近年來(lái)，我國(guó)信息化和信息安全保障工作的不斷深化，以應(yīng)急處理、風(fēng)險(xiǎn)評(píng)估、災(zāi)難恢復(fù)、系統(tǒng)測(cè)評(píng)、安全運(yùn)維、安全審計(jì)、安全培訓(xùn)和安全咨詢等為主要內(nèi)容的信息安全服務(wù)在信息安全保障中的作用日益突出。加強(qiáng)和規(guī)范信息安全服務(wù)資質(zhì)管理已成為信息安全管理的重要基礎(chǔ)性工作。

CCRC信息安全服務(wù)資質(zhì)是市場(chǎng)上通行的服務(wù)資質(zhì)認(rèn)證的統(tǒng)稱，目前發(fā)證量最多、應(yīng)用最廣、業(yè)內(nèi)認(rèn)可度較高的發(fā)證機(jī)構(gòu)是中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心（英文縮寫為：CCRC；曾用名：ISCCC），該機(jī)構(gòu)是是依據(jù)《國(guó)家網(wǎng)絡(luò)安全法》和國(guó)家有關(guān)強(qiáng)制性產(chǎn)品認(rèn)證、網(wǎng)絡(luò)安全管理法規(guī)，負(fù)責(zé)實(shí)施網(wǎng)絡(luò)安全審查和認(rèn)證的正司局級(jí)事業(yè)單位，在業(yè)務(wù)上接受中央網(wǎng)信辦指導(dǎo)。

對(duì)特定類別的信息安全服務(wù)，有具體的評(píng)價(jià)標(biāo)準(zhǔn)。例如，信息安全應(yīng)急處理服務(wù)資質(zhì)認(rèn)證的依據(jù)是《網(wǎng)絡(luò)與信息安全應(yīng)急處理服務(wù)資質(zhì)評(píng)估方法》（YD/T 1799-2008），信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)資質(zhì)認(rèn)證的依據(jù)是《信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》（GB/T 20984-2007）與《信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)資質(zhì)認(rèn)證實(shí)施規(guī)則》(ISCCC-SV-002)。

認(rèn)證模式:初次認(rèn)證+獲證后監(jiān)督

認(rèn)證級(jí)別

信息安全服務(wù)認(rèn)證級(jí)別分為一級(jí)、二級(jí)、三級(jí)，其中一級(jí)為最高級(jí)別。企業(yè)首次最高可以申請(qǐng)二級(jí)。

認(rèn)證基本環(huán)節(jié)

1) 認(rèn)證申請(qǐng)及受理 

2) 文件審核

3) 現(xiàn)場(chǎng)審核 

4) 結(jié)果評(píng)價(jià)與決定 

5) 獲證后監(jiān)督

CCRC安全服務(wù)資質(zhì)分類

該資質(zhì)共7個(gè)單項(xiàng)（2021年11月份由8個(gè)調(diào)整為7個(gè)），具體分類如下：

信息系統(tǒng)安全集成

01安全集成服務(wù)是指從事計(jì)算機(jī)應(yīng)用系統(tǒng)工程和網(wǎng)絡(luò)系統(tǒng)工程的安全需求界定、安全設(shè)計(jì)、建設(shè)實(shí)施、安全保證的活動(dòng)。

信息系統(tǒng)安全運(yùn)維

02信息系統(tǒng)安全運(yùn)維服務(wù)是指通過技術(shù)設(shè)施安全評(píng)估，技術(shù)設(shè)施安全加固，安全漏洞補(bǔ)丁通告、安全事件響應(yīng)以及信息安全運(yùn)維咨詢，協(xié)助組織的信息系統(tǒng)管理人員進(jìn)行信息系統(tǒng)的安全運(yùn)維的工作。

信息安全風(fēng)險(xiǎn)評(píng)估

03通過系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和安全整改措施，防范和消除信息安全風(fēng)險(xiǎn)，或?qū)L(fēng)險(xiǎn)控制在可接受的水平。

信息安全應(yīng)急處理

04通過制定應(yīng)急計(jì)劃使得影響網(wǎng)絡(luò)與信息系統(tǒng)安全的安全事件能夠得到及時(shí)響應(yīng)，并在安全事件一旦發(fā)生后進(jìn)行標(biāo)識(shí)、記錄、分類和處理，直到受影響的業(yè)務(wù)恢復(fù)正常運(yùn)行的過程。

信息安全風(fēng)險(xiǎn)評(píng)估

05將開發(fā)的軟件存在的風(fēng)險(xiǎn)控制在可接受的水平。軟件安全開發(fā)資質(zhì)認(rèn)證是對(duì)軟件開發(fā)方的基本資格、管理能力、技術(shù)能力和軟件安全過程能力等方面進(jìn)行評(píng)價(jià)。安全軟件開發(fā)服務(wù)資質(zhì)級(jí)別是衡量服務(wù)提供方的軟件安全開發(fā)服務(wù)資格和能力的尺度。

信息系統(tǒng)災(zāi)難備份與恢復(fù)

06將信息系統(tǒng)的數(shù)據(jù)、數(shù)據(jù)處理系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、基礎(chǔ)設(shè)施、專業(yè)技術(shù)支持能力和運(yùn)行管理能力進(jìn)行備份，并在災(zāi)難發(fā)生時(shí)，將其恢復(fù)到可正常運(yùn)行狀態(tài)，使支持的業(yè)務(wù)功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)，而設(shè)計(jì)和提供的活動(dòng)。

網(wǎng)絡(luò)安全審計(jì)

07網(wǎng)絡(luò)安全審計(jì)機(jī)構(gòu)對(duì)被審計(jì)方所屬的計(jì)算機(jī)信息系統(tǒng)的安全性、可靠性和經(jīng)濟(jì)性進(jìn)行檢查、監(jiān)督，通過獲取審計(jì)證據(jù)并對(duì)其進(jìn)行客觀評(píng)價(jià)所開展的系統(tǒng)的、獨(dú)立的、形成文件的活動(dòng)。

資質(zhì)申報(bào)流程

▲CCRC三級(jí)初次認(rèn)證流程（以三級(jí)為例）

準(zhǔn)備階段 

· 企業(yè)根據(jù)自身實(shí)際情況確定需要申請(qǐng)的服務(wù)資質(zhì)類型。

非現(xiàn)場(chǎng)審核及商務(wù)階段

*此階段工作應(yīng)在三周內(nèi)完成，

如需要企業(yè)補(bǔ)充材料，應(yīng)在五周內(nèi)完成

· 項(xiàng)目管理人員指派審核組長(zhǎng)，協(xié)調(diào)審查員組建審核組；

· 審核組對(duì)申請(qǐng)企業(yè)提交的材料進(jìn)行非現(xiàn)場(chǎng)審核，判斷機(jī)構(gòu)目前提供的信息安全服務(wù)管理和技術(shù)能力是否符合信息安全服務(wù)規(guī)范的要求。

（符合要求的，審核組長(zhǎng)在通知項(xiàng)目管理人員向申請(qǐng)單位發(fā)出受理通知書，編寫非現(xiàn)場(chǎng)審核報(bào)告，將審核材料提交中心進(jìn)行認(rèn)證決策；不符合要求的，審核組長(zhǎng)通知企業(yè)重新提交補(bǔ)充材料，并對(duì)補(bǔ)充材料進(jìn)行審核。）

認(rèn)證決定階段

（此階段工作應(yīng)在兩周內(nèi)完成）

· 中心認(rèn)證決定人員對(duì)審核組長(zhǎng)提交的審核材料進(jìn)行認(rèn)證決定；如認(rèn)證決定通過，則通知項(xiàng)目管理人員進(jìn)行制證；如認(rèn)證決定不通過，則通知企業(yè)不通過原因。

制證階段

（此階段工作應(yīng)在一周內(nèi)完成） 

· 項(xiàng)目管理人員制作證書，并郵寄給申請(qǐng)組織。

（注：申請(qǐng)三級(jí)信息安全服務(wù)資質(zhì)的組織，無(wú)論是否提交已實(shí)施完成并通過驗(yàn)收的信息安全服務(wù)項(xiàng)目案例，只要通過認(rèn)證決定，在第一次現(xiàn)場(chǎng)監(jiān)督審核時(shí)，必須提供在該年度實(shí)施完成并通過驗(yàn)收的信息安全服務(wù)項(xiàng)目案例。）