ISO27001標準是為了與其他管理標準,比如ISO9000和lSO14001等相互兼容而設計的,這一標準中的編號系統(tǒng)和文件管理需求的設計初衷,就是為了提供良好的兼容性,使得組織可以建立起這樣一套管理體系:能夠在最大程度上融入這個組織正在使用的其他任何管理體系。一般來說,組織通常會使用為其ISO9000認證或者其他管理體系認證提供認證服務的機構,來提供ISO27001認證服務。正是因為這個緣故,在ISMS體系建立的過程中,質量管理的經驗舉足輕重。
但是有一點需要注意,一個組織如果沒有事先擁有并使用任何形式的管理體系,并不意味著該組織不能進行ISO27001認證。這種情況下,該組織就應當從經濟利益考慮,選擇個合適的管理體系的認證機構來提供認證服務。認證機構必須得到一個國家鑒定機構的委托授權,オ能為認證組織提供認證服務,并發(fā)放認證證書。大多數國家都有自己的國家鑒定機構(比如:英國UKAS),任何獲得該機構授權進行SMS認證的機構均記錄在案風險評估應對計劃。
任何一個SMS體系的建立和開發(fā)都應當滿足組織獨特的需求。每個組織不僅都有自己獨特的業(yè)務模式、運營目標、形象特點和內部文化,他們對待風險的態(tài)度傾向也大相徑庭。換句話說,同一個東西,一個機構組織認為是必須提防的威脅,在另一個組織看來可能是一個必須抓住的機遇。同樣地,各個機構組織對于既有風險防護的投入也參差不齊?；谝陨匣蛘咂渌?每個運行SMS的組織,其內部成員必須對風險評估有一個共識,這個風險評估的方法論、結果發(fā)現(xiàn)和推薦解決方式
都必須得到董事會的首肯。
SMS項目和PDCA流程
SMS項目很復雜,可能持續(xù)若干個月甚至若干年,涉及整個機構組織以及從管理層到收發(fā)部門]的每個成員。ISOO27001認證誕生時間短,成功的案例比較少。從務實的角度考慮,這表明在項目計劃過程中,必須盡早對這些僅有的指導性的書籍和案例進行分析和研究。
ISO27001標準指導一個企業(yè)如何著手開展ISMS項目,并且關注整個項目進程中的若干重要元素.
1950年W. Edwards Deming提出PDCA流程,即計劃(Plan)-執(zhí)行(Do)-檢查( Check)-提升(Act)過程,意在說明業(yè)務流程應當是不斷改進的,該方法使得職能部門經理可以識別出那些需要修正的環(huán)節(jié)并進行修正。這個流程以及流程的改進,都必須遵循這樣一個過程:先計劃,再執(zhí)行,而后對其運行結果進行評估,緊接著按照計劃的具體要求對該評估進行復查,而后尋找到任何與計劃不符的結果偏差(即潛在改進的可自能性),最后向管理層提出如何運行的最終報告。
