国家信息安全服务资质【安全开发类二级】

国测信息安全服务资质

目前，信息安全服务资质有八种类型：安全工程类、灾难恢复类、安全开发类、风险评估类、信息安全审计类、云计算安全类、大数据安全类、安全运营类。

为了便于各大企业更好的了解国测信息安全服务资质，小编会一一为大家解答八个类别的办理详情，今日我们就一起来看看【安全开发类】的详情解答吧！

中国信息安全测评中心（以下简称CNITSEC）是经中央批准成立、代表国家开展信息安全测评的职能机构，依据国家有关产品质量认证和信息安全管理的政策、法律、法规，管理和运行国家信息安全测评体系。

中国信息安全测评中心的主要职能是：

1.对国内外信息安全产品和信息技术进行测评；

2.对国内信息系统和工程进行安全性评估；

3.对提供信息系统安全服务的组织和单位进行评估；

4.对信息安全专业人员的资质进行评估。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。

为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

本指南适用于所有向CNITSEC申请信息安全服务资质（安全开发类二级）的境内外组织。

信息安全服务（安全开发类）资质认定是对产品安全开发服务提供者的资格状况、技术实力和安全开发过程能力等方面的具体衡量和评价。

信息安全服务（安全开发类）资质级别的评定，是依据《信息安全服务资质评估准则》和不同级别的信息安全服务资质（安全开发类）具体要求，在对申请组织的基本资格、技术实力、安全开发过程能力以及安全开发项目的组织管理水平等方面的评估结果基础上的综合评定后，由中国信息安全测评中心给予相应的资质级别。

信息安全服务（安全开发类）资质认定是对产品安全开发服务提供者的综合实力的客观评价和确认，信息安全服务（安全开发类）资质级别反映了产品安全开发服务提供者从事产品安全开发保障能力的成熟程度。资质级别划分的主要依据包括：基本资格、基本能力要求、质量管理能力要求、安全开发过程能力要求和其他补充要求等。

信息安全服务资质分为五个级别，由一级到五级依次递增，一级是Zui基本级别，五级为Zui别。 

一级：基本执行级

二级：计划跟踪级

三级：充分定义级

四级：量化控制级

五级：持续改进级

信息安全服务资质（安全开发类二级）为计划跟踪级，要求满足基本资格的产品安全开发服务组织通过建立有效的质量管理体系，使安全开发能力方面实施的过程规范被定义、标准化和文档化，安全开发过程时能普遍按照规范执行，通过跟踪发现开发过程中的重大偏离并采取纠正措施，从而使组织的安全开发能力达到部分可重复的水平。

申请信息安全服务（安全开发类二级）资质的组织需要在基本资格、基本能力、质量管理能力和安全开发过程能力等几个方面符合《信息安全服务资质具体要求（安全开发类二级）》的规定。

3.1 基本资格要求

基本资格要求是评定信息安全服务资质的起评条件。

申请信息安全服务（安全开发类二级）资质的组织必须：

1.是具有独立法人地位的实体；

2.获得相关主管部门的批准；

3.遵守国家现行法律法规；

4.已获信息安全服务（安全开发类一级）资质，且资质证书在有效期内；

5.达到其他补充要求。

3.2 基本能力要求

基本能力的要求包括：技术能力要求，资源配置要求（包括人员构成与素质要求、设备、设施与环境要求），规模与资产要求和业绩要求。

申请信息安全服务（安全开发类二级）资质的组织应该：

1.从事信息安全服务行业3年以上；

2.注册资本应在100万元以上，资产总额在200万元以上；

3.近3年的财务状况良好；

4.从事信息安全服务的人力资源充足、人员结构合理、技术队伍相对稳定，拥有专职的“注册信息安全专业人员（CISP）”数量不少于从事安全开发专业技术人员的10%，但不得少于4人，其中CISD人员不少于2人。

5.实践过完整的安全开发过程；

6.近3年完成信息安全产品开发服务工程项目总值应在200万元以上。

3.3 质量管理能力要求

申请信息安全服务（安全开发类二级）资质的组织，在质量管理方面应该：

1.建立合理的组织架构来满足产品安全开发服务的实施和管理，产品安全开发服务技术部门相对独立；

2.建立合理的管理架构来满足产品安全开发服务的管理，建立有效的技术管理、质量管理和组织管理机制；

建立有效的质量管理体系，至少满足支持产品安全开发技术能力达到计划跟踪级所需的相关管理能力要求。

3.4 安全开发过程能力要求

安全开发过程能力方面的要求是产品安全开发服务资质的核心要求。

申请信息安全服务（安全开发类二级）资质的组织应该：

1.在按照一级所要求的各个过程域实践的基础上将实践上升为理论，形成规范指导安全开发过程有计划、规范化地实施；

2.验证安全开发实施过程与规范的一致性；

3.通过对计划实施过程的跟踪，发现实施过程与计划产生重大偏离时能采取纠正措施。

认定流程图，也可以咨询我们的顾问老师了解办理详情哟~

获得资质的组织需通过持续发展自身信息安全服务体系以保持基本能力及安全服务能力。CNITSEC将通过申诉系统、现场见证以及对信息安全服务项目进行抽样检查来验证每个获得资质组织的能力。特别是未进行现场审核的维持企业，在有效期内要保证至少一次的监督频次。

证书在三年有效期内实行年确认制度，每三年进行一次维持换证。建议在证书有效期届满前6个月，由获证组织提出维持换证申请。审核人员将依据信息安全服务资质维持有关政策进行评审，以确定获证组织符合信息安全服务能力要求的持续性。获证组织获证后，可根据自身能力的提升情况，向中心申请更别资质。

若获证组织相关资料变动时，须及时通知中心，并申请更改。审核人员会及时进行资料确认，并进行数据更新。