信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護測評機構(gòu)能力要求和評估規(guī)范-編制說明

標準編制背景：2007年6月，公安部會同國家保密局、國家密碼管理局和國務(wù)院信息化工作辦公室聯(lián)合發(fā)布了《信息安全等級保護管理辦法》（公通字[2007]43號）。文件第十四條要求“信息系統(tǒng)建設(shè)完成后，運營、使用單位或者其主管部門應(yīng)當選擇符合本辦法規(guī)定條件的測評機構(gòu)，依據(jù)《信息系統(tǒng)安全等級保護測評要求》等技術(shù)標準，定期對信息系統(tǒng)安全等級狀況開展等級測評”。2009年9月，廣州、河南、浙江、重慶四個?。ㄖ陛犑校╅_展測評體系建設(shè)的試點工作。2010年3月，公安部頒布《關(guān)于推動信息安全等級保護測評體系建設(shè)和開展等級測評工作的通知》（公信安[2010]303號），決定加快等級保護測評體系建設(shè)工作。標準編制過程2010年3月，制定了《信息安全等級測評機構(gòu)能力規(guī)范》（試行）初稿。2010年4月，由部十一局組織專家對《信息安全等級測評機構(gòu)能力規(guī)范》進行評審，并更名為《信息安全等級測評機構(gòu)能力要求》（試行）（簡稱《能力要求》），評估中心依據(jù)《能力要求》開展全國機構(gòu)的能力評估。2012年初，在完成80余家測評機構(gòu)能力評估基礎(chǔ)上，提出機構(gòu)能力分級的思路并修訂。并以《信息安全等級測評機構(gòu)能力要求》和《信息安全等級測評機構(gòu)評估規(guī)范》兩個標準進行立項，并完成了初稿。2012年7月13日，國標委對標準進行中期檢查，根據(jù)專家意見合并形成《信息安全等級測評機構(gòu)能力要求和評估規(guī)范》。2013年5月，十一局發(fā)布《信息安全等級保護測評機構(gòu)管理辦法》，第二十條“等級測評機構(gòu)實行等級化管理。完成《信息安全等級測評機構(gòu)能力要求和評估規(guī)范》（檢查稿）2014年3月，國標委對標準進行評審，要求盡快出臺。2015年底，配合十一局以該文稿為主要依據(jù)，進行了測評機構(gòu)評優(yōu)，并為定級評星做好準備。2016年8月12日，草案向國標部分WG5專家征求意見，并進行了修訂。2016年8月25日，國標委召開WG5工作組在研標準推進會，對文稿進行評審后進行了再次修訂。目前，除西藏外，全國31個省市自治區(qū)已經(jīng)推薦等級測評機構(gòu)147家。

標準編制參考與借鑒《檢測和校準實驗室能力的通用要求》（ISO/IEC17025:2005）《檢驗機構(gòu)能力的通用要求》（ISO/IEC17020:2012）ISO9001質(zhì)量管理系統(tǒng)系列標準《信息系統(tǒng)安全等級保護測評過程指南》（GB/T28449-2012）等系列等級保護國家標準《網(wǎng)絡(luò)與信息安全服務(wù)資質(zhì)評估準則》（YDT1621—2007）《信息安全服務(wù)資質(zhì)認證技術(shù)規(guī)范》……

標準主要內(nèi)容能力組織管理能力風險控制能力設(shè)備實施安全保障能力可持續(xù)發(fā)展能力質(zhì)量管理能力規(guī)范性保證能力測評實施能力能力要求組織管理能力風險控制能力設(shè)備實施安全保障能力可持續(xù)發(fā)展能力質(zhì)量管理能力規(guī)范性保證能力測評實施能力能力要求

級別等級測評機構(gòu)按能力要求分為三級，級別由低到高依次是Ⅰ級、Ⅱ級和Ⅲ級Ⅰ級低Ⅱ級Ⅲ級中高Ⅰ級低Ⅱ級Ⅲ級中高能力要求項級差一覽表級別組織管理能力測評實施能力設(shè)施和設(shè)備安全與保障能力質(zhì)量管理能力規(guī)范性保證能力風險控制能力可持續(xù)性發(fā)展能力項數(shù)人員能力測評能力管理體系建設(shè)管理體系維護質(zhì)量監(jiān)督能力公正性保證能力可信與保密性保證能力測評方法與程序的規(guī)范性測評記錄的規(guī)范性測評報告的規(guī)范性安全管理能力第Ⅰ級5項5項3項5項3項2項2項9項1項2項4項2項4項47項第Ⅱ級5項6項6項6項3項2項1項3項10項2項3項4項1