ISO27001認證體系建設分為四個階段：實施風險評估、規劃體系建設方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業信息系統的，確保信息的持續發展。 　　1、確立范圍 　　首先是確立項目范圍，從機構層次及系統層次兩個維度進行范圍的劃分。從機構層次上，可以考慮 內部機構：需要覆蓋公司的各個部門，其包括總部、事業部、制造本部、技術本部等;外部機構：則包括 公司信息系統相連的外部機構，包括供應商、中間業務合作伙伴、及其他合作伙伴等。 　　從系統層次上，可按照物理環境：即支撐信息系統的場所、所處的周邊環境以及場所內保障計算機 系統正常運行的設施。包括機房環境、門禁、監控等;網絡系統：構成信息系統網絡傳輸環境的線路介質 ，設備和軟件;服務器平臺系統：支撐所有信息系統的服務器、網絡設備、客戶機及其操作系統、數據庫 、中間件和Web系統等軟件平臺系統;應用系統：支撐業務、辦公和管理應用的應用系統;數據：整個信息 系統中傳輸以及存儲的數據;管理：包括策略、規章制度、人員組織、開發、項目管理 和系統管理人員在日常運維過程中的合規、審計等。 　　2、風險評估 　　企業信息是指保障企業業務系統不被非法訪問、利用和篡改，為企業員工提供、可信的服 務，保證信息系統的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內容： 　　2.1、企業管理類的評估 　　通過企業的控制現狀調查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業的經驗上 進行“差距分析”，檢查企業在控制層面上存在的弱點，從而為措施的選擇提供依據。 　　評估內容包括ISO27001所涵蓋的與信息管理體系相關的11個方面，包括信息策略、組 織、資產分類與控制、人員、物理和環境、通信和操作管理、訪問控制、系統開發與維護、安 全事件管理、業務連續性管理、符合性。 　　2.2、企業技術類評估 　　基于資產等級的分類，通過對信息設備進行的掃描、設備的配置，檢查分析現有網絡 設備、服務器系統、終端、網絡架構的現狀和存在的弱點，為加固提供依據。 　　針對企業具有代表性的關鍵應用進行評估。關鍵應用的評估方式采用滲透測試的方法，在應用 評估中將對應用系統的威脅、弱點進行識別，分析其和應用系統的目標之間的差距，為后期改造提 供依據。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優點 ，同時結合企業自身的特點，建立風險評估模型： 　　在風險評估模型中，主要包含信息資產、弱點、威脅和風險四個要素。每個要素有各自的屬性，信 息資產的屬性是資產價值，弱點的屬性是弱點在現有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產帶來影響的嚴重程度，威脅的屬性是威脅發生的可能性及其危害的嚴重程度，風險的屬 性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。 　　3、規劃體系建設方案 　　企業信息問題根源分布在技術、人員和管理等多個層面，須統一規劃并建立企業信息體系 ，并終落實到管理措施和技術措施，才能確保信息。 　　規劃體系建設方案是在風險評估的基礎上，對企業中存在的風險提出建議，增強系統的安 全性和抗攻擊性。 　　在未來1-2年內通過信息體系制的建立與實施，建立組織，技術上進行審計、內外網隔 離的改造、產品的部署，實現以流程為導向的轉型。在未來的 3-5 年內，通過完善的信息體系 和相應的物理環境改造和業務連續性項目的建設，將企業建設成為一個注重管理，為主，防治結合 的先進型企業。 　　4、企業信息體系建設 　　企業信息體系建立在信息模型與企業信息化的基礎上，建立信息管理體系核心可以更 好的發揮六方面的能力：即預警(Warn)、保護(Protect)、檢測(Detect)、反應(Response)、恢復 (Recover)和反擊(Counter-attack)，體系應該兼顧攘外和安內的功能。 　　體系的建設一是涉及管理制度建設完善;二是涉及到信息技術。首先，針對管理制 度涉及的主要內容包括企業信息系統的總體方針、技術策略和管理策略等。總體方針 涉及組織機構、管理制度、人員管理、運行維護等方面的制度。技術策略涉 及信息域的劃分、業務應用的等級、保護思路、說以及進一步的統一管理、系統分級、網絡互 聯、容災備份、集中監控等方面的要求。 　　其次，信息技術按其所在的信息系統層次可劃分為物理技術、網絡技術、系統技 術、應用技術，以及基礎設施平臺;同時按照技術所提供的功能又可劃分為保護類、檢 測跟蹤類和響應恢復類三大類技術。結合主流的技術以及未來信息系統發展的要求，規劃信息 技術包括：

QC080000認證標準生產過程控制要求 QC080000認證標準8.5 生產和服務提供 1- QC080000認證標準生產和服務提供的控制要求 組織應該在受控條件下進行生產，適用時，受控條件應包括： a) 可獲得成文信息，以規定以下內容： 1) 擬生產的產品或進行的活動的HSF 特性； 2) 針對存在HS 污染或摻雜HS 可能性的過程的措施； b) 規定材料和技術的使用，過程運行的基礎設施和環境； c) 在適當階段實施監視和測量活動，以驗證是否符合過程的控制準則以及輸出或產品的HSF 接收準則； d) 采取措施，防止可能引入HSF 風險的人為錯誤。 2- QC080000認證標準標識和可追溯性要求 組織應在產品提供的整個過程中按照監視和測量的要求來識別輸出的HSF 狀態。 組織應按照法律法規、顧客或組織自己在HS 控制方面的要求標識產品。 組織應在必要時控制輸出的 性標識，并應保留所需的成文信息以實現可追溯性。 對包含任何HS 的過程應予以 標識并控制，以HSF 產品受到HS 污染。 3- QC080000認證標準顧客或外部供方的財產要求 組織應確保來源于外部供方（包括顧客指定的外部供方）的材料和元器件在使用前其HSF 符合 性已得到驗證。 當發現該財產的HSF 特性不合格時，組織應向顧客或外部供方報告此事并保留相關成文信息。 4- QC080000認證標準防護要求 組織應對輸出和產品進行防護，以確保對相應要求的HSF 符合性，包括： a) 組織應保護產品的HSF 特性； b) 組織應確保用于規定產品的HSF 符合性的任何標簽和標識的完整性； c) HSF 合格的和不合格的材料、元器件和產品應按已規定的過程予以隔離、明確標識和處理； d) 正確地放行中間輸出或產品用于HSF 生產； e) 與HSF 不合格產品的存儲和使用相關的成文信息應予以保留。 需要特別注意QC080000認證標準更改控制要求 組織應對可能改變產品HSF 特性的更改進行評審、驗證（必要時）和控制，以確保對HSF 要求的持續符合性。 當適用的法律法規和顧客有要求時，應在實施更改前向顧客報告更改并得到顧客的批準。 評審、驗證和批準更改的結果應作為成文信息予以保留，同時還應包括授權進行更改的人員以及根據評審所采取的必要措施。