ISO认证企业信用评价高品质

ISO27001标准简介 世界广泛采用的关于信息管理体系的英国标准——BS7799-2:2002，经修订后，于2005年10月15日作为国际标准ISO/IEC27001:2005发布。本文旨在向组织指出标准的变化及在实际应用中的意义，协助组织做好向新标准过渡的准备。新标准的正式标题是:《BS7799-2:2005(ISO/IEC27001:2005)信息技术-技术-信息管理体系-要求》这意味着它不仅仅是IT标准，标题中的“信息技术-技术”表明它还是以ISO委员会(JTC1/SC27)的名义发表的。该标准的焦点还是放在贯穿组织的信息管理上。尽管大部分控制在实际中会在IT部门或IT组织内部实现，但总体上标准执行的重点仍应放在业务信息的风险上。标准的主要改变在于它现在是国际公认的，这意味着除了英国标准的国际认可，组织可以构建一个全球性的框架来管理他们的信息。不管是为了组织自身的商业信息，如财政信息，知识产权，职员资料等等，或者是客户或第三方与组织间沟通的信息，标准都是适用的。实际上，它是组织能够对他们的信息管理系统进行客观独立评估的国际标准。新版的国际标准已经有一系列更新来阐明巩固原始英国标准——BS7799-2:2002的要求。这些更新主要集中在以下范围：风险评估、合同责任、范围、管理决策以及所选控制措施有效性的测量等。对于采用BS7799-2:2002的组织来说，新版的国际标准并没有太大的影响。的影响就是要求对所选的控制措施或控制措施组合的有效性进行测量。（详见ISO/IEC27001:2005的4.2.2d）下面是该标准重大改变的解释概要。附录A是一个显示BS7799-2:2002和ISO/IEC27001:2005之间的变化的表格。《ISO/IEC27001:2005》。范围和界线在执行信息管理体系的时候，组织所要做的件事就是定义ISMS的范围。现在国际标准要求组织定义ISMS的范围和界线[4.2.1a]，包括被排除在范围外的详细说明及理由。尽管富有经验的BSI审核员在评估过程中也会寻找这些东西，但是现在把这个要求加到标准中了，如果组织打算超越根据2002版标准取得的认证而达到新标准的要求，就必须把这个要求考虑在内。评估风险该国际标准的基础是：信息的保护是基于业务信息的风险，该风险能促使组织运用合适的措施来保护业务的。很少有业务信息会暴露在多种风险之下，因此太多的措施可能使公司花费过多的成本。标准的一个重大改变是组织现在需要详细说明（并文件化）风险评估的步骤[4.2.1c]，这也意味着挑选并文件化风险评估方法将会使风险评估“产生可比较、可重复的结果”[4.2.1c和4.3.1d]。目前已通过BS7799-2:2002认证的组织不会把这点看成一个比较大的变化，因为在评估过程中已经考虑过它了。打算通过BS7799-2:2002认证的组织可能会把它看成该国际标准的新要求。风险评估按照计划的时间间隔[4.2.3d]进行复查，对风险评估和风险处理计划[7.3b]的更新进行复查管理已经是标准的要求。这个要求必须作为组织信息管理体系的管理复查的一部分[7.1]，至少一年完成一次。在对BS7799-2:2002版标准进行审核的过程中，审核员应该根据ISMS的方针和目标[4.3.1]，寻找所选择的控制措施与风险评估结果和风险处理程序之间的关系。尽管BS7799-2:2002标准提到过这点，但现在已经在国际标准中阐明了。想获得BS7799-2:2002认证的组织可以把它看作国际标准的新要求。合同责任除了法律法规的要求，该国际标准还特别强调在所有ISMS所有过程中的合同责任，包括风险评估、风险处理、控制选择、记录控制、资源、ISMS的监视和复查、以及文件要求。通过BS7799-2认证的组织现在需要做什么？需要特别注意的是：新的国际标准是双重的，既可以是ISO/IEC27001:2005，又可以是BS7799-2:2005。这种情况会持续一段时间（预期2年左右），这就意味着BS7799-2:2005认证和ISO/IEC27001:2005认证没有什么不同。然而，目前所有通过现行的BS7799-2:2002认证的组织必须考虑2005版本的变化，及时更新他们信息管理体系。通过BS7799-2:2002认证的组织会逐步转换到ISO/IEC27001认证。转换期限多久现在还不得而知，要等待国际认可论坛(IAF)，或认可机构（如UKAS）发表正式声明来公布。实际上，在以后的监督审核中，会把这些不同点考虑在内；如果合适的话，建议客户取得ISO/IEC27001:2005标准的认证。如果在转换期内客户不及时转换到新标准，一直停留在旧标准，审核员可以把与ISO的不一致作为“注释/观察项”记录在案。一旦转换期结束，观察项就上升为不符合项，的注册就存在了风险。新标准发布后，就可以依据ISO/IEC27001:2005进行认证了。附录A变化摘要 BS7799部分2：2002（条款号）ISO/IEC27001:2005（条款号）变化和差异的注解1.2应用1.2应用确定对ISO/IEC27001条款4-8的删减都是不可接受的，解释在何种情况下对控制进行了删减是可能的。3术语和定义3术语和定义从ISO/IEC13335-1：2004，ISO/IECTR18044：2004和ISO/IEC指南73:2002中添加定义。改变部分现有定义以配合ISO/IEC13335-1：2004标准。重新明确定义了“风险处理”和“适用性声明”。4.2.1建立ISMS项目a)定义ISMS的范围4.2.1建立ISMS项目a)定义ISMS的范围和界线现在,定义了ISMS的“范围和界线”的要求。要求包括：1、说明在范围内的部分2、解释被排除在范围外的理由。项目c)定义风险评估的系统方法在项目c)中的第二句“定义组织的风险评估方法”被删除后新增了一条。新增一条对现有的要求进行阐明和补充。同时声明风险评估方法应产生可比较、可重复的结果。项目g)为风险处理选择控制目标及控制。项目g)“为风险处理选择控制目标及控制”已经被延伸了。现有的要求加上了这样的阐释：选择应该考虑到在法律、法规及合同的要求范围内接受风险的标准。项目h)准备适用性声明。项目j)添加了新项目j)2)“准备适用性声明”。阐明了现有关于适用性声明的要求。现在强调它要包括当前实施的控制目标及控制。4.22实施和运作ISMS4.22实施和运作ISMS新增项目d)定义如何测量有效性。这可能是实施和运作ISMS过程中的改变，要求定义如何测量控制及控制组合的有效性，要求详细列出测量方法使控制效果评估产生可比较、可重复的结果。4.2.3监控和评审ISMS项目a)执行监控程序及其它的控制。4.2.3监控和评审ISMS项目a)4)添加了“执行监控程序及其它的控制以探测事件”。项目c)添加了“测量控制的效力”。阐明了有助于事故的事件探测。包括使用指标。项目c)评审剩余风险和可接受风险。新增项目d)5)按计划的时间间隔评审风险评估，评审剩余风险和可接受风险，评审时要考虑现行控制的有效性的变化。新增项目g)更新计划与4.2.2.d结合以监控ISMS的效力。现有要求的阐述，帮助监测现行控制的效果。阐述和补充了以下要求:根据监控评审活动的发现来监控评审ISMS以更新计划的要求。4.31概要4.31概要段阐明：文件要包括管理决策的记录，活动要根据管理决策和方针进行，记录/结果是可重复的。 第二段新增一句说明所选择的控制与风险评估和风险处理过程的关系，以及与ISMS方针和目标的关系。 新增项目d)风险评估方法的描述风险评估方法的描述要包含在文件中。项目e)文件化的程序项目g)“文件化的程序”已经被更新了阐明并补充了描述如何测量控制的有效性的要求。4.3.2文件控制4.3.2文件控制新增项目f)确保文件是可用的阐述了确保使用者可以获得所需文件的要求，及文件的转移存储和终处置要按照合适的等级来处理。5.1管理承诺5.1管理承诺新增项目g）保证ISMS内部审核得到管理。在管理承诺中声明确保ISMS内部审核得到管理。条款6.1到6.3条款7.1到7.3移动的章节条款7.1到7.3条款8.1到8.3移动的章节6.2评审输入7.2评审输入新增项目f)有效性测量的结果移动的章节新增了有效性测量的结果。6.3评审输出7.3评审输出新增项目b）更新风险评估和风险处理计划。移动的章节阐明确保更新风险评估和风险处理计划。项目c)必要时，修改影响信息的程序，以响应对ISMS造成影响的内外事件。项目c)必要时，修改影响信息的程序和控制，以响应对ISMS造成影响的内外事件。包括合同责任的改变。阐明包括合同责任的改变。 新增项目e)改进控制有效性的测量方法。加进了“改进控制效力的测量方法。”的声明。6.4ISMS内部审核6.4ISMS内部审核现在是第六章的要求。7.3措施8.3措施项目8.3b)“评估采取措施不符合发生的必要性”移动的章节阐明措施。评估采取措施不符合发生的必要性附录A附录A根据ISO/IEC17799:2005的修订版本更新附录A附录B和表B1附录B除了说明OECD原则和本国际标准之间的关系的表格外，其他被删除。删除的部分可能被ISO/IEC作为发展成新指南的基础。附录C附录C更新后的版本附录D 从ISO/IEC27001:2005版本中删除。

五星售后服务认证，从一点一滴做起，用心为您提供IT服务体系管理、咨询、培训服务。 五星售后服务认证，《商品售后服务评价体系》标准是一个评价性质的标准，认证的结果是证明企业按照标准实施了售后服务，并达到了某一个高度（星级）。它是评分制的认证，是按评价的分值来衡量服务能力的高低，达到70分（含70分）以上，达标级售后服务；达到80分（含80分）以上，星级售后服务；达到90分（含90分）以上，星级售后服务； 3）认证试点工作结束， 将大力推广。在 商务部、认监委的指导下，北京洲天宇认证中心已完成了汽车、家电、工程机械、服装、家具、家装、工厂、商场、珠宝、电气、航天、航空等十多个行业的试点工作。 有关部门正在制定相关政策，大力推广商品售后服务认证。4）招投标采信行业越来越多。到目前为止，已有工程机械，环卫机械，团购服装，家装，教学仪器等十多个行业在招投标中将是否有通过售后服务认证作为必要条件。5）企业越来越重视售后服务。越来越多的企业认识到，售后服务是企业市场竞争的后一张。 五星售后服务认证，达到80分（含80分）以上，星级售后服务；达到90分（含90分）以上，星级售后服务；达到95分（含95分）以上，星级售后服务。企业向我司进行咨询，我司将有专门咨询老师指导客户进行认证。 类认证是并列的、平行的、其性质不同，认证结果也不同，不能混淆。评价级别要求《商品售后服务评价体系》（GB/T27922-2011）标准是一个评价性质的标准，认证目的是评出。认证的结果是证明企业按照标准实施了售后服务，并达到了某一个高度（星级）。它是评分制的认证，是按评价的分值来衡量服务能力的高低，达到70分（含70分）以上，达标级售后服务；达到80分（含80分）以上，星级售后服务； 五星售后服务认证，达到95分（含95分）以上，星级售后服务。企业向我司进行咨询，我司将有专门咨询老师指导客户进行认证。签订认证合同，准备相关资料。派遣审核员到企业现场评审和评分。审查通过，颁发相应星级的服务认证。 此页面上的内容需要较新版本的AdobeFlashPlayer。可以通过商品售后认证来提高企业人员的服务意识，提高人员的服务能力，进而提高服务水平，通过增强顾客满意度，终提高企业效益；认证是由 认监委批准的第方认证机构颁发，的公信力更容易得到顾客认可，达到企业宣传的目的；普通的竞争对手一般只有ISO9001，只能说明自己的产品质量好，却很难证明自己的售后服务也好，拿到商品售后服务可以在竞争中更好的展示企业的能力。商品售后服务认证与其他体系的不同我国目前共有上述类认证。商品售后服务认证是服务认证类别，颁发“服务认证”。而管理体系认证是管理体系认证类别，颁发“管理体系认证”。还有一类认证是产品认证，是对产品的理化特性等进行认证（是否达到了某项技术指标，如电气特性、农药残留量等），如3C认证、有机认证等，颁发“产品认证”。