信息安全服务资质认证申请方案

国家信息安全测评信息安全服务资质申请指南（云计算安全类一级）（试行）©版权2017—中国信息安全测评中心2017年9月1日目录目录2引言3一、认定依据 (4)二、级别划分 (4)三、一级资质要求 (4)3.1 基本资格要求 (5)3.2 基本能力要求 (5)3.2.1 组织与管理要求 (5)3.2.2 技术能力要求 (5)3.2.3 人员构成与素质要求 (6)3.2.4 设备、设施与环境要求 (6)3.2.5 规模与资产要求 (6)3.2.6 业绩要求 (6)3.3 云计算安全服务过程能力要求 (7)3.4 项目和组织过程能力要求 (9)四、资质认定 (11)4.1认定流程图 (11)4.2申请阶段 (12)4.3资格审查阶段 (12)4.4能力测评阶段 (12)4.4.1静态评估 (12)4.4.2现场审核 (13)4.4.3综合评定 (13)4.4.4资质审定 (13)4.5证书发放阶段 (13)五、监督、维持和升级 (14)六、处置 (14)七、争议、投诉与申诉 (14)八、获证组织档案 (15)九、费用及周期 (15)十、联系方式 (16)引言中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和工程的安全性进行测试与评估。

对信息安全服务和人员的资质进行审核与评价。

中国信息安全测评中心的主要职能是：1.为信息技术安全性提供测评服务；2.信息安全漏洞分析；3.信息安全风险评估；4.信息技术产品、信息系统和工程安全测试与评估；5.信息安全服务和信息安全人员资质测评；6.信息安全技术咨询、工程监理与开发服务。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。

为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

信息系统安全服务资质认证指南一、背景介绍随着信息化建设的不断推进，信息系统的安全保障成为企业和组织日益关注的焦点。

信息系统安全服务资质认证旨在评估服务机构是否具备提供信息系统安全相关服务的能力和水平，为用户选择合适的服务机构提供参考。

二、认证要求1.组织资质要求1.1.服务机构应具备合法的注册或设立证明文件，并能提供组织机构代码证明。

1.2.服务机构应具备一定的经验和实力，具备独立承担信息系统安全服务项目的能力。

1.3.服务机构应具备一定规模的专业团队，包括资深的信息系统安全专家和从业人员。

1.4.服务机构应具备一定的技术装备，包括安全测试工具、安全设备等。

2.服务能力要求2.1.服务机构应具备信息系统安全综合评估、漏洞扫描、风险评估等服务能力。

2.2.服务机构应具备信息系统安全策略和规程编制、安全事件响应和处置等服务能力。

2.3.服务机构应具备信息系统安全技术支持和培训能力。

3.项目管理要求3.1.服务机构应具备完善的项目管理流程和方法，能够对信息系统安全服务项目进行有效的组织和管理。

3.2.服务机构应建立健全的服务质量管理体系，能够保证服务的质量和效果。

3.3.服务机构应具备完善的风险管理体系，能够及时发现、评估和应对项目中的各类风险。

4.安全保障要求4.1.服务机构应建立完善的信息系统安全保护措施，包括网络安全、数据安全、物理安全等。

4.2.服务机构应具备信息系统安全保密和保护用户隐私的能力，保证服务过程中的信息不被泄露。

4.3.服务机构应遵守相关法律法规和行业标准，提供合规的信息系统安全服务。

三、认证流程1.申请与备案服务机构向认证机构提交申请表格，并提供相关资质证明文件。

认证机构进行初步审核，确认资格后进行备案。

2.资质评估认证机构根据认证要求，对服务机构进行综合评估。

包括组织资质、服务能力、项目管理和安全保障等方面的评估。

3.现场审查认证机构对服务机构进行现场审查，了解服务机构的实际情况，包括团队组成、技术装备、服务流程等。

国家信息安全测评信息安全服务资质申请指南（安全工程类一级）©版权2008—中国信息安全测评中心2008年8月1日一、认定依据 (4)二、级别划分 (4)三、一级资质要求 (4)3.1 基本资格要求 (5)3.2 基本能力要求 (5)3.2.1 组织与管理要求 (5)3.2.2 技术能力要求 (5)3.2.3 人员构成与素质要求 (6)3.2.4 设备、设施与环境要求 (6)3.2.5 规模与资产要求 (6)3.2.6 业绩要求 (6)3.3 安全工程过程能力要求 (7)3.4 项目和组织过程能力要求 (7)四、资质认定 (8)4.1认定流程图 (8)4.2申请阶段 (9)4.3资格审查阶段 (9)4.4能力测评阶段 (9)4.4.1静态评估 (9)4.4.2现场审核 (10)4.4.3综合评定 (10)4.4.4资质审定 (10)4.5证书发放阶段 (10)五、监督、维持和升级 (11)六、处置 (11)七、争议、投诉与申诉 (11)八、获证组织档案 (12)九、费用及周期 (12)中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和工程的安全性进行测试与评估。

对信息安全服务和人员的资质进行审核与评价。

中国信息安全测评中心的主要职能是：1.为信息技术安全性提供测评服务；2.信息安全漏洞分析；3.信息安全风险评估；4.信息技术产品、信息系统和工程安全测试与评估；5.信息安全服务和信息安全人员资质测评；6.信息安全技术咨询、工程监理与开发服务。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。

为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

国家信息安全测评信息安全服务资质申请指南（大数据安全类一级）（试行）©版权2017—中国信息安全测评中心2017年9月1日目录目录2引言3一、认定依据4二、级别划分4三、一级资质要求43.1 基本资格要求53.2 基本能力要求53.2.1 组织与管理要求53.2.2 技术能力要求53.2.3 人员构成与素质要求63.2.4 设备、设施与环境要求63.2.5 规模与资产要求63.2.6 业绩要求63.3 大数据安全服务过程能力要求73.4 项目和组织过程能力要求7四、二级资质要求错误!未定义书签。

3.1 基本资格要求错误!未定义书签。

3.2 基本能力要求错误!未定义书签。

3.3 质量管理要求错误!未定义书签。

3.4大数据安全服务过程能力要求错误!未定义书签。

五、三级资质要求错误!未定义书签。

3.1 基本资格要求错误!未定义书签。

3.2 基本能力要求错误!未定义书签。

3.3 质量管理要求错误!未定义书签。

3.4大数据安全服务过程能力要求错误!未定义书签。

六、资质认定84.1认定流程图84.2申请阶段 94.3资格审查阶段 94.4能力测评阶段 94.4.1静态评估94.4.2现场审核104.4.3综合评定104.4.4资质审定104.5证书发放阶段10七、监督、维持和升级11八、处置11九、争议、投诉与申诉11十、获证组织档案12十一、费用及周期12引言中国信息安全测评中心（以下简称CNITSEC）是经中央批准成立、代表国家开展信息安全测评的职能机构，依据国家有关产品质量认证和信息安全管理的政策、法律、法规，管理和运行国家信息安全测评体系。

中国信息安全测评中心的主要职能是：1.对国内外信息安全产品和信息技术进行测评；2.对国内信息系统和工程进行安全性评估；3.对提供信息系统安全服务的组织和单位进行评估；4.对信息安全专业人员的资质进行评估。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。

申请编号：信息系统灾难备份与恢复服务资质认证申请书（第1版）申请组织（盖章）：申请日期：中国信息安全认证中心制目录填表须知 (1)申请信息 (2)1.申请组织基本情况 (3)2.申请组织业绩要求 (3)3.申请组织从事信息系统灾难备份与恢复服务人员情况 (3)4.申请组织管理情况 (4)5.申请组织设备、设施与环境情况 (4)6.申请组织信息系统灾难备份与恢复技术能力 (5)7.信息系统灾难备份与恢复服务过程要求 (5)7.1 方案设计与验证 (5)7.2 系统建设实施与管理 (6)7.3 预案制定与演练 (6)7.4 教育与培训 (6)7.5 风险分析 (6)7.6 业务影响分析 (6)7.7 策略制定和方案设计 (6)7.8 系统运行支持 (7)7.9 外部组织协作 (7)7.10 灾难恢复演练 (7)7.11 灾难备份中心运维 (7)7.12 灾备系统建设 (7)7.13 基础设施运维管理 (8)7.14 预案开发与维护 (8)7.15 灾难恢复演练 (8)7.16 应急与切换 (8)7.17 服务商管理 (8)申请组织声明 (1)附表1 (1)附表2 (2)附表3 (3)填表须知申请组织在正式填写本申请书前，需认真阅读以下内容：1．申请组织应仔细阅读ISCCC-SV-004:2012《信息系统灾难备份与恢复服务资质认证实施规则》和GB/T 20988-2007《信息安全技术信息系统灾难恢复规范》，并按照具体要求如实、详细地填写申请书。

2．申请组织应按照本申请书规定的格式进行填写。

若表格空间不够，可另加附页。

3．申请组织需提交《信息系统灾难备份与恢复服务资质认证申请书》（含附件及证明材料）纸版一份，并按要求加盖单位公章，同时提交一份对应的电子文档（刻录光盘或U盘）。

申请信息1．申请组织的性质□ A类（不含外资背景）□ B类（外资背景）2．申请类型□初次认证□再认证□变更认证3．申请服务资质级别□一级□二级□三级1.申请组织基本情况申请组织全称（中文）：申请组织全称（英文）：法定代表人姓名：联系人姓名：职务：地址：邮政编码：电子邮箱：网址：联系方式：电话：传真：手机：本项还需提交以下资料：1)申请组织基本情况介绍；2)申请组织的营业执照/副本或上级主管部门批准成立的文件复印件；3)申请组织机构代码证或副本的复印件，税务登记证复印件；；4)近两年财务审计报告及资产运营情况说明；5)固定办公场所证明材料，如房产证明或房屋租赁合同复印件等；6)从事信息安全服务、信息系统集成服务等相关资质证书复印件。

信息安全集成服务资质认证实施规则一、概述二、申请流程1.资格审查：申请组织应提供必要的资格材料，包括组织机构代码证、营业执照、资质证书等，由认证机构进行资格审查。

2.评估准备：申请组织应按照《评估标准》的要求整理和准备必要的评估文档和资料。

3.评估实施：由认证机构组织专业评估师进行现场评估，内容包括对组织的组织架构、信息安全政策和安全管理体系的评估等。

4.结果确认：评估结果由认证机构根据评估报告进行确认，并向申请组织提供评估结果反馈。

5.认证证书颁发：若申请组织评估合格，并按照要求进行整改后，认证机构将颁发信息安全集成服务资质认证证书。

6.监督检查：认证证书有效期内，认证机构有权对申请组织进行监督检查，确保其持续符合认证要求。

三、评估内容1.组织架构评估：对申请组织的组织结构、人员设置、职责权限等进行评估，确保其能够履行信息安全集成服务的职责。

2.安全管理体系评估：对申请组织的信息安全管理体系进行评估，包括政策文件的准备与执行、风险管理、安全运维等。

3.项目管理评估：对申请组织的项目管理流程进行评估，包括项目启动、需求分析、设计、开发、测试、实施等环节。

4.服务质量评估：对申请组织提供的信息安全集成服务的质量进行评估，包括工程交付、售后服务等。

四、评估结果根据评估结果，认证机构将给予评估合格或不合格的结论。

1.评估合格：认证机构将颁发信息安全集成服务资质认证证书，有效期一般为三年，标志着申请组织具备了提供信息安全集成服务的资质。

2.评估不合格：申请组织需要根据评估报告进行整改，并在规定时间内重新申请评估，直到达到评估合格的标准为止。

五、监督检查1.认证证书有效期内，认证机构有权对申请组织进行监督检查，检查内容包括组织架构是否变更、信息安全管理体系的有效性等。

2.若申请组织发生重大变化，如组织架构变更、重大业务调整等，应及时通知认证机构，以便进行相应的评估和认证更新。

六、处罚措施对于违规行为或不符合认证要求的申请组织，认证机构有权采取相关处罚措施，包括暂停、撤销认证资格等。

国家信息安全测评信息安全服务资质申请指南（安全工程类一级）©版权2008—中国信息安全测评中心2008年8月1日一、认定依据 (4)二、级别划分 (4)三、一级资质要求 (4)3.1 基本资格要求 (5)3.2 基本能力要求 (5)3.2.1 组织与管理要求 (5)3.2.2 技术能力要求 (5)3.2.3 人员构成与素质要求 (6)3.2.4 设备、设施与环境要求 (6)3.2.5 规模与资产要求 (6)3.2.6 业绩要求 (6)3.3 安全工程过程能力要求 (7)3.4 项目和组织过程能力要求 (7)四、资质认定 (8)4.1认定流程图 (8)4.2申请阶段 (9)4.3资格审查阶段 (9)4.4能力测评阶段 (9)4.4.1静态评估 (9)4.4.2现场审核 (10)4.4.3综合评定 (10)4.4.4资质审定 (10)4.5证书发放阶段 (10)五、监督、维持和升级 (11)六、处置 (11)七、争议、投诉与申诉 (11)八、获证组织档案 (12)九、费用及周期 (12)中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和工程的安全性进行测试与评估。

对信息安全服务和人员的资质进行审核与评价。

中国信息安全测评中心的主要职能是：1.为信息技术安全性提供测评服务；2.信息安全漏洞分析；3.信息安全风险评估；4.信息技术产品、信息系统和工程安全测试与评估；5.信息安全服务和信息安全人员资质测评；6.信息安全技术咨询、工程监理与开发服务。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。

为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

信息安全服务资质认证证书一、引言信息安全是现代社会发展的关键要素之一。

在数字化时代，企业和组织面临越来越多的数据泄露、网络攻击和其他安全风险。

因此，信息安全服务成为了企业和组织必不可少的一部分。

为了确保信息安全服务的质量和可靠性，越来越多的企业开始寻求通过资质认证来展示其信息安全服务能力和专业水平。

本文将详细介绍信息安全服务资质认证证书的意义和价值，并对其申请和获得过程进行分析和探讨。

二、信息安全服务资质认证证书的意义和价值1. 提升企业信誉度：通过获得信息安全服务资质认证证书，企业能够向客户和合作伙伴展示其信息安全服务能力和可靠性。

证书是企业信誉度的重要标志，能够让企业在市场竞争中占据优势。

2. 提高客户满意度：信息安全是企业所提供的服务的核心要素之一。

通过资质认证，企业能够向客户证明其具备专业水平和技术能力，增强客户对企业的信任和满意度。

3. 提升安全防护能力：资质认证过程中，企业需要对其信息安全管理体系进行全面评估和改进。

这将提高企业的安全防护能力，从而降低信息泄露和安全事故的风险。

4. 提供合规依据：许多行业和领域对信息安全服务进行了严格的规定，要求企业必须获得相应的资质认证证书才能提供相关服务。

通过获得证书，企业能够满足合规要求，从而保证在业务拓展和合作中没有障碍。

三、信息安全服务资质认证证书的申请过程1. 定义认证目标：企业在申请信息安全服务资质认证证书前，需要明确认证的范围和目标。

具体而言，企业需要确定认证的服务类型、业务范围和技术要求等。

2. 准备资料和文件：企业需要按照认证机构的要求，准备相关的资料和文件。

这些资料可能包括企业的组织结构、人员配备、技术方案、安全管理制度、案例展示等。

3. 提交申请并支付费用：企业将准备好的资料和文件提交给认证机构，并按照规定支付相应的费用。

认证机构将对提交的资料进行初步审查，以确定是否符合认证要求。

4. 现场评估和审核：认证机构将派出专业的评估师对企业的信息安全管理体系进行现场评估和审核。