泉州ISO认证机构-材料准备 流程顺畅

ISO体系认证内审员培养：
一、内审员数量：
1.按照公司目前人数至少需要9位内审员（质量3人，工程2人，生产2人，计划供应1人，HR1人）
2.发证的内审员可以是9名， 但是培训的话 公司的各个部门人员可以出席一些。 总的培训人数可以 20-25人左右比较合适。 包括高层 各个部门等。
二、内审员证书：
9张内审证书
三、培训天数 ：3天培训
前2天培训标准条款和5*具介绍， Z后1天培训 内审策划 内审计划 内审流程 内审报告 和内审不符合关闭。
 体系知识的模块化培训；
 审核知识的模块化培训；
 实际操作的带教、演练、修正；
 培育能立审核的内审队伍，必要时建议选拔人才。 分次进行培训，一年内把内审小组队伍打造完毕。

1 要求
应对所有的重要资产进行风险评估，评估应考虑威胁、脆弱性、威胁事件发生的可能性和威胁事件发生后对资产造成的影响程度及已经采取的措施等方面因素。
2 识别威胁
威胁是对组织及其资产构成潜在破坏的可能性因素，造成威胁的因素可分为人为因素和环境因素。威胁作用形式可以是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、等，在保密性、完整性或可用性等方面造成损害；也可能是偶发的、或蓄意的事件。
威胁可基于表现形式分类。例如可分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、网络攻击、攻击技术、物理攻击、泄密信息、篡改、抵赖等。
各部门根据资产本身所处的环境条件，识别每个资产所面临的威胁。
3 识别脆弱性
脆弱性是对一个或多个资产弱点的总称。脆弱性是资产本身存在的，如果没有相应的威胁发生，单纯的脆弱性本身不会对资产造成损害。而且如果系统足够强健，再严重的威胁也不会导致安全事件，并造成损失。即，威胁总是要利用资产的弱点才可能造成危害。
资产的脆弱性具有隐蔽性，有些弱点只有在一定条件和环境下才能显现，这是脆弱性识别中为困难的部分。需要注意的是，不正确的、起不到应有作用的或没有正确实施的安全措施本身就可能是一个脆弱性。
脆弱性识别将针对每一项需要保护的资产，找出可能被威胁利用的脆弱性，并对脆弱性的严重程度进行评估。脆弱性识别时的数据应来自于资产的所有者、使用者，以及相关业务领域的和软硬件方面的人员。
脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。

体系的正常运行  阶段性内审；
 相关报告的编写：如虫害控制报告、客户满意度调查报告、消防演练报告、追溯召回演练报告、脆弱性分析报告等大大小小十几个报告的编写。
 记录填写的监督与问题解决；
 体系的完善：包括根据体系要求查验遗漏点，完善体系运作内容。如对次外审过程中因时间问题没有做到的各个点进行纠偏。 按照体系要求的频率进行报告数据收集与编写；
每个月度检查当月的记录完善情况。
检查体系运作过程中的异常。

1成立风险评估小组
管理者代表牵头成立风险评估小组，小组成员应包含信息安全重要责任部门的成员。
2制定计划
风险评估小组制定《信息安全风险评估计划》,下发各部门。
信息资产的识别，本公司的资产范围包括：
1) 数据：财务数据、项目数据、各业务系统机密文件、人力资源机密文件、普通文件。
2) 环境设施：设备。
3) 软件：办公软件、操作系统、业务系统软件、安全软件、工具软件、应用软件。
4) 硬件：工作站、网络设备、终端、办公设备、财务设备、存储设备。
5) 人员：高层管理类人员、中层管理类人员、技术人员、职能人员、财务人员。
6） 服务：云服务、运维服务、咨询服务。
7） 无形：形象声誉
ISO分内审和外审，内审是公司内部人员，要做的就是在外审的要求下使企业达到ISO的标准，ISO有一套完整的书面的要求，内审照着做就行。然后找一家有资质的认证机构，他们会给你派来外审，外审会经常来给你看看和（当然要钱的，而且挺贵，但没办法，一定要花），验收，就完事了。认证这个对内部来说可以提升企业的质量等管理，对外来说提升了企业形象，多少有用。你不*于紧张，应该可通过。