PDF《CNAS-SC170》

2017 年01 月01 日 发布

2017 年01 月01 日 实施 CNAS-SC170 信息安全管理体系认证机构认可方案 Accreditation Scheme for ISMS Certification Bodies 中国合格评定国家认可委员会 CNAS-SC170:2017 第2页共23 页2017 年01 月01 日 发布

2017 年01 月01 日 实施 目次前言31范围

4 2 规范性引用文件

4 3 术语和定义

4 4 ISMS 认证机构认可规范的构成

5 R.

1 认可申请

5 R.2 预访问

5 R.3 初次认可的见证评审

5 R.4 认证业务范围的认可

6 R.5 其他

6 C.1 认证协议(CNAS-CC01 条款 5.1.2)7 C.2 风险评估和责任安排(CNAS-CC01 条款 5.3.1)7 C.3 选择审核员(CNAS-CC01 条款 7.

2、CNAS-CC170 条款 7.2.1.1)7 C.4 ISMS 认证证书(CNAS-CC01 条款 8.2.

2、CNAS-CC170 条款 8.2.1)7 C.5 保密(CNAS-CC01 条款 8.

4、CNAS-CC170 条款 8.4.1)7 C.6 ISMS 的变化(CNAS-CC01 条款 8.5.3)8 C.7 已认可的 ISMS 认证的转换(CNAS-CC01 条款 9.1.3.4)8 C.8 认证申请(CNAS-CC01 条款 9.1.2)8 C.9 认证审核相关要求(CNAS-CC01 条款 9.3 至条款 9.9)8 C.10 认证机构的管理体系(CNAS-CC01 条款 10.

1、CANS-CC170 条款 10.1.1) ..

9 G.1 ISMS 认证机构能力分析和评价系统指南

9 附录 A(规范性附录)ISMS 认证机构认证业务范围分类与分级

17 附录 B(资料性附录)通用信息安全技术领域和通用信息技术领域――参考分类、知 识点及应用

19 CNAS-SC170:2017 第3页共23 页2017 年01 月01 日 发布

2017 年01 月01 日 实施 前言本文件由中国合格评定国家认可委员会(CNAS)制定. 本文件是CNAS对信息安全管理体系 (ISMS) 认证机构提出的特定要求和指南, 并与相关认可规则和认可准则共同用于CNAS对ISMS认证机构的认可. 本文件中,用术语 应 表示相应条款是强制性的,用术语 宜 表示建议. 本文件代替了 CNAS-SC170:2015. CNAS-SC170:2017 第4页共23 页2017 年01 月01 日 发布

2017 年01 月01 日 实施 信息安全管理体系认证机构认可方案

1 范围 1.1 为确保 CNAS 对实施 ISO/IEC 27001:2013 认证的信息安全管理体系(以下称为 ISMS )认证机构实施评审和认可的一致性,指导申请和获得认可的 ISMS 认证机构 理解和实施认可规范要求,特制定本文件. 1.2 本文件包括对信息安全管理体系认证机构认可规范的补充说明和指南,适用于 CNAS 对ISMS 认证机构的认可. 本文件 R 部分和 C 部分分别是对相关认可规则和认可准则的补充和说明. 本文件 G 部分是对相关认可准则的应用指南.

2 规范性引用文件 下列文件中的条款通过本文件的引用而成为本文件的条款.以下引用的文件,注 明日期的, 仅引用的版本适用;

未注明日期的, 引用文件的最新版本 (包括任何修订) 适用. CNAS-RC01《认证机构认可规则》 CNAS-CC01《管理体系认证机构要求》 CNAS-CC170《信息安全管理体系认证机构要求》 CNAS-CC11《基于抽样的多场所认证》 CNAS-CC12《已认可的管理体系认证的转换》 ISO/IEC

27007 《信息技术 安全技术 信息安全管理体系审核指南》

3 术语和定义 GB/T

19000、GB/T

27000 和CNAS-CC01 中的术语和定义以及下列术语和定义适 用于本文件. 3.1 认证业务范围:认证机构的 ISMS 认证活动涉及的行业领域 注:认证业务范围的分类与分级见附录 A,包括 政务 、 公共 、 商务 、 产品的 生产 四个大类,每个大类包含若干中类,每个中类被赋予 一 、 二 或 三 级别(认可风险水平由高至低) .附录 A 介绍了认证业务范围分类与分级的相关考虑. 注:对于 ISMS,技术领域与信息安全控制措施所涉及的信息安全技术、信息技术及 业务活动的类别有关. 3.2 专业能力:能够应用特定技术领域的知识实现预期结果的本领 CNAS-SC170:2017 第5页共23 页2017 年01 月01 日 发布