DOC《国家信息安全测评》

必须具有专业从事大数据安全服务的队伍和相应的质量保证;

与大数据安全服务相关的所有成员要签订保密合同,并遵守有关法律法规. 3.2.2 技术能力要求 了解信息系统技术的最新动向,有能力掌握信息系统/平台的最新技术;

具有不断的技术更新能力;

具有对信息系统/平台面临的安全威胁、存在的安全隐患进行信息收集、识别、分析和提供防范措施的能力;

能根据对用户信息系统/平台风险的分析,向用户建议有效的安全保护策略及建立完善的安全管理制度;

具有对发生的突发性数据安全事件进行分析和解决的能力;

具有对市场上的信息系统/平台产品进行功能分析,提出安全策略和安全解决方案及安全产品的系统集成能力;

具有根据服务业务的需求开发信息系统/平台应用、产品或支持性工具的能力;

具有对集成的信息系统/平台进行检测和验证的能力;

有能力对信息系统系统进行有效的维护;

有跟踪、了解、掌握、应用国际、国家和行业标准的能力. 3.2.3 人员构成与素质要求 具有充足的人力资源和合理的人员结构;

所有与大数据安全服务有关的管理和销售人员应具有基本的信息安全知识;

有相对稳定的从事大数据安全服务的技术队伍;

技术骨干人员应系统地掌握大数据安全基础理论和核心技术,并有足够的专业工作经验;

必须有4名以上(含4名)专职的注册信息安全专业人员(CISP). 3.2.4 设备、设施与环境要求 具有固定的工作场所和良好的工作环境;

具有先进的开发、测试或模拟环境;

具有先进的开发、生产和测试设备;

具有实施相关服务必需的开发、生产和测试工具. 3.2.5 规模与资产要求 有足够的注册资金和充足的流动资金;

具有与所申请安全服务业务范围、承担的大数据安全服务规模相适应的服务体系;

有足够的人员从事直接与大数据安全服务相关的活动. 3.2.6 业绩要求 应有从事大数据安全服务的经验;

近3年内在大数据安全服务方面,没有出现验收未通过的情况. 3.3 大数据安全服务过程能力要求 大数据安全服务过程能力是评价大数据安全服务服务专业水平高低的标志. 申请组织应能实施以下8个大数据安全服务过程域: 大数据安全需求分析的能力;

建立大数据安全战略规划体系能力 大数据安全策略制定的能力;

大数据安全组织和人员管理的能力;

基于数据生命周期安全的设计和技术实现的能力;

大数据相关资产管理能力;

大数据供应链管理能力;

大数据合规性管理能力;

3.4 项目和组织过程能力要求 项目和组织过程能力是评价大数据安全服务服务规范性和质量保证成熟度标志. 申请组织应能实施以下6个项目和组织过程域: 质量保证和改进;

管理项目风险活动;

资源管理活动;

项目过程管理活动;

提供不断发展的技能和知识. 资质认定 4.1认定流程图 4.2申请阶段 申请组织应首先到CNITSEC网站(http://www.itsec.gov.cn )查看并下载《信息安全服务资质评估准则》、《信息安全服务资质申请指南(大数据安全类一级)》、和《信息安全服务资质申请书(大数据安全类一级)》,了解资质认定的流程及相关情况,确定本组织满足一级资质的基本资格要求和基本能力要求. 申请组织当决定申请一级大数据安全服务资质后,根据《信息安全服务资质申请书(大数据安全类一级)》的要求填写申请书、加盖公章并将申请书中所要求的相关资料一起提交给CNITSEC,同时提交申请费.在向CNITSEC递交申请书前,须逐项检查所填报的材料的完整性和正确性. 4.3资格审查阶段 CNITSEC接到正式申请书及相关资料以及申请费后,根据所提交的资料进行资格审查,以确认申请单位是否满足资质的基本资格要求,提交资料是否完整. 资格审查包括对申请单位所提交资料进行的形式化审查以及对申请单位的进一步调查和沟通.如果资格审查阶段发现有不符合要求的内容,CNITSEC将要求申请组织补充资料等. 当通过资格审查阶段后,CNITSEC将向申请组织发出受理通知书,正式受理该申请,并通知相关费用的缴纳事宜等. 4.4能力测评阶段 当申请组织通过资格审查并缴纳了相关费用后,资质申请进入能力测评阶段. 能力测评阶段包括静态评估、现场审核、综合评定和资质审定四个步骤. 4.4.1静态评估 静态评估是对申请组织资料进行符合性审查,是对申请组织的大数据服务能力做出基本判断,初步确定申请组织的大数据安全服务能力水平状况,为现场审核做准备.如果静态评估阶段发现有不符合要求的内容,CNITSEC将要求申请组织进一步补充资料,以便反映申请组织的客观情况. 4.4.2现场审核 现场审核是对申请组织从事大数据安全服务的综合能力(包括技术能力、管理能力、质量保证、设施设备、工作环境、人员构成及素质、经营业绩、资产状况等方面)进行核实和确认. 通过静态评估后,CNITSEC将与申请组织沟通现场审核事宜,安排审核组进行现场审核. 现场审核若发现需整改的不符合项,审核组将对申请组织提出限期整改的要求,并对整改效果进行验证. 4.4.3综合评定 在综合评定阶段,将依据静态评估和现场审核结果,对申请组织的基本资格、基本能力、大数据安全服务能力以及资质所要求的其他内容进行综合评定,出具综合评定报告. 对评定结果不符合的,CNITSEC将要求申请组织限期整改.申请组织完成整改并向CNITSEC提交整改报告后,CNITSEC将对整改结果进行验证,整改仍不符合的,将不能通过能力测评.逾期未整改的,视作整改不符合. 4.4.4资质审定 根据综合评定的报告,CNITSEC技术委员会将组织技术专家对申请组织的大数据安全服务资质进行审查,并最终做出是否通过的决定. 4.5证书发放阶段 资质审定通过后,CNITSEC将进行资质证书的制作、审批和发放,并在网站、报刊杂志等媒体上公布获证组织的相关信息. 监督、维持和升级 获得资质........