CS认证报价依据

ISO20000认证的关键点 1. 确保各项服务管理计划均有实施凭证 服务管理计划凭证指的是服务管理政策、计划和方法以及任何与这些相关的行动的审计凭证。大多数这些关于服务管理计划和操作的凭证应该存在于正式的文档，确保各项工作都在按照计划进行实施。 2. 文档管理规范 针对文档创建和管理的过程来保证各流程服务特性被恰当的描述。 3. 各类文档的存档方式 为确保已有凭证的可用性，需要建立起一套将各类文档保护起来的备份策略。 ISO 20000认证关键点 服务管理中的服务支持人员应该具备由适当的培训所支持的工作能力。组织应该对每个服务管理角色定义必要的能力，并保证个人能意识到他们自己的工作对整个服务上下的重要性以及对服务品质完成的必要性。组织应该提供培训或采取行动来满足这些需要，并实施行动有效性的评估。 组织应该开发和加强员工工作的专业能力。在征召新人的过程中，应该针对职位的描述、服务管理目标和整个服务质量目标检查职位申请人的情况有效性，确定申请人的特长、弱点和潜在能力。为了安置新的或扩展服务的员工，使用新技术，安排服务管理人员开发项目团队，不断计划和填补由于人员周转造成的缺口。员工应该在服务管理相关领域得到训练，应该开发他们的团队工作和领导技能。对每个人的训练记录以及训练的说明应该被保留。 文档管理 概述 每一个组织都希望结合自身特色有效管理和实施所有IT服务所需的方针和框架，这就意味着需要制定恰当合理的管理政策、计划，用以规范、细化相关的活动，使管理使命、目标得以落实。这些管理政策、计划、活动记录将以文档作为载体进行保存，并在实施过程中指导服务开展，成为落实服务管理政策、计划的保障和检验实施效果的依据。 文档管理(Documentation Management)是针对文档创建和管理的过程，用以确保服务特性、管理政策、计划被适时的、恰当的描述，以便控制和管理与质量体系有关的文档资料，确保对质量管理体系有效运行起重要作用的各个场所都能得到和使用相应体系文档的有效版本。 以下是文档管理相关的一些概念： 受控文档：指按组织管理要求进行审批、登记、分发并能确保收回、销毁的文档。受控文档需要对文档的版本进行严格控制，确保文件的 有效性。一般来说这些文档是长期使用并始终处于修改和换版状态的，如组织的规章制度。 质量文档：质量体系要求的各流程各种类型文件和记录所要求的形成文件的过程和程序、要求的记录，以确保服务管理的有效计划、运行和控制，包括以任何形式或类型的媒体作为载体的文件化的服务管理方针和计划、文件化的服务等级协议、方法、流程、流程控制记录等。 文档访问控制：文档访问控制实质上是对文档访问者使用受控文档的限制，它决定是否允许访问者对不同类型的文档进行借阅、更新、发布等操作。并通过制度及工具确保只有经授权的用户，才允许对相应的文档进行相关操作。 目标 文档管理的目的在提供服务管理政策、计划和方法以及任何与这些相关的行动的凭证，以达到有效管理和实施IT服务的政策和框架这一目标。为达到这一目标需要通过以下几个方面来实现： (1) 完善组织的质量文档管理，控制和管理与质量体系有关的文档资料，确保对质量管理体系有效运行起重要作用的各个场所都能得到和使用相应体系文档的有效版本。 (2) 建立不同类型文件和记录的编制、评审、批准、保持、销毁和控制的程序和职责。 (3) 满足组织文档内容管理需求，包括建立组织文档体系架构，规范组织文档命名规则，对不同类别的文档的生命周期进行分类管理，包括文档生成、文档更新、文档发布、文档借阅、文档销毁； (4) 完善文档备份机制以确保文档的可用性，并针对不同类型的文档进行分级分类的信息管理，文档访问控制信息、防止信息泄露。 有效的文档管理可以改善IT服务提供者的管理难度，推动质量体系的落地、促进各流程工作的开展。 与其他流程的关系 文档管理工作是质量体系实施中所不可缺少的一部分，从一定意义上讲，ISO 20000的实施就是制定策略及计划，按照计划实施，生成文档、讨论文档并终确定文档的一系列过程。当然，ISO 20000实施绝不是就是“纸上谈兵”，这里所说的文档包含的内容非常广泛，其中有很多是服务管理方针和计划、文件化的服务等级协议、方法等，但更加关键的是，这些文档中还包括流程和流程控制记录等，当具体工作和活动执行过后，文档就成了审计的凭证。所以，我们可以说，文档管理与ISO 20000各个流程都息息相关，其专业化程度可以是反映整个ISO 20000管理水平的一个侧面。 文档访问控制需按照信息管理流程要求进行对文档进行分级，并对不同分级的文档进行权限管理，控制文档的访问者，确保信息。 活动和过程 1. 文档分类 文档分类可从多个角度进行，包括从保存介质上的分类、从内容上的分类、从使用范围的分类等。 一般来说，文档从内容上分类可分为管理文档、技术文档；从保存介质上分，可分为纸质文档、电子文档；从使用范围来分可分为公开使用、内部使用等。 不同的文档分类方式，对于文档管理的意义也是不同的，例如对文档内容的分类，旨在建立文档知识体系架构，一方面通过统一规划的文档架构能清晰地对已有的各个流程的进展情况进行管理、跟踪、审计，另一方面文档分类也可指导组织的知识体系建立，是组织整体管理思路的展现。而从文档使用范围的分类则提出了对文档访问控制的要求。 2. 文档控制 受控文档的审批、发布、发放、分发、更改、保管和作废过程中应符合信息管理流程的相关要求。受控文档应做好版本管理，以保证需要文档者获得 版本文档。 (1) 文档的编写、审核、批准 文档需按文档编写规范进行编写，文档内容在发布前须经相关负责人审核以规范文档格式，确保文档准确、恰当地描述管理政策、计划，确保文档内容的真实性。经审核的文档由负责人批准后可进行发布。 (2) 文档发布 文档由文档撰写/修改者提交，经由相关责任人批准后统一、集中的发布在相关处所。为使阅览者得到和使用相关文档的有效版本，文档需进行统一的发布管理以保证文档发布版本的 性。 (3) 文档的归档控制 各类文档由文档管理员根据内容、年度、部门等情况定期进行归档。 (4) 文档阅览 组织根据信息管理流程对文档进行分级，对文档及文档的历史版本进行访问控制，设定各类文档的访问列表，并通过工具的使用确保文档被适当保护的同时也要方便阅览者阅览文档。 (5) 文档更改/销毁 文档由原文档编制人或相关管理人员进行修改，经负责人审核批准后进行发布，替换老版本。 纸质文档更改后的文档按该文档发放清单逐次回收更替原文档；文档更改除特别批准外，一律采用以旧换新方法进行。回收文档的文档需进行统一的保管，机密文件应集中销毁。 (6) 文档权限管理 文档权限管理又称文档访问控制，各类受控文档需按照信息管理流程要求进行分级，并对不同分级的文档进行权限管理，控制文档的访问者，确保信息。文档权限管理包括对文档阅览、文档上载、文档修改、文档审批等权限的集中管理。 (7) 文档的修订 文档不是封闭的、静止的，随着业务发展、技术更新，文档需要不断地修订，保持其有效性，以适应不断变化的管理需求。秉承PDCA的管理理念，对文档，特别是质量体系文档提出在规定时间内至少修订一次的要求，整理文档修订计划，检验落实情况，督促文档及时修订，确保文档的有效性。 (8) 制定文档命名规范 文档的规范化程度反映出文档管理的水平，规范化首先需要对文档进行内容分类，概括同类文档的共同点，以此作为文档规范化、模板化的依据。文档规范化、模板化有利于对文档进行分类管理，通过经验累积分析找出各类文档的不足之处。文档命名规范属于文档规范化的一部分，制定文档命名规范需要跟据组织需求对文档进行分类，不同类别的文档使用相应的命名规范，便于文档的查找，并为文档的分类管理奠定了坚实的基础。 流程控制 1. 文档管理流程的角色定义、职责 (1) 文档管理员 负责管理各类文档，拟定文档修订计划，根据管理要求对各类文档进行分级，设置不同级别文档的权限。组织可根据自身特点设一个或多个文档管理员管理文档。 (2) 文档审核员 负责文档合规性管理及审计。 2. 管理工具 (1) 电子化的文档管理平台 文档分散为文档管理带来许多问题，包括文档查找、文档版本控制、文档管理等。组织建立起文档管理平台后，可通过集中文档、统一管理的方式，在平台上共享各类工作文档，提高了文档的使用频率，使文档发挥出 的效用。完善的备份机制，全文检索功能，文档版本控制的功能，文档电子审批功能，文档归档功能，信息权限管理功能等等，为组织提供了、便捷的文档处理中心，提高了文档的及时性和准确性。 (2) 制度评审体制 为保证各类流程管理制度及时更新，组织须规范规章制度建设活动，建立和完善规章制度体系，制定流程管理制度更新计划，定期组织制度评审会，对流程拟新增发布、修订、合并及废止的规章制度进行评审。制度评审会对流程管理制度的合规性、合理性、严密性和操作性进行评估，并及时废止失效的制度，确保各流程管理制度能及时优化，同时通过制度评审会，组织内部对各流程管理制度达成一致的见解，为管理流程的落实做好铺垫。 (3) 关键指标KPI指标的设置 文档管理成功与否在于两点：其一是否建立合理的文档管理体系。文档管理体系可通过规范各类文档的定义，规范文档的编写，定义各项工作的可交付文档，以此来检查各项工作的开展情况，也便于对文档的日常维护和查找。当然，合理的文档管理体系不是一朝一夕能够建成的，需要长期累积，并在实施中不断完善，适应不断变化的管理要求。 文档管理另一个要求就是能够控制和管理与质量体系有关的文档资料，确保对质量管理体系有效运行起重要作用的各个场所都能得到和使用相应体系文档的有效版本；为保证各管理流程根据实际工作情况整理修订流程管理文档，文档管理需在每年制定详细的文档修订计划，以此督促各流程文档在规定期限内至少修订一次，并以此作为文档管理流程的KPI值，例如ISO 20000管理文档中的一、二、三级文档在一年内的修订率达到。

　ISO27001认证体系建设分为四个阶段：实施风险评估、规划体系建设方案、建立信息管理 体系、体系运行及改进。也符合信息管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保护企业信息系统的，确保信息的持续发展。 　　1、确立范围 　　首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑 内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等;外部机构：则包括 公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。 　　从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机 系统正常运行的设施。包括机房环境、门禁、监控等;网络系统：构成信息系统网络传输环境的线路介质 ，设备和软件;服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库 、中间件和Web系统等软件平台系统;应用系统：支撑业务、办公和管理应用的应用系统;数据：整个信息 系统中传输以及存储的数据;管理：包括策略、规章制度、人员组织、开发、项目管理 和系统管理人员在日常运维过程中的合规、审计等。 　　2、风险评估 　　企业信息是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供、可信的服 务，保证信息系统的可用性、完整性和保密性。 　　本次进行的评估，主要包括两方面的内容： 　　2.1、企业管理类的评估 　　通过企业的控制现状调查、访谈、文档研读和ISO27001的 实践比对，以及在行业的经验上 进行“差距分析”，检查企业在控制层面上存在的弱点，从而为措施的选择提供依据。 　　评估内容包括ISO27001所涵盖的与信息管理体系相关的11个方面，包括信息策略、组 织、资产分类与控制、人员、物理和环境、通信和操作管理、访问控制、系统开发与维护、安 全事件管理、业务连续性管理、符合性。 　　2.2、企业技术类评估 　　基于资产等级的分类，通过对信息设备进行的扫描、设备的配置，检查分析现有网络 设备、服务器系统、终端、网络架构的现状和存在的弱点，为加固提供依据。 　　针对企业具有代表性的关键应用进行评估。关键应用的评估方式采用渗透测试的方法，在应用 评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的目标之间的差距，为后期改造提 供依据。 　　提到评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点 ，同时结合企业自身的特点，建立风险评估模型： 　　在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信 息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威 胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属 性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。 　　3、规划体系建设方案 　　企业信息问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息体系 ，并终落实到管理措施和技术措施，才能确保信息。 　　规划体系建设方案是在风险评估的基础上，对企业中存在的风险提出建议，增强系统的安 全性和抗攻击性。 　　在未来1-2年内通过信息体系制的建立与实施，建立组织，技术上进行审计、内外网隔 离的改造、产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息体系 和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，为主，防治结合 的先进型企业。 　　4、企业信息体系建设 　　企业信息体系建立在信息模型与企业信息化的基础上，建立信息管理体系核心可以更 好的发挥六方面的能力：即预警(Warn)、保护(Protect)、检测(Detect)、反应(Response)、恢复 (Recover)和反击(Counter-attack)，体系应该兼顾攘外和安内的功能。 　　体系的建设一是涉及管理制度建设完善;二是涉及到信息技术。首先，针对管理制 度涉及的主要内容包括企业信息系统的总体方针、技术策略和管理策略等。总体方针 涉及组织机构、管理制度、人员管理、运行维护等方面的制度。技术策略涉 及信息域的划分、业务应用的等级、保护思路、说以及进一步的统一管理、系统分级、网络互 联、容灾备份、集中监控等方面的要求。 　　其次，信息技术按其所在的信息系统层次可划分为物理技术、网络技术、系统技 术、应用技术，以及基础设施平台;同时按照技术所提供的功能又可划分为保护类、检 测跟踪类和响应恢复类三大类技术。结合主流的技术以及未来信息系统发展的要求，规划信息 技术包括：

1.ISO9000标准简介 ISO是“国际标准化组织”的英语简称。其全称是InternationalOrganizationforStandardization。ISO标准由技术委员会（TECHNICALCOMMITTEES简称TC）制订。ISO共有200多个技术委员会，ISO9000是指质量管理体系标准，它不是指一个标准，而是一族标准的统称。ISO9000是由TC176（TC176指质量管理体系技术委员会）制定的所有国际标准。ISO9000是ISO发布之12000多个标准中畅销、普遍的产品。 2.ISO9000族标准的构成 2008版ISO9000族标准包括以下一组密切相关的质量管理体系核心标准： a.ISO9000《质量管理体系结构基础和术语》，表述质量管理体系基础知识，并规定质量管理体系术语。 b.ISO9001《质量管理体系要求》，规定质量管理体系要求，用于证实组织具有提供满足顾客要求和适用法规要求的产品的能力，目的在于增于顾客满意。 c.ISO9004《质量管理体系业绩改进指南》，提供考虑质量管理体系的有效性和效率两方面的指南。该标准的目的是促进组织业绩改进和使顾客及其他相关方满意。 d.ISO19011《质量和(或)环境管理体系审核指南》 3.推行ISO9000的好处 a.强化品质管理，提高企业效益；增强客户信心，扩大市场份额 b.获得了国际贸易绿卡----“通行证”，了国际贸易壁垒 c.节省了第二方审核的精力和费用 d.在产品品质竞争中永远立于不败之地 e.有利于国际间的经济合作和技术交流 f.强化企业内部管理，稳定经营运作，减少因员工辞工造成的技术或质量波动。 g.提高企业形象 4.ISO9000：2008标准的主要变化 相对于ISO9001:2000版标准，ISO/DIS9001:2008标准的主要变化包括： (1)有关法律法规的要求方面。在“引言”中，有修改 (2)有关产品范围的方面。 (3)有关外程方面。在“4.1总要求”中， (4)有关形成文件的程序方面。 (5)有关外来文件方面。在“4.2.3文件控制f)条 (6)有关管理者代表方面。 (7)有关人力资源方面。在“6.2.2能力、培训和意识b)、c) (8)有关基础设施方面。在“6.3基础设施 (9)有关工作环境方面。在“6.4工作环境”中，增加了“注” (10)有关交付后活动的方面。在“7.2.1与产品有关的要求的确定”中，增加“注” (11)有关设计和开发策划方面。在“7.3.1设计和开发策划”中，增加“注” (12)有关设计和开发输出方面。在“7.3.3设计和开发输出”中，增加了“注” (13)有关监视和测量状态标识方面。在“7.5.3标识和可追溯性”有修改 (14)有关顾客财产方面。在“7.5.4顾客财产”中，将“注”修改，表明个人信息也属于顾客财产。 (15)有关监视和测量装置的控制方面。在“7.6监视和测量装置的控制”中，增加了“注”，对使用计算机软件的情况给出了说明。 (16)在顾客满意方面。在“8.2.1顾客满意”中增加了“注”。对监视顾客感受方面给出了进一步的说明。 (17)有关过程的监视和测量方面。在“8.2.3过程的监视和测量”中，增加了“注”，对识别和控制所需监视和测量的过程做了说明。 (18)有关放行产品和交付服务方面。在“8.2.4产品的监视和测量”有修改 ISO代表国际标准化组织，它是由多个 标准机构组成的国际联盟。ISO现已有100多个成员。ISO9000是一个质量体系标准系列的统称。 国军标GJB9001B-2009 一、实施军品认证工作的依据 1.《中国人民解放军装备条例》第143条规定“质量体系评定不合格的单位不能承担装备科研、生产和维修任务”。 2.总装备部对《装备承制单位资格审查规范（试行）》中规定：需审查第三方质量管理体系认证的有效性。 3.中国人民解放军总装备部装电字[2001]第220号规定，国军标《质量管理体系要求》是各装备管理部门对军品承制单位提出质量管理体系要求和实施质量管理体系审核的依据。 4.军工产品质量体系认证委员会《军工产品承制单位质量保证体系认证管理实施细则》。 二、申请军品认证条件及要求 1.申请GJB9001B认证组织是为实施和保障军事行动的武器、武器系统和军事技术器材承担论证、研制、生产、维修任务的组织，或是与之配套的整机、部件、组件、器件和材料生产组织，或是为武器装备进行试验、贮存和工程建设等的组织； 2.初次认证申请组织，申请书需请军方用户签署意见并盖章确认，同时填写《产品所在阶段情况调查表》。如该申请组织是部队，可由上级主管部门签字、盖章。对于民营企业申请军品时，需有军代表的意见书，其内容至少包括：人员状况；技术、设备情况；产品质量状况；对配套企业，要注明产品与装备的关系(用在什么地方)；说明生产的产品与军方单位的关系。 3.认证审核前按GJB9001B－2009标准建立管理体系，并运行3个月以上时间。有军品订货及交付发生，且现场审核时应有军品生产。 4.现场审核时由上述军代表和认证中心审核组进行沟通座谈并形成《军代表对受审核方质量体系有效性意见评价表》。 三、军品认证注册的性质 1.军品认证注册是政府和军方的行为，反映和代表了武器装备顾客的利益； 2.认证注册具有事实上的强制性，国军标质量管理体系认证说明了组织承担军品任务的能力； 3.认证机构无权批准给受审方发。批准权在军工产品质量体系认证委员会。委员会是由总装备部领导、各军兵种装备部门领导以及工业部门、专家代表组成的军品质量管理体系合格评定领导机构，具有权威性和广泛的代表性。 四、初次审核、监督审核、综合评议和特殊审核 1.初次审核分二个阶段进行。 阶段审核主要涉及：文审、与军代表或顾客座谈、了解体系的建立与运行情况、确认审核范围及标准删减内容等。第二阶段现场审核通常在 阶段审核提出问题关闭后进行，并与 阶段间隔时间不超过4个月，以审核计划安排为准。第二阶段审核是全部门、全产品、全过程、全要求覆盖的符合性审核。 2.获准注册的有效期为4年，认证周期以注册时间为开始。在此期间通常进行3次监督审核(不含非例行)，时间间隔不超过12个月一次。 3.综合评议应在有效期截止前至少12个月由获证组织向中心提出申请，迟于有效期截止前6个月且距离上次监督审核不超过12个月进行。 4.在有效期内对涉及体系变更、地址搬迁、产品范围的增减等均需按要求进行变更部分的特殊审核，并换发新认证。特殊审核可结合监督审核时间进行。 5.如出现严重影响获证组织的活动和运作的变更（如所有权、人员、现场、设备等）时，或者对投诉、其他信息的分析表明获证组织可能影响认证要求时，中心需进行非例行的监督审核或提前综合评议。 6.在认证注册有效期内的换发情况，须同时交回原。 五、军品认证注册呈报审批程序 经认证中心主任审查---报军认委秘书长审批---报工业主管部门的军认委委员审批---报认证产品顾客所涉及到的军认委委员审批---报军认委副主任委员审批---报军认委主任委员审批---颁发。 备注：GJB9001B-2009于2010年4月1日实施。参照 标准换版的做法,GJB9001A-2001向GJB9001B-2009转换的时间为两年(2010年4月1日至2012年3月31日)。 军用产品的顾客是军方，军方对军用产品的要求和期望代表了 的需求。因此，在GJB9001B-2009中除了充分体现满足军方对产品质量和质量管理体系的要求外，还增加了资质的某些质量活动要征求顾客同意的内容。这样做既可以加强组织与顾客的沟通，落实顾客的监督，也充分体现了以顾客为关注焦点的思想。但值得注意的是，顾客的认可或同意，不能造成责任的转移，不能免除组织提供符合要求事项的责任。