ISO标管办工作计划教案.ppt

开展ISO14000相关培训 培训内容 ISO14000环境管理系列标准概论 ISO14001环境管理体系要求 环境法律及其他要求 环境管理体系认证的实施程序 环境管理体系认证审核的策划和准备 现场收集审核证据方法及技巧 环境管理体系有效性评价 纠正措施的跟踪及认证后监督 环境法律法规 培训对象：ISO标管办 12月工作计划 二十一世纪的管理趋势 ISO9000 质量管理体系 ISO14000 环境管理体系 OHSAS180001 职业卫生与安全 管理体系 OHSAS18000培训课程 编制OHSAS18000文件 三个层次文件： 职业安全卫生管理手册； 职业安全卫生管理体系程序文件； 职业安全卫生管理体系其他文件（作业指导书、操作规程、工艺卡及其他有关规程） 危害识别和风险评价 制定危害识别、风险评价和分级管理控制等方面的标准； 建立并保持危害识别、风险评价和实施必要控制措施程序； 对危害识别、风险评价所采用信息及资料进行收集和整理，包括过去、现在和将来事态以及正常、异常和紧急状态等； 评估风险分级结果的适宜性并说明重大危害，包括：重大危害的规模和范围、影响程度、影响持续时间和发生可能性； 掌握典型危害，评价风险控制措施的适宜性、充分性与有效性； 2004年1月工作计划 风险识别 物理破坏 -- 火灾、水灾、电源损坏等 人为错误 -- 偶然的或不经意的行为造成破坏 设备故障 -- 系统及外围设备的故障 内、外部攻击 -- 内部人员、外部黑客的有无目的的攻击 数据误用 -- 共享机密数据，数据被窃 数据丢失 -- 故意或非故意的以破坏方式丢失数据 程序错误 -- 计算错误、输入错误、缓冲区溢出等 风险分析（1）--确定资产 风险分析（2）--确定威胁 外部网络黑客攻击及非法访问 内部人员故意或无意的非授权访问或操作 社会工程带来的威胁，包括企业竞争对手或其他间谍行为 系统自身的脆弱性，包括系统结构设计上的缺陷、配置的疏忽等 软件漏洞，包括操作系统的安全漏洞、网络协议的设计缺陷、应用软件的设计漏洞、数据库系统的安全漏洞等 系统开放性带来的威胁，包括病毒、蠕虫等 技术故障带来的威胁 物理环境的威胁 安全方针的主要内容 信息安全的定义、其总目标与范围、以及信息共享的机制下安全的重要性； 管理层对安全的态度、支持信息安全的目标与原则； 对组织特别重要的安全策略、原则、标准和符合性要求的简要说明，例如： 符合法规的要求和合同的要求； 安全教育的要求； 对计算机病毒和其他恶意软件的防范和检测； 业务持续性管理； 违反安全方针的后果； 信息安全管理的总体责任和具体责任的定义； 方针的引用文件。 企业信息安全策略（1） 物理安全策略 包括环境安全、设备安全、媒体安全、信息资产的物理分布、人员的访问控制、审计记录、异常情况的追查等。 网络安全策略 包括网络拓扑结构、网络设备的管理、网络安全访问措施（防火墙、入侵检测系统、VPN等）、安全扫描、远程访问、不同级别网络的访问控制方式、识别/认证机制等。 数据加密策略 包括加密算法、适用范围、密钥交换和管理等。 数据备份策略 包括适用范围、备份方式、备份数据的安全存储、备份周期、负责人等。 病毒防护策略 包括防病毒软件的安装、配置、对软盘使用、网络下载等作出的规定等。 企业信息安全策略（2） 系统安全策略 包括WWW访问策略、数据库系统安全策略、邮件系统安全策略、应用服务器系统安全策略、个人桌面系统安全策略、其他业务相关系统安全策略等。 身份认证及授权策略 包括认证及授权机制、方式、审计记录等。 灾难恢复策略 包括负责人员、恢复机制、方式、归档管理、硬件、软件等。 事故处理、紧急响应策略 包括响应小组、联系方式、事故处理计划、控制过程等。 安全教育策略 包括安全策略的发布宣传、执行效果的监督、安全技能的培训、安全意识教育等。 企业信息安全策略（3） 口令管理策略 包括口令管理方式、口令设置规则、口令适应规则等。 补丁管理策略 包括系统补丁的更新、测试、安装等。 系统变更控制策略 包括设备、软件配置、控制措施、数据变更管理、一致性管理等。 商业伙伴、客户关系策略 包括合同条款安全策略、客户服务安全建议等。 复查审计策略 包括对安全策略的定期复查、对安全控制及过程的重新评估、对系统日志记录的审计、对安全技术发展的跟踪等。 2004年2-3月工作计划 标准要求的整合 组织架构图 ISO标管办 主任 标准化组 主管 统计分析组 主管 培训与文件管理组 主管 仪器设备管理组 主管 文员 人员分配：共14人 ISO标管办 1人 ISO17799 工程师1人 ISO9000 工程师1人 ISO14000 工程师1人