国家信息安全服务资质【风险评估类二级】详情解答

国测信息安全服务资质

目前，信息安全服务资质有八种类型：安全工程类、灾难恢复类、安全开发类、风险评估类、信息安全审计类、云计算安全类、大数据安全类、安全运营类。

为了便于各大企业更好的了解国测信息安全服务资质，小编会一一为大家解答八个类别的办理详情，今日我们就一起来看看【风险评估类】的详情解答吧！

中国信息安全测评中心（以下简称CNITSEC）是经中央批准成立、代表国家开展信息安全测评的职能机构，依据国家有关产品质量认证和信息安全管理的政策、法律、法规，管理和运行国家信息安全测评体系。

中国信息安全测评中心的主要职能是：

1. 对国内外信息安全产品和信息技术进行测评；

2. 对国内信息系统和运营进行安全性评估；

3. 对提供信息系统安全服务的组织和单位进行评估；

4. 对信息安全专业人员的资质进行评估。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。

为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

本指南适用于所有向CNITSEC申请信息安全服务资质（风险评估二级）的境内外组织。

信息安全服务（风险评估类）资质认定是对信息安全风险评估服务提供者的资格状况、技术实力和信息安全风险评估实施过程质量保证能力等方面的具体衡量和评价。

信息安全服务（安全风险评估类）资质级别的评定，是依据《信息安全服务资质评估准则》和不同级别的信息安全服务资质（安全风险评估类）具体要求，在对申请组织的基本资格、技术实力、信息安全风险评估服务能力以及安全风险评估项目的组织管理水平等方面的评估结果基础上的综合评定后，由中国信息安全测评中心给予相应的资质级别。

信息安全服务（风险评估类）资质认定是对信息安全风险评估服务提供者的综合实力的客观评价和确认，信息安全服务（风险评估类）资质级别反映了信息安全风险评估服务提供者从事信息安全风险评估服务保障能力的成熟程度。

资质级别划分的主要依据包括：基本资格与基本能力要求、安全风险评估过程能力要求、项目与组织管理能力要求和其他补充要求等。

信息安全服务资质分为五个级别，由一级到五级依次递增，一级是Zui基本级别，五级为Zuigaoji别。

一级：基本执行级

二级：计划跟踪级

三级：充分定义级

四级：量化控制级

五级：持续改进级

申请信息安全服务（风险评估二级）为计划跟踪级，要求满足基本资格的信息安全风险评估服务组织通过建立有效的质量管理体系，使安全风险评估能力方面实施安全风险评估的过程规范被定义、标准化和文档化，实施风险评估过程时能普遍按照规范执行，通过跟踪发现风险评估过程中的重大偏离并采取纠正措施，从而使组织的安全风险评估能力达到部分可重复的水平。

申请信息安全服务（风险评估二级）资质的组织需要在基本资格、基本能力、质量管理和安全风险评估过程能力等几个方面符合《信息安全服务资质具体要求（风险评估二级）》的规定。

3.1 基本资格要求

基本资格要求是评定信息安全服务资质的起评条件。

申请信息安全服务（风险评估二级）资质的组织必须：

1. 是具有独立法人地位的实体；

2. 获得相关主管部门的批准；

3. 遵守国家现行法律法规；

4. 达到其他补充要求。

3.2 基本能力要求

基本能力的要求包括：技术能力要求，资源配置要求（包括人员构成与素质要求、设备、设施与环境要求），规模与资产要求和业绩要求。

申请信息安全服务（风险评估二级）资质的组织应该：

1. 从事信息安全服务行业3年以上；

2. 注册资本应在500万元以上，资产总额在200万元以上；3. 近3年的财务状况良好；

4. 从事信息安全服务的人力资源充足、人员结构合理、技术队伍相对稳定，拥有专职的注册信息安全专业人员（CISP）数量不少于从事安全风险评估服务专业技术人员的10%，但不得少于4人；

5. 具有安全可靠的信息安全风险评估工具或设备；

6. 近3年完成信息安全服务风险评估项目总值应在200万元以上。

3.3 质量管理要求

申请信息安全服务（风险评估二级）资质的组织，在质量管理方面应该：

1. 建立合理的组织架构来满足信息安全风险评估服务的实施和管理，信息安全风险评估服务技术部门相对独立；

2. 建立合理的管理架构来满足信息安全服务的管理，建立有效的技术管理、质量管理和组织管理机制；

3. 建立有效的质量管理体系，至少满足支持信息安全风险评估技术能力达到计划跟踪级所需的相关管理能力要求。

3.4 安全风险评估过程能力要求

安全风险评估过程能力方面的要求是信息安全风险评估服务资质的核心要求。申请信息安全服务（风险评估二级）资质的组织应该：

1. 根据国内外信息安全风险评估标准，形成完整的可执行的信息安全风险评估规范，用于指导具体的信息安全风险评估项目，包括评估方法、评估流程、评估步骤等等；

2. 验证安全风险评估实施过程与规范的一致性；

3. 通过可测量的计划跟踪过程的实施情况，当过程实施与计划产生重大偏离时应采取纠正措施。

获得资质的组织需通过持续发展自身信息安全服务体系以保持基本能力及安全服务能力。CNITSEC将通过申诉系统、现场见证以及对信息安全服务项目进行抽样检查来验证每个获得资质组织的能力。特别是未进行现场审核的维持企业，在有效期内要保证至少一次的监督频次。

证书在三年有效期内实行年确认制度，每三年进行一次维持换证。建议在证书有效期届满前6个月，由获证组织提出维持换证申请。审核人员将依据信息安全服务资质维持有关政策进行评审，以确定获证组织符合信息安全服务能力要求的持续性。获证组织获证后，可根据自身能力的提升情况，向中心申请更gaoji别资质。

若获证组织相关资料变动时，须及时通知中心，并申请更改。审核人员会及时进行资料确认，并进行数据更新。