近年來，我國信息化和信息安全保障工作的不斷深化，以應(yīng)急處理、風(fēng)險評估、災(zāi)難恢復(fù)、系統(tǒng)測評、安全運(yùn)維、安全審計、安全培訓(xùn)和安全咨詢等為主要內(nèi)容的信息安全服務(wù)在信息安全保障中的作用日益突出。加強(qiáng)和規(guī)范信息安全服務(wù)資質(zhì)管理已成為信息安全管理的重要基礎(chǔ)性工作。

CCRC信息安全服務(wù)資質(zhì)是市場上通行的服務(wù)資質(zhì)認(rèn)證的統(tǒng)稱，目前發(fā)證量最多、應(yīng)用最廣、業(yè)內(nèi)認(rèn)可度較高的發(fā)證機(jī)構(gòu)是中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心（英文縮寫為：CCRC；曾用名：ISCCC），該機(jī)構(gòu)是是依據(jù)《國家網(wǎng)絡(luò)安全法》和國家有關(guān)強(qiáng)制性產(chǎn)品認(rèn)證、網(wǎng)絡(luò)安全管理法規(guī)，負(fù)責(zé)實(shí)施網(wǎng)絡(luò)安全審查和認(rèn)證的正司局級事業(yè)單位，在業(yè)務(wù)上接受中央網(wǎng)信辦指導(dǎo)。

對特定類別的信息安全服務(wù)，有具體的評價標(biāo)準(zhǔn)。例如，信息安全應(yīng)急處理服務(wù)資質(zhì)認(rèn)證的依據(jù)是《網(wǎng)絡(luò)與信息安全應(yīng)急處理服務(wù)資質(zhì)評估方法》（YD/T 1799-2008），信息安全風(fēng)險評估服務(wù)資質(zhì)認(rèn)證的依據(jù)是《信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范》（GB/T 20984-2007）與《信息安全風(fēng)險評估服務(wù)資質(zhì)認(rèn)證實(shí)施規(guī)則》(ISCCC-SV-002)。

認(rèn)證模式:初次認(rèn)證+獲證后監(jiān)督

認(rèn)證級別

信息安全服務(wù)認(rèn)證級別分為一級、二級、三級，其中一級為最高級別。企業(yè)首次最高可以申請二級。

認(rèn)證基本環(huán)節(jié)

1) 認(rèn)證申請及受理 

2) 文件審核

3) 現(xiàn)場審核 

4) 結(jié)果評價與決定 

5) 獲證后監(jiān)督

CCRC安全服務(wù)資質(zhì)分類

該資質(zhì)共7個單項(xiàng)（2021年11月份由8個調(diào)整為7個），具體分類如下：

信息系統(tǒng)安全集成

01安全集成服務(wù)是指從事計算機(jī)應(yīng)用系統(tǒng)工程和網(wǎng)絡(luò)系統(tǒng)工程的安全需求界定、安全設(shè)計、建設(shè)實(shí)施、安全保證的活動。

信息系統(tǒng)安全運(yùn)維

02信息系統(tǒng)安全運(yùn)維服務(wù)是指通過技術(shù)設(shè)施安全評估，技術(shù)設(shè)施安全加固，安全漏洞補(bǔ)丁通告、安全事件響應(yīng)以及信息安全運(yùn)維咨詢，協(xié)助組織的信息系統(tǒng)管理人員進(jìn)行信息系統(tǒng)的安全運(yùn)維的工作。

信息安全風(fēng)險評估

03通過系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和安全整改措施，防范和消除信息安全風(fēng)險，或?qū)L(fēng)險控制在可接受的水平。

信息安全應(yīng)急處理

04通過制定應(yīng)急計劃使得影響網(wǎng)絡(luò)與信息系統(tǒng)安全的安全事件能夠得到及時響應(yīng)，并在安全事件一旦發(fā)生后進(jìn)行標(biāo)識、記錄、分類和處理，直到受影響的業(yè)務(wù)恢復(fù)正常運(yùn)行的過程。

信息安全風(fēng)險評估

05將開發(fā)的軟件存在的風(fēng)險控制在可接受的水平。軟件安全開發(fā)資質(zhì)認(rèn)證是對軟件開發(fā)方的基本資格、管理能力、技術(shù)能力和軟件安全過程能力等方面進(jìn)行評價。安全軟件開發(fā)服務(wù)資質(zhì)級別是衡量服務(wù)提供方的軟件安全開發(fā)服務(wù)資格和能力的尺度。

信息系統(tǒng)災(zāi)難備份與恢復(fù)

06將信息系統(tǒng)的數(shù)據(jù)、數(shù)據(jù)處理系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、基礎(chǔ)設(shè)施、專業(yè)技術(shù)支持能力和運(yùn)行管理能力進(jìn)行備份，并在災(zāi)難發(fā)生時，將其恢復(fù)到可正常運(yùn)行狀態(tài)，使支持的業(yè)務(wù)功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)，而設(shè)計和提供的活動。

網(wǎng)絡(luò)安全審計

07網(wǎng)絡(luò)安全審計機(jī)構(gòu)對被審計方所屬的計算機(jī)信息系統(tǒng)的安全性、可靠性和經(jīng)濟(jì)性進(jìn)行檢查、監(jiān)督，通過獲取審計證據(jù)并對其進(jìn)行客觀評價所開展的系統(tǒng)的、獨(dú)立的、形成文件的活動。

資質(zhì)申報流程

▲CCRC三級初次認(rèn)證流程（以三級為例）

準(zhǔn)備階段 

· 企業(yè)根據(jù)自身實(shí)際情況確定需要申請的服務(wù)資質(zhì)類型。

非現(xiàn)場審核及商務(wù)階段

*此階段工作應(yīng)在三周內(nèi)完成，

如需要企業(yè)補(bǔ)充材料，應(yīng)在五周內(nèi)完成

· 項(xiàng)目管理人員指派審核組長，協(xié)調(diào)審查員組建審核組；

· 審核組對申請企業(yè)提交的材料進(jìn)行非現(xiàn)場審核，判斷機(jī)構(gòu)目前提供的信息安全服務(wù)管理和技術(shù)能力是否符合信息安全服務(wù)規(guī)范的要求。

（符合要求的，審核組長在通知項(xiàng)目管理人員向申請單位發(fā)出受理通知書，編寫非現(xiàn)場審核報告，將審核材料提交中心進(jìn)行認(rèn)證決策；不符合要求的，審核組長通知企業(yè)重新提交補(bǔ)充材料，并對補(bǔ)充材料進(jìn)行審核。）

認(rèn)證決定階段

（此階段工作應(yīng)在兩周內(nèi)完成）

· 中心認(rèn)證決定人員對審核組長提交的審核材料進(jìn)行認(rèn)證決定；如認(rèn)證決定通過，則通知項(xiàng)目管理人員進(jìn)行制證；如認(rèn)證決定不通過，則通知企業(yè)不通過原因。

制證階段

（此階段工作應(yīng)在一周內(nèi)完成） 

· 項(xiàng)目管理人員制作證書，并郵寄給申請組織。

（注：申請三級信息安全服務(wù)資質(zhì)的組織，無論是否提交已實(shí)施完成并通過驗(yàn)收的信息安全服務(wù)項(xiàng)目案例，只要通過認(rèn)證決定，在第一次現(xiàn)場監(jiān)督審核時，必須提供在該年度實(shí)施完成并通過驗(yàn)收的信息安全服務(wù)項(xiàng)目案例。）