信息安全技术 网络安全等级保护测评机构能力要求和评估规范-编制说明

标准编制背景：2007年6月，公安部会同国家保密局、国家密码管理局和国务院信息化工作办公室联合发布了《信息安全等级保护管理办法》（公通字[2007]43号）。文件第十四条要求“信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评”。2009年9月，广州、河南、浙江、重庆四个省（直辖市）开展测评体系建设的试点工作。2010年3月，公安部颁布《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号），决定加快等级保护测评体系建设工作。标准编制过程2010年3月，制定了《信息安全等级测评机构能力规范》（试行）初稿。2010年4月，由部十一局组织专家对《信息安全等级测评机构能力规范》进行评审，并更名为《信息安全等级测评机构能力要求》（试行）（简称《能力要求》），评估中心依据《能力要求》开展全国机构的能力评估。2012年初，在完成80余家测评机构能力评估基础上，提出机构能力分级的思路并修订。并以《信息安全等级测评机构能力要求》和《信息安全等级测评机构评估规范》两个标准进行立项，并完成了初稿。2012年7月13日，国标委对标准进行中期检查，根据专家意见合并形成《信息安全等级测评机构能力要求和评估规范》。2013年5月，十一局发布《信息安全等级保护测评机构管理办法》，第二十条“等级测评机构实行等级化管理。完成《信息安全等级测评机构能力要求和评估规范》（检查稿）2014年3月，国标委对标准进行评审，要求尽快出台。2015年底，配合十一局以该文稿为主要依据，进行了测评机构评优，并为定级评星做好准备。2016年8月12日，草案向国标部分WG5专家征求意见，并进行了修订。2016年8月25日，国标委召开WG5工作组在研标准推进会，对文稿进行评审后进行了再次修订。目前，除西藏外，全国31个省市自治区已经推荐等级测评机构147家。

标准编制参考与借鉴《检测和校准实验室能力的通用要求》（ISO/IEC17025:2005）《检验机构能力的通用要求》（ISO/IEC17020:2012）ISO9001质量管理系统系列标准《信息系统安全等级保护测评过程指南》（GB/T28449-2012）等系列等级保护国家标准《网络与信息安全服务资质评估准则》（YDT1621—2007）《信息安全服务资质认证技术规范》……

标准主要内容能力组织管理能力风险控制能力设备实施安全保障能力可持续发展能力质量管理能力规范性保证能力测评实施能力能力要求组织管理能力风险控制能力设备实施安全保障能力可持续发展能力质量管理能力规范性保证能力测评实施能力能力要求

级别等级测评机构按能力要求分为三级，级别由低到高依次是Ⅰ级、Ⅱ级和Ⅲ级Ⅰ级低Ⅱ级Ⅲ级中高Ⅰ级低Ⅱ级Ⅲ级中高能力要求项级差一览表级别组织管理能力测评实施能力设施和设备安全与保障能力质量管理能力规范性保证能力风险控制能力可持续性发展能力项数人员能力测评能力管理体系建设管理体系维护质量监督能力公正性保证能力可信与保密性保证能力测评方法与程序的规范性测评记录的规范性测评报告的规范性安全管理能力第Ⅰ级5项5项3项5项3项2项2项9项1项2项4项2项4项47项第Ⅱ级5项6项6项6项3项2项1项3项10项2项3项4项1