CCRC信 息安 全服务资 质简介

CCRC信 息安 全服务资 质认zhen g简介

随着我国信 息化和信 息安 全保 障工作的不断深入推进，以安 全集成、安 全运维、应急处理、风险评估、灾难恢复、系统测评、安 全审计、安 全培训和安 全咨询等为主要内容的信 息安 全服务在信 息安 全保 障中的作用日益突 出。加强和规范信 息安 全服务资 质管理已成为信 息安 全管理的重要基础性工作。

CCRC信 息安 全服务资 质是信 息安 全服务机构提供安 全服务的一种资格，包括法律地位、资源状况、管理水平、 技术能力等方面的要求。CCRC信 息安 全服务资 质认zhen g是依据国家法律法规、国家 标准、行业标准和技术规范，按照认zhen g基本规范及认zhen g规则，对提供信 息安 全服务机构的信 息安 全服务资 质进行评价。

通过对信 息安 全服务分类分级的资 质认zhen g，可以对信 息安 全服务提供商的基本资格、管理能力、技术能力和 服务过程能力等方面进行权 威、客观、公正的评价，zhen g明其服务能力，满足社会对服务的选择需求。同时，认zhen g过程也将有效促进服务提供方完善自身管理体系，提高服务质量和水平，引导行业健康规范发展。

CCRC信 息安 全服务资 质级别是衡量服务提供者服务能力的尺度。资 质级别分为一级、二级、三级共三个级别，其中一级高，三级低。

►信 息系统安 全集成服务资 质

信 息系统安 全集成服务是指从事计算机应用系统工程和网络系统工程的安 全需求界定、安 全设计、建设实施、安 全保zhen g的活动。信 息系统安 全集成包括在新建信 息系统的结构化设计中考虑信 息安 全保zhen g因素，从而使建设完成后的信 息系统满足建设方或使用方的安 全需求而开展的活动。也包括在已有信 息系统的基础上额外增加信 息安 全子系统或信 息安 全设备等，通常被称为安 全优化或安 全加固。

►安 全运维服务资 质

信 息系统安 全运维服务是指通过技术设施安 全评估，技术设施安 全加固，安 全漏洞补丁通告、安 全事件响应以及信 息安 全运维咨询，协助组织的信 息系统管理人员进行信 息系统的安 全运维工作，以发现并修 复信 息系统中所存在的安 全隐患，降低安 全隐患被非法利用的可能性，并在安 全隐患被利用后及时加以响应。

►风险评估服务资 质

信 息安 全风险评估是信 息安 全保 障的基础性工作和重要环节，贯穿于网络和信 息系统建设运行的全过程。服务提供者通过对信 息系统提供风险评估服务，系统地分析网络与信 息系统所面临的威胁及其存在的脆弱性，评估安 全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安 全整改措施，防范和消 除信 息安 全风险，或将风险控制在可接受的水平，为网络和信 息安 全保 障提供科学依据。

►应急处理服务资 质

信 息安 全应急处理服务是通过制 定应急计划使得影响网络与信 息系统安 全的安 全事件能够得到及时响应，并在安 全事件一旦发生后进行标识、记录、分类和处理，直到受影响的业务恢复正常运行的过程。应急处理服务是保 障业务连续性的重要手段之一，它涵盖了在安 全事件发生后为了维持和恢复关键业务所进行的系列活动。

►软件安 全开发服务资 质

通过对软件开发过程的控制，将开发的软件存在的风险控制在可接受的水平。软件安 全开发资 质认zhen g是对软件开发方的基本资格、管理能力、技术能力和软件安 全过程能力等方面进行评价。安 全软件开发服务资 质级别是衡量服务提供方的软件安 全开发服务资格和能力的尺度。

►信 息系统灾难备份与恢复服务资 质

信 息系统灾难备份与恢复服务是将信 息系统的数据、数据处理系统、网络系统、基础设施、专 业技术支持能力和运行管理能力进行备份，并在灾难发生时，将信 息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计和提供的活动。

►工业控制安 全服务资 质

工业控制系统安 全服务围绕提升工业控制系统的高可用性和业务连续性，提升功能安 全、物理安 全和信 息安 全的保 障能力为目标，涉及工业控制系统设计、建设、运维和技改各个阶段，主要包括系统集成、系统运维、应急处理、风险评估等工业控制系统安 全服务，形成系统的、du立的、形成文件的过程。

►网络安 全审计服务资 质

网络安 全审计是指网络安 全审计机构对被审计方所属的计算机信 息系统的安 全性、可 靠性和经济性进行检查、监督，通过获 取审计zhen g据并对其进行客观评价所开展的系统的、du立的、形成文件的活动。