信息系统安全集成服务资质认证自评估表
自评估结论：
经自主评估，本单位的信息系统安全集成服务满足《信息安全服务规范》三级要求，申请第三方审核。
本单位郑重承诺，《信息安全服务资质认证自评估表-公共管理》与本自评估表中所提供全部信息真实可信，且均可提供相应证明材料。
编号： 国家信息安全测评 信息安全服务资质申请书 (安全开发类一级) 申请单位（公章）： 填表日期： ?2011—中国信息安全测评中心 2011年1月1日
目录 填表须知 (3) 申请表 (4) 一、申请单位基本情况 (5) 二、申请单位概况 (6) 三、申请单位近三年资产运营情况 (7) 四、申请单位人员情况 (8) 五、申请单位技术能力基本情况 (8) 六、申请单位安全开发过程能力 (8) 6.1安全意识和安全教育 (8) 6.2启动安全开发过程 (8) 6.3产品风险评估和分析 (8) 6.4定义安全设计原则 (8) 6.5提供安全文档和安全配置工具 (8) 6.6进行安全编码 (8) 6.7进行安全测试 (8) 6.8安全最终评审与产品发布 (8) 6.9安全响应服务 (8) 七、申请单位的项目和组织过程能力 (8) 7.1实现质量保证的能力 (8) 7.2实现配置管理的能力 (8) 7.3管理项目风险的能力 (8) 7.4规划项目技术活动的能力 (8) 7.5监控技术活动的能力 (8) 7.6提供不断发展的知识和技能的能力 (8) 7.7与供应商协调的能力 (8) 八、申请单位安全服务项目汇总 (8) 九、申请单位获奖、资格授权情况 (8) 十、申请单位在安全开发服务方面的发展规划 (8) 十一、申请单位其他说明情况 (8) 十二、申请单位附加信息 (8) 申请单位声明 (8)
填表须知 用户在正式填写本申请书前，须认真阅读并理解以下容： 1．中国信息安全测评中心对下列对象进行测评： ●信息技术产品 ●信息系统 ●提供信息安全服务的组织和单位 ●信息安全专业人员 2．申请单位应仔细阅读《信息安全服务资质申请指南（安全开发类一级）》，并按照其要求如实、详细地填写本申请书所有项目。 3．申请单位应按照申请书原有格式进行填写。如填写容较多，可另加附页。 4．提交申请书之前，请仔细查验申请书填写是否有误，须提供的附件以及证明材料是否完整。 5．申请单位须提交本申请书（含附件及证明材料）纸版一份，要求盖章的地方，必须加盖公章，同时提交一份对应的电子文档。 6．本申请书要求提供的附件及证明材料须单独装订成册并编目。提供的资料须客观、真实和完整，不要编辑、修改和摘录，但可以进行脱密处理。 7．如有疑问，请与中国信息安全测评中心联系。 中国信息安全测评中心 地址：市海淀区上地西路8号院1号楼 邮编：100085 ：（010）82341188或82341118 传真：82341100 网址：https://www.doczj.com/doc/433286277.html, 电子：https://www.doczj.com/doc/433286277.html,
信息系统安全集成工作流程
(4) 2适用范围 (4) 3安装调试 (4) 3.1准备阶段 (5) 3.1.1准备工作安排 (5) 3.1.2技术支持人员要求 (6) 3.1.3险点分析与控制 (6) 3.1.4工具及材料准备 (6) 3.2施工阶段 (7) 3.2.1 开工 (7) 3.2.2施工工艺标准 (7) 4信息系统安全集成项目验收 (8) 4.1信息系统安全集成项目自调测 (8) 4.2信息系统安全集成项目验收步骤 (8) 4.3信息系统安全集成项目验收内容 (9) 5售后服务 5.1售后服务方式 (11) 5.2售后服务流程 (11) 5.2.1 电话维护 (12) 5.2.2现场维护 (12) 5.2.3定期回访 (13) 6客户培训 6.1培训人员 (14) 6.2 培训目标 (14) 11 14
6.3培训方式 (14) 6.4培训内容 (14)
7建立客户档案14
1目的 规范信息系统安全集成的作业流程，确保人身和设备的安全。提高信息系统安全集 成的安装、调试工作、资料归纳的管理水平及所属资料文档的规范化、标准化。提高信息系统安全集成服务人员的服务水平与服务意思。提高客户对信息系统安全集成后设备 的操作、使用水平。保障信息系统安全集成后网络的安全、稳定运行。 信息系统安全集成工程的工作主要包括以下三个方面：现场的安装调试、工程验收、售后服务和客户培训。 2适用范围 适用于公司信息系统安全集成项目所有应用产品的安装、调试、验收、售后服务和培训工作。 安装、调试、验收和售后服务部分针对人群为本公司技术支持工程师；培训部分针 对于客户信息系统中安全系统的管理、操作和维护人员。 3安装调试 为保障信息系统安全集成服务项目的安全、有效的进行。保证设备验收一次性通过, 以及施工后的维护工作顺利进行。项目集成过程中要严格按照流程进行操作。 一、远程核实现场实施条件，协调客户完善现场实施环境，确认实施日期。 二、现场确认实施条件，协调客户完善现场实施环境，确认实施日期。 三、与客户一同进行开箱验货，验货清单双方签字确认。 四、组织开工协调会议，确认施工范围和施工职责。做到安全施工责任到个人。 五、进行安全系统产品的安装、调试工作。 六、安全系统设备运行自检、观察。确保产品配置正确，安全、稳定的运行。
国家信息安全服务资质 灾难恢复服务资质（一级）认证指南 （试行） ?版权2008—中国信息全安全测评中心 2008年5月1日
目录 目录................................................................................................................... I 一、认证依据 (1) 二、级别划分 (2) 三、认证要求 (3) （一）基本资格要求 (3) （二）基本能力要求 (3) 1、组织与管理要求 (3) 2、技术能力要求 (3) 3、人员构成与素质要求 (4) 4、设备、设施与环境要求 (4) 5、规模与资产要求 (4) 6、业绩要求 (4) （三）灾难恢复服务过程能力 (4) 四、申请流程 (6) （一）申请流程图 (6) （二）申请阶段 (6) （三）资格审查阶段 (6) （四）能力测评阶段 (6) 1、静态评估 (6) 2、现场审核 (6) 3、综合评定 (7) 4、认证审核 (7) （五）证书发放阶段 (7) 五、监督、维持和升级 (8) 六、处置 (9) 七、争议、投诉与申诉 (10) 八、认证企业档案 (11) 九、认证费用及周期 (12)
一、认证依据 信息安全灾难恢复服务资质评估是对信息系统灾难恢复服务提供者的资格状况、技术实力和实施灾难恢复服务过程能力等方面的具体衡量和评价。 信息安全灾难恢复服务资质，是依据《信息安全服务资质评估准则》、《信息安全灾难恢复服务能力评估准则》等相关要求，在对申请组织的基本资格、技术实力、信息安全灾难恢复服务能力以及工程项目的组织管理水平等方面的评估结果基础上的综合评定后，由中国信息全安全测评中心给予的资质认证。
信息系统安全集成实施规范
目录 1 目的 (3) 2 适用范围 (3) 3 安装调试 (3) 3.1准备阶段 (4) 3.1.1 准备工作安排 (4) 3.1.2 技术支持人员要求 (5) 3.1.3 险点分析与控制 (5) 3.1.4 工具及材料准备 (5) 3.2施工阶段 (6) 3.2.1 开工 (6) 3.2.2 施工工艺标准 (6) 4 信息系统安全集成项目验收 (7) 4.1信息系统安全集成项目自调测 (7) 4.2信息系统安全集成项目验收步骤 (7) 4.3信息系统安全集成项目验收内容 (8) 5 售后服务 (10) 5.1售后服务方式 (10) 5.2售后服务流程 (10) 5.2.1 电话维护 (11) 5.2.2 现场维护 (12) 5.2.3 定期回访 (13) 6 客户培训 (13) 6.1培训人员 (13) 6.2培训目标 (13) 6.3培训方式 (14) 6.4培训内容 (14) 7 建立客户档案 (14)
1目的 规范信息系统安全集成的作业流程，确保人身和设备的安全。提高信息系统安全集成的安装、调试工作、资料归纳的管理水平及所属资料文档的规范化、标准化。提高信息系统安全集成服务人员的服务水平与服务意思。提高客户对信息系统安全集成后设备的操作、使用水平。保障信息系统安全集成后网络的安全、稳定运行。 信息系统安全集成工程的工作主要包括以下三个方面：现场的安装调试、工程验收、售后服务和客户培训。 2适用范围 适用于公司信息系统安全集成项目所有应用产品的安装、调试、验收、售后服务和培训工作。 安装、调试、验收和售后服务部分针对人群为本公司技术支持工程师；培训部分针对于客户信息系统中安全系统的管理、操作和维护人员。 3安装调试 为保障信息系统安全集成服务项目的安全、有效的进行。保证设备验收一次性通过，以及施工后的维护工作顺利进行。项目集成过程中要严格按照流程进行操作。 一、远程核实现场实施条件，协调客户完善现场实施环境，确认实施日期。 二、现场确认实施条件，协调客户完善现场实施环境，确认实施日期。 三、与客户一同进行开箱验货，验货清单双方签字确认。 四、组织开工协调会议，确认施工范围和施工职责。做到安全施工责任到个人。 五、进行安全系统产品的安装、调试工作。 六、安全系统设备运行自检、观察。确保产品配置正确，安全、稳定的运行。
一体化认证审核/评价记录表 自评价及评审表-QMS 中国网络安全审查技术与认证中心第 1 页共 11 页
填表说明： 1、规范化方式为组织为规范条款相关活动而采取的具体行动的方式，如果通过制度文件提出要求规范化方式为“文件规定”，如果没有制度文件采用工具进行约束规范 化方式为“工具实现”，组织可以同时采用两种方式。如果组织未针对标准要求建立任务规范要求，则选无，但需注意没有进行规范并不意味组织未执行相关活动，组织可能采用约定俗成的方式开展活动，这可能与组织的文档化粗细程度有关。确定了规范化方式要记录原因、文件名称或工具名称。 2、“规范关键要求”为组织文件关键要求或工具的规范方式，“资源要求”是执行该活动需要的资源，包括人、财、技术和信息。 3、“规范执行证据”要填写活动执行的证据，如果为文档证据，需要填写抽样的文档的名称和或编号，如果是工具实现，可通过记录或图片的方式。本文件可以附证据 附件，需要在证据内容一栏填写附件名称。资源保障证据类似。 4、“执行绩效评价”为活动设定的绩效目标与实际执行结果。 5、如果相关条款即存在不符合也存在观察项，评价一栏可以多选。 6、请在“证据内容”中体现审核范围的相关信息，例如物理环境审核应体现地址，抽样记录应体现涉及的业务和部门。 中国网络安全审查技术与认证中心第 2 页共 11 页
中国网络安全审查技术与认证中心第 3 页共 11 页
中国网络安全审查技术与认证中心第 4 页共 11 页
中国网络安全审查技术与认证中心第 5 页共 11 页
中国网络安全审查技术与认证中心第 6 页共 11 页
系统集成项目管理发展方向 一种方向是当一个系统集成公司处于成长的初期时，或面临激烈的市场竞争，或行业内技术变化日新月异的情况下，采用“求变”的项目管理模式容易使系统集成公司冲出重围加速发展，因为在今天的系统集成领域，产品从设计到投入使用之间并没有充分的时间让你按部就班地稳步成长，在传统项目管理中较理想化项目生命周期的各个阶段被诸多限制条件极度压缩，因此，只能采取灵活多变的措施，在计划进度内完成项目，取得效益。“求变”是一种创新，它对管理者和项目执行者的素质均提出了很高的要求，只有建立在全面了解新技术的特点和自身的优势劣势的基础之上才可能取得成功。 另一种发展方向则是项目管理的标准化趋势，例如将ISO9000或CMM软件能力成熟度模型等标准化过程引入到系统集成项目管理中，通过这些标准化的流程使得项目的实施过程更加有序化、可控化。使项目管理向规范化、标准化发展无疑是较理想的，标准化本身就是节约成本，创造效益的过程，因此它是一个系统集成公司走向规模化的必由之路。然而并非所有的系统集成公司都有具备了实现标准化的条件，尤其对中小型公司而言，如果过分追求标准化的形式，可能反而导致效率低下。因此，系统集成必须以实事求是的态度，根据公司自身以及项目的实际情况，制定合适的项目管理方式方法，使公司先生存再发展。 系统集成部 运营工作流程 售前——售中——售后项目实施阶段工作流程： 一、流程图
售中
售后
二、工作流程说明 1、根据销售部门提出的服务请求由销售代表填写服务请求表格，在服务请求表格中详细填写以下信息：用户详细信息、服务请求类型、服务内容、服务请求时间等等信息。 2、网络技术的受理人员将销售或业务部门的服务申请单提交给部门主管，由部门技术主管结合当前的工作安排以及申请服务的技术类型，合理的安排相应的技术人员受理该项服务（设计服务）。 3、根据销售部门对整个项目的了解情况，以及网络技术部门对方案设计数据的需求情况决定是否需要对用户进行上门调研。 3．1需要项目上门调研。由网络技术部门主观指派响应的技术人员上门对客户的情况进行了解，填写项目调研、现场勘察的 各种表格。 3．2不需要项目上门调研。销售方已经充分了解了用户的需求，由销售方填写用户需求的表格。
信息系统安全集成工作流程 欧阳光明（2021.03.07） 目录 1 目的4 2 适用范围4 3 安装调试4 3.1准备阶段5 3.1.1 准备工作安排6 3.1.2 技术支持人员要求6 3.1.3 险点分析与控制6 3.1.4 工具及材料准备7 3.2施工阶段7 3.2.1 开工7 3.2.2 施工工艺标准8 4 信息系统安全集成项目验收8 4.1信息系统安全集成项目自调测8 4.2信息系统安全集成项目验收步骤8 4.3信息系统安全集成项目验收内容10 5 售后服务11 5.1售后服务方式11 5.2售后服务流程11 5.2.1 电话维护12
5.2.3 定期回访14 6 客户培训14 6.1培训人员14 6.2培训目标14 6.3培训方式15 6.4培训内容15 7 建立客户档案15 1目的 规范信息系统安全集成的作业流程，确保人身和设备的安全。提高信息系统安全集成的安装、调试工作、资料归纳的管理水平及所属资料文档的规范化、标准化。提高信息系统安全集成服务人员的服务水平与服务意思。提高客户对信息系统安全集成后设备的操作、使用水平。保障信息系统安全集成后网络的安全、稳定运行。 信息系统安全集成工程的工作主要包括以下三个方面：现场的安装调试、工程验收、售后服务和客户培训。 2适用范围 适用于公司信息系统安全集成项目所有应用产品的安装、调试、验收、售后服务和培训工作。 安装、调试、验收和售后服务部分针对人群为本公司技术支持工程师；培训部分针对于客户信息系统中安全系统的管理、操作和维护人员。 3安装调试 为保障信息系统安全集成服务项目的安全、有效的进行。保证
信息安全服务工具列表 15 Troubleshooting Troubleshooting - Sysdig是一个能够让系统管理员和开发人员以前所未有方式洞察其系统行为的监控工具。一款系统调试工具，能够对系统进行故障排查和监控，在系统故障的时候非常实用。 Troubleshooting - SystemTap 是监控和跟踪运行中的Linux 内核的操作的动态方法。 Troubleshooting - Perf 是Linux kernel自带的用来进行软件性能分析的工具。通过它，应用程序可以利用 PMU，tracepoint 和内核中的特殊计数器来进行性能统计。它不但可以分析指定应用程序的性能问题 (per thread)，也可以用来分析内核的性能问题，当然也可以同时分析应用代码和内核，从而全面理解应用程序中的性能瓶颈。 16 服务发现 服务发现- etcd 是一个高可用的 Key/Value 存储系统，主要用于分享配置和服务发现。在分布式系统中，如何管理节点间的状态一直是一个难题，etcd像是专门为集群环境的服务发现和注册而设计，它提供了数据TTL失效、数据改变监视、多值、目录监听、分布式锁原子操作等功能，可以方便的跟踪并管理集群节点的状态。 17 持续集成 持续集成-Go 是一款先进的持续集成和发布管理系统,由ThoughtWorks开发。在Go的帮助下，我们能够以流水线的方式实现各类定期执行任务，而这些操作当中的实例会被称为job。还有它能够利用值流图对整个持续交付流程进行可视化处理。最终生成的图表能帮助我们追踪从提交到部署的整个流程中的各项具体变更。 持续集成-Jenkins，之前叫做Hudson，是基于Java开发的一种持续集成工具，用于监控秩序重复的工作，包括：1,持续的软件版本发布/测试项目 2，监控外部调用执行的工作。 持续集成-GitLab是一个利用 Ruby on Rails 开发的开源应用程序，实现一个自托管的Git项目仓库，可通过Web界面进行访问公开的或者私人项目。能够浏览源代码，管理缺陷和注释。可以管理团队对仓库的访问，它非常易于浏览提交过的版本并提供一个文件历史库。它还提供一个代码片段收集功能可以轻松实现代码复用，便于日后有需要的时候进行查找。
信息安全服务资质 认证要求 ISCCC XXX XXX-2007 信息安全服务资质 认证要求 Certification Requirements for Qualification of Information Security Service Provider (备案送审稿) 中国信息安全认证中心 发布 ××××-××-××实施 ××××-××-××发布 备案号：××××—××××
目录 前言............................................................ 错误!未定义书签。 1 适用范围...................................................... 错误!未定义书签。 2 定义.......................................................... 错误!未定义书签。 信息安全服务............................................ 错误!未定义书签。 信息安全服务提供者 ...................................... 错误!未定义书签。 信息安全服务资质等级 .................................... 错误!未定义书签。 信息安全工程过程能力级别 ................................ 错误!未定义书签。 3 服务类型与资质评定原则 ........................................ 错误!未定义书签。 信息安全服务的类型 ...................................... 错误!未定义书签。 信息安全服务资质等级的评判原则 .......................... 错误!未定义书签。 4 认证具体要求.................................................. 错误!未定义书签。 基本资格................................................ 错误!未定义书签。 独立法人 .......................................... 错误!未定义书签。 法律要求 .......................................... 错误!未定义书签。 基本能力................................................ 错误!未定义书签。 资产与规模 ........................................ 错误!未定义书签。 人员素质与构成 .................................... 错误!未定义书签。 设备、设施与环境 .................................. 错误!未定义书签。 业绩 .............................................. 错误!未定义书签。 质量管理能力............................................ 错误!未定义书签。 体系和管理职责 .................................... 错误!未定义书签。 资源管理 .......................................... 错误!未定义书签。 项目过程管理 ...................................... 错误!未定义书签。 测量、分析和改进 .................................. 错误!未定义书签。 客户服务 .......................................... 错误!未定义书签。 技术能力更新 ...................................... 错误!未定义书签。 安全工程过程能力 ........................................ 错误!未定义书签。 风险过程 .......................................... 错误!未定义书签。 工程过程 .......................................... 错误!未定义书签。 保证过程 .......................................... 错误!未定义书签。 5 引用标准与参考文献 ............................................ 错误!未定义书签。 计算机信息系统安全保护等级划分准则 ...................... 错误!未定义书签。 系统安全工程能力成熟模型 ................................ 错误!未定义书签。 系统安全工程能力成熟模型—评定方法 ...................... 错误!未定义书签。 信息系统安全工程手册 .................................... 错误!未定义书签。 软件工程能力成熟模型 .................................... 错误!未定义书签。 6 附录——系统安全工程主要术语 .................................. 错误!未定义书签。 组织.................................................... 错误!未定义书签。 项目.................................................... 错误!未定义书签。 系统.................................................... 错误!未定义书签。 安全工程................................................ 错误!未定义书签。 安全工程生命期 .......................................... 错误!未定义书签。 工作产品................................................ 错误!未定义书签。 顾客.................................................... 错误!未定义书签。 过程.................................................... 错误!未定义书签。 过程能力................................................ 错误!未定义书签。 制度化................................................ 错误!未定义书签。 过程管理................................................ 错误!未定义书签。
信息系统安全集成实施规
目录 1 目的 (4) 2 适用围 (4) 3 安装调试 (4) 3.1准备阶段 (5) 3.1.1 准备工作安排 (5) 3.1.2 技术支持人员要求 (6) 3.1.3 险点分析与控制 (6) 3.1.4 工具及材料准备 (6) 3.2施工阶段 (7) 3.2.1 开工 (7) 3.2.2 施工工艺标准 (7) 4 信息系统安全集成项目验收 (8) 4.1信息系统安全集成项目自调测 (8) 4.2信息系统安全集成项目验收步骤 (8) 4.3信息系统安全集成项目验收容 (9) 5 售后服务 (11) 5.1售后服务方式 (11) 5.2售后服务流程 (11) 5.2.1 维护 (12) 5.2.2 现场维护 (12) 5.2.3 定期回访 (13) 6 客户培训 (14) 6.1培训人员 (14) 6.2培训目标 (14) 6.3培训方式 (14) 6.4培训容 (14)
7 建立客户档案 (14)
1目的 规信息系统安全集成的作业流程，确保人身和设备的安全。提高信息系统安全集成的安装、调试工作、资料归纳的管理水平及所属资料文档的规化、标准化。提高信息系统安全集成服务人员的服务水平与服务意思。提高客户对信息系统安全集成后设备的操作、使用水平。保障信息系统安全集成后网络的安全、稳定运行。 信息系统安全集成工程的工作主要包括以下三个方面：现场的安装调试、工程验收、售后服务和客户培训。 2适用围 适用于公司信息系统安全集成项目所有应用产品的安装、调试、验收、售后服务和培训工作。 安装、调试、验收和售后服务部分针对人群为本公司技术支持工程师；培训部分针对于客户信息系统中安全系统的管理、操作和维护人员。 3安装调试 为保障信息系统安全集成服务项目的安全、有效的进行。保证设备验收一次性通过，以及施工后的维护工作顺利进行。项目集成过程中要严格按照流程进行操作。 一、远程核实现场实施条件，协调客户完善现场实施环境，确认实施日期。 二、现场确认实施条件，协调客户完善现场实施环境，确认实施日期。 三、与客户一同进行开箱验货，验货清单双方签字确认。 四、组织开工协调会议，确认施工围和施工职责。做到安全施工责任到个人。 五、进行安全系统产品的安装、调试工作。 六、安全系统设备运行自检、观察。确保产品配置正确，安全、稳定的运行。
国家信息安全测评 信息安全服务资质申请指南（安全开发类二级） ?版权2017—中国信息安全测评中心 2017年10月
一、认定依据4 二、级别划分4 三、二级资质要求5 3.1 基本资格要求5 3.2 基本能力要求5 3.3质量管理能力要求 6 3.4安全开发过程能力要求 6 四、资质认定7 4.1认定流程图7 4.2申请阶段 8 4.3资格审查阶段 8 4.4能力测评阶段 8 4.4.1静态评估8 4.4.2现场审核9 4.4.3综合评定9 4.4.4资质审定9 4.5证书发放阶段 9 五、监督、维持和升级10 六、处置10 七、争议、投诉与申诉10 八、获证组织档案11 九、费用及周期11 十、联系方式12
中国信息安全测评中心（以下简称CNITSEC）是经中央批准成立、代表国家开展信息安全测评的职能机构，依据国家有关产品质量认证和信息安全管理的政策、法律、法规，管理和运行国家信息安全测评体系。 中国信息安全测评中心的主要职能是： 1.对国内外信息安全产品和信息技术进行测评； 2.对国内信息系统和工程进行安全性评估； 3.对提供信息系统安全服务的组织和单位进行评估； 4.对信息安全专业人员的资质进行评估。 “信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。 本指南适用于所有向CNITSEC申请信息安全服务资质（安全开发类二级）的境内外组织。
信息安全服务资质认证实施规则 CCRC-ISV-R01:2018 2018-05-25发布 2018-06-01实施 中国网络安全审查技术与认证中心
ISCCC-ISV-R01:2017 信息安全服务资质认证实施规则 目录 1 适用范围 (2) 2 认证依据 (2) 3 术语与定义 (2) 3.1 信息安全服务 (2) 3.2 自评估 ...................................................................................................... 错误!未定义书签。 3.3 现场审核 (2) 3.4 非现场审核 (2) 3.5 现场见证 .................................................................................................. 错误!未定义书签。 3.6 特殊审核 (2) 4 审核人员及审核组要求 (2) 5 认证信息公开 (3) 6 认证程序 (3) 6.1 初次认证 (3) 6.1.1 认证申请 (3) 6.1.2 申请评审 (3) 6.1.3 建立审核方案 (4) 6.1.4 确定审核组 (5) 6.1.5 非现场审核 (5) 6.1.6 现场审核 (6) 6.1.7 现场见证（必要时） (7) 6.1.8 认证决定 (8) 6.1.9 证书颁发 (8) 6.2 监督审核 (8) 6.2.1 频次和方式 (8) 6.2.2 信息收集 (8) 6.2.3 信息评审与审核方案维护 (9) 6.2.4 制定审核计划 (9) 6.2.5 审核实施 (10) 6.2.6 监督审核结论 (10) 6.2.7 认证决定 (10) 6.2.8 审核方案记录与变更 (10) 6.3 特殊审核 (10) 6.3.1 变更或扩大认证范围 (10) 6.3.2 审核方案记录与变更 (11) 7 信息通报 (11) 8 认证证书管理 (11) 8.1 证书有效期 (11) 8.2 暂停认证证书 (12) 8.3 撤销认证证书 (12) 8.4 证书变更 (12)
信息系统及安全集成项目管理制度
目录 1 信息系统安全集成项目管理 (3) 1.1项目管理需求 (3) 1.2项目管理目的 (3) 2 项目管理制度 (4) 2.1人员管理 (4) 2.2项目组织管理 (4) 2.3项目质量管理 (5) 2.4项目进度管理 (6) 2.5项目材料管理 (7) 2.6项目安全管理 (7) 2.7项目成本管理 (8) 2.8项目竣工技术文件管理 (9) 2.9项目结算文件管理 (9) 2.10项目施工分配原则 (10)
1信息系统安全集成项目管理 1.1项目管理需求 信息系统安全集成管理应该以计划为基础、过程控制为手段、知识模板为依托、一业务流程为主线来警醒构建。包括实施计划模板、进度进化模板、工程规章制度、工程操作流程、工程信息分析等，在工程实施项目过程中祈祷了一定的指导作用。 而在实际操作过程中需要加强对施工质量的控制力度，确保建设的质量，及时发现施工质量存在的问题并能迅速采取相应的措施加以纠正和解决，必须在已有的各种管理细则基础上，制定出一套较完善的工程建设项目管理体系和项目管理工具，使之能指导工程建设的全过程，客观地记录和评估项目建设质量和项目管理水平。 1.2项目管理目的 一、加强各级项目管理人员的项目管理意识，认识现代项目管理知识范围和工作方 法。 二、构建科学的项目管理体系，使项目管理业务流程、项目实施业务流程、项目管 理制度标准化、规范化、建立标准、规范的知识模板库。 三、简便地制定项目工作分解计划，进度网络计划，资源使用计划、成本预算计划、 工程质量计划等，科学合理地制定项目基准。 四、项目执行期间，规划、评估、优化、规范和固化业务流程，利用信息系统来规 范地执行各类业务流程，监管项目的实施进度、工程质量和风险应对。 五、在项目验收后，系统地评估、分析项目的实际效益，回顾及审计项目过程及项 目成果，沉淀项目建设过程的经验知识作为未来项目的管理经验。
信息安全服务资质认证流程图
流程说明： 1、自评估 组织在中国信息安全认证中心网站下载《信息安全服务资质认证自评估表-管理》+对应的技术自评估表，并实施自评估。 2、认证申请 组织依据信息安全服务资质认证程序、认证实施规则中相关要求，确定申请服务资质类别，并填写《信息安全服务资质认证申请书》。 组织向中国信息安全认证中心提交《信息安全服务资质认证申请书》、《信息安全服务自评估表》及相关证明材料。 3、申请材料评审 中心依据认证程序和相关标准要求，对申请组织提交的认证相关材料进行评审，并确定申报资质类别和级别，签订认证合同。 4、现场评审 认证机构组成评审组，依据相关标准和评审要求，到申请组织现场进行评审，并出具现场评审报告。特别，对申请一级资质认证的组织，必要时选择申请组织的客户进行项目实施现场见证。 现场验证符合要求后，认证机构组成评审组，依据相关标准和评审要求，到申请组织现场进行评审，并出具现场评审报告。 5、认证决定 认证决定委员会由3名以上（含3名）奇数认证决定人员组成，作出认证决定。 6、证书颁发 对于符合认证要求的申请组织，颁发认证证书，并予以公示。 7、证后监督 （1）证后监督频次和方式 对获证组织实施监督，每年度（不超过12个月）进行一次监督评审。 当获证组织发生重大变更、事故或客户投诉时，可增加现场监督评审的频次。 （2）证后监督内容 监督评审除包括初次评审的内容外，还应对上一次审核中提出的观察项所采取纠正/预防措施进行验证。 （3）证后监督结论
对于通过监督评审的获证组织，做出维持认证证书有效的决定；否则，暂停或撤销其认证证书。 （4）信息通报 为确保获证组织的安全服务能力持续有效，获证组织应建立信息通报渠道，及时报告以下信息： a)组织机构变更信息； b)安全事故、客户投诉信息； c)其他重要信息。
文件编码：ISCCC-SV-001:2015 信息安全服务资质认证实施规则 （第2版） 2015-04-01发布2015-04-01实施 中国信息安全认证中心发布
目录 1.适用范围 (1) 2.规范性引用文件 (1) 3.术语与定义 (1) 3.1.信息安全服务 (1) 3.2.信息安全服务资质 (1) 3.3.信息安全风险评估 (1) 3.4.信息安全应急处理 (1) 3.5.信息系统安全集成 (2) 3.6.信息系统灾难备份与恢复 (2) 3.7.软件安全开发 (2) 3.8.信息系统安全运维 (2) 4.通用评价要求 (2) 4.1.三级评价要求 (2) 4.1.1.法律地位要求 (2) 4.1.2.财务资信要求 (2) 4.1.3.办公场所要求 (2) 4.1.4.人员素质与资质要求 (2) 4.1.5.业绩要求 (3) 4.1.6.服务管理要求 (3) 4.1.7.服务合同要求 (3) 4.1.8.服务安全要求 (3) 4.1.9.服务技术要求 (3) 4.2.二级评价要求 (3) 4.2.1.法律地位要求 (4) 4.2.2.财务资信要求 (4) 4.2.3.办公场所要求 (4) 4.2.4.人员素质与资质要求 (4) 4.2.5.技术工具要求 (4) 4.2.6.业绩要求 (4) 4.2.7.服务管理要求 (4) 4.2.8.服务合同要求 (5) 4.2.9.服务安全要求 (5) 4.2.10.服务技术要求 (5) 4.3.一级评价要求 (5)
4.3.1.申请条件 (5) 4.3.2.法律地位要求 (5) 4.3.3.财务资信要求 (5) 4.3.4.办公场所要求 (5) 4.3.5.人员素质与资质要求 (5) 4.3.6.技术工具要求 (6) 4.3.7.业绩要求 (6) 4.3.8.服务管理要求 (6) 4.3.9.服务合同要求 (6) 4.3.10.服务安全要求 (6) 4.3.11.服务技术要求 (7) 5.专业评价要求 (7) 5.1.风险评估服务资质专业评价要求 (7) 5.2.安全集成服务资质专业评价要求 (7) 5.3.应急处理服务资质专业评价要求 (7) 5.4.灾难备份与恢复服务资质专业评价要求 (7) 5.5.软件安全开发服务资质专业评价要求 (7) 5.6.安全运维服务资质专业评价要求 (7) 6.认证程序 (7) 6.1.自评估 (7) 6.2.认证申请 (7) 6.3.申请材料评审 (7) 6.4.现场评审 (8) 6.5.认证决定 (8) 6.6.证书颁发 (8) 6.7.证后监督 (8) 6.7.1.证后监督频次和方式 (8) 6.7.2.证后监督内容 (8) 6.7.3.证后监督结论 (8) 6.7.4.信息通报 (8) 6.8.认证证书管理 (8) 6.8.1.证书有效期 (8) 6.8.2.暂停认证证书 (8) 6.8.3.撤销认证证书 (9) 6.8.4.注销认证证书 (9) 6.8.5.证书变更 (9) 附录A（规范性附录）：信息安全风险评估服务资质专业评价要求 (10)
信息安全集成项目管理制度 第一章总则 为适应现代生活中网络化的工作环境，在从事网络系统，应用系统、安防系统、建筑智能化系统的集成过程中，明确工作责任，保障安全设计、施工，遵照国家有关法律法规和公司其他有关规定，特制定本制度。 第二章定义 第一条适用范围 1、硬件工程：除纯硬件销售之外的硬件项目，包括网络安全设备安装工程、 综合布线工程、监控产品的安装工程等。 2、软件工程：公司自行开发的软件项目及代理软件，包括案件查询、门户 网站、网络管理、准入控制、补丁分发等。 3、综合性工程：划分为硬件分项工程、软件分项工程实施管理。 第二条名词解释 1、业务经理：在项目施工前的项目经理，主要负责完成项目的前期安全及 建设需求调研分析，从项目的前期公关、跟踪，直至项目的签约。 2、项目经理：在项目签约之后的项目经理，主要负责项目的详细调研、设 计方案和实施方案的设计，从实施计划的制定、执行，直至项目的完工 验收。 3、信息系统安全集成服务小组：由公司内部成立，针对项目的安全性方面 做方案论证和评审。
第三章项目准备 第三条安全集成项目售前阶段 由公司业务经理与客户建立联系，与客户进行售前接洽，了解客户背景信息，采集系统建设需求及目标，提出产品选型方案和建设预算，结合系统建设和安全需求，与客户达成共识。由项目经理配合完成方案设计及产品选型方案的设计，由公司信息系统安全集成服务小组批准后执行。 第四条任务 1、进行需求调研分析； 2、提出产品选型方案和建设预算，风险预测； 3、项目签约，签订合同及保密协议。 第五条需求调研分析的内容包括： 1、调研客户背景信息，明确系统功能、性能及安全性要求，风险识别； 2、公司技术、资源能否支持； 3、依据建设需求，提出产品选型方案和建设预算，风险避免措施； 4、相关供应商是否符合客户对安全保密的严格要求； 5、与客户达成共识的总体设计方案； 6、项目实施的可行性； 7、客户的业界信誉（主要指资金信誉）； 8、公司其他的竞争优势； 9、其他需要提供的分析资料。 第六条项目如需采用招投标方式实施，可进入招投标流程。项目中标则继续执行以下程序，未中标则项目结束并将文档归档。
安全集成项目——工作流程项目实施阶段工作流程： 一、流程图 售前 是否
售中Array 售后
二、工作流程说明 1、根据销售部门提出的服务请求由销售代表填写服务请求表格，在服务请求表格中详细填写以下信息：用户详细信息、服务请求类型、服务内容、服务请求时间等等信息。 2、网络技术的受理人员将销售或业务部门的服务申请单提交给部门主管，由部门技术主管结合当前的工作安排以及申请服务的技术类型，合理的安排相应的技术人员受理该项服务（设计服务）。 3、根据销售部门对整个项目的了解情况，以及网络技术部门对方案设计数据的需求情况决定是否需要对用户进行上门调研。 3．1需要项目上门调研。由网络技术部门主观指派响应的技术人员上门对客户的情况进行了解，填写项目调研、现场勘察的各种表格。 3．2不需要项目上门调研。销售方已经充分了解了用户的需求，由销售方填写用户需求的表格。 4、将项目调研的各种数据进行汇总整理，结合项目的需求开展项目讨论，成立项目小组，根据项目的类型指派相应技术人员进行方案的设计，相关销售人员配合，填写方案设计报告表。 5、技术人员在方案设计报告表要求的时间内设计解决方案，在设计过程中充分结合销售部门人员，出现设计目标不明确或数据不清楚的情况及时联系甲方负责人，进行项目补充调查。 6、方案设计完成后，由方案设计人员发起，网络技术主管主持、网络技术人员以及相关销售人员参加的项目设计方案讨论会，着重对方案的可行性、先进性、设备选型、造价幅
度等情况进行审核，最终确立技术方案，由技术总监签字确认。 7、将设计出的方案提交给物流部门，由物流部门制定项目设备预算报价，销售部门制定自己的投标报价。 8、将设计的方案书与投标报价提交甲方。 8．1 根据甲方的要求，我方技术人员到达用户现场解答用户提出的各种问题，对设计方案进行现场的技术讲解。 9、签定合同。 10、技术总监组织相关技术人员开展项目组织会议，成立项目实施小组，安排负责人，根据合同工期要求编写施工组织计划与施工方案。 11、进入项目管理阶段，结合项目管理手册对项目进行管理。 12、进行项目准备会 参加部门：项目实施部销售部门物流部门财务部门 行政人事部门 需明确的会议议题： 成立项目小组并且明确分工、职责与负责人 确立施工的起始时间 制订项目准备阶段的时间计划表
申请编号： 信息安全服务资质认证 申请书 申请组织（盖章）： 申请日期： 中国网络安全审查技术与认证中心
填写说明 1、本申请书适用于向中国网络安全审查技术与认证中心申报信息安全服务资质认证。 2、申请组织需提交申请书和自评价表（自评价表应包括公共管理、对应服务类别的自评价表各一份）。 3、申请书应使用A4型纸打印，首页及申请组织声明处加盖组织公章，并使用黑色钢笔或签字笔在相应位置签名（法人），上传申请书扫描件。 4、申请书中所要求提交的证明材料，自评价表及自评价证据以电子版方式提供，不接受纸版材料。
信息安全服务资质认证申请书 1.申请信息 1.1 申请类型 初次认证 级别变更 1.2 申请类别与级别 安全集成一级二级三级 应急处理一级二级三级 风险评估一级二级三级 安全运维一级二级三级 软件安全开发一级二级三级 网络安全审计一级二级三级 工业控制系统安全一级二级三级 灾难备份与恢复（资源服务类）一级二级三级 灾难备份与恢复（技术服务类）一级二级三级工业控制系统安全 能源一级二级三级 交通一级二级三级 通信一级二级三级 水利一级二级三级 城建一级二级三级 其他）一级二级三级 1.3 保持的类别和级别（级别变更或增加类别时填写） 安全集成一级二级三级 应急处理一级二级三级 风险评估一级二级三级 安全运维一级二级三级 软件安全开发一级二级三级 灾难备份与恢复A类一级二级三级 灾难备份与恢复B类一级二级三级 网络安全审计一级二级三级 工业控制系统安全
能源一级二级三级 交通一级二级三级 通信一级二级三级 水利一级二级三级 城建一级二级三级 其他）一级二级三级 2.组织基本信息（所有申请类型和级别都需填写） 2.1申请组织全称（中文）：。 申请组织全称（英文）：。 统一社会信用代码：。 注册地址（中文）：，邮编：。 注册地址（英文）：。 办公地址（含邮编）：。 计划审核地址（含邮编）：。 网址：。 法人；电话：手机：传真： 管理者代表：。电话：手机：传真： 联系人：电话：手机：传真： E-mail：通讯地址：邮编。 2.2 资本类型 A类（国有）B类（民营企业）C类（中外合资）D类（纯外资）2.3 企业总人数（大约）：人。 2.4 信息安全服务人员（大约）：人。 2.5 公司成立时间：年月日。 2.6 从事安全服务开始时间：年月日。 2.7 公司是否属于纯安全服务组织是否 2.7 业务所在行业领域及服务年限 能源（年）金融（年）交通（年） 水利（年）医疗卫生（年）环境保护（年） 工业制造（年）市政（年）电信与互联网（年）广播电视（年）政府部门（年） 其他：。