DOC《国家信息安全测评》

获得相关主管部门的批准;

遵守国家现行法律法规;

达到其他补充要求. 3.2 基本能力要求 基本能力的要求包括:技术能力要求,资源配置要求(包括人员构成与素质要求、设备、设施与环境要求),规模与资产要求和业绩要求. 申请信息安全服务(风险评估二级)资质的组织应该: 从事信息安全服务行业3年以上;

注册资本应在500万元以上,资产总额在200万元以上;

近3年的财务状况良好;

从事信息安全服务的人力资源充足、人员结构合理、技术队伍相对稳定,拥有专职的注册信息安全专业人员(CISP)数量不少于从事安全风险评估服务专业技术人员的10%,但不得少于4人;

具有安全可靠的信息安全风险评估工具或设备;

近3年完成信息安全服务风险评估项目总值应在200万元以上. 3.3 质量管理要求 申请信息安全服务(风险评估二级)资质的组织,在质量管理方面应该: 建立合理的组织架构来满足信息安全风险评估服务的实施和管理,信息安全风险评估服务技术部门相对独立;

建立合理的管理架构来满足信息安全服务的管理,建立有效的技术管理、质量管理和组织管理机制;

建立有效的质量管理体系,至少满足支持信息安全风险评估技术能力达到计划跟踪级所需的相关管理能力要求. 3.4安全风险评估过程能力要求 安全风险评估过程能力方面的要求是信息安全风险评估服务资质的核心要求. 申请信息安全服务(风险评估二级)资质的组织应该: 根据国内外信息安全风险评估标准,形成完整的可执行的信息安全风险评估规范,用于指导具体的信息安全风险评估项目,包括评估方法、评估流程、评估步骤等等;

验证安全风险评估实施过程与规范的一致性;

通过可测量的计划跟踪过程的实施情况,当过程实施与计划产生重大偏离时应采取纠正措施. 资质认定 4.1认定流程图 4.2申请阶段 申请组织应首先到CNITSEC网站(http://www.itsec.gov.cn )查看并下载《信息安全服务资质申请指南(风险评估二级)》和《信息安全服务资质申请书(风险评估二级)》及有关附件,认真阅读上述文档,了解资质认定的流程及相关情况,确定本组织满足二级资质的基本资格要求和基本能力要求. 申请组织当决定申请信息安全服务资质(风险评估二级)后,根据《信息安全服务资质申请书(风险评估二级)》的要求填写申请书、加盖公章并将申请书中所要求的相关资料一起提交给CNITSEC,同时提交申请费.在向CNITSEC递交申请书前,须逐项检查所填报的材料的完整性和正确性. 4.3资格审查阶段 CNITSEC接到正式申请书及相关资料以及申请费后,根据所提交的资料进行资格审查,以确认申请单位是否满足资质的基本资格要求,提交资料是否完整. 资格审查包括对申请单位所提交资料进行的形式化审查以及对申请单位的进一步调查和沟通.如果资格审查阶段发现有不符合要求的内容,CNITSEC将要求申请组织补充资料等. 当通过资格审查阶段后,CNITSEC将与申请组织签订合同,正式受理该申请,并通知相关费用的缴纳事宜等. 4.4能力测评阶段 当申请组织通过资格审查并缴纳了相关费用后,资质申请进入能力测评阶段. 能力测评阶段包括静态评估、现场审核、综合评定和资质审定四个步骤. 4.4.1静态评估 静态评估是对申请组织资料进行符合性审查,是对申请组织的信息安全风险评估服务能力做出基本判断,初步确定申请组织的信息安全风险评估服务能力水平状况,为现场审核做准备.如果在静态评估阶段发现申请组织的信息安全风险评估能力不能满足资质要求,将要求申请组织进行整改,待整改完成达到后进入现场审核阶段. 4.4.2现场审核 现场审核是对申请组织从事信息安全风险评估服务的综合能力(包括技术能力、管理能力、质量保证、设施设备、工作环境、人员构成及素质、经营业绩、资产状况等方面)进行核实和确认. 通过静态评估后,CNITSEC将与申请组织沟通现场审核事宜,安排审核组进行现场审核. 现场审核若发现需整改的不符合项,审核组将对申请组织提出限期整改的要求,并对整改效果进行验证. 4.4.3综合评定 在综合评定阶段,将依据静态评估和现场审核结果,对申请组织的基本资格、基本能力、信息安全风险评估服务能力以及资质所要求的其他内容进行综合评定,出具综合评定报告. 对评定结果不符合的,CNITSEC将要求申请组织限期整改.申请组织完成整改并向CNITSEC提交整改报告后,CNITSEC将对整改结果进行验证,整改仍不符合的,将不能通过能力测评.逾期未整改的,视作整改不符合. 4.4.4资质审定 根据综合评定的报告,CNITSEC技术委员会将组织技术专家对申请组织的信息安全风险评估服务资质进行审查,并最终做出是否通过的决定. 4.5证书发放阶段 资质审定通过后,CNITSEC将进行资质证书的制作、审批和发放,并在网站、报刊杂志等媒体上公布获证组织的相关信息. 申请组织领取二级资质证书时需将一级资质证书交回CNITSEC. 监督、维持和升级 获得资质的组织需通过持续发展自身信息安全服务体系以保持基本能力及安全风险评估过程能力.CNITSEC将通过申诉系统、现场见证以及对信息安全服务项目进行抽样检查来验证每个获得资质组织的能力. 证书在三年有效期内实行年确认制度,每三年进行一次维持换证. 获证后,每年在证书签发之日前30天内,获证组织要向CNITSEC提交年度调查表,并到CNITSEC办理年检.CNITSEC年检中发现获证组织不符合资质认定要求的,将要求其限期整改,整改后仍不合格,CNITSEC将暂停或取消证书. 在证书有效期届满前90天内,由获证组织提出维持换证申请.CNITSEC将依据信息安全服务资质维持有关政策进行评审,以确定获证组织符合信息安全风险评估服务能力二级资质要求的持续性. 若获证组织相关资料变动时,须及时通知CNITSEC,并申请更改. 若获证组织实体发生变化,需要进行资质证书的转移,可到CNITSEC网站(http://www.itsec.gov.cn )下载并填写《信息安全服务资质变更申请书》,并提出资质转移申请. 获证组织获证后,可根据自身能力的提升情况,向CNITSEC申请三级资质. 处置 获证组织存在违规行为时,CNITSEC有权视组织违规情节轻重予以以下处置:警告、限期整改、暂停证书、取消证书. 争议、投诉与申诉 对CNITSEC所作的评审、复查、处置等决定有异议时,可向CNITSEC提出书面申诉.CNITSEC将会责成与所申诉、投诉事项无利益相关的人员进行调查,CNITSEC在调查基础上做出结论. 获证组织应妥善处理因组织自身行为而发生的投诉,保留记录并采取措施防止问题的再发生.CNITSEC将在必要时查阅获证组织的申诉/投诉记录. 获证组织档案 CNITSEC将对每个获证组织建立专项档案,所有资料将保存10年以上. 费用及周期 信息安全服务资质认定收费划分为如下四个部分: 申请费:2000元 测评费:3000元/人日 审定与注册费(含证书费):5000元 复审与注册费(含证书费):3000元 年金(含标志使用费):5000元/年 未获得安全工程类服务资质的机构,首次申请风险评估资质(二级)的费用将根据测评过程的工作日进行具体核算. 首次申请风险评估资质(二级)费用: 2000(申请费用)+3000*4*3(静态评估及现场审核4人3日测评费)+5000(审定与注册费)+5000*3(三年年金)=58000元;