ISO27001認證體系建設分為四個階段：實施風險評估、規劃體系建設方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業信息系統的，確保信息的持續發展。 　　1、確立范圍 　　首先是確立項目范圍，從機構層次及系統層次兩個維度進行范圍的劃分。從機構層次上，可以考慮 內部機構：需要覆蓋公司的各個部門，其包括總部、事業部、制造本部、技術本部等;外部機構：則包括 公司信息系統相連的外部機構，包括供應商、中間業務合作伙伴、及其他合作伙伴等。 　　從系統層次上，可按照物理環境：即支撐信息系統的場所、所處的周邊環境以及場所內保障計算機 系統正常運行的設施。包括機房環境、門禁、監控等;網絡系統：構成信息系統網絡傳輸環境的線路介質 ，設備和軟件;服務器平臺系統：支撐所有信息系統的服務器、網絡設備、客戶機及其操作系統、數據庫 、中間件和Web系統等軟件平臺系統;應用系統：支撐業務、辦公和管理應用的應用系統;數據：整個信息 系統中傳輸以及存儲的數據;管理：包括策略、規章制度、人員組織、開發、項目管理 和系統管理人員在日常運維過程中的合規、審計等。 　　2、風險評估 　　企業信息是指保障企業業務系統不被非法訪問、利用和篡改，為企業員工提供、可信的服 務，保證信息系統的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內容： 　　2.1、企業管理類的評估 　　通過企業的控制現狀調查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業的經驗上 進行“差距分析”，檢查企業在控制層面上存在的弱點，從而為措施的選擇提供依據。 　　評估內容包括ISO27001所涵蓋的與信息管理體系相關的11個方面，包括信息策略、組 織、資產分類與控制、人員、物理和環境、通信和操作管理、訪問控制、系統開發與維護、安 全事件管理、業務連續性管理、符合性。 　　2.2、企業技術類評估 　　基于資產等級的分類，通過對信息設備進行的掃描、設備的配置，檢查分析現有網絡 設備、服務器系統、終端、網絡架構的現狀和存在的弱點，為加固提供依據。 　　針對企業具有代表性的關鍵應用進行評估。關鍵應用的評估方式采用滲透測試的方法，在應用 評估中將對應用系統的威脅、弱點進行識別，分析其和應用系統的目標之間的差距，為后期改造提 供依據。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優點 ，同時結合企業自身的特點，建立風險評估模型： 　　在風險評估模型中，主要包含信息資產、弱點、威脅和風險四個要素。每個要素有各自的屬性，信 息資產的屬性是資產價值，弱點的屬性是弱點在現有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產帶來影響的嚴重程度，威脅的屬性是威脅發生的可能性及其危害的嚴重程度，風險的屬 性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。 　　3、規劃體系建設方案 　　企業信息問題根源分布在技術、人員和管理等多個層面，須統一規劃并建立企業信息體系 ，并終落實到管理措施和技術措施，才能確保信息。 　　規劃體系建設方案是在風險評估的基礎上，對企業中存在的風險提出建議，增強系統的安 全性和抗攻擊性。 　　在未來1-2年內通過信息體系制的建立與實施，建立組織，技術上進行審計、內外網隔 離的改造、產品的部署，實現以流程為導向的轉型。在未來的 3-5 年內，通過完善的信息體系 和相應的物理環境改造和業務連續性項目的建設，將企業建設成為一個注重管理，為主，防治結合 的先進型企業。 　　4、企業信息體系建設 　　企業信息體系建立在信息模型與企業信息化的基礎上，建立信息管理體系核心可以更 好的發揮六方面的能力：即預警(Warn)、保護(Protect)、檢測(Detect)、反應(Response)、恢復 (Recover)和反擊(Counter-attack)，體系應該兼顧攘外和安內的功能。 　　體系的建設一是涉及管理制度建設完善;二是涉及到信息技術。首先，針對管理制 度涉及的主要內容包括企業信息系統的總體方針、技術策略和管理策略等。總體方針 涉及組織機構、管理制度、人員管理、運行維護等方面的制度。技術策略涉 及信息域的劃分、業務應用的等級、保護思路、說以及進一步的統一管理、系統分級、網絡互 聯、容災備份、集中監控等方面的要求。 　　其次，信息技術按其所在的信息系統層次可劃分為物理技術、網絡技術、系統技 術、應用技術，以及基礎設施平臺;同時按照技術所提供的功能又可劃分為保護類、檢 測跟蹤類和響應恢復類三大類技術。結合主流的技術以及未來信息系統發展的要求，規劃信息 技術包括：

IATF16949+ISO14001整合一化體系認證的好處？ IATF16949 (汽車 供應鏈 品質標準，QMS與 ISO 14001 ( 環境管理體系 標準，EMS) 與) 已漸漸成為供貨商需要符合的兩大主要標準，不少汽車制造商及主要的 線供應商，如福特、戴姆勒克萊斯勒和Visteon， 均已將環境管理體系 要求加進他們的客戶特定要求之中。 究竟這兩套標準有沒有重疊的地方呢？如有的話，又是否可以將他們共通的部分組合為一個體系，而不是分別推行兩個獨立的體系去處理環境管理和品質管理 呢？ 其實，只要通過策略性的規劃和協調，加上適當的組織架構，機構是可以把 品質管理 體系和 環境管理體系 組合，從而資源利用效率。本文會就ISO 14001:2004和IATF16949:2016的主要共通處進行分析，同時找到推行綜合管理體系共同處的機會。 到底在什么地方可以找到 綜合管理體系 的機會？其實幾乎在所有的重要條文中都能找到兩個體系標準的共通處。這里通過比較ISO 14001:2004和IATF6949:2016的相關條文，舉例了主要的可組合領域。 文件管理TIATF16949的4.2.3條和ISO 14001的4.4.4.c條 兩套標準均要求要有體系來管理所有用來闡明政策、程序和方法的文件，而TS 的要求已完全將ISO 14001的要求包含在內，即在TS的體系內推行ISO 14001文件管理，也會符合ISO 14001的要求。 要注意的地方，是核準這兩套文件的負責人或許會不相同，但兩套標準都允許機構自行決定核準人。對核準 質量管理 體統和環境管理體系文件并不要求一定是同一個人。 記錄管理TIATF16949的4.2.4.1條和ISO 14001的4.5.4條 兩套標準都要求將記錄標識和保存。雖然兩套體系的記錄顯然會不同，但卻可共享一套方法和程序去闡明如何推行記錄管理。 信息傳遞 IATF16949的5.1 及5.5.3條和ISO 14001的4.4.3條 兩者也強調將客戶要求、法規要求、品質政策和環境政策在內部和外部進行有效的溝通。其實只要通過協調，便可利用相同的渠道或媒體，將環境及品質管理 體系的信息傳送出去。現實情況是，對普通的公司來講，可用的溝通渠道就只有有限的幾種。很多公司試著通過管理評審、創辦公司刊物、小組會議等方式來貫徹標準中對信息傳遞的要求。但經常會出現一種無序狀態，如明明一份刊物已經足夠傳遞信息，還會有第二份刊物的出臺。 目的、目標、方案、監察及測量IATF16949的5.1.1、5.4.1條和ISO 14001的4.4.3及4.5.1條 監控及測量品質管理體系和環境管理體系運作績效的指標雖有分別，但也可共享一套體系及流程將績效信息向 管理層和其它有關人士或組織匯報。 規劃IATF16949的5.4.2條和ISO 14001的4.3條 品質管理體系和環境管理體系的目的，都是將會對機構造成影響的挑戰識別出來；同時妥善處理任何體系上的變動，使另一體系不致受影響。如設立綜合管理體系，評估及推行變動時便可同時考慮到對品質管理體系和環境管理體系的潛在影響。 管理評審IATF16949的5.6.1條和ISO 14001的4.6條 兩套標準都確定了介定管理評審流程輸入及輸出的資料的必要性。雖然輸入及輸出的資料會有不同，但方法卻基本上沒有分別。此外，若把兩個獨立的管理評審組合為一，而評審報告也包含對品質管理體系和環境管理體系的成效評估，便可協助企業同時符合營運目的和客戶的要求。 能力、培訓及意識 TS 16949的6.2.2條和ISO 14001的4.4.2條 兩套標準都提出了對員工能力的要求，都希望有受過培訓的人員來勝任各自的工作要求。盡管兩套標準的條款文字表述有所不同，但定義資格認定和勝任要求、確保能力、評估有效性和持續培訓等方面所采用的方法，實質都是相同的。 內部審核TS 16949的8.2.2條和ISO 14001的4.5.5條 對兩套體系用同樣的內部審核體系進行審核是組合體系中省時有效的領域之一。 雖然內部審核員的要求資格有分別，但內部審核的目的卻相同，所以只要在流程中找出TS 和ISO 14001的共通要求，便可共享一個內部審核體系，也只需執行一次內部審核，便能同時符合兩套標準的要求，主要可從如下幾大問題著手： 這個過程的目的，目標，對象是什么？實現這些目的應該如何做？ 誰是客戶、相關方和政府機構？他們的要求是什么？ 有沒有和這個過程相關的環境要素、影響和程序？ 你在這個過程中的角色、職責是什么？ 如何測量、監控和跟蹤這個過程？ 你曾經接受過哪些培訓？你清楚的了解這些要求嗎？遇到環境相關的突發事件是怎么處理的？ 這個過程是否有相關的文件和記錄要求？ 建議改進的過程是什么？你是否有參與到這個過程中？ 方針是什么？為完成方針，做了什么？ 是如何匯報或記錄產品和環境的不符合項的？ TS 16949對環境方面的相關要求 除了以上可以在兩套體系中找到對應的條文進行組合之外，ISO/TS 16949:2002的部分條文也涵蓋了環境管理體系的要求在內： 6.4.1條 組織必須考慮產品和員工潛在風險小化的方法，特別是在設計和開發過程和制造過程的活動中。 7.2.1(C)條 注2和3說明了在循環、考慮環境影響、政府、和環境適用于材料的獲得、存儲、搬運 、和處理。 7.3.2.1條 考慮在車輛報廢等方面的環境問題，組織必須對產品設計輸入要求進行識別、形成文件并進行評審。在環境管理體系相關條款中的顧客特殊要求，和ISO 14001 4.3.2條的"其他"要求一致，而用"其他"要求評估符合性與ISO 14001中的4.5.2條一致。 7.3.2.2條 這一條包含了環境管理在制造過程設計活動需要考慮的方面。 7.4.1.1條 這一條要求所有采購的產品或材料，均必須滿足使用的法規要求，在ISO 14001的第4.4.6(C)條有所提及。當與供方存在合并、兼并或從屬關系時，組織應該驗證供方質量管理 體系的延續性和有效性。 效率節約成本 由此可見，把品質管理體系和環境管理體系組合起來的機會可說是很多；至于能否成功推行，關鍵卻在于組織的管理架構和匯報體系。很多組織認為環境管理體系的功能促使組織實踐符合法律、法規的承諾；而品質管理體系則針對客戶產品和機構的運作，所以故意讓品質管理體系和環境管理體系獨立運作。 但退一步看，品質管理體系和環境管理體系卻是互有關連、互相影響的，如果將它們組合起來，便可用一個宏觀的方法來作決策，所作的決定亦能同時符合不同層面的要求，包括環境管理、品質管理、機構目標和客戶要求等