CNASCL46：2022年《檢測和校準實驗室能力認可準則在信息安全檢測領域的應用說明》

CNAS-CL46-2022檢測和校準試驗室力量認可準則在信息安全檢測領域的應用說明中國合格評定國家認可委員會前言本文件由中國合格評定國家認可委員會〔CNAS〕制定，是結合信息安全檢測的特點對CNAS-CL01：2022《檢測和校準試驗室力量認可準則》中的局部條款的應用說明，并不增加或削減該認可準則的要求。本文件與CNAS-CL01：2022《檢測和校準試驗室力量認可準則》同時使用。在構造編排上，本文件章、節(jié)的條款號和條款名稱均承受CNAS-CL01:2022中章、節(jié)條款號和名稱，對CNAS-CL01:2022應用說明的具體內(nèi)容在對應條款后給出。檢測和校準試驗室力量認可準則在信息安全檢測領域的應用說明范圍1.2 本文件適用于全部從事信息安全檢測的試驗室。引用標準檢測和校準試驗室認可準則〔CNAS-CL01:2022〕術語和定義治理要求組織假照試驗室所在的組織從事信息安全檢測以外的活動〔例如，涉及信息安全相關的開發(fā)，應承諾并實行措施確保不利用被檢測信息安全相關方的學問產(chǎn)權牟取利推斷獨立性和檢測誠信度。試驗室應：安排由生疏工程治理、信息安全開發(fā)技術、信息安全測試技術及其標準、規(guī)程和標準的技術人員負責組織、實施信息安全檢測任務。有政策和程序確保與被測對象的信息安全相關各方的機密信息和學問產(chǎn)權得密承諾書。應建立并保持從事信息安全檢測公正性和誠懇性的政策和程序，并確保信息e〕55.2要求的信息安全檢測技術人員，并應擁有與其檢測任務相適應的場地、設施、設備、檢測工具等資源。g〕由生疏信息安全的檢測過程、標準/標準/規(guī)程，信息安全質(zhì)量評價和信息安全測試質(zhì)量評價的人員，負責信息安全檢測過程和產(chǎn)品的標準符合性審核監(jiān)視；h) 由生疏信息安全測試需求、測試結果評價和判定準則的人員負責對信息安全1名信息安全檢測領域的技術負責人。治理體系文件掌握4.3.3.4 試驗室應有規(guī)定和措施，確保計算機系統(tǒng)中的文件與其它載體上的文件在內(nèi)容、修訂、版本掌握、公布、存檔等方面的全都性。要求、標書和合同的評審4.4.1為簽訂信息安全檢測合同而進展評審的政策和程序應包括：a〕對檢測工程的機密保護和學問產(chǎn)權保護要求，在合同中〔或簽訂特地的協(xié)議〕應予明確、充分規(guī)定。b〕對檢測工程完畢后如何處置檢測對象應予以規(guī)定。檢測和校準的分包效勞和供給品的選購效勞客戶投訴不符合檢測和/校準工作的掌握改進訂正措施4.11.2 緣由分析本、參數(shù)設置、漏洞庫、攻擊特征庫等。預防措施記錄的掌握總則1個認可周期，或依據(jù)客戶要求的時限保存。試驗室應有程序確保全部的記錄〔包括任何形式的記錄〕的準確性、完整性和保密性。的標識和備份，應符合試驗室的政策并確保記錄的完整性，防止未經(jīng)授權的訪問和修改。技術記錄檢測環(huán)境配置〔硬件和軟件、參數(shù)設置等信息，確保該檢測在盡可能接近原條件的狀況下能夠重復。當被測對象包括軟件時，試驗室應建立配置治理的程序，以保證測試記錄與被測對象的全都性。4.13.2.3 試驗室應有措施保持同一技術記錄的不同形態(tài)的內(nèi)容修改、版本掌握的全都性。內(nèi)部審核治理評審技術要求總則人員。信息安全檢測人員應具有信息安全、計算機軟硬件、通信或網(wǎng)絡等相關專業(yè)本科31年以上信息安全檢測工作經(jīng)受。信息安全檢測領域的技術負責人、授權簽字人和意見解釋人員應具備信息安全檢53年以上信息安全檢測工作經(jīng)受；試驗室人員應承受過安全保密、學問產(chǎn)權保護方面的特地教育，并應具備安全保密意識和學問產(chǎn)權保護意識，以確?？蛻衾婧蜕虡I(yè)機密不被泄露。試驗室的員工應經(jīng)過相關培訓、考核通過前方能上崗。試驗室應保存全部技術人員〔包括簽約人員〕的相關授權記錄。設施和環(huán)境條件有效的惡意代碼防護和軟件/數(shù)據(jù)備份程序。試驗室還應對檢測環(huán)境在使用前進展核查。檢測網(wǎng)絡應與其他網(wǎng)絡實行隔離措施。假設同時進展多個檢測工程，試驗室應要求，并確保檢測活動在受控環(huán)境下執(zhí)行。條件。檢測和校準方法及方法確實認總則試驗室應依據(jù)檢測方法制定可操作的文件化程序。信息安全檢測所承受的檢測方法可能涉及：檢測樣本集〔如病毒樣本庫、網(wǎng)絡攻擊數(shù)據(jù)包、漏洞庫等、檢測用例集以及檢測工具/平臺等。全部檢測方法都應經(jīng)過適當?shù)尿炞C、確認及其文件化治理。試驗室應確保測試使用的檢測樣本集為最版本。方法的選擇當有產(chǎn)品檢測方法時，試驗室應使用產(chǎn)品檢測方法。5.4.7.2b) 試驗室應建立數(shù)據(jù)〔尤其是涉及到客戶敏感數(shù)據(jù)、學問產(chǎn)權、安全缺陷等〕保護程序，以防止非授權人員的訪問?！踩纾憾丝?、策略、賬號、口令等。設備5.5.2信息安全檢測設備應包括硬件設備和軟件檢測工具。試驗室應在每個工程測試性的商用軟件和硬件。軟件測試工具的不同版本，均應有唯一性標識。息，軟件檢測工具所需運行環(huán)境等信息。測量溯源性檢測對于的或發(fā)生了重大變化的無法進展外部溯源的方法和測試工具，試驗室應實行措施檢查測試方法和測試工具的有效性，檢查措施可包括：適用時，對特定的信息安全產(chǎn)品樣例進展檢測，審查信息安全產(chǎn)品樣例預埋問題的復現(xiàn)狀況，確認其偏差。適用時，確認報告應指明可溯源到權威的測試集標準或其它有關的權威標準或標準。抽樣檢測和校準物品〔樣品〕的處置在接收檢測樣品時，試驗室應對檢測對象進展病毒檢查并記錄結果。試驗室應向客戶供給充分的保證，保證檢測工具或測試集不會將病毒或其他損后處置方式處置被測對象，并保存記錄。檢測和校準結果質(zhì)量的保證試驗室制定的質(zhì)量掌握打算還應包括：由同一檢測人員對被測對象進展重復檢測；由不同的檢測人員使用