ISO认证审核-顾问服务 认证便捷

ISO认证需经过下列程序：
1 管理体系文件审核；
2 现场审核；
3 批准注册，颁发认证证书；
4甲方在证书有效期内应按期进行监督审核，监督审核应至少每年进行一次。初次认证后次监督审核应在*二阶段审核起10个月内进行（长不**过12个月）。以后每年度监督审核的间隔时间不**过12个月，如甲方未按规定的时限接受乙方的审核，将暂停直至撤销甲方认证注册。 证书到期前两个月进行再认证审核（距上次审核间隔时间不**过12个月），并在证书有效期内关闭不符合项，通过认证决定的换发证书。
5 当甲方的产品或体系运行出现异常情况时，乙方应对甲方实施审核。
1 要求
应对所有的重要资产进行风险评估，评估应考虑威胁、脆弱性、威胁事件发生的可能性和威胁事件发生后对资产造成的影响程度及已经采取的措施等方面因素。
2 识别威胁
威胁是对组织及其资产构成潜在破坏的可能性因素，造成威胁的因素可分为人为因素和环境因素。威胁作用形式可以是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、等，在保密性、完整性或可用性等方面造成损害；也可能是偶发的、或蓄意的事件。
威胁可基于表现形式分类。例如可分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、网络攻击、攻击技术、物理攻击、泄密信息、篡改、抵赖等。
各部门根据资产本身所处的环境条件，识别每个资产所面临的威胁。
3 识别脆弱性
脆弱性是对一个或多个资产弱点的总称。脆弱性是资产本身存在的，如果没有相应的威胁发生，单纯的脆弱性本身不会对资产造成损害。而且如果系统足够强健，再严重的威胁也不会导致安全事件，并造成损失。即，威胁总是要利用资产的弱点才可能造成危害。
资产的脆弱性具有隐蔽性，有些弱点只有在一定条件和环境下才能显现，这是脆弱性识别中为困难的部分。需要注意的是，不正确的、起不到应有作用的或没有正确实施的安全措施本身就可能是一个脆弱性。
脆弱性识别将针对每一项需要保护的资产，找出可能被威胁利用的脆弱性，并对脆弱性的严重程度进行评估。脆弱性识别时的数据应来自于资产的所有者、使用者，以及相关业务领域的和软硬件方面的人员。
脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。

 程序文件的符合性研讨与修正；
 作业书的符合性研讨与修正；
 表单的符合性研讨与修正；
 内部工作的查缺补漏，以适应体系要求
 关注实际工作流程与体系要求的相符性，对体系要求能融合的就融合在一起，需要分开的就分化掉。如现存的供应商评审环节。 分次举行研讨会，讨论程序、文件与流程的相符性，半年时间内完成。

1 部门赋值
各部门风险评估小组成员识别本部门资产，并进行资产赋值。
2 赋值计算
资产赋值的过程是对资产在保密性、完整性、可用性的达成程度进行分析，并在此基础上得出综合结果的过程。
3 保密性(C)赋值
根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上的应达成的不同程度或者保密性缺失时对整个组织的影响。
保密性赋值方法：
级别 价值 分级 描述
1 很低 可对社会公开的信息 公用的信息处理设备和系统资源等
2 低 组织/部门内公开 仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成轻微损害
3 中等 组织的一般性秘密 其泄露会使组织的安全和利益受到损害
4 高 包含组织的重要秘密 其泄露会使组织的安全和利益遭受严重损害
5 很高 包含组织重要的秘密 关系未来发展的前途命运，对组织根本利益有着决定性的影响，如果泄露会造成灾难性的损害
4 完整性(I)赋值：
根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。
完整性(I)赋值的方法：
级别 价值 分级 描述
1 很低 完整性价值非常低 未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略
2 低 完整性价值较低 未经授权的修改或破坏会对组织造成轻微影响，对业务冲击轻微，*弥补
3 中等 完整性价值中等 未经授权的修改或破坏会对组织造成影响，对业务冲击明显
4 高 完整性价值较高 未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，较难弥补
5 很高 完整性价值非常关键 未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补

上午
组织情境分析推演DIY
组织情境分析是确保管理体系预期结果、战略方向与宗旨相一致的关键步骤。
• 组织内外部影响因素分析工具及案例练习包括PESTLEO 、利益相关方矩阵
下午
风险管理推演DIY
风险管理是识别**路径，有效达成预期结果的重要**。
• 风险管理的**ER原则、风险评估方法、工具及案例练习包括风险评估（Risk Tie） 、业务影响分析(BIA)
管理整合推演DIY
管理整合是通过化繁为简，实现降本增效的有效手段。
• 整合原则：基于流程、风险导向、绩效驱动、迭代改进
-合并，整合，融合
• 流程整合工具练习-SIPOC+SOD+CCP+MOT
• 从合规审核迈向能力评价    -流程审核工具练习
下午
新标审核及转版推演DIY
• 审核视角下的新版标准解读
包括企业对标ISO 9001：2015的差距评估、新标准的文件编制要领
• 知行合一行动计划
ISO认证需要哪些条件：
1、  合法经营：具备营业执照，生产许可证、经营许可证、生产许可证等适用的经营资质；
2、 运行至少 3个月的管理体系；
3、 相关的测量仪器校准报告；
4、 特种设备检测报告；
5、  高危行业的消防验收报告。
http://lsjsqd.b2b168.com