信息系统安全服务资质评估准则

《信息系统安全服务资质评估准则》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、GBXXXXX—200Xxxxxxx中华人民共和国国家标准GBXXXXX－200XeqvUN/ECE/WP.4/R.1212信息系统安全服务资质评估准则EvaluationCriteriaforCompetenceofInformationSystemSecurityServiceProvider（初稿）2000年4月，北京200X-XX-XX发布200X-XX-XX实施国家质量技术监督局发布1GBXXXXX—200X前言本标准的目的是对提供信息安全服务的组织进行资质评估与认证，为国家有关主管部门的行政管理提供技术依据。本标准的评估对象是提供信息安

2、全服务的组织，包括信息安全工程的设计、施工及其相关的咨询和培训组织。与本标准相关的其它评估标准、评估细则和评估方法包括：信息安全工程质量管理要求信息安全服务资质评估等级划分细则信息安全服务资质等级评估方法……本标准起草单位：中国国家信息安全测评认证中心，中国国家信息安全测评认证中心系统工程实验室，信息产业部电子第30研究所，四川大学信息安全研究所，中国国防科技信息中心，解放军总装备部，北京普方德信息技术有限公司，北京天融信公司。本标准主要起草人：关义章、叶征、崔玉华、任卫红、唐海波、龙毅宏、刘炳华、满林松、周恩志等本标准于200X年X月X日起实施。

3、本标准委托中国国家信息安全测评认证中心负责解释。-IV-GBXXXXX—200X目录1适用范围12定义12.1信息安全服务12.2信息安全服务提供者12.3信息安全服务资质等级12.4信息安全工程过程能力级别12.5信息安全服务评估组织13服务类型与资质评定原则13.1信息安全服务的类型13.2信息安全服务资质等级的评判原则14提供信息安全服务的基本资格要求25提供信息安全服务的基本能力要求25.1组织与管理要求25.2技术能力要求25.3人员构成与素质要求35.4设备、设施与环境要求35.5规模与资产要求35.6业绩要求35.7质量保证要求45.

4、8培训要求46信息安全工程过程及能力级别46.1概述46.2信息安全工程过程要求56.2.1评估安全对系统的影响56.2.2评估系统面临的安全威胁56.2.3评估系统的安全弱点56.2.4评估系统的安全风险56.2.5确定系统的安全需求66.2.6为系统提供必要的安全信息66.2.7监测系统的安全状况66.2.8管理系统的安全控制76.2.9安全性协调76.2.10检验并证实安全性76.2.11建立并提供安全性保证证据76.3信息安全工程过程能力级别86.3.1基本执行级8-IV-GBXXXXX—200X6.3.1.1执行过程86.3.2计划跟踪级

5、86.3.2.1制定过程执行计划86.3.2.2规范化执行86.3.2.3验证执行86.3.2.4跟踪执行86.3.3充分定义级86.3.3.1定义标准过程86.3.3.2执行已定义过程86.3.3.3协调项目和组织活动96.3.4定量控制级96.3.4.1建立可测量的质量目标96.3.4.2客观地管理执行96.3.5连续改进级96.3.5.1改进组织能力96.3.5.2改进过程有效性97信息安全服务资质等级划分97.1概述97.2信息安全服务资质等级划分97.3不同资质等级可从事的安全服务118引用标准与参考文献128.1计算机信息系统安全保护等

6、级划分准则128.2系统工程能力成熟模型128.3系统安全工程能力成熟模型128.4系统安全工程能力成熟模型—评定方法128.5信息系统安全工程手册128.6软件工程能力成熟模型128.7信息安全工程质量管理要求129附录——系统安全工程主要术语139.1组织139.2项目139.3系统139.4安全工程139.5安全工程生命期139.6工作产品149.7顾客149.8过程149.9过程能力149.10制度化149.11过程管理14-IV-GBXXXXX—200X1适用范围本标准适用于评估机构对提供信息安全服务的组织进行信息安全服务资质的评估；信息

7、安全服务的需方对服务提供方的选择依据；作为国家主管部门对评估对象进行管理和检查的技术规范。另外，也可为信息安全服务提供组织改进自身能力提供指导。2定义2.1信息安全服务信息安全服务是指信息安全工程的设计、实施、测试、运行和维护，以及相关的咨询和培训活动。2.2信息安全服务提供者信息安全服务提供者是指信息安全工程方案设计组织、承建信息安全工程的组织以及提供有关信息安全咨询和培训的组织。2.3信息安全服务资质等级信息安全服务资质等级是指一个组织提供信息安全服务的综合能力。包括技术能力、组织结构与管理、资源配置、安全工程过程能力、业绩和质量保证等多个方面

8、。2.4信息安全工程过程能力级别信息安全工程过程能力级别是指提供信息安全服务的组织在完成工程、项目时，执行组织已定义过程的