网络安全审计服务资质认证自评价表
信息安全服务资质认证技术规范
信息安全服务资质认证技术规范信息安全服务资质认证是指对从事信息安全服务的机构或个人进行的一种认证评审，以确保其具备必要的技术和管理水平，能够提供可靠、安全的信息安全服务。
信息安全服务资质认证技术规范是评价认证过程的依据和指导，其主要内容包括认证的范围、要求和流程等。
一、认证范围1.网络安全服务：包括网络风险评估、威胁情报分析、网络安全设备配置与管理等。
2.系统安全服务：针对操作系统、数据库、中间件等开展漏洞扫描、安全加固、安全监控等。
3.应用安全服务：主要包括应用程序源代码审计、漏洞挖掘、安全测试等。
4.数据安全服务：包括数据分类和保护、加密技术、安全备份与恢复等。
5.物理安全服务：主要是通过安全设备、防护措施等保护服务器、机房等物理环境的安全。
二、认证要求1.技术要求：对从事信息安全服务的机构或个人的技术力量进行评估，包括技术人员的专业背景、培训情况以及技术能力等。
2.管理要求：对从事信息安全服务的机构或个人的管理制度和流程进行评估，包括安全管理组织机构、安全策略与标准、安全意识培训等。
3.保密要求：要求信息安全服务机构或个人能够遵守保密协议，确保客户的信息和数据不被泄露。
4.合规要求：要求信息安全服务机构或个人能够遵守相关法律法规和行业规范，确保服务合规。
5.服务质量要求：要求信息安全服务机构或个人能够提供高质量、可靠的信息安全服务，并能够持续改进服务质量。
三、认证流程1.申请：申请信息安全服务资质认证，向认证机构提交申请材料。
2.初审：认证机构对申请材料进行初步评估，确定是否符合认证条件。
3.现场评估：认证机构派遣评估人员到申请机构进行实地评估，包括对技术人员的面谈、对管理制度和流程的审查等。
4.报告编制：认证机构根据现场评估结果编制评估报告。
5.评审：认证机构的评审委员会对评估报告进行审查和评审。
6.认证决定：认证机构根据评审结果做出认证决定，对合格的机构或个人颁发认证证书。
7.监督检查：认证机构定期或不定期对认证机构或个人进行监督检查，以确保其继续符合认证要求。
CCRC-ISV-C01：2018信息安全服务规范
文件编码：CCRC-ISV-C01:2018信息安全服务规范2018-05-25发布 2018-06-01实施中国网络安全审查技术与认证中心发布目录1. 适用范围 (1)2. 规范性引用文件 (1)3. 术语与定义 (1)3.1. 信息安全服务 (1)3.2. 信息安全风险评估 (1)3.3. 信息安全应急处理 (1)3.4. 信息系统安全集成 (1)3.5. 信息系统灾难备份与恢复 (1)3.6. 软件安全开发 (2)3.7. 信息系统安全运维 (2)3.8. 网络安全审计 .................................................................................. 错误!未定义书签。
3.9. 工业控制系统安全 (2)4. 通用评价要求 (2)4.1. 三级评价要求 (2)4.1.1. 法律地位要求 (2)4.1.2. 财务资信要求 (2)4.1.3. 办公场所要求 (2)4.1.4. 人员能力要求 (3)4.1.5. 业绩要求 (3)4.1.6. 服务管理要求 (3)4.1.7. 服务技术要求 (3)4.2. 二级评价要求 (3)4.2.1. 法律地位要求 (4)4.2.2. 财务资信要求 (4)4.2.3. 办公场所要求 (4)4.2.4. 人员能力要求 (4)4.2.5. 业绩要求 (4)4.2.6. 服务管理要求 (4)4.2.7. 技术工具要求 (5)4.2.8. 服务技术要求 (5)4.3. 一级评价要求 (5)4.3.1. 法律地位要求 (5)4.3.2. 财务资信要求 (5)4.3.3. 办公场所要求 (5)4.3.4. 人员素质与资质要求 (6)4.3.5. 业绩要求 (6)4.3.6. 服务管理要求 (6)4.3.7. 技术工具要求 (7)4.3.8. 服务技术要求 (7)5. 专业评价要求 (7)5.1. 风险评估服务资质专业评价要求 (7)5.2. 安全集成服务资质专业评价要求 (7)5.3. 应急处理服务资质专业评价要求 (7)5.4. 灾难备份与恢复服务资质专业评价要求 (7)5.5. 软件安全开发服务资质专业评价要求 (7)5.6. 安全运维服务资质专业评价要求 (7)5.7. 网络安全审计服务资质专业评价要求 (7)5.8. 工业控制系统安全服务资质专业评价要求 (7)附录A（规范性附录）：信息安全风险评估服务资质专业评价要求 (8)附录B（规范性附录）：信息系统安全集成服务资质专业评价要求 (11)附录C（规范性附录）：信息安全应急处理服务资质专业评价要求 (14)附录D（规范性附录）：信息系统灾难备份与恢复服务资质专业评价要求 (18)附录E（规范性附录）：软件安全开发服务资质专业评价要求 (22)附录F（规范性附录）：安全运维服务资质专业评价要求 (26)附录G（规范性附录）：网络安全审计服务资质专业评价要求 (29)附录H（规范性附录）：工业控制系统安全服务资质专业评价要求 (35)附录I：信息安全服务人员能力要求 (41)附录J: 参考文献 (64)1.适用范围本规范规定了信息安全服务提供者（以下简称服务提供者）在提供服务时应具备的服务安全通用要求和专业服务能力要求。
信息安全服务资质认证
信息安全服务资质认证
监督审核通知单
：
您好，贵组织已获中国网络安全审查技术与认证中心颁发的：
安全集成服务资质级认证证书（获证日期：年月日）
应急处理服务资质级认证证书（获证日期：年月日）
风险评估服务资质级认证证书（获证日期：年月日）
安全开发服务资质级认证证书（获证日期：年月日）
安全运维服务资质级认证证书（获证日期：年月日）
灾难备份与恢复服务资质A类级认证证书（获证日期：年月日）灾难备份与恢复服务资质B类级认证证书（获证日期：年月日）网络安全审计服务资质级认证证书（获证日期：年月日）
工业控制系统安全服务资质级认证证书（获证日期：年月日）根据《信息安全服务资质认证实施规则》的要求，贵方应于年月日前接受我中心的年度监督审核并交纳监督审核费用。
请在十个工作日内，将本通知的回执回复至本邮箱,我中心将在收到款项后开具发票并安排审核。
另外，请在贵方计划的审核日期两个月之前提交自评估材料（例如：如果计划在9月10日接受审核，自评估材料需在7月10日之前提交至中心，自评估表在“，自评估表及其附件要求的证明材料只接收电子版）。
如贵组织申请的认证类别和级别发生变化，针对有变化的认证类别需重新填写申请书和自评估表。
联系人：彭琳赓；联系电话：/4648
联系地址：北京市朝阳区朝外大街甲10号中国网络安全审查技术与认证中心。
收款账户：户名：中国信息安全认证中心；
开户行：中信银行北京国际大厦支行
账号：7
特此通知。
中国网络安全审查技术与认证中心
年月日
回执。
网络安全工作评分参考
3
加大财力物力支持和保障力度
（3分）
1.通过财政预算渠道，切实保障网络系统的安全防护加固、安全运维、安全检测评估、系统安全升级改造、网络安全教育培训、网络安全事件应急处置等支出。（1分）
2.新建信息化项目的网络安全预算不低于项目总预算的5%。（1分）
3.审计部门将网络安全建设和绩效纳入审计范围。（1分）
未及时对安全设备进行恶意代码库更新升级，不得分。
12、抽查核验设备系统补丁更新升级至最新版本。
13、核查恶意代码库（不超过180天）是否及时更新升级。
3
恶意代码防护
（1分）
14. 防护工具或应用（如防病毒软件）：
□已安装 □未安装
14、分值：1
安装防护工具或应用（安装即可），得分；
未安全防护工具或应用，不得分。
查阅相关佐证材料
2
开展经常性的网络安全宣传教育培训
（3分）
1.本地区每年按照国家统一安排开展网络安全宣传周活动。（1分）
2.本部门在职人员人均接受网络安全培训时间不少于4个学时。未开展的，有工作计划或布置的，视为开展；（1分）
3.对网络安全专业技术岗位人员开展专业技能培训，年度人均接受相关培训时间不少于8个学时，且获得网络安全专业资质人员占比达到60%以上或虽未达到60%但逐年提高。（1分）
1、分值：2
根据承载业务的重要性对网络进行分区分域管理，得分；
没有进行分区分域管理，不得分。
2、分值：2
采用技术措施对不同的网络区域实施访问控制，得分；没有采用技术措施对不同的网络区域实施访问控制，不得分。
3、分值：2
部署了网络安全防护设备（根据实际情况，有一项即可），得分；
没有部署网络安全设备，不得分。
如何评估和选择第三方安全审计和认证机构
考虑机构的服务成本和性价 比，确保选择到最合适的第 三方安全审计和认证机构。
成本效益分析
初始投资：评估第三方机构的费用与企 业的预算是否匹配。
运营成本：考虑持续合作中可能产生的 额外费用。
回报收益：分析通过第三方审计和认证 带来的长期利益。
风险与收益平衡：确保所选机构能够为 企业提供最大的安全保障。
分析各机构认证周期 的长短，及其对业务 运营的影响。
考虑各机构认证所需 的人力、物力投入， 以及认证过程中的时 间成本。
综合评估各机构的认 证效果，包括提升品 牌形象、增强客户信 任等方面的收益。
结合企业实际情况， 选择最具成本效益的 第三方安全审计和认 证机构。
PART FIVE
与第三方安全审计和认 证机构合作的注意事项
国际化和全球化
第三方安全审计和认证机 构正逐渐打破地域限制， 在全球范围内提供服务。
国际合作与认证标准的统 一成为趋势，推动机构向 国际化发展。
随着全球供应链的日益紧 密，机构需适应不同国家 和地区的法规要求。
国际化发展不仅带来业务 增长，也带来挑战，如文 化差异、语言障碍等。
全球化趋势要求机构具备 跨国协作能力，提升服务 质量和效率。
数据传输安全：采用加密技术确保数据传输过 程中的安全性。
定期评估与监控：对合作机构的数据安全和隐 私保护措施进行定期评估与监控。
应急响应机制：建立与合作机构的应急响应机 制，以应对可能的数据泄露和隐私泄露事件。
监控和评估合作效果
定期检查合作效果：通过定期评估，确保第三 方机构的服务质量满足预期要求。
专业领域和经验
专业领域：选择机构时，需考虑其在安全审计和认证方面的专业领域，如信息安全、网络安全 等。
信息安全服务资质认证规范
信息安全服务资质认证规范1.证书认证：信息安全服务提供商需要向相关认证机构申请认证，并通过审核后颁发资质证书。
这些证书可以作为企业参与投标、争取项目以及向客户展示其能力和信誉的重要依据。
2.人员认证：信息安全服务提供商的从业人员需要根据具体职位和能力要求通过相应的认证考试，以确保其具备必要的技能和知识。
这些认证通常涉及信息安全管理、安全审计、网络安全等方面的内容。
3.体系认证：信息安全服务提供商应建立完善的信息安全管理体系，包括制定信息安全政策和程序、风险评估和治理、信息安全培训等。
相关认证机构将对企业的信息安全管理体系进行评估，并根据评估结果颁发相应的认证。
4.审计评估：信息安全服务提供商在取得资质认证后，应接受定期或不定期的审计评估。
这些评估主要针对企业的运营管理、技术能力、服务质量等方面进行检查，以确保其一直保持良好的运营状况。
1.提高客户信赖度：获得资质认证可以证明信息安全服务提供商具备相应的技术能力和专业水平，客户可以更加信任其服务。
2.促进行业规范化发展：资质认证要求企业遵守相关的信息安全法规和标准，推动整个行业朝着标准化、规范化的方向发展。
3.提升市场竞争力：获得资质认证的企业在市场上的竞争力更强。
客户通常倾向于选择具备认证资质的企业，因为其被认为更可靠和专业。
4.提高企业管理水平：资质认证要求企业建立完善的管理体系，推动企业加强内部管理与控制，提高企业整体管理水平。
5.保障信息安全：信息安全服务提供商从业人员具备相关的认证，在服务中能够更好地保障客户的信息安全，减少信息泄露和安全事件的发生。
总之，信息安全服务资质认证规范对于推动行业发展、提升企业管理水平以及保障客户信息安全方面都具有重要的意义。
未来，随着信息安全需求的不断增长，认证规范也将不断完善和进化。
企业在提供信息安全服务时应积极遵守认证规范，不断提升自身能力和水平，以满足市场的需求。
CCRC-QOT-0434-B 4 安全运维
安全运维作业指导书，例如：配置核查操作手册、常见安全事件处理指南等。
23.
仅一级要求：建立应急响应和灾难恢复机制，形成业务连续性计划。
发布且通过审批的业务连续性计划。
24.
仅一级要求：在安全运维服务方案中明确漏洞管理的工作流程。
漏洞管理的方案、流程。
25.
运维服务实施
12.
明确安全运维的方式，方式包括但不限于：驻场值守方式，定期巡检方式，远程值守方式。
项目合同/协议中应有明确的安全运维模式。
13.
仅二级/一级要求：签订服务级别协议。
与客户签订的服务级别协议，协议中应承诺信息系统核心指标，如：可用性、安全事件解决率等。
14.
方案设计阶段
根据系统安全运维需求，编制安全运维服务方案，明确安全运维服务时间、服务内容、服务方式、服务期限、服务人员、服务交付物、服务质量管理、服务沟通机制、服务风险管理等方面要求。
37.
仅一级要求：实施安全培训服务：完成安全意识、基本安全技术的培训服务。
安全培训服务记录。
38.
仅一级要求：实施安全通告及漏洞分析服务：完成业界动态的通告、收集国家安全政策及法律法规、漏洞通告、病毒通告、厂商安全通告及其他安全通告。
通告与漏洞分析记录，内容为业界动态的通告、收集国家安全政策及法律法规、漏洞通告、病毒通告、厂商安全通告及其他安全通告，以及基于通告进行的分析。
所运维信息系统的可用性指标，如整体指标或单系统指标等。
8.
仅二级/一级要求：分析以往服务的数据，提取出来未来可自动化的服务。（监审时适用）
运维服务报告，其中应对以往安全服务进行总结，对安全事件的解决效率进行分析，适宜时提出未来可自动化的服务。
网络安全审计服务资质认证
网络安全审计服务资质认证网络安全审计服务资质认证网络安全审计服务资质认证是指通过一系列的评估和认证程序，对网络安全审计服务机构进行资质认证，以确保其具备提供高质量、高水平的网络安全审计服务的能力和资质。
网络安全审计是一项关键的工作，可以帮助企业发现网络安全漏洞和风险，防止未经授权的访问和数据泄露，从而保护企业的网络安全和业务信息的安全性。
网络安全审计服务机构在进行网络安全审计时，需要具备一定的技术、经验和专业知识。
网络安全审计服务资质认证旨在验证和证明网络安全审计服务机构具备合格的人员、设备和管理体系，以及良好的服务质量和保密保护能力。
网络安全审计服务资质认证的核心内容包括人员资质认证、设备资质认证和管理体系认证。
在人员资质认证方面，网络安全审计服务机构需要对其网络安全审计人员进行资质认证，确保其具备相关的专业知识和技能。
人员资质认证通常包括教育背景、工作经验、职业资格认证等的审核和评估。
只有具备相关的资质认证的网络安全审计人员，才能够保证其在进行网络安全审计时的专业性和准确性。
设备资质认证是指网络安全审计服务机构需要在网络安全审计过程中使用的设备进行资质认证。
设备资质认证通常包括设备的可行性和适用性评估，设备性能和安全性测试等。
设备资质认证可以保证网络安全审计服务机构所使用的设备具备高质量、高性能和高安全性的特点。
管理体系认证是指网络安全审计服务机构需要建立和实施一套完善的管理体系，以确保网络安全审计工作的高质量和高效率。
管理体系认证一般包括组织架构、质量管理体系、信息安全管理体系等的评估和认证。
只有具备良好的管理体系的网络安全审计服务机构，才能够提供高质量的网络安全审计服务，并确保客户的机密信息得到充分的保护。
网络安全审计服务资质认证对于网络安全审计服务机构和企业来说，都具有重要的意义。
对于网络安全审计服务机构来说，通过资质认证可以提高其竞争力，增强客户的信任和满意度。
对于企业来说，选择具备网络安全审计服务资质认证的机构，可以确保网络安全审计工作的质量和效果，降低安全风险和经济损失。
网络安全检查表格
网络安全检查表格(总24页)--本页仅作为文档封面，使用时请直接删除即可----内页可以根据需求调整合适字体及大小--附件1网络安全检查表1本表所称恶意代码，是指病毒木马等具有避开安全保护措施、窃取他人信息、损害他人计算机及信息系统资源、对他人计算机及信息系统实施远程控制等功能的代码或程序。
2本表所称高风险漏洞，是指计算机硬件、软件或信息系统中存在的严重安全缺陷，利用这些缺陷可完全控制或部分控制计算机及信息系统，对计算机及信息系统实施攻击、破坏、信息窃取等行为。
附件2网络安全管理工作自评估表9101112131415附件3重点行业网络安全检查结果统计表3网络安全事件分级标准参见《国家网络与信息安全事件应急预案》（国办函〔2008〕168号）附件4重点网络与信息系统商用密码检查情况汇总表统计密码设备时，国内指取得国家密码管理局型号的产品，国外指未取得国家密码管理局型号的产品（包括国外的产品）。
附件5重点网络与信息系统商用密码检查情况表备注：1. 表中的“密码机类”主要包括以下产品：IPSec/SSL VPN密码机、网络密码机、链路密码机、密码认证网关、存储加密机、磁带库/磁盘阵列存储加密机、密钥管理密码机、终端密钥分发器、量子密码机、服务器密码机、终端密码机、金融数据密码机、签名验证服务器、税控密码机、支付服务密码机、传真密码机、电话密码机等。
2. 表中的“密码系统”主要包括以下系统：动态令牌认证系统、数字证书认证系统、证书认证密钥管理系统、IC卡密钥管理系统、身份认证系统、数据加密传输系统、密码综合服务系统、密码设备管理系统等。
3. 表中的“网络通信”主要包括以下产品：无线接入点、无线上网卡、加密电话机、加密传真机、加密VOIP终端等。
4. 表中“密码设备使用情况”的“产品型号”栏，应填写国家密码行政主管部门审批的商用密码产品型号，若产品无商用密码产品型号，可填写产品相关资质证书上标注的型号或生产厂家自定义的型号。
教育网络安全专项评估表
教育网络安全专项评估表一、背景信息- 机构名称：- 评估日期：- 评估人员：- 被评估对象：二、评估目标评估目标是为了检查和评估被评估对象的网络安全状况，以便提供改进建议和措施，保护教育机构的网络安全。
三、评估内容1. 网络基础设施- 网络拓扑结构是否合理，是否存在单点故障风险？- 是否存在未授权的网络接入点或漏洞？- 是否进行了网络设备的定期维护和安全更新？- 是否有合理的网络隔离措施，以防止内部攻击和恶意软件传播？2. 网络访问控制- 是否有有效的身份验证和访问控制机制？- 是否对教育机构内部员工和外部用户的访问权限进行了合理的管理和审计？- 是否有网络入侵检测和防御系统，及时发现和应对网络攻击？3. 数据安全保护- 是否有合理的数据备份和恢复机制？- 是否对敏感数据进行了加密和安全存储？- 是否有合规的数据访问和使用政策？4. 安全意识教育- 是否进行了网络安全培训和教育，提高员工和用户的安全意识？- 是否有演练和应急预案，以应对网络安全事件的发生？四、评估方法评估将采用以下方法：1. 现场走访和观察；2. 文件和记录的审查；3. 系统和设备的扫描和测试；4. 与相关人员的访谈。
五、评估结果根据评估的内容和方法，将提供评估结果和建议报告，包括但不限于以下方面：- 发现的风险和漏洞；- 针对风险和漏洞的改进建议；- 网络安全管理的整体评估结果。
六、评估报告提交评估报告将在评估完成后提交给被评估机构，供其参考和改进网络安全管理。
以上是教育网络安全专项评估表的内容，根据评估的具体情况和被评估对象的需求，可以进行适当的调整和补充。
网络信息安全检查表(Word)
类别
检查项目
检查内容
检查要求
组织管理与规章制度
网络与信息安全管理组织
信息安全责任制落实情况
明确信息安全主管领导、责任人、信息安全管理员，制定岗位职责文件和操作规程等（要提供相应文档）
信息安全培训情况
信息安全责任人、管理员定期参加有关单位的信息安全培训。对本单位全体人员进行了信息安全培训（提供培训计划、培训内容、培训成绩、人员）
保密技术措施
涉密计算机网络管理
须由取得保密资质的公司承建，开通运行前须经保密部门审批（提供涉密资质证书复印件和保密部门批文）
外网和互联网上处涉密或内部敏感信息
禁止在公务外网和互联网上处理涉密或内部敏感信息
违规外联监控
有内部用户违规外联的监控措施和管理措施
涉密存储介质
按照保密管理规定对涉密存储介质的发放、使用、销毁进行管理。移动存储介质必须专网（机）专用，严禁在内外网之间混用。
采取口令、智能卡、数字证书或生物识别等鉴别机制，并对口令等鉴别机制制定了详细的管理措施
主机安全
多余默认账号和无关服务
多余默认账号和无关服务必须关停
日常管理工作
信息安全管理策略情况
制定了详细的信息安全管理策略，并有专人负责，定期进行检查（要提供检查纪录）
信息安全测评、系统安全定级、信息安全检查和风险评估工作
有工作开展的相关文档、记录、总结
规章制度情况
网络与信息安全政策落实情况
国家有关网络与信息安全文件（计算机信息网络国际联网安全保护管理办法等）的落实情况
提供测评资质复印件病毒库是最新发布的其他技术措施信息安全产品和网络产品进行了安全配置要有配置文档信息安全测试现场技术测试漏洞扫描测试扫描网络设备交换机路由器防火墙等服务器操作系统和数据库是否存在漏洞保密性测试测试涉密和敏感信息传输存储中保密性入侵防范测试测试系统入侵防范能力防火墙安全规则设置正确性测试测试防火墙安全规则设置是否正确网络结构安全性测试测试核心交换机核心路由器配置是否正确网络结构是否正确注
信息安全服务资质认证要求
信息安全服务资质认证要求随着互联网的快速发展，信息安全问题日益凸显。
越来越多的企业和组织开始重视信息安全，并开始寻求相关的信息安全服务。
为了保证信息安全服务的质量和可靠性，许多国家和地区都制定了相应的信息安全服务资质认证要求。
本文将介绍信息安全服务资质认证的一般要求和标准，并重点介绍中国的信息安全服务资质认证要求。
一、信息安全服务资质认证的一般要求和标准1.经营许可证：信息安全服务提供商需要持有相应的营业执照或经营许可证，以证明其合法经营。
2.人员资质：信息安全服务提供商需要拥有一支具备相关专业知识和经验的员工队伍。
通常要求员工具备信息技术、网络安全或信息安全管理等专业背景。
3.保密协议：信息安全服务提供商需要与客户签署保密协议，对客户的信息和数据进行保密，并遵守相关法律和法规。
4.知识产权保护：信息安全服务提供商需要保护客户的知识产权，不得窃取客户的商业机密或违反知识产权法律法规。
5.服务承诺和责任：信息安全服务提供商需要明确自己的服务承诺和责任，并对其提供的服务承担相应的责任。
中国的信息安全服务资质认证要求主要有以下几个方面：1.相关法律法规要求：信息安全服务提供商需要遵守中国的相关法律法规，如《网络安全法》、《信息安全技术细则》等。
2.注册资本要求：信息安全服务提供商需要具备一定的注册资本，以确保其运营的可持续性和稳定性。
3.人员资质要求：信息安全服务提供商需要拥有一支具备相关专业知识和经验的员工队伍。
通常要求员工具备信息技术、网络安全或信息安全管理等专业背景。
此外，一些特殊领域的信息安全服务还需要相应的专业认证，如网络安全审计认证、渗透测试人员认证等。
4.服务能力要求：信息安全服务提供商需要有一定的服务能力，能够为客户提供专业的信息安全服务。
这包括具备相关的硬件和软件设备，有完善的信息安全管理体系和流程，并能够针对客户的需求提供定制化的服务方案。
5.客户保护要求：信息安全服务提供商需要保护客户的权益和利益，不得泄露客户的信息和数据，不得滥用客户的信息和数据，不得侵犯客户的知识产权。
如何评估和选择第三方安全审计和认证机构
了解机构的专业领域和服务范围
添加标题
添加标题
添加标题
添加标题
服务范围：安全审计、风险评估、合规咨询等
专业领域：信息安全、数据保护、隐私保护等
资质认证：ISO 27001、ISO 27018、ISO 27032等
行业经验：成功案例、客户评价、行业口碑等
比较不同第三方安全审计和认证机构的优势和劣势
添加章节标题
01
了解第三方安全审计和认证机构的作用和价值
02
了解第三方安全审计和认证机构的作用
满足合规要求：许多行业和政府对信息安全有严格的合规要求，第三方安全审计和认证机构可以帮助企业满足这些要求。
确保信息安全：第三方安全审计和认证机构可以帮助企业确保其信息系统的安全性，防止数据泄露和网络攻击。
认证范围：了解机构的认证范围和领域，判断其是否满足企业的需求
合作伙伴：了解机构的合作伙伴和合作案例，判断其行业地位和影响力
选择符合需求的第三方安全审计和认证机构
05
根据业务需求选择合适的机构
明确业务需求：确定需要保护的资产、数据、系统等
考虑机构地理位置：考虑机构的地理位置是否方便沟通和合作
评估机构技术能力：评估机构的技术实力、创新能力、解决问题能力等
评估机构资质：查看机构的认证、资质、经验等
考虑机构声誉：了解机构的口碑、信誉、客户评价等
比较机构服务：比较不同机构的服务范围、质量、价格等
确定与机构合作的方式和流程
签订合作协议并明确双方的权利和义务
明确审计和认证的范围和目标
确定审计和认证的费用和支付方式
明确双方的责任和义务，包括保密、报告、整改等事项
04
网络与信息安全自查表
附表1：
通过安全检验/鉴定/认证情况. 防火墙. 入侵检测系统. 安全审计系统. 漏洞扫描系统. 违规外联监控系统. 网页防篡改系统. 网络安全隔离网闸. 病毒防护产品. （密码产
品） ...
附表1：
保定市网络与信息安全自查表
填表单位：（单位签章）填表时间：年月
日
（续表1）
（续表1）
（续表1）
（续表1）
（续表1）
填表说明：
1、各单位按照网络与信息安全检查内容和相关要求完成自查后，如实填写本表。
填写
内容不实等情况引起后果由填表人承担，本表须盖单位公章后有效。
2、表中各选项前为“○”标记表示为单选项；“□”标记为可多选项。
凡有“其他”项
的，在后面注明具体内容。
3、如表格预留空间不足，可自行复印或续页填。
认证中心软件开发安全自评估表
要点
6.
7.
8.
9.
10.
11.
12.
13.
条款
需提供证明材料
自评估
结论
证明材料清单
符
合
不 符 合
建立变更控制制度，明确软件项目变更 控制的安全要求。
变更控制管理制度，提供项目变更控制 记录，变更的记录单，记录单中的内容 应包含变更申请，审批，执行，执行后 的评价结果。
软件安全开发服务资质认证自评估表
组织名称
申报级别
评估时间
评估部门/人员
自评估
结论
序 号
要点
条款
需提供证明材料符合 Nhomakorabea不 符 合
证明材料清单
1.
服务技术
建立软件安全开发服务流程。
软件安全开发服务流程， 流程图中应包 括每个阶段对应的职责、输入输出等。
2.
要求
制定软件安全开发服务规范并按照规范 实施。
软件安全开发服务规范并按照规范实 施。
3.
准备阶段
建立软件项目安全开发团队，明确各岗 位、人员、职责。
项目人员构成表或其他能体现项目组 成员构成的文档，其中明确项目组成员 构成情况以及安全开发人员的角色及 职责。
4.
制定软件项目安全开发管理计划，明确 开发过程管控措施。
项目开发计划，计划中应包含安全开发 的内容。
5.
建立软件开发的配置管理计划，明确配 置管理的安全要求。
开发环境与测试环境配置的说明文档。
仅一级要求：建立软硬件设备和工具等
软硬件设备及工具安全使用规范；软硬
要点
14.
15.
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
制定网络安全审计服务规范并按照规范 实施。
提供已制定的网络安全审计服务 规范。
3.
基本资格
二级初次认证无项目要求。
三级监督要求：申请三级资质认证的单 位，至少已经完成1个完整的网络安全审 计项目，具备确定审计目标和范围、确定 审计依据的能力；具备实施现场审计、报 告审计发现和形成审计结论的能力；具备
提出审计建议的能力。
提供一个已完成的审计项目的合 同、验收的证明材料，包括确定审 计目标和范围、确定审计依据的能 力；实施现场审计、报告审计发现 和形成审计结论的能力；提出审计 建议的能力的证明材料。
4.
仅二级要求：申请二级资质认证的单位， 至少完成6个完整的网络安全审计项目 ； 具备确定审计目标和范围、确定审计依据 的能力；具备头施现场审计、报告审计发
提供规章制度文件审计项及检查 表模板及案例。
17.
（适用于一、二级）G2.1.2b）编制完 整审计调研报告，并说明审计重点审计 项。
提供审计调研报告案例，并说明审 计重点审计项。
18.
G2.1.2 c）制定审计风险评价准则，评价审
计风险，为确定重点审计项和明确审计内 容提供依据。
提供审计风险评价准则，提供审计 风险评价报告案例。
提供6个已完成的审计项目的合 同、验收的证明材料，包括确定审 计目标和范围、确定审计依据的能 力；实施现场审计、报告审计发现
序 号
要点
条款
需提供证明材料
自评估 结论
证明材料清单
符
合
不 符 合
现和形成审计结论的能力；具备提出审计 建议的能力。
和形成审计结论的能力；提出审计 建议的能力的证明材料。
5.
仅一级要求：申请一级资质认证的单位， 至少完成10个项目，3个完整的网络安全 审计项目，项目审计目标应覆盖至少合 规、安全、绩效等；具备确定审计目标和 范围、确定审计依据的能力；具备实施现 场审计、报告审计发现和形成审计结论的 能力；具备提出审计建议的能力。
提供利用应用系统工具建立和维 护审计依据库的过程证明（可提供 相关工具的功能介绍、界面截图 等）
情况的方法说明，如调研表等。
14.
G1.1.2 c）了解被审计方IT支撑业务的对 应关系。
提供了解和分析被审计方IT支撑
业务的对应关系说明，如分析表格 模板。
15.
G1.1.2d）对网络安全审计的风险进行初 步评价。
提供网络安全审计风险评价方法， 如评价程序，评价报告模板等。
16.
（适用于一、二级）G2.1.2a）梳理被 审计方规章制度文件，形成审计项并编制 对应检杳表。
提供业务情况调研表
7.
G1.1.1b）编制IT情况调研表，并按照调研 表收集有效信息。
提供IT情况调研表
8.
（适用于一、二级）G2.1.1 a）编制审 计对象列表，包括审计对象的数量、容量、 功用、版本等属性。
提供审计对象列表，应包括审计对 象的数量、容量、功用、版本等属 性
9.
（适用于一、二级）G2.1.1b）梳理被 审计方业务逻辑、应用系统处理逻辑和IT基础设施架构。
提供被审计方业务逻辑、应用系统 处理逻辑和IT基础设施架构的分 析证明材料
10.
（适用于一级）G3.1.1 a）应利用应用 系统工具来建立和管理审计对象库。
提供利用应用系统工具建立和管 理审计对象库的过程证明（可提供 相关工具的功能介绍、界面截图 等）
11.
（适用于一级）G3.1.1 b）具备为被审 计方提供审计对象管理工具的能力。
21.
G1.2.1b）网络安全审计目标可以包括信 息化政策合规性、网络安全建设和绩效、
序 号
要点
条款
需提供证明材料
自评估 结论
证明材料清单
符
合
不 符 合
安全审计 目标
政务系统整合和数据共享、个人信息保护 和数据保护、信息化项目建设绩效与合 规、信息系统有效性和可靠性、信息系统 应急响应能力等。
22.
G1.2.2 b）网络安全审计依据可以是国家 法律法规、国际国内相关标准、被审计方 的有关规章程序，以及审计委托方指定的 其它审计依据。
25.
（适用于一、二级）G2.2.2应建立并维护 常用审计依据库，并确保审计依据是当前 适用版本。
提供审计依据库目录，并提供审计 依据版本管理的方法。
26.
（适用于一级）G3.2.2a）应利用应用 系统工具来建立和维护常用审计依据库， 并确保审计依据是当前适用版本。
提供3个完整的网络安全审计项目 的合同及验收的证明材料，项目审 计目标应覆盖至少合规、安全、绩 效等；包括确定审计目标和范围、 确疋审计依据的能力；头施现场审 计、报告审计发现和形成审计结论 的能力；提出审计建议的能力的证 明材料。
6.
审计对象 识别-了解 被审计方 业务和IT情况
G1.1.1a）编制业务情况调研表，并按照调 研表收集有效信息。
网络安全审计服务资质认证自评估表
填表要求：该服务中涉及的程序文件，须经本单位批准并发布。
组织名称
申报级别
评估时间
评估部门/人员
序 号
要点
条款
需提供证明材料
自评估 结论
证明材料清单
符
合
不 符 合
Hale Waihona Puke 1.服务技术 要求建立网络安全审计服务流程。
提供建立的网络安全审计服务流 程，流程中应包括每个阶段对应的 职责、输入输出等。
（适用于一、二级）G2.2.1网络安全审计 目标应经过评审，并与被审计方达成一 致。
提供网络安全审计目标评审记录 案例。
23.
编制审计 实施方案-确定网络 安全审计 依据
G1.2.2 a）应根据具体审计目标，准确确 疋审计依据。
提供确定审计依据的方法，如审计 目标与审计依据对应关系表格模 板等。
24.
12.
审计对象
G1.1.2 a）有效掌握 被审计方组织结构。
提供了解和分析被审计方组织结
序 号
要点
条款
需提供证明材料
自评估 结论
证明材料清单
符
合
不 符 合
调研-了解 被审计方 组织管理 和IT管理 情况
构及岗位职责等方法说明，如调研
表等。
13.
G1.1.2 b）有效掌握被审计方IT管理情况。
提供了解和分析被审计方IT管理
19.
（适用于一级）G3.1.2应建立审计调研报 告分级复核程序，明确规定各级复核人员 的要求和责任。
提供所建立的审计调研报告分级 复核程序，明确规定各级复核人员 的要求和责任。提供复核记录案 例。
20.
编制审计 实施方案-确定网络
G1.2.1a）确定网络安全审计项目的目标。
提供确定审计目标的方法，如审计 目标描述模板等。