1 范圍

      本標(biāo)準(zhǔn)規(guī)定了網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)的能力要求和評(píng)估規(guī)范。

      本標(biāo)準(zhǔn)適用于擬成為或晉級(jí)為更高級(jí)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)的能力建設(shè)、運(yùn)營(yíng)管理和資格評(píng)定等活動(dòng)。

2 規(guī)范性引用文件

      下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 28448 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求

      GB/T 28449 信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)過(guò)程指南

3 術(shù)語(yǔ)和定義

      GB/T 28448界定的以及下列術(shù)語(yǔ)和定義適用于本文件。

3.1

      能力評(píng)估 capability evaluation

      依據(jù)標(biāo)準(zhǔn)和（或）其他規(guī)范性文件，對(duì)測(cè)評(píng)機(jī)構(gòu)申請(qǐng)單位的能力進(jìn)行評(píng)審、驗(yàn)證和評(píng)價(jià)的過(guò)程。

3.2

      評(píng)估機(jī)構(gòu) evaluation organization

      對(duì)申請(qǐng)成為測(cè)評(píng)機(jī)構(gòu)的企事業(yè)單位進(jìn)行能力評(píng)估的專(zhuān)業(yè)技術(shù)機(jī)構(gòu)。

3.3

      初次評(píng)估 first-time evaluation

      評(píng)估機(jī)構(gòu)依據(jù)本規(guī)范和相關(guān)文件，首次對(duì)測(cè)評(píng)機(jī)構(gòu)能力進(jìn)行核查、驗(yàn)證和評(píng)價(jià)的過(guò)程。

3.4

      期間評(píng)估 continuous evaluation

      為已經(jīng)獲得推薦證書(shū)的測(cè)評(píng)機(jī)構(gòu)是否持續(xù)地符合能力要求而在證書(shū)有效期內(nèi)安排的定期或不定期的評(píng)估、抽查等活動(dòng)。

3.5

      能力復(fù)評(píng) capability review

      測(cè)評(píng)機(jī)構(gòu)推薦證書(shū)有效期結(jié)束前，由評(píng)估機(jī)構(gòu)對(duì)其實(shí)施全面評(píng)估以確認(rèn)其是否持續(xù)符合能力要求，為延續(xù)到下一個(gè)推薦有效期提供依據(jù)的活動(dòng)。

3.6

      評(píng)估員 evaluator

      由評(píng)估機(jī)構(gòu)委派，對(duì)測(cè)評(píng)機(jī)構(gòu)實(shí)施能力評(píng)估的人員。

4 測(cè)評(píng)機(jī)構(gòu)能力要求

4.1 測(cè)評(píng)機(jī)構(gòu)的分級(jí)

      測(cè)評(píng)機(jī)構(gòu)的級(jí)別代表了網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)技術(shù)水平和業(yè)務(wù)服務(wù)能力的差異。測(cè)評(píng)機(jī)構(gòu)按能力要求分為三級(jí)，級(jí)別由低到高依次是I級(jí)、II級(jí)和皿級(jí)，級(jí)差是通過(guò)增加新的能力要求條款或在原條款基礎(chǔ)上提出增強(qiáng)要求來(lái)實(shí)現(xiàn)。各級(jí)能力增強(qiáng)要求的總結(jié)情況見(jiàn)附錄A中表A.1。

4.2 等級(jí)測(cè)評(píng)人員的分級(jí)

      測(cè)評(píng)機(jī)構(gòu)從事等級(jí)測(cè)評(píng)工作的人員按能力要求分為三級(jí)，級(jí)別由低到高依次是初級(jí)、中級(jí)、高級(jí)，具體要求見(jiàn)附錄B。

4.3 I級(jí)測(cè)評(píng)機(jī)構(gòu)能力要求

4.3.1 基本條件

      測(cè)評(píng)機(jī)構(gòu)應(yīng)當(dāng)具備以下基本條件：

      a）在中華人民共和國(guó)境內(nèi)注冊(cè)成立，由中國(guó)公民、法人投資或者國(guó)家投資的企事業(yè)單位；

      b）產(chǎn)權(quán)關(guān)系明晰，注冊(cè)資金500萬(wàn)元以上，獨(dú)立經(jīng)營(yíng)核算，無(wú)違法違規(guī)記錄；

      c）從事網(wǎng)絡(luò)安全服務(wù)兩年以上，具備一定的網(wǎng)絡(luò)安全檢測(cè)評(píng)估能力；

      d）法定代表人、主要負(fù)責(zé)人、測(cè)評(píng)人員僅限中華人民共和國(guó)境內(nèi)的中國(guó)公民，且無(wú)犯罪記錄；

      e）具有網(wǎng)絡(luò)安全相關(guān)工作經(jīng)歷的技術(shù)和管理人員不少于15人，專(zhuān)職滲透測(cè)試人員不少于2人，崗位職責(zé)清晰，且人員相對(duì)穩(wěn)定；

      f）具有固定的辦公場(chǎng)所，配備滿(mǎn)足測(cè)評(píng)業(yè)務(wù)需要的檢測(cè)評(píng)估工具、實(shí)驗(yàn)環(huán)境等；

      g）具有完備的安全保密管理、項(xiàng)目管理、質(zhì)量管理、人員管理、檔案管理和培訓(xùn)教育等規(guī)章制度；

      h）不涉及網(wǎng)絡(luò)安全產(chǎn)品開(kāi)發(fā)、銷(xiāo)售或信息系統(tǒng)安全集成等可能影響測(cè)評(píng)結(jié)果公正性的業(yè)務(wù)（自用除外）；

      i）應(yīng)具備的其他條件。

4.3.2 組織管理能力

4.3.2.1 測(cè)評(píng)機(jī)構(gòu)管理者應(yīng)掌握等級(jí)保護(hù)政策文件，熟悉相關(guān)的標(biāo)準(zhǔn)規(guī)范。

4.3.2.2 測(cè)評(píng)機(jī)構(gòu)應(yīng)按一定方式組織并設(shè)立相關(guān)部門(mén)，明確其職責(zé)、權(quán)限和相互關(guān)系，保證各項(xiàng)工作的有序開(kāi)展。

4.3.2.3 測(cè)評(píng)機(jī)構(gòu)應(yīng)具有勝任等級(jí)測(cè)評(píng)工作的專(zhuān)業(yè)技術(shù)人員和管理人員，大學(xué)本科（含）以上學(xué)歷所占比例不低于70％。

4.3.2.4 測(cè)評(píng)機(jī)構(gòu)應(yīng)設(shè)置滿(mǎn)足等級(jí)測(cè)評(píng)工作需要的崗位，如測(cè)評(píng)技術(shù)員、測(cè)評(píng)項(xiàng)目組長(zhǎng)、技術(shù)主管、質(zhì)量主管、保密安全員、設(shè)備管理員和檔案管理員等，崗位職責(zé)明確，人員穩(wěn)定。

4.3.2.5 測(cè)評(píng)機(jī)構(gòu)應(yīng)制定完善的規(guī)章制度，包括但不限于以下內(nèi)容：

      a）項(xiàng)目管理制度

      測(cè)評(píng)機(jī)構(gòu)應(yīng)依據(jù)GB/T28449制定完備的、符合自身特點(diǎn)的測(cè)評(píng)項(xiàng)目管理程序，主要應(yīng)包括測(cè)評(píng)工作的組織形式、工作職責(zé)，測(cè)評(píng)各階段的工作內(nèi)容和管理要求等。

      b）設(shè)備管理制度

      應(yīng)包括機(jī)構(gòu)人員在儀器設(shè)備（含測(cè)評(píng)設(shè)備和工具）管理中的相關(guān)職責(zé)、儀器設(shè)備的購(gòu)置、使用和運(yùn)行維護(hù)的各項(xiàng)規(guī)定等。

      c）文檔管理制度

      應(yīng)包括機(jī)構(gòu)人員在測(cè)評(píng)文檔（含電子文檔）管理中的相關(guān)職責(zé)、檔案借閱、保管直至銷(xiāo)毀的各項(xiàng)規(guī)定等。

      d）人員管理制度

      應(yīng)包括人員錄用、考核、日常管理以及離職等方面的內(nèi)容和要求。

      e）培訓(xùn)教育制度

      應(yīng)包括培訓(xùn)計(jì)劃的制定、培訓(xùn)工作的實(shí)施、培訓(xùn)的考核與上崗以及人員培訓(xùn)檔案建立等內(nèi)容和要求。

      f）申訴、投訴及爭(zhēng)議處理制度

      應(yīng)明確包括測(cè)評(píng)機(jī)構(gòu)各崗位人員在申訴、投訴和爭(zhēng)議處理活動(dòng)中相應(yīng)的職責(zé)，建立從受理、確認(rèn)到處置、答復(fù)等環(huán)節(jié)的完整程序。

4.3.3 測(cè)評(píng)實(shí)施能力

4.3.3.1 人員能力

4.3.3.1.1 測(cè)評(píng)機(jī)構(gòu)從事等級(jí)測(cè)評(píng)工作的專(zhuān)業(yè)技術(shù)人員（以下簡(jiǎn)稱(chēng)測(cè)評(píng)人員）應(yīng)具有把握國(guó)家政策，理解和掌握相關(guān)技術(shù)標(biāo)準(zhǔn)，熟悉等級(jí)測(cè)評(píng)的方法、流程和工作規(guī)范等方面的知識(shí)及能力，并有依據(jù)測(cè)評(píng)結(jié)果做出專(zhuān)業(yè)判斷以及出具等級(jí)測(cè)評(píng)報(bào)告等任務(wù)的能力。

4.3.3.1.2 測(cè)評(píng)人員應(yīng)參加由指定評(píng)估機(jī)構(gòu)舉辦的專(zhuān)門(mén)培訓(xùn)、考試并取得等級(jí)測(cè)評(píng)師證書(shū)。等級(jí)測(cè)評(píng)人員需持證上崗。

4.3.3.1.3 測(cè)評(píng)技術(shù)員、測(cè)評(píng)項(xiàng)目組長(zhǎng)和技術(shù)主管崗位人員應(yīng)分別取得初、中、高級(jí)等級(jí)測(cè)評(píng)師證書(shū)，測(cè)評(píng)師數(shù)量不應(yīng)少于15人。

4.3.3.1.4 測(cè)評(píng)人員除具備等級(jí)測(cè)評(píng)師資格外，每年應(yīng)參加多種形式的測(cè)評(píng)業(yè)務(wù)和技術(shù)培訓(xùn)，測(cè)評(píng)師每年培訓(xùn)時(shí)長(zhǎng)累計(jì)不少于40學(xué)時(shí)。

4.3.3.1.5 測(cè)評(píng)機(jī)構(gòu)應(yīng)指定一名技術(shù)主管，全面負(fù)責(zé)等級(jí)測(cè)評(píng)方面的技術(shù)工作。

4.3.3.2 測(cè)評(píng)能力

4.3.3.2.1 測(cè)評(píng)機(jī)構(gòu)應(yīng)通過(guò)提供案例、過(guò)程記錄等資料，證明其具有從事網(wǎng)絡(luò)安全相關(guān)工作2年以上的工作經(jīng)驗(yàn)。

4.3.3.2.2 測(cè)評(píng)機(jī)構(gòu)應(yīng)保證在其能力范圍內(nèi)從事測(cè)評(píng)工作，并有足夠的資源來(lái)滿(mǎn)足測(cè)評(píng)工作要求，具體體現(xiàn)在以下方面：

      a）安全技術(shù)測(cè)評(píng)實(shí)施能力，包括物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全等方面測(cè)評(píng)指導(dǎo)書(shū)的開(kāi)發(fā)、使用、維護(hù)及獲取相關(guān)結(jié)果的專(zhuān)業(yè)判斷；

      b）安全管理測(cè)評(píng)實(shí)施能力，包括安全策略和管理制度、安全管理機(jī)構(gòu)和人員、安全建設(shè)管理、安全運(yùn)維管理等方面測(cè)評(píng)指導(dǎo)書(shū)的開(kāi)發(fā)、使用、維護(hù)及獲取相關(guān)結(jié)果的專(zhuān)業(yè)判斷；

      c）安全測(cè)試與分析能力，指根據(jù)實(shí)際測(cè)評(píng)要求，開(kāi)發(fā)與測(cè)試相關(guān)的工作指導(dǎo)書(shū)，借助專(zhuān)用測(cè)評(píng)設(shè)備和工具，實(shí)現(xiàn)漏洞發(fā)現(xiàn)與問(wèn)題分析等方面的能力；

      d）整體測(cè)評(píng)實(shí)施能力，指根據(jù)測(cè)評(píng)報(bào)告單元測(cè)評(píng)的結(jié)果記錄部分、結(jié)果匯總部分和問(wèn)題分析部分，從安全控制點(diǎn)間、層面間和區(qū)域間出發(fā)考慮，給出整體測(cè)評(píng)具體結(jié)果的能力；

      e）風(fēng)險(xiǎn)分析能力，指依據(jù)等級(jí)保護(hù)的相關(guān)規(guī)范和標(biāo)準(zhǔn)，采用風(fēng)險(xiǎn)分析的方法分析等級(jí)測(cè)評(píng)結(jié)果中存在的安全問(wèn)題可能對(duì)被測(cè)評(píng)系統(tǒng)安全造成的影響的能力。

4.3.3.2.3 測(cè)評(píng)機(jī)構(gòu)應(yīng)依據(jù)測(cè)評(píng)工作流程，有計(jì)劃、按步驟地開(kāi)展測(cè)評(píng)工作，并保證測(cè)評(píng)活動(dòng)的每個(gè)環(huán)節(jié)都得到有效的控制，具體要求如下：

      a）測(cè)評(píng)準(zhǔn)備階段，收集被測(cè)系統(tǒng)的相關(guān)資料信息，填寫(xiě)規(guī)范的系統(tǒng)調(diào)查表，全面掌握被測(cè)評(píng)系統(tǒng)的詳細(xì)情況，為測(cè)評(píng)工作的開(kāi)展打下基礎(chǔ)。

      b）方案編制階段，正確合理地確定測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)及測(cè)評(píng)內(nèi)容等，并依據(jù)現(xiàn)行有效的技術(shù)標(biāo)

準(zhǔn)、規(guī)范開(kāi)發(fā)測(cè)評(píng)方案、測(cè)評(píng)指導(dǎo)書(shū)、測(cè)評(píng)結(jié)果記錄表格等。測(cè)評(píng)方案應(yīng)通過(guò)技術(shù)評(píng)審并有相關(guān)記錄，測(cè)評(píng)指導(dǎo)書(shū)應(yīng)進(jìn)行版本有效性維護(hù)，且滿(mǎn)足以下要求：

      1）符合相關(guān)的等級(jí)測(cè)評(píng)標(biāo)準(zhǔn)；

      2）提供足夠詳細(xì)的信息以確保測(cè)評(píng)數(shù)據(jù)獲取過(guò)程的規(guī)范性和可操作性。

      c）現(xiàn)場(chǎng)測(cè)評(píng)階段，嚴(yán)格執(zhí)行測(cè)評(píng)方案和測(cè)評(píng)指導(dǎo)書(shū)中的內(nèi)容和要求，并依據(jù)操作規(guī)程熟練地使用測(cè)評(píng)設(shè)備和工具，規(guī)范、準(zhǔn)確、完整地填寫(xiě)測(cè)評(píng)結(jié)果記錄，獲取足夠證據(jù)，客觀、真實(shí)、科學(xué)地反映出系統(tǒng)的安全保護(hù)狀況，測(cè)評(píng)過(guò)程應(yīng)予以監(jiān)督并記錄。

      d）報(bào)告編制階段，客觀描述等級(jí)保護(hù)對(duì)象已采取的有效保護(hù)措施和存在的主要安全問(wèn)題情況，指出等級(jí)保護(hù)對(duì)象安全保護(hù)現(xiàn)狀與相應(yīng)等級(jí)的保護(hù)要求之間的差距，分析差距可能導(dǎo)致被測(cè)評(píng)系統(tǒng)面臨的風(fēng)險(xiǎn)，給出等級(jí)測(cè)評(píng)結(jié)論，形成測(cè)評(píng)報(bào)告，測(cè)評(píng)報(bào)告應(yīng)依據(jù)公安行政主管部門(mén)統(tǒng)一制定的網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)報(bào)告模版的格式和內(nèi)容要求編寫(xiě)，測(cè)評(píng)報(bào)告應(yīng)通過(guò)評(píng)審并有相關(guān)記錄。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請(qǐng)到相關(guān)授權(quán)網(wǎng)站購(gòu)買(mǎi)標(biāo)準(zhǔn)正版。