ISO27001认证如何办在哪里

SO20000认证实施 阶段： ?管理现状调查与差距分析 ?体系培训与学习 ISO20000认证第二阶段： ?规划体系的基本架构 ?建立服务级别管理 ?建立服务台管理体系 ?建立事件管理体系 ?建立问题管理体系 ?规范日常管理制度 ISO20000认证第三阶段： ?建立配置管理体系 ?建立变更管理制度和发布管理制度 ISO20000认证第四阶段： ?建立业务连续性管理框架，制定应用统的应急预案 ?建立系统规划机制（可用性管理和容量管理），规划系统的容量和可用性 ?建立系统运行的规定、管理制度（信息管理） ?建立系统运行监视和管理要求 ISO20000认证第五阶段： ?建立供应商管理与考评机制 ?建立服务成本管理控制体系 ?建立业务关系管理框架 ?建立客户沟通管理体系 ?收集和改进客户的满意度 ?关注客户的投诉 ?关注服务体系和服务质量的改进 ISO20000认证第六阶段： ?内部审核与优化改进 ?正式审核与体系维持 1.3ISO20000实施方法 1.3.1开展培训、职能分工 ?学习培训 A.全员培训，掌握ISO20000基础知识、标准的内容、基本要求、实施办法、推行ISO20000意义和计划； B.骨干培训，了解ISO20000标准的基本内容、2)领导在体系中的作用，为什麽要推行及如何推行ISO20000； C.文件编写技能培训，IT服务管理体系文件总论、IT服务质量管理手册编写、程式文件编写、工作文件编写、管理计划制定、管理记录； ?建立组织职能 A.领导小组积极地带头叁加学习ISO20000认证基础知识，提供给出人力和物力支援，成立领导小组，任命管理代表，负责标准中规定的职责并及时处理有关重大问题，组织管理评审。 B.为了推行ISO20000，公司应成立专门工作机构，负责全公司推行ISO20000组织协调工作，作爲一个办事核心。应保证所有各有关部门都能叁与工作小组，有专职人员和骨干力量，骨干人员应对ISO20000有较系统的学习， 有一定相关工作经历； C.公司应按标准要求任命管理者代表，确保按照标准规定建立、实施和维持IT服务管理体系要求，向管理者报告体系的执行情况，以便评审和改进管理体系，管理者代表的职责还可以包括就IT服务质量管理体系方面与外部机构的联络。 ?系统调查与诊断 A.诊断现有体系与标准的符合性，找出与标准之间差距和形成这些差距原因。识别确定对服务质量管理体系进行修改的内容； B.实施诊断员可以是公司内部的人员，也可以公司委托的外部机构，如咨询机构的人员，因此实施诊断的人员可以有内部审核员、第三方审核机构的人员; C.确定诊断小组出具诊断依据和诊断物件，制订诊断计划，编制诊断工作文件，现场诊断检查，提交诊断报告； ?体系设计 A.制订IT服务质量管理方针； B.任命管理者代表主要责任，协助管理者确保按标准的要求建立IT服务质量管理体系，负责体系的实施和维护，负责组织内部管理体系审核，向 管理者报告体系执行情况，以便评审和改进； C.设计调整组织机构，明确各部门职责应覆盖标准要求、职责、职能分工形成书面文件； D.确定新体系中文件结构、典型文件层次。 1.3.2编写文件、试点运行 ?编写文件 A.列出IT服务质量管理手册 B.分配文件编写任务 C.各部门叁与起草工作流程 D.文件批准发效 ?试点运行 A.体系交底 B.培训、宣传 C.试运行与完善 1.3.3内部审核、正式运行 ?内部审核、管理评审 A.至少进行一次内部审核，按ISO20000认证要求制订审核计划、审核清单、审核报告、不合格项的跟踪和监督等有关活动记录和文件应保存完好，以便以认证检查。 B.至少安排一次管理评审，以评价新体系的有效性和适用性，同时积累一次管理评审活动记录，评审按程式文件要求进行。 ?正式运行 通过内部审核、管理评审，对体系文件中不切合实际或规定不合适之处进行及时的修改，在一系列修改后，发布第二版质量手册、程式文件进行正式运行。 1.3.4正式审核，体系维持 ?接受所选择的认证机构的正式审核。 ?体系维持与提高 A.检查现场中问题，不断地改进和巩固； B.进一步完善体系文件，加强协调监督工作； C.定期开展内部IT服务质量管理审核和管理评审

ISO9001认证企业中，对于质量管理体系的有效运行，领导所发挥的作用是首要因素，加强对员工的培训是基础，全员参与到ISO9001质量管理体系运行中是根本，顾客关注是质量管理的焦点，过程方法是ISO9001体系有效运行的手段，而持续改进是体系有效运行的目标。 1、、东莞ISO9001认证坚持体系的持续改进 持续改进是组织管理的一个永恒目标。质量管理体系必须不断完善和改进，不断地发现问题，找出原因，进行改进，才能适应企业的发展和外部环境的变化。持续改进才能使企业的质量管理体系总是处在良性循环发展之中，才能保持质量管理体系的持续有效运行。一是企业领导层对质量改进要予以足够重视，创造必要的条件，包括向每一位员工提供有关持续改进的方法和工具方面的教育和培训。二是要鼓励性的活动，贯彻为主的思想，积极寻求和准确把握进行质量改进的机会。着眼于问题的，而不是等出了问题、造成了质量损失再去改进；三是要周期性按照”卓越””标杆”的准则进行评价，识别具有改进潜力的区域，同时制定相应的改进措施和目标，以指导和跟踪改进活动，并且对任何改进给予规范，以确保持续改进过程的有效性。 2．东莞ISO9001认证加强质量培训，提高质量意识 质量体系运行的有效性与员工的质量意识和能力密不可分，若要质量意识加强质量管理水平，就要抓好质量管理培训。质量管理培训内容由质量意识、质量知识和质量技能培训组成，是一个要求不断提高的纵向过程；对培训对象而言，是一个从高层领导到质量管理人员，再到一线操作人员的全员培训，这是一个横向过程。 质量管理培训的前提是提高企业员工的质量意识，首先要求各级员工理解本岗位工作在质量管理体系中的作用和意义，明确并履行各自的岗位职责，为实现企业的质量目标做出积极贡献。然后针对所有从事与质量有关的工作的员工进行不同层次的培训。对领导培训内容应以质量法律法规、经营理念、决策方法等着重于质量管理理论和方法以及质量管理的技术内容和人文因素，特别是基层领导干部要正确看待传统管理方式和质量管理体系标准的异同，正确处理习惯思维与质量管理体系的要求的矛盾，充分发挥桥梁和纽带作用。对一线员工培训则应以本岗位质量控制和质量保证所需知识为主。同时抓好技能培训，主要指直接为保证和提高工程质量所需的专业技术和操作技能。对技术人员而言，主要进行专业技术的更新和补充，学习新方法，掌握新技术；在工作方法和操作技术方面要加强对各类专项人员的培训，如对内审人员、特殊工序人员、操作人员等。只有不断加强对体系文件的学习，才能使人人掌握体系文件的要求，加强对质量管理体系基础的理解，各种误解，把文件化的标准与实际工作有机地结合起来，真正做到“写到的就要做到”。 通过扎实的培训使所有员工明白，质量管理需要各个环节的密切配合，需要全员的共同参与。由各部门与各基层单位以及岗位操作者组成质量管理链的各个节点中只要出现一个节点的失控，都会导致质量管理运行不畅。因此大家都应齐心协力完成其在服务实现过程中所承担的工作职能。每位员工必须清楚了解服务符合质量标准或要求的重要性，以及不符合质量标准或要求将会造成的损失，进而自觉地去识别和解决服务过程中随时可能出现的问题。只有“ 次”就把事情做好，减少差错，防微杜渐，才可实现以 的成本创造 的效益，体系才能有效运行。 3、东莞ISO9001认证以质量管理体系为基础，整合各种体系问的关系 任何一个企业的管理体系均由多个部分构成，如经营管理体系、质量管理体系、财务管理体系，HSE管理体系等，这些体系的运作是相辅相成的，可以将所有的体系整合成一个有机的整体。如果各自为政，企业文件体系势必越来越大，越来越乱，重复、抵制或矛盾的文件和制度会与日俱增。整合的方法不妨按照标准化原理，以ISO9001标准制定的质量管理体系为基础来整合其他体系，整合一定要保持不同体系文件的特殊性和独立性，同时还要满足企业文件管理的系统性和协调性。对企业所有的规范性文件进行”简化、统一、协调、优化”，达成一致，并尽可能升华为企业标准，这无疑会对企业在管理上带来巨大的效益。企业标准越多，体系就会越完善，体系完善是对“文山会海”有效的控制。 4、东莞ISO9001认证改善质量投入结构，加强质量管理的过程控制 工艺和技术装备水平是保证施工质量、提高经济效益的根本手段，也是质量管理体系有效运行的物质基础和前提条件。提高工艺和技术装备水平必须注重质量的投入，必须克服片面强调眼前经济效益的倾向。要建立健全科学的投入机制，不断改善质量的投入结构，尽力向教育培训和加大工艺、技术科技方面倾斜。 质量管理体系是通过过程来实施的，要提高质量管理体系运行的有效性，就必须对过程进行控制。过程控制的重点要抓工艺管理，工艺是工程施工过程中活跃的因素，操作规程管理、生产管理、材料管理、人力调配、生产环境等都要由操作规程提供基本依据(简称人、机、料、法、环)。工程质量的符合性主要是施工过程中实施的。加强施工过程中的质量管理，对过程进行严格的控制，是提高工程施工质量的有效途径。这就要求我们对施工过程中的关键工序进行识别，强调关键过程，对关键过程进行重点控制，定期检查，及时纠正违反规定的行为。过程的监视与测量是ISO9001:2008标准的要求之一，而监视与测量活动的有效性与效率，在相当大的程度上了取决于监视和测量方法的适应性。适宜的监视和测量方法可以引导我们通过对过程的持续改进达到提率和效益的目标。 5、东莞ISO9001认证强化内审和管理评审的力度 内审和管理评审是企业质量管理体系的主要自我激励机制，是实现体系自我完善的重要手段，首先要从时间上、资源上予以保证，做好内审和管理评审的计划，并务必按计划进行，并把重点放在产品质量的关键过程上。其次是加大审核力度，保证评审质量，内部审核是克服组织的惰性和促使质量体系有效运行的动力，是质量体系自我约束并通过改进达到自我完善的重要手段。内审方式要不断的改进，要对薄弱的和重要的部门和单位增加审核频次，对不同阶段出现的问题点进行重点审核。对内审出现的不符合项必须抓好纠正和措施的制定、落实及效果检查，对潜在的不合格有效，通过纠正及措施的实施促进质量管理体系有效运行，使质量体系形成自我改善、自我约束、自我改进的机制。管理评审不仅是为了确定企业的质量方针、目标的总体是否有效，及时讨论和解决质量管理体系的重大问题，更是保证体系持续改进的重要手段，不仅要解决好评审输入、还要解决好评审输出，就是要根据技术进步、市场、质量概念、顾客需求等变化对质量管理体系的适宜性做出评价，以使企业永不落伍。 6东莞ISO9001认证中领导作用，推动体系有效运行 管理者对质量管理的高度重视和正确的领导方式是提高质量管理体系有效运行的关键因素。各级管理者要明确自己在整个质量管理体系中或其中某一过程内，处于什么样的地位，自己的质量职责是什么，用什么方法去实现，执行什么程度，才能满足质量管理体系的要求。各级管理者必须以身作则，不折不扣地完成自己负责的质量职能及质量活动，并带动各级相关人员完成质量职责。其次，推行质量目标责任制，将组织的质量职能活动层层分解，落实到人，实施质量目标管理，严格考核和奖惩。再次，为有关的过程、部门的质量职能质量活动提供履行质量管理体系要求的指导性文件和评价准则，诸如作业指导书、评价与验证规范等，并配置必要的资源。 ，管理者还要做好组织和协调工作，强化日常的监督管理和信息反馈机制。及时了解、沟通质量管理体系的运行情况以及各部门、各岗位的业绩与问题，针对发现的问题采取纠正措施与措施。 ISO9001标准描述的质量活动并不涵盖企业所需要的所有质量活动，就需要在运行实践中识别企业特有的质量活动及其过程控制方法，不断改进和不断创新，确保质量体系的适宜性和有效性，保持对市场变化的快速反应。企业的生命在于持续的质量改进与创新。

　ISO27001认证体系建设分为四个阶段：实施风险评估、规划体系建设方案、建立信息管理 体系、体系运行及改进。也符合信息管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保护企业信息系统的，确保信息的持续发展。 　　1、确立范围 　　首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑 内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等;外部机构：则包括 公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。 　　从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机 系统正常运行的设施。包括机房环境、门禁、监控等;网络系统：构成信息系统网络传输环境的线路介质 ，设备和软件;服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库 、中间件和Web系统等软件平台系统;应用系统：支撑业务、办公和管理应用的应用系统;数据：整个信息 系统中传输以及存储的数据;管理：包括策略、规章制度、人员组织、开发、项目管理 和系统管理人员在日常运维过程中的合规、审计等。 　　2、风险评估 　　企业信息是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供、可信的服 务，保证信息系统的可用性、完整性和保密性。 　　本次进行的评估，主要包括两方面的内容： 　　2.1、企业管理类的评估 　　通过企业的控制现状调查、访谈、文档研读和ISO27001的 实践比对，以及在行业的经验上 进行“差距分析”，检查企业在控制层面上存在的弱点，从而为措施的选择提供依据。 　　评估内容包括ISO27001所涵盖的与信息管理体系相关的11个方面，包括信息策略、组 织、资产分类与控制、人员、物理和环境、通信和操作管理、访问控制、系统开发与维护、安 全事件管理、业务连续性管理、符合性。 　　2.2、企业技术类评估 　　基于资产等级的分类，通过对信息设备进行的扫描、设备的配置，检查分析现有网络 设备、服务器系统、终端、网络架构的现状和存在的弱点，为加固提供依据。 　　针对企业具有代表性的关键应用进行评估。关键应用的评估方式采用渗透测试的方法，在应用 评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的目标之间的差距，为后期改造提 供依据。 　　提到评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点 ，同时结合企业自身的特点，建立风险评估模型： 　　在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信 息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威 胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属 性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。 　　3、规划体系建设方案 　　企业信息问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息体系 ，并终落实到管理措施和技术措施，才能确保信息。 　　规划体系建设方案是在风险评估的基础上，对企业中存在的风险提出建议，增强系统的安 全性和抗攻击性。 　　在未来1-2年内通过信息体系制的建立与实施，建立组织，技术上进行审计、内外网隔 离的改造、产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息体系 和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，为主，防治结合 的先进型企业。 　　4、企业信息体系建设 　　企业信息体系建立在信息模型与企业信息化的基础上，建立信息管理体系核心可以更 好的发挥六方面的能力：即预警(Warn)、保护(Protect)、检测(Detect)、反应(Response)、恢复 (Recover)和反击(Counter-attack)，体系应该兼顾攘外和安内的功能。 　　体系的建设一是涉及管理制度建设完善;二是涉及到信息技术。首先，针对管理制 度涉及的主要内容包括企业信息系统的总体方针、技术策略和管理策略等。总体方针 涉及组织机构、管理制度、人员管理、运行维护等方面的制度。技术策略涉 及信息域的划分、业务应用的等级、保护思路、说以及进一步的统一管理、系统分级、网络互 联、容灾备份、集中监控等方面的要求。 　　其次，信息技术按其所在的信息系统层次可划分为物理技术、网络技术、系统技 术、应用技术，以及基础设施平台;同时按照技术所提供的功能又可划分为保护类、检 测跟踪类和响应恢复类三大类技术。结合主流的技术以及未来信息系统发展的要求，规划信息 技术包括：