1 范圍

      本標(biāo)準(zhǔn)規(guī)定了網(wǎng)絡(luò)安全等級保護(hù)測評機(jī)構(gòu)的能力要求和評估規(guī)范。

      本標(biāo)準(zhǔn)適用于擬成為或晉級為更高級網(wǎng)絡(luò)安全等級保護(hù)測評機(jī)構(gòu)的能力建設(shè)、運(yùn)營管理和資格評定等活動。

2 規(guī)范性引用文件

      下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 28448 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)測評要求

      GB/T 28449 信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評過程指南

3 術(shù)語和定義

      GB/T 28448界定的以及下列術(shù)語和定義適用于本文件。

3.1

      能力評估 capability evaluation

      依據(jù)標(biāo)準(zhǔn)和（或）其他規(guī)范性文件，對測評機(jī)構(gòu)申請單位的能力進(jìn)行評審、驗(yàn)證和評價的過程。

3.2

      評估機(jī)構(gòu) evaluation organization

      對申請成為測評機(jī)構(gòu)的企事業(yè)單位進(jìn)行能力評估的專業(yè)技術(shù)機(jī)構(gòu)。

3.3

      初次評估 first-time evaluation

      評估機(jī)構(gòu)依據(jù)本規(guī)范和相關(guān)文件，首次對測評機(jī)構(gòu)能力進(jìn)行核查、驗(yàn)證和評價的過程。

3.4

      期間評估 continuous evaluation

      為已經(jīng)獲得推薦證書的測評機(jī)構(gòu)是否持續(xù)地符合能力要求而在證書有效期內(nèi)安排的定期或不定期的評估、抽查等活動。

3.5

      能力復(fù)評 capability review

      測評機(jī)構(gòu)推薦證書有效期結(jié)束前，由評估機(jī)構(gòu)對其實(shí)施全面評估以確認(rèn)其是否持續(xù)符合能力要求，為延續(xù)到下一個推薦有效期提供依據(jù)的活動。

3.6

      評估員 evaluator

      由評估機(jī)構(gòu)委派，對測評機(jī)構(gòu)實(shí)施能力評估的人員。

4 測評機(jī)構(gòu)能力要求

4.1 測評機(jī)構(gòu)的分級

      測評機(jī)構(gòu)的級別代表了網(wǎng)絡(luò)安全等級保護(hù)測評機(jī)構(gòu)技術(shù)水平和業(yè)務(wù)服務(wù)能力的差異。測評機(jī)構(gòu)按能力要求分為三級，級別由低到高依次是I級、II級和皿級，級差是通過增加新的能力要求條款或在原條款基礎(chǔ)上提出增強(qiáng)要求來實(shí)現(xiàn)。各級能力增強(qiáng)要求的總結(jié)情況見附錄A中表A.1。

4.2 等級測評人員的分級

      測評機(jī)構(gòu)從事等級測評工作的人員按能力要求分為三級，級別由低到高依次是初級、中級、高級，具體要求見附錄B。

4.3 I級測評機(jī)構(gòu)能力要求

4.3.1 基本條件

      測評機(jī)構(gòu)應(yīng)當(dāng)具備以下基本條件：

      a）在中華人民共和國境內(nèi)注冊成立，由中國公民、法人投資或者國家投資的企事業(yè)單位；

      b）產(chǎn)權(quán)關(guān)系明晰，注冊資金500萬元以上，獨(dú)立經(jīng)營核算，無違法違規(guī)記錄；

      c）從事網(wǎng)絡(luò)安全服務(wù)兩年以上，具備一定的網(wǎng)絡(luò)安全檢測評估能力；

      d）法定代表人、主要負(fù)責(zé)人、測評人員僅限中華人民共和國境內(nèi)的中國公民，且無犯罪記錄；

      e）具有網(wǎng)絡(luò)安全相關(guān)工作經(jīng)歷的技術(shù)和管理人員不少于15人，專職滲透測試人員不少于2人，崗位職責(zé)清晰，且人員相對穩(wěn)定；

      f）具有固定的辦公場所，配備滿足測評業(yè)務(wù)需要的檢測評估工具、實(shí)驗(yàn)環(huán)境等；

      g）具有完備的安全保密管理、項(xiàng)目管理、質(zhì)量管理、人員管理、檔案管理和培訓(xùn)教育等規(guī)章制度；

      h）不涉及網(wǎng)絡(luò)安全產(chǎn)品開發(fā)、銷售或信息系統(tǒng)安全集成等可能影響測評結(jié)果公正性的業(yè)務(wù)（自用除外）；

      i）應(yīng)具備的其他條件。

4.3.2 組織管理能力

4.3.2.1 測評機(jī)構(gòu)管理者應(yīng)掌握等級保護(hù)政策文件，熟悉相關(guān)的標(biāo)準(zhǔn)規(guī)范。

4.3.2.2 測評機(jī)構(gòu)應(yīng)按一定方式組織并設(shè)立相關(guān)部門，明確其職責(zé)、權(quán)限和相互關(guān)系，保證各項(xiàng)工作的有序開展。

4.3.2.3 測評機(jī)構(gòu)應(yīng)具有勝任等級測評工作的專業(yè)技術(shù)人員和管理人員，大學(xué)本科（含）以上學(xué)歷所占比例不低于70％。

4.3.2.4 測評機(jī)構(gòu)應(yīng)設(shè)置滿足等級測評工作需要的崗位，如測評技術(shù)員、測評項(xiàng)目組長、技術(shù)主管、質(zhì)量主管、保密安全員、設(shè)備管理員和檔案管理員等，崗位職責(zé)明確，人員穩(wěn)定。

4.3.2.5 測評機(jī)構(gòu)應(yīng)制定完善的規(guī)章制度，包括但不限于以下內(nèi)容：

      a）項(xiàng)目管理制度

      測評機(jī)構(gòu)應(yīng)依據(jù)GB/T28449制定完備的、符合自身特點(diǎn)的測評項(xiàng)目管理程序，主要應(yīng)包括測評工作的組織形式、工作職責(zé)，測評各階段的工作內(nèi)容和管理要求等。

      b）設(shè)備管理制度

      應(yīng)包括機(jī)構(gòu)人員在儀器設(shè)備（含測評設(shè)備和工具）管理中的相關(guān)職責(zé)、儀器設(shè)備的購置、使用和運(yùn)行維護(hù)的各項(xiàng)規(guī)定等。

      c）文檔管理制度

      應(yīng)包括機(jī)構(gòu)人員在測評文檔（含電子文檔）管理中的相關(guān)職責(zé)、檔案借閱、保管直至銷毀的各項(xiàng)規(guī)定等。

      d）人員管理制度

      應(yīng)包括人員錄用、考核、日常管理以及離職等方面的內(nèi)容和要求。

      e）培訓(xùn)教育制度

      應(yīng)包括培訓(xùn)計劃的制定、培訓(xùn)工作的實(shí)施、培訓(xùn)的考核與上崗以及人員培訓(xùn)檔案建立等內(nèi)容和要求。

      f）申訴、投訴及爭議處理制度

      應(yīng)明確包括測評機(jī)構(gòu)各崗位人員在申訴、投訴和爭議處理活動中相應(yīng)的職責(zé)，建立從受理、確認(rèn)到處置、答復(fù)等環(huán)節(jié)的完整程序。

4.3.3 測評實(shí)施能力

4.3.3.1 人員能力

4.3.3.1.1 測評機(jī)構(gòu)從事等級測評工作的專業(yè)技術(shù)人員（以下簡稱測評人員）應(yīng)具有把握國家政策，理解和掌握相關(guān)技術(shù)標(biāo)準(zhǔn)，熟悉等級測評的方法、流程和工作規(guī)范等方面的知識及能力，并有依據(jù)測評結(jié)果做出專業(yè)判斷以及出具等級測評報告等任務(wù)的能力。

4.3.3.1.2 測評人員應(yīng)參加由指定評估機(jī)構(gòu)舉辦的專門培訓(xùn)、考試并取得等級測評師證書。等級測評人員需持證上崗。

4.3.3.1.3 測評技術(shù)員、測評項(xiàng)目組長和技術(shù)主管崗位人員應(yīng)分別取得初、中、高級等級測評師證書，測評師數(shù)量不應(yīng)少于15人。

4.3.3.1.4 測評人員除具備等級測評師資格外，每年應(yīng)參加多種形式的測評業(yè)務(wù)和技術(shù)培訓(xùn)，測評師每年培訓(xùn)時長累計不少于40學(xué)時。

4.3.3.1.5 測評機(jī)構(gòu)應(yīng)指定一名技術(shù)主管，全面負(fù)責(zé)等級測評方面的技術(shù)工作。

4.3.3.2 測評能力

4.3.3.2.1 測評機(jī)構(gòu)應(yīng)通過提供案例、過程記錄等資料，證明其具有從事網(wǎng)絡(luò)安全相關(guān)工作2年以上的工作經(jīng)驗(yàn)。

4.3.3.2.2 測評機(jī)構(gòu)應(yīng)保證在其能力范圍內(nèi)從事測評工作，并有足夠的資源來滿足測評工作要求，具體體現(xiàn)在以下方面：

      a）安全技術(shù)測評實(shí)施能力，包括物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計算安全、應(yīng)用和數(shù)據(jù)安全等方面測評指導(dǎo)書的開發(fā)、使用、維護(hù)及獲取相關(guān)結(jié)果的專業(yè)判斷；

      b）安全管理測評實(shí)施能力，包括安全策略和管理制度、安全管理機(jī)構(gòu)和人員、安全建設(shè)管理、安全運(yùn)維管理等方面測評指導(dǎo)書的開發(fā)、使用、維護(hù)及獲取相關(guān)結(jié)果的專業(yè)判斷；

      c）安全測試與分析能力，指根據(jù)實(shí)際測評要求，開發(fā)與測試相關(guān)的工作指導(dǎo)書，借助專用測評設(shè)備和工具，實(shí)現(xiàn)漏洞發(fā)現(xiàn)與問題分析等方面的能力；

      d）整體測評實(shí)施能力，指根據(jù)測評報告單元測評的結(jié)果記錄部分、結(jié)果匯總部分和問題分析部分，從安全控制點(diǎn)間、層面間和區(qū)域間出發(fā)考慮，給出整體測評具體結(jié)果的能力；

      e）風(fēng)險分析能力，指依據(jù)等級保護(hù)的相關(guān)規(guī)范和標(biāo)準(zhǔn)，采用風(fēng)險分析的方法分析等級測評結(jié)果中存在的安全問題可能對被測評系統(tǒng)安全造成的影響的能力。

4.3.3.2.3 測評機(jī)構(gòu)應(yīng)依據(jù)測評工作流程，有計劃、按步驟地開展測評工作，并保證測評活動的每個環(huán)節(jié)都得到有效的控制，具體要求如下：

      a）測評準(zhǔn)備階段，收集被測系統(tǒng)的相關(guān)資料信息，填寫規(guī)范的系統(tǒng)調(diào)查表，全面掌握被測評系統(tǒng)的詳細(xì)情況，為測評工作的開展打下基礎(chǔ)。

      b）方案編制階段，正確合理地確定測評對象、測評指標(biāo)及測評內(nèi)容等，并依據(jù)現(xiàn)行有效的技術(shù)標(biāo)

準(zhǔn)、規(guī)范開發(fā)測評方案、測評指導(dǎo)書、測評結(jié)果記錄表格等。測評方案應(yīng)通過技術(shù)評審并有相關(guān)記錄，測評指導(dǎo)書應(yīng)進(jìn)行版本有效性維護(hù)，且滿足以下要求：

      1）符合相關(guān)的等級測評標(biāo)準(zhǔn)；

      2）提供足夠詳細(xì)的信息以確保測評數(shù)據(jù)獲取過程的規(guī)范性和可操作性。

      c）現(xiàn)場測評階段，嚴(yán)格執(zhí)行測評方案和測評指導(dǎo)書中的內(nèi)容和要求，并依據(jù)操作規(guī)程熟練地使用測評設(shè)備和工具，規(guī)范、準(zhǔn)確、完整地填寫測評結(jié)果記錄，獲取足夠證據(jù)，客觀、真實(shí)、科學(xué)地反映出系統(tǒng)的安全保護(hù)狀況，測評過程應(yīng)予以監(jiān)督并記錄。

      d）報告編制階段，客觀描述等級保護(hù)對象已采取的有效保護(hù)措施和存在的主要安全問題情況，指出等級保護(hù)對象安全保護(hù)現(xiàn)狀與相應(yīng)等級的保護(hù)要求之間的差距，分析差距可能導(dǎo)致被測評系統(tǒng)面臨的風(fēng)險，給出等級測評結(jié)論，形成測評報告，測評報告應(yīng)依據(jù)公安行政主管部門統(tǒng)一制定的網(wǎng)絡(luò)安全等級保護(hù)測評報告模版的格式和內(nèi)容要求編寫，測評報告應(yīng)通過評審并有相關(guān)記錄。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請到相關(guān)授權(quán)網(wǎng)站購買標(biāo)準(zhǔn)正版。