ISO45001认证-厦门ISO认证-协助申请 有序*

A.5信息安全策略 36
A.6信息安全组织 36
A.7人力资源安全 39
A.8资产管理 39
A.9访问控制 40
A.10密码控制 41
A.11物理和环境安全 41
A.12操作安全 41
A.13通信安全 43
A.14系统获取、开发和维护 43
A.15供应商关系 45
A.16信息安全事故 45
A.18符合性 47
附件一：组织架构 49
附件二：信息安全和隐私目标 50
附件三：安全管理架构映射表 51
确定并实施在产品提供之前、中、后有效安排与顾客的沟通。
（1）通过广告目录宣传、回答顾客的咨询等形式向顾客介绍产品；在业务部洽谈中与顾客共同确定产品信息。
（2）在执行合同(订单)中，根据需要将合同进展反馈给顾客，包括产品要求方面的更改，要与组织内部相关部门及顾客协调一致。
（3）产品交付后，收集顾客反馈信息，妥善处理顾客投诉{填“不合格品处理单”}，以取得顾客满意(见本手册9．1．2条款)

文件的保存、作废与销毁、借阅与复制
1 文件的保存
a.与售后服务体系相关的文件都必须分类存放在干燥通风、安全的地方，各相关部门文件自行保管。
b.对受控文件，各部门应及时填写本部门使用售后文件的《受控文件清单》。应将清单副本报调度员，如内容有变化，应通知调度员；
c.任何人不得在受控文件上乱涂画改，不准私自外借，确保文件的清晰、易于识别和检索。
2  文件的作废与销毁
a.所有失效或作废文件由原文件发放部门及时从所有发放或使用场所撤出，加盖“作废”，确保防止作废文件的非预期使用；
b.因为某种原因需保留的任何已作废的文件，都应进行适当的标识；
c.对要销毁的作废文件，，经管理者代表批准后，由授权相关部门销毁。
d.作废与销毁的文件均需填写清单，并交予上述人员审核、批准。
3  文件的借阅、复制
借阅、复制售后服务体系有关的文件，应填写《文件借阅、复制记录》，由相关部门负责人按规定权限审批后，借阅、复制文件。借阅复制的受控文件必须登记编号。
外来文件的控制
1 收到外来文件的部门，需识别其适用性，并控制分发以确保其有效。
2 业务部负责收集相关国际、国家、行业标准的版本，报主管审核批准，由办公室并规定发放范围，加盖受控分发到相关部门使用，并把旧标准收回。
3各部门要把上述标准及其他与售后服务体系有关的外来文件整理并登记在《外来文件登记表》里，受控的文件必须填入《受控文件清单》，并报办公室备案。
4行业规定及法律、法规由办公室统一收集、组织评审，后传递到相关使用部门。
由调度员组织对现有售后服务体系文件进行定期评审，各部门对本部门控制的文件，结合平时使用情况进行适时评审，必要时予以修改，并做好记录，执行4.5条款规定。
对承载媒体不是纸张的文件的控制，也应参照上述规定执行。

质量手册
A质量手册阐述公司的质量方针、质量目标，概括性、纲领性地描述质量管理体系；质量手册包括或引用质量管理体系程序。
B公司依ISO 9001:2015标准要求，为实现质量方针和质量目标，结合公司实际编写本手册，并实施和保持手册所规定的质量管理体系
C本手册包含或引用了程序文件，并在受控文件清单中记录程序文件和其他质量文件的目录。
D本质量手册对经确定和建立的质量管理体系各过程之间的相互作用及顺序，分别在第4、5、6、7、8、9、10章作具体描述。
E质量管理体系程序、支持性文件等与质量管理体系要求有关文件的更改、修订和补充必须与本手册保持一致。
编制和更新
（1）质量管理体系所要求的记录是一种类型的文件，应予以建立和保持，以提品、过程符合要求和质量管理体系有效运行的证据。
（2）所有记录应保存持清晰、易于识别和检索。
（3）质量记录可以是质量记录表式、硬拷贝或电子媒体等其它媒介形式。
（4）编制《记录控制程序》，以控制记录标识/贮存/保护/检索/保留/处置。
成文信息的控制
（1）对与QMS要求有关的文件进行有效的控制，即控制文件的编制/审批/发放/更改等管理工作。为此，公司编制了《文件和记录控制程序》。
（2）对文件的控制必须达到如下要求：
A．文件发布前应由授权人员的批准，以确保文件是充分的、适宜的；
B．对文件进行评审，确定是否需要更改，若更改须经再次评审和批准。
C．公司的所有文件通过文件本身的修订状态标识和文件修改申请单、文件一览表等记录来识别、控制体系文件的更改与现行修订状态。
D．人力资源部将涉及各单位的操作/检验规程、相关支持文件和程序书的新有效版本发放到各单位现场，以便：操作人员了解相关工艺要求及正确的操作方法；和单位主管了解并熟悉涉及本单位的程序要求;
E．体系文件依本条款标准要求进行规范，以确保文件清晰、易以识别；
F．为使公司相关作业/产品符合相关法规/标准要求，由管代统一进行搜集整理登录，且要求定期进行了解相关法规或标准的新状态。
G．当体系文件逾期或作废时，应依《文件和资料控制程序》要求执行。

公司对采购过程进行控制，以确保采购产品符合规定的采购要求。
外部供方的控制类型和程度
（1）公司制定了选择、评价和重新评价供方的准则，对采购过程进行控制，确保采购产品的质量。
（2）根据采购产品对公司终产品或产品实现过程质量的影响程度，确定对供方及采购产品控制的类型和程度。
（3）依供方[按公司要求]提品的能力评价/选择供方。评价方法如下：
A．对提供关键原材料的供方，进行综合质量保证能力的调查和提供样品分析(针对新的供方)后选择；
B．对提供重要原辅材料供方，进行以往业绩的评价和提供样品分析 {针对新供方}后选择。必要时还需进行发函调查质量保证能力。
C．对一般原辅材料供方按规定验证准则进行验收，记录业绩。
（4）采购人员在调查和评价的基础上，经总经理批准后执行。因生产紧急须在新供方采购时，需变更审批，经批准后实施采购。
（5）评价结果及评价所引发的任何必要措施的记录由采购予以保存；
（6）对合格供方每年进行一次跟踪和重新评价，并记录结果。
提供外部供方的文件信息
（1）采购文件包括“采购单、验收规范和采购合同”等。采购要求的信息在采购计划、采购单或采购合同中给予明确，应表述：
A．对产品的质量要求；也可引用有关技术文件的名称或标识号；
B．对产品的验收要求；如规定检验、验证、合格的确认等；
C．其他要求；如数量、交付期、运输方式、等。
（2）采购要求在与供方沟通前, 由采购审查其适当性，总经理批准，确保采购要求是充分与适宜的。
（3）对外协单位应签订外协质量保证协议,明确对产品、程序、过程和设备的要求，人员的要求，质量管理体系的要求。
（4）采购产品由检验员授权人进行质量指标、数量、包装等进货验证，以确保采购的产品满足规定的采购要求。
（5）当公司或顾客拟在供方现场实施验证时，应在采购信息中对拟验证的安排和产品放行的方法作出规定。
（6）外程有{培训、运输等}，其控制要求如下：
A、供方选择与评估：供方选择依“采购控制”相关要求实施；
B、资源提供：公司内部相关单位依需求提供相应的产品或服务；
C、质量控制：由责任部门进行服务过程跟踪与沟通。
保护工作机构应定义和实施信息安全和隐私风险处置过程：
1) 依据风险评估的结论，选择适当的信息安全和隐私风险处置方式；
2) 确定信息安全和隐私风险处置所需的各项控制措施；
3) 将风险处置中所选的各项控制措施的和标准*6章、附录A、附录B中的控制措施进行比较，确保没有遗漏必要的控制措施；
4) 制定具备必要控制措施的适用性声明SOA，适用性声明要包含必要的控制措施、对包含的控制措施的合理性说明（无论是否实施）以及对标准*6章、附录A、附录B控制措施删减的合理性说明；
5) 制定信息安全和隐私风险处置计划；
6) 需得到保护责任人对信息安全和隐私风险处置计划和残余风险接受的审核。
http://lsjsqd.b2b168.com