信息安全测评期末总结

信息安全测评期末总结3篇(信息安全测评报告)

　　下面是范文网小编收集的信息安全测评期末总结3篇(信息安全测评报告)，供大家参阅。

信息安全测评期末总结1

　　TopSec可信等级体系 天融信等级保护方案

更新时间:08-03-27 09:37 来源:硅谷动力 作者:中安网

　　1.等级保护概述

　　为什么要实行等级保护？

　　信息系统与社会组织体系是具有对应关系的，而这些组织体系是分层次和级别的，因此各种信息系统是具有不同等级的重要性和社会、经济价值的。对信息系统的基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统的重要程度进行区别对待就是级别的客观要求。信息安全必须符合这些客观要求，这就需要对信息系统进行分级、分区域、分阶段进行保护，这是做好国家信息安全的必要条件。

　　等级保护的政策文件

　　信息安全等级保护工作非常重要，为此从2003年开始国家发布了一系列政策文件，具体如下：

　　2003年9月，中办国办颁发《关于加强信息安全保障工作的意见》（中办发[2003]27号），这是我国第一个信息安全保障工作的纲领性文件，战略目标为经过五年努力，基本形成国家信息安全保障体系，实行等级保护制度。

　　2004年11月，四部委会签《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）：等级保护是今后国家信息安全的基本制度也是根本方法、等级保护制度的重要意义、原则、基本内容、工作职责分工、工作要求和实施计划。2005年9月，国信办文件，《关于转发《电子政务信息安全等级保护实施指南》的通知》（国信办[2004]25号）：基本原理、定级方法、安全规划与设计、实施与运营、大型复杂电子政务系统等级保护过程。

　　2005年，公安部标准：《等级保护安全要求》、《等级保护定级指南》、《等级保护实施指南》、《等级保护测评准则》。

　　2006年1月，四部委会签《关于印发《信息安全等级保护管理办法的通知》（公通字[2006]7号）。

等级保护的管理结构－北京为例

　　等级保护的实施和落实离不开各级管理机构的指导和监督，这在等级保护的相关文件中已经得到了规定，下面以北京市为例来说明管理机构的组成和职责，具体如下图所示：

　　等级保护理论的技术演进

　　在等级保护理论被提出以后，经过相关部门的努力工作，逐渐提出了一系列原则、技术和框架，已经具备实施等级保护工作的基础条件了，其具体演进过程如下图所示：

　　等级保护的基本需求

　　一个机构要实施等级保护，需要基本需求。由于等级保护是国家推动的旨在规范安全工作的基本工作制度，因此各级组织在这方面就存在如下需求：

（1）政策要求－符合等级保护的要求。系统符合《基本要求》中相应级别的指标，符合《测评准则》中的要求。

（2）实际需求－适应客户实际情况。适应业务特性与安全要求的差异性，可工程化实施。

　　基本安全要求的结构

　　对系统进行定级后，需要通过努力达到相应等级的基本安全要求，在总体上分为技术要求和管理要求，技术上又分为物理安全、网络安全、主机安全、应用安全、数据安全，在管理要求中又分为安全管理机构、安全管理制度等5项，具体如下图所示：

　　2.等级保护实施中的困难与出路

　　由于等级保护制度还处于探讨阶段，目前来看，尚存在如下困难：

　　1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统，否则：

　　a)各系统单独保护，将冲突和割裂，形成信息孤岛

　　b)复杂大系统的分解和差异性安全要求描述很困难

　　c)各系统安全单独建设，将造成分散、重复和低水平

　　2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善

　　3.管理难度太大，管理成本高

　　4.大型客户最关注的关键要求指标超出《基本要求》规定

　　针对上述问题，在下面几小节分别给出了坚决办法。

　　安全体系设计方法

　　需求分析－1

　　问题1：标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

　　a)各系统单独保护，将冲突和割裂，形成信息孤岛

　　需求：从组织整体出发，综合考核所有系统

　　方法：引入体系设计方法

　　保护对象框架设计方法

　　需求分析－2

　　1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

　　a)各系统单独保护，将冲突和割裂，形成信息孤岛

　　b)复杂大系统的分解和差异性安全要求描述很困难

　　需求：准确地进行大系统的分解和描述，反映实际特性和差异性安全要求

　　方法：引入保护对象框架设计方法

　　保护对象框架－政府行业

　　保护对象框架－电信行业

　　保护对象框架－银行业

　　安全平台的设计与建设方法

　　需求分析－3

　　1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

　　a)各系统单独保护，将冲突和割裂，形成信息孤岛

　　b)复杂大系统的分解和差异性安全要求描述很困难

　　c)各系统安全单独建设，将造成分散、重复和低水平

　　需求：统一规划，集中建设，避免重复和分散，降低成本，提高建设水平

　　方法：引入安全平台的设计与建设方法

　　平台定义：为系统提供互操作性及其服务的环境

　　建立安全运行体系

　　需求分析－4

　　1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

　　a)各系统单独保护，将冲突和割裂，形成信息孤岛

　　b)复杂大系统的分解和差异性安全要求描述很困难

　　c)各系统安全单独建设，将造成分散、重复和低水平

　　2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善

　　需求：建立长效机制，建立可持续运行、发展和完善的体系

　　方法：建立安全运行体系

　　安全运维工作过程

　　需求分析－5

　　1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

　　a)各系统单独保护，将冲突和割裂，形成信息孤岛

　　b)复杂大系统的分解和差异性安全要求描述很困难

　　c)各系统安全单独建设，将造成分散、重复和低水平

　　2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善

　　3.管理难度太大，管理成本高

　　需求：需要高水平、自动化的安全管理工具

　　方法：TSM安全管理平台

TNA可信网络架构模型

　　需求分析－6

　　1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

　　a)各系统单独保护，将冲突和割裂，形成信息孤岛

　　b)复杂大系统的分解和差异性安全要求描述很困难

　　c)各系统安全单独建设，将造成分散、重复和低水平

　　2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善

　　3.管理难度太大，管理成本高

　　4.大型客户最关注的关键指标超出《基本要求》规定

　　需求：在《基本要求》基础上提出更强的措施，满足客户最关注的指标

　　方法：引入可信计算的理念，提供可信网络架构

　　3.总体解决方案－TopSec可信等级体系

　　按照上面解决等级保护目前困难的方法，总体解决方案就是建立TopSec可信等级体系：

　　遵照国家等级保护制度、满足客户实际需求，采用等级化、体系化和可信保障相结合的方法，为客户建设一套覆盖全面、重点突出、节约成本、持续运行的安全保障体系。

　　实施后状态：一套持续运行、涵盖所有安全内容的安全保障体系，是企业或组织安全工作所追求的最终目标

　　特质：

　　等级化：突出重点，节省成本，满足不同行业、不同发展阶段、不同层次的要求

　　整体性：结构化，内容全面，可持续发展和完善，持续运行

　　针对性：针对实际情况，符合业务特性和发展战略

　　可信等级体系设计方法

　　信息安全保障体系总体框架

　　体系设计的成果

　　安全组织体系

　　安全策略体系

　　安全技术体系

　　安全运行体系

　　安全体系的实现

　　4.成功案例

　　某国有大型企业已经采用了我们的可信等级体系，取得了良好的效果。

信息安全测评期末总结2

　　信息安全等级保护等级测评实施细则

　　第一章 总则

　　第一条【目的】为加强信息安全等级测评机构建设和管理，规范等级测评活动，保障信息安全等级保护制度的贯彻落实，根据《信息安全等级保护管理办法》等有关规范制订本实施细则。

　　第二条【适用范围】本细则适用于等级测评机构、测评人员和测评活动的规范管理。

　　第三条【等级测评定义】等级测评是测评机构依据国家信息安全等级保护制度规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。

　　第四条【测评机构定义】测评机构是经有关部门能力认可，经有关部门推荐，在一定范围内从事信息系统安全等级测评等工作的专业技术机构。

　　第五条【基本原则】测评机构应当按照有关规定和统一标准提供“客观、公正、安全”的测评服务，按照统一的测评报告模版出具测评报告。

　　第六条【保密要求】测评机构和测评人员应当遵守《国家保密法》的规定，保守在测评活动中知悉的国家秘密、商业秘密、敏感信息和个人隐私等。

　　第七条【管理体制】测评机构应当接受各级信息安全等级保护协调（领导）小组和公安网安部门的监督管理，并接受有关部门的业务管理和技术指导。

　　第二章 测评机构

　　第八条【总体要求】测评机构分为地区性、行业性测评机构，按照属地管理和行业管理相结合的原则进行建设和管理。

　　第九条【职责分工】国家信息安全等级保护协调小组办公室主管等级测评机构的建设和管理工作，指导行业等级测评机构的建设和管理工作，并委托专门的技术能力审验机构对测评机构的技术能力进行评估、审查并确认。

　　各省（区、市）等级保护协调（领导）小组办公室负责本地等级测评机构的建设管理工作。

　　第十条【基本条件】申请成为等级测评机构的单位（以下简称申请单位）应当具备以下基本条件：

（一）在中华人民共和国境内注册成立（港澳台地区除外）；

（二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；

（三）产权关系明晰，注册资金100万元以上；

（四）从事信息系统检测评估相关工作两年以上；

（五）单位法人及主要工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；

（六）具有胜任等级测评工作的专业技术人员和管理人员，大学本科（含）以上学历所占比例不低于80%。其中测评技术人员不少于10人；

（七）具备必要的办公环境、设备、设施及完备的安全管理制度；

（八）对国家安全、社会秩序、公共利益不构成威胁;

（九）应当具备的其他条件。

　　第十一条【申请提交】地方申请单位应向属地省（区、市）等级保护协调（领导）小组办公室提交申请，行业申请单位向国家信息安全等级保护工作协调小组办公室提交申请，并填写申请书，申请成为等级测评机构。

　　第十二条【申请材料】申请单位在申请时应提供以下材料，并对申请材料的真实性负责。

（一）《信息安全等级保护测评机构申请书》；

（二）当地公安网安部门的推荐意见；

（三）营业执照及其他注册证明文件；

（四）《内设组织机构与岗位设置情况表》；

（五）《工作人员基本情况表》、证明材料和声明；

（六）《办公场地、设备与设施情况表》；

（七）《安全测评设备、工具配备情况表》；

（八）信息系统安全测评能力报告；

（九）保密管理、项目管理、质量管理、人员管理和培训教育等相关管理文件；

（十）需要提供的其他材料。

　　第十三条【初审】省级（含）以上等级保护协调（领导）小组办公室收到申请材料后，应在30日内完成初审。

　　第十四条【技术能力审验】初审通过的，由技术能力审验机构评估、审查并确认申请单位的技术能力。

　　技术能力审验周期最长为一个月。审验期满前，技术能力审验机构应向等级保护协调（领导）小组办公室出具审验意见，并加盖专门印章。

　　第十五条【核准】省级（含）以上等级保护协调（领导）

　　小组办公室对通过技术能力审验的申请单位进行复核，并出具核准意见。

　　第十六条【目录公布】测评机构实行目录管理。各省级信息安全等级保护协调（领导）小组办公室公布本地等级测评机构目录，并向国家信息安全等级保护工作协调小组办公室备案。国家信息安全等级保护工作协调小组办公室公布《全国信息安全等级测评机构目录》。

　　第十七条【业务范围】测评机构应当在规定的业务范围内开展测评业务。

（一）地方测评机构在本地开展测评业务，行业测评机构在行业内开展测评业务。行业测评机构在地方开展测评业务前，应与本地等级保护协调（领导）小组办公室协调；

（二）承担有关部门委托的安全测评专项任务；

（三）配合当地公安网安部门对信息系统进行监督、检查；

（四）开展风险评估、信息安全培训、咨询服务和信息安全工程监理；

（五）为当地信息安全等级保护工作提供技术支持和服务；

（六）其他有关文件规定的职责任务。

　　第十八条【禁止行为】测评机构不得从事下列活动：

（一）承担信息系统安全建设整改工作；

（二）将等级测评任务分包、外包；

（三）信息安全产品开发、营销和信息系统集成活动；

（四）限定被测评单位购买、使用其指定的信息安全产品；

（五）未经许可占有、使用有关测评信息、资料及数据文件；

（六）其他可能影响测评客观、公正的活动。第十九条【风险告知】在开展测评过程中，对可能影响信息系统正常运行的，测评机构应当事先告知被测评单位，并协助其采取相应的预防措施。

　　第二十条【人员管理】测评机构应当建立完备的人员档案，严格履行人员录用、考核、离岗等程序，对进入重要信息系统进行测评的人员，应该进行背景审查，确保人员可靠。

　　第二十一条【制度管理】测评机构应当建立并落实保密管理、项目管理、质量管理、人员管理、培训教育等管理制度。

　　第二十二条【能力建设】测评机构要加强技术能力和管理能力建设，应在测评机构推荐目录公布后两年内至少通过一项实验室或检查机构资质认定。

　　第三章 人员管理

　　第二十三条【人员要求】测评人员应遵守国家有关法律法规、技术标准和测评人员行为准则，认真履行本细则规定 的责任和义务，为用户提供安全、客观、公正的测评服务，保证测评的质量和效果。

　　第二十四条【个人声明】测评人员应当提供本人社会背景、工作经历和奖惩情况的证明材料，声明相关材料的真实性并承担法律责任。

　　第二十五条【持证上岗】测评人员上岗前应接受培训，培训合格的由测评机构颁发上岗证。测评人员持证上岗。

　　第二十六条【分级管理】测评机构技术人员实行分级管理，由低到高分为初级等级测评师、中级等级测评师和高级等级测评师。

　　测评技术人员应当接受专门业务培训，考试合格的获得等级测评师证书。

　　第二十七条【培训与考试】国家信息安全等级保护协调小组办公室制定并公布培训计划，指定专门培训机构具体承担等级测评师的培训、考试工作。专门培训机构向考试合格的人员颁发等级测评师证书。

　　第二十八条【证书管理】专门培训机构依据等级测评师证书管理办法办理证书的审核、颁发、建档、公布、查询、年审、换发和撤销，并向省级以上等级保护工作协调小组办公室备案。

　　第二十九条【备案】行业测评机构每年应将本单位等级测评师培训、获证情况向国家信息安全等级保护工作协调小组办公室备案。

　　地方测评机构每年应将本单位等级测评师培训、获证情况向本省（区市）等级保护协调（领导）小组办公室备案。

　　各地等级保护协调（领导）小组办公室每年应将本地等级测评师培训、获证情况向国家等级保护协调小组办公室备案。

　　第三十条【年审管理】等级测评师实行年审制度。专门培训机构对等级测评师每年进行一次年审，并将年审结果报等级保护协调（领导）小组办公室。

　　对未通过年审的等级测评师，测评机构应暂停其开展测评工作。专门培训机构应对年审不通过的等级测评师开展培训。

　　第三十一条【变更告知】等级测评机构的主要管理人员和技术人员工作变动的，应及时到等级保护协调（领导）小组办公室变更备案。

　　第三十二条【人员法律责任】测评人员在测评工作中具有徇私舞弊、收受贿赂等违反有关法律法规行为的，应由专门培训机构撤销违规人员等级测评师证书，并按照有关规定进行处罚。

　　第四章 测评活动

　　第三十三条【用户要求】信息系统运营使用单位应当选择《等级测评机构推荐目录》中的等级测评机构，定期对信息系统开展等级测评，并加强对测评过程的监督管理。

　　第三十四条【整改前测评】信息系统安全建设整改前，信息系统运营使用单位可以选择测评机构进行等级测评，掌握信息系统安全状况，排查系统安全隐患和薄弱环节，明确安全建设整改需求。

　　第三十五条【整改后测评】信息系统安全建设整改后，信息系统运营使用单位应当再选择测评机构进行等级测评，检测系统安全保护状况与标准要求的符合性，进一步查找安全隐患和问题，并进行风险分析，为进一步整改提供依据。

　　第三十六条【定期测评】第三级以上（含）信息系统应当每年至少进行一次等级测评，测评完成后，信息系统运营使用单位应及时向受理备案的公安机关提交测评报告。

　　第三十七条【测评机构规范】测评机构应建立规范的质量管理体系，依据《信息系统安全等级保护测评要求》等标准规范对信息系统进行测评，按照公安部制订的信息系统安全等级测评报告格式编制测评报告。

　　第三十八条【测评费用】测评机构应当参照国家信息化工程建设项目人工计费标准合理收取测评服务费用。为防止恶意竞争，影响测评质量，测评机构开展测评业务收费应当不低于最低收费限额。

　　第三十九条【安全责任】测评机构应当针对等级测评工作制定保密管理规范，明确保密岗位与职责，定期对工作人员进行保密教育，与其签订《保密责任书》，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。

　　第五章 监督管理

　　第四十条【监管主体】各级等级保护协调（领导）小组办公室对等级测评机构、测评人员、测评活动等进行监督、检查，处理对测评机构的投诉。

　　第四十一条【年审】各级等级保护工作协调（领导）小组办公室对备案的测评机构及测评人员实施年审管理，每年对测评机构的能力和工作进行审核、审查，并公布审核、审查结果。

　　第四十二条【机构违规】测评机构违反规定，情节轻微的，由等级保护协调领导机构办公室责令其限期改正或予以通报、警告。

　　测评机构出现以下情况之一的，按照相应规定和程序，由等级保护协调（领导）机构决定撤销其测评机构资格并及时向社会公告。

（一）违反法律、法规并被起诉的；

（二）发生重大泄密事件的；

（三）运营管理不规范，严重影响测评质量，经整改仍无法达到要求的；

（四）与被测评单位共同隐瞒在安全评估过程中发现的安全漏洞，未按要求写入评估报告的；

（五）在评估过程中弄虚作假，编造安全评估报告的；

（六）不履行规定的责任和义务，经通报批评、警告仍不改正的；

（七）测评机构成立后一年内不开展测评业务的；

（八）由于自身原因主动提出退出的；

（九）连续两次年审未通过的；

（十）违反其他有关规定的。

　　第四十三条【争议处理】测评机构应当严格遵循申诉、投诉及争议处理制度，妥善处理争议事件，及时采取纠正和改进措施。

　　第四十四条【监督自身要求】各级等级保护协调（领导）小组办公室应严格依照本细则的有关规定，按照公平、公正的原则开展监督检查工作。

　　第四十五条【变更】测评机构性质、经营（业务）范围、隶属关系、法定代表人等重要事项发生变化的，应在30日内向等级保护协调（领导）机构办理变更手续。

信息安全测评期末总结3

　　国家信息安全测评

　　信息安全服务资质申请指南

（风险评估一级）

?版权2014—中国信息安全测评中心

　　2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　目录

　　目录 2 引言 3

　　一、认定依据................................................................................................................................4

　　二、级别划分................................................................................................................................4三、一级资质要求........................................................................................................................4

基本资格要求...................................................................................................................5 基本能力要求...................................................................................................................5

组织与管理要求.....................................................................................................5 技术能力要求.........................................................................................................5 人员构成与素质要求.............................................................................................6 设备、设施与环境要求.........................................................................................6 规模与资产要求.....................................................................................................6 业绩要求.................................................................................................................6 安全风险评估过程能力要求...........................................................................................6 项目和组织过程能力要求...............................................................................................7

　　四、资质认定................................................................................................................................8

　　认定流程图........................................................................................................................8 申请阶段.............................................................................................................................9 资格审查阶段.....................................................................................................................9 能力测评阶段.....................................................................................................................9

　　静态评估..................................................................................................................9 现场审核................................................................................................................10 综合评定................................................................................................................10 资质审定................................................................................................................10 证书发放阶段...................................................................................................................10

　　五、监督、维持和升级..............................................................................................................11

　　六、处置......................................................................................................................................11

　　七、争议、投诉与申诉..............................................................................................................11

　　八、获证组织档案......................................................................................................................12

　　九、费用及周期..........................................................................................................................12

　　十、联系方式..............................................................................................................................13

　　发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　引言

　　中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和风险评估的安全性进行测试与评估。对信息安全服务和人员的资质进行审核与评价。

　　中国信息安全测评中心的主要职能是：

　　1.为信息技术安全性提供测评服务； 2.信息安全漏洞分析； 3.信息安全风险评估；

　　4.信息技术产品、信息系统和风险评估安全测试与评估； 5.信息安全服务和信息安全人员资质测评； 6.信息安全技术咨询、风险评估监理与开发服务。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

　　本指南适用于所有向CNITSEC申请信息安全服务资质（风险评估一级）的境内外组织。

　　发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　一、认定依据

　　信息安全服务（风险评估类）资质认定是对信息安全风险评估服务提供者的资格状况、技术实力和信息安全风险评估实施过程质量保证能力等方面的具体衡量和评价。

　　信息安全服务（风险评估类）资质级别的评定，是依据《信息安全服务资质评估准则》和不同级别的信息安全服务资质（风险评估类）具体要求，在对申请组织的基本资格、技术实力、信息安全风险评估服务能力以及安全风险评估项目的组织管理水平等方面的评估结果基础上的综合评定后，由中国信息安全测评中心给予相应的资质级别。

　　二、级别划分

　　信息安全服务（风险评估类）资质认定是对信息安全风险评估服务提供者的综合实力的客观评价和确认，信息安全服务（风险评估类）资质级别反映了信息安全风险评估服务提供者从事信息安全风险评估服务保障能力的成熟程度。资质级别划分的主要依据包括：基本资格与基本能力要求、安全风险评估过程能力要求、项目与组织管理能力要求和其他补充要求等。

　　信息安全服务资质分为五个级别，由一级到五级依次递增，一级是最基本级别，五级为最高级别。

　　一级：基本执行级 二级：计划跟踪级 三级：充分定义级 四级：量化控制级 五级：持续改进级三、一级资质要求

　　申请信息安全服务（风险评估一级）资质的组织需要在基本资格和基本能力、发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　安全风险评估过程能力和项目与组织过程能力等几个方面符合《信息安全服务资质具体要求（风险评估一级）》的规定。

基本资格要求

　　申请信息安全服务（风险评估一级）资质的组织必须是一个独立的实体，具有工商行政管理部门颁发的营业执照，并遵守国家现行法律法规。

基本能力要求 组织与管理要求

　　1.必须拥有健全的组织和管理体系，为持续的信息安全风险评估服务提供保障；

　　2.必须具有专业从事信息安全风险评估服务的队伍和相应的质量保证； 3.与安全风险评估服务相关的所有成员要签订保密合同，并遵守有关法律法规。

技术能力要求

　　1.了解信息系统技术的最新动向，有能力掌握信息系统的最新技术； 2.具有不断的技术更新能力；

　　3.具有对信息系统的状况进行调研、分析和描述的能力；

　　4.具有对信息系统面临的安全威胁、存在的安全隐患进行信息收集、识别、分析能力；

　　5.具有对信息系统的资产及其影响进行识别、分析和评估的能力； 6.具有对信息系统的脆弱性进行识别分析和评估的能力； 7.具有根据信息安全风险的结果提出应对安全措施的能力； 8.具有应用国际国内最新信息安全风险评估方法的能力； 9.有跟踪、了解、掌握、应用国际、国家和行业标准的能力。

　　发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

人员构成与素质要求

　　1.具有充足的人力资源和合理的人员结构；

　　2.所有与信息安全服务有关的管理和销售人员应具有基本的信息安全知识；

　　3.有相对稳定的从事信息安全风险评估服务的技术队伍；

　　4.技术骨干人员应系统地掌握信息系统安全基础理论和核心技术，并有足够的专业工作经验；

　　5.必须有2名以上(含2名)专职的注册信息安全专业人员(CISP)。

设备、设施与环境要求

　　1.具有固定的工作场所和良好的工作环境；

　　2.具有实施信息安全风险评估服务的相关工具和设备。

规模与资产要求

　　1.有足够的注册资金和充足的流动资金；

　　2.具有与所申请安全服务业务范围、承担的安全风险评估规模相适应的服务体系；

　　3.有足够的人员从事直接与信息安全风险评估服务相关的活动。

业绩要求

　　1.应有从事信息安全风险评估服务的经验；

　　2.近3年内在信息安全风险评估服务方面，没有出现验收未通过的情况。

安全风险评估过程能力要求

　　安全风险评估过程能力是评价信息安全风险评估服务专业水平高低的标志。申请组织应能实施以下6个安全风险评估过程域： 1.风险评估准备

　　发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　2.评估系统资产的影响； 3.评估系统存在的脆弱性； 4.评估系统面临的安全威胁； 5.评估系统已有的安全措施； 6.评估系统的安全风险。

项目和组织过程能力要求

　　项目和组织过程能力是评价信息安全风险评估服务规范性和质量保证成熟度标志。

　　申请组织应能实施以下6个项目和组织过程域： 1.质量保证； 2.管理项目风险； 3.规划技术活动； 4.监控技术活动；

　　5.提供不断发展的技能和知识； 6.与供应商协调。

　　发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　四、资质认定

　　认定流程图

　　申请委托人申请不受理形式化审查申请阶段资格审查阶段受理决定受理静态评估现场审核限期整改综合评定不通过综合评定通过资质审定不通过发证决定抽样检查通过证书发放不予发证能力测评阶段证书发放阶段公告证后监督证后监督阶段

　　发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　申请阶段

　　申请组织应首先到CNITSEC网站（ 发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　平状况，为现场审核做准备。如果在静态评估阶段发现申请组织的信息安全风险评估能力不能满足资质要求，将要求申请组织进行整改，待整改完成达到后进入现场审核阶段。

　　现场审核

　　现场审核是对申请组织从事信息安全风险评估服务的综合能力（包括技术能力、管理能力、质量保证、设施设备、工作环境、人员构成及素质、经营业绩、资产状况等方面）进行核实和确认。

　　通过静态评估后，CNITSEC将与申请组织沟通现场审核事宜，安排审核组进行现场审核。

　　现场审核若发现需整改的不符合项，审核组将对申请组织提出限期整改的要求，并对整改效果进行验证。

　　综合评定

　　在综合评定阶段，将依据静态评估和现场审核结果，对申请组织的基本资格、基本能力、信息安全风险评估服务能力以及资质所要求的其他内容进行综合评定，出具综合评定报告。

　　对评定结果不符合的，CNITSEC将要求申请组织限期整改。申请组织完成整改并向CNITSEC提交整改报告后，CNITSEC将对整改结果进行验证，整改仍不符合的，将不能通过能力测评。逾期未整改的，视作整改不符合。

　　资质审定

　　根据综合评定的报告，CNITSEC技术委员会将组织技术专家对申请组织的信息安全风险评估服务资质进行审查，并最终做出是否通过的决定。

　　证书发放阶段

　　资质审定通过后，CNITSEC将进行资质证书的制作、审批和发放，并在网站、报刊杂志等媒体上公布获证组织的相关信息。

　　发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　五、监督、维持和升级

　　获得资质的组织需通过持续发展自身信息安全服务体系以保持基本能力及安全风险评估过程能力。CNITSEC将通过申诉系统、现场见证以及对信息安全服务项目进行抽样检查来验证每个获得资质组织的能力。

　　证书在三年有效期内实行年确认制度，每三年进行一次维持换证。获证后，每年在证书签发之日前30天内，获证组织要向CNITSEC提交调查表，并到CNITSEC办理年检。CNITSEC年检中发现获证组织不符合资质认定要求的，将要求其限期整改，整改后仍不合格，CNITSEC将暂停或取消证书。

　　在证书有效期届满前90天内，由获证组织提出维持换证申请。CNITSEC将依据信息安全服务资质维持有关政策进行评审，以确定获证组织符合信息安全风险评估服务能力一级资质要求的持续性。

　　若获证组织相关资料变动时，须及时通知CNITSEC，并申请更改。若获证组织实体发生变化，需要进行资质证书的转移，可到CNITSEC网站（ 2000（申请费）＋3000×3×2(三人二日测评费)+3000（审定与注册费）+（三年年金）＝元。

　　未获得安全工程类服务资质的机构，风险评估资质（一级）维持费用： 2000（申请费）＋3000×2×(二人二日半测评费)+3000（审定与注册费）+5000（三年年金）＝元。

　　已获得安全工程类服务资质的机构，申请风险评估资质（一级）费用（首次申请和维持）：

　　2000（申请费）＋3000×3×(三人二日测评费)+3000（审定与注册费）=9500元

　　已获得安全工程类服务资质的机构申请风险评估资质时不再重复收取年金。

　　申请组织还应承担因现场审核活动审核组成员所发生的交通和食宿费用。

　　从受理到颁发证书的周期为四个月，但由于申请方原因（如，资料补充需要的时间等）造成的时间延误不计算在内。发布日期：2014年5月1日

　　中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

　　十、联系方式

　　名 称：中国信息安全测评中心 资质评估处 地 址：中国北京市海淀区上地西路8号院1号楼 邮 编： 传 真：010－ 咨询电话：

　　资质受理： 010－、010－ 证后管理： 010－

　　发布日期：2014年5月1日