信息安全服务资质自表-安全集成类-中国信息安全认证中心
信息安全集成服务资质认证实施规则
(2) 具备制定安全集成方案并能够按照该方案实施的能力；能够提供信息系统安全集成服务报
告、系统使用指南等文档；
(3) 具备对安全集成完成的系统进行检测和验证的能力；
(4) 熟悉国内外主流的信息技术产品、信息安全产品的功能及特性；
中国信息安全认证中心
第3页
ISCCC-SV-003：2011
信息安全集成服务资质认证实施规则
(4) 遵守国家现行法律、法规的规定；
4.2 基本管理能力要求
服务提供者应：
(1) 采取技术和管理措施确保客户信息的安全、可控，这些信息包括但不限于客户资料、集成
活动中产生的文档、最终安全集成报告等；
(2) 制定保密管理要求，明确保密岗位与职责，定期对服务人员进行保密教育与培训，并签订
《保密责任书》，规定应当履行的安全保密义务和承担的法律责任，并负责落实；
GB/T 20261-2006 信息技术 系统安全工程 能力成熟度模型 YD/T 1621-2007 网络与信息安全服务资质评价准则 YD/T 1799-2008 网络与信息安全应急处理服务资质评价方法 YD/T 2252-2011 网络与信息安全风险评估服务能力评价方法 CNCA/CTS 0052-2007 信息安全服务资质认证技术规范 GB/T 5271.8-2001《信息技术词汇第8部分：安全》中的术语和定义适用于本标准。 3. 术语与定义
中国信息安全认证中心
第1页
ISCCC-SV-003：2011
信息安全集成服务资质认证实施规则
1. 适用范围 信息系统安全集成服务资质认证是依据国家认证认可法律法规及国际、国内相关技术标准和规
范，对信息系统安全集成服务提供者的资质进行评价的合格评定活动。 本规则提出了信息系统安全集成服务提供者（以下简称服务提供者）应具备的服务能力要求，
服务资质认证自评估表填写规范
编码：ISCCC-QOG-0406-B/0服务资质认证自评估表填写规范发布/修订日期：2017 年9 月 1 日生效日期：2017 年 9月 1日主责处室：体系与服务认证部批准：张剑中国信息安全认证中心ISCCC-QOG-0426-B/0 服务资质认证自评估表填写规范程序文件修改记录序号 文件代码 修改章节 文件更改通知单编号 修改日期 修改人 批准人 1 B/0 新增 2017.8 翟亚红 张剑服务资质认证自评估表填写规范1目的对自评估表填写进行规范，确保申请组织的自评价材料基本信息清晰明了。
2适用范围适用于所有服务资质申请企业。
3职责申请组织相关人员填写自评估表。
4服务资质认证自评估表填写过程4.1公共管理自评估表填写规范4.1.1、财务资信填写内容包含以下信息：所提供的财务审计或者财务报告的年份，对于财务审核报告需填写所出具的会计事务所名称，需填写收入、净利润等信息。
4.1.2、办公场所填写内容包含以下信息：房屋产权证或房屋租赁合同；产权人/出租人、地址、面积、租期。
4.1.3、人员能力填写内容包含以下信息：1）填写组织负责人姓名、年龄、职务、职称、学历、工作经历、资质证书。
2）填写技术负责人姓名、年龄、职务、职称、学历、工作经历、资质证书。
3）填写财务负责人姓名、年龄、职务、职称、学历、工作经历、资质证书。
4）填写信息安全服务人员数量，养老保险证明出具单位及出具时间，劳动合同的签订时间及有效期。
5）信息安全专业保障人员认证证书，填写获证人员名称、证书编号、发证日期、有效期。
6）填写项目经理人员数量，人员的名称、证书名称、证书编号等。
4.1.4、业绩填写内容包含以下信息：1）填写首个信息安全服务（与申报类别一致）项目名称、合同签订时间、项目验收时间。
2）填写近三年信息安全服务项目（与申报类别一致）名称、合同金额、合同签订时间、验收时间、项目服务内容等。
4.1.5、服务管理填写内容包含以下信息：1）填写人员管理程序，内容应包含岗位职责，人员任前、中、后的监督、考核、评价、奖惩方式，信息安全服务相关技术岗位的能力指标。
信息安全服务资质认证
信息安全服务资质认证
监督审核通知单
：
您好，贵组织已获中国网络安全审查技术与认证中心颁发的：
安全集成服务资质级认证证书（获证日期：年月日）
应急处理服务资质级认证证书（获证日期：年月日）
风险评估服务资质级认证证书（获证日期：年月日）
安全开发服务资质级认证证书（获证日期：年月日）
安全运维服务资质级认证证书（获证日期：年月日）
灾难备份与恢复服务资质A类级认证证书（获证日期：年月日）灾难备份与恢复服务资质B类级认证证书（获证日期：年月日）网络安全审计服务资质级认证证书（获证日期：年月日）
工业控制系统安全服务资质级认证证书（获证日期：年月日）根据《信息安全服务资质认证实施规则》的要求，贵方应于年月日前接受我中心的年度监督审核并交纳监督审核费用。
请在十个工作日内，将本通知的回执回复至本邮箱,我中心将在收到款项后开具发票并安排审核。
另外，请在贵方计划的审核日期两个月之前提交自评估材料（例如：如果计划在9月10日接受审核，自评估材料需在7月10日之前提交至中心，自评估表在“，自评估表及其附件要求的证明材料只接收电子版）。
如贵组织申请的认证类别和级别发生变化，针对有变化的认证类别需重新填写申请书和自评估表。
联系人：彭琳赓；联系电话：/4648
联系地址：北京市朝阳区朝外大街甲10号中国网络安全审查技术与认证中心。
收款账户：户名：中国信息安全认证中心；
开户行：中信银行北京国际大厦支行
账号：7
特此通知。
中国网络安全审查技术与认证中心
年月日
回执。
《信息系统安全集成服务资质认证评价要求》
《信息系统安全集成服务资质认证评价要求》编制说明一、工作简况《信息系统安全集成服务资质认证评价要求》行业标准制定项目是中国认证认可行业标准化技术委员会2013年度的标准制修订项目。
该项目由中国信息安全认证中心承担。
截止到2011年底，国内外尚未形成安全集成服务相关标准。
ISO/IEC 21827:2008 ISO/IEC 21827:2008《Information technology —Security techniques —Systems Security Engineering —Capability Maturity Model® (SSE-CMM®)》与国家标准GB/T 20261-2006《信息技术系统安全工程能力成熟度模型》是针对信息安全工程的，其中安全工程过程包括了风险评估、安全工程与安全保证三个方面内容，以及安全工程的能力成熟度模型，未涉及认证评价的内容，所以该标准不能完全满足信息安全服务资质认证工作的需要。
鉴于现状，我们征集了信息安全业界专家的意见，专家一致提议安全集成服务资质认证标准可参考ISO/IEC 21827:2008中的安全工程与安全保证部分的内容。
结合我中心已开展的信息安全风险评估与应急处理服务资质认证的标准，将安全集成服务资质分为三级，其中一级最高，三级最低，最终制定一套符合我国信息安全服务现状的认证实施规则，依据该规则指导安全集成服务资质认证工作。
为了规范信息系统安全集成（以下简称安全集成）服务市场，提升安全集成服务质量，我中心于2012年初，依据ISCCC-SV-003《信息系统安全集成服务资质认证实施规则》开展了安全集成服务资质认证业务。
该实施规则得到了申请方的一致认可。
该项标准是在中国信息安全认证中心ISCCC-SV-003《信息系统安全集成服务资质认证实施规则》的基础上，经编写小组多次讨论和征求意见后制定，形成了目前的标准草案稿。
信息安全集成服务资质认证实施规则
信息安全集成服务资质认证实施规则信息安全是现代社会不可缺少的一个重要组成部分，随着网络技术的发展和普及，信息安全问题越来越引起人们的关注。
在这种背景下，信息安全集成服务逐渐成为了企业保障信息安全的一种重要手段。
为了保证这些服务的质量和可靠性，国家对信息安全集成服务进行了资质认证。
本文将从信息安全集成服务资质认证的意义、实施规则以及具体步骤等方面进行探讨。
一、信息安全集成服务资质认证的意义信息安全集成服务资质认证是指对从事信息安全集成服务的单位或者个人的从业能力、行为规范、德行等方面进行的检验和评估，以确定其能否为客户提供高质量的信息安全集成服务。
这种认证具有以下几个方面的意义：1.对信息安全服务的提供者进行规范化和统一管理信息安全集成服务资质认证可以对从事这类服务的单位或个人进行规范化和统一管理，促进信息安全服务产业的健康发展。
通过认证，能够实现对从业者的行为规范、德行、从业能力等方面的监督，并建立信息安全服务市场的信誉度。
2.提高信息安全服务的质量和可靠性信息安全集成服务资质认证可以提高信息安全服务的质量和可靠性，保障客户的信息安全。
认证过程中，会对服务提供商的技术能力、专业知识、服务质量等方面进行严格检查和评估，证明其在信息安全领域拥有一定的专业知识和实践能力。
3.对客户提供有力的保障通过对信息安全集成服务提供商的资质认证，客户可以更加可信地选择服务提供商。
认证过程能够全面评估服务提供商的实力和能力，为客户提供有力的保障，减少客户信息泄漏、网络攻击等安全隐患。
二、信息安全集成服务资质认证实施规则信息安全集成服务资质认证实施规则主要分为以下五个方面：1.认证适用范围认证的适用范围主要包括单位或者个人从事的信息安全集成服务内容，具体包括：安全策划、安全设计、安全项目管理、安全实施、安全运维等几个方面。
2.认证对象认证对象应为单位或个人，包括咨询公司、技术服务公司、安全技术公司、系统集成商等。
3.资质认证程序资质认证程序包括资格审查、资料提交、现场评审、审核、颁发证书等环节，其中现场评审包括认证初审和认证复审两个阶段。
认证要求-中国国家认证认可监督管理委员会
信息安全服务资质认证要求ISCCC XXX XXX-2007信息安全服务资质认证要求Certification Requirementsfor Qualification of Information Security Service Provider(备案送审稿)中国信息安全认证中心 发布××××-××-××实施××××-××-××发布备案号：××××—××××目录前言 (3)1 适用范围 (4)2 定义 (4)2.1信息安全服务 (4)2.2信息安全服务提供者 (4)2.3信息安全服务资质等级 (4)2.4信息安全工程过程能力级别 (4)3 服务类型与资质评定原则 (4)3.1信息安全服务的类型 (4)3.2信息安全服务资质等级的评判原则 (4)4 认证具体要求 (5)4.1基本资格 (5)4.1.1独立法人 (5)4.1.2法律要求 (6)4.2基本能力 (6)4.2.1资产与规模 (6)4.2.2人员素质与构成 (6)4.2.3设备、设施与环境 (7)4.2.4业绩 (7)4.3质量管理能力 (7)4.3.1体系和管理职责 (7)4.3.2资源管理 (8)4.3.3项目过程管理 (10)4.3.4测量、分析和改进 (12)4.3.5客户服务 (13)4.3.6技术能力更新 (14)4.4安全工程过程能力 (14)4.4.1风险过程 (14)4.4.2工程过程 (16)4.4.3保证过程 (19)5引用标准与参考文献 (20)5.1计算机信息系统安全保护等级划分准则 (20)5.2系统安全工程能力成熟模型 (20)5.3系统安全工程能力成熟模型—评定方法 (20)5.4信息系统安全工程手册 (20)5.5软件工程能力成熟模型 (20)6附录——系统安全工程主要术语 (21)6.1组织 (21)6.2项目 (21)6.3系统 (21)6.4安全工程 (21)6.5安全工程生命期 (21)6.6工作产品 (22)6.7顾客 (22)6.8过程 (22)6.9过程能力 (22)6.10制度化 (23)6.11过程管理 (23)前言本技术规范属于信息安全服务资质认证要求。
通信网络安全服务能力评定准则1.通信网络安全服务概述
通信网络安全服务能力评定准则1. 通信网络安全服务概述1.1概念本准则所述的通信网络包括电信网和互联网，所涉及的安全服务是指为了适应通信网络安全管理的需要，运用科学的方法和手段，通过有效的措施来保障通信网络的正常运行，为企业提供全面或部分安全评估、设计与集成的服务，包含从安全体系到具体的技术解决措施。
1.2类型本准则涉及到的通信网络安全服务可以分为两种类型：风险评估、安全设计与集成。
1）风险评估运用科学的方法和手段，系统地分析通信网络及相关系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，并提出有针对性的抵御威胁的防护对策和安全措施，防范和化解通信网络及相关系统安全风险，将风险控制在可接受的水平，为最大限度地保障通信网络及相关系统的安全提供科学依据。
2）安全设计与集成对所服务的通信网络的安全框架进行设计，形成安全建设规划，并对计划实施的安全策略细化，在安全解决方案的基础上，实施安全产品集成、安全软件定制开发、安全加固或其它的安全技术和咨询服务。
2. 通信网络安全服务能力等级的评判原则通信网络安全服务能力是对通信网络安全服务单位的客观评价，直接反应了通信网络安全服务单位的服务资格、水平和能力。
通信网络安全服务能力要求分别针对每一类服务单位分为基本要求和分类要求，基本要求是指所有通信网络安全服务单位都必须要达到的安全能力要求；分类要求是指对不同类型的通信网络安全服务单位提出了不同的能力要求，其中风险评估、安全设计与集成类服务分别提出了三级能力要求，由高到低依次是三级、二级、一级能力。
在本准则中，高等级能力的要求涵盖了低等级能力要求的所有方面。
通信网络安全服务能力评定要求是对通信网络安全服务单位的资格状况、经济实力、技术能力、服务队伍、服务过程能力等方面的具体衡量和评价。
3. 通信网络安全服务能力等级基本要求3.1法律要求1) 在中华人民共和国境内注册成立（港澳台地区除外）；2) 由中国公民投资、中国法人投资或者国家投资的，具有独立法人资格及相关部门颁发的合法经营资格的企事业单位（港澳台地区除外）；3) 从事涉密的通信网络安全服务单位必须满足国家保密机关的相关要求；4) 从事通信网络安全服务工作一年以上且无违法记录；5) 法人及主要业务、技术人员无犯罪记录。
信息系统安全集成服务资质认证自评估表
组织名称
申报级别
评估时间
评估部门/人员
序 号
要点
条款
需提供证明材料
自评估 结论
证明材料清单
符
合
不 符 合
1.
技术服务 要求
建立信息系统安全集成服务流程。
信息系统安全集成服务流程，流程图 中应包括每个阶段对应的职责、 输入 输出等。
2.
制定信息系统安全集成服务规范并按 照规范实施。
14.
仅二级/一级要求：结合技术方案，对 项目组及第三方配合人员进行业务和 技能培训。
项目方案设计阶段控制程序文件， 内 容应覆盖审核条款要求。提供业务和 技能的相关培训记录。
15.
仅一级要求：结合项目需要，编制安全 集成项目施工手册和作业指导书。
项目方案设计阶段控制程序文件， 内 容应覆盖审核条款的要求。提供安全 集成项目施工手册和作业指导书。
项目安全保障阶段控制程序文件， 内 容应覆盖审核条款的要求。提供项目 终验申请、项目终验报告。
40.
根据合同约定，配合组织项目验收，出 具项目验收报告
41.
安全保障-运行维护
根据合同约定，向客户提供维保服务， 并形成维保记录。
项目安全保障阶段控制程序文件， 内 容应覆盖审核条款的要求。提供系统 维护记录。
项目方案设计阶段控制程序文件，包
括明确工作内容、流程、文档模板， 内容应覆盖审核条款的要求。项目技
11.
结合技术方案和实施方案，与客户进行 沟通，获得客户认可。
丿术丿J案、实施丿J案、/沟通t记录。
12.
仅二级/一级要求：结合需求分析和客 户在保障系统安全方面的投入能力，提 出系统建设安全设计说明书，明确系统 架构、产品选型、产品功能、性能及配 置等参数。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
9.
集成准备-方案设计
根据系统建设安全需求，编制安全集成技术方案。
项目方案设计阶段控制程序文件，包括明确工作内容、流程、文档模板，内容应覆盖审核条款的要求。项目技术方案、实施方案、沟通记录。
10.
依据技术方案，编制安全集成实施方案，明确项目人员、进度、质量、沟通、风险等方面要求。
信息系统安全集成服务资质认证自评估表
组织名称
申报级别
评估时间
评估部门/人员
序号
要点
条款
需提供证明材料
自评估结论
证明材料清单
符合
不符合
1.
技术服务要求
建立信息系统安全集成服务流程。
信息系统安全集成服务流程，流程图中应包括每个阶段对应的职责、输入输出等。
2.
制定信息系统安全集成服务规范并按照规范实施。
信息系统安全集成服务规范。
31.
仅一级要求：基于建设系统的安全要求，制定系统安全性测试方案，模拟攻击场景，对系统安全性进行测试。
项目安全保障阶段控制程序文件，内容应覆盖审核条款的要求。提供系统安全性测试方案、测试记录。
32.
安全保障-系统试运行
为测试系统运行的可靠性和稳定性，系统初验后需进行试运行，并记录系统运行状况。
项目安全保障阶段控制程序文件，内容应覆盖审核条款的要求。提供系统试运行记录、设备调整维护记录。
5.
结合系统建设和安全需求，与客户、设计、开发等人员充分沟通，达成共识并形成记录。
6.
仅二级/一级要求：准确识别和综合分析系统在信息安全特性方面相适应的安全需求。
系统安全需求分析报告，内容应覆盖审核条款要求。
7.
仅二级/一级要求：基于客户需求和投入能力，开展需求分析，编制需求分析报告。
8.
仅一级要求：协助客户有效识别系统建设过程中的政策、法律和约束条件，有效规避商业风险和泄密事件。
19.
项目实施人员按时提交施工记录和工程日志，及时向项目经理汇报项目进度。
20.
建立安全集成项目协调机制，明确责任人，畅通信息沟通渠道，保障各相关方在项目实施过程中能够有效充分的沟通。
项目建设实施阶段控制程序，覆盖审核条款要求。提供沟通方案。
21.
仅二级/一级要求：产品、设备安装调试过程中，应完整妥善记录相关信息。
26.
建设实施-监督管理
仅一级要求：定期对项目实施情况进行评审，采取适当措施，控制项目风险。
项目管理评审程序，覆盖审核条款的要求。提供项目评审与质量控制文档。
27.
安全保障-系统测试
依据项目技术方案和测试计划，对系统进行联调和系统测试，完整记录测试过程相关信息。
项目安全保障阶段控制程序文件，包括明确工作内容、过程、方法、文档模板，内容应覆盖审核条款的要求。提供测试方案、计划、记录。
项目方案设计阶段控制程序文件，内容应覆盖审核条款要求。提供业务和技能的相关培训记录。
15.
仅一级要求：结合项目需要，编制安全集成项目施工手册和作业指导书。
项目方案设计阶段控制程序文件，内容应覆盖审核条款的要求。提供安全集成项目施工手册和作业指导书。
16.
仅一级要求：对于新建系统，建设实施过程应重点关注信息系统的功能、性能和安全性等方面要求。对于系统改造，还应考虑改造前技术测试验证及在实施失败后的回退措施。技术测试验证需要考虑新旧系统的兼容问题，包括网络兼容、系统兼容、应用兼容等。
项目建设实施阶段控制程序，覆盖审核条款要求。提供安装调试记录、项目完工报告。
22.
仅二级/一级要求：项目建设施工完成后，需向客户提交完工报告。
23.
仅二级/一级要求：项目实施完成后，相关过程记录及时归档，并统一保管。
项目建设实施阶段控制程序，覆盖审核条款要求。提供项目过程文档归档方式及归档记录。
24.
17.
仅一级要求：基于安全集成项目需求和进度计划，编制信息安全产品和工具定制开发计划。
项目方案设计阶段控制程序文件，内容应覆盖审核条款的要求。提供自主开发的信息安全产品、平台和工具清单。
18.
建设实施-实施集成
依据已确认的安全集成项目技术方案和实方案，按照时间和质量要求进行系统建设。
项目建设实施阶段控制程序文件，包括工作内容、过程、方法、文档模板，内容应覆盖审核条款的要求。提供项目施工记录。
28.
对于新建系统重点测试系统的功能、性能和安全性等；对于系统改造或升级项目，还需进行兼容性测试。
29.
仅二级/一级要求：系统测试完成后，制定系统测试报告，并提交客户。
项目安全保障阶段控制程序文件，内容应覆盖审核条款的要求。提供测试报告、初验申请与报告。
30.
仅二级/一级要求：结合项目需要提出初验申请，组织客户及相关方对项目进行初验，并提交初验报告。
仅二级/一级要求：组织客户及相关技术专家对技术方案和实施方案进行论证，确认是否满足系统功能、性能和安全性要求。
项目管理评审程序，包括明确工作内容、过程、方法、文档模板，内容应覆盖审核条款要求。提供专家对项目技术方案、实施方案的评审论证意见。
14.
仅二级/一级要求：结合技术方案，对项目组及第三方配合人员进行业务和技能培训。
11.
结合技术方案和实施方案，与客户进行沟通，获得客户认可。
12.
仅二级/一级要求：结合需求分析和客户在保障系统安全方面的投入能力，提出系统建设安全设计说明书，明确系统架构、产品选型、产品功能、性能及配置等参数。
项目方案设计阶段控制程序文件，内容应覆盖审核条款要求。提供系统建设安全设计说明书。
13.
仅一级要求：建立项目变更管理程序，对项目实施过程中方案、资源变更进行有效控制，完整记录变更过程。
项目建设实施阶段控制程序，覆盖审核条款要求。提供变更管理程序、变更记录。
25.
仅一级要求：制定项目应急处置方案和恢复策略，对项目过程中的应急事件及时进行响应。
项目建设实施阶段控制程序，覆盖审核条款要求。提供应急处置方案、恢复策略、处置记录。
3.
集成准备-需求调研与分析
调研客户背景信息，采集系统建设需求和建设目标，明确系统功能、性能及安全性要求。
准备阶段控制程序文件，包括明确工作内容、流程、方法、文档模板，内容至少包括需求调研、分析、评审，产品选型，财务预算。提供投标文件、项目文档等证明。
4.
基于系统建设需求，提出产品选型方案和建设预算。
33.
基于系统运行相关记录，及时对系统设备进行调整和维护。
34.
仅二级/一级要求：系统试运行周期至少一个月。