ISCCC-QOT-0428信息安全服务资质自表-风险类

编码：ISCCC-QOG-0406-B/0服务资质认证自评估表填写规范发布/修订日期：2017 年9 月 1 日生效日期：2017 年 9月 1日主责处室：体系与服务认证部批准：张剑中国信息安全认证中心ISCCC-QOG-0426-B/0 服务资质认证自评估表填写规范程序文件修改记录序号 文件代码 修改章节 文件更改通知单编号 修改日期 修改人 批准人 1 B/0 新增 2017.8 翟亚红 张剑服务资质认证自评估表填写规范1目的对自评估表填写进行规范，确保申请组织的自评价材料基本信息清晰明了。

2适用范围适用于所有服务资质申请企业。

3职责申请组织相关人员填写自评估表。

4服务资质认证自评估表填写过程4.1公共管理自评估表填写规范4.1.1、财务资信填写内容包含以下信息：所提供的财务审计或者财务报告的年份，对于财务审核报告需填写所出具的会计事务所名称，需填写收入、净利润等信息。

4.1.2、办公场所填写内容包含以下信息：房屋产权证或房屋租赁合同；产权人/出租人、地址、面积、租期。

4.1.3、人员能力填写内容包含以下信息：1）填写组织负责人姓名、年龄、职务、职称、学历、工作经历、资质证书。

2）填写技术负责人姓名、年龄、职务、职称、学历、工作经历、资质证书。

3）填写财务负责人姓名、年龄、职务、职称、学历、工作经历、资质证书。

4）填写信息安全服务人员数量，养老保险证明出具单位及出具时间，劳动合同的签订时间及有效期。

5）信息安全专业保障人员认证证书，填写获证人员名称、证书编号、发证日期、有效期。

6）填写项目经理人员数量，人员的名称、证书名称、证书编号等。

4.1.4、业绩填写内容包含以下信息：1）填写首个信息安全服务（与申报类别一致）项目名称、合同签订时间、项目验收时间。

2）填写近三年信息安全服务项目（与申报类别一致）名称、合同金额、合同签订时间、验收时间、项目服务内容等。

4.1.5、服务管理填写内容包含以下信息：1）填写人员管理程序，内容应包含岗位职责，人员任前、中、后的监督、考核、评价、奖惩方式，信息安全服务相关技术岗位的能力指标。

信息系统安全运维服务资质认证自评估表
度提出的观察项跟踪验证情况（如有）度提出的不符合项跟踪验证情况（如有）
ISCCC-QOT-0434-B/2 信息系统安全运维服务资质认证自评估表自评估结论：
经自主评估，本单位的信息系统安全运维服务资质满足ISCCC-SV-001:2015《信息安全服务资质认证实施规则》级要求，申请第三方审核。

本单位郑重承诺，《信息安全服务资质认证自评估表-公共管理》与本自评估表中所提供全部信息真实可信，且均可提供相应证明材料。

中国信息安全认证中心第7 页共7 页。

CCRC-QOT-0428-B/4信息安全风险评估服务资质认证自评估表信息安全风险评估服务资质认证自评估表组织名称评估时间序要点号条款申报级别评估部门 /人员自评估结论需提供证明材料不证明材料清单符符合合按照相关标准建立的信息安全风险1.2.3.4. 服务技术要求基本资格建立信息安全风险评估服务流程。

制定信息安全风险评估服务规范并按照规范实施。

仅三级要求：至少有一个完成的风险评估项目，该系统的用户数在 1,000以上；具备从管理或（和）技术层面对脆弱性进行识别的能力。

仅二级要求：针对多种类型组织，多行业组织，至少完成一个风险评估项目，该系统的用户数在 10,000 以上；具备从管理和技术层面对脆弱性进行识别的能力。

评估服务流程，流程图中应包括每个阶段对应的职责、输入输出等。

已制定的信息安全风险评估服务规范。

一个已完成项目的合同、用户数、验收的证明材料，包括管理或（和）技术层面脆弱性识别的材料。

一个已完成项目的合同、用户数、验收的证明材料，包括管理和技术层面脆弱性识别的材料。

序要点号5.6.7.8.9.10.准备阶段- 11.服务方案制定12.13.条款仅一级要求：能够在全国范围内，针对5个（含）以上行业开展风险评估服务；至少完成两个风险评估项目，该系统的用户数在 100,000 以上；具备从业务、管理和技术层面对脆弱性进行识别的能力。

仅三级要求：具备跟踪信息安全漏洞的能力仅二级要求：具备跟踪、验证信息安全漏洞的能力。

仅一级要求：具备跟踪、验证、挖掘信息安全漏洞的能力。

编制风险评估方案、风险评估模板，并在项目实施过程中按照模板实施。

应为风险评估实施活动提供总体计划或方案，方案应包含风险评价原则。

仅二级 / 一级要求：应进行充分的系统调研，形成调研报告。

仅二级 / 一级要求：宜根据风险评估目标以及调研结果，确定评估依据和评估方法。

仅二级 /一级要求：应形成较为完整的需提供证明材料5个已完成项目的合同、用户数、验收的证明材料，从业务、管理和技术层面对脆弱性进行识别的材料。

信息安全服务资质应急处理类自评估表————————————————————————————————作者: ————————————————————————————————日期:ﻩ信息安全应急处理服务资质认证自评估表组织名称申报级别评估时间评估部门/人员序号要点条款需提供证明材料自评估结论证明材料清单符合不符合1.服务技术要求建立信息安全应急处理服务流程。

按照相关标准建立的信息安全应急处理服务流程，流程图中应包括每个阶段对应的职责、输入输出等。

2.制定信息安全应急处理服务规范并按照规范实施。

已制定的信息安全应急处理服务规范。

3.准备阶段明确客户的应急需求。

应急服务内容，已完成项目中对客户应急需求进行调研分析的证明材料。

4.了解客户应急预案的内容。

需对客户自身已建立的应急预案的内容进行了解与熟悉(客户应急预案的内容)。

5.配备有处理网络或信息安全事件的工具包,包括常用的系统命令、工具软件等。

工具包及工具列表6.仅二级/一级要求：网络与信息安全事件序号要点条款需提供证明材料自评估结论证明材料清单符合不符合工具包中应配备专业技术检测设备。

7.工具包应定期更新。

工具包更新记录。

8.配备应急处理服务人员。

服务人员列表、专业资质证书。

9.对在应急处理服务过程中可能会采取的操作、处理等行为,获得用户的书面授权。

用户出具的书面授权书。

10.仅二级/一级要求:在客户应急需求基础上制定应急服务方案。

应急服务方案（模板和实际服务项目方案），应急服务方案中应涵盖客户自身建立的应急预案内容。

协助客户建立的应急预案。

11.仅二级／一级要求:应急服务方案应涉及客户应急预案的启动与执行。

12.仅二级/一级要求:若客户未建立应急预案,可协助客户建立。

13.仅二级／一级要求:对工具包实行制度化管理。

工具包管理制度及执行记录。

14.三级/二级／一级分别要求：可提供本地2小时／本地1小时、外地8小时/本地7X2４小时、外地4小时应急响应服务能力。

信息安全服务资质认证自评估表-公共管理
填表说明：
1、该自评估表与申报具体的服务类别自评估一并使用，单个文档不作为自评估支撑材料。

申报多个服务类别且级别不同时，按照申请的最高级别服务资质认证的管理要求填写。

2、仅申请三级服务资质认证时，如有项目则不需填该评估表中的第24、25项，直接填写对应的服务类别自评估表；
3、仅申请三级服务资质认证时，如无项目则仅需填写该自评估表，且申请方须承诺（提供加盖组织公章并由法人签字确认的承诺书）在获证后6个月内完成该方向的服务项目并填写对应方向的自评估表提交ISCCC及审核组长。

信息系统安全集成服务资质认证自评估表
提出的观察项整改情况（如有）提出的不符合项整改情况（如有）
CCRC-QOT-0429-B/4 信息系统安全集成服务资质认证自评估表自评估结论：
经自主评估，本单位的信息系统安全集成服务满足《信息安全服务规范》级要求，申请第三方审核。

本单位郑重承诺，《信息安全服务资质认证自评估表-公共管理》与本自评估表中所提供全部信息真实可信，且均可提供相应证明材料。

中国网络安全审查技术与认证中心制第 5 页共5 页。

信息安全应急处理服务资质认证自评估表
度提出的观察项跟踪验证情况（如有）度提出的不符合项跟踪验证情况（如有）
ISCCC-QOT-0430-B/2 信息安全应急处理服务资质认证自评估表自评估结论：
经自主评估，本单位的信息安全应急处理服务资质满足ISCCC-SV-001:2015《信息安全服务资质认证实施规则》级要求，申请第三方审核。

本单位郑重承诺，《信息安全服务资质认证自评估表-公共管理》与本自评估表中所提供全部信息真实可信，且均可提供相应证明材料。

中国信息安全认证中心制第6 页共6 页。