一(yī)、資質概念

      信息安全服務資質是對信息系統安全服務的提供者的技術、資源、法律、管理等方面的資質和能力，以及其穩定性、可靠性進行評估，并依據公開的标準和程序，對其安全服務保障能力進行認證的過程。

      二、資質級别

      信息安全服務資質級别分(fēn)爲一(yī)級、二級、三級，其中(zhōng)一(yī)級最高，三級最低。資質級别是衡量服務提供者服務能力的尺度。

      三、認證類别

      1、安全集成服務資質

      信息系統安全集成服務是指從事計算機應用系統工(gōng)程和網絡系統工(gōng)程的安全需求界定、安全設計、建設實施、安全保證的活動。

      安全集成服務提供方的服務能力主要從以下(xià)四個方面體現：基本資格、服務管理能力、服務技術能力和服務過程能力；服務人員的能力主要從掌握的知(zhī)識、安全集成服務的經驗等綜合評定。

      2、安全運維服務資質、

      通過技術設施安全評估，技術設施安全加固，安全漏洞補丁通告、安全事件響應以及信息安全運維咨詢，協助組織的信息系統管理人員進行信息系統的安全運維工(gōng)作，以發現并修複信息系統中(zhōng)所存在的安全隐患，降低安全隐患被非法利用的可能性，并在安全隐患被利用後及時加以響應。

      安全運維資質認證是對安全運維服務方的基本資格、管理能力、技術能力和安全運維過程能力等方面進行評價。

      3、風險評估服務資質

      信息安全風險評估是信息安全保障的基礎性工(gōng)作和重要環節，貫穿于網絡和信息系統建設運行的全過程。

      風險評估服務提供方的服務能力主要從以下(xià)四個方面體現：基本資格、服務管理能力、服務技術能力和服務過程能力；服務人員的能力主要從掌握的知(zhī)識、風險評估服務的經驗等綜合評定。

      4、應急服務資質

      信息安全應急處理服務是通過制定應急計劃使得影響網絡與信息系統安全的安全事件能夠得到及時響應，并在安全事件一(yī)旦發生(shēng)後進行标識、記錄、分(fēn)類和處理，直到受影響的業務恢複正常運行的過程。應急處理服務是保障業務連續性的重要手段之一(yī)，它涵蓋了在安全事件發生(shēng)後爲了維持和恢複關鍵業務所進行的系列活動。

      信息安全應急處理服務資質認證是對應急處理服務提供方的基本資格、管理能力、技術能力和應急處理服務過程能力等方面進行評價。

      5、軟件安全開發服務資質

      通過對軟件開發過程的控制，将開發的軟件存在的風險控制在可接受的水平。軟件安全開發資質認證是對軟件開發方的基本資格、管理能力、技術能力和軟件安全過程能力等方面進行評價。

      6、信息系統災難備份與恢複服務資質

      信息系統災難備份與恢複服務是将信息系統的數據、數據處理系統、網絡系統、基礎設施、專業技術支持能力和運行管理能力進行備份，并在災難發生(shēng)時，将信息系統從災難造成的故障或癱瘓狀态恢複到可正常運行狀态，将其支持的業務功能從災難造成的不正常狀态恢複到可接受狀态，而設計和提供的活動。

      7、工(gōng)業控制安全服務資質

      工(gōng)業控制系統安全服務圍繞提升工(gōng)業控制系統的高可用性和業務連續性，提升功能安全、物(wù)理安全和信息安全的保障能力爲目标，涉及工(gōng)業控制系統設計、建設、運維和技改各個階段，主要包括系統集成、系統運維、應急處理、風險評估等工(gōng)業控制系統安全服務，形成系統的、獨立的、形成文件的過程。

      工(gōng)業控制系統安全服務資質認證是對工(gōng)業控制系統安全服務方的基本資格、管理能力、技術能力和工(gōng)業控制系統安全服務過程能力等方面進行評價。

      8、網絡安全審計服務資質認證

      網絡安全審計是指網絡安全審計機構對被審計方所屬的計算機信息系統的安全性、可靠性和經濟性進行檢查、監督，通過獲取審計證據并對其進行客觀評價所開展的系統的、獨立的、形成文件的活動。

      網絡安全審計服務資質認證是對網絡安全審計服務方的基本資格、管理能力、技術能力和網絡安全審計過程能力等方面進行評價。

      三、認證依據

      對特定類别的信息安全服務，有具體的評價标準。例如，信息安全應急處理服務資質認證的依據是《網絡與信息安全應急處理服務資質評估方法》（YD/T 1799-2008），信息安全風險評估服務資質認證的依據是《信息安全技術 信息安全風險評估規範》（GB/T 20984-2007）與《信息安全風險評估服務資質認證實施規則》(ISCCC-SV-002)。

      四、通用要求

      通用評價要求适用于風險評估、安全集成、應急處理、災難備份與恢複、軟件安全開發、安全運維等類别的信息安全服務認證評價，均分(fēn)爲三個級别。

      申請一(yī)級資質時，要求需要取得信息安全服務（與申報類别一(yī)緻）二級資質1 年以上。（行業領頭企業除外(wài)）。

      五、認證流程

      認證的基本環節：認證申請與受理—文檔審核—現場審核—認證決定—年度監督審核。

      認證周期一(yī)般是10周，包括自申請被正式受理之日起至頒發認證證書時止所實際發生(shēng)的時間，不包括由于申請單位準備或補充材料的時間。

      六、認證意義

      （1）是企業能力獲得第三方權威機構認證認可的依據；

      （2）是需方選擇的依據，可以提高需方對服務商(shāng)的信任度；

      （3）規範管理與技術，提高客戶滿意度；

      （4）拓寬企業的業務範圍，獲得更多業務機會。