国测信息安全服务资质【安全运营类二级】详情解答！

​国测信息安全服务资质

目前，信息安全服务资质有八种类型：安全工程类、灾难恢复类、安全开发类、风险评估类、信息安全审计类、云计算安全类、大数据安全类、安全运营类。

为了便于各大企业更好的了解国测信息安全服务资质，小编会一一为大家解答八个类别的办理详情，今日我们就一起来看看【安全运营类】的详情解答吧！

中国信息安全测评中心（以下简称CNITSEC）是经中央批准成立、代表国家开展信息安全测评的职能机构，依据国家有关产品质量认证和信息安全管理的政策、法律、法规，管理和运行国家信息安全测评体系。

中国信息安全测评中心的主要职能是：

1. 对国内外信息安全产品和信息技术进行测评；

2. 对国内信息系统和运营进行安全性评估；

3. 对提供信息系统安全服务的组织和单位进行评估；

4. 对信息安全专业人员的资质进行评估。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

本指南适用于所有向CNITSEC申请信息安全服务资质（安全运营类二级）的境内外组织。

一、 认定依据

信息安全服务（安全运营类）资质认定是对信息安全运营服务提供者的资格状况、技术实力和信息安全运营实施过程质量保证能力等方面的具体衡量和评价。

信息安全服务（安全运营类）资质级别的评定，是依据《信息安全服务资质评估准则》和不同级别的信息安全服务资质（安全运营类）具体要求，在对申请组织的基本资格、技术实力、信息安全运营服务能力以及安全运营项目的组织管理水平等方面的评估结果基础上的综合评定后，由中国信息安全测评中心给予相应的资质级别。

二、 级别划分

信息安全服务（安全运营类）资质认定是对信息安全运营服务提供者的综合实力的客观评价和确认，信息安全服务（安全运营类）资质级别反映了信息安全运营服务提供者从事信息安全运营服务保障能力的成熟程度。资质级别划分的主要依据包括：基本资格与基本能力要求、安全运营过程能力要求、项目与组织管理能力要求和其他补充要求等。

信息安全服务资质分为五个级别，由一级到五级依次递增，一级是最基本级别，五级为最高级别。

一级：基本执行级

二级：计划跟踪级

三级：充分定义级

四级：量化控制级

五级：持续改进级

三、 二级资质要求

信息安全服务资质（安全运营类二级）为计划跟踪级，要求满足基本资格的信息安全运营服务组织通过建立有效的质量管理体系，使安全运营能力方面实施安全运营的过程规范被定义、标准化和文档化，实施运营过程时能普遍按照规范执行，通过跟踪发现运营过程中的重大偏离并采取纠正措施，从而使组织的安全运营能力达到部分可重复的水平。

申请信息安全服务（安全运营类二级）资质的组织需要在基本资格、基本能力、质量管理和安全运营过程能力等几个方面符合《信息安全服务资质具体要求（安全运营类二级）》的规定。

3.1 基本资格要求

基本资格要求是评定信息安全服务资质的起评条件。

申请信息安全服务（安全运营类二级）资质的组织必须：

1. 是具有独立法人地位的实体；

2. 遵守国家现行法律法规；

3. 已获信息安全服务（安全运营类一级）资质，且资质证书在有效期内；

4. 达到其他补充要求。

3.2 基本能力要求

基本能力的要求包括：技术能力要求，资源配置要求（包括人员构成与素质要求、设备、设施与环境要求），规模与资产要求和业绩要求。

申请信息安全服务（安全运营类二级）资质的组织应具备：

1. 从事信息安全服务行业3年以上；

2. 注册资本在1000万元以上，资产总额在1000万元以上；

3. 近3年的财务状况良好；

4. 从事信息安全服务的人力资源充足、人员结构合理、技术队伍相对稳定，拥有专职的注册信息安全专业人员（CISP）不得少于8人；

5. 实践过完整的安全运营全生命周期过程；

6. 近3年完成信息安全服务运营项目总值在500万元以上。

3.3 质量管理要求

申请信息安全服务（安全运营类二级）资质的组织，在质量管理方面应具备：

1. 建立合理的组织架构来满足信息安全运营服务的实施和管理，信息安全运营服务技术部门相对独立；

2. 建立合理的管理架构来满足信息安全服务的管理，建立有效的技术管理、质量管理和组织管理机制；

3. 建立有效的质量管理体系，至少满足支持信息安全运营技术能力达到计划跟踪级所需的相关管理能力要求。

3.4 安全运营过程能力要求

安全运营过程能力方面的要求是信息安全运营服务资质的核心要求。

申请信息安全服务（安全运营类二级）资质的组织应具备：

1. 在按照一级所要求的各个过程域最佳实践的基础上将实践上升为理论，形成规范指导运营过程有计划、规范化地实施；

2. 验证运营实施过程与规范的一致性；

3. 通过可测量的计划跟踪过程的实施情况，当过程实施与计划产生重大偏离时应采取纠正措施。

另外，对安全设计和系统安全运营实施方面提出了具体要求。

四、 认定流程图

认定流程图，也可以咨询我们的顾问老师了解办理详情哟~

五、 监督、维持和升级

获得资质的组织需通过持续发展自身信息安全服务体系以保持基本能力及安全服务能力。CNITSEC将通过申诉系统、现场见证以及对信息安全服务项目进行抽样检查来验证每个获得资质组织的能力。特别是未进行现场审核的维持企业，在有效期内要保证至少一次的监督频次。

证书在三年有效期内实行年确认制度，每三年进行一次维持换证。建议在证书有效期届满前6个月，由获证组织提出维持换证申请。审核人员将依据信息安全服务资质维持有关政策进行评审，以确定获证组织符合信息安全服务能力要求的持续性。获证组织获证后，可根据自身能力的提升情况，向中心申请更高级别资质。

若获证组织相关资料变动时，须及时通知中心，并申请更改。审核人员会及时进行资料确认，并进行数据更新。

广州同邦信息科技股份有限公司是一家致力于信息技术领域提供解决方案的IT技术和咨询服务提供商，专业从事企业资质认证，目前累计服务客户2000+，累计发出证书3000+，覆盖行业20+，目前公司拥有一支导师式、顾问型的创新服务专家团队，以提升客户价值为目标，帮助企业通过资质认证！