運用科學的方法和手段,系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性,評估安全事件一旦發生可能造成的危害程度,提出有針對性的抵御威脅的防護對策和整改措施,以求防范和化解信息安全風險,或將風險控制在可接受的水平。
申請三級資質認證的單位,至少有一個完成的風險評估項目,該系統的用戶數在1000以上;具備從管理或(和)技術層面對脆弱性進行識別的能力:
一、準備階段:
1、服務方案制定:
①、編制風險評估方案、風險評估模板,并在項目實施過程中按照模板實施;
②、應為風險評估實施活動提供總體計劃或方案,方案應包含風險評價準則;
2、人員和工具準備:
①、應組建評估團隊。風險評估實施團隊應由管理層、相關業務骨干、IT技術人員等組成;
②、應根據評估的需求準備必要的工具;
③、應對評估團隊實施風險評估前進行安全教育和技術培訓;
④、對項目采取文檔化管理;
二、風險識別階段:
1、資產識別:
①、參考國家或國際標準,對資產進行分類;
②、識別重要信息資產,形成資產清單;
③、對已識別的重要資產,分析資產的保密性、完整性和可用性等安全屬性的等級要求;
④、對資產進行賦值;
2、脆弱性識別:
①、應對已識別資產的安全管理或技術脆弱性利用適當的工具進行核查,并形成安全管理或技術脆弱性列表;
②、應對脆弱性進行賦值;
3、威脅識別:
①、應參考國家或國際標準,對威脅進行分類;
②、應識別對已識別的信息資產存在的潛在威脅;
③、應識別威脅利用脆弱性的可能性;
④、應分析威脅利用脆弱性對組織可能造成的影響;
4、已有安全措施確認:
①、應識別組織已采取的安全措施;
②、應評價已采取的安全措施的有效性;
三、風險分析階段:
1、風險分析模型建立:
①、應構建風險分析模型;
②、應根據風險分析模型對已識別的重要資產的威脅、脆弱性及安全措施進行分析;
③、應根據分析模型確定的方法計算出風險值;
2、風險評價:
1、應根據風險評價準則確定風險等級;
3、風險評估報告:
①、應向客戶提供風險評估報告;
②、報告應包括但不限于評估過程、評估方法、評估結果、處置建議等內容。
一、法律地位要求:
在中華人民共和國境內注冊的獨立法人組織,發展歷程清晰,產權關系明確;
二、財務資信要求:
近 3 年經營狀況良好,財務數據真實可信,應提供在中華人民共和國境內登記注冊的會計師事務所出具的近 3 年財務審計報告;
三、辦公場所要求:
擁有長期固定辦公場所和相適應的辦公條件,能夠滿足機構設置及其業務需要;
四、人員素質與資質要求:
1、組織負責人擁有2年以上信息技術領域管理經歷;
2、技術負責人獲得信息安全相關專業碩士及以上學位或電子信息技術類中級職稱,且從事信息安全技術工作2年以上;
3、財務負責人具有財務系列初級以上職稱;
4、從事信息安全服務人員10名以上;
5、擁有信息安全專業認證(與申報類別一致)人員2名以上;
6、擁有項目管理資格證書人員1名以上;
五、業績要求:
1、從事信息安全服務(與申報類別一致)1年以上;
2、近3年內簽訂并完成至少1個信息安全服務(與申報類別一致)項目;
六、服務管理要求:
1、遵循國家相關法律法規、標準要求,無違法違規記錄,資信狀況良好;
2、建立人員管理程序和能力考核指標;制定業務和技能培訓計劃,定期對相關人員開展培訓和考核;
3、建立文檔控制程序,明確文檔管理職責,任命管理人員,確保項目文檔資料妥善保管;
4、建立項目管理制度,并按照制度執行;
5、提供資源,確保信息安全服務項目的實施;
七、服務合同要求:
1、了解客戶及所處的行業對信息安全服務的特定要求;
2、確定信息安全服務范圍;
3、應簽訂信息安全服務合同或協議;
八、服務安全要求:
1、滿足法律法規對服務安全的要求;
1、滿足與客戶簽訂服務合同中的安全要求;
2、制定保密管理制度,明確崗位保密責任;
3、按照客戶要求,對于接觸到的客戶敏感信息和知識產權信息予以保護,并確保服務方人員了解客戶的相關要求;
4、與相關人員簽訂保密協議,并進行保密教育;
5、確保其供應商滿足上述服務安全要求;
九、服務技術要求:
1、建立信息安全服務(與申報類別一致)流程;
2、制定信息安全服務(與申報類別一致)規范并按照規范實施。
一、自評估:
組織在中國信息安全認證中心網站下載《信息安全服務自評估表》,并實施自主評估;
二、認證申請:
組織依據信息安全服務資質認證程序、認證實施規則中相關要求,確定申請服務資質類別,并填寫《信息安全服務資質認證申請書》。組織向中國信息安全認證中心或其指定機構提交《信息安全服務資質認證申請書》、《信息安全服務自評估表》及相關證明材料;
三、申請材料評審:
中心依據認證程序和相關標準要求,對申請組織提交的認證相關材料進行評審,并確定申報級別和資質類別,簽訂認證合同;
四、現場評審:
認證機構組成評審組,依據相關標準和評審要求,到申請組織現場進行評審,并出具現場評審報告。特別,對申請一級資質認證的組織,必要時選擇申請組織的客戶進行項目實施現場見證;
五、認證決定:
認證決定委員會由3名以上(含3名)奇數認證決定人員組成,做出認證決定;
六、證書頒發:
對于符合認證要求的申請組織,頒發認證證書,并予以公示。
6-8個月。
知企網報價只是咨詢服務費,不包含其他費用。
掃一掃咨詢
知企網微信官方客服
客服熱線:400-885-0909
24小時在線咨詢
*我們將對您的號碼嚴格保密,請放心使用
服務評價
好評度