ISO/IEC

ISO/IEC（精选8篇）

ISO/IEC 第1篇

3.7 对产品认证机构的“资源要求”

在本标准第6 章规定了对认证机构的资源要求,这是对认证机构能力的核心要求。

首先,标准要求认证机构应雇用或有途径得到与认证方案和适用标准以及其他规范性文件相关的运作的足够数量的人员,所有认证人员都应有能力履行其所承担的职能,并保护其在实施认证活动中获得所有机密性的信息。为此,认证机构应对认证人员实施管理过程,包括聘用签约、职责与权限、能力管理、培训、记录等。

其次,对评价活动所需资源方面提出更为明确的要求,无论是认证机构使用内部资源实施评价活动或委托外包机构使用外部资源实施外包的评价活动,评价人员按其所承担的检查、或审核、或检验任务分别满足ISO/IEC 17020、17021、17025 的适用要求,并且满足本标准对公正性提出的要求。

关于新标准本章内容与ISO/IEC指南65:1996 的关联性和修订情况,见表4。

3.8 对产品认证机构的“过程要求”

本标准第7章对认证过程的总体要求,在“申请”、“申请评审”、“评价”、“复核”、“认证决定”、“认证文件”、“获证产品目录”、“监督”、“影响认证的变更”、“认证的终止、缩小、暂停或撤销”、“记录”和“投诉和申诉”等14 个方面做出了规定。认证过程要求是确保认证机构的认证方案得到一致性实施的保证。与原标准相比,认证过程要求得到极大改进,内容覆盖实施认证的全部过程,规定详细、条理清晰。

在14 个方面的要求中,除了总则与原标准的相关条款基本一致外,其他13 个认证过程的具体环节均在原标准的相关条款基础上进行了重大修订,具体见表5。

3.9 对产品认证机构的“管理体系要求”

在本标准第8 章,对于认证机构管理体系的建立给出了两种选择,方式A和方式B。方式A是通用的管理体系要求,至少包括形成文件的质量方针和质量目标、最高管理者和其他人员的职责、表述质量管理体系的体系文件及其对文件和记录的管理、内审和管理评审、纠正措施和预防措施等方面。方式B是认证机构按ISO/IEC 9001 建立和运作管理体系的另一种途径,采用方式B建立的管理体系也应满足通用管理体系所述的各项要求,并宜参照ISO/PAS 17005 附录的表A2 对ISO 9001 条款的应用说明。管理体系的要求是对认证机构提供认证服务和达到预期结果的能力的要求。

方式A是将原标准中关于认证机构管理体系的相关要求整合并按上述各方面的内容进行细化。标准本章内容与ISO/IEC Guide 65:1996 的关联性和修订情况,见表6。

3.10 标准的附录及参考文献

本标准附录A、B和参考文献都是新增的内容。

附录A是围绕认证机构及其认证活动如何赢得信任给出了详细的指导性原则,包括公正性、能力、保密性、公开性、对申投诉的回应、责任。这对于认证机构的建立、运作具有十分重要的意义。

附录B是为了便于对过程认证和服务认证的理解和实施,建议在使用本标准时对正文中关于产品认证的某些词语替换为更适用于过程认证和服务认证的词语。

参考文献是标准正文中提及或相关的文件目录。其中,参考文献[1]、[3]、[4]、[5]、[7]、[10] 在原标准中作为规范性引用文件,[2]、[6]、[8]、[9] 等4项标准或指南为新增的参考文献。参考文献[9] 并未出现在本标准正文。

4 结语

ISO/IEC 17065:2012 通篇以认证机构的能力、一致性运作和公正性为关注点,对认证机构的管理体系和资源、认证过程、组织结构( 含认证人员) 的公正性等方面提出了详细的要求。目的就是实现产品、过程和服务认证的总体目标和价值。

ISO/IEC 第2篇

为了加强ICT供应链风险的管理和控制，欧美等国家相继制定了ICT供应链风险管理的标准。目前，关于ICT供应链的相关标准体系有两个：(1)ISO/IEC 27000信息安全管理体系中ISO/IEC 27036-3，该标准是ICT供应链信息安全指南的国际标准，其明确了供应链关系中信息安全风险的评估和应对措施;(2)美国国家标准与技术研究院(NIST)发布的联邦信息系统和组织的供应链风险管理实践指导草案SP800-161。该指导草案是对ISO/IEC 27036-3标准的完善，是通过ICT供应链风险具体路径、供应链风险管理指标以及其他风险缓解活动将ICT供应链风险管理整合到联邦组织采购ICT产品或服务的风险管理体系中，并形成ICT供应链风险管理标准SP800-161。

因为SP800-161主要为联邦机构量身定做，具有一定的局限性，而ISO/IEC 27036是具有普适性的国际主流标准，且具有权威性，故我们主要对供应链信息安全标准ISO/IEC 27036进行分析研究。

2 ISO/IEC 27036标准体系概述

ISO/IEC 27036标准体系由多个标准族集合而成，用于评价和处理供应商在提供服务或产品过程中可能面临的信息安全风险。该标准的制定起因于B2B商业关系中与信息相关产品所产生的信息风险。随着标准的发展，我们认为，只要组织内、外的两个个体存在相互交流或信息交换的情形，都应遵守该信息安全标准体系的要求;但双方不一定产生交易行为，如组织内员工之间的交流或任务的交接等没有产生交易的行为，也应遵守信息安全标准的要求。下面，我们从ISO/IEC 27036标准体系的范围和内容两个方面对ISO/IEC 27036标准进行介绍。

2.1 ISO/IEC 27036标准体系的范围

根据国际标准化组织的文件，ISO/IEC 27036标准体系的范围包括：IT产品和服务范围、标准内容、信息安全控制和组织间关系四个方面。

2.1.1 IT产品和服务范围

IT产品和服务包括：IT外包和云计算服务，其他专业服务(例如，防火墙设置、设备清洁、通讯设备的维护与保养、专家咨询、知识管理、产品或服务的研发、制造、配送及源代码托管服务等)，ICT硬件、软件和服务的供应，定制化的产品和服务，以及水电等产品。

2.1.2 标准内容

标准覆盖的内容包括：实施ICT产品和服务时，确保组织战略目标和商业需求的信息安全，降低对供应商的过度依赖。

2.1.3 信息安全控制

要对信息安全的内容进行控制，例如均衡事前准备与分析过程中信息安全的成本、风险和利益;产品和服务供应商是否符合ISO/IEC 27001认证;合作开发和运营中的风险分析、安全设计与识别、资产和事故管理等;信息资产的问责制和责任保护制;明确奖惩及审计制度等。

2.1.4 组织间关系

组织生命周期内的组织关系管理，包括：(1)初始业务范围分析，即自产还是外包决策、多元化还是单一产品决策，以及信息安全需求的定义;(2)产品或服务的采购分析，如组织的运营管理;(3)产品或服务的更新;(4)终止或结束业务关系，或者重新定义企业的业务范围等。

2.2 ISO/IEC 27036标准体系的内容

根据国际标准化组织的相关文件，ISO/IEC 27036《信息技术 安全技术 供应商关系的信息安全》标准体系主要包括四部分：第1部分：概述和相关概念(ISO/IEC 27036-1);第2部分：要求(ISO/IEC 27036-2);第3部分：ICT供应链安全指南(ISO/IEC 27036-3);第4部分：云服务安全指南(ISO/IEC 27036-4)。ISO/IEC 27036-1和ISO/IEC 27036-2是基本规定，ISO/IEC 27036-3和ISO/IEC 27036-4则是具体操作规范与应用。

2.2.1 ISO/IEC 27036标准的概念与相关问题

ISO/IEC 27036-1对ICT供应链所涉及的各个利益相关者和流程进行了规范和定义。例如，需求者是指从另一方获得产品和服务的利益相关者(ISO/IEC 15288：，4.1);获取是指获得产品或服务的过程(ISO/IEC 15288：2008，4.2);协议是指工作合作中共同确认的条款和条件(ISO/IEC 15288：2008，4.4);生命周期是指产品或服务从概念到淘汰的全过程(ISO/IEC 15288：2008，4.11);流程是指一组将输入转化为输出的相互关联或相互作用的活动(ISO 9000：，3.4.1)。其他的相关概念还有，下游组织和上游组织(ISO 28001：，3.10)、外包、利益相关者、供应商、供应商关系、供应链、系统、信任、可跟踪性等。

通过上述概念，ISO/IEC 27036分析了供应商关系中的几个问题：(1)供应商关系形成的动机，ICT产品或服务外包不仅可以使企业集中核心业务，减少成本，提高服务水平，还能及时更新ICT产品或服务。(2)供应商关系的类型，主要包括购买ICT产品、ICT服务和云计算三类。(3)供应商关系中的信息安全风险与管理，包括以契约和协议的形式降低供应商关系的信任风险;以严格的质量审查减少产品或服务缺陷;监控与识别组织治理的流程，上下级的沟通，以及组织成员的社会文化差异。(4)ICT供应链管理问题，即完善ICT产品或服务的标准采购流程，且ICT产品或服务必须达到要求的信息安全水平。

2.2.2 ISO/IEC 27036标准的结构

ISO/IEC 第3篇

目前ISO/IEC JTC1 SC6 WG7已经正式接受了IEEE 1888标准在ISO/IEC的转化立项, 这是我国主导的绿色ICT技术国际标准化的一重大突破, 对推动我国节能环保和新一代信息技术两大战略性新兴产业融合发展, 促进信息化和工业化深度融合, 加快中国绿色ICT产业的国际化具有重要意义。

背景:IEEE 1888标准

IEEE 1888泛在绿色社区网络协议是由中国电信、天地互连等中国企业主导的国际标准, 于2011年4月正式发布。IEEE 1888是利用ICT技术服务节能减排的技术标准, 是IEEE三大绿色标准之一, 获得IEEE杰出标准贡献奖。今年6月在工信部支持下, 由杨学山副部长带队的代表团在“海峡两岸高新产业合作研讨会”上主题演讲推介了IEEE1888标准。IEEE1888的后继标准制定进展顺利。

ISO/IEC 第4篇

ISO/IEC 14882:2011《信息技术-C++编程语言定义编程语言》,详述应用要求。ISO/IEC 14882:2011也被称为C++11,是自1998年以来对该标准的首次重大修订。新功能如lambda函数、动态语义、可变参数模板等充分发挥了C++固有的灵活性和有效性优势,使研发者能够运用其强大的表达力和精炼语句写出高效、高性能的代码。并且,新的C++11能够更方便地使用其他现代语言。

近年来,业界对像Java这样牺牲表达力和性能而强调程序员便利的“新”受控代码环境给予更多关注,但是,像C++这样的“传统”的编程语言永远不会被替代。C++11的改进吸收了受控语言的许多优点,现代C++代码同用其他现代语言编写的代码一样简洁和安全,在需要时能够默认快速访问底层系统。在Web浏览器(谷歌的Chrome),社会化媒体平台(Facehook)和操作系统(Windows) C++均得到广泛应用。

ISO/IEC 第5篇

关键词：ISO/IEC 20009-2,匿名实体鉴别,TePA三元对等,群组公钥签名机制

1 引言

为了保护个人隐私, 我国近年来相继出台了一些隐私保护政策、法规和标准等, 包括2012年12月28日第十一届全国人民代表大会常务委员会第三十次会议通过的GB/Z 28828-2012《全国人民代表大会常务委员会关于加强网络信息保护的决定》, 2013年2月1日正式实施的国家标准《信息安全技术公共及商用服务信息系统个人信息保护指南》等, 这对于防止个人信息泄露、保障公众的隐私权具有重要意义, 但在具体的隐私保护支撑技术方面尚属短板。

提供实体鉴别服务的技术有多种, 目前通常采用的是基于公钥密码技术的实体鉴别方法, 这种方法通过数字签名完成对被鉴别者身份合法性的验证, 但不幸的是在完成鉴别的同时被鉴别者的身份信息也将不得不公开给鉴别者, 很明显这类技术在为上述应用场合提供鉴别服务时有明显的局限性, 因为它无法保护用户的隐私。另一方面, 管理者又要求对提供隐私保护的实体鉴别技术提供可追踪的能力, 以便于满足管理者在必要时的管控需求。

由我国提交的匿名鉴别技术在不需要获得被鉴别者身份的情况下即可完成鉴别, 保护了被鉴别者的隐私信息。在匿名鉴别技术中, 被鉴别者出示其拥有某个秘密的证据且不公开自己的身份, 验证者通过验证所出示证据的真伪来判断被鉴别者身份的合法性, 整个过程无需知道对端的身份。该技术既完成了身份的鉴别又保护了被鉴别者的身份信息。此外, 匿名实体鉴别技术通常还能够提供open或链接功能, 为必要的管理提供了支撑。

2 ISO/IEC 20009-2及其中国提案进展

2.1 ISO/IEC 20009-2:2013

ISO/IEC 20009-2:2013按照有无可信第三方参与鉴别过程分为两类匿名实体鉴别机制:一类是无可信第三方参与的机制, 该类机制采用群组公钥匿名签名算法, 提供了在没有可信第三方的情况下单向鉴别、双向鉴别单向匿名和双向鉴别双向匿名机制的协议流程, 按照不同的应用需求定义了16种匿名鉴别机制。

另一类是有可信第三方参与的匿名鉴别机制, 该类机制基于我国自主的Te PA三元对等架构, 采用群组公钥匿名签名算法, 由可信第三方为鉴别实体提供鉴别服务, 能够提供单向鉴别、双向鉴别单向匿名、双向鉴别双向匿名共三种鉴别服务, 共计8种机制。该类机制相对于无可信第三方参与的机制而言, 在协议安全、安全管理和易用性上具有明显优势。

2.2 中国提案的进展情况

2010年10月初, SC27柏林会议之前, 中国Te PA三元对等匿名实体鉴别项目组 (下称项目组) 收到ISO/IEC 20009-2项目征集贡献的邀请, SC27/WG2的项目编辑希望将Te PA三元对等架构纳入到ISO/IEC 20009-2标准项目中。收到邀请后, 项目组立即对ISO/IEC 20009-2以及相关的其他标准进行了研究, 并在柏林会议上与该标准项目有关专家进行了积极和密切地沟通, 会议决定邀请中国提交Te PA三元对等匿名实体鉴别方案作为既有项目的一部分, 并在10月25日之前提交给ISO/IEC 20009-2项目编辑, 作为中国对该标准项目的贡献。

柏林会议结束后, 项目组通过全国信安标委按照SC27/WG2的要求于2010年12月向SC27/WG2提交了Te PA三元对等匿名实体鉴别方案 (两种机制) , 并与ISO/IEC 20009-2项目编辑进行了充分沟通, 促成Te PA三元对等匿名实体鉴别方案作为中国贡献被接受, 并被纳入到标准文本中作为第8章的内容。

2011年4月份SC27新加坡会议上, ISO/IEC20009-2项目收到了来自比利时、德国、日本、英国、美国等国家反馈的60余条意见, 我国Te PA项目组对这些意见进行了逐条分析, 重点分析了针对第8章的意见, 并与项目编辑进行了沟通, 确保了这些意见得到妥善的处理。

2011年10月SC27内罗毕会议上, ISO/IEC20009-2项目再次征集到了来自日本、韩国、美国、英国的34条评论意见。本次征集的意见大部分为编辑性意见, 项目编辑均予以接受。会议决定将该项目推进至委员会草案CD阶段。

2012年5月SC27瑞典会议前, 该项目通过了CD投票, 中国在投票同时提交了6项新的Te PA三元对等匿名实体鉴别方案, 该6项方案将与中国之前提交并已被采纳的2项匿名实体鉴别方案构成完整的Te PA三元对等匿名实体鉴别技术体系, 覆盖了全部有可信第三方参与的匿名实体鉴别技术。经过瑞典会议的讨论, 中国的6项匿名鉴别方案再次被标准采纳。

2012年10月SC27罗马会议前, 项目通过了第二次委员会草案CD投票, 中国投了赞同票并附带3条编辑性意见, 另外该项目还收到了来自英国、日本和美国的135条评论意见, 其中大多属于编辑性意见。此次会议对评论意见进行了讨论和处理, 并根据意见对标准文本进行了修改和完善。这次会议再次巩固了中国在该项目中的贡献。经过会议讨论, 决定该项目推进至国际标准草案DIS阶段。

2013年4月SC27法国会议前, 该项目通过了DIS投票, 共收到来自英国和美国的33条DIS投票评论意见, 大部分为编辑性意见, 其中美国投了附带评论意见的反对票。会议对DIS投票意见进行了处理, 美国国家成员体在会议现场同意改为赞同票, 但因ISO规定凡在DIS投票阶段出现反对票的项目, 不能直接成为国际标准, 还需再进行为期两个月的最终国际标准草案FDIS投票。通过本次会议, 已纳入标准的中国提交的8项Te PA三元对等匿名实体鉴别机制方案又一次得到了巩固。

2014年10月SC27墨西哥会议上, 工作组召集人对该项目已于2013年12月1日被ISO颁布成为国际标准进行了通告。至此, 中国提交的8项技术提案作为ISO/IEC 20009-2:2013的第8章内容正式成为国际标准。该标准成为继ISO/IEC 9798-3:1998/Amd.1:2010之后我国在国际基础信息安全领域的又一项重要成果。

3 中国贡献内容

中国针对ISO/IEC 20009-2:2013贡献了8项匿名实体鉴别机制, 作为标准的第8章内容, 具体包括:

8.2.2 Four-pass unilateral anonymous authentication (initiated by A) (由A发起的四步单向匿名实体鉴别)

8.2.3 Four-pass unilateral anonymous authentication (initiated by B) (由B发起的四步单向匿名实体鉴别)

8.3.2 Five-pass mutual anonymous authentication (initiated by A) (由A发起的五步双向匿名实体鉴别)

8.3.3 Five-pass mutual anonymous authentication (initiated by B) (由B发起的五步双向匿名实体鉴别)

8.4.2 Five-pass unilateral-anonymous mutual authentication initiated by A who is anonymous (由A发起且A匿名的五步单向匿名双向鉴别)

8.4.3 Five-pass unilateral-anonymous mutual authentication initiated by A and B is anonymous (由A发起B匿名的五步单向匿名双向鉴别)

8.4.4 Five-pass unilateral-anonymous mutual authentication initiated by B and A is anonymous (由B发起A匿名的五步单向匿名双向鉴别)

8.4.5 Five-pass unilateral-anonymous mutual authentication initiated by B who is anonymous (由B发起且B匿名的五步单向匿名双向鉴别)

这8项机制中能够适用于单向鉴别、双向鉴别单向匿名和双向鉴别双向匿名这三类应用场景, 然后结合具体的使用环境, 根据发起鉴别的实体来确定所要选用的具体机制。

本文将从上述8项机制中选择1项进行介绍, 其他机制请参见ISO/IEC 20009-2:2013。

3.1符号和缩略语

A A的可区分标识符

B B的可区分标识符

CertA A的公钥证书

CertB B的公钥证书

CertG群组G的群组公钥证书

G群组G的可区分标识符

gs SXg (m) 实体X个群组公钥产生一个匿名签名, 该签名使用了一个在本部分中规定的群组签名机制, 该机制规定使用群组成员签名密钥SXG签名信息m

kdf密钥导出函数

IG群组G的身份, 可以用G或CertG表示

IX群组X的身份, 可以用X或CertX表示

m被签名的信息

MAC信息鉴别码

mac K (M) 使用密钥K和一个随机数据串M的MAC算法

NX由实体X颁发的序列号

PA实体A的公钥

PB实体B的公钥

PG实体G的公钥

q素数

ResA实体A的鉴别结果

ResB实体B的鉴别结果

ResG群组G的鉴别结果

RX实体X产生的随机数

SXG关联实体X的群组成员签名密钥, 其中实体X是群组G的一个成员

s Sx (m) 实体X创建的数字签名, 签名上有实体X使用私有签名密钥加密的信息

TP一个TTP的可区分标识符

TTP可信第三方

TX由实体X颁发的时间戳

Zq在[0, q-1]之间的整数集

3.2五步双向匿名鉴别 (由实体A发起)

该机制如图1所示, 属于群组G'的实体A向属于群组G'的实体B发起鉴别协议, 通过产生和检查随机数来保证独特性和有效性。

Token权标有两种可选结构, 如下:

可选结构1:

TokenBA=RA||RB|| (Text3]||gs SBG' (G'||RA||RB||G|| (Te xt2])

TokenTA=ResG||ResG'||s ST (R'A||ResG'|| (Text6]) ||s ST (RB||ResG||[Text5])

TokenAB=[Text9]||ResG||s ST (RB||ResG|| (Text5] (||gs SAG (RB||RA||G'||G||[Text8])

可选结构2:

TokenBA=RA||RB||[Text3]||gs SBG' (G'||RA||RB||G||[Te xt2])

TokenTA=ResG||ResG'||s ST (R'A||RB||ResG||ResG'||[Te xt5])

TokenAB=R'A||[Text9]||TokenTA||gs SAG (RB||RA||G'||G||[Text8])

字段IG, IG', ResG, ResG的值以及status和Failure如下所示:

IG:群组G的身份, 可以用G或者CertG。

IG':群组G'的身份, 可以用G'或者CertG'。

ResG= (CertG||Status) , (G||PG) 或Failure

ResG'= (CertG'||Status) , (G'||PG') 或Failure

status=True或False。如果证书已经被取消, 则这个字段的值应该设置为False, 否则这个字段应该设置为True。

Failure:如果TP找不到G的公钥或者G的证书中的任何一个, 那么ResG将被设置为Failure。

在这个机制中, 如果TP知道G身份和PG之间的映射关系, 那么TP应该设置IG=G;否则, 设置IG=CertG, 并且G应该设置等于CertG中的可区分标识符字段的值。如果G或者CertG被允许作为身份来使用, 那么应该允许TP去区分这两种身份特征的形式。ResG的值如表1所示。

该机制执行如下步骤:

(1) A发送一个随机数RA, G的身份IG和可选的文本值Text1给B;

(2) B发送权标TokenBA和IG'给A;

(3) A发送一个随机数R'A, RB, IG, IG'以及可选的文本值Text4给TP;

(4) 当在c) 步从A接收到信息, TP执行以下步骤, 如果IG=G并且IG'=G', 那么TP检索PG和PG';如果IG=CertG并且IG'=CertG', 那么TP将检查CertG和CertG'的有效性;

(5) 然后TP发送Token TA和可选的文本值Text7给A。在TokenTA中的ResG和ResG'字段应该是:G和G'的群组公钥以及它们的公钥证书的状态, G和G'的可区分标识符和它们的群组公钥, 或者是Failure;

(6) 当在e) 步骤中从TP收到信息, A将执行下列步骤:

a.通过检查在步骤c) 中发送给TP的随机数R'A是否等于包含在TokenTA中TP的签名数据中的R'A来检查权标中TP的签名。

b.从接收到的信息中检索G'的公钥, 通过检查包含在权标中的B的群组签名以及检查权标TokenBA中已签信息中的标识符域的值是否等于群组G的标识符来鉴别从步骤b) 中接收到的权标TokenBA。同时检查包含在权标TokenBA中的随机数RA是否等于步骤a) 中发送给B的随机数RA。

(7) A发送TokenAB给B;

(8) 当在g) 步骤中从A收到信息, B将执行下列步骤:

a.通过检查在步骤b) 中发送给A的随机数RB是否等于包含在TokenTA中TP的已签信息中的RB来检查权标中TP的签名。

b.从接收到的信息中检索G的公钥, 通过检查包含在权标中的B的群组签名以及检查权标TokenAB中已签信息中的标识符域的值是否等于群组的标识符来鉴别权标TokenAB。同时检查包含在权标TokenAB中的随机数RB是否等于步骤b) 中发送给A的随机数RB。

4结语

ISO/IEC 第6篇

关键词：ISO/IEC,导则,技术工作程序,修改

《ISO/IEC导则第1部分:技术工作程序》详细规定了ISO/IEC在开展技术工作中所应遵循的要求,特别是通过技术委员会及其附属机构的活动,制定并维护国际标准应遵循的程序。这部分是国际标准化工作的基础,任何非编辑性的修改都会对国际标准化活动产生重要影响。

2012年,ISO/IEC导则第1部分(第九版)正式发布,与第八版相比,有许多重要的修改。如制定程序方面,ISO为加快标准制定进程,当询问草案满足通过要求时则可有条件地直接进入出版阶段;对新工作提案的立项要求更加明确,更加强调提案的市场相关性。为指导国际标准化工作开展,本文对新版导则的修改内容进行了梳理。

1 组织结构

新增联合项目委员会(JPC),并规定:

(1)对于JPC,经ISO和IEC协商确定,由其中一个组织负责承担管理职责。

(2)实行一个国家是一个成员,拥有一票表决权的原则。

(3)当某个国家有两个组织被选举参加JPC时,只有其中一个拥有管理职责。拥有管理职责的组织应协调其国家活动,包括分发文件、进行评论和投票。同时应遵守项目委员会(PC)的正常程序。

新增PC作为可提交新技术活动领域提案的组织。

增加了PC转变为技术委员会(TC)的要求,明确了PC转变为TC后标准的维护责任。

(4)当PC希望转变为TC时,按建立新TC的程序执行。

(5)对于PC制定的标准,由秘书处承担国按照规定程序进行标准维护;当PC转变为TC后,则由TC负责其标准维护。

2 新工作提案

对新工作提案(包括新技术活动领域提案和新工作项目提案)新增了市场相关性要求。

(1)首席执行官(CEO)办公室应确保提交的提案是根据ISO/IEC导则要求合理制定的,并提供了足够的信息以帮助国家成员体作出明智的决定。如果对提案是否提供了足够信息有疑问,提案将被退回提案者进行修改完善。该行为是完全出于质量控制的要求,并不反映建议标准的市场需求或相关性的价值判断。如果提案被退回提案者,提案者有权要求维持现状、不进行任何修改而进行分发和投票。

(2)CEO接到提案后应立即开展提案与现有工作的关系评价,并可与技术管理局(TMB)主席或开展相关工作的现有委员会的主席等相关方进行磋商。CEO的评论和意见不应包含建议标准的市场需求或相关性的价值判断(进一步凸显了国际组织的中立地位。

(3)对新工作提案进行投票时,无论赞成或反对,都应说明理由。没有说明理由的投票将不予登记和考虑。

对于新工作项目提案,如果是对现有标准的修订、与现有工作明确相关的新项目或系列标准的新部分,国家成员体可指派先前推荐的专家作为该新项目的专家。

新导则同时修订了ISO对新工作项目提案的接收准则,修订后与IEC的规定一致。

(4)参加投票的TC或SC的P成员的简单多数赞成。

(5)具有16或以下P成员的委员会至少有4个P成员,具有17或以上P成员的委员会至少有5个P成员,承诺积极参与标准制定,例如:在准备阶段通过指派技术专家和对工作草案提出评论意见作出有效贡献。统计时,只计a)中投赞成票的P成员,且赞成票中如果没有指派技术专家,则不认为是积极参与。

(6)各委员会可提高指派技术专家的最低要求。特殊情况下,有文件表明工业实践和/或技术知识仅存在于少数P成员中时,委员会可请求TMB降低要求。

3 成员资格

明确了参加(P)成员不积极的表现和将采取的措施。

(1)P成员如果一直不积极,连续两次既没有直接参加也没有以通信方式为会议作出贡献,并且没有指派任何专家参与技术工作或对TC或SC内正式提交投票的问题没有投票时,秘书长应提醒国家成员体有义务积极参加TC或SC活动。

(2)如果该成员对此提醒没有作出令人满意的答复,且延续如上清楚表明的不良作法,将无一例外地自动降级为O成员。

4 制定程序

缩短了ISO标准草案询问阶段的投票时间,由5个月减少为3个月。

对于ISO,新增当询问草案满足通过要求时,只要委员会通过决议跳过最终国际标准草案(FDIS),则可选择直接进行出版;当不满足通过要求时,分发修改后的询问草案进行为期2个月的投票,如果一个或多个相关委员会P成员提出要求,允许的最长投票时间由5个月减少为3个月。

5 出版文件

明确了修订稿、技术勘误和修改单的差别和要求。

(1)技术勘误和修改单一般作为单独的文件发布,受影响的标准将维持原版;修订时,标准则将发布新的版本。

(2)技术勘误不再包括自出版以来过时的信息。一般而言,发布达3年的标准不再发布技术勘误。

6 专利政策

修订了ITU-T/ITU-R/ISO/IEC通用专利政策实施指南,使之更加严谨和规范。

7 提案论证

对提案内容和论证部分进行了重要修改,强调提案的市场相关性。现对新工作提案的基本原则和内容作简单介绍(为保持系统性,个别未变更条款也同时列出)。

7.1 基本原则

新工作提案的基本原则是:

(1)应在其所提交组织的业务范围内;

(2)论证文件应对新工作提案的市场相关性进行充分论证;

(3)论证文件应提供可靠的基础信息以便国家成员体进行投票;

(4)新工作提案的提案者负责提供上述所需文件。

7.2 基本内容

新工作提案的基本内容包括以下几点。

(1)标题

标题应简洁并明确地表明新工作提案所要覆盖的内容。

(2)范围

对于新技术活动领域提案,应准确界定技术活动领域的界限,不应重复工作管理的基本目标和原则,应指明相关的具体领域。

对于新工作项目提案,应明确说明工作项目所要覆盖的内容,必要时,说明被排除在外的内容。

(3)最初工作计划(新技术活动领域提案适用)

工作计划应符合并明确反映标准化活动的目的,因此,应表明建议项目间的关系。

工作计划的各项目应根据拟标准化对象的主题和侧面(以产品为例,项目包括产品类型、特性、其他要求、拟提供的数据、试验方法等)来确定。

工作计划中的特殊项目可附补充说明。

工作计划应对新工作项目的优先顺序和目标日期提出建议。

(4)出版物类型

当为新技术活动领域提案时,可在工作计划中说明。

(5)现有文件列表

所有已知的相关文件(如标准、法规),无论来源,都应列举出,并指明其重要程度。

(6)与现有工作的联系及其影响

应提供建议工作与现有工作(特别是ISO、IEC现有出版物)的联系及其影响的声明。提案者应解释其工作与明显类似的工作之间的差别或说明如何减少重复和冲突。

如果该组织其他委员会或其他组织存在类似或相关的工作,则建议的工作范围应与这些工作明显区别。

提案者应指明其提案可通过扩展现有委员会的范围或新建委员会来解决。

(7)相关国家

对于新技术活动领域提案,应提供建议项目对其商业利益很重要的国家列表。

对于新工作项目提案,应提供不是委员会的P成员但建议项目对其商业利益很重要的国家列表。

(8)合作与联络

应提供出版物制定过程中需要联络的相关外部国际组织或内部团体列表。

为避免与其他机构发生冲突或重复工作,指明所有可能发生冲突或重叠的工作是非常重要的。

同时应提供与其他机构交流的结果。

(9)受影响的利益方

提供简要声明,对受影响的相关利益方的类别(包括中小企业)、他们可获得的利益及项目对其产生的影响进行说明和描述。

(10)基础文件(新工作项目提案适用)

当提案者认为某一现有完备的文件可接受为标准时,应指明并给出合理的解释,将附在提案后面。

所有新工作项目提案应附已有文件作为出版文件的基础或至少应有建议大纲或目录。

如果现有文件受版权保护或包含受保护内容,提案者应确保ISO或IEC获得适当的书面授权可使用其内容。

(11)领导职责

对于新技术活动领域提案,提案者应表明其组织是否愿意承担秘书处工作。

对于新工作项目提案,提案者应提名项目负责人。

(12)目的及理由

应说明拟制定标准的目的和理由,对需标准化的各方面(如特征)进行论证。

当提议的系列新工作项目具有共同的目的和理由时,可起草一个通用的提案,包括所有需阐明的要素并罗列各项目的标题和范围。

关于如何论证提案的目的和理由,下面提供了一些建议。提案者应考虑,但不局限于也不要求严格按照这些建议论证。最重要的是提案者应编制和提供与提案密切相关的解释材料,对提案的市场相关性和需求进行充分论证。全面、完备和理由充分的论证文件才能促使各相关方认真考虑并最终立项成功。

(1)简要说明提案寻求解决的商业、技术、社会或环境问题,最好结合国际标准化组织的商业战略计划进行说明。

(2)说明提案在商业、技术、社会、环境或新市场方面的影响范围和程度,可对最终标准的预计销售量进行评估,作为潜在市场和全球相关性的一个表征。

(3)技术效益:简要说明提案在支持体系一致性和新兴技术、技术整合、互操作性、竞争技术的解决、未来革新等方面的技术影响。

(4)经济效益:简要说明提案在消除贸易壁垒、促进进入国际市场、支持公共采购、提高企业商业效率和/或促成一种灵活、经济的符合国际和地区准则/惯例的手段等方面的影响;对制定标准所需成本与预计产生的经济效益进行比对分析也是有益的。

(5)社会效益:对提案可产生的社会效益进行简单说明。

(6)环境效益:对提案可产生的环境或可持续发展效益进行简单说明。

(7)简要说明建议出版文件的用途,例如:出版文件是计划作为支持符合性评定的要求还是仅仅作为最佳实践指南或推荐作法,是否作为管理体系标准,是否会被技术法规使用或引用,是否可用于支持国际条约或协议相关的法律案件。

(8)简要说明对标准影响的跟踪和评价。

(9)对符合IEC或ISO全球相关性政策和ISO/TMB关于可持续发展建议的出版文件的前景进行评价。

(10)声明提案符合公共政策有关的标准制定原则,包括符合相关法律使其进入市场更加容易。

参考文献

ISO/IEC directives,part1:procedures for the technical work[EB/OL].9th ed.2012.

ISO/IEC 第7篇

中国现代化支付系统是全社会资金流动的 “大动脉”, 在经济领域中发挥着重要的作用。 城市处理中心(City Clearing Processing Center , 简称CCPC) 是该系统的桥梁, 上联国家处理中心, 下联各参与者。 做好各CCPC的运行维护工作, 对确保社会资金流动, 乃至维护区域金融稳定有着极其重要的作用。 随着支付系统的不断建设, 业务子系统不断增多, 业务系统运行时间持续增加, 业务连续性要求提高, 这些都给CCPC运行维护工作带来严峻的挑战。 以技术为中心的传统IT管理模式导致CCPC更多的关注于技术工作, 不能很好的适应社会大众对支付系统的需求。 而以服务为中心的IT服务管理(IT Service Management, 简称ITSM), 从客户的需求出发, 从业务的角度提升运行维护工作对业务的支撑和业务质量的提高。 重庆CCPC决定采用ISO/IEC 20000标准建立CCPC IT服务管理体系, 以提升重庆CCPC运行维护工作水平。

2 CCPC IT服务管理体系的建立过程

2.1成立组织机构

为确保IT服务管理体系的建设和实施, 重庆CCPC建立了相应的组织机构。 设立管理办公室, 由重庆CCPC的负责人担任领导, 各部门的负责人担任成员。 管理办公室下设规划组、 实施组和改进组, 各组由各岗位的骨干员工组成。 管理办公室负责各组之间工作的协调管理, 并负责IT服务管理体系的评审。 规划组负责体系的规划和设计, 实施组负责体系的具体实施和执行经过办公室审核的修改意见, 改进组负责根据办公室提出的评审结果制定修改意见, 并交办公室审核。

2.2流程确定

通过分析CCPC运行维护工作的现状和不足, 参照ITIL和ISO/IEC 20000的管理流程, 重庆CCPC首先确定建立问题管理、 变更管理、 发布和部署管理、 事件和服务请求管理这4个流程, 因为这是日常运行维护工作中最主要的、 必不可少的工作流程。 为了加强CCPC与客户的联系, 体现服务管理的理念, 需新建立的流程有两个: 业务关系管理、 服务级别管理。 在确定上述6个流程后, 重庆CCPC按照集成的过程方法对流程间的关系进行了初步设定, 发现在变更管理的过程中会出现配置的变更, 进而引发配置管理, 所以需要建立配置管理流程。 此外, 为了促使IT服务管理体系的不断更新, 还需要建立设计和转化新的或变更的服务流程。 综上所述, CCPC IT服务管理体系中需要建立的流程有8个: 问题管理、 变更管理、 发布和部署管理、 事件和服务请求管理、 业务关系管理、 服务级别管理、 配置管理、 设计和转化新的或变更的服务。

2.3框架选取

目前常用的IT服务管理体系框架有ITIL和ISO/IEC 20000。 重庆CCPC在确定IT服务管理体系框架时作了以下两个方面的考量:(1) 从复杂度考虑。 ITIL作为IT服务管理的 “最佳实践”, 其更关注过程, 但对于CCPC来说过于复杂, 许多方面CCPC都没有涉及到, 所以并不适合CCPC选用。 而ISO/IEC 20000作为国际标准, 其关注的是结果, 提供了非常清晰的目标导向的关注点。(2) 从体系实施的完整度来考虑, 不论选择ITIL或者是ISO/IEC20000的体系框架, 目的并不是为了通过认证, 而是提高CCPC的运行维护质量, 所以完整实施也不适合CCPC。

综合上述两个方面的考量, CCPC IT服务管理体系的框架确定为, 借鉴ISO/IEC 20000的体系框架, 结合确定的需要建立的流程, 选取局部实施的方法, 以ISO/IEC 20000体系框架中的部分要求和管理过程为主体, 引入ITIL的帮助台, 加入标准化作业程序, 设计CCPC IT服务管理框架, 如图1所示。

2.4内容确定

管理体系中的 “管理职责、 标准化作业程序、 对其他相关方所运营流程的管控、 建立和改进服务管理体系、 文档管理、 资源管理” 是对整个体系的要求, 要求的内容并未完全按照ISO/IEC 20000的标准制定, 而是根据CCPC的实际情况进行了增删。“建立和改进服务管理体系” 是按照PDCA的方法对服务体系进行全面质量管理, 对PDCA的每个步骤进行了要求, 这些要求均来自于其余的几个要求。 所有的这些要求在整个CCPC IT服务管理体系的各个阶段都适用。

管理体系中的 “设计和转化新的或变更的服务、 服务交付过程、 控制过程、 解决过程、 关系过程” 是由各自的流程组成, 流程是CCPC IT服务管理体系实施的执行部分, 在IT服务管理体系中起着重要的作用。 根据CCPC IT服务管理体系框架和要求, 采用集成的过程方法, 设计了总体流程图, 理清了管理过程之间的关系。 在此基础上, 明确了各过程中每项流程的职责, 设计了各过程的流程图。

帮助台是负责受理客户问题和需要的直接联系点。 其最主要工作就是使来自用户的请求得到有效的处理, CCPC需要反馈的有关信息可以迅速反馈给客户, 在双方之间搭建一座桥梁, 促进双方的协调和沟通。 服务台只是一项服务管理职能, 不需要建立相关流程, 只需要针对客户的请求, 依据服务级别协议进行一些日常的运作活动。

2.5建立步骤

CCPC IT服务管理体系的建立按照PDCA的模型来划分阶段, 具体分为 “计划、 实施、 检查、 改进”。 每个阶段具体步骤如下:

计划阶段:(1) ITSM的培训。 请相关专家对ITSM的理念和具体标准进行宣讲和认知培训, 以统一全体员工对ITSM的认识, 方便在体系建立和运行过程中能用同一术语沟通与交流。(2) 评估工作现状, 确定实施范围。 客观、 科学地分析CCPC支付系统运行维护现状, 梳理现有管理制度和流程, 确定合理的IT服务管理实施目标和范围, 制定符合现状的IT服务管理体系框架。(3) 流程设计与整合。 以IT服务管理为理念, 根据制定的体系框架, 进行运行维护流程设计和整合, 实现所有维护工作的流程化和标准化。(4) 建立运行维护工具。 建立符合IT服务管理理念, 满足自身IT服务体系设计的运行维护管理平台, 对流程进行固化, 提高工作效率。(5) 修订完善文档。 按照统一标准完善体系的各类文档, 建立文档管理制度, 坚持文档与实际工作相结合, 即文档是流程的固化, 是日常管理活动的规范和标准。

实施阶段:(6) IT服务管理体系的实施。 按照 “管理体系化、 工作流程化、 任务工具化、 人员专业化” 的目标, 采用分步实施的方法, 逐步运行符合CCPC实际情况的IT服务管理体系。

检查阶段:(7) 根据制定的审核方式, 有审核人员对实施情况进行审核, 并得出审核结果。

改进阶段:(8) 持续改进。 根据审核结果, 组织相关人员查找原因, 制定改进方案, 并重复执行除(1)、(2) 和(4) 的步骤。

3 CCPC IT服务管理体系的评审和改进

3.1评审机制

CCPC IT服务管理体系的评审机制以审核会议的方式进行, 评审的标准在体系建立时根据不同的内容一并制定。 审核会议由管理办公室组织召开, 审核会议分为定期审核会议和临时审核会议。 评审内容主要是服务、 流程、 资源、 上次审核结果的执行情况。 服务包括服务满意度和服务协议的达成情况, 流程包括所有流程的执行情况, 资源包括人力资源、 基础设备。

定期审核会议召开的时间根据审核的对象不同分为按季召开和按年召开。 按季召开的审核会议负责审核服务满意度。 按年召开的评审会负责审核流程的执行情况和资源是否满足服务目标的达成。

临时审核会议是当服务体系的规划、 要求、 范围、 策略、 流程、 资源等不能满足服务交付需求, 并造成服务中断时, 由管理办公室临时组织召开。

3.2改进机制

改进是体系能否保持持续更新的落脚点。 CCPC IT服务管理体系的改进由改进组承担。 改进过程主要分为两个步骤:

(1) 根据审核会议的评审意见, 查找问题的原因。 对于服务来说, 主要采取会议交流的形式获取问题原因。 每季召开的审核会议, 不仅要调查满意度, 还要通过座谈交流, 收集客户的意见和建议。 对于流程来说, 主要是根据审核会议得出的评审意见, 采用鱼骨图分析方法来查找造成流程问题的原因。

(2) 根据问题原因, 按照服务体系规划制定解决方案并实施。 在原因查找出来以后, 改进组按照服务体系规划的要求, 制定改进措施。 改进措施以表格的形式提交给管理层审批, 并通过设计或转化新的或变更的服务流程来实施。 改进措施表格包括: 原因、 对策、 责任部门和责任人、 最晚执行时间。 对于不能明确查找到原因的问题, 采用问题管理流程持续跟踪。

4结语

重庆CCPC以建立IT服务管理体系为契机, 全面梳理现有工作制度、 工作流程和风险点, 将ISO/IEC 20000标准与工作实际相结合, 建立起IT服务管理体系, 实现对运行维护工作的全面规范管理, 实现了服务标准化、 流程标准化、 操作标准化、 文档标准化。 通过实施IT服务管理, 运行维护过程中所有环节均有记录并能全文检索, 实现了运行维护知识的积累和共享, 降低了系统运行维护成本。 重庆CCPC运行维护理念、 方式发生了根本性的变化, 为支付系统运行维护工作注入了强大的管理推动力, 适应了支付系统不断发展对运行维护工作提出的要求。

摘要：城市处理中心作为中国现代化支付系统的桥梁,是支付系统的重要环节。现有的运行维护工作方式已经不能适应当前社会大众对支付系统的需求。以重庆城市处理中心实施ISO/IEC 20000为例,简要介绍了重庆城市处理中心IT服务管理体系的建立过程和评审、改进机制,总结了重庆城市处理中心实施IT服务管理后的成效。

关键词：城市处理中心,IT服务管理,ISO/IEC 20000标准

参考文献

[1]黄新峰.翰纬ISO20000白皮书[M].翰纬IT管理研究咨询中心,2008.

[2]赵玉来.ISO/IEC 20000标准体系建设之我见[J].华南金融电脑,2010,(5):33-34.

[3]李静.基于ISO20000的IT服务管理体系研究[J].网络财富,2010,(9):66-68.

ISO/IEC 第8篇

ISO/IEC27001信息安全管理标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系(InformationSecurity Management System，简称ISMS) 提供模型。ISO/IEC27001采用过程方法来建立、实施、运作、监视、评审、保持和改进组织的ISMS。过程方法是指一个组织必须识别和管理众多活动使之有效运作，利用资源并进行管理，以将输入转化为输出的一项活动，可以视为一个过程。通常，一个过程的输出可直接形成下一过程的输入。

ISO/IEC27001的过程方法体现在“策划-实施-检查-处置”(PDCA)模式，该模式可应用于所有的ISMS过程。图1说明了ISMS如何把相关方的信息安全要求和期望作为输入，并通过必要的行动措施和过程，产生满足这些要求和期望的信息安全结果。

ISO/IEC27001过程方法的主要内容包括：策划建立ISMS、实施运行ISMS、监视和评审ISMS、保持和改进ISMS。ISO/IEC27001以风险评估为基础，采用过程的方法，为企业的信息安全管理提供了完整、实用、可靠的保证体系。

按照ISO/IEC27001建立的文件化的信息安全管理体系可以系统、动态地识别信息安全资产面临的风险，并通过管理和技术的方法，包括：方针目标、组织结构、人员、职责、流程、程序、技术、软硬件设施等，将风险降低到可接收的水平，确保组织业务的持续运营，维护企业的竞争优势。

按照ISO/IEC27001标准建立ISMS，实际上必须同时使用2个标准;ISO/IEC 27001:2005信息技术安全技术信息安全管理体系要求、ISO/IEC 27002:2005信息技术安全技术信息安全管理实践规则。ISO/IEC27001包含总则过程方法与兼容性、术语和定义、建立信息安全管理体系、管理职责、体系内审、体系评审、体系持续改进8个部分，ISO/IEC 27002包含11个安全控制章节，39个控制目标和133个控制措施，其结构如表1所示。

2 ISO/IEC27001与国家电网公司安全管理体系的差异分析

2.1 要求差异

国家电网公司提出的信息安全要求:要完善信息系统应急机制, 落实安全应急预案, 开展安全演练;认真分析信息安全事故原因, 有效落实整改措施;按照等级保护策略要求, 在国家电网公司各单位稳步推进等级保护试点和推广工作;将信息安全风险评估工作常态化, 通过风险评估排除信息安全薄弱环节;统筹开展和规范信息运维管理系统建设, 强化运行管理手段;开展信息系统运行定期和不定期检查, 有效指导和督促运行管理工作;要逐步建立国家电网公司信息系统各级运行管理体系, 建立、健全岗位责任制度;大力完善制度建设, 强化制度执行。

ISO/IEC27001信息安全管理标准则提出了适合信息化企业特征的安全管理的一整套标准体系和具体的实践规则，它将风险管理与信息系统生命周期和信息安全目标结合起来，以业务为中心开展风险评估，重视建立信息安全策略体系、灾难恢复、业务持续性计划的实施。全面、完整、务实、有效是其最基本的要求。全面性就是要建立覆盖国家电网公司全部生产、经营、管理和服务活动的ISMS，全面识别和分析全部信息资产，系统考虑企业信息系统薄弱点、可能存在的威胁，采用ISO/IEC17799适用的控制措施，预防任何信息安全事件的发生。完整性就是要按ISO/IEC27001标准的要求、风险评估的结果、法律法规及其他要求、信息系统的安全要求和日常管理的需求，制定信息系统的安全管理策略，确定技术实现手段和控制措施，确保信息系统稳定、高效运行。务实性就是要根据国家电网公司战略目标、企业文化、管理体系和供电企业特点，统筹兼顾、系统策划，建立适用的ISMS，考虑成本、利益、风险的综合平衡，对资产进行分类保护，以适宜的成本达到系统保护的要求。有效性通过测量和监控，持续改进，保证ISMS的有效运行，最终保障电力生产、经营、管理和服务的持续和安全，实现国家电网公司发展目标。

2.2 内容差异

表2给出了ISO/IEC27001、ISO27002和国家电网公司安全管理体系之间的对应关系。从表2中可以看出，按照国际标准体系，现有公司的信息安全管理体系还需要作相应的规范和完善。

3 案例

湖州电力局是浙江省电力公司所属地市级电网企业，在全国地市级电网企业中率先建立了基于ISO/IEC27001标准的信息安全管理体系，并通过了外部机构的认证。但是在之前，对于信息安全管理无论在理念上，还是在具体的实际操作中，与国际标准比较还存在着不小的差距，主要表现在以下几个方面：

(1)管理理念存在差距。在信息系统建设过程中，虽然逐步采取了一些信息安全管理措施，但是其反映的是传统、过时的思想和方法，以经验管理为主，部分参照传统的电网安全管理，虽然发挥了一定的作用，但是有很大的局限性，越来越不适应信息系统的快速发展和变革。

(2)管理对象不全面。信息安全管理的对象只考虑硬件、软件，忽视了人、数据和文档、服务、无形资产等重要对象，缺乏全面性。对人、应用数据等方面缺乏有效的分析和管理，尤其对外来人员缺乏有效的管理，在信息系统的维护中，对开发商服务的管理往往忽视，带来巨大的安全隐患。

(3)管理制度不系统。随着信息化建设和发展，湖州电力局也制订了较多的信息安全管理制度和标准。当信息化发展到一定程度，这些制度就显示很单薄，就事论事的管理方式必然会产生管理的盲区。没有总体规划，不可避免地产生了制度内容的重复、交叉和不一致。有些制度不切合实际，往往束之高阁。

(4)风险评估不科学。以往的信息风险评估主观性过强，缺乏综合平衡，抓不住重点，易过度保护，又易产生管理死角。缺乏事前预控，缺乏闭环管理。对风险管理，往往只是临时性的、阶段性的控制，缺乏系统性和持续性，不能涵盖全生命周期管理，缺乏持续改进的机制。

随着SG186工程建设的推进，一体化平台和八大业务系统相继部署并深化应用，认识到信息安全管理体系的建立十分迫切。为此，上下齐心，整合资源，引进外部咨询机构，通过将近1年的努力，建立了基于ISO/IEC27001标准的信息安全管理体系并得到有效运作，湖州电力局的信息安全保持了平稳态势。实践告诉我们，通过体系的建立和认证，提高了信息资产的管理质量，增加了资产的使用效益，为开展企业资产全寿命周期管理完成了基础数据的积累。通过体系的建立和认证，利用其以业务为中心的风险评估方法，能够发现信息安全的管理风险和技术风险，降低系统风险，提高业务持续性。通过体系的建立和认证，建立了较为完整的信息安全管理制度体系，使得信息安全管理活动有章可依。通过体系的建立和认证，推动信息安全管理有效运作，使保证体系和责任体系的作用得到发挥。通过体系的建立和认证，提高了全员的信息安全意识，普及了信息安全基础知识，提供了信息安全同等重要的认识基础。通过体系的建立和认证，建立了企业内部信息安全管理人才队伍，为完善信息安全保证体系和监督体系提供了人才储备。

4 在国家电网公司系统建立信息安全管理体系的建议

今年国家电网公司将全面完成SG186工程建设，作为SG186工程六大保障体系建设的重要组成部分，建立基于ISO/IEC27001标准的信息安全体系十分迫切。根据在地市级电网企业建立信息安全管理体系的实际情况，特提出如下的建议供领导和专家决策参考。

(1)对国家电网公司而言，重要的是建立信息安全管理体系，不在于统一通过认证。基层单位具备条件的可以自行认证。

(2)比照ISO/IEC27001:2005标准体系，尽快建立符合电网企业信息化特征的国家电网公司信息安全管理企业标准体系。

(3)要在国家电网公司系统培养一支高素质的内部审核员队伍，统一考核、持证上岗。一定比例人员要具备国家认证认可委员会(CNCA)颁发的审核员资质。

(4)结合企业信息系统部署的实际情况和管理分工，合理界定体系覆盖的信息系统范围和管理的边界。

(5)风险评估是体系建立的核心环节，必须标准和实际经验的结合，抓住不可接受风险这一关键点。

(6) ISMS133项控制措施体现在体系文件或第三层次支撑性制度中必须具体、可操作、可测量，便于监督执行。

(7)体系文件要抓住重点，不宜过细，只要规定“做什么”，“怎么做”由第三层次的支撑性制度办法来完成。