认证咨询 About us
安全服务资质-测评中心

国家信息安全服务资质-中国信息安全测评中心(发证机构)

  对提供信息安全服务的组织和单位资质进行审核、评估和认定。信息安全服务资质是对信息系统安全服务的提供者的技术、资源、法律、管理等方面的资质和能力,以及其稳定性、可靠性进行评估,并依据公开的标准和程序,对其安全服务保障能力进行认定的过程。目前分为:

1.信息安全工程类  2.信息安全灾难恢复类    3.安全开发类

一、认证的设定依据

        信息安全灾难恢复服务资质评估是对信息系统灾难恢复服务提供者的资格状况、技术实力和实施灾难恢复服务过程能力等方面的具体衡量和评价。信息安全灾难恢复服务资质,是依据《信息安全服务资质评估准则》、《信息安全灾难恢复服务能力评估准则》等相关要求,在对申请组织的基本资格、技术实力、信息安全灾难恢复服务能力以及工程项目的组织管理水平等方面的评估结果基础上的综合评定后,由中国信息全安全测评中心给予的资质认证。 

二、5个级别划分

        信息安全服务(安全工程类)资质认定是对信息安全工程服务提供者的综合实力的客观评价和确认,信息安全服务(安全工程类)资质级别反映了信息安全工程服务提供者从事信息安全工程服务保障能力的成熟程度。资质级别划分的主要依据包括:基本资格与基本能力要求、安全工程过程能力要求、项目与组织管理能力要求和其他补充要求等。

信息安全服务资质分为五个级别,由一级到五级依次递增,一级是最基本级别,五级为最高级别。

一级:基本执行级

二级:计划跟踪级

三级:充分定义级

四级:量化控制级

五级:持续改进级

一级资质要求

申请信息安全服务(安全工程类一级)资质的组织需要在基本资格和基本能力、安全工程过程能力和项目与组织过程能力等几个方面符合《信息安全服务资质具体要求(安全工程类一级)》的规定。

1、基本资格要求

申请信息安全服务(安全工程类一级)资质的组织必须是一个独立的实体,具有工商行政管理部门颁发的营业执照,并遵守国家现行法律法规。

2、基本能力要求

1.必须拥有健全的组织和管理体系,为持续的信息安全工程服务提供保障;

2.必须具有专业从事信息安全工程服务的队伍和相应的质量保证;

3.与安全工程服务相关的所有成员要签订保密合同,并遵守有关法律法规。

3、技术能力要求

1.了解信息系统技术的最新动向,有能力掌握信息系统的最新技术;

2.具有不断的技术更新能力;

3.具有对信息系统面临的安全威胁、存在的安全隐患进行信息收集、识别、分析和提供防范措施的能力;

4.能根据对用户信息系统风险的分析,向用户建议有效的安全保护策略及建立完善的安全管理制度;

5.具有对发生的突发性安全事件进行分析和解决的能力;

6.具有对市场上的信息系统产品进行功能分析,提出安全策略和安全解决方案及安全产品的系统集成能力;

7.具有根据服务业务的需求开发信息系统应用、产品或支持性工具的能力;

8.具有对集成的信息系统进行检测和验证的能力;

9.有能力对信息系统系统进行有效的维护;

10.有跟踪、了解、掌握、应用国际、国家和行业标准的能力。

3.2.3 人员构成与素质要求

1.具有充足的人力资源和合理的人员结构;

2.所有与信息安全服务有关的管理和销售人员应具有基本的信息安全知识;

3.有相对稳定的从事信息安全服务的技术队伍;

4.技术骨干人员应系统地掌握信息系统安全基础理论和核心技术,并有足够的专业工作经验;

5.必须有2名以上(含2名)专职的注册信息安全专业人员(CISP)。

3.2.4 设备、设施与环境要求

1.具有固定的工作场所和良好的工作环境;

2.具有先进的开发、测试或模拟环境;

3.具有先进的开发、生产和测试设备;

4.具有实施相关服务必需的开发、生产和测试工具。

3.2.5 规模与资产要求

1.有足够的注册资金和充足的流动资金;

2.具有与所申请安全服务业务范围、承担的安全工程规模相适应的服务体系;

3.有足够的人员从事直接与信息安全服务相关的活动。

3.2.6 业绩要求

1.应有从事信息安全服务的经验;

2.近3年内在信息安全工程服务方面,没有出现验收未通过的情况。

3.3 安全工程过程能力要求

安全工程过程能力是评价信息安全工程服务专业水平高低的标志。

申请组织应能实施以下11个安全工程过程域:

1.评估系统面临的安全威胁;

2.评估系统的脆弱性;

3.评估安全对系统的影响;

4.评估系统的安全风险;

5.确定系统的安全需求;

6.为系统提供必要的安全输入;

7.管理系统的安全控制;

8.监测系统的安全状况;

9.安全协调;

10.检验并证实系统的安全性;

11.建立并提供安全性保证论据。

3.4 项目和组织过程能力要求

项目和组织过程能力是评价信息安全工程服务规范性和质量保证成熟度标志。

申请组织应能实施以下6个项目和组织过程域:

1.质量保证;

2.管理项目风险;

3.规划技术活动;

4.监控技术活动;

5.提供不断发展的技能和知识;

6.与供应商协调。



国家信息安全测评中心资质咨询

国家信息安全测评中心资质咨询

信息安全服务资质(安全工程类二级)资质要求

 

信息安全服务资质(安全工程类二级)为计划跟踪级,要求满足基本资格的信息安全工程服务组织通过建立有效的质量管理体系,使安全工程能力方面实施安全工程的过程规范被定义、标准化和文档化,实施工程过程时能普遍按照规范执行,通过跟踪发现工程过程中的重大偏离并采取纠正措施,从而使组织的安全工程能力达到部分可重复的水平。

申请信息安全服务(安全工程类二级)资质的组织需要在基本资格、基本能力、质量管理和安全工程过程能力等几个方面符合《信息安全服务资质具体要求(安全工程类二级)》的规定。

基本资格要求

基本资格要求是评定信息安全服务资质的起评条件。

申请信息安全服务(安全工程类二级)资质的组织必须:

1.是具有独立法人地位的实体;

2.获得相关主管部门的批准;

3.遵守国家现行法律法规;

4.已获信息安全服务(安全工程类一级)资质,且资质证书在有效期内;

5.达到其他补充要求。

基本能力要求

基本能力的要求包括:技术能力要求,资源配置要求(包括人员构成与素质要求、设备、设施与环境要求),规模与资产要求和业绩要求。

申请信息安全服务(安全工程类二级)资质的组织应该:

1.从事信息安全服务行业3年以上;

2.注册资本应在100万元以上,资产总额在200万元以上;

3.近3年的财务状况良好;

4.从事信息安全服务的人力资源充足、人员结构合理、技术队伍相对稳定,拥有专职的注册信息安全专业人员(CISP)数量不少于从事安全工程服务专业技术人员的10%,但不得少于4人;

5.实践过完整的安全工程过程;

6.近3年完成信息安全服务工程项目总值应在200万元以上。

质量管理要求

申请信息安全服务(安全工程类二级)资质的组织,在质量管理方面应该:

1.建立合理的组织架构来满足信息安全工程服务的实施和管理,信息安全工程服务技术部门相对独立;

2.建立合理的管理架构来满足信息安全服务的管理,建立有效的技术管理、质量管理和组织管理机制;

3.建立有效的质量管理体系,至少满足支持信息安全工程技术能力达到计划跟踪级所需的相关管理能力要求。

3.4安全工程过程能力要求

安全工程过程能力方面的要求是信息安全工程服务资质的核心要求。

申请信息安全服务(安全工程类二级)资质的组织应该:

1.在按照一级所要求的各个过程域最佳实践的基础上将实践上升为理论,形成规范指导工程过程有计划、规范化地实施;

2.验证工程实施过程与规范的一致性;

3.通过可测量的计划跟踪过程的实施情况,当过程实施与计划产生重大偏离时应采取纠正措施。

 

信息安全服务(安全工程类一级)基本资格要求

申请信息安全服务(安全工程类一级)资质的组织必须是一个独立的实体,具有工商行政管理部门颁发的营业执照,并遵守国家现行法律法规。 

基本能力要求

组织与管理要求

1.必须拥有健全的组织和管理体系,为持续的信息安全工程服务提供保障;

2.必须具有专业从事信息安全工程服务的队伍和相应的质量保证;

3.与安全工程服务相关的所有成员要签订保密合同,并遵守有关法律法规。

技术能力要求

1.了解信息系统技术的最新动向,有能力掌握信息系统的最新技术;

2.具有不断的技术更新能力;

3.具有对信息系统面临的安全威胁、存在的安全隐患进行信息收集、识别、分析和提供防范措施的能力;

4.能根据对用户信息系统风险的分析,向用户建议有效的安全保护策略及建立完善的安全管理制度;

5.具有对发生的突发性安全事件进行分析和解决的能力;

6.具有对市场上的信息系统产品进行功能分析,提出安全策略和安全解决方案及安全产品的系统集成能力;

7.具有根据服务业务的需求开发信息系统应用、产品或支持性工具的能力;

8.具有对集成的信息系统进行检测和验证的能力;

9.有能力对信息系统系统进行有效的维护;

10.有跟踪、了解、掌握、应用国际、国家和行业标准的能力。

 人员构成与素质要求

1.具有充足的人力资源和合理的人员结构;

2.所有与信息安全服务有关的管理和销售人员应具有基本的信息安全知识;

3.有相对稳定的从事信息安全服务的技术队伍;

4.技术骨干人员应系统地掌握信息系统安全基础理论和核心技术,并有足够的专业工作经验;

5.必须有2名以上(含2名)专职的注册信息安全专业人员(CISP)。

 

 





安全服务资质(安全工程类)的认证周期时间:


安全服务资质(安全工程类)的认证从受理到颁发证书的周期时间3-4个月左右。部分由于申请方原因(如,资料补充需要的时间等)造成的时间延误不计算在内。


1、中国信息安全测评中心(CNITSEC)信息安全服务资质可以直接申请二级吗?


不能直接申请二级,只能先申请一级,不能越级申请。


2、信息安全服务资质有效期几年?


证书在三年有效期内实行年确认制度,每三年进行一次维持换证。


3、申请信息安全服务资质对安全工程过程能力的要求有哪些?


安全工程过程能力是评价信息安全工程服务专业水平高低的标志。


申请组织应能实施以下11个安全工程过程域:

a.评估系统面临的安全威胁;

b.评估系统的脆弱评估安全对系统的影响;

c.评估系统的安全风险;

d.确定系统的安全需求;

e.为系统提供必要的安全输入;

f.管理系统的安全控制;

g.监测系统的安全状况;

h.安全协调;

i.检验并证实系统的安全性;

j.建立并提供安全性保证论据。


4、信息安全服务资质对项目和组织过程能力要求有哪些?


项目和组织过程能力是评价信息安全工程服务规范性和质量保证成熟度标志。


申请组织应能实施以下6个项目和组织过程域:

a.质量保证;

b.管理项目风险;

c.规划技术活动;

d.监控技术活动;

e.提供不断发展的技能和知识;

f.与供应商协调。



联系我们 contact us
联系方式
邮编:510610
林老师:13902455120
公司邮箱:steven@gdszdh.com
地址:中国·深圳·南山区科技园朗山路7号南航大厦410
微信公众号
客服热线
+86 0755-2101 0617
服务时间 9:00-18:00
Copyright ©2005 - 2013 深圳市东航信息技术有限公司
犀牛云提供企业云服务