，评审剩余风险和可接受风险，评审时要考虑现行控制的有效性的变化。新增项目g)更新计划与4.2.2.d结合以监控ISMS的效力。现有要求的阐述，帮助监测现行控制的效果。阐述和补充了以下要求:根据监控评审活动的发现来监控评审ISMS以更新计划的要求。4.31概要4.31概要段阐明：文件要包括管理决策的记录，活动要根据管理决策和方针进行，记录/结果是可重复的。 第二段新增一句说明所选择的控制与风险评估和风险处理过程的关系，以及与ISMS方针和目标的关系。 新增项目d)风险评估方法的描述风险评估方法的描述要包含在文件中。项目e)文件化的程序项目g)“文件化的程序”已经被更新了阐明并补充了描述如何测量控制的有效性的要求。4.3.2文件控制4.3.2文件控制新增项目f)确保文件是可用的阐述了确保使用者可以获得所需文件的要求，及文件的转移存储和终处置要按照合适的等级来处理。5.1管理承诺5.1管理承诺新增项目g）保证ISMS内部审核得到管理。在管理承诺中声明确保ISMS内部审核得到管理。条款6.1到6.3条款7.1到7.3移动的章节条款7.1到7.3条款8.1到8.3移动的章节6.2评审输入7.2评审输入新增项目f)有效性测量的结果移动的章节新增了有效性测量的结果。6.3评审输出7.3评审输出新增项目b）更新风险评估和风险处理计划。移动的章节阐明确保更新风险评估和风险处理计划。项目c)必要时，修改影响信息的程序，以响应对ISMS造成影响的内外事件。项目c)必要时，修改影响信息的程序和控制，以响应对ISMS造成影响的内外事件。包括合同责任的改变。阐明包括合同责任的改变。 新增项目e)改进控制有效性的测量方法。加进了“改进控制效力的测量方法。”的声明。6.4ISMS内部审核6.4ISMS内部审核现在是第六章的要求。7.3措施8.3措施项目8.3b)“评估采取措施不符合发生的必要性”移动的章节阐明措施。评估采取措施不符合发生的必要性附录A附录A根据ISO/IEC17799:2005的修订版本更新附录A附录B和表B1附录B除了说明OECD原则和本国际标准之间的关系的表格外，其他被删除。删除的部分可能被ISO/IEC作为发展成新指南的基础。附录C附录C更新后的版本附录D 从ISO/IEC27001:2005版本中删除。

一、为什么要做ISO9001质量体系认证？ 1．既是参与市场竞争的需要（客户推动）： A如果不建立并运行质量管理体系，将会取消合格供方资格，许多大型项目的招投标没有资格参加。 B如果没有进行质量体系认证，出口的产品将受到更严格的质量监测。 2．也是加强企业管理的内在需求（管理推动）。 A管理水平低。 B产品质量不稳定。 C交货期得不到保证。 C频繁的顾客投诉造成了直接的经济损失。 结论：要做ISO9001质量体系认证，会影响公司的信誉，公司的生存也将受到严重影响。 二、ISO9001质量体系认证运用的是过程管理： 1．原理：ISO9001质量体系认证是过程管理，确保影响产品质量的技术、管理和人的因素处于受控状态。所有的控制都是针对减少、不合格，尤其是不合格发生。 通俗地说：控制了过程，产品质量就是有理由相信的（但还不能保证）。反之，产品质量好，一定是各个过程的控制质量高。 2．思想：为主 3．要求：结合本企业的具体情况确定应有哪些过程？分析每一过程需要并展的质量话动，确定应采取的有效的控制措施和方法。 4．过程范围：在产品寿命周期的所有阶段，从初的识别市场需求到终满足要求的所有过程控制。 5．过程控制要素：人、机、料、法、环、测。 三、如何去做过程管理？ （一）主要过程有： 1．市场调研：在准确地确定市场需求的基础上开发新产品，防止盲目开发不适合市场需要的滞销产品，浪费人力、物力。 2．设计开发：通过开展设计评审、设计验证、设计确认等活动，确保设计输出满足输入要求，确保产品符合使用者的需求，防止因设计质量问题，造成产品的先天性的不合格和缺陷。 3．采购：选择合格的供货单位并控制其供货质量，确保所需的原材料、外购件、协作件等符合规定的质量要求，防止使用不合格外购产品投入生产而影响成品质量。（料） 4．生产：确定并执行适宜的生产方法，使用适道的设备：保持设备正常工作能力和所需的工作环境，控制影响质量的参数和人员技能，确保产品符合设计规定的质量要求，防止不合格品的生产。防止将不合格的工序产品转入下道工序。（机、法、环） 5．检验和试验：使用检定或自校的手段检测设备的正常状况，确保检验结果的有效性，防止因检测手段不合格造成对产品质量不正确的判定。按质量计划和形成文件的程序进行进货检验、过程检脸和成品检验，确保产品质量符合要求。（测） 6．交付：在搬运、贮存、包装、防护和交付等环节采取有效措施保护产品，防止损坏和变质，防止将不合格的产品交付给顾客。 （二）辅助过程： 1．文件管理：确保所有的场所使用的文件和资料都是现行有效的，防止使用过时或作废的文件，造成产品质量的还合格。 2．全员培训：对所有从事对质量有性响的工作人员都进行培训，。确保他们能胜任本岗位的工作，防止因知识或技能的不足，造成产品的不合格。（人） 3．纠正和措施：当发生不合格（包括产品的或体系的）或有顾客投诉时、应查明原因，针对原因采取纠正措施以防止问题的再发生；还应通过对质量信息的分析，发现潜在的问题。防止问题的出现，从而改进产品的质量。 4．质量改进：包括产品质量改进和工作质量改进，持续的质量改进是企业各级管理者追求的永恒目标。质量改进通过改进过程来实现，以追求更高的过程效益和效率为目标。 也可以这样认为： 如果过程是这样的：设计开发能满足顾客需求、有经过技能培训的人员、检测设备经过检定、外购的材料质量好、操作按规范要求、生产后的产品经过检测，在搬运、贮存、包装、防护和交付等环节采取有效措施保护产品，这样的产品是可以信任的。 如果过程是这样的：设计时先天性的不合格和缺陷，人员都不知道操作，而且不按作业规范操作，检测设备不知道好坏、外购的材料是粗制滥造的、生产后的产品也没有检测直接出厂、粗暴包装、搬运，这样的产品谁又敢用呢？ 四、体系运行后会带来的成效：实现跨越式发展。 1．根据市场需求，大力进行新产品研发和工艺改进，产品的技术含量得到进一步，市场竞争能力得到进一步增强。 2．市场适应能力和竞争能力得到有效增强，也取得了显著的经济效益。 3．质量保证能力明显增强，无论是进厂原料检验合格率，还是产品合格率都得到改善， 4．顾客的忠诚度、满意率逐年提高。