DOC《国家信息安全测评》

必须具有专业从事信息安全工程服务的队伍和相应的质量保证;

与安全工程服务相关的所有成员要签订保密合同,并遵守有关法律法规. 3.2.2 技术能力要求 了解信息系统技术的最新动向,有能力掌握信息系统的最新技术;

具有不断的技术更新能力;

具有对信息系统面临的安全威胁、存在的安全隐患进行信息收集、识别、分析和提供防范措施的能力;

能根据对用户信息系统风险的分析,向用户建议有效的安全保护策略及建立完善的安全管理制度;

具有对发生的突发性安全事件进行分析和解决的能力;

具有对市场上的信息系统产品进行功能分析,提出安全策略和安全解决方案及安全产品的系统集成能力;

具有根据服务业务的需求开发信息系统应用、产品或支持性工具的能力;

具有对集成的信息系统进行检测和验证的能力;

有能力对信息系统系统进行有效的维护;

有跟踪、了解、掌握、应用国际、国家和行业标准的能力. 3.2.3 人员构成与素质要求 具有充足的人力资源和合理的人员结构;

所有与信息安全服务有关的管理和销售人员应具有基本的信息安全知识;

有相对稳定的从事信息安全服务的技术队伍;

技术骨干人员应系统地掌握信息系统安全基础理论和核心技术,并有足够的专业工作经验;

必须有2名以上(含2名)专职的注册信息安全专业人员(CISP). 3.2.4 设备、设施与环境要求 具有固定的工作场所和良好的工作环境;

具有先进的开发、测试或模拟环境;

具有先进的开发、生产和测试设备;

具有实施相关服务必需的开发、生产和测试工具. 3.2.5 规模与资产要求 有足够的注册资金和充足的流动资金;

具有与所申请安全服务业务范围、承担的安全工程规模相适应的服务体系;

有足够的人员从事直接与信息安全服务相关的活动. 3.2.6 业绩要求 应有从事信息安全服务的经验;

近3年内在信息安全工程服务方面,没有出现验收未通过的情况. 3.3 安全工程过程能力要求 安全工程过程能力是评价信息安全工程服务专业水平高低的标志. 申请组织应能实施以下11个安全工程过程域: 评估系统面临的安全威胁;

评估系统的脆弱性;

评估安全对系统的影响;

评估系统的安全风险;

确定系统的安全需求;

为系统提供必要的安全输入;

管理系统的安全控制;

监测系统的安全状况;

安全协调;

检验并证实系统的安全性;

建立并提供安全性保证论据. 3.4 项目和组织过程能力要求 项目和组织过程能力是评价信息安全工程服务规范性和质量保证成熟度标志. 申请组织应能实施以下6个项目和组织过程域: 质量保证;

管理项目风险;

规划技术活动;

监控技术活动;

提供不断发展的技能和知识;

与供应商协调. 资质认定 4.1认定流程图 4.2申请阶段 申请组织应首先到CNITSEC网站(http://www.itsec.gov.cn )查看并下载《信息安全服务资质评估准则》、《信息安全服务资质申请指南(安全工程类一级)》和《信息安全服务资质申请书(安全工程类一级)》及有关附件,认真阅读上述文档,了解资质认定的流程及相关情况,确定本组织满足一级资质的基本资格要求和基本能力要求. 申请组织当决定申请信息安全服务资质(安全工程类一级)后,根据《信息安全服务资质申请书(安全工程类一级)》的要求填写申请书、加盖公章并将申请书中所要求的相关资料一起提交给CNITSEC,同时提交申请费.在向CNITSEC递交申请书前,须逐项检查所填报的材料的完整性和正确性. 4.3资格审查阶段 CNITSEC接到正式申请书及相关资料以及申请费后,根据所提交的资料进行资格审查,以确认申请单位是否满足资质的基本资格要求,提交资料是否完整. 资格审查包括对申请单位所提交资料进行的形式化审查以及对申请单位的进一步调查和沟通.如果资格审查阶段发现有不符合要求的内容,CNITSEC将要求申请组织补充资料等. 当通过资格审查阶段后,CNITSEC将与申请组织签订合同,正式受理该申请,并通知相关费用的缴纳事宜等. 4.4能力测评阶段 当申请组织通过资格审查并缴纳了相关费用后,资质申请进入能力测评阶段. 能力测评阶段包括静态评估、现场审核、综合评定和资质审定四个步骤. 4.4.1静态评估 静态评估是对申请组织资料进行符合性审查,是对申请组织的信息安全工程服务能力做出基本判断,初步确定申请组织的信息安全工程服务能力水平状况,为现场审核做准备.如果静态评估阶段发现有不符合要求的内容,CNITSEC将要求申请组织进一步补充资料,以便反映申请组织的客观情况. 4.4.2现场审核 现场审核是对申请组织从事信息安全工程服务的综合能力(包括技术能力、管理能力、质量保证、设施设备、工作环境、人员构成及素质、经营业绩、资产状况等方面)进行核实和确认. 通过静态评估后,CNITSEC将与申请组织沟通现场审核事宜,安排审核组进行现场审核. 现场审核若发现需整改的不符合项,审核组将对申请组织提出限期整改的要求,并对整改效果进行验证. 4.4.3综合评定 在综合评定阶段,将依据静态评估和现场审核结果,对申请组织的基本资格、基本能力、信息安全工程服务能力以及资质所要求的其他内容进行综合评定,出具综合评定报告. 对评定结果不符合的,CNITSEC将要求申请组织限期整改.申请组织完成整改并向CNITSEC提交整改报告后,CNITSEC将对整改结果进行验证,整改仍不符合的,将不能通过能力测评.逾期未整改的,视作整改不符合. 4.4.4资质审定 根据综合评定的报告,CNITSEC技术委员会将组织技术专家对申请组织的信息安全工程服务资质进行审查,并最终做出是否通过的决定. 4.5证书发放阶段 资质审定通过后,CNITSEC将进行资质证书的制作、审批和发放,并在网站、报刊杂志等媒体上公布获证组织的相关信息. 监督、维持和升级 获得资质的组织需通过持续发展自身信息安全服务体系以保持基本能力及安全工程过程能力.CNITSEC将通过申诉系统、现场见证以及对信息安全服务项目进行抽样检查来验证每个获得资质组织的能力. 证书在三年有效期内实行年确认制度,每三年进行一次维持换证. 获证后,每年在证书签发之日前30天内,获证组织要向CNITSEC提交年度调查表,并到CNITSEC办理年检.CNITSEC年检中发现获证组织不符合资质认定要求的,将要求其限期整改,整改后仍不合格,CNITSEC将暂停或取消证书. 在证书有效期届满前90天内,由获证组织提出维持换证申请.CNITSEC将依据信息安全服务资质维持有关政策进行评审,以确定获证组织符合信息安全工程服务能力一级资质要求的持续性. 若获证组织相关资料变动时,须及时通知CNITSEC,并申请更改. 若获证组织实体发生变化,需要进行资质证书的转移,可到CNITSEC网站(http://www.itsec.gov.cn )下载并填写信息安全服务资质变更申请书,并提出资质转移申请. 获证组织获证后,可根据自身能力的提升情况,向CNITSEC申请二级资质. 处置 获证组织存在违规行为时,CNITSEC有权视组织违规情节轻重予以以下处置:警告、限期整改、暂停证书、取消证书. 争议、投诉与申诉 对CNITSEC所作的评审、复查、处置等决定有异议时,可向CNITSEC提出书面申诉.CNITSEC将会责成与所申诉、投诉事项无利益相关的人员进行调查,CNITSEC在调查基础上做出结论. 获证组织应妥善处理因自身行为而发生的投诉,保留记录并采取措施防止问题的再发生.CNITSEC将在必要时查阅获证组织的申诉/投诉记录. 获证组织档案 CNITSEC将对每个获证组织建立专项档案,所有资料将保存10年以上. 费用及周期 信息安全服务资质认定收费划分为如下四个部分: 申请费:2000元 测评费:3000元/人日 审定与注册费(含证书费):3000元 年金(含标志使用费):5000元/年 首次获得一级资质证书费用: 2000(申请费)+3000*3*2(三人二日测评费)+3000(审定与注册费) +5000(一年年金)=28000元. 一级资质证书维持费用: 2000(申请费)+3000*2*2.5(二人二日半测评费)+3000(审定与注册费) +5000(一年年金)=25000元. 申请组织还应承担因现场审核活动审核组成员所发生的交通和食宿费用. 从受理到颁发证书的周期为三个月,但由于申请方原因(如,资料补充需要的时间等)造成的时间延误不计算在内. 联系方式 名称:中国信息安全测评中心资质评估处 地址:中国北京市海淀区上地西路8号院1号楼 邮编:100085 传真:010-82341100 咨询