GJB9001C认证材料透明

ISO27001认证信息风险评估 目的：实施风险评估，识别不可接受风险，明确管理目标。 内容：风险评估是整个风险管理的基础，本阶段将根据前期策划的风险评估方法。 包括：a. 根据业务要求及信息的密级划分，对信息资产的重要程度进行判定，识别对关键核心业务具有关键 作用的信息资产清单;对重要信息资产从内部及外部识别其所面临的威胁; b. 根据威胁，从管理和技术两方面识别重要信息资产所存在的薄弱点; c. 根据风险评估的方法指南，对威胁利用薄弱点对重要信息资产所产生的风险在保密性、完整性、可 用性三方面所造成的影响进行评价;评价威胁利用薄弱点引发风险事件的可能性; d. 根据风险影响及发生的可能性评价风险等级; e. 根据信息方针，各核心业务流程的要求，与管理层进行沟通，确定不可接受风险等级的标 准; f. 针对不可接受的高风险，制定风险处理计划，从ISO27002及顾问的行业经验来选择适宜的风险管 控措施;实施所选择的控制措施，降低、转移或风险; g. 编写风险评估报告。

ISO10012认证要求应设计并实施计量确认，以确保测量设备的计量特性满足测量过程的计量要求。 ISO10012计量确认包括测量设备校准和测量设备验证。 ?测量设备的操作者应得到与测量设备计量确认状态有关的信息，包括所有限制和特殊要求。 用于确定或改变计量确认间隔的方法应用程序文件表述。计量确认间隔应经评审， 每次对不合格的测量设备进行维修、调整或修改时，应评审其计量确认间隔。 在经确认的测量设备上，对影响其性能的调整装置进行封印或采取其它保护措施，以防止未经授权的改变。 封印或保护装置的设计和实施应保证一旦改变将会被发现。 计量确认过程程序应包括当封印或保护装置被发现损坏、破损、转移或丢失时应采取的措施。 适用时，计量确认过程的记录应注明日期并由授权人审查批准以证明结果的正确性。 应保持并可获得这些记录。 指南 记录短的保存时间决定于许多因素，包括顾客的要求，法律法规要求和制造者的责任。有关测量标准的记录可能需要 保存。 计量确认过程记录应证明每台测量设备是否满足规定的计量要求。 ??? 需要时，记录应包括： a). 设备制造者的表述和 性标识、型号、系列号等； b). 完成计量确认的日期； c). 计量确认结果； d). 规定的计量确认间隔； e). 计量确认程序的标识（见6.2.1）； f). 规定的 允许误差； ?g). 相关的环境条件和必要的修正说明； h). 设备校准引入的测量不确定度； ?i). 维护的详细情况，如调整、维修和修改等； ?j). 使用限制； k). 执行计量确认的人员标识； ? l). 对信息记录正确性负责的人员标识； ?m). 校准和报告以及其它相关文件的 性标识（如编号）； ??n). 校准结果的溯源性的证据； ??o). 预期使用的计量要求； p). 调整、修改或维修后的校准结果以及要求时的调整、修改或维修前的校准结果。 计量职能应确保只有经授权的人员才允许形成、修改、出具和删除记录。 应对作为测量管理体系组成部分的测量过程进行策划、确认、实施、形成文件和加以控制。应识别和考虑影响测量过程的影响量。 每一个测量过程的完整规范应包括所有有关设备的标识、测量程序、测量软件、使用条件、操作者能力和影响测量结果可靠性的其他因素。测量过程控制应根据形成文件的程序进行。 应根据顾客、组织和法律法规的要求确定计量要求。为了满足这些规定要求而设计的测量过程应形成文件，并确认有效，必要时，征得顾客同意。 对每一测量过程，应识别有关的过程要素和控制。要素和控制限的选择要与不符合规定的要求时引起的风险相称。这些过程要素和控制应包括操作者、设备、环境条件、影响量和应用方法的影响。 测量过程应在设计的受控条件下实现，以满足计量要求。 受控条件应包括： a)???? 使用经确认的设备， b)???? 应用经确认有效的测量程序， c)???? 可获得所要求的信息资源， d)???? 保持所要求的环境条件， e)???? 使用具备能力的人员， f)???? 合适的结果报告方式， g)???? 按规定实施监视。