ISO27000認證信息風險評估FAQ 深圳ISO27000認證為什么要進行信息風險評估？ 　　通過風險評估，你可以知道組織范圍內(nèi)存在哪些重要的信息資產(chǎn)、信息處理設(shè)施及其面臨的威脅，發(fā)現(xiàn)技術(shù)和管理上的脆弱點，綜合評估現(xiàn)有綜合資產(chǎn)的風險狀況。 什么是信息風險評估？ 　　風險評估：對信息及信息載體、應(yīng)用環(huán)境等各方面風險進行辨識和分析的過程，是對威脅、影響、脆弱性及三者發(fā)生的可能性的評估。它是確認風險及其大小的過程。 　　風險評估為管理層確定具體的策略，以及在“成本-效益”平衡基礎(chǔ)上做決策服務(wù)；風險控制措施為組織實施信息的改進提供指導(dǎo)。 信息風險評估的實施的主體是什么？ 　　風險評估可分為自評估和檢查評估兩大類。自評估是由被評估信息系統(tǒng)的擁有者依靠自身的力量，對其自身的信息系統(tǒng)進行的風險評估活動。檢查評估則通常是被評估信息系統(tǒng)的擁有者的上級主管或業(yè)務(wù)主管發(fā)起的，旨在依據(jù)已經(jīng)頒布的法規(guī)或標準進行的，具有強制意味的檢查活動，是通過行政手段加強信息的重要措施。 　　檢查評估應(yīng)該是具有一定資質(zhì)的風險評估服務(wù)機構(gòu)實施的。自評估可以在信息風險評估服務(wù)機構(gòu)的咨詢、服務(wù)、培訓下，由系統(tǒng)所有者和評估服務(wù)機構(gòu)共同完成。 信息風險評估的政策依據(jù)及標準依據(jù)？ 　　 信息化領(lǐng)導(dǎo)小組《關(guān)于加強信息保障工作的意見》(中辦發(fā)[2003]27號文件)將信息風險評估作為一項重要的舉措。國信辦2005年5號文率先在北京、上海、黑龍江、云南等地，以及銀行、稅務(wù)、電力三個行業(yè)進行試點，根據(jù)試點經(jīng)驗，各省市建立信息風險評估管理制度。 　　 國信辦標準草案《信息風險評估指南》、《信息風險管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息風險評估包括哪幾個主要實施階段？ 　　風險評估可以分為資產(chǎn)識別、重要資產(chǎn)賦值、威脅分析、脆弱性識別、風險計算、風險控制措施提出等實施階段。 信息風險評估的主要內(nèi)容及方法？ 　　信息風險評估的實施主要有以下內(nèi)容： 　　 （1）資產(chǎn)識別 　　 （2）資產(chǎn)的屬性賦值及權(quán)重計算 　　 （3）威脅分析 　　 （4）薄弱點分析 　　 （5）威脅發(fā)生可能性及影響分析 　　 （6）風險計算 　　 （7）風險處理計劃制定 　　 風險評估是一項綜合的系統(tǒng)工程，既涉及到技術(shù)，又涉及到管理。風險評估過程中既需要采用技術(shù)的檢測手段，又需要進行綜合的歸納、總結(jié)和分析方法。 　　 風險評估中資產(chǎn)價值的判斷、威脅判斷、事件造成影響的判斷標準都需要根據(jù)被評估實際情況，與被評估方共同確定。 信息風險評估是否會影響系統(tǒng)的業(yè)務(wù)正常運行？ 　　除針對服務(wù)器的漏洞掃描、診斷及滲透性測試外，風險評估不會對系統(tǒng)的業(yè)務(wù)運行造成影響。即使是滲透性測試，也僅僅是為了驗證漏洞存在給系統(tǒng)可能造成的后果（如文件竊取、控制修改關(guān)鍵程序/進程等），而不是以破壞系統(tǒng)為目的。評估人員在執(zhí)行滲透性測試前，會將詳細的滲透測試方案與用戶交流，包括滲透測試對象、測試強度、可能后果、提前備份等要求，并經(jīng)用戶認可后方能實施。 信息風險評估的結(jié)果形式是什么？ 　　信息風險評估在評估過程中將生成一系列的風險評估操作記錄，包括：重要資產(chǎn)列表、脆弱性匯總表、資產(chǎn)威脅識別表、資產(chǎn)威脅風險系數(shù)表、信息資產(chǎn)綜合風險值表等， 將生成三份評估結(jié)果： 　　 脆弱性評估報告：以資產(chǎn)為核心，描述該資產(chǎn)存在的薄弱點。 　　 風險評估報告：反映了風險評估整個過程、方法、內(nèi)容及風險結(jié)果。 　　 風險處理計劃：針對識別的風險，提出具體的控制目標和控制措施。 信息風險評估的周期有多長　 　　信息風險評估沒有確定的時間周期，一般兩年一次進行定期的評估，但當組織新增信息資產(chǎn)、系統(tǒng)發(fā)生重大變更、業(yè)務(wù)流程發(fā)生重大變化、發(fā)生嚴重信息事故等情況下應(yīng)進行風險評估。 　　 此外，對系統(tǒng)規(guī)劃、擴建時也需要進行風險評估，為需求、策略的制定提供依據(jù)。 信息風險評估的收費標準　 　　根據(jù)評估對象的不同而不同。風險評估的對象可以是：單個獨立的信息系統(tǒng)、支持組織業(yè)務(wù)的整體信息處理環(huán)境、整個組織范圍。信息風險評估的費用主要依據(jù)以下幾個方面進行核算： 　　 網(wǎng)絡(luò)規(guī)模 　　 聯(lián)網(wǎng)單位或客戶端抽樣比例 　　 被評估系統(tǒng)的多少 　　 被評估信息設(shè)備的多少 　　 被評估的組織范圍大小

01.哪些組織可以申請IATF16949認證？ 答：轎車、載貨汽車、客車、摩托車及部件、配件的生產(chǎn)廠家。不包括工業(yè)（叉車）、農(nóng)業(yè)（小貨車）、建筑業(yè)（工程車）、礦業(yè)、林業(yè)等用車生產(chǎn)廠家。 02.混合性生產(chǎn)的企業(yè)，只有少部分產(chǎn)品是提供給汽車制造廠的，能否做IATF16949認證？ 答：可以。公司的所有管理都應(yīng)按IATF16949執(zhí)行，包括汽車產(chǎn)品技術(shù)方面。如果生產(chǎn)現(xiàn)場可區(qū)分開來，可只對汽車產(chǎn)品制造現(xiàn)場按IATF16949管理，否則整個工廠必須按IATF16949執(zhí)行。 03.某汽車廠生產(chǎn)模具、夾具、工裝之類，能否申請IATF16949認證？ 答：不能。模具產(chǎn)品生產(chǎn)廠盡管是汽車供應(yīng)鏈廠家的供方，但所供產(chǎn)品不是用于汽車上的，因此不能申請IATF16949認證。類似的還有運輸供方等。 04.按IATF16949體系運行多長時間才可申請認證？ 答：IATF規(guī)定，組織的運行業(yè)績要有12個月，實際告訴我們要有12個月的運行記錄。但12個月并非指體系文件發(fā)布后12個月，只要組織以往有足夠的績效記錄滿足了12個月也可以。非汽車產(chǎn)品生產(chǎn)運行記錄只要3個月就可。 05.生產(chǎn)汽車零件的公司，主要供應(yīng)維修市場，能否申請IATF16949認證？ 答：不能。汽車供應(yīng)鏈是指所供產(chǎn)品必須裝在整車廠出廠新車上的產(chǎn)品零部件，不包括維修市場產(chǎn)品。但如果是整車廠指定銷售點并按整車廠的計劃配送，還是可以申請認證的。 06.產(chǎn)品由本公司設(shè)計出來，但與顧客合同的開發(fā)協(xié)議中，設(shè)計責任是顧客，本公司是否有產(chǎn)品設(shè)計責任？ 答：公司是有產(chǎn)品設(shè)計功能的，但無產(chǎn)品設(shè)計責任。 07.本公司的產(chǎn)品設(shè)計是外包給汽車設(shè)計院設(shè)計出來的，那本公司是否有產(chǎn)品設(shè)計責任？ 答：有。正式審核時包括設(shè)計院在內(nèi)。產(chǎn)品設(shè)計責任，如果不是顧客，就是組織自己，二者必居其一。 08.對于鍛件毛坯的生產(chǎn)廠，顧客的要求是，在產(chǎn)品圖紙的基礎(chǔ)上，保證足夠的金屬切削余量，而鍛件余量是由本公司自己設(shè)計出來的，請問本公司是否有產(chǎn)品設(shè)計責任？ 答：無產(chǎn)品設(shè)計責任。產(chǎn)品設(shè)計責任是針對終產(chǎn)品圖樣而言的，鍛件毛坯圖屬工藝過程圖，是制造過程設(shè)計。 09.組織的質(zhì)量目標值很低是否能通過認證？ 答：目標設(shè)定和行業(yè)、加工工藝、公司的經(jīng)營規(guī)劃有關(guān)。目標設(shè)定要依據(jù)工廠實際，沒有達成是允許的，只要有改善對策就可。但目標連續(xù)三個月都沒有達成，就要考慮目標設(shè)定的合理性或者體系策劃的有效性。 10.正在進行基礎(chǔ)設(shè)施改造的公司，建造一座新的生產(chǎn)車間，是否能進行現(xiàn)場審核？ 答：可以。只要組織按IATF16949運行，完全符合標準要求就可以申請認證。但需要按照公司內(nèi)部規(guī)定要求進行變更管理，包括新設(shè)施制造可行性評估，變更控制等內(nèi)容，并在新生產(chǎn)場地開始生產(chǎn)前，按照變更管理進行驗證和確認。 11.過程業(yè)績和質(zhì)量目標有何關(guān)系？ 答：組織的業(yè)績是指組織終滿足顧客要求的質(zhì)量目標值，組織的過程業(yè)績是指組織完成終目標的中間過程指標。過程業(yè)績指標是為了完成質(zhì)量目標而設(shè)定的。例如準時交貨率，是采購準交率、委外準交率、生產(chǎn)計劃達成率幾個指標的實現(xiàn)，從而達到準時交貨率這個指標的。 12.組織內(nèi)部審核能否用按部門或按程序文件方式進行內(nèi)審，而不用過程方法審核表？ 答：不可以。IATF組織發(fā)布的《審核檢查表》，于2004年6月宣布停止使用，是為了強調(diào)過程方法的應(yīng)用，在IATF16949中明確要求，不管在二方審核供應(yīng)商體系還是在內(nèi)部體系審核時，必須使用過程方法進行審核。 13.監(jiān)視和測量資源是否都要進行周期檢查？ 答：不一定。對測量設(shè)備的控制，不是對所有場合下使用的測量設(shè)備都必須實施，特別是校準和檢定，僅對那些在需要確保產(chǎn)品質(zhì)量合格的場合下使用的測量設(shè)備進行。對于其他場合使用的測量設(shè)備，組織考慮采用其他的方法，避免提高成本，例如萬用表、卷尺、鋼直尺等。純粹用于監(jiān)視過程的測量設(shè)備，也可不進行周期鑒定，因為它們不直接證實產(chǎn)品的符合性，如密封性試驗的氣壓表，控制臺上的電壓表等。 14.服務(wù)要求指什么？ 答：服務(wù)的定義是：在組織(3.2.1)和顧客(3.2.4)之間需要完成至少一項活動的組織的輸出(3.7.5) 注1：服務(wù)的主要特征通常是無形的。 汽車制造行業(yè)服務(wù)主要包括：安裝，調(diào)試，維修，失效分析，備品備件供應(yīng)，零件回收（ELV）等的要求，必要的時候可能存在售后服務(wù)中心。 15.通過認證后多長時間才能拿到？ 答：現(xiàn)場審核分為兩個階段，階段審核稱為文件審核，審核通過后的3個月內(nèi)，進行第二階段的正式審核。組織在3個月內(nèi)對不符合項進行整改關(guān)閉，認證中心對整改完成情況進行驗證，這種驗證可能是書面的，也可能要到現(xiàn)場進行驗證。驗證完成后如果符合要求，則表示組織通過了IATF16949：2016認證，自此算起，一般不超過3個月就可拿到認證。注意，這只是通常情況，不同認證中心可能不一樣。 16.監(jiān)督審核多長時間進行一次？ 答：從第二階段現(xiàn)場審核后算起，可以按照每6個月一次監(jiān)督審核，或者每12個月進行一次監(jiān)督審核，有兩種，國內(nèi)認證公司一般都用的后面一種每12個月審核一次。 17.公司在IATF16949：2016正式認證前，供方是否都要先通過ISO9001：2015的認證？ 答：IATF16949：2016中“8.4.2.3供方質(zhì)量管理體系的開發(fā)”中要求，除非顧客同意，否則組織的供方必須通過經(jīng)認可的第三方認證機構(gòu)的ISO9001：2015第三方認證。但也要注意例外的情況，顧客有書面的認可，組織的供方也可不要求認證。但即使顧客允許，組織也應(yīng)按公司規(guī)定的質(zhì)量管理體系的開發(fā)要求，建計劃進行體系開發(fā)，要有達到以上要求的計劃，并對其進行監(jiān)督檢查，確保能按計劃完成。 18.公司的供方有一些是十幾個人的小企業(yè)，基礎(chǔ)很差，怎樣對他們進行質(zhì)量管理體系開發(fā)？ 答：對供方管理體系開發(fā)的優(yōu)先順序，取決于供方的質(zhì)量業(yè)績等。如對供方進行培訓、要求供方按ISO9001：2015實施、到供方現(xiàn)場進行二方質(zhì)量管理體系審核等。 19.供方不按公司的要求實施質(zhì)量管理體系，更換供方，采購成本又會提高，這怎么辦？ 答：供方的質(zhì)量管理體系，你不推，他是不會動的，應(yīng)建立“與供方的互利的關(guān)系”的思想，采取多種方式方法，逐漸引導(dǎo)供方提高質(zhì)量管理水平。對那些不求進步、供貨質(zhì)量又得不到保障的供方，考慮組織的長遠穩(wěn)定發(fā)展，應(yīng)逐漸淘汰。 20.供方是特大型企業(yè)，怎樣對其進行質(zhì)量管理體系開發(fā)？ 答：如果供方是特大型企業(yè)，可以在風險評估時確定其風險狀態(tài)，如果表明其風險較低且滿足公司目標體系開發(fā)要求，可不要開發(fā)，但對于組織對其的特殊要求，組織仍應(yīng)對其進行開發(fā)，如供方提交控制計劃的編制，可通過輔導(dǎo)學習來實現(xiàn)開發(fā)。 21.本公司在供方處采購的產(chǎn)品量過小，如何進行供方的質(zhì)量管理體系開發(fā)？ 答：依據(jù)供應(yīng)商風險確定管理要求，至少供應(yīng)商需要通過ISO9001,把那個確定目標體系要求，因此體系開發(fā)要求必須對供應(yīng)商提出，或通過中間商向制造商提要求。 22.供方以技術(shù)保密為由，不提交PPAP怎么辦？ 答：對供方進行PPAP培訓，涉及技術(shù)保密的部分可以不提交，其他是一定要提交的。 23.公司產(chǎn)品沒有特殊特性可以嗎？ 答：顧客是否有要求？如果有，自然就有。如果顧客沒有提出，則組織自己確定，需要有識別特殊特性的流程，包括初始特殊特性，產(chǎn)品特殊特性，產(chǎn)品和過程特殊特性。 24.什么是顧客的特殊要求？ 答：IATF16949：2016認證審核，一是頒發(fā)，符合IATF16949：2016質(zhì)量管理體系要求的，二是符合顧客特殊要求。組織按標準要求完全做到了還不夠，還要按不同顧客的個性要求去做到，才能真正意義上符合IATF16949：2016。顧客的特殊要求，新版IATF16949解釋是客戶對QMS特定條款的解釋或補充，如、新產(chǎn)品開發(fā)的策劃要求（APQP）、生產(chǎn)件批準要求（PPAP）、過程能力指數(shù)要求、量具的重復(fù)性再現(xiàn)性要求（GRR）和PPM要求等。 群互動群： 備注您想要加入的群：六西格瑪、精益管理、質(zhì)量體系、PMP項目管理（任選其一） 入群方式：加入小助手，拉入群（長按左圖識別二維碼） -THEEND- 討教君碎碎念： 如果覺得我的文章對您有幫助，希望經(jīng)常看到我的話，請看完文章后點右下角的“在看”或“星標”精益六西格瑪大本營。 投稿征集 歡迎大家投稿給公眾號，一經(jīng)采納會支付相應(yīng)的稿費哦！主題可以是六西格瑪，也可以是精益，也可以是質(zhì)量的，體系的！歡迎各位成為我們的專欄作家，長期合作哈！