9績效評價9.1監(jiān)視、測量、分析和評價9.1.1總則9.1.1.1制造過程的監(jiān)視和測量9.1.1.2統(tǒng)計工具的確定9.1.1.3統(tǒng)計概念的應用9.1.2顧客滿意9.1.2.1顧客滿意-補充9.1.3分析與評價9.1.3.1優(yōu)先級9.2內(nèi)部審核9.2.1和9.2.29.2.2.1內(nèi)部審核方案9.2.2.2質(zhì)量管理體系審核9.2.2.3制造過程審核9.2.2.4產(chǎn)品審核9.3管理評審9.3.1總則9.3.1.1管理評審-補充9.3.2管理評審輸入9.3.2.1管理評審輸入-補充9.3.3管理評審輸出9.3.3.1管理評審輸出-補充10改進10.1總則10.2不合格和糾正措施（不符合和糾正措施）10.2.1和10.2.210.2.3問題解決10.2.4防錯10.2.5保修管理體系10.2.6顧客投訴和使用現(xiàn)場失效試驗分析10.3持續(xù)改進10.3.1持續(xù)改進-補充附錄A（資料性附錄）新結(jié)構(gòu)、術(shù)語和概念說明A.1結(jié)構(gòu)和術(shù)語A.2產(chǎn)品和服務A.3理解相關(guān)方的需求和期望A.4基于風險的思維A.5適用性A.6成文信息A.7組織的知識A.8外部提供過程、產(chǎn)品和服務的控制附錄B（資料性附錄）SAC/TC151制定的其他質(zhì)量管理和質(zhì)量管理體系標準6參考文獻附錄A控制計劃A.1控制計劃的階段A.2控制計劃的要素附錄B參考書目-汽車行業(yè)補充7前言——汽車質(zhì)量管理體系標準本汽車質(zhì)量管理體系標準（本文中簡稱為“汽車QMS標準”或“IATF16949”），連同適用的汽車顧客特定要求，ISO9001:2015要求以及ISO9000:2015一起定義了對汽車生產(chǎn)件及相關(guān)服務件組織的基本質(zhì)量管理體系要求。正因為如此，汽車QMS標推不能被視為—部獨立的質(zhì)量管理體系標準，而是必須當作ISO9001：2015的補充進行理解，并與ISO9001：2015結(jié)合使用。ISO9001:2015是—部單獨出版的ISO標準。IATF16949:2016(版）是一份創(chuàng)新文件，著重考慮了顧客導向性，綜合了許多以前的顧客特定要求。附錄B供實施IATF16949要求時參考使用，除非顧客特定要求另有規(guī)定。歷史IS0/TS16949(版）初由國際汽車推動小組（InternationalAutomotiveTaskForce，IATF)創(chuàng)建于1999年，旨在協(xié)調(diào)全球汽車行業(yè)供應鏈中的不同評估與認證體系。其后，因汽車行業(yè)增強或ISO9001修訂的需要，創(chuàng)建了其它版本（2002年的第二版和2009年的第三版）。ISO/TS16949(連同原始設(shè)備制造商【本文中簡稱為OEM】和各汽車行業(yè)協(xié)會開發(fā)的支持性技術(shù)出版物）引入了一套適用于全球汽車制造業(yè)的共同產(chǎn)品和過程開發(fā)的常見技術(shù)和方法。在準備從ISO/TS16949:2009（第三版）遷移至本汽車QMS標準——IATF16949過程中，征求了認證機構(gòu)、審核員、供應商和OEM的反饋意見：IATF16949：2016（版）的創(chuàng)建注銷并取代ISO/TS16949：2009（第三版）。IATF通過延續(xù)聯(lián)絡(luò)委員會的身份，與國際標準化組織（InternationalStandardizationOrganization，ISO)保持著強有力的合作，確保持續(xù)與ISO9001保持一致。目標本汽車QMS標準的目標是在供應鏈中開發(fā)提供持續(xù)改進、強調(diào)缺陷，以及減少變差和浪費的質(zhì)量管理體系。有關(guān)認證的說明獲得并保持IATF認可的規(guī)則中規(guī)定了根據(jù)本汽車QMS標準進行認證的要求，詳細情況可從國際汽車推動小組的當?shù)乇O(jiān)督辦公室處獲得。前言本標準按照GB/T1.1—2009給出的規(guī)則起草。本標準是GB/T19000族的核心標準之一。本標準代替GB/T19001—2008《質(zhì)量管理體系要求》。本標準與GB/T19001—2008相比，除編輯性修改外,主要技術(shù)變化如下：——采用ISO/IEC導則第1部分ISO補充規(guī)定的附件SL中給出的高層結(jié)構(gòu)；——采用基于風險的思維；——更少的規(guī)定性要求；——對成文信息的要求更加靈活；——提高了服務行業(yè)的適用性；——更加強調(diào)組織環(huán)境；——增強對領(lǐng)導作用的要求；——更加注重實現(xiàn)預期的過程結(jié)果以增強顧客滿意。附錄A給出了相對于GB/T19001—2008的更加詳細的變化說明。本標準使用翻譯法等同采用ISO9001:2015《質(zhì)量管理體系要求》（英文版）本標準由全國質(zhì)量管理和質(zhì)量保證標準化技術(shù)委員會（SAC/TC151）提出并歸口。本標準起草單位：中國標準化研究院、認證認可監(jiān)督管理委員會、中國認證認可協(xié)會、中國合格評定認可中心、中國質(zhì)量認證中心、天津華誠認證中心、中國船級社質(zhì)量認證公司、深圳市環(huán)通認證中心有限公司、中國新時代認證中心、方圓標志認證集團有限公司、北京新世紀檢驗認證有限公司、國培認證培訓（北京）中心、華夏認證中心有限公司、上海質(zhì)量體系審核中心、中質(zhì)協(xié)質(zhì)量保證中心、上汽通用五菱汽車股份有限公司、內(nèi)蒙古北方重型汽車股份有限公司、泰興龍溢端子有限公司、上海建科工程咨詢公司、內(nèi)蒙古伊利實業(yè)集團股份有限8公司、天津天地偉業(yè)科技有限公司、重慶長安汽車股份有限公司、內(nèi)蒙古和信園蒙草抗旱綠化股份有限公司、南京造幣有限公司、中國鐵建股份有限公司、中國建材檢驗認證集團股份有限公司、北京東方易初標準技術(shù)有限公司。本標準主要起草人：田武、康鍵、張惠才、李強、任青鉞、李明、鄭元輝、黃學良、曲辛田、鄭燕、梁平、王梅、李平、夏芳、王金德、曹華、鄧湘寧、裴潔、林創(chuàng)、周紅波、李曄秋、李辰暄、范葉娟、解輝、朱江濤、魏向陽、柳葉、董曉紅。本標準所代替標準的歷次版本發(fā)布情況為：——GB/T10300.2—1988——GB/T19001—1992——GB/T19001—1994——GB/T19001—2000——GB/T19001—2008。引言0.1總則見ISO9001:2015的要求。0.1總則采用質(zhì)量管理體系是組織的一項戰(zhàn)略決策，能夠幫助其提高整體績效，為推動可持續(xù)發(fā)展奠定良好基礎(chǔ)。組織根據(jù)本標準實施質(zhì)量管理體系的潛在益處是：a）穩(wěn)定提供滿足顧客要求以及適用的法律法規(guī)要求的產(chǎn)品和服務的能力；b）促成增強顧客滿意的機會；c）應對與組織環(huán)境和目標相關(guān)的風險和機遇；d）證實符合規(guī)定的質(zhì)量管理體系要求的能力。本標準可用于內(nèi)部和外部各方。實施本標準并非需要：——統(tǒng)一不同質(zhì)量管理體系的架構(gòu)；——形成與本標準條款結(jié)構(gòu)相一致的文件；——在組織內(nèi)使用本標準的特定術(shù)語。本標準規(guī)定的質(zhì)量管理體系要求是對產(chǎn)品和服務要求的補充。本標準采用過程方法，該方法結(jié)合了“策劃—實施—檢查—處置”（PDCA）循環(huán)和基于風險的思維。過程方法使組織能夠策劃過程及其相互作用。PDCA循環(huán)使組織能夠確保其過程得到充分的資源和管理，確定改進機會并采取行動。基于風險的思維使組織能夠確定可能導致其過程和質(zhì)量管理體系偏離策劃結(jié)果的各種因素，采取控制，限度地降低不利影響，并限度地利用出現(xiàn)的機遇（見A.4）。在日益復雜的動態(tài)環(huán)境中持續(xù)滿足要求，并針對未來需求和期望采取適當行動，這無疑是組織面臨的一項挑戰(zhàn)。為了實現(xiàn)這一目標，組織可能會發(fā)現(xiàn)，除了糾正和持續(xù)改進，還有必要采取各種形式的改進，如突破性變革、創(chuàng)新和重組。在本標準中使用如下助動詞：“應”表示要求；“宜”表示建議；“可”表示允許；“能”表示可能或能夠?！白ⅰ钡膬?nèi)容是理解和說明有關(guān)要求的指南。0.2質(zhì)量管理原則9見ISO9001:2015的要求。0.2質(zhì)量管理原則本標準是在GB/T19000所闡述的質(zhì)量管理原則基礎(chǔ)上制定的。每項原則的介紹均包含概述、該原則對組織的重要性的依據(jù)，應用該原則的主要益處示例以及應用該原則提高組織績效的典型措施示例。質(zhì)量管理原則是：——以顧客為關(guān)注焦點；——領(lǐng)導作用；——全員積極參與；——過程方法；——改進；——循證決策；——關(guān)系管理。0.3過程方法0.3.1總則見ISO9001:2015的要求。0.3過程方法0.3.1總則本標準倡導在建立、實施質(zhì)量管理體系以及提高其有效性時采用過程方法，通過滿足顧客要求增強顧客滿意。采用過程方法所需考慮的具體要求見4.4。將相互關(guān)聯(lián)的過程作為一個體系加以理解和管理，有助于組織有效和地實現(xiàn)其預期結(jié)果。這種方法使組織能夠?qū)ζ潴w系的過程之間相互關(guān)聯(lián)和相互依賴的關(guān)系進行有效控制，以提高組織整體績效。過程方法包括按照組織的質(zhì)量方針和戰(zhàn)略方向，對各過程及其相互作用進行系統(tǒng)的規(guī)定和管理，從而實現(xiàn)預期結(jié)果。可通過采用PDCA循環(huán)（見0.3.2）以及始終基于風險的思維（見0.3.3）對過程和整個體系進行管理，旨在有效利用機遇并防止發(fā)生不良結(jié)果。在質(zhì)量管理體系中應用過程方法能夠：a）理解并持續(xù)滿足要求；b）從增值的角度考慮過程；c）獲得有效的過程績效；d）在評價數(shù)據(jù)和信息的基礎(chǔ)上改進過程。單一過程的各要素及其相互作用如圖1所示。每一過程均有特定的監(jiān)視和和測量檢查點，以用于控制，這些檢查點根據(jù)相關(guān)的風險有所不同。圖1：單一過程要素示意圖

ISO14001是深圳市博慧達企業(yè)管理咨詢有限公司的主營業(yè)務中，同行業(yè)早開展ISO14001體系認證的咨詢機構(gòu)之一，經(jīng)過十多年的咨詢服務積累了一整套符合各種不同類型企業(yè)需要的ISO14001特色認證服務，累計服務超過2000家企業(yè)，從而讓每家被服務企業(yè)獲得進入國際市場的“綠色通行證”。 經(jīng)過十多年的ISO14001認證咨詢經(jīng)驗，我們形成了獨具博慧達特色的咨詢優(yōu)勢，那就是我們確保被咨詢企業(yè)不僅盡快拿到，而且能夠讓企業(yè)提高全體員工的守法意識，真正讓企業(yè)實現(xiàn)清潔無污染，節(jié)能降耗，從而實現(xiàn)清潔生產(chǎn)，達標排放，從而實現(xiàn)和諧發(fā)展，企業(yè)競爭力與軟實力。 我們的服務是按照以下步驟來完成的： 　　1、 管理者決定：環(huán)境管理體系的建立和實施需要組織人、財、物等資源，因此，必須首先得到 管理者（層）的明確承諾和支持，同時，由 管理者任命環(huán)境管理者代表，授權(quán)其負責建立和維護體系，保證此項工作的領(lǐng)導作用。 　　2、建立完整的組織機構(gòu)：組建一個推進環(huán)境管理體系建立和維護的領(lǐng)導班和工作組企業(yè)應在原有組織機構(gòu)的基礎(chǔ)，組建一個由各有關(guān)職能和生產(chǎn)部門負責人組成的領(lǐng)導班對此項工作進行協(xié)調(diào)和管理，此外由某個部門（如負責環(huán)保工作的部門）為主體，其它有關(guān)部門的有關(guān)人員參加，組成一個工作組，承擔具體工作。明確各個部門的職責，形成一個完整的組織機構(gòu)，保證該工作的順利開展。 　　3、人員培訓：對企業(yè)有關(guān)人員進行培訓，包括環(huán)境意識、標準、內(nèi)審員和與建立體系有關(guān)的，如初始環(huán)境評審和文件編寫方法和要求等多方面的培訓，使企業(yè)人員了解和有能力從事環(huán)境管理體系的建立實施與維護工作。 ??????4、 初始環(huán)境評審：是對組織環(huán)境現(xiàn)狀的初始調(diào)查，包括正確識別企業(yè)活動、產(chǎn)品、服務中產(chǎn)生的環(huán)境因素，并判別出具有和可能具有重大影響的重要環(huán)境因素；識別組織應遵守的法律和其它要求；評審組織的現(xiàn)行管理體系和制度，如環(huán)境管理、質(zhì)量管理、行政管理等，以及如何與ISO14001標準相結(jié)合。 　　5、體系策劃：在初始環(huán)境評審的基礎(chǔ)上，對環(huán)境管理體系的建立進行策劃，以確保環(huán)境管理體系的建立有明確要求。 　　6、文件編寫：同ISO9000一樣，ISO14001環(huán)境管理體系要求文件化，可分為手冊、程序文件、作業(yè)指導書等層次。企業(yè)應根據(jù)ISO14001標準的要求，結(jié)合自身的特點和基礎(chǔ)編制出一套適合的體系文件，滿足體系有效運行的要求。 　　7、體系試運行：體系文件完稿并正式頒布，該體系按文件的要求開始試運行。其目的是通過體系實際運行，發(fā)現(xiàn)文件和實際實施中存在的問題，并加以整改，使體系逐步達到適用性、有效性和充分性。 　　 8、企業(yè)內(nèi)部審核：根據(jù)ISO14001標準的要求，企業(yè)應對體系的運行情況進行審核。由經(jīng)過培訓的內(nèi)審員通過企業(yè)的活動、服務和產(chǎn)品對標準各要素的執(zhí)行情況進行審核、發(fā)現(xiàn)問題，及時糾正。 　　 9、管理評審：根據(jù)標準的要求，在內(nèi)審的基礎(chǔ)上，由 管理者組織有關(guān)人員對環(huán)境管理體系從宏觀上進行評審，以把握體系的持續(xù)適用性、有效性和充分性。 　　按照我們這樣一套完整流程建立的企業(yè)的環(huán)境管理體系完成了一輪PDCA循環(huán)，完成了環(huán)境管理體系的建立。按照ISO14001標準建立、運行一個環(huán)境管理體系是一項涉及面廣、專業(yè)性強和技能要求很高的工作。組織可根據(jù)具體情況，決定是否有必要在咨詢機構(gòu)的指導下進行，這樣可以節(jié)省時間，避免走彎路，提高工作效率，保證環(huán)境管理體系的規(guī)范性和可操作性，以獲取更多的效益。打算進行認證的組織，在委托第三方認證機構(gòu)認證審核之前，可委托咨詢機構(gòu)進行模擬審核，及幫助企業(yè)認證審核的聯(lián)系認證審核前的準備工作，以保證企業(yè)認證審核。

ISO27001認證控制要求 文章導讀：表 A.1 控制目標和控制措施 A.5 方針 A.5.1 信息方針 目標：依據(jù)業(yè)務要求和相關(guān)法律法規(guī)提供管理指導并支 持信息。 A.5.1.1 信 息 方針 文件 信 息 方針 的評審 控制... 表 A.1 控制目標和控制措施 A.5 方針 A.5.1 信息方針 目標：依據(jù)業(yè)務要求和相關(guān)法律法規(guī)提供管理指導并支持信息。 A.5.1.1 信 息 方針 文件 信 息 方針 的評審 控制措施 信息方針文件應由管理者批準、發(fā)布并傳達給所有員工和外部相 關(guān)方。 A.5.1.2 控制措施 應按計劃的時間間隔或當重大變化發(fā)生時進行信息方針評審，以 確保它持續(xù)的適宜性、充分性和有效性。 A.6 信息組織 A.6.1 內(nèi)部組織 目標：在組織內(nèi)管理信息 A.6.1.1 信息的管 理承諾 信息協(xié)調(diào) 控制措施 管理者應通過清晰的說明、可證實的承諾、明確的信息職責分配 及確認，來積極支持組織內(nèi)的。 A.6.1.2 控制措施 信息活動應由來自組織不同部門并具備相關(guān)角色和工作職責的 代表進行協(xié)調(diào)。 A.6.1.3 A.6.1.4 A.6.1.5 信息職責 的分配 信息處理設(shè)施 的授權(quán)過程 保密性協(xié)議 控制措施 所有的信息職責應予以清晰地定義。 控制措施 新信息處理設(shè)施應定義和實施一個管理授權(quán)過程。 控制措施 應識別并定期評審反映組織信息保護需要的保密性或不泄露協(xié)議的 要求。 A.6.1.6 A.6.1.7 A.6.1.8 與政府部門的 聯(lián)系 與特定利益團 體的聯(lián)系 信息的獨 立評審 控制措施 應保持與政府相關(guān)部門的適當聯(lián)系。 控制措施 應保持與特定利益團體、其他專家組和專業(yè)協(xié)會的適當聯(lián)系。 控制措施 組織管理信息的方法及其實施（例如信息的控制目標、控制 措施、策略、過程和程序）應按計劃的時間間隔進行獨立評審， 當安 全實施發(fā)生重大變化時，也要進行獨立評審。 A.6.2 外部各方 目標：保持組織的被外部各方訪問、處理、管理或與外部進行通信的信息和信息處理設(shè)施的。 A.6.2.1 與外部 各方相 關(guān)風險的識別 處理與顧客有 關(guān)的問題 控制措施 應識別涉及外部各方業(yè)務過程中組織的信息和信息處理設(shè)施的風險， 并在允許訪問前實施適當?shù)目刂拼胧? A.6.2.2 控制措施 應在允許顧客訪問組織信息或資產(chǎn)之前處理所有確定的要求。 A.6.2.3 處理第三方協(xié) 議中的問 題 控制措施 涉及訪問、處理或管理組織的信息或信息處理設(shè)施以及與之通信的第 三方協(xié)議，或在信息處理設(shè)施中增加產(chǎn)品或服務的第三方協(xié)議， 應涵 蓋所有相關(guān)的要求。 A.7 資產(chǎn)管理 A.7.1 對資產(chǎn)負責 目標：實現(xiàn)和保持對組織資產(chǎn)的適當保護。 A.7.1.1 A.7.1.2 資產(chǎn)清單 資產(chǎn)責任人 控制措施 應清晰的識別所有資產(chǎn)，編制并維護所有重要資產(chǎn)的清單。 控制措施 與信息處理設(shè)施有關(guān)的所有信息和資產(chǎn)應由組織的指定部門或人員 1 承擔責任 。 A.7.1.3 資 產(chǎn) 的 合 格 使 控制措施 用 與信息處理設(shè)施有關(guān)的信息和資產(chǎn)使用允許規(guī)則應被確定、形成文件 并加以實施。 A.7.2 信息分類 目標：確保信息受到適當級別的保護。 A.7.2.1 A.7.2.2 分類指南 信息的標記和 處理 控制措施 信息應按照它對組織的價值、法律要求、敏感性和關(guān)鍵性予以分類。 控制措施 應按照組織所采納的分類機制建立和實施一組合適的信息標記和處 理程序。 A.8 人力資源 2 A.8.1 任用 之前 目標：確保雇員、承包方人員和第三方人員理解其職責、考慮對其承擔的角色是適合的，以降 低設(shè) 施被竊、欺詐和誤用的風險。 A.8.1.1 角色和職責 控制措施 雇員、承包方人員和第三方人員的角色和職責應按照組織的信息 方針定義并形成文件。 A.8.1.2 審查 控制措施 關(guān)于所有任用的候選者、承包方人員和第三方人員的背景驗證檢查應 按照相關(guān)法律法規(guī)、道德規(guī)范和對應的業(yè)務要求、被訪問信息的 類別 和察覺的風險來執(zhí)行。 A.8.1.3 任用條款和條 件 控制措施 作為他們合同義務的一部分，雇員、承包方人員和第三方人員應同意 并簽署他們的任用合同的條款和條件，這些條款和條件要聲明他 們和 組織的信息職責。 A.8.2 任用中 目標：確保所有的雇員、承包方人員和第三方人員知悉信息威脅和利害關(guān)系、他們的職責和義 務、并準備好在其 正常工作過程中支持組織的方針，以減少人為過失的風險。 1 解釋：術(shù)語“責任人”是被認可，具有控制生產(chǎn)、開發(fā)、保持、使用和資產(chǎn)的個人或?qū)嶓w。術(shù)語“責 任人”不指實際上對資產(chǎn)具 有財產(chǎn)權(quán)的人。 2 解釋：這里的“任用”意指以下不同的情形：人員任用（暫時的或長期的） 、工作角色的指定、工作角色 的變化 、合同的分配及所有這些安排的終止。 A.8.2.1 管理職責 控制措施 管理者應要求雇員、承包方人員和第三方人員按照組織已建立的方針 策略和程序?qū)ΡM心盡力。 A.8.2.2 信息意識、 控制措施 教育和培訓 組織的所有雇員，適當時，包括承包方人員和第三方人員，應受到與 其工作職能相關(guān)的適當 的意識培訓和組織方針策略及程序的定期更 新培訓。 紀律處理過程 A.8.2.3 控制措施 對于違規(guī)的雇員，應有一個正式的紀律處理過程。 A.8.3 任用的終止或變化 目標：確保雇員、承包方人員和第三方人員以一個規(guī)范的方式退出一個組織或改變其任用關(guān)系。 A.8.3.1 A.8.3.2 終止職責 資產(chǎn)的歸還 控制措施 任用終止或任用變化的職責應清晰的定義和分配。 控制措施 所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時， 應歸還他們使用的所有組織資產(chǎn)。 A.8.3.3 撤銷訪問權(quán) 控制措施 所有雇員、承包方人員和第三方人員對信息和信息處理設(shè)施的訪問權(quán) 應在任用、合同或協(xié)議終止時刪除，或在變化時調(diào)整。 A.9 物理和環(huán)境 A.9.1 區(qū)域 目標：防止對組織場所和信息的未授權(quán)物理訪問、損壞和干擾。 A.9.1.1 物理邊界 控制措施 應使用邊界 （諸如墻、 卡控制的入口或有人管理的接待臺等屏障） 來保護包含信息和信息處理設(shè)施的區(qū)域。 A.9.1.2 物理入口控制 控制措施 區(qū)域應由適合的入口控制所保護，以確保只有授權(quán)的人員才允許 訪問。 A.9.1.3 辦公室、 房間和 控制措施 設(shè) 施 的 安 全 保 應為辦公室、房間和設(shè)施設(shè)計并采取物理措施。 護 外部和環(huán)境威 脅的防 護 在區(qū)域工 作 A.9.1.4 控制措施 為防止火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為 災難引起的破壞，應設(shè)計和采取物理保護措施。 A.9.1.5 A.9.1.6 控制措施 應設(shè)計和運用用于區(qū)域工作的物理保護和指南。 公共訪問、 交接 控制措施 區(qū) 訪問點（例如交接區(qū)）和未授權(quán)人員可進入辦公場所的其他點應加以 控制，如果可能，要與信息 處理設(shè)施隔離，以避免未授權(quán)訪問。 A.9.2 設(shè)備 目標：防止資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)以及組織活動的中斷。 A.9.2.1 設(shè)備安置和保 護 控制措施 應安置或保護設(shè)備，以減少由環(huán)境威脅和危險所造成的各種風險以及 未授權(quán)訪問的機會。 A.9.2.2 支持性設(shè)施 控制措施 應保護設(shè)備使其免于由支持性設(shè)施的失效而引起的電源故障和其他 中斷。 A.9.2.3 布纜 控制措施 應保證傳輸數(shù)據(jù)或支持信息服務的電源布纜和通信布纜免受竊聽或 損壞。 A.9.2.4 A.9.2.5 設(shè)備維護 控制措施 設(shè)備應予以正確地維護，以確保其持續(xù)的可用性和完整性。 組 織 場 所 外 的 控制措施 設(shè)備 應對組織場所的設(shè)備采取措施，要考慮工作在組織場所以外的不 同風險。 設(shè)備的 處 置或再利用 資產(chǎn)的移動 A.9.2.6 控制措施 包含儲存介質(zhì)的設(shè)備的所有項目應進行檢查，以確保在銷毀之前，任 何敏感信息和注冊軟件已被刪除或重寫。 A.9.2.7 控制措施 設(shè)備、信息或軟件在授權(quán)之前不應帶出組織場所。 A.10 通信和操作管理 A.10.1 操作程序和職責 目標：確保正確、的操作信息處理設(shè)施。 A.10.1.1 A.10.1.2 A.10.1.3 文件化 的操作 程序 變更管理 責任分割 控制措施 操作程序應形成文件、保持并對所有需要的用戶可用。 控制措施 對信息處理設(shè)施和系統(tǒng)的變更應加以控制。 控制措施 各類責任及職責范圍應加以分割，以降低未授權(quán)或無意識的修改或者 不當使用組織資產(chǎn)的機會。 A.10.1.4 開發(fā)、測試和 運行設(shè)施分離 控制措施 開發(fā)、測試和運行設(shè)施應分離，以減少未授權(quán)訪問或改變運行系統(tǒng)的 風險。 A.10.2 第三方服務交付管理 目標：實施和保持符合第三方服務交付協(xié)議的信息和服務交付的適當水準。 A.10.2.1 服務交付 控制措施 應確保第三方實施、運行和保持包含在第三方服務交付協(xié)議中的 控制措施、服務定義和交付水準。 A.10.2.2 第三方服務的 監(jiān)視和評審 第三方服務的 變更管理 控制措施 應定期監(jiān)視和評審由第三方提供的服務、報告和記錄，審核也應定期 執(zhí)行。 A.10.2.3 控制措施 應管理服務提供的變更，包括保持和改進現(xiàn)有的信息方針策略、 程序和控制措施，要考慮業(yè)務系統(tǒng)和涉及過程的關(guān)鍵程度及風險 的再 評估。 A.10.3 系統(tǒng)規(guī)劃和驗收 目標：將系統(tǒng)失效的風險降至小。 A.10.3.1 容量管理 控制措施 資源的使用應加以監(jiān)視、調(diào)整，并應作出對于未來容量要求的預測， 以確保擁有所需的系統(tǒng)性能。 A.10.3.2 系統(tǒng)驗收 控制措施 應建立對新信息系統(tǒng)、升級及新版本的驗收準則，并且在開發(fā)中和驗 收前對系統(tǒng)進行適當?shù)臏y試。 A.10.4 防范惡意和移動代碼 目標：保護軟件和信息的完整性。 A.10.4.1 控制惡意代碼 控制措施 應實施惡意代碼的監(jiān)測、和恢復的控制措施，以及適當?shù)奶岣哂?戶意識的程序。 A.10.4.2 控制移動代碼 控制措施 當授權(quán)使用移動代碼時，其配置應確保授權(quán)的移動代碼按照清晰定義 的策略運行，應阻止執(zhí)行未授權(quán)的移動代碼。 A.10.5 備份 目標：保持信息和信息處理設(shè)施的完整性及可用性。 A.10.5.1 信息備份 控制措施 應按照已設(shè)的備份策略，定期備份和測試信息和軟件。 A.10.6 網(wǎng)絡(luò)管理 目標：確保網(wǎng)絡(luò)中信息的性并保護支持性的基礎(chǔ)設(shè) 施。 A.10.6.1 網(wǎng)絡(luò)控制 控制措施 應充分管理和控制網(wǎng)絡(luò)，以防止威脅的發(fā)生，維護系統(tǒng)和使用網(wǎng)絡(luò)的 應用程序的，包括傳輸中的信息。 A.10.6.2 網(wǎng)絡(luò)服務的安 全 控制措施 特性、服務級別以及所有網(wǎng)絡(luò)服務的管理要求應予以確定并包括 在所有網(wǎng)絡(luò)服務協(xié)議中，無論這些服務是由內(nèi)部提供的還是外包 的。 A.10.7 介質(zhì)處置 目標：防止資產(chǎn)遭受未授權(quán)泄露、修改、移動或銷毀以及業(yè)務活動的中斷。 A.10.7.1 A.10.7.2 A.10.7.3 可移動 介質(zhì)的 管理 介質(zhì)的處置 信息處理程序 控制措施 應有適當?shù)目梢苿咏橘|(zhì)的管理程序。 控制措施 不再需要的介質(zhì)，應使用正式的程序可靠并地處置。 控制措施 應建立信息的處理及存儲程序，以防止信息的未授權(quán)的泄漏或不當使 用。 A.10.7.4 系統(tǒng)文件 控制措施 應保護系統(tǒng)文件以防止未授權(quán)的訪問。 A.10.8 信息的交換 目標：保持組織內(nèi)信息和軟件交換及與外部組織信息和軟件交換的。 A.10.8.1 信息交換策略 和程序 控制措施 應有正式的交換策略、程序和控制措施，以保護通過使用各種類型通 信設(shè)施的信息交換。 A.10.8.2 A.10.8.3 交換協(xié)議 運輸中的物理 介質(zhì) 電子消息發(fā)送 業(yè)務信息系統(tǒng) 控制措施 應建立組織與外部團體交換信息和軟件的協(xié)議。 控制措施 包含信息的介質(zhì)在組織的物理邊界以外運送時，應防止未授權(quán)的訪 問、不當使用或毀壞。 A.10.8.4 A.10.8.5 控制措施 包含在電子消息發(fā)送中的信息應給予適當?shù)谋Ｗo。 控制措施 應建立并實施策略和程序，以保護與業(yè)務信息系統(tǒng)互聯(lián)相關(guān)的信息。 A.10.9 電子商務服務 目標：確保電子商務服務的及其使用。 A.10.9.1 電子商務 控制措施 包含在使用公共網(wǎng)絡(luò)的電子商務中的信息應受保護，以防止欺詐活 動、合同爭議和未授權(quán)的泄露和修改。 A.10.9.2 在線交易 控制措施 包含在在線交易中的信息應受保護，以防止不完全傳輸、錯誤路由、 未授權(quán)的消息篡改、未授權(quán)的泄露、未授權(quán)的消息復制或重放。 A.10.9.3 公共可用信息 控制措施 在公共可用系統(tǒng)中可用信息的完整性應受保護，以防止未授權(quán)的修 改。 A.10.10 監(jiān)視 目標：檢測未經(jīng)授權(quán)的信息處理活動。 A.10.10.1 審核日志 控制措施 應產(chǎn)生記錄用戶活動、異常和信息事態(tài)的審核日志，并要保持一 個已設(shè)的周期以支持將來的調(diào)查和訪問控制監(jiān)視。 A.10.10.2 A.10.10.3 監(jiān)視系統(tǒng)的使 用 日志信息的保 護 管理員和操作 員日志 故障日志 時鐘同步 控制措施 應建立信息處理設(shè)施的監(jiān)視使用程序，監(jiān)視活動的結(jié)果要經(jīng)常評審。 控制措施 記錄日志的設(shè)施和日志信息應加以保護，以防止篡改和未授權(quán)的訪 問。 A.10.10.4 A.10.10.5 A.10.10.6 控制措施 系統(tǒng)管理員和系統(tǒng)操作員活動應記入日志。 控制措施 故障應被記錄、分析，并采取適當?shù)拇胧? 控制措施 一個組織或域內(nèi)的所有相關(guān)信息處理設(shè)施的時鐘應使用已設(shè)的 時間源進行同步。 A.11 訪問控制 A.11.1 訪問控制的業(yè)務要求 目標：控制對信息的訪問。 A.11.1.1 訪問控制策略 控制措施 訪問控制策略應建立、形成文件，并基于業(yè)務和訪問的要求進行 評審。 A.11.2 用戶訪問管理 目標：確保授權(quán)用戶訪問信息系統(tǒng)，并防止未授權(quán)的訪問。 A.11.2.1 用戶注冊 控制措施 應有正式的用戶注冊及注銷程序，來授權(quán)和撤銷對所有信息系統(tǒng)及服 務的訪問。 A.11.2.2 A.11.2.3 A.11.2.4 特殊權(quán)限管理 用戶口令管理 用戶訪問權(quán)的 復查 控制措施 應限制和控制特殊權(quán)限的分配及使用。 控制措施 應通過正式的管理過程控制口令的分配。 控制措施 管理者應定期使用正式過程對用戶的訪問權(quán)進行復查。 A.11.3 用戶職責 目標：防止未授權(quán)用戶對信息和信息處理設(shè)施的訪問、危害或竊取。 A.11.3.1 A.11.3.2 A.11.3.3 口令使用 無人 值守的用 戶設(shè)備 清空桌面和屏 幕策略 控制措施 應要求用戶在選擇及使用口令時，遵循良好的習慣。 控制措施 用戶應確保無人值守的用戶設(shè)備有適當?shù)谋Ｗo。 控制措施 應采取清空桌面上文件、可移動存儲介質(zhì)的策略和清空信息處理設(shè)施 屏幕的策略。 A.11.4 網(wǎng)絡(luò)訪問控制 目標：防止對網(wǎng)絡(luò)服務的未授權(quán)訪問。 A.11.4.1 A.11.4.2 A.11.4.3 A.11.4.4 A.11.4.5 A.11.4.6 使用網(wǎng)絡(luò) 服務 的策略 外部連接的用 戶鑒別 網(wǎng)絡(luò)上的設(shè)備 標識 遠程診斷和配 置端口的保護 網(wǎng)絡(luò)隔離 網(wǎng)絡(luò)連接控制 控制措施 用戶應僅能訪問已獲專門授權(quán)使用的服務。 控制措施 應使用適當?shù)蔫b別方法以控制遠程用戶的訪問。 控制措施 應考慮自動設(shè)備標識，將其作為鑒別特定位置和設(shè)備連接的方法。 控制措施 對于診斷和配置端口的物理和邏輯訪問應加以控制。 控制措施 應在網(wǎng)絡(luò)中隔離信息服務、用戶及信息系統(tǒng)。 控制措施 對于共享的網(wǎng)絡(luò)，特別是越過組織邊界的網(wǎng)絡(luò)，用戶的聯(lián)網(wǎng)能力應按 照訪問控制策略和業(yè)務應用要求加以限制（見 11.1）。 A.11.4.7 網(wǎng)絡(luò)路由控制 控制措施 應在網(wǎng)絡(luò)中實施路由控制，以確保計算機連接和信息流不違反業(yè)務應 用的訪問控制策略。 A.11.5 操作系統(tǒng)訪問控制 目標：防止對操作系統(tǒng)的未授權(quán)訪問。 A.11.5.1 A.11.5.2 登錄程序 用戶標識和鑒 別 控制措施 訪問操作系統(tǒng)應通過登錄程序加以控制。 控制措施 所有用戶應有 的、 其個人使用的標識符（用戶 ID），應選擇 一種適當?shù)蔫b別技術(shù)證實用戶所宣稱的身份。 A.11.5.3 A.11.5.4 口令管理系統(tǒng) 系統(tǒng)實用工具 的使用 會話超時 聯(lián)機時間的限 定 控制措施 口令管理系統(tǒng)應是交互式的，并應確保優(yōu)質(zhì)的口令。 控制措施 可能超越系統(tǒng)和應用程序控制的實用工具的使用應加以限制并嚴格 控制。 A.11.5.5 A.11.5.6 控制措施 不活動會話應在一個設(shè)定的休止期后關(guān)閉。 控制措施 應使用聯(lián)機時間的限制，為高風險應用程序提供額外的。 A.11.6 應用和信息訪問控制 目標：防止對應用系統(tǒng)中信息的未授權(quán)訪問。 A.11.6.1 信息訪問限制 控制措施 用戶和支持人員對信息和應用系統(tǒng)功能的訪問應依照已確定的訪問 控制策略加以限制。 A.11.6.2 敏感系統(tǒng)隔離 控制措施 敏感系統(tǒng)應有專用的（隔離的）運算環(huán)境。 A.11.7 移動計算和遠程工作 目標：確保使用可移動計算和遠程工作設(shè)施時的信息。 A.11.7.1 移動計算和通 信 遠程工作 控制措施 應有正式策略并且采用適當?shù)拇胧苑婪妒褂靡苿佑嬎愫屯ㄐ?設(shè)施時所造成的風險。 A.11.7.2 控制措施 應為遠程工作活動開發(fā)和實施策略、操作計劃和程序。 A.12 信息系統(tǒng)獲取、開發(fā)和維護 A.12.1 信息系統(tǒng)的要求 目標：確保是信息系統(tǒng)的一個有機組成部分。 A.12.1.1 要 求分析 和說明 控制措施 在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務要求陳述中，應規(guī)定對安 全控制措施的要求。 A.12.2 應用中的正確處理 目標：防止應用系統(tǒng)中的信息的錯誤、遺失、未授權(quán)的修改及誤用。 A.12.2.1 A.12.2.2 輸入數(shù)據(jù)驗證 內(nèi)部處理的控 制 消息完整性 控制措施 輸入應用系統(tǒng)的數(shù)據(jù)應加以驗證，以確保數(shù)據(jù)是正確且恰當?shù)摹? 控制措施 驗證檢查應整合到應用中，以檢查由于處理的錯誤或故意的行為造成 的信息的訛誤。 A.12.2.3 控制措施 應用中的確保真實性和保護消息完整性的要求應得到識別，適當?shù)目?制措施也應得到識別并實施。 A.12.2.4 輸出數(shù)據(jù)驗證 控制措施 從應用系統(tǒng)輸出的數(shù)據(jù)應加以驗證，以確保對所存儲信息的處理是正 確的且適于環(huán)境的。 A.12.3 密碼控制 目標：通過密碼方法保護信息的保密性、真實性或完整性。 A.12.3.1 A.12.3.2 使用密碼控制 的策略 密鑰管理 控制措施 應開發(fā)和實施使用密碼控制措施來保護信息的策略。 控制措施 應有密鑰管理以支持組織使用密碼技術(shù)。 A.12.4 系統(tǒng)文件的 目標：確保系統(tǒng)文件的 A.12.4.1 A.12.4.2 A.12.4.3 運行軟件的控 制 系統(tǒng)測試數(shù)據(jù) 的保護 控制措施 應有程序來控制在運行系統(tǒng)上安裝軟件。 控制措施 測試數(shù)據(jù)應認真地加以選擇、保護和控制。 對 程 序 源 代 碼 控制措施 的訪問控制 應限制訪問程序源代碼。 A.12.5 開發(fā)和支持過程中的 目標：維護應用系統(tǒng)軟件和信 息的。 A.12.5.1 變更控制程序 控制措施 應使用正式的變更控制程序控制變更的實施。 A.12.5.2 操作系統(tǒng)變更 后應用的技術(shù) 評審 軟件包變更的 限制 信息泄露 外包軟件開發(fā) 控制措施 當操作系統(tǒng)發(fā)生變更后，應對業(yè)務的關(guān)鍵應用進行評審和測試，以確 保對組織的運行和沒有負面影響。 A.12.5.3 控制措施 應對軟件包的修改進行勸阻，限制必要的變更，且對所有的變更加以 嚴格控制。 A.12.5.4 A.12.5.5 控制措施 應防止信息泄露的可能性。 控制措施 組織應管理和監(jiān)視外包軟件的開發(fā)。 A.12.6 技術(shù)脆弱性管理 目標：降低利用公布的技術(shù)脆弱性導致的風險。 A.12.6.1 技 術(shù) 脆 弱 性 的 控制措施 應及時得到現(xiàn)用信 息系統(tǒng)技術(shù)脆弱性的信息，評價組織對這些脆弱性 控制 的暴露程度，并采取適當?shù)拇胧﹣硖幚硐嚓P(guān)的風險。 A.13 信息事件管 理 A.13.1 報告信息事態(tài)和弱點 目標：確保與信息系統(tǒng)有關(guān)的信息事態(tài)和弱點能夠以某種方式傳達，以便及時采取糾正措施 。 A.13.1.1 A.13.1.2 報告信息 事態(tài) 報告弱點 控制措施 信息事態(tài)應該盡可能快地通過適當?shù)墓芾砬肋M行報告。 控制措施 應要求信息系統(tǒng)和服務的所有雇員、承包方人員和第三方人員記錄并 報告他們觀察到的或懷疑的任何系統(tǒng)或服務的弱點。 A.13.2 信息事件和改進的管理 目標：確保采用一致和有效的方法對信息事件進行管理。 A.13.2.1 職責和程序 控制措施 應建立管理職責和程序，以確保能對信息事件做出快速、有效和 有序的響應。 A.13.2.2 A.13.2.3 對信息事 件的總結(jié) 證據(jù)的收集 控制措施 應有一套機制量化和監(jiān)視信息事件的類型、數(shù)量和代價。 控制措施 當一個信息事件涉及到訴訟（民事的或刑事的），需要進一步對 個人或組織進行起訴時，應收集、保留和呈遞證據(jù)，以使證據(jù)符 合相 關(guān)訴訟管轄權(quán)。 A.14 業(yè)務連續(xù)性管理 A.14.1 業(yè)務連續(xù)性管理的信息方面 目標：防止業(yè)務活動中斷，保護關(guān)鍵業(yè)務過程免受信息系統(tǒng)重大失誤 或災難的影響，并確保它們的 及時恢復。 A.14.1.1 業(yè)務連續(xù)性管 理過程中包含 的信息 業(yè)務連續(xù)性和 風險評估 制定和實施 包 含信息的 連續(xù)性計劃 業(yè)務連續(xù)性計 劃框架 測試、維護和 再評估業(yè)務連 續(xù)性計劃 控制措施 應為貫穿于組織的業(yè)務連續(xù)性開發(fā)和保持一個管理過程，以解決組織 的業(yè)務連續(xù)性所需的信息要求。 A.14.1.2 控制措施 應識別能引起業(yè)務過程中斷的事態(tài)，這種中斷發(fā)生的概率和影響，以 及它們對信息所造成的后果。 A.14.1.3 控制措施 應制定和實施計劃來保持或恢復運行，以在關(guān)鍵業(yè)務過程中斷或失敗 后能夠在要求的水平和時間內(nèi)確保信息的可用性。 A.14.1.4 控制措施 應保持一個 的業(yè)務連續(xù)性計劃框架，以確保所有計劃是一致的， 能夠協(xié)調(diào)地解決信息要求，并為測試和維護確定優(yōu)先級。 A.14.1.5 控制措施 業(yè)務連續(xù)性計劃應定期測試和更新，以確保其及時性和有效性。 A.15 符合性 A.15.1 符合法律要求 目標：避免違反任何法律、法令、法規(guī)或合同義務，以及任何要求。 A.15.1.1 可用法律的 識 別 控制措施 對每一個信息系統(tǒng)和組織而言，所有相關(guān)的法令、法規(guī)和合同要求， 以及為滿足這些要求組織所采用的方法，應加以明確地定義、形 成文 件并保持更新。 A.15.1.2 知 識 產(chǎn) 權(quán) （IPR） 保護組織的記 錄 數(shù)據(jù)保護和個 人信息的隱私 控制措施 應實施適當?shù)某绦?，以確保在使用具有知識產(chǎn)權(quán)的材料和具有所有權(quán) 的軟件產(chǎn)品時，符合法律、法規(guī)和合同的要求。 A.15.1.3 控制措施 應防止重要的記錄遺失、毀壞和偽造，以滿足法令、法規(guī)、合同和業(yè) 務的要求。 A.15.1.4 控制措施 應依照相關(guān)的法律、法規(guī)和合同條款的要求，確保數(shù)據(jù)保護和隱私。 A.15.1.5 A.15.1.6 防止濫用信息 處理設(shè)施 密碼控制措施 的規(guī)則 控制措施 應禁止用戶使用信息處理設(shè)施用于未授權(quán)的目的。 控制措施 使用密碼控制措施應遵從相關(guān)的協(xié)議、法律和法規(guī)。 A.15.2 符合策略和標準以及技術(shù)符合性 目標：確保系統(tǒng)符合組織的策略及標準。 A.15.2.1 符合策略 和標準 技術(shù)符 合性檢 查 控制措施 管理人員應確保在其職責范圍內(nèi)的所有程序被正確地執(zhí)行，以確 保符合策略及標準。 A.15.2.2 控制措施 信息系統(tǒng)應被定期檢查是否符合實施標準。 A.15.3 信息系統(tǒng)審核考慮 目標：將信息系統(tǒng)審核過程的有效性 化，干擾小化。 A.15.3.1 信息系統(tǒng)審核 控制措施 信息系統(tǒng) 審核 工具的保護 控 制措施 涉及對運行系統(tǒng)檢查的審核要求和活動，應謹慎地加以規(guī)劃并取得批 準，以便小化造成業(yè)務過程中斷的風險。 A.15.3.2 控制措施 對于信息系統(tǒng)審核工具的訪問應加以保護，以防止任何可能的濫用或 損害。