ISO27000認證信息風險評估FAQ 深圳ISO27000認證為什么要進行信息風險評估？ 　　通過風險評估，你可以知道組織范圍內存在哪些重要的信息資產(chǎn)、信息處理設施及其面臨的威脅，發(fā)現(xiàn)技術和管理上的脆弱點，綜合評估現(xiàn)有綜合資產(chǎn)的風險狀況。 什么是信息風險評估？ 　　風險評估：對信息及信息載體、應用環(huán)境等各方面風險進行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認風險及其大小的過程。 　　風險評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎上做決策服務；風險控制措施為組織實施信息的改進提供指導。 信息風險評估的實施的主體是什么？ 　　風險評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進行的風險評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務主管發(fā)起的，旨在依據(jù)已經(jīng)頒布的法規(guī)或標準進行的，具有強制意味的檢查活動，是通過行政手段加強信息的重要措施。 　　檢查評估應該是具有一定資質的風險評估服務機構實施的。自評估可以在信息風險評估服務機構的咨詢、服務、培訓下，由系統(tǒng)所有者和評估服務機構共同完成。 信息風險評估的政策依據(jù)及標準依據(jù)？ 　　 信息化領導小組《關于加強信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風險評估作為一項重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務、電力三個行業(yè)進行試點，根據(jù)試點經(jīng)驗，各省市建立信息風險評估管理制度。 　　 國信辦標準草案《信息風險評估指南》、《信息風險管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風險評估包括哪幾個主要實施階段？ 　　風險評估可以分為資產(chǎn)識別、重要資產(chǎn)賦值、威脅分析、脆弱性識別、風險計算、風險控制措施提出等實施階段。 信息風險評估的主要內容及方法？ 　　信息風險評估的實施主要有以下內容： 　　 （1）資產(chǎn)識別 　　 （2）資產(chǎn)的屬性賦值及權重計算 　　 （3）威脅分析 　　 （4）薄弱點分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風險計算 　　 （7）風險處理計劃制定 　　 風險評估是一項綜合的系統(tǒng)工程，既涉及到技術，又涉及到管理。風險評估過程中既需要采用技術的檢測手段，又需要進行綜合的歸納、總結和分析方法。 　　 風險評估中資產(chǎn)價值的判斷、威脅判斷、事件造成影響的判斷標準都需要根據(jù)被評估實際情況，與被評估方共同確定。 信息風險評估是否會影響系統(tǒng)的業(yè)務正常運行？ 　　除針對服務器的漏洞掃描、診斷及滲透性測試外，風險評估不會對系統(tǒng)的業(yè)務運行造成影響。即使是滲透性測試，也僅僅是為了驗證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關鍵程序/進程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細的滲透測試方案與用戶交流，包括滲透測試對象、測試強度、可能后果、提前備份等要求，并經(jīng)用戶認可后方能實施。 信息風險評估的結果形式是什么？ 　　信息風險評估在評估過程中將生成一系列的風險評估操作記錄，包括：重要資產(chǎn)列表、脆弱性匯總表、資產(chǎn)威脅識別表、資產(chǎn)威脅風險系數(shù)表、信息資產(chǎn)綜合風險值表等， 將生成三份評估結果： 　　 脆弱性評估報告：以資產(chǎn)為核心，描述該資產(chǎn)存在的薄弱點。 　　 風險評估報告：反映了風險評估整個過程、方法、內容及風險結果。 　　 風險處理計劃：針對識別的風險，提出具體的控制目標和控制措施。 信息風險評估的周期有多長　 　　信息風險評估沒有確定的時間周期，一般兩年一次進行定期的評估，但當組織新增信息資產(chǎn)、系統(tǒng)發(fā)生重大變更、業(yè)務流程發(fā)生重大變化、發(fā)生嚴重信息事故等情況下應進行風險評估。 　　 此外，對系統(tǒng)規(guī)劃、擴建時也需要進行風險評估，為需求、策略的制定提供依據(jù)。 信息風險評估的收費標準　 　　根據(jù)評估對象的不同而不同。風險評估的對象可以是：單個獨立的信息系統(tǒng)、支持組織業(yè)務的整體信息處理環(huán)境、整個組織范圍。信息風險評估的費用主要依據(jù)以下幾個方面進行核算： 　　 網(wǎng)絡規(guī)模 　　 聯(lián)網(wǎng)單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設備的多少 　　 被評估的組織范圍大小

《測量管理體系、測量過程和測量設備的要求》(ISO10012:2003)的實施 講八項質量管理原則如何在計量體系中應用(一) 國際組織認為:一個企業(yè)的管理者，若想成功地領導和經(jīng)營其企業(yè)，需要采用一種系統(tǒng)的、透明的方式對其企業(yè)進行管理。針對所有相關方的需求，實施并保持持續(xù)改進企業(yè)業(yè)績的管理體系，可以使企業(yè)獲得成功。一個企業(yè)的管理活動涉及多方面，如質量管理、環(huán)境管理、職業(yè)與管理、財務管理、計量管理等。計量管理是企業(yè)各項管理的內容之一，也是企業(yè)管理的重要組成部分。 為了更有效地指導企業(yè)實施管理，國際標準化組織質量管理和質量保證技術委員會ISO/TC176于1995年成立了一個工作組，用了約兩年時間，吸納了國際上受尊敬的一批質量管理專家的意見，整理并編撰了八項質量管理原則，同時又把八項質量管理原則應用于2000版ISO9000族標準中。ISO10012是由ISO/TC176的SC3技術分委員會制定的，因此，在ISO10012的引言和相關要求中都提出八項質量管理原則應適用于ISO10012標準。 八項質量管理原則是質量和計量管理的基本、通用的一般性規(guī)律，成為質量和計量管理的理論基礎。八項質量管理原則是企業(yè)領導有效實施質量和計量管理工作必須遵循的原則，也是企業(yè)在市場競爭中取勝的法寶。 以下分析在ISO10012中應如何貫徹八項質量管理原則: 一、以顧客為關注焦點的原則ISO9000標準要求: a.以顧客為關注焦點 組織依存于顧客。因此，組織應當理解顧客當前和未來的需求，滿足顧客要求并爭取超越顧客期望。 1.了解并掌握ISO10012對顧客需求的有關要求 ISO10012標準中多次提出應滿足顧客的需求，如: (1)在ISO10012的“引言”中指出: “以下情況可能引用ISO10012標準:顧客在規(guī)定所要求的產(chǎn)品時”。 (2)在ISO10012“5.3條”中指出:5.3以顧客為關注焦點。 “計量職能的管理者應確保:①將顧客的需要確定下來并轉化為計量要求；②計量管理體系滿足顧客的計量要求；③能證明和符合顧客規(guī)定的要求?！?(3)在ISO10012“8.2.2條”中指出: “顧客滿意:計量職能應就顧客的計量要求是否已滿足來監(jiān)測有關顧客滿意度的信息?！?按照ISO10012上述要求去做，就體現(xiàn)了“以顧客為關注焦點”的原則。 2.什么是顧客的要求 “顧客”一詞是代表性的含義，它代表了市場的需求，代表了政府和法律的要求，代表了所有外部和內部用戶的意見。顧客對計量工作的需求和期望往往不會直接提出。顧客的要求主要體現(xiàn)在:產(chǎn)品技術指標的要求、產(chǎn)品標準、技術規(guī)范的要求、合同的要求以及法律和法規(guī)對產(chǎn)品的性和公平性要求，以及企業(yè)的協(xié)作者對企業(yè)的要求，還包括企業(yè)內部各部門之間模擬市場時的相互要求等。這些要求有的是明確的，如技術標準和合同等；有的是隱含的，如性和公平性要求。 3.顧客要求應轉化為計量的要求 ISO10012標準提出了顧客要求應轉化為計量的要求并提出應監(jiān)測顧客的要求。 計量職能部門的管理者應確保將上述顧客要求和期望確定下來并將其轉化成計量要求。把這些要求表示為 允許誤差、允許不確定度、測量范圍、穩(wěn)定性、分辨率、環(huán)境條件或者操作技能要求等計量要求。計量職能部門的管理者應保證測量管理體系滿足各方面的計量要求，并能提供數(shù)據(jù)證明體系滿足了顧客的要求。 4.測量管理體系如何滿足顧客對計量的要求 (1)計量管理職能通過確定并實施測量管理體系，來保證測量設備和測量過程能夠滿足這些計量要求。并通過對測量設備的計量確認和測量過程的受控程度來保證測量設備和測量過程滿足計量要求。要證明這些計量要求能夠符合產(chǎn)品的技術標準、規(guī)范、合同的要求，符合對測量設備的技術標準、規(guī)范、規(guī)程的要求。滿足計量要求也就是滿足了顧客的要求。 (2)監(jiān)測顧客滿意度 計量職能部門應依據(jù)顧客的計量要求是否已滿足來監(jiān)測有關顧客滿意度的信息。ISO10012標準明確要求要監(jiān)視和測量顧客滿意(8.2.2)。企業(yè)可以借助于數(shù)據(jù)分析提供所需的顧客滿意的信息，進一步通過糾正措施和措施，達到持續(xù)改進的目的。 二、領導作用的原則 ISO9000標準的要求: b.領導作用 確立組織統(tǒng)一的宗旨及方向。他們應當創(chuàng)造并保持使員工能充分參與實現(xiàn)組織目標的內部環(huán)境。 1.企業(yè)計量工作為什么要實行“領導作用”這一原則 在企業(yè)的管理活動中，起著關鍵的作用。計量管理體系也適用于這條原則。計量的特點之一是:“統(tǒng)一性”。這是計量學本質的特性。計量失去統(tǒng)一性，也就失去了存在的意義。計量的統(tǒng)一性不僅限于一個組織，也體現(xiàn)在一個企業(yè)，一個 ，甚至體現(xiàn)在全世界。在企業(yè)計量工作中，要達到統(tǒng)一性，就必須取得 領導的重視，發(fā)揮領導作用，否則就無法實現(xiàn)統(tǒng)一性。因此，計量的另一個特點是“權威性”。沒有高度的權威，就很難實現(xiàn)“統(tǒng)一性”；要做到權威性，就必須發(fā)揮領導的作用。 2.ISO10012條款中體現(xiàn)了“領導作用”的原則 實現(xiàn)“領導作用”主要是通過對組織、 領導以及計量職能部門提出職責和任務，從而體現(xiàn)加強企業(yè)領導的作用。 如，“ISO10012條款中多次提出: 5.管理職責 5.1計量職能 組織應規(guī)定計量職能。組織的 管理者應確保必要的資源以建立和保持計量職能。 指南:計量職能可能是一個單獨的部門或分布在整個組織中。 計量職能的管理者應建立測量管理體系，形成文件，并加以保持和持續(xù)改進其有效性。 5.3質量目標 計量職能的管理者應為測量管理體系規(guī)定可測量的質量目標。應規(guī)定測量過程的客觀的性能準則、程序及其控制。 5.4管理評審 組織的 管理者應按照計劃的時間間隔系統(tǒng)地評審測量管理體系，以確保其持續(xù)的充分性、有效性和適宜性。 管理者應確保評審測量管理體系所需的必要資源。 計量職能的管理者應利用管理評審的結果對體系進行必要的修正，包括改進測量過程和評審質量目標。應記錄所有評審結果和采取的所有措施。” 3.企業(yè) 領導承擔的職責 企業(yè) 領導應承擔的職責是: ①應為建立和維護企業(yè)計量體系提供必要的人力、物力、財力和其他相關條件，這些條件統(tǒng)稱為“資源”。 ②企業(yè) 領導應在計劃的時間間隔系統(tǒng)地組織對測量管理體系的評審，以保證它被連續(xù)有效地執(zhí)行并滿足需要。在評審體系時，企業(yè) 領導應保證提供評審所需要的設備、設施、人員以及文件資料等條件。測量管理體系管理評審的計劃和安排應納入企業(yè)的文件中。 ③建立并保持計量管理機構及其職能。 企業(yè)應建立計量管理機構，規(guī)定計量部門的職能，以保證計量管理體系的貫徹實施，這是加強企業(yè)計量工作必不可少的先決條件。計量職能是指組織中負責確定并實施測量體系的職能。由于計量工作可能貫穿到整個企業(yè)，所以，計量職能不單是指計量職能部門的職能，還包括整個企業(yè)與計量有關的職能。 4.企業(yè)計量職能部門應承擔的職責是: ①首先應該建立和制定維持并不斷改進測量管理體系的文件。 ②測量管理體系應該滿足顧客對計量的要求。 ③制定測量管理體系的工作質量目標。 計量職能部門的管理者應為測量管理體系制定質量目標。質量目標應規(guī)定實施測量過程的程序和客觀準則，并對它們進行控制。不同規(guī)模和類型的企業(yè)制定的測量體系的質量目標是不相同的。 在ISO10012標準中，專門對企業(yè)計量管理職責規(guī)定了19條要求。這充分體現(xiàn)了“領導作用”這一原則在ISO10012中的貫徹。這是過去任何有關計量管理的國際標準中都沒有過的，充分說明國際標準也認識到了計量管理職責的重要。該標準要求企業(yè)應建立計量管理機構，規(guī)定計量部門的職能，以保證計量管理體系的貫徹實施，這是加強企業(yè)計量工作必不可少的先決條件。(未完待續(xù))