400-182-7001
发布时间：2023-02-06浏览量：9588

CCRC信息安全服务资质概念



信息安全服务资质是信息安全服务机构提供安全服务的一种资格，包括法律地位、资源状况、管理水平、 技术能力等方面的要求。信息安全服务资质认证是依据国家法律法规、国家标准、行业标准和技术规范，按照认证基本规范及认证规则，对提供信息安全服务机构的信息安全服务资质进行评价。
信息安全服务资质级别分为一级、二级、三级共三个级别，其中一级最高，三级最低。共分7个不同的方向，分别是：安全集成、安全运维、应急处理、风险评估、灾难备份与恢复、安全软件开发、网络安全审计。申请方可根据自身业务需求来申请对应方向的。
CCRC证书模板

通过对信息安全服务分类分级的资质认证，可以对信息安全服务提供商的基本资格、管理能力、技术能力和服务过程能力等方面进行权威、客观、公正的评价，证明其服务能力，满足社会对服务的选择需求。同时，认证过程也将有效促进服务提供方完善自身管理体系，提高服务质量和水平，引导行业健康规范发展。

CCRC信息安全服务资质介绍




根据信息安全服务资质认证业务现状及发展需要，中国网络安全审查技术与认证中心（CCRC）对服务资质认证规范及实施规则进行了修订，于2021年10月15日发布了2021版CCRC-ISV-C01:2021《信息安全服务规范》、CCRC-ISV-R01:2021《信息安全服务资质认证实施规则》，并从发布之日起正式实施。自即日起，CCRC启动按照新版认证实施规则的认证申请受理工作，不再受理依据旧版认证实施规则的认证申请。
擎标梳理了主要变化点，供大家参考使用：
  • 证书有效期由1年变更为3年；
  • 监督评审周期由12个月内增加至12-18个月；
  • 审核形式变化较大，增加服务点抽查要求等内容；
  • 删除了工业控制系统安全分项等。
2022年4月1日后CCRC的审核规则又发生了细微调整，主要变化如下：
  • 三级初审由远程文件审核改为现场审核；
  • 证书到期前需提前三个月提出在线申请；
  • 不再开具证书延期说明，证书过期后需重提提交认证申请。

CCRC的七个类别




1、安全集成服务资质简介
信息系统安全集成服务是指从事计算机应用系统工程和网络系统工程的安全需求界定、安全设计、建设实施、安全保证的活动。信息系统安全集成包括在新建信息系统的结构化设计中考虑信息安全保证因素，从而使建设完成后的信息系统满足建设方或使用方的安全需求而开展的活动。也包括在已有信息系统的基础上额外增加信息安全子系统或信息安全设备等，通常被称为安全优化或安全加固。信息系统安全集成服务资质级别是衡量服务提供者服务能力的尺度。安全集成服务提供方的服务能力主要从以下四个方面体现：基本资格、服务管理能力、服务技术能力和服务过程能力；服务人员的能力主要从掌握的知识、安全集成服务的经验等综合评定。

2、安全运维服务资质简介
通过技术设施安全评估，技术设施安全加固，安全漏洞补丁通告、安全事件响应以及信息安全运维咨询，协助组织的信息系统管理人员进行信息系统的安全运维工作，以发现并修复信息系统中所存在的安全隐患，降低安全隐患被非法利用的可能性，并在安全隐患被利用后及时加以响应。安全运维资质认证是对安全运维服务方的基本资格、管理能力、技术能力和安全运维过程能力等方面进行评价。安全运维服务资质级别是衡量服务提供方的安全运维服务资格和能力的尺度。

3、风险评估服务资质简介
信息安全风险评估是信息安全保障的基础性工作和重要环节，贯穿于网络和信息系统建设运行的全过程。服务提供者通过对信息系统提供风险评估服务，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全整改措施，防范和消除信息安全风险，或将风险控制在可接受的水平，为网络和信息安全保障提供科学依据。信息安全风险评估服务资质级别是衡量服务提供者服务能力的尺度。风险评估服务提供方的服务能力主要从以下四个方面体现：基本资格、服务管理能力、服务技术能力和服务过程能力；服务人员的能力主要从掌握的知识、风险评估服务的经验等综合评定。对服务提供方的背景审查主要指客户投诉、违法违纪行为等；服务人员的背景审查主要指行业主管部门或使用单位对从事风险评估服务的人员进行必要的审查。

4、应急处理服务资质简介
信息安全应急处理服务是通过制定应急计划使得影响网络与信息系统安全的安全事件能够得到及时响应，并在安全事件一旦发生后进行标识、记录、分类和处理，直到受影响的业务恢复正常运行的过程。应急处理服务是保障业务连续性的重要手段之一，它涵盖了在安全事件发生后为了维持和恢复关键业务所进行的系列活动。信息安全应急处理服务资质认证是对应急处理服务提供方的基本资格、管理能力、技术能力和应急处理服务过程能力等方面进行评价。信息安全应急处理服务资质级别是衡量服务提供方应急处理服务资格和能力的尺度。

5、软件安全开发服务资质简介
通过对软件开发过程的控制，将开发的软件存在的风险控制在可接受的水平。软件安全开发资质认证是对软件开发方的基本资格、管理能力、技术能力和软件安全过程能力等方面进行评价。安全软件开发服务资质级别是衡量服务提供方的软件安全开发服务资格和能力的尺度。

6、信息系统灾难备份与恢复服务资质简介
信息系统灾难备份与恢复服务是将信息系统的数据、数据处理系统、网络系统、基础设施、专业技术支持能力和运行管理能力进行备份，并在灾难发生时，将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计和提供的活动。信息系统灾难备份与恢复服务资质级别是衡量服务提供者服务能力的尺度。

7、网络安全审计服务资质简介
网络安全审计是指网络安全审计机构对被审计方所属的计算机信息系统的安全性、可靠性和经济性进行检查、监督，通过获取审计证据并对其进行客观评价所开展的系统的、独立的、形成文件的活动。
网络安全审计服务资质认证是对网络安全审计服务方的基本资格、管理能力、技术能力和网络安全审计过程能力等方面进行评价。网络安全审计服务资质级别是衡量服务提供方的网络安全审计服务资格和能力的尺度。

CCRC通用评价要求




通用评价要求适用于风险评估、安全集成、应急处理、灾难备份与恢复、软件安全开发、安全运维等类别的信息安全服务认证评价，均分为三个级别，其中一级最高。
申请一级资质时，要求需要取得信息安全服务（与申报类别一致）二级资质1 年以上。（行业领头企业除外）。

申请
条件
三级
二级
一级
法律
地位
在中华人民共和国境内注册的独立法人组织，发展历程清晰，产权关系明确。
财务
资信
近3 年经营状况良好，财务数据真实可信，应提供在中华人民共和国境内登记注册的会计师事务所出具的近3 年财务审计报告。
办公
场所
拥有长期固定办公场所和相适应的办公条件，能够满足机构设置及其业务需要。
人员
素质
与
资质
a) 组织负责人拥有2年以上信息技术领域管理经历。
b) 技术负责人获得信息安全相关专业硕士及以上学位或电子信息技术类中级职称，且从事信息安全技术工作2年以上。
c) 财务负责人具有财务系列初级以上职称。
d) 从事信息安全服务人员10名以上。
e) 拥有信息安全专业认证（与申报类别一致）人员2名以上。
f) 拥有项目管理资格证书人员1名以上。
a) 组织负责人拥有3年以上信息技术领域管理经历。
b) 技术负责人应获得信息安全相关专业硕士及以上学位或电子信息技术类中级职称，且从事信息安全技术工作5年以上。
c) 财务负责人具有财务系列中级以上职称。
d) 从事信息安全服务人员30名以上。
e) 拥有信息安全专业认证（与申报类别一致）人员6名以上。
f) 拥有项目管理资格证书人员2名以上。
a) 组织负责人拥有4年以上信息技术领域管理经历。
b) 技术负责人应获得信息安全相关专业硕士及以上学位或电子信息技术类高级职称，且从事信息安全技术工作8年以上。
c) 财务负责人拥有财务系列高级职称，或取得中级职称8年以上。
d) 从事信息安全技术服务人员50名以上。
e) 拥有信息安全专业认证人员（与申报类别一致）10名以上。
f) 拥有项目管理资格证书人员5名以上。
技术
工具
a) 具备独立的测试环境及必要的软、硬件设备，用于技术培训和模拟测试。
b) 具备承担信息安全服务（与申报类别一致）项目所需的安全工具，并对工具进行管理和版本控制。
a) 具备独立的测试环境及必要的软、硬件设备，用于技术培训和模拟测试。
b) 具备承担信息安全服务（与申报类别一致）项目所需的安全工具，如漏洞扫描工具、渗透测试工具、协议分析仪等。
业绩
要求
a) 从事信息安全服务（与申报类别一致）1年以上。
b) 近3年内签订并完成至少1个信息安全服务（与申报类别一致）项目。
a) 从事信息安全服务（与申报类别一致）3年以上，或取得信息安全服务（与申报类别一致）三级资质1年以上。
b) 近三年内签订并完成至少6个信息安全服务项目（与申报类别一致）。
a) 从事信息安全服务（与申报类别一致）5年以上。
b)近三年内至少签订并完成10个信息安全服务项目（与申报类别一致）。

CCRC认证周期和流程 




CCRC信息安全服务资质申请流程主要分为4个阶段，包含准备阶段、审核阶段、认证决定阶段和制证阶段。各阶段主要工作为：
1、准备阶段
申请组织根据自身实际情况确定需要申请的服务资质类型，登录中国网络安全审查技术与认证中心网站，下载《信息安全服务资质认证自评估表-公共管理》、《信息安全服务资质认证申请书》，实施自评估后（具体自评估表的填写方法可参考中心网站上的《信息安全服务资质认证自评估表填写指南》），将上述文档及自评估证明材料提交中心。
2、审核阶段（此阶段工作应在三周内完成，如需要申请组织补充材料，应在五周内完成）
审核形式有较大差异，需重点注意：
（1）初次认证：一级、二级、三级资质审核形式均为文件审查+现场审核。
（2）监督审核：一、二、三级资质均为文件审查+现场审核+服务点审核。服务点审核抽样要求：
  • 一级：在申请组织提交正在进行中的项目中，现场审核时随机抽查1个项目；
  • 二级：在申请组织提交正在进行中的项目中，现场审核时随机抽查1个项目；
  • 三级：在申请组织提交正在进行中的项目中，现场审核时随机抽查1个项目；

审核流程：

（1）项目管理人员指派审核组长，协调审查员组建审核组；
（2）审核组长编制《审核计划》，通过项目管理人员发送给审核组全体成员；
（3）审核组对申请组织提交的材料进行审核工作，判断该组织目前对外提供的信息安全服务管理及技术能力是否符合《信息安全服务 规范》的要求。如满足要求，审核组长在通知项目管理人员向申请组织出具《受理通知单》（如申请组织有需求，也可签订《服务资质认证合同》）、收取认证费用后，编写《非现场审核报告》，并汇总《信息安全服务资质认证公共管理审核记录表》等审核材料提交中心进行认证决定；如不满足要求，审核组长通知申请组织补充材料重新提交，并对补充材料进行审核（如申请组织所补充的材料仍无法满足要求，审核组长应将此情况告知项目管理人员，项目管理人员通知申请组织目前尚不能满足申请资质的条件）。

3、认证决定阶段（此阶段工作应在两周内完成）
中心认证决定人员对审核组长提交的审核材料进行认证决定；
如认证决定通过，则通知项目管理人员进行制证；如认证决定不通过，则通知申请组织不通过原因。
4、制证阶段（此阶段工作应在一周内完成）
项目管理人员制作证书，并邮寄给申请组织。电子证书可在中国网络安全审查与认证技术中心网站进行查询。

证书管理




证书状态：有效、暂停、撤销
造成证书暂停的情况（最长3个月）：
1）获证组织的服务管理持续地或严重地不满足认证要求；
2）逾期未按规定接受监督审核；
3）违规使用认证证书，且未造成不良影响；
4）监督审核有严重不符合项；
5）获证组织主动请求暂停；
6）其他需要暂停证书的情况。
造成撤销的情况：
1）逾期3个月未按规定接受监督审核的；
2）证书暂停期间，未在规定时间内完成整改并通过验证；
3）违规使用认证证书，造成不良影响；
4）获证组织出现严重责任事故、被投诉且经核实，影响其继续有效提供服务；
5）获证组织因自身原因不再维持证书，可提出撤销认证证书的申请；
6）其他需要撤销证书的情况。

年审监督




1）单位名称变更、注册地址变更，均可提出证书变更申请（随时申请）；
2）每年均需监督审核，提前3个月提交监督审核通知单回执及自评价表；

3）现场监督，全要素进行审核，重点关注上年度开具的不符合及观察项。

以上是给大家介绍的CCRC信息安全服务资质，内容还是非常全面的，希望可以更好的帮助大家去学习和理解，想要了解CCRC相应费用标准的企业，可联系在线客服。

上一篇：CMMI3级和CMMI5级认证有什么区别？ 下一篇：CCRC认证新版实施规则
返回列表
微信咨询
电话咨询
400-182-7001