ISO27001認(rèn)證信息風(fēng)險(xiǎn)評(píng)估 目的：實(shí)施風(fēng)險(xiǎn)評(píng)估，識(shí)別不可接受風(fēng)險(xiǎn)，明確管理目標(biāo)。 內(nèi)容：風(fēng)險(xiǎn)評(píng)估是整個(gè)風(fēng)險(xiǎn)管理的基礎(chǔ)，本階段將根據(jù)前期策劃的風(fēng)險(xiǎn)評(píng)估方法。 包括：a. 根據(jù)業(yè)務(wù)要求及信息的密級(jí)劃分，對(duì)信息資產(chǎn)的重要程度進(jìn)行判定，識(shí)別對(duì)關(guān)鍵核心業(yè)務(wù)具有關(guān)鍵 作用的信息資產(chǎn)清單;對(duì)重要信息資產(chǎn)從內(nèi)部及外部識(shí)別其所面臨的威脅; b. 根據(jù)威脅，從管理和技術(shù)兩方面識(shí)別重要信息資產(chǎn)所存在的薄弱點(diǎn); c. 根據(jù)風(fēng)險(xiǎn)評(píng)估的方法指南，對(duì)威脅利用薄弱點(diǎn)對(duì)重要信息資產(chǎn)所產(chǎn)生的風(fēng)險(xiǎn)在保密性、完整性、可 用性三方面所造成的影響進(jìn)行評(píng)價(jià);評(píng)價(jià)威脅利用薄弱點(diǎn)引發(fā)風(fēng)險(xiǎn)事件的可能性; d. 根據(jù)風(fēng)險(xiǎn)影響及發(fā)生的可能性評(píng)價(jià)風(fēng)險(xiǎn)等級(jí); e. 根據(jù)信息方針，各核心業(yè)務(wù)流程的要求，與管理層進(jìn)行溝通，確定不可接受風(fēng)險(xiǎn)等級(jí)的標(biāo) 準(zhǔn); f. 針對(duì)不可接受的高風(fēng)險(xiǎn)，制定風(fēng)險(xiǎn)處理計(jì)劃，從ISO27002及顧問(wèn)的行業(yè)經(jīng)驗(yàn)來(lái)選擇適宜的風(fēng)險(xiǎn)管 控措施;實(shí)施所選擇的控制措施，降低、轉(zhuǎn)移或風(fēng)險(xiǎn); g. 編寫風(fēng)險(xiǎn)評(píng)估報(bào)告。

公司領(lǐng)導(dǎo)是否關(guān)注質(zhì)量目標(biāo)完成情況。在審核過(guò)一家企業(yè)，總經(jīng)理說(shuō)；我不看這些數(shù)據(jù)，我不關(guān)心目標(biāo)完成情況！我問(wèn)為什么？他回答這是咨詢師定下的，不是我要的?？杀?！QMS運(yùn)行成這個(gè)樣子。我還審核過(guò)一家日資企業(yè)，其總經(jīng)理到任后件事，到各部門與部長(zhǎng)談：目標(biāo)的設(shè)置和目標(biāo)值，公司要求多少，部門有什么困難和要求需公司支持。通過(guò)手情況了解，公司定下的質(zhì)量目標(biāo)既是管理層的要求，又成為各部門年度工作的追求，而且目標(biāo)值確定也不空想，完成也有了保證。兩個(gè)企業(yè)成了明顯的對(duì)照。認(rèn)證 質(zhì)量目標(biāo)定下后並不是現(xiàn)有的信息一定能統(tǒng)計(jì)出來(lái)的，往往出現(xiàn)問(wèn)題是，尚不知道如何去收集分子和分母的值。有一個(gè)企業(yè)，設(shè)定目標(biāo)為“一次檢驗(yàn)合格率”，但現(xiàn)場(chǎng)沒有一次交驗(yàn)檢驗(yàn)結(jié)果的記錄，只能以檢驗(yàn)合格率的概念來(lái)計(jì)算。所以，設(shè)定質(zhì)量目標(biāo)后尚需要建立一個(gè)“目標(biāo)統(tǒng)計(jì)系統(tǒng)”，每項(xiàng)目標(biāo)的計(jì)算公式，其分子和分母的值從哪些原始數(shù)據(jù)中去統(tǒng)計(jì)，目標(biāo)的主責(zé)部門是誰(shuí)，由哪個(gè)部門匯總計(jì)算，統(tǒng)計(jì)頻次多少(每月一次，還是每季一次、每年一次)，這些都需要事先確定好。