ISO标管办工作计划讲义.ppt

ISO9000/ISO14000体系整合设计 ISO14000 环境方针 　　　　　　　 组织结构和职责 人员环境培训 环境信息交流 环境文件控制 应急准备和响应 不符合、纠正和预防措施 环境记录 内部审核 管理评审 ISO9000 质量方针 职责与权限 人员质量培训 质量信息交流 质量文件控制 （部分与消防安全的要求相同） 不符合、纠正和预防措施 质量记录 内部审核 管理评审 第三十页，共六十一页。 开展ISO14000相关培训 培训内容 ISO14000环境管理系列标准概论 ISO14001环境管理体系要求 环境法律及其他要求 环境管理体系认证的实施程序 环境管理体系认证审核的策划和准备 现场收集审核证据方法及技巧 环境管理体系有效性评价 纠正措施的跟踪及认证后监督 环境法律法规 培训对象：ISO标管办 第三十一页，共六十一页。 12月工作计划 第三十二页，共六十一页。 二十一世纪的管理趋势 ISO9000 质量管理体系 ISO14000 环境管理体系 OHSAS180001 职业卫生与安全 管理体系 第三十三页，共六十一页。 OHSAS18000培训课程 第三十四页，共六十一页。 编制OHSAS18000文件 三个层次文件： 职业安全卫生管理手册； 职业安全卫生管理体系程序文件； 职业安全卫生管理体系其他文件（作业指导书、操作规程、工艺卡及其他有关规程） 第三十五页，共六十一页。 危害识别和风险评价 制定危害识别、风险评价和分级管理控制等方面的标准； 建立并保持危害识别、风险评价和实施必要控制措施程序； 对危害识别、风险评价所采用信息及资料进行收集和整理，包括过去、现在和将来事态以及正常、异常和紧急状态等； 评估风险分级结果的适宜性并说明重大危害，包括：重大危害的规模和范围、影响程度、影响持续时间和发生可能性； 掌握典型危害，评价风险控制措施的适宜性、充分性与有效性； 第三十六页，共六十一页。 2004年1月工作计划 第三十七页，共六十一页。 风险识别 物理破坏 -- 火灾、水灾、电源损坏等 人为错误 -- 偶然的或不经意的行为造成破坏 设备故障 -- 系统及外围设备的故障 内、外部攻击 -- 内部人员、外部黑客的有无目的的攻击 数据误用 -- 共享机密数据，数据被窃 数据丢失 -- 故意或非故意的以破坏方式丢失数据 程序错误 -- 计算错误、输入错误、缓冲区溢出等 第三十八页，共六十一页。 风险分析（1）--确定资产 第三十九页，共六十一页。 风险分析（2）--确定威胁 外部网络黑客攻击及非法访问 内部人员故意或无意的非授权访问或操作 社会工程带来的威胁，包括企业竞争对手或其他间谍行为 系统自身的脆弱性，包括系统结构设计上的缺陷、配置的疏忽等 软件漏洞，包括操作系统的安全漏洞、网络协议的设计缺陷、应用软件的设计漏洞、数据库系统的安全漏洞等 系统开放性带来的威胁，包括病毒、蠕虫等 技术故障带来的威胁 物理环境的威胁 第四十页，共六十一页。 安全方针的主要内容 信息安全的定义、其总目标与范围、以及信息共享的机制下安全的重要性； 管理层对安全的态度、支持信息安全的目标与原则； 对组织特别重要的安全策略、原则、标准和符合性要求的简要说明，例如： 符合法规的要求和合同的要求； 安全教育的要求； 对计算机病毒和其他恶意软件的防范和检测； 业务持续性管理； 违反安全方针的后果； 信息安全管理的总体责任和具体责任的定义； 方针的引用文件。 第四十一页，共六十一页。 企业信息安全策略（1） 物理安全策略 包括环境安全、设备安全、媒体安全、信息资产的物理分布、人员的访问控制、审计记录、异常情况的追查等。 网络安全策略 包括网络拓扑结构、网络设备的管理、网络安全访问措施（防火墙、入侵检测系统、VPN等）、安全扫描、远程访问、不同级别网络的访问控制方式、识别/认证机制等。 数据加密策略 包括加密算法、适用范围、密钥交换和管理等。 数据备份策略 包括适用范围、备份方式、备份数据的安全存储、备份周期、负责人等。 病毒防护策略 包括防病毒软件的安装、配置、对软盘使用、网络下载等作出的规定等。 第四十二页，共六十一页。 企业信息安全策略（2） 第四十三页，共六十一页。 企业信息安全策略（3） 口令管理策略 包括口令管理方式、口令设置规则、口令适应规则等。 补丁管理策略 包括系统补丁的更新、测试、安装等。 系统变更控制策略 包括设备、软件配置、控制措施、数据变更管理、一致性管理等。 商业伙伴、客户关系策略 包括合同条款安全策略、客户服务安全建议等。 复查审计策略 包括对安全策