信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)能力要求和評(píng)估規(guī)范-編制說明

標(biāo)準(zhǔn)編制背景：2007年6月，公安部會(huì)同國(guó)家保密局、國(guó)家密碼管理局和國(guó)務(wù)院信息化工作辦公室聯(lián)合發(fā)布了《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)）。文件第十四條要求“信息系統(tǒng)建設(shè)完成后，運(yùn)營(yíng)、使用單位或者其主管部門應(yīng)當(dāng)選擇符合本辦法規(guī)定條件的測(cè)評(píng)機(jī)構(gòu)，依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》等技術(shù)標(biāo)準(zhǔn)，定期對(duì)信息系統(tǒng)安全等級(jí)狀況開展等級(jí)測(cè)評(píng)”。2009年9月，廣州、河南、浙江、重慶四個(gè)?。ㄖ陛犑校╅_展測(cè)評(píng)體系建設(shè)的試點(diǎn)工作。2010年3月，公安部頒布《關(guān)于推動(dòng)信息安全等級(jí)保護(hù)測(cè)評(píng)體系建設(shè)和開展等級(jí)測(cè)評(píng)工作的通知》（公信安[2010]303號(hào)），決定加快等級(jí)保護(hù)測(cè)評(píng)體系建設(shè)工作。標(biāo)準(zhǔn)編制過程2010年3月，制定了《信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)能力規(guī)范》（試行）初稿。2010年4月，由部十一局組織專家對(duì)《信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)能力規(guī)范》進(jìn)行評(píng)審，并更名為《信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)能力要求》（試行）（簡(jiǎn)稱《能力要求》），評(píng)估中心依據(jù)《能力要求》開展全國(guó)機(jī)構(gòu)的能力評(píng)估。2012年初，在完成80余家測(cè)評(píng)機(jī)構(gòu)能力評(píng)估基礎(chǔ)上，提出機(jī)構(gòu)能力分級(jí)的思路并修訂。并以《信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)能力要求》和《信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)評(píng)估規(guī)范》兩個(gè)標(biāo)準(zhǔn)進(jìn)行立項(xiàng)，并完成了初稿。2012年7月13日，國(guó)標(biāo)委對(duì)標(biāo)準(zhǔn)進(jìn)行中期檢查，根據(jù)專家意見合并形成《信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)能力要求和評(píng)估規(guī)范》。2013年5月，十一局發(fā)布《信息安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)管理辦法》，第二十條“等級(jí)測(cè)評(píng)機(jī)構(gòu)實(shí)行等級(jí)化管理。完成《信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)能力要求和評(píng)估規(guī)范》（檢查稿）2014年3月，國(guó)標(biāo)委對(duì)標(biāo)準(zhǔn)進(jìn)行評(píng)審，要求盡快出臺(tái)。2015年底，配合十一局以該文稿為主要依據(jù)，進(jìn)行了測(cè)評(píng)機(jī)構(gòu)評(píng)優(yōu)，并為定級(jí)評(píng)星做好準(zhǔn)備。2016年8月12日，草案向國(guó)標(biāo)部分WG5專家征求意見，并進(jìn)行了修訂。2016年8月25日，國(guó)標(biāo)委召開WG5工作組在研標(biāo)準(zhǔn)推進(jìn)會(huì)，對(duì)文稿進(jìn)行評(píng)審后進(jìn)行了再次修訂。目前，除西藏外，全國(guó)31個(gè)省市自治區(qū)已經(jīng)推薦等級(jí)測(cè)評(píng)機(jī)構(gòu)147家。

標(biāo)準(zhǔn)編制參考與借鑒《檢測(cè)和校準(zhǔn)實(shí)驗(yàn)室能力的通用要求》（ISO/IEC17025:2005）《檢驗(yàn)機(jī)構(gòu)能力的通用要求》（ISO/IEC17020:2012）ISO9001質(zhì)量管理系統(tǒng)系列標(biāo)準(zhǔn)《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過程指南》（GB/T28449-2012）等系列等級(jí)保護(hù)國(guó)家標(biāo)準(zhǔn)《網(wǎng)絡(luò)與信息安全服務(wù)資質(zhì)評(píng)估準(zhǔn)則》（YDT1621—2007）《信息安全服務(wù)資質(zhì)認(rèn)證技術(shù)規(guī)范》……

標(biāo)準(zhǔn)主要內(nèi)容能力組織管理能力風(fēng)險(xiǎn)控制能力設(shè)備實(shí)施安全保障能力可持續(xù)發(fā)展能力質(zhì)量管理能力規(guī)范性保證能力測(cè)評(píng)實(shí)施能力能力要求組織管理能力風(fēng)險(xiǎn)控制能力設(shè)備實(shí)施安全保障能力可持續(xù)發(fā)展能力質(zhì)量管理能力規(guī)范性保證能力測(cè)評(píng)實(shí)施能力能力要求

級(jí)別等級(jí)測(cè)評(píng)機(jī)構(gòu)按能力要求分為三級(jí)，級(jí)別由低到高依次是Ⅰ級(jí)、Ⅱ級(jí)和Ⅲ級(jí)Ⅰ級(jí)低Ⅱ級(jí)Ⅲ級(jí)中高Ⅰ級(jí)低Ⅱ級(jí)Ⅲ級(jí)中高能力要求項(xiàng)級(jí)差一覽表級(jí)別組織管理能力測(cè)評(píng)實(shí)施能力設(shè)施和設(shè)備安全與保障能力質(zhì)量管理能力規(guī)范性保證能力風(fēng)險(xiǎn)控制能力可持續(xù)性發(fā)展能力項(xiàng)數(shù)人員能力測(cè)評(píng)能力管理體系建設(shè)管理體系維護(hù)質(zhì)量監(jiān)督能力公正性保證能力可信與保密性保證能力測(cè)評(píng)方法與程序的規(guī)范性測(cè)評(píng)記錄的規(guī)范性測(cè)評(píng)報(bào)告的規(guī)范性安全管理能力第Ⅰ級(jí)5項(xiàng)5項(xiàng)3項(xiàng)5項(xiàng)3項(xiàng)2項(xiàng)2項(xiàng)9項(xiàng)1項(xiàng)2項(xiàng)4項(xiàng)2項(xiàng)4項(xiàng)47項(xiàng)第Ⅱ級(jí)5項(xiàng)6項(xiàng)6項(xiàng)6項(xiàng)3項(xiàng)2項(xiàng)1項(xiàng)3項(xiàng)10項(xiàng)2項(xiàng)3項(xiàng)4項(xiàng)1