CCRC信息安全服務資質(zhì)，是信息安全服務機構提供安全服務的一種資格，包括法律地位、資源狀況、管理水平、技術能力等方面的要求。信息安全服務資質(zhì)認證是依據(jù)國家法律法規(guī)、國家標準、行業(yè)標準和技術規(guī)范，按照認證基本規(guī)范及認證規(guī)則，對提供信息安全服務機構的信息安全服務資質(zhì)進行評價。

01

什么是CCRC？

隨著我國信息化和信息安全保障工作的不斷深入推進，以應急處理、風險評估、災難恢復、系統(tǒng)測評、安全運維、安全審計、安全培訓和安全咨詢等為主要內(nèi)容的信息安全服務在信息安全保障中的作用日益突出。加強和規(guī)范信息安全服務資質(zhì)管理已成為信息安全管理的重要基礎性工作。

按照分類分級的工作思路，目前中國網(wǎng)絡安全審查技術與認證中心已經(jīng)開展了安全集成、安全運維、風險評估、應急處理、軟件安全開發(fā)、災難備份、網(wǎng)絡安全審計、工業(yè)控制安全這八類服務資質(zhì)工作。

通過對信息安全服務分類分級的資質(zhì)認證，可以對信息安全服務提供商的基本資格、管理能力、技術能力和服務過程能力等方面進行、客觀、公正的評價，證明其服務能力，滿足社會對服務的選擇需求。同時，認證過程也將有效促進服務提供方完善自身管理體系，提高服務質(zhì)量和水平，引導行業(yè)健康規(guī)范發(fā)展。

02

八大方向及等級要求

信息安全服務資質(zhì)是信息安全服務機構提供安全服務的一種資格，包括法律地位、資源狀況、管理水平、技術能力等方面的要求。信息安全服務資質(zhì)認證是依據(jù)國家法律法規(guī)、國家標準、行業(yè)標準和技術規(guī)范，按照認證基本規(guī)范及認證規(guī)則，對提供信息安全服務機構的信息安全服務資質(zhì)進行評價。

資質(zhì)共分八大方向，三個等級（其中一級為Zui gaoji別）：

01

安全集成服務資質(zhì)認證

信息系統(tǒng)安全集成服務資質(zhì)級別是衡量服務提供者服務能力的尺度。安全集成服務提供方的服務能力主要從以下四個方面體現(xiàn)。

02

風險評估服務資質(zhì)認證

信息安全風險評估服務資質(zhì)級別是衡量服務提供者服務能力的尺度。風險評估服務提供方的服務能力主要從以下四個方面體現(xiàn)：基本資格、服務管理能力、服務技術能力和服務過程能力。

03

軟件安全開發(fā)服務資質(zhì)認證

軟件安全開發(fā)資質(zhì)認證是對軟件開發(fā)方的基本資格、管理能力、技術能力和軟件安全過程能力等方面進行評價。安全軟件開發(fā)服務資質(zhì)級別是衡量服務提供方的軟件安全開發(fā)服務資格和能力的尺度。

04

安全運維服務資質(zhì)認證

安全運維資質(zhì)認證是對安全運維服務方的基本資格、管理能力、技術能力和安全運維過程能力等方面進行評價。安全運維服務資質(zhì)級別是衡量服務提供方的安全運維服務資格和能力的尺度。

05

應急處理服務資質(zhì)認證

信息安全應急處理服務資質(zhì)認證是對應急處理服務提供方的基本資格、管理能力、技術能力和應急處理服務過程能力等方面進行評價。信息安全應急處理服務資質(zhì)級別是衡量服務提供方應急處理服務資格和能力的尺度。應急處理服務是保障業(yè)務連續(xù)性的重要手段之一，它涵蓋了在安全事件發(fā)生后為了維持和恢復關鍵業(yè)務所進行的系列活動。

06

災難備份與恢復服務資質(zhì)認證

信息系統(tǒng)災難備份與恢復服務是將信息系統(tǒng)的數(shù)據(jù)、數(shù)據(jù)處理系統(tǒng)、網(wǎng)絡系統(tǒng)、基礎設施、專業(yè)技術支持能力和運行管理能力進行備份，并在災難發(fā)生時，將信息系統(tǒng)從災難造成的故障或癱瘓狀態(tài)恢復到可正常運行狀態(tài)。信息系統(tǒng)災難備份與恢復服務資質(zhì)級別是衡量服務提供者服務能力的尺度。

07 

工業(yè)控制安全服務資質(zhì)認證

工業(yè)控制系統(tǒng)安全服務資質(zhì)認證是對工業(yè)控制系統(tǒng)安全服務方的基本資格、管理能力、技術能力和工業(yè)控制系統(tǒng)安全服務過程能力等方面進行評價。工業(yè)控制系統(tǒng)安全服務資質(zhì)級別是衡量服務提供方的工業(yè)控制系統(tǒng)安全服務資格和能力的尺度。

08

網(wǎng)絡安全審計服務資質(zhì)認證

網(wǎng)絡安全審計服務資質(zhì)認證是對網(wǎng)絡安全審計服務方的基本資格、管理能力、技術能力和網(wǎng)絡安全審計過程能力等方面進行評價。網(wǎng)絡安全審計服務資質(zhì)級別是衡量服務提供方的網(wǎng)絡安全審計服務資格和能力的尺度。

03

收益與范圍

信息安全服務資質(zhì)證書的有效期為三年，每年監(jiān)督審核一次。續(xù)證的企業(yè)至少提前3個月提交系統(tǒng)做監(jiān)督申請。

01

預期收益

1.擴大企業(yè)在信息安全服務領域的影響力，增強可信度和綜合競爭力，獲得更多的合作機會和競爭優(yōu)勢。

2.認證要求企業(yè)具備完善的管理體系和先進的技術能力，有助于規(guī)范企業(yè)的管理與技術，加強實施項目中的各項管理及服務能力，提升效率。

3.強化員工的信息安全意識，規(guī)范組織信息安全行為，從而提高企業(yè)的專 業(yè)水平和服務質(zhì)量。

4.保護企業(yè)的知識產(chǎn)權、商標、競爭優(yōu)勢以及維護企業(yè)的聲譽、品牌和客戶信任。

5.減少可能潛在的風險隱患，減少信息系統(tǒng)故障、人員流失帶來的經(jīng)濟損失。

6.在信息系統(tǒng)受到侵襲時，確保業(yè)務持續(xù)開展并將損失降到Zui低程度。

02

適用企業(yè)

1.專 業(yè)從事信息安全服務的企業(yè)：包括信息安全咨詢、安全評估、安全監(jiān)測、安全運維、應急響應等服務提供商。

2.軟件開發(fā)企業(yè)：涉及軟件安全開發(fā)、安全測試、安全運維等方面的企業(yè)。

3.信息安全產(chǎn)品提供商：研發(fā)和銷售信息安全產(chǎn)品的企業(yè)，如防火墻、入侵檢測系統(tǒng)、加密解密設備等。

4.信息系統(tǒng)集成商：承擔信息系統(tǒng)建設、運維和保障的企業(yè)。

5.涉及信息安全保障需求的企業(yè)：政府 部門、金融機構、電信、能源、教育、醫(yī)療等領域的企業(yè)或機構。

6.其他：任何希望提升自身信息安全服務能力和資質(zhì)的企業(yè)或機構。