ISO27001認證體系建設分為四個階段：實施風險評估、規劃體系建設方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業信息系統的，確保信息的持續發展。 　　1、確立范圍 　　首先是確立項目范圍，從機構層次及系統層次兩個維度進行范圍的劃分。從機構層次上，可以考慮 內部機構：需要覆蓋公司的各個部門，其包括總部、事業部、制造本部、技術本部等;外部機構：則包括 公司信息系統相連的外部機構，包括供應商、中間業務合作伙伴、及其他合作伙伴等。 　　從系統層次上，可按照物理環境：即支撐信息系統的場所、所處的周邊環境以及場所內保障計算機 系統正常運行的設施。包括機房環境、門禁、監控等;網絡系統：構成信息系統網絡傳輸環境的線路介質 ，設備和軟件;服務器平臺系統：支撐所有信息系統的服務器、網絡設備、客戶機及其操作系統、數據庫 、中間件和Web系統等軟件平臺系統;應用系統：支撐業務、辦公和管理應用的應用系統;數據：整個信息 系統中傳輸以及存儲的數據;管理：包括策略、規章制度、人員組織、開發、項目管理 和系統管理人員在日常運維過程中的合規、審計等。 　　2、風險評估 　　企業信息是指保障企業業務系統不被非法訪問、利用和篡改，為企業員工提供、可信的服 務，保證信息系統的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內容： 　　2.1、企業管理類的評估 　　通過企業的控制現狀調查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業的經驗上 進行“差距分析”，檢查企業在控制層面上存在的弱點，從而為措施的選擇提供依據。 　　評估內容包括ISO27001所涵蓋的與信息管理體系相關的11個方面，包括信息策略、組 織、資產分類與控制、人員、物理和環境、通信和操作管理、訪問控制、系統開發與維護、安 全事件管理、業務連續性管理、符合性。 　　2.2、企業技術類評估 　　基于資產等級的分類，通過對信息設備進行的掃描、設備的配置，檢查分析現有網絡 設備、服務器系統、終端、網絡架構的現狀和存在的弱點，為加固提供依據。 　　針對企業具有代表性的關鍵應用進行評估。關鍵應用的評估方式采用滲透測試的方法，在應用 評估中將對應用系統的威脅、弱點進行識別，分析其和應用系統的目標之間的差距，為后期改造提 供依據。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優點 ，同時結合企業自身的特點，建立風險評估模型： 　　在風險評估模型中，主要包含信息資產、弱點、威脅和風險四個要素。每個要素有各自的屬性，信 息資產的屬性是資產價值，弱點的屬性是弱點在現有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產帶來影響的嚴重程度，威脅的屬性是威脅發生的可能性及其危害的嚴重程度，風險的屬 性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。 　　3、規劃體系建設方案 　　企業信息問題根源分布在技術、人員和管理等多個層面，須統一規劃并建立企業信息體系 ，并終落實到管理措施和技術措施，才能確保信息。 　　規劃體系建設方案是在風險評估的基礎上，對企業中存在的風險提出建議，增強系統的安 全性和抗攻擊性。 　　在未來1-2年內通過信息體系制的建立與實施，建立組織，技術上進行審計、內外網隔 離的改造、產品的部署，實現以流程為導向的轉型。在未來的 3-5 年內，通過完善的信息體系 和相應的物理環境改造和業務連續性項目的建設，將企業建設成為一個注重管理，為主，防治結合 的先進型企業。 　　4、企業信息體系建設 　　企業信息體系建立在信息模型與企業信息化的基礎上，建立信息管理體系核心可以更 好的發揮六方面的能力：即預警(Warn)、保護(Protect)、檢測(Detect)、反應(Response)、恢復 (Recover)和反擊(Counter-attack)，體系應該兼顧攘外和安內的功能。 　　體系的建設一是涉及管理制度建設完善;二是涉及到信息技術。首先，針對管理制 度涉及的主要內容包括企業信息系統的總體方針、技術策略和管理策略等。總體方針 涉及組織機構、管理制度、人員管理、運行維護等方面的制度。技術策略涉 及信息域的劃分、業務應用的等級、保護思路、說以及進一步的統一管理、系統分級、網絡互 聯、容災備份、集中監控等方面的要求。 　　其次，信息技術按其所在的信息系統層次可劃分為物理技術、網絡技術、系統技 術、應用技術，以及基礎設施平臺;同時按照技術所提供的功能又可劃分為保護類、檢 測跟蹤類和響應恢復類三大類技術。結合主流的技術以及未來信息系統發展的要求，規劃信息 技術包括：

ISO14001是深圳市博慧達企業管理咨詢有限公司的主營業務中，同行業早開展ISO14001體系認證的咨詢機構之一，經過十多年的咨詢服務積累了一整套符合各種不同類型企業需要的ISO14001特色認證服務，累計服務超過2000家企業，從而讓每家被服務企業獲得進入國際市場的“綠色通行證”。 經過十多年的ISO14001認證咨詢經驗，我們形成了獨具博慧達特色的咨詢優勢，那就是我們確保被咨詢企業不僅盡快拿到，而且能夠讓企業提高全體員工的守法意識，真正讓企業實現清潔無污染，節能降耗，從而實現清潔生產，達標排放，從而實現和諧發展，企業競爭力與軟實力。 我們的服務是按照以下步驟來完成的： 　　1、 管理者決定：環境管理體系的建立和實施需要組織人、財、物等資源，因此，必須首先得到 管理者（層）的明確承諾和支持，同時，由 管理者任命環境管理者代表，授權其負責建立和維護體系，保證此項工作的領導作用。 　　2、建立完整的組織機構：組建一個推進環境管理體系建立和維護的領導班和工作組企業應在原有組織機構的基礎，組建一個由各有關職能和生產部門負責人組成的領導班對此項工作進行協調和管理，此外由某個部門（如負責環保工作的部門）為主體，其它有關部門的有關人員參加，組成一個工作組，承擔具體工作。明確各個部門的職責，形成一個完整的組織機構，保證該工作的順利開展。 　　3、人員培訓：對企業有關人員進行培訓，包括環境意識、標準、內審員和與建立體系有關的，如初始環境評審和文件編寫方法和要求等多方面的培訓，使企業人員了解和有能力從事環境管理體系的建立實施與維護工作。 ??????4、 初始環境評審：是對組織環境現狀的初始調查，包括正確識別企業活動、產品、服務中產生的環境因素，并判別出具有和可能具有重大影響的重要環境因素；識別組織應遵守的法律和其它要求；評審組織的現行管理體系和制度，如環境管理、質量管理、行政管理等，以及如何與ISO14001標準相結合。 　　5、體系策劃：在初始環境評審的基礎上，對環境管理體系的建立進行策劃，以確保環境管理體系的建立有明確要求。 　　6、文件編寫：同ISO9000一樣，ISO14001環境管理體系要求文件化，可分為手冊、程序文件、作業指導書等層次。企業應根據ISO14001標準的要求，結合自身的特點和基礎編制出一套適合的體系文件，滿足體系有效運行的要求。 　　7、體系試運行：體系文件完稿并正式頒布，該體系按文件的要求開始試運行。其目的是通過體系實際運行，發現文件和實際實施中存在的問題，并加以整改，使體系逐步達到適用性、有效性和充分性。 　　 8、企業內部審核：根據ISO14001標準的要求，企業應對體系的運行情況進行審核。由經過培訓的內審員通過企業的活動、服務和產品對標準各要素的執行情況進行審核、發現問題，及時糾正。 　　 9、管理評審：根據標準的要求，在內審的基礎上，由 管理者組織有關人員對環境管理體系從宏觀上進行評審，以把握體系的持續適用性、有效性和充分性。 　　按照我們這樣一套完整流程建立的企業的環境管理體系完成了一輪PDCA循環，完成了環境管理體系的建立。按照ISO14001標準建立、運行一個環境管理體系是一項涉及面廣、專業性強和技能要求很高的工作。組織可根據具體情況，決定是否有必要在咨詢機構的指導下進行，這樣可以節省時間，避免走彎路，提高工作效率，保證環境管理體系的規范性和可操作性，以獲取更多的效益。打算進行認證的組織，在委托第三方認證機構認證審核之前，可委托咨詢機構進行模擬審核，及幫助企業認證審核的聯系認證審核前的準備工作，以保證企業認證審核。