下载文档原格式
信息安全管理体系认证实施规则ISCCC-ISMS-001:2016中国信息安全认证中心目录1.适用范围 (2)2.认证依据 (2)3.术语和定义 (2)3.1.信息收集 (2)3.2.现场审核 (2)4.认证类别 (2)5.审核人员及审核组要求 (2)6.认证信息公开 (2)7.认证程序 (2)7.1.初次认证 (2)7.2.监督审核 (6)7.3.再认证 (8)7.4.管理体系结合审核 (8)7.5.特殊审核 (9)7.6.暂停、撤消认证或缩小认证范围 (9)8.认证证书 (10)8.1.证书内容 (10)8.2.证书编号 (11)8.3.对获证组织正确宣传认证结果的控制 (11)9.对获证组织的信息通报要求及响应 (11)10.附录A：审核时间 (11)1.适用范围本规则用于规范中国信息安全认证中心（简称中心）开展信息安全管理体系（ISMS）认证活动。
2.认证依据以国家标准ISO/IEC27001:2013《信息技术安全技术信息安全管理体系要求》为认证依据。
3.术语和定义3.1.现场审核中心指派审核组到受审核方或获证组织所在办公地点进行管理体系运行的符合性进行审核。
4.认证类别认证类型分为初次认证，监督审核和再认证。
为满足认证的需要，中心可以实施特殊审核，特殊审核采取现场审核方式进行。
5.审核人员及审核组要求认证审核人员必须取得其他管理体系认证注册资格，并得到中心的专业能力评价，以确定其能够胜任所安排的审核任务。
审核组应由能够胜任所安排的审核任务的审核员组成。
必要时可以补充技术专家以增强审核组的技术能力。
具有与管理体系相关的管理和法规等方面特定知识的技术专家可以成为审核组成员。
技术专家应在审核员的监督下进行工作，可就受审核方或获证组织管理体系中技术充分性事宜为审核员提供建议，但技术专家不能作为审核员。
6.认证信息公开中心应向申请认证的社会组织(以下称申请组织)至少公开以下信息：1)认证服务项目；2)认证工作程序；3)认证依据；4)证书有效期；5)认证收费标准。
《信息安全服务资质认证规范》的编制说明(一)制定认证技术规范的必要性;信息安全服务资质认证的对象是一个组织,组织资格、背景、管理、服务技术与人员管理、资产管理、环境管理、财务等方面的管理都需要对其进行评价、认证,组织提供服务的结果是保证被服务信息运行的平台是安全、可信的。
信息安全服务结果的好坏、服务组织的综合能力高低、人员的综合能力的高低直接影响到被服务单位的信息安全问题。
所以一个服务组织的信息安全服务资质的能力必须经过认证才能从客观上保证其能力是满足的。
信息安全服务资质管理可有效防范和控制有不同背景的企业提供信息安全服务给国家安全带来的潜在安全威胁。
资质认证将有助于保证用户合法权益、规范和促进信息安全服务市场的发展;有效解决人员流动带来的管理失控等问题。
信息安全服务是把双刃剑,由信息安全服务带来的安全问题有时可能比外在的安全问题更加严重,加强信息安全服务资质管理已成当务之急。
所以信息安全服务是一个全方位的服务,信息安全服务的结果直接决定信息的传输、储存是否安全,认证信息安全服务能力对组织的发展、行业的发展、国家的安全起到相当重要的作用。
所以信息安全服务资质认证的发展对我国整体提高信息安全保障能力起到极大的作用。
从产业发展角度看,规范和促进信息安全服务市场有利于信息安全服务商水平和能力的提高,通过资质认证建立技术壁垒,也可以达到扶持国内民族产业发展的目的。
(二)与相关法律法规以及国家有关规定的关系;2003年中央颁布了《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号文),提出了建立信息安全认证认可体系的要求。
在2006年底的国务院信息化办公室网络与信息安全协调小组会议上决定由国家认证认可监督管理委员会(简称:认监委)牵头建立信息安全服务资质认证认可制度,这项制度是建立统一的信息安全认证认可体系的一个重要组成部分。
(三)与现行标准的关系,包括存在的差异及理由;1目前没有专门针对信息安全服务资质认证的国家标准和行业标准,可供参考的国际标准主要是ISO/IEC 21827:2002《系统安全工程能力成熟度模型》。
信息安全服务资质认证技术规范Technical Specifications of Certificationfor Qualification of Information Security Service Provider(备案稿)目录前言 (3)1 范围 (4)2 规范性引用文件 (4)3 术语和缩略语 (4)3.1 术语 (4)3.2 缩略语 (5)4 认证具体要求 (5)4.1 基本资格 (6)4.1.1 独立法人 (6)4.1.2 法律要求 (6)4.2 基本能力 (6)4.2.1 资产与规模 (6)4.2.2 人员素质与构成 (6)4.2.3 设备、设施与环境 (6)4.2.4 业绩 (7)4.3 信息安全服务管理过程 (7)4.3.1 建立并实施服务管理体系 (7)4.3.2 服务等级管理 (7)4.3.3 保密管理 (8)4.3.4 服务报告 (8)4.3.5 服务连续性及可用性管理 (8)4.3.6 信息安全服务的预算及财务管理 (8)4.3.7 容量管理 (8)4.3.8 信息安全管理 (9)4.3.9 业务关系管理过程 (9)4.3.10 供方管理 (9)4.3.11 事故管理 (10)4.3.12 问题管理 (10)4.3.13 项目风险管理 (10)4.3.14 配置管理 (10)4.3.15 变更管理 (11)4.3.16 发布管理 (11)5 信息安全服务类型与资质评定原则 (11)5.1 信息安全服务的类型 (11)5.2 信息安全服务资质的评判原则 (11)2前言本技术规范是信息安全服务资质认证技术规范。
本技术规范根据我国信息安全服务管理的现状，并参考了相关技术规范而制定。
本技术规范由中国信息安全认证中心（ISCCC）提出并归口。
本技术规范起草单位：中国信息安全认证中心。
3本技术规范适用于认证机构对提供信息安全服务的组织进行信息安全服务资质的评估，也可作为信息安全服务的需方对服务组织的选择依据；或作为国家主管部门对评估对象进行管理和检查的技术规范。
信息安全服务资质认证实施细则二、认证机构的设立和资质评估1. 认证机构应由有关部门或权威机构设立，具备一定的声誉和专业能力。
2. 认证机构应制定详细的资质评估标准，确保评估过程公正、公开、透明。
3. 资质评估主要包括资质核准、现场审核、资质认证等环节。
三、资质认证申请和审核1. 信息安全服务机构应向认证机构提交资质认证申请，申请材料应详细描述机构的组织架构、人员素质、服务能力等信息。
2. 认证机构对提交的申请材料进行初步审核，确定是否满足基本条件，不满足条件的申请将被拒绝。
3. 通过初步审核的申请将进入现场审核阶段，认证机构将根据资质评估标准对申请机构进行现场考察和调研。
4. 现场审核主要包括组织架构的合理性、人员素质的符合要求、服务流程的规范性等方面的评估。
5. 符合条件的申请机构将被认证机构颁发资质认证证书，成为合格的信息安全服务机构，证书的有效期为三年。
四、认证机构的监督和管理1. 认证机构应定期对已认证机构进行监督和考核，确保认证机构在有效期内维持其资质。
2. 认证机构应建立投诉处理机制，对用户投诉进行及时处理，并对投诉情况进行统计和分析。
3. 一旦发现被认证机构存在严重违规行为，认证机构有权暂停或取消其资质认证。
4. 认证机构应定期公布已认证机构的名单，并及时更新。
五、常见问题解答1. 认证机构是否有权利收取认证费用？认证机构有权利收取一定的认证费用来确保其运营的可持续性和专业性，但认证费用应合理、透明，并符合相关法律法规的要求。
2. 如何证明认证机构的合法性和专业性？认证机构应具备相关资质和执业证书，同时在业界有一定的声誉和业绩。
相关部门或权威机构可以通过审核、监管等途径对认证机构进行评估和监督。
3. 资质认证是否需要定期更新？是的，资质认证的有效期为三年，过期后需要重新申请认证，重新提交申请材料，并进行现场审核和评估。
4. 用户如何选择合格的信息安全服务机构？用户可以查看认证机构公布的合格机构名单，选择已获得认证的安全服务机构。
信息安全服务资质认证实施规则一、总则随着互联网的发展和信息化水平的提高，信息安全问题愈发突出，成为各个行业和领域关注的焦点。
为了保护信息安全，各个组织和企业开始关注信息安全服务的资质认证。
本规则旨在明确信息安全服务资质认证实施的基本原则和具体细节，规范认证过程，提高认证结果的可信度和有效性。
二、认证机构的选择1. 认证机构应当具备国家相关认证机构认可资质，并且在信息安全服务领域具有一定的经验和声誉。
2. 认证机构应当具备专业的技术人员和设备，能够对被认证对象的信息系统进行全面的评估和检测。
3. 认证机构应当具备独立性和公正性，不得受到任何利益关系的影响。
三、认证范围和要求1. 信息安全服务资质认证应当覆盖信息系统的硬件、软件、网络和人员等方面的安全。
2. 认证应当基于国家和行业的相关标准和规范，对被认证对象进行全面的评估和检测。
3. 认证应当包括对信息系统的漏洞扫描、风险评估、安全策略制定和安全培训等方面的检测。
四、认证过程1. 申请阶段：被认证对象应当向认证机构提交申请，包括申请表格和相关材料。
2. 预审阶段：认证机构将对申请资料进行初步审核，如有不符合要求的情况，将通知被认证对象进行补正。
3. 认证评审阶段：认证机构将派遣专业人员对被认证对象的信息系统进行全面的评估和检测。
4. 结论汇报阶段：认证机构将根据评审结果向被认证对象出具认证报告，报告包括认证结论和存在的问题及改进建议等。
5. 认证审核阶段：认证机构将对认证报告进行审核，并与被认证对象进行面谈和讨论。
6. 认证决策阶段：认证机构将根据认证报告和审核结果作出认证决策，认证决策结果将以书面形式通知被认证对象。
五、认证后的监督与维护1. 认证机构应当定期对已认证对象的信息系统进行跟踪检测和监督评估。
2. 认证机构应当接受被认证对象的监督，对于存在的问题应当及时进行整改。
3. 被认证对象应当定期进行信息安全演练和培训，提高信息安全意识和应急能力。
ICS13."100C 78中华人民共和国安全生产行业标准AQ/T 9006—2010AQ企业安全生产标准化基本规范Basic norms for work safety standardization of enterprises2010-04-15发布2010-06-01实施国家安全生产监督管理总局发布AQ/T 9006—2010目前1234次言............................................................................................................................. .........................II范围..................................................................................................................................... ......................... 1规范性引用文件..................................................................................................................................... ..... 1术语和定义..................................................................................................................................... ............. 1一般要求..................................................................................................................................... .. (1)4.1原则..................................................................................................................................... . (1)4.2建立和保持..................................................................................................................................... .. (2)4.3评定和监督..................................................................................................................................... ........25核心要求..................................................................................................................................... .. (2)5.1目标..................................................................................................................................... . (2)5.2组织机构和职责 (2)5.3安全生产投入..................................................................................................................................... . (2)5.4法律法规与安全管理制度 (2)5.5教育培训..................................................................................................................................... .. (3)5.6生产设备设施..................................................................................................................................... . (4)5.7作业安全..................................................................................................................................... .. (4)5.8隐患排查和治理 (5)5.9重大危险源监控 (6)5.10职业健康..................................................................................................................................... . (6)5.11应急救援..................................................................................................................................... . (7)5.12事故报告、调查和处理 (7)5.13绩效评定和持续改进 (7)IAQ/T 9006—2010前本标准由国家安全生产监督管理总局提出。
编号：ISCCC-IR-001:2011IT产品信息安全认证实施规则通用规则2011-07-01发布2011-07-01实施中国信息安全认证中心发布目录1．适用范围 (1)2．认证模式 (1)3．认证的基本环节 (1)3.1认证申请及受理 (1)3.2文档审核 (1)3.3型式试验委托及实施 (1)3.4初始工厂检查（如适用） (1)3.5认证结果评价与批准 (1)3.6获证后监督 (1)4．认证实施 (1)4.1认证流程 (1)4.2认证申请及受理 (1)4.3文档审核 (2)4.4型式试验委托及实施 (3)4.5初始工厂检查（如适用） (3)4.6认证结果评价与批准 (4)4.7获证后监督 (4)5．认证时限 (5)6．认证证书 (5)6.1认证证书的保持 (5)6.2认证证书的变更 (6)6.3认证证书覆盖产品的扩展 (6)6.4认证证书的暂停、注销和撤销 (6)7认证标志的使用 (6)7.1认证标志的样式 (6)7.2认证标志的使用 (7)7.3加施方式 (7)7.4标志位置 (7)8收费 (7)附件1： (7)附件2： (9)1．适用范围本规则适用于中国信息安全认证中心（ISCCC）针对信息技术产品开展的信息安全认证，对已有特定实施规则的产品应遵循相应实施规则。
2．认证模式型式试验 + 初始工厂检查（如适用）+ 获证后监督3．认证的基本环节3.1认证申请及受理3.2文档审核3.3型式试验委托及实施3.4初始工厂检查（如适用）3.5认证结果评价与批准3.6获证后监督4．认证实施4.1认证流程申请方向认证机构申请认证，认证机构在接收到申请方的认证申请后，审查申请资料，确认合格后向申请方选择的实验室安排检测任务，并通知申请方根据要求送样。
实验室依据相关标准和/或技术规范进行检测，并在完成检测后向认证机构提交检测报告。
认证机构对检测报告审查合格后，需要时由认证机构组织进行初始工厂检查。
认证机构对型式试验、初始工厂检查结果（如适用）进行综合评价，并在认证决定评价合格后向申请方颁发认证证书。
文件编码：ISCCC-SV-001:2010信息安全服务资质认证实施规则2010-4-15发布 2010-4-15实施中国信息安全认证中心目 录1.适用范围 (2)2.认证标准 (2)3.认证模式 (2)4.认证的基本环节 (2)5.认证实施 (3)5.1.认证时限 (3)5.2.认证申请及受理 (4)5.3.文档审核 (5)5.4.现场审核 (6)5.5.认证决定 (6)5.6.证后监督 (7)5.7.再认证 (8)5.8.认证变更 (8)6.认证证书 (9)6.1.认证证书有效期 (9)6.2.认证证书的管理 (9)7.收费 (10)1.适用范围信息安全服务资质认证是依据国家法律法规、国家标准、行业标准和技术规范，按照认证基本规范及认证规则，对提供信息安全服务提供方的安全服务资质进行评价的合格评定活动。
中国信息安全认证中心根据《中华人民共和国认证认可条例》及相关规定制定本规则。
本规则适用于中国信息安全认证中心开展的信息安全服务资质认证工作，信息安全服务类别可包括信息安全应急处理、风险评估、灾难恢复、系统测评、安全运维、安全咨询、安全培训、安全审计、安全监理等多种。
本规则规定了实施信息安全服务资质认证管理与实施的基本要求。
2.认证模式现场检查+ 特定服务检查 + 获证后监督3.认证的基本环节(1)认证申请及受理(2)文档审核(3)现场审核(4)认证决定(5)获证后监督(6)再认证4.认证标准信息安全服务资质认证所依据的标准包括相关国家标准、行业标准和认证技术规范，涵盖了对信息安全服务提供方的基本资格、基本能力、管理能力、技术能力等方面的要求。
目前，信息安全服务资质认证采用的标准主要分为两大类：（1）通用基础标准：CNCA/CTS 0052-2007 《信息安全服务资质认证技术规范》YD/T 1621-2007 《网络与信息安全服务资质评估准则》（2）特定评价标准：针对特定类型的信息安全服务的评价要求。
可作为认证评价的所依据或参考的标准包括相关国家或行业标准、技术规范及管理指南，如：YD/T 1799-2008 《网络与信息安全应急处理服务资质评估方法》GB/T 20984-2007 《信息安全技术 信息安全风险评估规范》GB/Z 20985-2007 《信息技术 安全技术 信息安全事件管理指南》 GB/Z 20986-2007 《信息安全技术 信息安全事件分类分级指南》GB/T 20988-2007 《信息安全技术 信息系统灾难恢复规范》GB/T 22081-2008 《信息技术 安全技术 信息安全管理实用规则》 特定类型服务的资质认证要求可通过相关标准、规范或实施规则另行规定。
5.认证实施5.1.认证时限认证时限是指自申请被正式受理之日起至颁发认证证书时止所实际发生的时间，其中包括认证受理、文档审核、现场审核、认证决定以及证书颁发。
认证受理不超过2个工作日（因申请材料不齐备，补充材料时间不计算在内）。
在认证受理提交后3个工作日内由项目管理人员安排审核组进行文档审核，文档审核不超过5个工作日（因申请材料不满足标准要求，补充材料时间不计算在内）。
文档审核完成后在10个工作日内进行现场审核（因申请方原因延误的时间不计算在内）。
现场审核时间由认证机构根据申请方的申请级别和其所承担的风险等确定。
一般情况下，申请某一类别的信息安全服务资质认证现场审核时间为2到4人日；同时申请两种以上（含两种）服务类别的资质认证，适当增加审核时间。
现场审核报告在现场审核完成后10个工作日内由审核组长完成，并由被审核单位签字或盖章（对于存在不符合项报告的情况，整改要求在一个月之内完成，整改后由审核组确认纠正/预防措施的有效性）。
现场审核报告完成后在5个工作日内进行认证决定，3个工作日内制作、颁发证书并予以公告。
信息安全服务提供方如果已获得信息安全服务资质认证，再申请其他类别的信息安全服务资质认证，认证周期可适当缩短。
5.2.认证申请及受理5.2.1申请方按照要求自愿向认证机构提交信息安全服务资质认证申请。
申请方须满足以下基本条件：（1） 应是一个独立的实体，具有独立法人资格；（2） 应遵守国家现行法律、法规的规定；（3） 应有一支稳定的信息安全服务团队；（4） 应完成一定数量的信息安全服务项目，且通过验收；（5） 应建立符合标准要求的质量管理与项目管理体系；（6） 从事涉及国家秘密的服务提供方必须获得国家保密机关的资质认证；（7） 应与信息安全服务人员签订保密协议，并对服务人员进行保密教育；（8） 信息安全服务提供方应具备安全保密的工作环境，主要体现在：指派专人负责将信息安全服务的资料进行单独保管；准备独立且不联网的计算机以存放有保密要求的电子文档。
5.2.2 申请方应提交的文件（1） 信息安全服务资质认证申请书；（2） 独立法人资格证明材料；（3） 从事信息安全服务的相关资质证明；（4） 工作保密制度及相应组织监管体系已建立的证明材料；（5） 与信息安全服务人员签订的保密协议复印件；（6） 人员构成与素质证明材料；（7） 规模与资产证明材料；（8） 公司组织结构证明材料；（9） 具备固定办公场所的证明材料；（10） 项目管理制度文档；（11） 信息安全服务质量管理文件；（12） 项目案例及业绩证明材料；（13） 信息安全服务能力证明材料等。
5.3.文档审核认证机构应根据认证依据、程序等要求，及时对申请方提交的申请文件和资料进行审核并保存审核记录，以确保：（1） 认证要求规定明确、形成文件并得到理解；（2） 认证机构和申请方之间在理解上的差异得到解决；（3） 对于申请的认证范围、工作场所和任何特殊要求，认证机构均有能力开展认证服务。
文档审核内容包括：（1） 文件的符合性、适宜性和充分性；（2） 适用法律、法规的识别情况及在相关文件中落实的情况。
5.4.现场审核认证机构应组成审核组，依据相关标准和审核要求，对申请方进行现场审核。
现场审核的内容主要包括：（1） 通过检查、观察、访谈，对申请方的信息安全服务技术能力进行验证；（2） 通过检查、观察、访谈，对申请方的信息安全服务管理能力进行验证；（3） 观察服务模拟演示或见证现场服务。
5.5.认证决定认证评价及认证决定是由认证决定委员会执行。
认证决定委员会至少由3名以上（含3名）奇数认证决定人员组成。
5.5.1认证决定认证决定人员依据认证标准、信息安全服务资质认证程序与实施规则的要求及相关标准，结合审核过程中收集的信息（对于存在不符合项的情况，必须通过整改并由审核组验证通过），对审核结果进行综合评价，做出“通过认证”或“不通过认证”的决定。
必要时，认证机构应对申请方满足认证依据的情况进行风险评估，以做出是否授予认证的决定。
对于符合认证要求的申请方，认证机构应颁发认证证书并在相关媒体上予以公告。
对于不符合认证要求的申请方，认证机构应以书面的形式明示其不能获得认证的原因。
5.5.2对认证决定的申诉申请人如对认证决定结果有异议，可在10个工作日内向认证机构申诉，认证机构自收到申诉之日起，应在一个月内进行处理，并将处理结果书面通知申请方。
5.6.证后监督5.6.1证后监督频次和方式认证机构应根据信息安全服务的特点以及所承担的认证风险，合理确定监督审核的时间间隔和方式。
一般情况下，每年度进行一次监督审核，由项目管理人员提前两个月通知获证方。
监督审核的方式可采用文档审核或现场审核的方式。
当信息安全服务提供方的信息安全服务发生重大事故、客户投诉，或组织结构、人员等方面发生重大变更等时，认证机构视情况可增加现场监督审核的频次。
5.6.2 监督审核应包括，但不限于以下内容：（1） 新实施的服务案例；（2） 顾客投诉情况；（3） 涉及变化的范围（例如：人员变化、实验环境变化、项目管理、质量管理体系变化）；（4） 上次审核提出的不符合项所采取纠正/预防措施、观察项的实施情况。
5.6.3 监督结果评价对于监督审核合格的信息安全服务提供方，认证机构应做出保持其认证资格的决定；否则，应暂停、撤销其认证资格。
5.6.4信息通报制度为确保信息安全服务提供方的信息安全服务能力持续有效，认证机构应要求服务提供方建立信息通报制度，及时向认证机构通报以下信息：(1)有关组织机构变化信息；(2)消费者投诉等信息；(3)其他重要信息。
5.6.5信息分析认证机构应对上述信息进行分析，视情况采取相应措施，包括增加监督审核频次、暂停或撤销认证资格。
5.7.再认证在认证证书有效期满的前三个月内，服务提供方可申请再认证。
再认证程序与初次认证程序相同。
5.8.认证变更(1)如果认证变更只涉及到注册地址、资金或法定代表人的变更，申请方须递交变更申请，经书面审核批准后，认证机构仅对证书更新并收回原证书；(2)信息安全服务提供方的组织机构发生重大调整、人员变动较大、拟变更业务范围时，应向认证机构提出变更申请，并提交相关材料。
认证机构策划并实施适宜的审核活动，并按照要求做出认证决定。
审核活动可单独进行，也可与信息安全服务监督或再认证同时进行。
6.认证证书6.1.认证证书有效期信息安全服务资质认证证书有效期为3年。
6.2.认证证书的管理6.2.1暂停认证证书信息安全服务提供方有下列情形之一的，认证机构应当暂停认证证书。
（1） 未按照规定及时接受监督审核或申请再认证；（2） 信息安全服务提供方未按规定使用认证证书；（3） 监督结果证明信息安全服务提供方的信息安全服务能力不符合认证要求，但不需要立即撤销认证证书。
暂停期限一般为三个月。
在三个月内，申请方可提出恢复证书的申请，认证机构经审核、批准后，方可使用该证书。
在认证证书暂停期间，申请方不得继续使用证书。
6.2.2 撤销认证证书信息安全服务提供方有下列情形之一，认证机构应当撤销其认证证书。
（1） 监督结果证明信息安全服务提供方的信息安全服务能力不符合认证要求，应监理撤销证书的；（2） 认证证书暂停使用期间，信息安全服务提供方未采取有效纠正措施；（3） 信息安全服务提供方出现严重责任事故，影响其继续有效提供服务的；（4） 信息安全服务提供方不接受认证机构对其实施的监督审核或未申请再认证的。
6.2.3注销认证证书信息安全服务提供方因为自身原因申请注销认证证书，认证机构应当给予注销。
认证证书注销和撤销后，认证机构应收回认证证书，并在相关媒体上予以公告。
7.收费认证机构参考国家有关规定制定收费标准，如国家计委、国家质量技术监督局、计价格［1999］1610号文等收费要求。
10。
