ISO27000認(rèn)證信息風(fēng)險評估FAQ 深圳ISO27000認(rèn)證為什么要進行信息風(fēng)險評估？ 　　通過風(fēng)險評估，你可以知道組織范圍內(nèi)存在哪些重要的信息資產(chǎn)、信息處理設(shè)施及其面臨的威脅，發(fā)現(xiàn)技術(shù)和管理上的脆弱點，綜合評估現(xiàn)有綜合資產(chǎn)的風(fēng)險狀況。 什么是信息風(fēng)險評估？ 　　風(fēng)險評估：對信息及信息載體、應(yīng)用環(huán)境等各方面風(fēng)險進行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認(rèn)風(fēng)險及其大小的過程。 　　風(fēng)險評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎(chǔ)上做決策服務(wù)；風(fēng)險控制措施為組織實施信息的改進提供指導(dǎo)。 信息風(fēng)險評估的實施的主體是什么？ 　　風(fēng)險評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進行的風(fēng)險評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務(wù)主管發(fā)起的，旨在依據(jù)已經(jīng)頒布的法規(guī)或標(biāo)準(zhǔn)進行的，具有強制意味的檢查活動，是通過行政手段加強信息的重要措施。 　　檢查評估應(yīng)該是具有一定資質(zhì)的風(fēng)險評估服務(wù)機構(gòu)實施的。自評估可以在信息風(fēng)險評估服務(wù)機構(gòu)的咨詢、服務(wù)、培訓(xùn)下，由系統(tǒng)所有者和評估服務(wù)機構(gòu)共同完成。 信息風(fēng)險評估的政策依據(jù)及標(biāo)準(zhǔn)依據(jù)？ 　　 信息化領(lǐng)導(dǎo)小組《關(guān)于加強信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風(fēng)險評估作為一項重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務(wù)、電力三個行業(yè)進行試點，根據(jù)試點經(jīng)驗，各省市建立信息風(fēng)險評估管理制度。 　　 國信辦標(biāo)準(zhǔn)草案《信息風(fēng)險評估指南》、《信息風(fēng)險管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風(fēng)險評估包括哪幾個主要實施階段？ 　　風(fēng)險評估可以分為資產(chǎn)識別、重要資產(chǎn)賦值、威脅分析、脆弱性識別、風(fēng)險計算、風(fēng)險控制措施提出等實施階段。 信息風(fēng)險評估的主要內(nèi)容及方法？ 　　信息風(fēng)險評估的實施主要有以下內(nèi)容： 　　 （1）資產(chǎn)識別 　　 （2）資產(chǎn)的屬性賦值及權(quán)重計算 　　 （3）威脅分析 　　 （4）薄弱點分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風(fēng)險計算 　　 （7）風(fēng)險處理計劃制定 　　 風(fēng)險評估是一項綜合的系統(tǒng)工程，既涉及到技術(shù)，又涉及到管理。風(fēng)險評估過程中既需要采用技術(shù)的檢測手段，又需要進行綜合的歸納、總結(jié)和分析方法。 　　 風(fēng)險評估中資產(chǎn)價值的判斷、威脅判斷、事件造成影響的判斷標(biāo)準(zhǔn)都需要根據(jù)被評估實際情況，與被評估方共同確定。 信息風(fēng)險評估是否會影響系統(tǒng)的業(yè)務(wù)正常運行？ 　　除針對服務(wù)器的漏洞掃描、診斷及滲透性測試外，風(fēng)險評估不會對系統(tǒng)的業(yè)務(wù)運行造成影響。即使是滲透性測試，也僅僅是為了驗證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關(guān)鍵程序/進程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細的滲透測試方案與用戶交流，包括滲透測試對象、測試強度、可能后果、提前備份等要求，并經(jīng)用戶認(rèn)可后方能實施。 信息風(fēng)險評估的結(jié)果形式是什么？ 　　信息風(fēng)險評估在評估過程中將生成一系列的風(fēng)險評估操作記錄，包括：重要資產(chǎn)列表、脆弱性匯總表、資產(chǎn)威脅識別表、資產(chǎn)威脅風(fēng)險系數(shù)表、信息資產(chǎn)綜合風(fēng)險值表等， 將生成三份評估結(jié)果： 　　 脆弱性評估報告：以資產(chǎn)為核心，描述該資產(chǎn)存在的薄弱點。 　　 風(fēng)險評估報告：反映了風(fēng)險評估整個過程、方法、內(nèi)容及風(fēng)險結(jié)果。 　　 風(fēng)險處理計劃：針對識別的風(fēng)險，提出具體的控制目標(biāo)和控制措施。 信息風(fēng)險評估的周期有多長　 　　信息風(fēng)險評估沒有確定的時間周期，一般兩年一次進行定期的評估，但當(dāng)組織新增信息資產(chǎn)、系統(tǒng)發(fā)生重大變更、業(yè)務(wù)流程發(fā)生重大變化、發(fā)生嚴(yán)重信息事故等情況下應(yīng)進行風(fēng)險評估。 　　 此外，對系統(tǒng)規(guī)劃、擴建時也需要進行風(fēng)險評估，為需求、策略的制定提供依據(jù)。 信息風(fēng)險評估的收費標(biāo)準(zhǔn)　 　　根據(jù)評估對象的不同而不同。風(fēng)險評估的對象可以是：單個獨立的信息系統(tǒng)、支持組織業(yè)務(wù)的整體信息處理環(huán)境、整個組織范圍。信息風(fēng)險評估的費用主要依據(jù)以下幾個方面進行核算： 　　 網(wǎng)絡(luò)規(guī)模 　　 聯(lián)網(wǎng)單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設(shè)備的多少 　　 被評估的組織范圍大小

如何應(yīng)對風(fēng)險和機遇？組織需策劃和實施應(yīng)對風(fēng)險和機遇的措施，在項目執(zhí)行過程中整合、廣東汕頭實施這些措施，并評價其有效性，以提高質(zhì)量管理體系有效性，獲得改進結(jié)果，增強有利影響，并或減少不利影響。 01 東莞IATF16949認(rèn)證 基礎(chǔ)設(shè)施 在進行工廠、廣東汕頭設(shè)施及設(shè)備策劃時，應(yīng)使用多方論證的方法，包括風(fēng)險識別和風(fēng)險緩解方法，來開發(fā)并改進工廠、廣東汕頭設(shè)施和設(shè)備的計劃，并定期進行風(fēng)險復(fù)評，用以納入在過程批準(zhǔn)、廣東汕頭控制計劃維護及作業(yè)準(zhǔn)備驗證期間作出的任何更改。 02 東莞IATF16949認(rèn)證 監(jiān)視和測量資源 管理校準(zhǔn)、廣東汕頭驗證記錄時，應(yīng)對偏離規(guī)范情況導(dǎo)致的產(chǎn)品預(yù)期使用風(fēng)險進行評估，以避免因校準(zhǔn)、廣東汕頭驗證偏離導(dǎo)致的不合格產(chǎn)品的使用。這就要求在校準(zhǔn)、廣東汕頭驗證出現(xiàn)偏離規(guī)范時，需追溯到本次校準(zhǔn)與上一次校準(zhǔn)期間測量的產(chǎn)品范圍，并評估其預(yù)期使用風(fēng)險。 03 東莞IATF16949認(rèn)證 設(shè)計和開發(fā)輸入、廣東汕頭設(shè)計和開發(fā)輸出 在產(chǎn)品設(shè)計輸入輸出、廣東汕頭制造過程設(shè)計輸入輸出和特殊特性識別過程中對風(fēng)險識別和應(yīng)對提出要求。對產(chǎn)品設(shè)計輸入要求進行風(fēng)險的評估，對組織緩解/管理風(fēng)險的能力進行評估。產(chǎn)品設(shè)計輸出的方式應(yīng)包括設(shè)計風(fēng)險分析（FMEA)；針對制造過程設(shè)計輸入問題適當(dāng)?shù)闹匾猿潭?，和所遭遇到風(fēng)險相稱的程度來使用防錯方法，制造過程設(shè)計輸出應(yīng)包括制造過程FMEA；特殊特性識別中將所有特殊特性記錄進圖紙、廣東汕頭風(fēng)險分析（如FMEA)、廣東汕頭控制計劃和標(biāo)準(zhǔn)作業(yè)指導(dǎo)書。 04 深圳IATF16949認(rèn)證 外部提供的過程、廣東汕頭產(chǎn)品和服務(wù)的控制 在供應(yīng)商選擇過程，對所選供應(yīng)商產(chǎn)品符合性以及組織向其顧客不間斷產(chǎn)品供應(yīng)的風(fēng)險進行評估；同時在對外部提供的過程、廣東汕頭產(chǎn)品和服務(wù)進行控制時，應(yīng)包括根據(jù)供應(yīng)商績效和產(chǎn)品、廣東汕頭材料或服務(wù)風(fēng)險評估，增加或減少控制類型和程度以及開發(fā)活動的準(zhǔn)則和措施，以確保組織穩(wěn)定地向顧客交付合格產(chǎn)品和服務(wù)。 05 佛山IATF16949認(rèn)證生產(chǎn)和服務(wù)提供的控制 根據(jù)FMEA和流程圖，制定投產(chǎn)前控制計劃和量產(chǎn)控制計劃，顯示設(shè)計風(fēng)險分析、廣東汕頭過程流程圖和制造過程風(fēng)險分析輸出（FMEA)的聯(lián)系；同時，當(dāng)發(fā)生任何影響產(chǎn)品、廣東汕頭制造過程、廣東汕頭測量、廣東汕頭物流、廣東汕頭供應(yīng)貨源、廣東汕頭生產(chǎn)量或風(fēng)險分析（FMEA）的變更或以基于風(fēng)險分析的設(shè)定頻率，對控制計劃進行評審，并在需要時更新。 06 東莞IATF16949認(rèn)證機構(gòu) 標(biāo)識和可追溯性 對所有汽車產(chǎn)品的內(nèi)部、廣東汕頭顧客及法規(guī)可追溯性要求進行分析時，包括了根據(jù)風(fēng)險等級或失效對員工、廣東汕頭顧客的嚴(yán)重程度，基于此制定可追溯性計劃并形成文件，終形成可追溯系統(tǒng)、廣東汕頭過程和方法。 07 佛山IATF16949認(rèn)證 更改控制 任何更改的影響，包括由組織、廣東汕頭顧客或供應(yīng)商所引起的更改，都應(yīng)進行評估，應(yīng)對相關(guān)風(fēng)險進行分析并形成文件；過程控制的臨時更改中，對替代控制方法的使用進行管理應(yīng)基于風(fēng)險分析和嚴(yán)重程度，在過程中包含要在生產(chǎn)中實施替代控制方法之前獲得的內(nèi)部批準(zhǔn)。 08 深圳IATF16949認(rèn)證不符合輸出的控制 返工產(chǎn)品的控制包括利用風(fēng)險分析(如FMEA)來評估返工中的風(fēng)險，在產(chǎn)品返工前獲得客戶的批準(zhǔn)；返修產(chǎn)品的控制包括在決定維修之前，利用風(fēng)險分析(如FMEA)評估返修過程中的風(fēng)險，在返修前獲得客戶的批準(zhǔn)。 09 東莞IATF16949認(rèn)證領(lǐng)導(dǎo)作用和承諾 管理者應(yīng)表現(xiàn)出對質(zhì)量管理體系的領(lǐng)導(dǎo)和承諾，包括了促進使用過程方法和基于風(fēng)險的思維； 管理者應(yīng)確定和應(yīng)對可能影響產(chǎn)品和服務(wù)合格以及增強客戶滿意度能力的風(fēng)險和機會，證實其以客戶為關(guān)注焦點的領(lǐng)導(dǎo)作用和承諾。

中國要發(fā)展中國特色的社會主義，城市建設(shè)和管理要向國際的城市看齊，這 就對城市管理提出了更高標(biāo)桿要求。國際化是中國城市建設(shè)和市政管理的發(fā)展方向，滿足城市發(fā)展的需求，滿足甚至超越廣大市民對 城市管理日益要求，促使我們城市管理工作終必須與國際運行模式接軌。然而，目前我們的城市管理精細化、規(guī)范化、標(biāo)準(zhǔn)化 程度還不夠高，多停留在經(jīng)驗型管理的階段，依賴執(zhí)法人員個人的力量來監(jiān)管，造成城市管理權(quán)責(zé)關(guān)系不明確、執(zhí)法效果難界定、工 作效率不穩(wěn)定等現(xiàn)象。盡管城管執(zhí)法人員盡職盡責(zé)，但仍不能滿足法律法規(guī)要求，無法適應(yīng)城市國際化發(fā)展，甚至得不到百姓理解。 打造政府干部隊伍質(zhì)素，不斷提高城市管理整體水平，服務(wù)于廣大市民的意識，ISO認(rèn)證成為城市管理當(dāng)務(wù)之急。 如何能夠使城市管理工作進一步深，并建立在科學(xué)發(fā)展的基礎(chǔ)上，更 好的服務(wù)于城市發(fā)展的要求，我國各地政府一直以都在努力探索，尋找突破口。瞄準(zhǔn)世界先進水平，建立ISO9000服務(wù)質(zhì)量 管理體系標(biāo)準(zhǔn)，不斷創(chuàng)新管理機制，政府部門的服務(wù)意識，成為許多城府打造服務(wù)型組織首先標(biāo)準(zhǔn)。它集合了世界上進 管理理念和經(jīng)驗。