产品参数 | |
---|---|
产品价格 | 电联/套 |
发货期限 | 当天 |
供货总量 | 999 |
运费说明 | 面议 |
ISO27001认证体系建设分为四个阶段:实施安全风险评估、规划体系建设方案、建立信息安全管理
体系、体系运行及改进。也符合信息安全管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求,
即有效地保护企业信息系统的安全,确保信息安全的持续发展。
1、确立范围
首先是确立项目范围,从机构层次及系统层次两个维度进行范围的划分。从机构层次上,可以考虑
内部机构:需要覆盖公司的各个部门,其包括总部、事业部、制造本部、技术本部等;外部机构:则包括
公司信息系统相连的外部机构,包括供应商、中间业务合作伙伴、及其他合作伙伴等。
从系统层次上,可按照物理环境:即支撑信息系统的场所、所处的周边环境以及场所内保障计算机
系统正常运行的设施。包括机房环境、门禁、监控等;网络系统:构成信息系统网络传输环境的线路介质
,设备和软件;服务器平台系统:支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库
、中间件和Web系统等软件平台系统;应用系统:支撑业务、办公和管理应用的应用系统;数据:整个信息
系统中传输以及存储的数据;安全管理:包括安全策略、规章制度、人员组织、开发安全、项目安全管理
和系统管理人员在日常运维过程中的安全合规、安全审计等。
2、安全风险评估
企业信息安全是指保障企业业务系统不被非法访问、利用和篡改,为企业员工提供安全、可信的服
务,保证信息系统的可用性、完整性和保密性。
本次进行的安全评估,主要包括两方面的内容:
2.1、企业安全管理类的评估
通过企业的安全控制现状调查、访谈、文档研读和ISO27001的 实践比对,以及在行业的经验上
进行“差距分析”,检查企业在安全控制层面上存在的弱点,从而为安全措施的选择提供依据。
评估内容包括ISO27001所涵盖的与信息安全管理体系相关的11个方面,包括信息安全策略、安全组
织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安
全事件管理、业务连续性管理、符合性。
2.2、企业安全技术类评估
基于资产安全等级的分类,通过对信息设备进行的安全扫描、安全设备的配置,检查分析现有网络
设备、服务器系统、终端、网络安全架构的安全现状和存在的弱点,为安全加固提供依据。
针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法,在应用
评估中将对应用系统的威胁、弱点进行识别,分析其和应用系统的安全目标之间的差距,为后期改造提
供依据。
提到安全评估,一定要有方法论。我们以ISO27001为核心,并借鉴国际常用的几种评估模型的优点
,同时结合企业自身的特点,建立风险评估模型:
在风险评估模型中,主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性,信
息资产的属性是资产价值,弱点的属性是弱点在现有控制措施的保护下,被威胁利用的可能性以及被威
胁利用后对资产带来影响的严重程度,威胁的属性是威胁发生的可能性及其危害的严重程度,风险的属
性是风险级别的高低。风险评估采用定性的风险评估方法,通过分级别的方式进行赋值。
3、规划体系建设方案
企业信息安全问题根源分布在技术、人员和管理等多个层面,须统一规划并建立企业信息安全体系
,并终落实到管理措施和技术措施,才能确保信息安全。
规划体系建设方案是在风险评估的基础上,对企业中存在的安全风险提出安全建议,增强系统的安
全性和抗攻击性。
在未来1-2年内通过信息安全体系制的建立与实施,建立安全组织,技术上进行安全审计、内外网隔
离的改造、安全产品的部署,实现以流程为导向的转型。在未来的 3-5 年内,通过完善的信息安全体系
和相应的物理环境改造和业务连续性项目的建设,将企业建设成为一个注重管理,预防为主,防治结合
的先进型企业。
4、企业信息安全体系建设
企业信息安全体系建立在信息安全模型与企业信息化的基础上,建立信息安全管理体系核心可以更
好的发挥六方面的能力:即预警(Warn)、保护(Protect)、检测(Detect)、反应(Response)、恢复
(Recover)和反击(Counter-attack),体系应该兼顾攘外和安内的功能。
安全体系的建设一是涉及安全管理制度建设完善;二是涉及到信息安全技术。首先,针对安全管理制
度涉及的主要内容包括企业信息系统的总体安全方针、安全技术策略和安全管理策略等。安全总体方针
涉及安全组织机构、安全管理制度、人员安全管理、安全运行维护等方面的安全制度。安全技术策略涉
及信息域的划分、业务应用的安全等级、安全保护思路、说以及进一步的统一管理、系统分级、网络互
联、容灾备份、集中监控等方面的要求。
其次,信息安全技术按其所在的信息系统层次可划分为物理安全技术、网络安全技术、系统安全技
术、应用安全技术,以及安全基础设施平台;同时按照安全技术所提供的功能又可划分为预防保护类、检
测跟踪类和响应恢复类三大类技术。结合主流的安全技术以及未来信息系统发展的要求,规划信息安全
技术包括:
ISO是国际标准化组织(InternationalOrganizationforStandardization)的英文缩写,它是由全球50多个 标准机构组成的国际联盟。
ISO在1987年推出全球公认的质量管理体系——ISO9000系列标准。其标准包括三种质量保证模式:ISO9001、ISO9002、ISO9003,各企业可根据自己的实际情况选择采用。其中以ISO9001和ISO9002应用为广泛。然而在2000年正式公布后,取消了ISO9002和ISO9003,只有ISO9001一项质量管理体系要求的标准,通用于所有产品/服务及不同规模的组织。通过ISO9000质量体系认证可全面提高企业管理水平,提高工作效率和降低质量成本,提高企业综合形象和产品的可信度。
ISO14000系列标准是由国际标准化组织(ISO)第207技术委员会(ISO/TC207)组织制定的环境管理体系标准,其标准号从14001至14100,共100个标准号,统称为ISO14000系列标准。它是顺应国际环境保护的发展,依据国际经济贸易发展的需要而制定的。目前正式颁布的有ISO14004、ISO14004、ISO14010、ISO14011、ISO14012、ISO14040等5个标准,其中ISO14001是系列标准的核心标准,也是 可用于第三方认证的标准。
制定和实施食品安全管理体系和提高其有效性时鼓励采用过程方法,以获得安全食品和服务的活动得以加强,并满足适用的要
求。过程方法包括按照组织的食品安全方针和战略方向,对各过程及其相互作用,系统地进行规定和管理,从而实现预期结果。可
通过采用 PDCA 循环以及基于风险的思维对过程和体系进行整体管理,从而有效利用机遇并防止发生非预期结果。
一、策划过程
策划过程可分成若干个子过程,这些子过程是建立食品安全管理体系必须要加以识别和管理的,可分为以下七点。
一是,组织环境的识别和评审过程,其包括组织内外部环境和相关方需求识别与评审过程,食品安全管理体系范围的确定过程。
二是,管理体系策划过程,包括方针、目标、组织框架及职责权限、应对风险的措施等。
三是,人力资源管理过程。食品行业的人力资源管理有别于其他行业,注重员工健康管理,食品安全意识及食品安全小组的能力要
求。
四是,基础设施和工作环境管理过程。根据食品行业类别,按不同的食品法规要求,对基础设施和工作环境加以管理。
五是,外部提供的过程、产品和服务控制过程。供方的考核评价及原辅料进厂验收要求,包括对外部供方许可资质管理等内容。
六是,内外部信息沟通过程。着重食品链上下游组织在食品安全方面的信息沟通,包括与监管部门、供方、顾客等相关组织的信息
沟通。
七是,成文信息控制过程。关注记录保存期限与法律法规要求的符合性。
二、运行过程
运行过程该本标准的核心过程,存在另一个PDCA循环,包含了标准第8章所述的FSMS内的各种运行过程,可分为以下若干个子过程。
前提方案建立实施过程,依据组织所处的食品链的位置,确定相应的前提方案,如良好操作规范、良好兽医规范、良好分销规范可
追溯性过程。根据标准要求,追溯系统应能够 地识别供应商来料和终产品的初始分配路线应急准备与响应过程,组织首先应识
别出那些与食品安全相关的潜在的紧急情况,并制订出相应的应急方案,并要求对方案进行测试危害分析与评价及控制计划的建立
过程,根据HACCP七个基本原理的要求建立实施该过程。值得特别关注的是,新标准要求关键限值应可测量,操作性前提方案(OPRP
)的行动标准可测量或可观察。另外还包括控制措施确认过程、危害控制计划的实施与监视过程、验证过程、不合格产品控制过程
(包括产品撤回),这些过程与旧标准要求无太多变化。
三、食品安全管理体系的绩效评价过程
食品安全管理体系的绩效评价过程包括对监视和测量、验证活动结果所获取的数据和信息,以及对前提方案和危害控制计划实施情
况的监测结果的分析与评价,同时包括内部审核和管理评审活动,以确定FSMS的绩效情况。该过程可分为:分析与评价过程、内部
审核过程、管理评审过程。
四、改进过程
组织应持续改进食品安全管理体系的适宜性、充分性和有效性,并根据与相关方沟通的结果、验证活动结果分析的输出以及管理评
审的输出更新FSMS,该过程可分为持续改进过程、食品安全管理体系更新过程。综合上述分析,基本已识别食品安全管理体系的主
要过程,组织可以按过程方法的要求,形成过程清单,如附表所示,以便管理食品安全管理体系。
除上述过程外,组织还应考虑基于风险的思维,识别食品安全管理体系其他过程。基于风险的思维也分为两个层次,组织层面的和
运行层面的。运行层面的过程识别已包含上述第二大过程(运行过程)中。组织层面的过程识别,可参照标准6.1.1条款之规定:“
策划食品安全管理体系时,组织应考虑到4.1中涉及的事项”。同时,标准4.1指出:“考虑各种内外部因素,包括但不限于国际、
国内、地区和当地的各种法律法规、技术、竞争、市场、文化、社会、经济因素、网络安全和食品掺假、食品防护和故意污染”。
因此,还需识别非传统食品安全危害控制过程认证:食品防欺诈过程、预防人为破坏和蓄意污染过程。
?
质量管理体系的设计
质量管理体系策划的重点是提出质量管理体系的方案,也就是对质量管理体系进行设计 。设计质量的高低,在很大程度上决定了质量管理体系的运行结果。
(1)质量管理体系设计的原则
①必须满足“要求”;
②必须符合组织的实际情况;
③要充分考虑利益、成本和风险;
④要尽量利用现有的资源;
⑤要使质量管理体系有广泛的适应性;
⑥要使设计过程成为一个“增值”的过程。
(2)质量管理体系设计的基本程序
①全面深刻理解质量管理体系策划的输入
参与设计的人员特别是外聘的专家顾问,应通过学习、讨论、调查、研
究、访谈等多种 形式,全面、深刻地理解“要求”、“情况”、“利益、成本和风险”等策划的输入。
②选择标准
1994版GB/T 19000 — ISO 9000族标准提供了三种质量保证模式。2000版将三种模式进 行了合并,但依然有GB/T 19001 — 2000和GB/T 19004 — 2000供组织选用。此外,还有QS 9000等专业性质量管理体系标准可供组织选择。
③决定必要的删减
GB/T19001 — 2008规定:“当本标准的任何要求因组织及其产品的特点而不适用时, 可以考虑对其进行删减。”标准规定,删减只限于“产品实现”这一“板块”要素中的要素 或子要素。在设计时,对删减一定要慎重。
④提出质量方针草案
质量方针是由 管理者制定的。策划人员可为 管理者提供质量方针草案,以供 其选择或参考。质量方针要根据组织的总方针、“要求”和“情况”等来制定。在策划中, 应由 管理者召开专门会议,对组织的发展战略和现状进行分析和反思,有针对性地提出 来。
⑤提出质量目标草案
质量目标也是由 管理者制定的。策划人员可根据质量方针草案提
供质量目标方案 ,以供 管理者选择或参考。质量目标与质量方针保持一致。
⑥确定质量职能
根据选择的标准(经过允许的删减)和组织的实际情况,确定质量职能,提出质量职能 的清单。
⑧确定质量手册的框架结构
质量手册是规定组织质量管理体系的文件。质量管理体系策划至少要确定质量手册的框 架结构,也就是说,要确定其所包含的全部内容,包括质量管理体系的范围(要素和子要素 )。
⑨确定所需的程序文件目录
GB/T19001 — 2000虽然只规定了必须建立的六个程序文件,但绝大多数组织所必需的 程序文件远不止于此。策划时,应根据组织的实际情况,确定所需的程序文件。凡那些对产 品、过程、体系有重大影响的过程或质量管理活动,都应当建立程序文件。
⑦进行质量职能分配
这是质量管理体系策划中重要又困难的工作。质量职能分配不下去,下一步建立或 改进 质量管理体系的工作就无法开展。而要合理分配质量职能又相当困难,很可能涉及组织机构 和人员调配等多种问题。为使质量职能分配真正落到实处,必要时可以调整组织的组织机构 和相关人员。
⑩编制质量管理体系策划方案
内容包括:
a.为什么要建立或改进质量管理体系(主要阐述“要求”和“情况”);
b.质量管理体系方案的概述(选择什么标准以及策划所遵循的原则);
c.质量方针和质量目标草案;
d.质量职能分配(可以将分配结果作为附件列在方案之中);
e.质量手册框架(如果已编制了质量手册草案,可附在方案之后);
f.程序文件目录;
g.对质量管理体系方案的有关说明;
11对方案和计划进行评审和修改
方案和计划都应提交给质量管理体系策划领导小组进行评审, 管理者要亲自主持评审会 议。对评审中提出的意见和建议,合理的应当接纳,以对方案和计划进行修改;不合理的则 应做好解释工作;争执不下的,则由 管理者裁决认证。