ISM规则中的风险评估
ism规则公司管理制度
ism规则公司管理制度一、组织结构与职责根据ISM规则，公司必须确立清晰的组织结构，明确各级人员的职责与权力。
公司应设立安全管理体系的领导机构，如安全管理委员会，由高层管理人员组成，负责制定安全管理政策和目标。
同时，指定一名或多名安全管理人员，负责日常的安全管理工作。
二、安全管理政策公司需制定一套全面的安全管理政策，包括安全承诺、方针和目标。
这些政策应当得到全体员工的理解和执行，并定期进行评审和更新，以确保其有效性和适应性。
三、风险评估与控制风险管理是ISM规则的核心内容之一。
公司应建立风险评估程序，识别潜在的安全风险，并采取相应的控制措施。
这包括对船舶的操作、维护、检验等各个方面的风险进行分析，确保所有的风险都能被有效控制。
四、安全操作程序为了确保操作的安全性，公司需要制定一系列详细的安全操作程序。
这些程序应当涵盖所有关键操作领域，如航行、货物装卸、机械维护等，并且要定期进行审查和更新。
五、应急准备应对突发事件的能力是检验一个公司安全管理水平的重要标准。
因此，公司必须制定应急预案，包括紧急疏散、火灾应对、人员伤亡处理等情况。
同时，定期进行应急演练，确保所有员工都了解应急程序。
六、性能指标与监控为了衡量安全管理体系的效果，公司应设定一系列的性能指标，并进行定期监控。
这些指标可以是事故发生率、船员培训完成率、设备维护合格率等。
通过数据分析，公司可以及时发现问题并采取改进措施。
七、内部审计与管理复查内部审计是检查安全管理体系是否得到有效实施的关键手段。
公司应定期进行内部审计，并对审计结果进行管理复查。
这有助于公司发现体系中的不足，并及时进行修正。
八、持续改进ISM规则强调了持续改进的重要性。
公司应鼓励员工提出改进建议，不断优化安全管理体系的各个环节，以适应不断变化的外部环境和内部需求。
ISMS-B-01信息安全风险管理程序
深圳市ABC有限公司信息安全风险管理程序编号：ISMS-B-01版本号：V1.0编制：AAA 日期：2023-11-01 审核：BBB 日期：2023-11-01 批准：CCC 日期：2023-11-01受控状态1 目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，特制定本程序。
2 范围本程序适用信息安全管理体系(ISMS)范围内信息安全风险评估活动的管理。
3 职责3.1 信息安全管理小组负责牵头成立风险评估小组。
3.2 风险评估小组负责编制《信息安全风险评估计划》，确认评估结果，形成《信息安全风险评估报告》。
3.3 各部门负责本部门使用或管理的资产的识别和风险评估，并负责本部门所涉及的资产的具体安全控制工作。
4 相关文件《信息安全管理手册》《商业秘密管理程序》5 程序5.1 风险评估前准备5.1.1 成立风险评估小组信息安全小组牵头成立风险评估小组，小组成员应包含信息安全重要责任部门的成员。
5.1.2 制定计划风险评估小组制定《信息安全风险评估计划》,下发各部门。
5.2 资产赋值5.2.1 部门赋值各部门风险评估小组成员识别本部门资产，并进行资产赋值。
5.2.2 赋值计算资产赋值的过程是对资产在保密性、完整性、可用性的达成程度进行分析，并在此基础上得出综合结果的过程。
5.2.3 保密性(C)赋值根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上的应达成的不同程度或者保密性缺失时对整个组织的影响。
5.2.4 完整性(I)赋值根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。
完整性(I)赋值的方法5.2.5 可用性(A)赋值根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
可用性(A)赋值的方法5.2.7 导出资产清单识别出来的信息资产需要详细登记在《信息资产清单》中。
ISMS-C-09 风险评估方法与准则
威胁值
等级
弱点值
严重性描述（弱点被利用的容易程度）
等级
威胁值
可能性描述（威胁发生的频率）
高
3
a.非常容易被利用
b.导致资产完全破坏（保密性、可用性和完整性）
高
3
发生频率为每半年1次
中
2
a.较容易被利用
b.导致资产较大破坏（保密性、可用性和完整性）
中
2
发生频率为每年1次
低
1
a.较难被利用
b.导致资产部分破坏（保密性、可用性和完整性）
原发抵赖、接收抵赖、第三方抵赖等
常见脆弱性
序号
类别
薄弱点
威胁
1
硬件
缺少定期替换计划
可能会被存储媒体退化这一威胁所利用
容易受到电压不稳定的侵扰
可能会被功率波动这一威胁所利用
容易受到温度变化的侵扰
可能会温度的极端变化这一威胁所利用
容易受到湿度、灰尘和污染的侵扰
可能会被灰尘这一威胁所利用
对电磁辐射的敏感性
R05
病毒感染
维护人员、用户
业务数据，应用系统
系统缺陷、运行管理缺陷
R06
业务信息泄漏
用户
业务数据
运行管理流程缺陷
R07
攻击
恶意人员
应用系统，业务数据
系统缺陷，网络缺陷
R08
操作抵赖
维护人员，用户
应用系统，业务数据
操作记录
R09
越权访问
用户
应用系统，业务数据
系统配置缺陷
R10
设备物理破坏
恶意人员
应用系统，业务数据
版本
更改履历
制订/修订
船舶风险评估程序和“险情”报告制度如何有效建立和运行
船舶风险评估程序和“险情”报告制度如何有效建立和运行前言：众所周知，最近一段时间，我们在积极推进船舶Near Miss报告以及船舶风险评估报告。
但从最近船舶反馈回来的一些信息表明，部分船舶由于以前没有进行过相关知识培训，以前没有进行过船舶风险评估的经验，因此，对船舶反馈回来的船舶Near Miss报告以及船舶风险评估报告，公司将在认真核对并经仔细修改后将再次发船，以供船舶参考。
同时，为使船舶更好的熟悉并正确使用船舶风险评估程序，自今日起，公司计划将分三次简要介绍船舶风险评估的方法，希望会对大家有所帮助。
从古至今，历来我们把航海定性为高风险行业，这个结论是基于航海风险的复杂性、多发性以及风险因素的不确定性甚至是不可控性（例如自然灾害）的基础之上。
其实我们非常清楚，在航海事故至今不能根断的背后，船舶遇到的“险情”可能比航海事故更多,也更宽泛。
那么我在展开本文之前，就有必要对“险情”下一个定义，即:所谓“险情”，我们由字面的解读可以理解为“危险的情况”；但从公司安全管理体系文件的角度则把“险情”明确定义为：系指如果进一步发展会造成事故的情况（事故前兆）。
亦指导致或可能导致事故的情况。
一、在此我们先来探讨航海“险情”的由来以及相关要点的简要评述并概况为如下几个因素：1) 外界自然因素：例如：台风、地震、海啸、大风浪、浓雾、暴雨、强流等等，这些自然因素对航海造成的风险和破坏力是很大的，不少船舶的事故和险情由此造成。
随科学技术的日益成熟和进步，对上述自然因素，其中的大部分我们是可以预测的，并在事先采取了相应措施的前提下，很多的险情、事故同样也是可以避免的。
关键的问题是船舶对所获相关信息的及时性、重视程度以及所采取的相对预防措施落实情况，否则同样的信息、同样的时间、同样的区域和状况对不同的船舶可能会形成完全不同的结果。
例如避台、雾航、大风浪航行等等。
2) 通航环境因素：随世界经济的发展，各国间贸易往来与日俱增，而海上运输又几乎承担了世界贸易总量的85%。
ISMS-4-信息安全风险评估与管理
1.2.2 风险分析（续）
定性分析措施
定性分析措施是最广泛使用旳 风险分析措施。主要采用文字 形式或论述性旳数值范围来描 述潜在后果旳大小程度及这些 后果发生旳可能性。
该措施一般只关注威胁事件所 带来旳损失，而忽视事件发生 旳概率。
PKSEC
1.2.2 风险分析（续）
定量分析措施
注：风险管理一般涉及风险评估、风险处理、风险接受和沟通。
PKSEC
1.2 风险管理
风险管理旳概念
Wikipedia 维基百科 －自由、开发旳百科全书
风险管理又名危机管理，是指怎样在一种肯定有风险旳环境 里把风险减至最低旳管理过程。当中涉及了对风险旳量度、 评估和应变策略。理想旳风险管理，是一连串排好优先顺序 旳过程，使当中旳能够引致最大损失及最可能发生旳事情优 先处理、而相对风险较低旳事情则压后处理。 理想旳风险管理，正希望能够花至少旳资源去尽量化解最大 旳危机。
经过风险评估辨认组织所面临旳安全风 险并拟定风险控制旳优先等级，从而对 其实施有效控制，将风险控制在组织能 够接受旳范围之内。
PKSEC
1.2.1 风险评估（续）
区别风险评估和风险管理
风险管理是把整个组织内旳风险降低到可接受水平旳整个过程。 风险管理是一种连续旳周期，一般以一定旳间隔重新开始，来 更新流程中各个阶段旳数据。风险管理是一种连续循环，不断 上升旳过程。
风险评估是拟定组织面临旳风险并拟定其优先级旳过程，是风 险管理流程中最必须，最谨慎旳一种过程。当潜在旳与安全有 关旳事件在企业内发生时，如变动业务措施、发觉新旳漏洞等， 组织都可能会开启风险评估。
PKSEC
1.2.2 风险分析
风险分析(risk analysis)
ISMS-4025-信息安全风险评估报告
ISMS-4025—信息安全风险评估报告1 前言本次风险评估的目的为：分析公司信息系统的安全状况，针对重要的信息资产进行安全影响、威胁、脆弱性及可能性分析，从而估计对业务产生的影响，最终可以选择适当的方法达到降低风险、消除风险、转移风险、接受剩余风险的目的。
全面了解和掌握业务过程、应用系统和网络面临的信息安全威胁和风险，为全面建设安全保障体系服务，为确立安全策略、制定安全规划、开展安全建设提供决策建议，为完善和加强公司的信息安全保护奠定基石。
2 整体安全状态公司在信息安全保障方面的相关工作处于深化阶段,已经从物理安全、网络安全、系统安全、应用安全和管理安全多个方面采取了一系列有效的措施。
初步建立起信息安全体系框架，根据标准要求建立了一整套管理体系文件，并卓有成效，为业务和系统的正常运行提供了一定的安全保障。
需要引起注意的是：整个信息系统的安全保障体系建设还需要进一步完善，最重要的是在下一步工作中如何能确保措施和制度能有效的落实下去，确保全体员工切实执行，来进一步满足安全保障的要求,实施阶段将是信息安全工作最关键的环节。
3 资产识别3.1 资产识别结果信息安全工作小组对公司的信息资产进行了非常详尽的识别，对公司的各类资产已经有了全面的了解和掌握。
这些信息资产包括以下7类资产：1)硬件:计算机设备、服务器设备、安全设备、通讯设备、存储设备和其他设备.2)软件:应用软件、系统软件、开发工具和各种管理系等.3)数据:业务数据、源代码、数据库数据、备份数据、系统文档、日志、运行管理规程、计划、报告、用户手册等。
4)服务:IT服务、培训服务、租赁服务、公用设施（能源、电力）、保安保洁等.5)文档：纸质的各种文件、传真、电报、财务报告、发展计划、宣传文件等。
6)人员：人员的资格、技能和经验；涉密的主要领导、关键技术人员和重要岗位人员等。
7)其他（无形资产）：组织的声誉、商标、形象。
具体结果详见：各部门《ISMS—4021—信息资产识别评价表》.3。
ISMS信息安全风险评估(1)
ISMS信息安全风险评估
ISMS建设过程中，信息安全风险评估是其最主要的技术路线和ISMS建设效果评估的依据。
在信息安全领域，信息安全风险评估也形成了诸多国际标准和国内标准。
本文所涉及的内容主要是《信息安全风险评估规范》等国家标准。
以下就相关内容做一个简要描述。
信息安全风险评估包括四个主要方面的内容，即资产识别、威胁识别、脆弱性识别和风险评估。
它们之间的关系如图2.3所示：
在图2.3中，风险评估的最主要环节是资产识别、威胁识别和脆弱性识别。
下面就其含义作一个简介：
①资产识别
安全的目的始终都是保障组织业务的正常运行。
因此，资产识别的过程就是将组织的业务工作这个抽象的概念逐步分解成定性、定量的资产安全性分析，或者说将组织的业务安全映射成资产的安全，使得我们能够科学的把握组织的业务安全需求及其变化。
资产识别包括资产分类和资产赋值两个环节。
②威胁识别
与资产识别相类似，威胁识别分为威胁分类和威胁赋值两个环节。
威胁识别的方法形象地讲就是“植树、剪枝、统计”，见图2.4：
③脆弱性识别
与资产识别和威胁识别略有不同，脆弱性识别分为脆弱性发现、脆弱性分类、脆弱性验证和脆弱性赋值等四个环节。
表2.1是脆弱性分类表。
第一节国际安全管理规则
第一节国际安全管理规则
ISM规则的主要目的是确保船舶所有人、运营者及相关管理人员，在船舶的运营过程中，严格遵守国际海事法规和相关标准，保障船舶及其船员的安全，防止发生意外事故，减少环境污染。
ISM规则适用于所有载客量超过12人或不可携带12人但装载货物的商船。
ISM规则包括一系列的要求和指南，要求船舶所有人和运营者建立一套完整的安全管理体系，并确保其有效实施和持续改进。
具体来说，ISM 规则要求船舶所有人和运营者：
1.制定安全管理体系：制定并实施一套符合ISM规则要求的安全管理体系，包括制定安全政策、分配职责、确定通讯和报告程序等。
2.设立安全职位：指定船舶和公司的安全职位，负责监督安全管理体系的实施和维护。
3.进行风险评估：对船舶运营中的各项风险进行评估，发现可能存在的安全问题，并采取相应的措施进行管理和控制。
4.进行内部审查：定期进行内部审查，确保安全管理体系的有效性和合规性，并及时发现和纠正存在的问题。
5.行业培训和宣传：组织和提供必要的培训和宣传，确保船舶的管理人员和船员能够理解和履行他们的安全职责。
ISM规则的实施需要船舶所有人和运营者配合，并且需要得到相关国家和国际认可机构的认可和监督。
若船舶经营者无法证明其船舶已按照ISM规则履行安全管理职责，将被禁止进入国际港口，严重影响船舶的运营和商业利益。
总之，ISM规则是国际海事组织为确保全球海上航运的安全和环境保护而制定的重要标准。
船舶所有人和运营者必须严格遵守ISM规则，建立完善的安全管理体系，从而确保船舶及其船员的安全，减少事故和环境污染的发生，提高海上航运的整体安全水平。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ISM规则中的风险评估
1．风险评估（Risk Assessment）的产生背景
ISM规则的修正案于2008年12月4日在第85届海安会上以第273号决议通过。
于2010年7月1日强制实施。
修改后的ISM规则1.2.2.2 “对其船舶、人员及环境已认定的所有风险进行评估并制定适当的防范措施”。
2．名词解释
1）危险HAZARD：可能会导致受伤或伤害的源头，或可能会导致受伤或伤害的情况。
2）风险RISK ：有两个意思：a)危险会发生的可能性；b)危险事件的后果。
3．引进“STOP”的理念
做任何事情之前，请：
S---- STOP , 意为先停下来、停止。
T---- THINK , 意为思考、思索，评估是否需要做? 如何做？
O---- OBSERVE , 意为观察，通过观察，发现“危险源”。
P---- PLAN , 意为计划、打算，制定出“预防措施”。
4．风险评估的目的
尽量减少船舶操作中的意外情况，保护人员、船舶、财产的安全，保护海洋环境避免受到污染。
5．风险评估的原则
须谨慎地审核在船舶操作中可能造成的伤害，以便能及早判断是否已采取足够的预防措施，还是需要有更多的措施来防止伤害的发生。
6．风险评估的范围
船上的每一名船员，包括船长；公司的每一名工作人员。
7．谁来执行风险评估
应由具备适当经验的人员来执行，并在适当的情况下采用专家的意见。
一般是由船长来评估，评估小组的成员由大副、轮机长、水手长、机匠长组成，
以2-- 4人为宜，选取的人员应具有代表性。
8．危险源的识别方法
1）危险源：确实能够产生对人员伤害，财产损失，海洋环境污染的一种潜在来源或情况，或是前述三种情况的组合。
2）
3)“危险源”的例子，不限于以下列举的项目：
·不安全的工作习惯
·具有先天性危险的物质
·接触或吸入有毒物质
·潜在着火源
·不利的环境，如寒冷，高温，噪声，光线明亮，震动
·电磁波或无线电波
·天气，如暴风雨，雾，闪电
·海图上未标出的水下物体
·不安全的工作面
·无防备的/不稳定的工作区域,包括船舶航行
·重物
·未加固定的物体
·电流，液压
·设备的可靠性
·语言交流的问题
·缺少训练
·疲劳
·放射性物质的辐射(此项为新增加的)
9．风险评估的步骤
1）把船舶操作进行分类：甲板部，轮机部，货物的操作，日常管理。
2)识别危险源（Hazards）。
回答以下3个问题将有助于识别危险源（Hazards）：
a．有没有“危险源”?
b. 谁或什么可能受到伤害?
c. 伤害会怎样发生？
3)识别现有的控制措施（Control Measure），能否满足控制或降低风险的要求。
控制措施（Control Measure）包括：
·执行公司的体系文件，租家的须知，港章，行业规则和指南
·安排足够数量的人员参与工作
·适当的设计方案与结构
·培训的最低要求
·天气因素，如最大风速，能见度的要求，干燥的天气
·防护和探测的控制方法
·维护保养
·对语言/沟通的要求
·使用合适的设备
4）认定风险（Risk）。
5）判定风险（Risk）是否达到可容忍（olerable）的程度。
6）实施控制措施（Control Measure）。
7）复查风险评估（Risk Assessment）的效果。
10．认定风险（Risk）的因素
a. 造成伤害的潜在严重性；
b.产生伤害的可能性。
这两个因素应当独立地进行判断。
产生伤害的可能性：
微小（1）：公司船队至少每25年一次。
低（2）：每一船舶至少每25年一次。
中（3）：每一船舶至少每5年一次。
高（4）：每一船舶至少每一年一次。
伤害后果的严重性：
轻微（1）：·割伤，擦伤，头痛，腹泻，灰尘入眼，烟囱的烟灰入眼，不舒适的工作环境，健康欠佳引起的暂时不适
·需要急救，但第二天即可以恢复工作
·直接经济损失在5万元人民币及以下
低（2）：·需要急救，但休息1—2天可以恢复工作
·直接经济损失在5万-50万元人民币之间
中（3）：·裂伤，烧伤，脑震荡，严重扭伤，轻微骨折，或工作环境导致永久轻度伤残的疾病
· 3天内不能从事工作，或需要遣送回国治疗
·溢油泄漏在甲板上
·直接经济损失在50-500万元人民币之间
高（4）：·截肢，严重骨折，多发性损伤，中毒，致命性伤害
·不能继续从事航海工作
·溢油泄漏入海
·直接经济损失在500万元人民币及以上
12．风险评估的结果 =可能性X 严重性
风险等级分为4级。
1级：轻微风险，即对应的分值（R）为（1），（2）
2级：低风险，即对应的分值（R）为（3），（4）
3级：中度风险，即对应的分值（R）为（6），（8），（9）
4级：高风险，即对应的分值（R）为（12），（16）
根据上表，经过风险评估后的风险等级是1或2，可以开始工作，不需采取控制措施；
当风险等级是3时，需要采取控制措施，把风险等级降至2或1，才能工作；
当风险等级是4时，先停止工作，采取控制措施，此时要考虑必要的资源配备，待把风险
等级降至2或1后，才能开始工作。
14．在选择控制措施时，应考虑的的原则：
1）排除，把拟进行的有风险的工作取消，是第一选择。
2）弃用危险的物质，改用安全的一种物质。
3) 更改工作程序或须知，由于程序或须知对某项工作的操作描述不全面和不正确。
4) 移走或消除危险源，如：噪声，加热，寒冷，灰尘，烟雾等。
5）使用围栏，把危险区域围闭起来，排除或监控危险。
6）使用技术手段监控危险源，如：泄漏和探测系统，气体/氧气检测设备，液位报警器，闭路电视的监控系统，天气图。
7）安排单人工作，训练其对设备的使用或控制，确定联系语言和通讯工具，身体健康并适于执行该项工作，提供监护人员。
8）个人防护装备，这是其他控制措施未能奏效的最后选择。
9）公司和船舶的应急计划，这是控制措施失败后的最有效措施，它取决于应急反应的速度和效果。
10）为特定的危险提供紧急装备。
15．复查风险评估的效果
对风险评估的内容进行复查，有助于维持风险评估和控制措施的有效性，也有助于在工作人员和工作时间有变动时，都能确保风险评估的一贯性。
当出现以下情况，必须对风险评估进行复查：
1）工作范围的扩大、缩小，或由结构性的改变；
2）工作职责重新分配；
3）更改工作方法；
4）有危险事故发生。
16．事故（Accident）与险情（Near Misses）的区别
事故是指已发生的事情。
险情是指尚未对船舶安全或海洋环境造成损害，如；进港时，水手未把自动舵转换为手操舵，当引水员或船长发出左舵令或右舵令时，船首未向左或右转动，此时水手发现错误，才转换为手操舵，这种行为属于险情（Near Misses）。