信息安全服务资质公共管理填写指南.docx
《信息安全服务资质公共管理填写指南.docx》由会员分享，可在线阅读，更多相关《信息安全服务资质公共管理填写指南.docx（39页珍藏版）》请在冰点文库上搜索。
信息安全服务资质公共管理填写指南
信息安全服务资质认证自评估表-公共管理填写指南
填写要求：
1.当条款对应的需提供证明材料为营业证照、财务审计报告、房屋产权证明、租赁合同、人员简历、业绩等内容时，在“证明材料清单栏目”中直接按照本文档中的格式，填写关键内容即可。
2.当条款对应的需提供证明材料为制度或项目文档时，在“证明材料清单栏目”填写文档的完整名称。
例如《XX公司培训管理制度》、《XX公司项目管理制度》、《XX公司测评工具管理制度》等，并概括地介绍制度或项目文档各章节的主要内容。
3.当条款对应的需提供证明材料为记录文档时，在“证明材料清单栏目”填写记录的完整名称。
例如《2016年XX公司培训计划》、《XX项目人员培训记录》、《XX公司供应商名录》等，并概括地介绍记录文档的主要内容。
4.当条款对应的需提供证明材料为某制度或文档的某章节内容时，在“证明材料清单栏目”填写文档的完整名称及对应的章节编号。
例如《XX项目调研报告》第X章安全服务需求分析、《XX项目合同》第X条保密要求等，并对相关内容进行总结概括。
5.所有出现在“证明材料清单”栏目中的文档，都需提供相应的电子版文档或纸质文档的扫描件作为证明材料，并按照条款的序号建立文件夹整理归档，建立文件夹的格式为“序号-条款的考核内容”，例如“1-营业执照”、“2-审计报告”、“5-技术负责人简历”、“9-人员管理及培训”等。
以下给出了一份填写样例，供填报组织进行参考。
填报组织应按照填写样例的细粒度，进行相关信息的填报。
组织名称
XX公司（全称）
服务类别/级别
所申请或维持的资质类别/级别，例如“风险评估/二级”
评估时间
XX年X月X日-X月X日
评估部门/人员
XX部/XX
序号
要点
条款
需提供证明材料
自评估结论
证明材料清单
符合
不符合
1.
法律地位要求
三级初次非现场必填
仅适用于初次认证：
在中华人民共和国境内注册的独立法人组织，发展历程清晰，产权关系明确。
监督审核：
如有变化则重新提供。
营业执照/事业单位登记证，核对注册号、法定代表人、注册资本、公司类型、经营范围、成立日期、营业期限等。
（提供企业在国家企业信用信息公示系统）
提供营业执照/事业单位登记证原件。
注册号：
法定代表人：
注册资本：
公司类型：
成立日期：
营业期限：
经营范围：
注：
监督检查如有变化应注明变化内容
2.
三级初次非现场必填
遵循国家相关法律法规、标准要求，无违法违规记录，资信状况良好。
提供企业在国家企业信用信息公示系统（）上的企业信用信息。
提供企业信用查询相关的截图证据。
3.
财务资信要求
三级初次非现场必填
仅适用于初次认证：
近3年经营状况良好，财务数据真实可信，应提供在中华人民共和国境内登记注册的会计师事务所出具的近3年财务审计报告。
监督审核：
应提供在中华人民共和国境内登记注册的会计师事务所出具的近1年财务审计报告。
财务审计报告或（仅限于三级）加盖本单位财务章的财务报表（近3年）。
XX年：
由XX会计师事务所出具，净利润为XX元；
XX年：
由XX会计师事务所出具，净利润为XX元；
XX年：
由XX会计师事务所出具，净利润为XX元；
注：
如出现亏损，要说明亏损原因及以后的盈利能力。
4.
办公场所要求
三级初次非现场必填
拥有长期固定办公场所和相适应的办公条件，能够满足机构设置及其业务需要。
监督审核：
有变化则提供，无变化则不提供。
房屋产权证或租房屋赁合同；
产权人/出租人、地址、面积、租期。
提供房屋产权证或租房屋赁合同原件。
产权人/出租人：
地址：
面积：
租期：
至XX年XX月XX日
5.
人员能力要求
三级初次非现场必填
三级/二级/一级分别要求：
组织负责人拥有2/3/4年以上信息技术领域管理经历。
组织负责人简历及资质证书，包括姓名、年龄、职务、职称、学历、工作经历、资质证书。
XX市社保部门出具的公司员工社保缴费证明，单据号：
XXXX，出具时间XX年XX月XX日。
三级/二级/一级的负责人社保证明至少（3个月）。
需提供人社部门网站查询信息的相关截图。
提供组织负责人简历及资质证书。
组织负责人XX，XX岁，职务，职称，XX年XX月毕业于XX大学XX专业，学历，XX年信息技术领域管理经历。
毕业证书号：
职称证书号：
6.
三级初次非现场必填
三级/二级/一级分别要求：
技术负责人具备信息安全服务（与申报类别一致）管理能力，经考核合格（与申报类别一致）或通过专业认证，考核要求见附录G。
提供技术负责人的信息安全服务管理能力证明，包括能力考核结果（与申报类别一致）或专业认证证书。
三级/二级/一级的技术负责人社保证明至少（3个月）。
需提供人社部门网站查询信息的相关截图。
技术负责人XX，考核或专业认证证书号：
7.
三级初次非现场必填
三级/二级/一级分别要求：
项目负责人、项目工程师具备信息安全服务（与申报类别一致）技术能力，经考核合格或通过专业认证，考核要求见附录G。
三级/二级/一级分别不少于（2/6/10人）
提供项目负责人、项目工程师的技术能力证明，包括能力考核结果或专业认证证书。
三级/二级/一级的服务人社保证明至少（3个月）。
需提供人社部门网站查询信息的相关截图。
项目工程师XX，考核或专业认证证书号：
8.
业绩要求
仅适用初次审核:
三级/二级/一级分别要求：
从事信息安全服务（与申报类别一致）至少4个月/3年或取得三级资质1年以上/5年或取得二级资质1年以上。
提供首个信息安全服务（与申报类别一致）项目合同原件，核对项目名称、合同签订时间、项目验收时间等。
（可在相应招投标网站上查询）。
监督审核不适用。
首个信息安全服务（与申报类别一致）项目合同信息，示例如下（如同时申请多个方向的资质，需分别填写）：
安全集成
项目名称：
项目金额：
合同签订时间：
项目验收时间：
风险评估
项目名称：
项目金额：
合同签订时间：
项目验收时间：
9.
三级/二级/一级分别要求：
近3年内签订并完成至少1/6/10个信息安全服务（与申报类别一致）项目。
三级现场抽查1个项目，一二级现场抽查2个项目。
三级/二级/一级监督审核：
近1年内签订并完成至少1个/2个/2个信息安全服务（与申报类别一致）项目。
提供信息安全服务项目（与申报类别一致）合同及验收报告原件，核对项目清单，确认项目名称、合同金额、签订时间、验收时间、项目数量、服务内容与申报一致。
（可在相应招投标网站上查询）。
如无项目案例，申请方须承诺（提供加盖组织公章并由法人签字确认的承诺书）在获证后6个月内完成该方向的服务项目并填写对应方向的自评估表提交ISCCC及审核组长。
按申报类别分别填写，示例如下（填写的项目数量需满足所申请或维持资质级别的最低要求）：
安全集成
1.项目名称：
合同金额：
签订时间：
验收时间：
2.项目名称：
合同金额：
签订时间：
验收时间：
风险评估
1、项目名称：
合同金额：
签订时间：
验收时间：
2.项目名称：
合同金额：
签订时间：
验收时间：
10.
服务管理要求
三级初次非现场必填
建立并运行人员管理程序，明确能力考核指标并制定业务和技能培训计划，定期对相关人员开展培训和考核。
人员管理与培训制度、培训与考核记录，验证公司人员管理情况（制度及落实，包括岗位职责、人员能力、专业方向、考核情况等）。
近三年员工培训计划、培训与考核记录，包括信息安全意识培训、技术与管理培训等。
提供《XX公司人力资源控制程序》、《培训制度》、近三年员工培训计划、培训与考核记录，包括信息安全意识培训、技术与管理培训等。
（注：
根据公司具体情况，可提供信息安全意识培训、技术与管理培训课件，考核记录，培训签到表等）
11.
建立文档控制程序，明确文档管理职责，任命管理人员，并按照制度执行。
文档控制程序建立及实施情况，提供与申报类型一致的安全服务项目过程文档，核实是否存在遗失或信息泄露等问题。
提供《XX公司文档控制程序》（按实际名称填写），公司对项目文档的管理方式为：
12.
三级初次非现场必填
建立项目管理制度，明确项目管理职责，任命管理人员，并按照制度执行风险管理。
项目管理制度建立及实施情况，制度中包括项目管理贯穿项目从立项到结项的整个过程，包括项目风险管理等。
提供项目风险管理记录。
提供《XX公司项目管理制度》
制度中包括项目管理贯穿项目从立项到结项的XX、XX、XX、XX、XX过程。
项目风险管理章节及主要内容：
13.
三级初次非现场必填
建立并运行保密管理制度，明确岗位保密责任。
能够定期对相关人员进行保密教育，并签订保密协议。
保密管理制度建立及落实情况，包括保密范围、保密方式、保密时效、保密责任主体、罚则。
提供保密教育培训记录，提供组织与管理层、技术负责人及项目实施人员签订的保密协议。
提供《XX保密管理制度》
公司保密教育培训执行情况：
提供保密教育培训课件、培训签到表、考试记录、会议纪要等
提供组织负责人XX、技术负责人XX、项目实施人员XX等XX人签订的保密协议
14.
建立供应商管理制度，确保其供应商满足服务安全要求（仅适用于安全集成、安全运维、灾难备份与恢复方向，如存在服务外包时，需要重点对服务外包项目过程及质量的管理情况进行描述）。
提供供应商名录、供应商管理制度的实施情况，包括供应商选择、考核与管理等（仅适用于安全集成、安全运维、灾难备份与恢复方向，如存在服务外包时，需要重点对服务外包项目过程及质量的管理情况进行描述）。
提供《XX供应商管理制度》、供应商名录及供应商考核管理记录
注：
新申报需提供前三个年度，监督审核提供上一年度的相关记录
15.
三级初次非现场必填
建立合同管理制度，制定统一合同模板，按照合同约定实施信息安全服务项目。
按照客户要求，对于接触到的客户敏感信息和知识产权信息予以保护，并确保服务方人员了解客户的相关要求。
提供合同管理制度、合同统一模板。
提供服务项目（与申报类别一致）合同/协议中对敏感信息和知识产权信息保护要求的相关条款。
提供《XX合同管理制度》、统一合同模板：
提供典型项目（与申报类一致）合同，其中对于敏感信息和知识产权信息保护要求的相关条款为：
注：
此处按申报类别分别填写，一二级每个方向填写2个项目的相关情况
16.
二级/一级要求：
了解客户及所处的行业对信息安全服务的特定要求，确定信息安全服务范围。
提供针对具体项目的调研内容，包括对客户所处行业情况和相关要求的描述。
提供典型项目（与申报类一致）合同，服务范围：
提供典型项目（与申报类一致）调研报告，对客户所处行业情况和相关要求的描述内容为：
注：
此处按申报类别分别填写，一二级每个方向填写2个项目的相关情况
17.
二级要求：
参照国际或国内标准，建立业务范围覆盖信息安全服务的质量管理体系，并有效运行半年以上。
结合质量管理体系文件，查阅体系运行记录，验证体系运行情况，至少包括质量管理体系手册、文件控制程序、记录控制程序、纠正与预防控制程序、内审与管评控制程序、安全服务工作控制程序；内审、管评、外审报告（有则提供）；验证质量管理体系范围覆盖与申报类别一致的信息安全服务。
提供质量管理体系文件，包括质量管理体系手册、文件控制程序、记录控制程序、纠正与预防控制程序、内审与管评控制程序、安全服务工作控制程序等
提供体系运行记录：
内审、管评报告
业务覆盖范围：
或提供质量管理体系认证证书原件：
证书编号：
发证机构：
颁证日期：
有效期：
业务范围覆盖：
18.
一级要求：
参照国际或国内标准，建立业务范围覆盖信息安全服务的质量管理体系，并有效运行一年以上。
结合质量管理体系文件，查阅体系运行记录，验证体系运行情况，至少包括质量管理体系手册、文件控制程序、记录控制程序、纠正与预防控制程序、内审与管评控制程序、安全服务工作控制程序；内审、管评、外审报告（有则提供）；验证质量管理体系范围覆盖与申报类别一致的信息安全服务。
提供质量管理体系文件，包括质量管理体系手册、文件控制程序、记录控制程序、纠正与预防控制程序、内审与管评控制程序、安全服务工作控制程序等
提供体系运行记录：
内审、管评报告
业务覆盖范围：
或提供质量管理体系认证证书原件：
证书编号：
发证机构：
颁证日期：
有效期：
业务范围覆盖：
19.
二级要求：
参照国际或国内标准，建立业务范围覆盖信息安全服务的信息安全管理体系或信息技术服务管理体系，并有效运行半年以上。
结合信息安全管理体系文件，查阅体系运行记录，验证体系运行情况，至少包括范围方针文件、文件控制程序、记录控制程序、纠正与预防控制程序、内审与管评控制程序、内审、管评、外审报告（有则提供）[风险管理程序、适用性声明及相应的控制措施文件]（适用于27001）或[服务等级管理程序、事件管理程序、问题管理程序、变更和发布管理程序、配置管理程序]（适用于20000）；业务范围覆盖与申报类别一致的信息安全服务。
提供信息安全管理体系文件，包括范围方针文件、文件控制程序、记录控制程序、纠正与预防控制程序、内审与管评控制程序、[风险管理程序、适用性声明及相应的控制措施文件]（适用于27001）或[服务等级管理程序、事件管理程序、问题管理程序、变更和发布管理程序、配置管理程序]（适用于20000）
体系运行记录：
内审、管评报告
业务覆盖范围：
或提供信息安全管理体系或信息技术服务管理体系认证证书原件：
证书编号：
发证机构：
颁证日期：
有效期：
业务范围覆盖：
20.
一级要求：
参照国际或国内标准，建立业务范围覆盖信息安全服务的信息安全管理体系或信息技术服务管理体系，并有效运行一年以上。
结合信息安全管理体系文件，查阅体系运行记录，验证体系运行情况，至少包括范围方针文件、文件控制程序、记录控制程序、纠正与预防控制程序、内审与管评控制程序、内审、管评、外审报告、[风险管理程序、适用性声明及相应的控制措施文件]（适用于27001）或[服务等级管理程序、事件管理程序、问题管理程序、变更和发布管理程序、配置管理程序]（适用于20000）；业务范围覆盖与申报类别一致的信息安全服务。
提供信息安全管理体系文件，包括范围方针文件、文件控制程序、记录控制程序、纠正与预防控制程序、内审与管评控制程序、[风险管理程序、适用性声明及相应的控制措施文件]（适用于27001）或[服务等级管理程序、事件管理程序、问题管理程序、变更和发布管理程序、配置管理程序]（适用于20000）
体系运行记录：
内审、管评报告
业务覆盖范围：
或提供信息安全管理体系或信息技术服务管理体系认证证书原件：
证书编号：
发证机构：
颁证日期：
有效期：
业务范围覆盖：
21.
一级要求：
建立信息安全服务目录（与类别相对应），签订服务级别协议。
信息安全服务目录（与类别相对应）、服务级别协议。
提供公司的信息安全服务目录及服务级别协议：
（在服务目录中需明确展示服务内容、服务形式、服务价格、服务交付成果和服务级别等的列表）
（在服务级别协议中需对服务交付成果明确约定、可测量和文档化的一系列服务指标）
22.
技术工具要求
二级/一级要求：
具备独立的测试环境及必要的软、硬件设备，用于技术培训和模拟测试。
信息安全服务的测试环境，提供设备清单、建设时间、规模、主要承担工作等。
设备清单：
测试环境建设时间：
规模：
主要承担工作：
23.
二级/一级要求：
具备承担信息安全服务（与申报类别一致）项目所需的安全工具，并对工具进行管理和版本控制。
信息安全服务的软、硬件工具清单，工具管理程序和要求；针对在安全服务项目中应用自主开发工具和产品进行现场演示，提供产品销售许可证或软件著作权证书。
提供安全工具清单：
工具管理程序：
工具管理和版本更新记录：
自主开发工具和产品名称（如有）：
产品销售许可证或软件著作权证书号（如有）：
自主开发工具和产品简介（如有）：
24.
服务技术
仅适用于三级初次非现场
建立信息安全服务（与申报类别一致）流程。
按照相关标准建立申报的服务类别流程（申报多类需要制定相对应的服务流程）。
流程图中应包括每个阶段对应的职责、输入输出等。
提供《信息安全XXXX服务流程》（包含XX阶段、XX阶段、XX阶段、XX阶段），对每个阶段的目标、角色、内容、输出进行了说明。
1.XX阶段：
目标：
工作内容：
输出：
……
仅适用于三级初次非现场
制定信息安全服务（与申报类别一致）规范并按照规范实施。
制定与申报的信息安全服务类别规范并按照规范实施（申报多类需要制定相对应的服务规范）。
提供《XX公司XXX服务规范》，包含XX、XX、XX、XX等章节内容。
26.
服务过程文档模板
仅适用于三级初次非现场
制定信息系统安全集成服务过程的文档模板
安全集成：
（1）集成准备阶段：
至少包括需求调研报告、技术方案、实施方案（技术方案内容应至少包含项目背景、设计依据、总体设计架构、信息安全设计等方面内容，实施方案应至少包含项目组织架构及人员安排、进度安排、实施内容、项目风险管理、项目沟通管理、项目质量管理等方面内容）；
（2）建设实施阶段：
至少包括日报/周报；
（3）安全保障阶段：
至少包括测试方案、验收申请、验收报告；
提供XX、XX、XX、XX、XX、XX等模板文件。
仅适用于三级初次非现场
制定信息系统风险评估服务过程的文档模板
风险评估：
（1）准备阶段：
至少包括信息系统基本情况调研表、风险评估方案（方案中应至少包含被评估对象描述、评估依据、评估范围、评估内容、项目组成员、评估计划安排、评估工具、评估过程、评估方法、风险评价原则、风险评估模型、风险分析与计算方法等方面内容）；
（2）风险识别阶段：
至少包括管理脆弱性检查表、技术脆弱性检查表（包含主机、数据库、网络设备、安全设备、中间件、应用系统等）、威胁调查表；
（3）风险分析阶段：
风险评估报告（至少包括评估过程、评估方法、评估结果、处置建议等内容）；
提供XX、XX、XX、XX、XX、XX等模板文件。
仅适用于三级初次非现场
制定信息安全应急处理服务过程的文档模板
应急处理：
（1）准备阶段：
至少包含工具包、服务承诺书；
（2）检测阶段：
至少包含授权书、应急处理方案；
（3）抑制阶段：
至少包含抑制方案；
（4）根除阶段：
至少包含根除方案；
（5）恢复阶段：
至少包含恢复方案、重建系统规范、数据备份规范、安全配置核查表（可以包含windows类操作系统安全配置核查表、linux类操作系统安全配置核查表、数据库安全配置核查表、中间件安全配置核查表）；
（6）总结阶段：
至少包含总结报告；
备注：
应急处理方案中可以总体涵盖检测、抑制、根除、恢复方面的内容。
提供XX、XX、XX、XX、XX、XX等模板文件。
仅适用于三级初次非现场
制定信息系统安全运维服务过程的文档模板
安全运维：
（1）准备阶段：
至少包含需求调研报告；
（2）方案设计阶段：
至少包含安全运维服务方案；
（3）运维服务实施阶段：
至少包含安全信息（包含安全配置、流量信息、安全策略等）巡检记录表、状态巡检记录表、健康性检查记录表、病毒查杀记录表、安全加固规范等；
（4）运维服务报告阶段：
至少包含运维服务月报/季报、年度服务总结报告、验收报告；
提供XX、XX、XX、XX、XX、XX等模板文件。
仅适用于三级初次非现场
制定信息系统软件安全开发服务过程的文档模板
软件安全开发：
（1）准备阶段：
至少包含开发计划、配置管理计划、变更记录单；
（2）需求阶段：
至少包含需求分析报告；
（3）设计阶段：
至少包含概要设计说明书、详细设计说明书；
（4）编码阶段：
至少包含编码规范；
（5）测试阶段：
至少包含测试方案、测试用例、测试报告；
（6）验收阶段：
至少包含验收申请、验收报告；
（7）维保阶段：
至少包含故障记录、升级记录；
提供XX、XX、XX、XX、XX、XX等模板文件。
仅适用于三级初次非现场
制定信息系统灾难恢复与备份服务过程的文档模板
灾难恢复与备份（B类）：
（1）方案设计要求：
至少包含需求分析报告、技术方案、实施方案；
（2）系统建设与管理要求：
至少包含项目周/日报；
（3）预案制定与演练要求：
至少包含灾难恢复预案、桌面演练记录、桌面演练总结报告；
提供XX、XX、XX、XX、XX、XX等模板文件。
32.
申请二级资质条件
可根据条件直接申请，或获得三级资质（与申报类别一致）一年以上，且服务管理程序文件需建立并运行半年以上。
信息安全服务（与申报类别一致）三级资质证书。
服务管理程序文件及运行时间。
申报类别：
发证时间：
服务管理程序文件运行时间：
33.
申请一级资质条件
需获得信息安全服务（与申报类别一致）二级资质1年以上，且服务管理程序文件需建立并运行一年以上。
信息安全服务（与申报类别一致）二级资质证书。
服务管理程序文件及运行时间。
申报类别：
发证时间：
服务管理程序文件运行时间：
34.
以下内容适用于年度监督
35.
业绩情况
业绩情况
近一年业务发展情况，签订、完成的项目数量及情况，项目经验及教训等
示例：
XX年安全集成签订X个项目，完成X个项目；
XX年风险评估签订X个项目，完成X个项目。
（按申报类别填写）
36.
组织变更情况
组织变更情况
组织变更情况，包括法人、资本注册、股东变更、组织负责人、服务负责人、组织架构等变化情况。
填写发生变化的内容，示例：
法人由XX变更为XX
37.
证书及标志使用情况
证书及标志使用情况
证书及标志使用情况。
证书及标志使用于企业宣传、投标……等过程中，
在XX年的项目招投标过程中，有X个项目该资质能作为加分项
38.
客户投诉制度建立及执行情况
客户投诉制度建设，投诉及处理情况
客户投诉情况，包括客户投诉制度，投诉及处理情况。
建立了《XX客户投诉制度》，由XX部负责处理客户投诉，投诉电话XXXX
提供XX年的投诉及处理记录：
自获证以来发生过X起客户投诉事件，处理情况描述：
39.
上一年度提出的观察项整改情况（如有）
40.
XXXX（描述前一年度观察项）
提供观察项整改措施、以及整改措施在新项目中的落实情况
41.
42.
上一年度提出的不符合项整改情况（如有）
43.
XXXX（描述前一年度不符合项）
提供不符合项整改措施，以及整改措施在新项目中的落实情况
44.
升级会员 