CCRC信息安全服務資質
一、資質概念
信息安全服務資質是對(duì)信息系統安全服務的提供者的技術、資源、法律、管理(lǐ)等方面的資質和(hé)能(néng)力，以及其穩定性、可靠性進行評估，并依據公開(kāi)的标準和(hé)程序，對(duì)其安全服務保障能(néng)力進行認證的過程。
二、資質級别
信息安全服務資質級别分爲一級、二級、三級，其中一級最高(gāo)，三級最低(dī)。資質級别是衡量服務提供者服務能(néng)力的尺度。
三、認證類别
1、安全集成服務資質
信息系統安全集成服務是指從(cóng)事(shì)計(jì)算(suàn)機應用(yòng)系統工(gōng)程和(hé)網絡系統工(gōng)程的安全需求界定、安全設計(jì)、建設實施、安全保證的活動。
安全集成服務提供方的服務能(néng)力主要從(cóng)以下(xià)四個方面體現(xiàn)：基本資格、服務管理(lǐ)能(néng)力、服務技術能(néng)力和(hé)服務過程能(néng)力；服務人員的能(néng)力主要從(cóng)掌握的知(zhī)識、安全集成服務的經驗等綜合評定。
2、安全運維服務資質、
通過技術設施安全評估，技術設施安全加固，安全漏洞補丁通告、安全事(shì)件響應以及信息安全運維咨詢，協助組織的信息系統管理(lǐ)人員進行信息系統的安全運維工(gōng)作(zuò)，以發現(xiàn)并修複信息系統中所存在的安全隐患，降低(dī)安全隐患被非法利用(yòng)的可能(néng)性，并在安全隐患被利用(yòng)後及時(shí)加以響應。
安全運維資質認證是對(duì)安全運維服務方的基本資格、管理(lǐ)能(néng)力、技術能(néng)力和(hé)安全運維過程能(néng)力等方面進行評價。
3、風(fēng)險評估服務資質
信息安全風(fēng)險評估是信息安全保障的基礎性工(gōng)作(zuò)和(hé)重要環節，貫穿于網絡和(hé)信息系統建設運行的全過程。
風(fēng)險評估服務提供方的服務能(néng)力主要從(cóng)以下(xià)四個方面體現(xiàn)：基本資格、服務管理(lǐ)能(néng)力、服務技術能(néng)力和(hé)服務過程能(néng)力；服務人員的能(néng)力主要從(cóng)掌握的知(zhī)識、風(fēng)險評估服務的經驗等綜合評定。
4、應急服務資質
信息安全應急處理(lǐ)服務是通過制定應急計(jì)劃使得影響網絡與信息系統安全的安全事(shì)件能(néng)夠得到(dào)及時(shí)響應，并在安全事(shì)件一旦發生後進行标識、記錄、分類和(hé)處理(lǐ)，直到(dào)受影響的業務恢複正常運行的過程。應急處理(lǐ)服務是保障業務連續性的重要手段之一，它涵蓋了(le)在安全事(shì)件發生後爲了(le)維持和(hé)恢複關鍵業務所進行的系列活動。
信息安全應急處理(lǐ)服務資質認證是對(duì)應急處理(lǐ)服務提供方的基本資格、管理(lǐ)能(néng)力、技術能(néng)力和(hé)應急處理(lǐ)服務過程能(néng)力等方面進行評價。
5、軟件安全開(kāi)發服務資質
通過對(duì)軟件開(kāi)發過程的控制，将開(kāi)發的軟件存在的風(fēng)險控制在可接受的水(shuǐ)平。軟件安全開(kāi)發資質認證是對(duì)軟件開(kāi)發方的基本資格、管理(lǐ)能(néng)力、技術能(néng)力和(hé)軟件安全過程能(néng)力等方面進行評價。
6、信息系統災難備份與恢複服務資質
信息系統災難備份與恢複服務是将信息系統的數據、數據處理(lǐ)系統、網絡系統、基礎設施、專業技術支持能(néng)力和(hé)運行管理(lǐ)能(néng)力進行備份，并在災難發生時(shí)，将信息系統從(cóng)災難造成的故障或癱瘓狀态恢複到(dào)可正常運行狀态，将其支持的業務功能(néng)從(cóng)災難造成的不正常狀态恢複到(dào)可接受狀态，而設計(jì)和(hé)提供的活動。
7、工(gōng)業控制安全服務資質
工(gōng)業控制系統安全服務圍繞提升工(gōng)業控制系統的高(gāo)可用(yòng)性和(hé)業務連續性，提升功能(néng)安全、物理(lǐ)安全和(hé)信息安全的保障能(néng)力爲目标，涉及工(gōng)業控制系統設計(jì)、建設、運維和(hé)技改各個階段，主要包括系統集成、系統運維、應急處理(lǐ)、風(fēng)險評估等工(gōng)業控制系統安全服務，形成系統的、獨立的、形成文(wén)件的過程。
工(gōng)業控制系統安全服務資質認證是對(duì)工(gōng)業控制系統安全服務方的基本資格、管理(lǐ)能(néng)力、技術能(néng)力和(hé)工(gōng)業控制系統安全服務過程能(néng)力等方面進行評價。
8、網絡安全審計(jì)服務資質認證
網絡安全審計(jì)是指網絡安全審計(jì)機構對(duì)被審計(jì)方所屬的計(jì)算(suàn)機信息系統的安全性、可靠性和(hé)經濟性進行檢查、監督，通過獲取審計(jì)證據并對(duì)其進行客觀評價所開(kāi)展的系統的、獨立的、形成文(wén)件的活動。
網絡安全審計(jì)服務資質認證是對(duì)網絡安全審計(jì)服務方的基本資格、管理(lǐ)能(néng)力、技術能(néng)力和(hé)網絡安全審計(jì)過程能(néng)力等方面進行評價。
三、認證依據
對(duì)特定類别的信息安全服務，有具體的評價标準。例如，信息安全應急處理(lǐ)服務資質認證的依據是《網絡與信息安全應急處理(lǐ)服務資質評估方法》（YD/T 1799-2008），信息安全風(fēng)險評估服務資質認證的依據是《信息安全技術 信息安全風(fēng)險評估規範》（GB/T 20984-2007）與《信息安全風(fēng)險評估服務資質認證實施規則》(ISCCC-SV-002)。
四、通用(yòng)要求
通用(yòng)評價要求适用(yòng)于風(fēng)險評估、安全集成、應急處理(lǐ)、災難備份與恢複、軟件安全開(kāi)發、安全運維等類别的信息安全服務認證評價，均分爲三個級别。
申請(qǐng)一級資質時(shí)，要求需要取得信息安全服務（與申報(bào)類别一緻）二級資質1 年以上(shàng)。（行業領頭企業除外(wài)）。
五、認證流程
認證的基本環節：認證申請(qǐng)與受理(lǐ)—文(wén)檔審核—現(xiàn)場審核—認證決定—年度監督審核。
認證周期一般是10周，包括自(zì)申請(qǐng)被正式受理(lǐ)之日起至頒發認證證書時(shí)止所實際發生的時(shí)間，不包括由于申請(qǐng)單位準備或補充材料的時(shí)間。
六、認證意義
（1）是企業能(néng)力獲得第三方權威機構認證認可的依據；
（2）是需方選擇的依據，可以提高(gāo)需方對(duì)服務商的信任度；
（3）規範管理(lǐ)與技術，提高(gāo)客戶滿意度；
（4）拓寬企業的業務範圍，獲得更多業務機會(huì)。
