ISO27001认证体系建设分为四个阶段：实施风险评估、规划体系建设方案、建立信息管理 体系、体系运行及改进。也符合信息管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保护企业信息系统的，确保信息的持续发展。 　　1、确立范围 　　首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑 内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等;外部机构：则包括 公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。 　　从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机 系统正常运行的设施。包括机房环境、门禁、监控等;网络系统：构成信息系统网络传输环境的线路介质 ，设备和软件;服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库 、中间件和Web系统等软件平台系统;应用系统：支撑业务、办公和管理应用的应用系统;数据：整个信息 系统中传输以及存储的数据;管理：包括策略、规章制度、人员组织、开发、项目管理 和系统管理人员在日常运维过程中的合规、审计等。 　　2、风险评估 　　企业信息是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供、可信的服 务，保证信息系统的可用性、完整性和保密性。 　　本次进行的评估，主要包括两方面的内容： 　　2.1、企业管理类的评估 　　通过企业的控制现状调查、访谈、文档研读和ISO27001的 实践比对，以及在行业的经验上 进行“差距分析”，检查企业在控制层面上存在的弱点，从而为措施的选择提供依据。 　　评估内容包括ISO27001所涵盖的与信息管理体系相关的11个方面，包括信息策略、组 织、资产分类与控制、人员、物理和环境、通信和操作管理、访问控制、系统开发与维护、安 全事件管理、业务连续性管理、符合性。 　　2.2、企业技术类评估 　　基于资产等级的分类，通过对信息设备进行的扫描、设备的配置，检查分析现有网络 设备、服务器系统、终端、网络架构的现状和存在的弱点，为加固提供依据。 　　针对企业具有代表性的关键应用进行评估。关键应用的评估方式采用渗透测试的方法，在应用 评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的目标之间的差距，为后期改造提 供依据。 　　提到评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点 ，同时结合企业自身的特点，建立风险评估模型： 　　在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信 息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威 胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属 性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。 　　3、规划体系建设方案 　　企业信息问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息体系 ，并终落实到管理措施和技术措施，才能确保信息。 　　规划体系建设方案是在风险评估的基础上，对企业中存在的风险提出建议，增强系统的安 全性和抗攻击性。 　　在未来1-2年内通过信息体系制的建立与实施，建立组织，技术上进行审计、内外网隔 离的改造、产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息体系 和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，为主，防治结合 的先进型企业。 　　4、企业信息体系建设 　　企业信息体系建立在信息模型与企业信息化的基础上，建立信息管理体系核心可以更 好的发挥六方面的能力：即预警(Warn)、保护(Protect)、检测(Detect)、反应(Response)、恢复 (Recover)和反击(Counter-attack)，体系应该兼顾攘外和安内的功能。 　　体系的建设一是涉及管理制度建设完善;二是涉及到信息技术。首先，针对管理制 度涉及的主要内容包括企业信息系统的总体方针、技术策略和管理策略等。总体方针 涉及组织机构、管理制度、人员管理、运行维护等方面的制度。技术策略涉 及信息域的划分、业务应用的等级、保护思路、说以及进一步的统一管理、系统分级、网络互 联、容灾备份、集中监控等方面的要求。 　　其次，信息技术按其所在的信息系统层次可划分为物理技术、网络技术、系统技 术、应用技术，以及基础设施平台;同时按照技术所提供的功能又可划分为保护类、检 测跟踪类和响应恢复类三大类技术。结合主流的技术以及未来信息系统发展的要求，规划信息 技术包括：

房地产ISO9001：2008认证已成为房地产业的新潮流。房地产业企业明显的体现在认证通过以前质量管理体系的运行情况，相对说比较正常和良好（否则也难以通过审核），在质量管理体系认证通过以后，一些企业便产生了松懈思想，从而放宽了对质量管理体系运行的维持和监督力度，呈现出种种滑坡现象。有的通过了 ISO9000 质量管理体系认证的房地产企业在竣工工程验收时，反而有合格率下降的现象，这显然是不正常的。由此，有足够理由怀疑这些房地产企业质量管理体系运行的符合性和持续的有效性。显然，这种情况对那些房地产企业自身存在和发展的影响也是颇具危害性的。 对于房地产企业而言，施工场所分散并且流动性较大，人员波动也比较大，因此，实施 ISO9000 质量管理体系相对说难度也比较大一些，从而致使少数房地产企业在运行 ISO9000 质量管理体系上存有较多纰漏。然而，诚如 ISO9000：2008 标准所指出的：“质量管理体系要求是通用的，适用于所有行业或经济领城，不论其提供何种类别的产品。 1 管理者重视，质量目标应是“可测量的” 　　房地产企业在获得认证后质量管理体系持续正常运行的前提，是得到 管理者或管理者代表的重视和支持。譬如，有的房地产企业在认证后，组织机构就由于各种原因“散架”了，质量员（或质检员）也进行调动，换上了不甚熟悉质量管理或检验业务的人员（按要求应经培训和考核合格）。众所周知，组织机构是质量管理体系运行的基本保证，失去了合适组织机构的支撑，质量管理体系的正常运行势必成为一句空话。有了 管理者或管理者代表的重视和支持，类似这种组织机构随意“散架”的事情就不会发生，人力、物力、财力等各种资源也就能得到一定保证。实际上，质量管理体系在运行过程中还会产生各种各样问题或情况，因此，需要一个发现问题、解决问题并不断完善和改进的机制，客观地说，这种机制的权威协调者非 管理者或管理者代表莫属。 　　ISO9001：2008 标准对质量目标的要求之一是“可测量的”。某公司的质量目标为：“工程竣工验收合格率 ，创文明标化工地 3 项，合同履约率 ，交付后满意率 ”。这个质量目标当然也有缺陷：一是缺少管理性过程的质量目标。二是先进性方面尚有不足。但是，它有一个 的优点就是“可测量的”。有的房地产企业的质量目标中有这么一条“创建 （或精品）工程”，但 （或精品）工程的标准或条件是什么？数量又是多少？比较笼统无法衡量。也有的房地产企业其质量目标为“争达行业先进水平”，同样衡量不了，企业的质量目标应是经过努力可以达到的具体目标。同时，浙江景华公司的质量目标层层分解到各个部门和科室，这样才能保证其实现。实际上一个企业质量目标实现得如何，反过来也显示出该企业质量管理体系的运行状态是否正常和有效。因为，“实践是检验真理的 标准”。 2 不断提高全员对 ISO9000 标准的理解能力和实践水平 　　众所周知，技术资料、人员因素、机械设备、环境条件、规章制度等各项影响质量管理体系运行的要素之中，人员因素是重要的，因为任何事情总要依靠人员来操作和执行。对房地产企业内各类人员进行培训和学习，是提高人员素质的有效途径。中层以上管理人员及顶目经理在认证后应再培训，再培训的主要内容为 ISO9000：2008 族标准，房地产业方面的法律和法规等，由上级建设部门的领导和专家授课。 　　房地产企业的管理人员应加强对他们的再培训工作。主要培训和学习本公司的质量管理体系文件以及房地产业法律法规等，在可能条件下还可组织专业人员对相关技术标准或技术规范进行学习和交流，以提高管理意识和技术水平，可由获得内审员资格的中层领导和相关技术人员授课，也可以请相关专业的专家指导。由于行业关系，房地产企业的特殊工种（有的还有一定危险性）比较多，所以，这些工种的人员必须经培训持证上岗。 　　关于内审员的再学习，应组织内审员进一步学习和理解内审员的培训教程，相互交流内审中的经验和体会。内审员的数量要和本公司的规模相适应，否则应增加内审员的人数（需经质量管理体系认可机构培训考核合格并获证）。请质量管理专家进行 ISO9000 族标准的培训和学习，强化全员的质量意识，以促进本公司管理水平和质量保证能力的提高。 3 强化内审，不断完善和改进质量管理体系的运行 　　事实上，ISO9000 认证之后的质量管理体系也不可能是完善的，它还需要在运行和实施过程中不断加以改进和充实。如在质量管理体系的持续运行中，发现质量手册中的一些条款与实际情况不相适应；一些程序文件的条款在执行和操作时也会发生许多不符合客观实际的现象。因此，质量手册和程序文件在实施若干时间后要进行修订和换版是很正常的事（即使短期内不改版，但在质量管理体系文件的增删页中适时填写更新情况也属必要）。至于因为技术标准或技术规范的修订，势必导致相关原始记录表式的一定更改。其次，由于顾客申诉或意见反馈，房地产业市场新的信息，内部、外部质量审核发现的问题及相应纠正和措施等，均可导致质量管理体系文件需要完善和改进。从某种意义上说，质量管理体系文件的适时充实、改进和更新正是质量管理体系运行、维持和完善中的“寒暑表”。 　　强化内审是促进房地产企业质量管理体系持续运行的不竭的动力，在可能的条件下内审结果也可作为企业内部职能和责任考核的奖惩依据。一般地说，每年至少进行一次内审，但为了促使质量管理体系更好运行（或某些企业因于行业的特殊性），也可每年进行二次或两年进行三次内审。如果每年只进行一次内审，那么这次内审必须包括 ISO9000 标准全部要素和所有部门；如果每年两次内审，那么有一次内审可以是 ISO9000 标准部分要素和若干部门。对于内审中的不合格项的纠正或措施，必须进行有效跟踪和记录。实践表明，强化内审，严于督查，可以有效克服和机构内部的惰性，增强全体员工的质量意识和执行质量管理体系文件的自觉性，提高企业的综合管理水平，有利于形成自我约束、自我改进、自我完善的良性循环机制。 4 加强管理评审，重视测量仪器设备的检定工作 　　管理评审是由 管理者或管理者代表主持的对房地产企业质量管理体系运行状态（其适宜性、充分性和持续有效性如何）的审核。管理评审可以是例行性的，如和内审一样，每年至少进行一次；也可以是有针对性的，在发现问题（如外审或内审中发现不符合项、客户的投诉、竣工工程质量验收中发生较大不合格、施工生产中发生较大质量事故等）之后即时进行。对于例行性的管理评审，如果内审已包括 ISO9000 标准全部要素和所有部门，那么管理评审时限于时间和精力，也可选择 ISO9000 标准部分要素和部门进行；否则必须按 ISO9000 标准全部要素和部门进行（亦算是对内审的一种补偿）。对于有针对性的管理评审，则其审核计划应围绕问题所涉及的要素和部门进行制订，以便做到“对症下药、辨证施治”，从而收到事半功倍的效果。通过管理评审， 管理者或管理者代表可以加深对本公司质量管理体系运行状态的了解，这对于解决各部门协调等问题颇有益处，也可以促进质量管理体系更加有效地运行。 　　就房地产企业的实际状况而言，测量仪器设备的数量相对企业规模来说比较少，所以，往往被置于无足轻重的地位。在 ISO9000 认证之前由于标准有要求，因此，房地产企业都能将测量仪器送法定计量机构进行检定，但认证之后不少房地产企业一怕麻烦二图省钱，常常不再严格执行测量仪器的周期检定工作。数年前本地一家市政工程公司在道路施工中，由于一台水准仪多年未检引起失准，因此，导致施工路面纵向坡度超标而返工，既贻误了工期也造成了经济损失。浙江景华公司则一贯重视测量仪器的年检和设备完好率工作，从而使施工生产过程得到有效的控制。ISO9001：2008 标准对监视和测量装置的控制含有 2 方面的要求：一是确定需实施的监视和测量。二是确定所需的监视和测量装置。同时，对测量设备提出了与监视和测量的要求相一致的规定。浙江景华公司对 ISO9001：2008 标准关于监视和测量仪器设备的要求有比较深刻的理解，并在企业的质量活动中很好地贯彻实施。这是因为认识到量值的溯源性，是 ISO9000 认证之后质量管理体系持续正常运行的一个重要标志。