国家信息安全测评信息安全服务资质申请指南（安全开发类二级）---本文来源于网络，仅供参考，勿照抄，如有侵权请联系删除---©版权2017—中国信息安全测评中心2017年10月目录引言中国信息安全测评中心（以下简称CNITSEC）是经中央批准成立、代表国家开展信息安全测评的职能机构，依据国家有关产品质量认证和信息安全管理的政策、法律、法规，管理和运行国家信息安全测评体系。中国信息安全测评中心的主要职能是：1.对国内外信息安全产品和信息技术进行测评；2.对国内信息系统和工程进行安全性评估；3.对提供信息系统安全服务的组织和单位进行评估；4.对信息安全专业人员的资质进行评估。“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立公正的评判依据。本指南适用于所有向CNITSEC申请信息安全服务资质（安全开发类二级）的境内外组织。---本文来源于网络，仅供参考，勿照抄，如有侵权请联系删除---一、认定依据信息安全服务（安全开发类）资质认定是对产品安全开发服务提供者的资格状况、技术实力和安全开发过程能力等方面的具体衡量和评价。信息安全服务（安全开发类）资质级别的评定，是依据《信息安全服务资质评估准则》和不同级别的信息安全服务资质（安全开发类）具体要求，在对申请组织的基本资格、技术实力、安全开发过程能力以及安全开发项目的组织管理水平等方面的评估结果基础上的综合评定后，由中国信息安全测评中心给予相应的资质级别。二、级别划分信息安全服务（安全开发类）资质认定是对产品安全开发服务提供者的综合实力的客观评价和确认，信息安全服务（安全开发类）资质级别反映了产品安全开发服务提供者从事产品安全开发保障能力的成熟程度。资质级别划分的主要依据包括：基本资格、基本能力要求、质量管理能力要求、安全开发过程能力要求和其他补充要求等。信息安全服务资质分为五个级别，由一级到五级依次递增，一级是最基本级别，五级为最高级别。一级：基本执行级二级：计划跟踪级三级：充分定义级四级：量化控制级五级：持续改进级---本文来源于网络，仅供参考，勿照抄，如有侵权请联系删除---三、二级资质要求信息安全服务资质（安全开发类二级）为计划跟踪级，要求满足基本资格的产品安全开发服务组织通过建立有效的质量管理体系，使安全开发能力方面实施的过程规范被定义、标准化和文档化，安全开发过程时能普遍按照规范执行，通过跟踪发现开发过程中的重大偏离并采取纠正措施，从而使组织的安全开发能力达到部分可重复的水平。申请信息安全服务（安全开发类二级）资质的组织需要在基本资格、基本能力、质量管理能力和安全开发过程能力等几个方面符合《信息安全服务资质具体要求（安全开发类二级）》的规定。3.1基本资格要求基本资格要求是评定信息安全服务资质的起评条件。申请信息安全服务（安全开发类二级）资质的组织必须：1.是具有独立法人地位的实体；2.获得相关主管部门的批准；3.遵守国家现行法律法规；4.已获信息安全服务（安全开发类一级）资质，且资质证书在有效期内；5.达到其他补充要求。3.2基本能力要求基本能力的要求包括：技术能力要求，资源配置要求（包括人员构成与素质要求、设备、设施与环境要求），规模与资产要求和业绩要求。申请信息安全服务（安全开发类二级）资质的组织应该：1.从事信息安全服务行业3年以上；2.注册资本应在100万元以上，资产总额在200万元以上；3.近3年的财务状况良好；---本文来源于网络，仅供参考，勿照抄，如有侵权请联系删除---4.从事信息安全服务的人力资源充足、人员结构合理、技术队伍相对稳定，拥有专职的“注册信息安全专业人员（CISP）”数量不少于从事安全开发专业技术人员的10%，但不得少于4人，其中CISD人员不少于2人，或专职的“注册软件安全专业人员（CWASPCSSP）”不少6人。若同时拥有...