ISO27001認證體系建設分為四個階段：實施風險評估、規劃體系建設方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業信息系統的，確保信息的持續發展。 　　1、確立范圍 　　首先是確立項目范圍，從機構層次及系統層次兩個維度進行范圍的劃分。從機構層次上，可以考慮 內部機構：需要覆蓋公司的各個部門，其包括總部、事業部、制造本部、技術本部等;外部機構：則包括 公司信息系統相連的外部機構，包括供應商、中間業務合作伙伴、及其他合作伙伴等。 　　從系統層次上，可按照物理環境：即支撐信息系統的場所、所處的周邊環境以及場所內保障計算機 系統正常運行的設施。包括機房環境、門禁、監控等;網絡系統：構成信息系統網絡傳輸環境的線路介質 ，設備和軟件;服務器平臺系統：支撐所有信息系統的服務器、網絡設備、客戶機及其操作系統、數據庫 、中間件和Web系統等軟件平臺系統;應用系統：支撐業務、辦公和管理應用的應用系統;數據：整個信息 系統中傳輸以及存儲的數據;管理：包括策略、規章制度、人員組織、開發、項目管理 和系統管理人員在日常運維過程中的合規、審計等。 　　2、風險評估 　　企業信息是指保障企業業務系統不被非法訪問、利用和篡改，為企業員工提供、可信的服 務，保證信息系統的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內容： 　　2.1、企業管理類的評估 　　通過企業的控制現狀調查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業的經驗上 進行“差距分析”，檢查企業在控制層面上存在的弱點，從而為措施的選擇提供依據。 　　評估內容包括ISO27001所涵蓋的與信息管理體系相關的11個方面，包括信息策略、組 織、資產分類與控制、人員、物理和環境、通信和操作管理、訪問控制、系統開發與維護、安 全事件管理、業務連續性管理、符合性。 　　2.2、企業技術類評估 　　基于資產等級的分類，通過對信息設備進行的掃描、設備的配置，檢查分析現有網絡 設備、服務器系統、終端、網絡架構的現狀和存在的弱點，為加固提供依據。 　　針對企業具有代表性的關鍵應用進行評估。關鍵應用的評估方式采用滲透測試的方法，在應用 評估中將對應用系統的威脅、弱點進行識別，分析其和應用系統的目標之間的差距，為后期改造提 供依據。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優點 ，同時結合企業自身的特點，建立風險評估模型： 　　在風險評估模型中，主要包含信息資產、弱點、威脅和風險四個要素。每個要素有各自的屬性，信 息資產的屬性是資產價值，弱點的屬性是弱點在現有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產帶來影響的嚴重程度，威脅的屬性是威脅發生的可能性及其危害的嚴重程度，風險的屬 性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。 　　3、規劃體系建設方案 　　企業信息問題根源分布在技術、人員和管理等多個層面，須統一規劃并建立企業信息體系 ，并終落實到管理措施和技術措施，才能確保信息。 　　規劃體系建設方案是在風險評估的基礎上，對企業中存在的風險提出建議，增強系統的安 全性和抗攻擊性。 　　在未來1-2年內通過信息體系制的建立與實施，建立組織，技術上進行審計、內外網隔 離的改造、產品的部署，實現以流程為導向的轉型。在未來的 3-5 年內，通過完善的信息體系 和相應的物理環境改造和業務連續性項目的建設，將企業建設成為一個注重管理，為主，防治結合 的先進型企業。 　　4、企業信息體系建設 　　企業信息體系建立在信息模型與企業信息化的基礎上，建立信息管理體系核心可以更 好的發揮六方面的能力：即預警(Warn)、保護(Protect)、檢測(Detect)、反應(Response)、恢復 (Recover)和反擊(Counter-attack)，體系應該兼顧攘外和安內的功能。 　　體系的建設一是涉及管理制度建設完善;二是涉及到信息技術。首先，針對管理制 度涉及的主要內容包括企業信息系統的總體方針、技術策略和管理策略等。總體方針 涉及組織機構、管理制度、人員管理、運行維護等方面的制度。技術策略涉 及信息域的劃分、業務應用的等級、保護思路、說以及進一步的統一管理、系統分級、網絡互 聯、容災備份、集中監控等方面的要求。 　　其次，信息技術按其所在的信息系統層次可劃分為物理技術、網絡技術、系統技 術、應用技術，以及基礎設施平臺;同時按照技術所提供的功能又可劃分為保護類、檢 測跟蹤類和響應恢復類三大類技術。結合主流的技術以及未來信息系統發展的要求，規劃信息 技術包括：

ISO9000認證與組織結構，——與組織相關的主要概念 組織與組織結構 1. 組織是指職責、權限和相互關系得到安排的一組人員及設施（GB/T19000—ISO9000：2000）組織意味著一個正式的有意形成的職務結構或職位結構。 2. 組織結構是指人員的職責、權限和相互關系的安排（GB/T11000—ISO9000：2000）將組織工作作為一種過程形式時，必須考慮下列的因素： a. 組織結構必須反映目標和計劃，目標和計劃是組織活動的目的 b. 組織結構必須反映出組織管理可使用的權力的范圍 c. 組織結構必須反映它的環境，并隨著環境的變化而變化 d. 組織中人員是基本要素，組織結構中業務活動的劃分和權限的設置必須考慮人員的數量和習慣，這不是說組織的結構的設計要圍繞著人，但配備什么樣的人是一個重要的考慮因素。

在制定和實施食品管理體系和提高其有效性時鼓勵采用過程方法，以獲得食品和服務的活動得以加強，并滿足適用的要 求。過程方法包括按照組織的食品方針和戰略方向，對各過程及其相互作用，系統地進行規定和管理，從而實現預期結果。可 通過采用 PDCA 循環以及基于風險的思維對過程和體系進行整體管理，從而有效利用機遇并防止發生非預期結果。 一、策劃過程 策劃過程可分成若干個子過程，這些子過程是建立食品管理體系必須要加以識別和管理的，可分為以下七點。 一是，組織環境的識別和評審過程，其包括組織內外部環境和相關方需求識別與評審過程，食品管理體系范圍的確定過程。 二是，管理體系策劃過程，包括方針、目標、組織框架及職責權限、應對風險的措施等。 三是，人力資源管理過程。食品行業的人力資源管理有別于其他行業，注重員工管理，食品意識及食品小組的能力要 求。 四是，基礎設施和工作環境管理過程。根據食品行業類別，按不同的食品法規要求，對基礎設施和工作環境加以管理。 五是，外部提供的過程、產品和服務控制過程。供方的考核評價及原輔料進廠驗收要求，包括對外部供方許可資質管理等內容。 六是，內外部信息溝通過程。著重食品鏈上下游組織在食品方面的信息溝通，包括與監管部門、供方、顧客等相關組織的信息 溝通。 七是，成文信息控制過程。關注記錄保存期限與法律法規要求的符合性。 二、運行過程 運行過程該本標準的核心過程，存在另一個PDCA循環，包含了標準第8章所述的FSMS內的各種運行過程，可分為以下若干個子過程。 前提方案建立實施過程，依據組織所處的食品鏈的位置，確定相應的前提方案，如良好操作規范、良好獸醫規范、良好分銷規范可 追溯性過程。根據標準要求，追溯系統應能夠 地識別供應商來料和終產品的初始分配路線應急準備與響應過程，組織首先應識 別出那些與食品相關的潛在的緊急情況，并制訂出相應的應急方案，并要求對方案進行測試危害分析與評價及控制計劃的建立 過程，根據HACCP七個基本原理的要求建立實施該過程。值得特別關注的是，新標準要求關鍵限值應可測量，操作性前提方案（OPRP ）的行動標準可測量或可觀察。另外還包括控制措施確認過程、危害控制計劃的實施與監視過程、驗證過程、不合格產品控制過程 （包括產品撤回），這些過程與舊標準要求無太多變化。 三、食品管理體系的績效評價過程 食品管理體系的績效評價過程包括對監視和測量、驗證活動結果所獲取的數據和信息，以及對前提方案和危害控制計劃實施情 況的監測結果的分析與評價，同時包括內部審核和管理評審活動，以確定FSMS的績效情況。該過程可分為：分析與評價過程、內部 審核過程、管理評審過程。 四、改進過程 組織應持續改進食品管理體系的適宜性、充分性和有效性，并根據與相關方溝通的結果、驗證活動結果分析的輸出以及管理評 審的輸出更新FSMS，該過程可分為持續改進過程、食品管理體系更新過程。綜合上述分析，基本已識別食品管理體系的主 要過程，組織可以按過程方法的要求，形成過程清單，如附表所示，以便管理食品管理體系。 除上述過程外，組織還應考慮基于風險的思維，識別食品管理體系其他過程。基于風險的思維也分為兩個層次，組織層面的和 認證運行層面的。運行層面的過程識別已包含上述第二大過程（運行過程）中。組織層面的過程識別，可參照標準6.1.1條款之規定：“ 策劃食品管理體系時，組織應考慮到4.1中涉及的事項”。同時，標準4.1指出：“考慮各種內外部因素，包括但不限于國際、 國內、地區和當地的各種法律法規、技術、競爭、市場、文化、社會、經濟因素、網絡和食品摻假、食品防護和故意污染”。 因此，還需識別非傳統食品危害控制過程：食品防欺詐過程、人為破壞和蓄意污染過程

ISO14000環境管理體系標準是由ISO/TC207（國際環境管理技術委員會）負責制定的一個國際通行的環境管理體系標準。它包括環境管理體系、環境審核、環境標志、生命周期分析等國際環境管理領域內的許多焦點問題。其目的是指導各類組織（企業、公司）取得正確的環境行為。但不包括制定污染物試驗方法標準、污染物及污水極限值標準及產品標準等。該標準不僅適用于制造業和加工業，而且適用于建筑、運輸、廢棄物管理、維修及咨詢等服務業。該標準共預留100個標準號，共分7個系列，其編號為ISO14000-14100。 ISO9000質量體系認證標準與ISO14000環境管理體系標準對組織（公司、企業）的許多要求是通用的，兩套標準可以結合在一起使用。世界各國的許多企業或公司都通過了ISO9000族系列標準的認證，這些企業或公司可以把在通過ISO9000體系認證時所獲得的經驗運用到環境管理認證中去。新版的ISO9000族標準更加體現了兩套標準結合使用的原則，使ISO9000族標準與ISO14000系列標準聯系更為緊密了。 ISO14000的特點 ISO14000系列標準是為促進全球環境質量的改善而制定的。它是通過一套環境管理的框架文件來加強組織（公司、企業）的環境意識、管理能力和保障措施，從而達到改善環境質量的目的。它目前是組織（公司、企業）自愿采用的標準，是組織（公司、企業）的自覺行為。在我國是采取第三方獨立認證來驗證組織（公司、企業）所生產的產品是否符合要求。 ISO14000的目標 ISO14000的目標是通過建立符合各國的環境保護法律、法規要求的國際標準，在全球范圍內推廣ISO14000系列標準，達到改善全球環境質量，促進世界貿易，貿易壁壘的終目標。 什么是生命周期思想 生命周期思想貫穿著ISO14000系列標準的主題。它要求組織（公司、企業）對產品設計、生產、使用、報廢和回收全過程中影響環境的因素加以控制。ISO14000基于"環境方針"應體現生命周期思想的思路。TC207專門成立了生命周期評估技術委員會，用以評價產品在每個生產階段對環境影響的大小，使組織（公司、企業）能夠加以分析改進。 ISO14000產生的背景 80年代起，美國和歐洲的一些企業為提高公眾形象，減少污染，率先建立起自己的環境管理方式，這就是環境管理體系的雛形。1992年在巴西的里約熱內盧召開的"環境與發展"大會，183個 和70多個國際組織出席了大會。會議通過了"21世紀議程"等文件，標志著在全球建立清潔生產，減少污染，謀求可持續發展的環境管理體系開始，也是ISO14000環境管理標準得到廣泛推廣的基礎。 ISO14000與EMAS的關系 1995年4月歐共體開始實施EMAS（歐洲環境管理和審核體系），它較ISO14000系列標準要早。ISO14000系列標準出臺后，歐洲標準化委員會在修訂標準的過程中盡量與ISO14000保持一致，終實現了將ISO標準采納為歐洲標準的目的。1996年9月，歐洲標準化委員會通過了將14001轉化為歐洲標準的決議，并同時轉化了ISO14010、ISO14011和ISO14012幾個環境審核標準。雖然，ISO標準與EMAS之間還存在差異，但終將得到相互認可。

---