什么是信息安全服务资质？
随着我国信息化和信息安全保障工作的不断深入推进，以应急处理、风险评估、信息系统安全集成、灾难备份与恢复、软件开发、安全运维，工业控制系统安全，网络安全审计服务资质认证
为主要内容的信息安全服务在信息安全保障中的作用日益突出。加强和规范信息安全服务资质管理已成为信息安全管理的重要基础性工作。
通过对信息安全服务分类分级的资质认证，可以对信息安全服务提供商的基本资格、管理能力、技术能力和服务过程能力等方面进行权威、客观、公正的评价，证明其服务能力，满足社会对服务的选择需求。同时，认证过程也将有效促进服务提供方完善自身管理体系，提高服务质量和水平，引导行业健康规范发展。
一、应急处理服务资质认证简介
信息安全应急处理服务是通过制定应急计划使得影响网络与信息系统安全的安全事件能够得到及时响应，并在安全事件一旦发生后进行标识、记录、分类和处理，直到受影响的业务恢复正常运行的过程。应急处理服务是保障业务连续性的重要手段之一，它涵盖了在安全事件发生后为了维持和恢复关键业务所进行的系列活动。
二、风险评估服务资质认证简介
信息安全风险评估是信息安全保障的基础性工作和重要环节，贯穿于网络和信息系统建设运行的全过程。服务提供者通过对信息系统提供风险评估服务，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全整改措施，防范和消除信息安全风险，或将风险控制在可接受的水平，为网络和信息安全保障提供科学依据。
三、信息系统安全集成服务资质认证简介
信息系统安全集成服务是指从事计算机应用系统工程和网络系统工程的安全需求界定、安全设计、建设实施、安全保证的活动。信息系统安全集成包括在新建信息系统的结构化设计中考虑信息安全保证因素，从而使建设完成后的信息系统满足建设方或使用方的安全需求而开展的活动。也包括在已有信息系统的基础上额外增加信息安全子系统或信息安全设备等，通常被称为安全优化或安全加固。
四、信息系统灾难备份与恢复服务资质认证简介
信息系统灾难备份与恢复服务是将信息系统的数据、数据处理系统、网络系统、基础设施、专业技术支持能力和运行管理能力进行备份，并在灾难发生时，将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计和提供的活动。
五，软件安全开发服务资质认证简介
通过对软件开发过程的控制，将开发的软件存在的风险控制在可接受的水平。
软件安全开发资质认证是对软件开发方的基本资格、管理能力、技术能力和软件安全过程能力等方面进行评价。安全软件开发服务资质级别是衡量服务提供方的软件安全开发服务资格和能力的尺度。
六、安全运维服务资质认证简介
通过技术设施安全评估，技术设施安全加固，安全漏洞补丁通告、安全事件响应以及信息安全运维咨询，协助组织的信息系统管理人员进行信息系统的安全运维工作，以发现并修复信息系统中所存在的安全隐患，降低安全隐患被非法利用的可能性，并在安全隐患被利用后及时加以响应。
安全运维资质认证是对安全运维服务方的基本资格、管理能力、技术能力和安全运维过程能力等方面进行评价。安全运维服务资质级别是衡量服务提供方的安全运维服务资格和能力的尺度。
七，网络安全审计服务资质认证
网络安全审计是指网络安全审计机构对被审计方所属的计算机信息系统的安全性、可靠性和经济性进行检查、监督，通过获取审计证据并对其进行客观评价所开展的系统的、独立的、形成文件的活动。
网络安全审计服务资质认证是对网络安全审计服务方的基本资格、管理能力、技术能力和网络安全审计过程能力等方面进行评价。网络安全审计服务资质级别是衡量服务提供方的网络安全审计服务资格和能力的尺度。网络安全审计资质级别分为一级、二级、三级共三个级别，其中一级最高，三级最低。
八 工业控制安全服务资质认证
工业控制系统安全服务围绕提升工业控制系统的高可用性和业务连续性，提升功能安全、物理安全和信息安全的保障能力为目标，涉及工业控制系统设计、建设、运维和技改各个阶段，主要包括系统集成、系统运维、应急处理、风险评估等工业控制系统安全服务，形成系统的、独立的、形成文件的过程。
工业控制系统安全服务资质认证是对工业控制系统安全服务方的基本资格、管理能力、技术能力和工业控制系统安全服务过程能力等方面进行评价。工业控制系统安全服务资质级别是衡量服务提供方的工业控制系统安全服务资格和能力的尺度。工业控制系统安全资质级别分为一级、二级、三级共三个级别，其中一级最高，三级最低。
企业为什么需要信息安全服务资质
· 服务资质认证有助于信息安全提供商提高自身能力，
· 规范管理与技术，扩大服务商的影响;
· 服务资质认证是需方选择的依据，可以提高需方对服务商的信任度。
申请信息安全服务资质企业需要准备哪些条件呢？
通用评价要求适用于风险评估、安全集成、应急处理、灾难备份与恢复、软件安全开发、安全
运维等类别的信息安全服务认证评价，均分为三个级别，其中一级最高。
三级评价要求
1、在中华人民共和国境内注册的独立法人组织，发展历程清晰，产权关系明确。
2、近3 年经营状况良好，财务数据真实可信，应提供在中华人民共和国境内登记注册的会计师事务所出具的近3 年财务审计报告。
3、拥有长期固定办公场所和相适应的办公条件，能够满足机构设置及其业务需要。
4、人员素质与资质要求
· 组织负责人拥有2年以上信息技术领域管理经历。
· 技术负责人获得信息安全相关专业硕士及以上学位或电子信息技术类中级职称，且从事信息安全技术工作2年以上。
· 财务负责人具有财务系列初级以上职称。
· 从事信息安全服务人员10名以上。
· 拥有信息安全专业认证(与申报类别一致)人员2名以上。
· 拥有项目管理资格证书人员1名以上。
5、业绩要求
· 从事信息安全服务(与申报类别一致)1年以上。
· 近3年内签订并完成至少1个信息安全服务(与申报类别一致)项目。
6、服务管理要求
· 遵循国家相关法律法规、标准要求，无违法违规记录，资信状况良好。
· 建立人员管理程序和能力考核指标;制定业务和技能培训计划，定期对相关人员开展培训和考核。
· 建立文档控制程序，明确文档管理职责，任命管理人员，确保项目文档资料妥善保管。
· 建立项目管理制度，并按照制度执行。
· 提供资源，确保信息安全服务项目的实施。
7、服务合同要求
· 了解客户及所处的行业对信息安全服务的特定要求。
· 确定信息安全服务范围。
· 应签订信息安全服务合同或协议。
8、服务安全要求
· 满足法律法规对服务安全的要求。
· 满足与客户签订服务合同中的安全要求。
· 制定保密管理制度，明确岗位保密责任。
· 按照客户要求，对于接触到的客户敏感信息和知识产权信息予以保护，并确保服务方人员了解客户的相关要求。
· 与相关人员签订保密协议，并进行保密教育。
· 确保其供应商满足上述服务安全要求。
9、服务技术要求
· 建立信息安全服务(与申报类别一致)流程。
· 制定信息安全服务(与申报类别一致)规范并按照规范实施。
二级评价要求
1、在中华人民共和国境内注册的独立法人组织，发展历程清晰，产权关系明确。
2、近3 年经营状况良好，财务数据真实可信，应提供在中华人民共和国境内登记注册的会计师事务所出具的近3 年财务审计报告。
3、拥有长期固定办公场所和相适应的办公条件，能够满足机构设置及其业务需要。
4、人员素质与资质要求
· 组织负责人拥有3年以上信息技术领域管理经历。
· 技术负责人应获得信息安全相关专业硕士及以上学位或电子信息技术类中级职称，且从事信息安全技术工作5年以上。
· 财务负责人具有财务系列中级以上职称。
· 从事信息安全服务人员30名以上。
· 拥有信息安全专业认证(与申报类别一致)人员6名以上。
· 拥有项目管理资格证书人员2名以上。
5、技术工具要求
· 具备独立的测试环境及必要的软、硬件设备，用于技术培训和模拟测试。
· 具备承担信息安全服务(与申报类别一致)项目所需的安全工具，并对工具进行管理和版本控制。
6、业绩要求
· 从事信息安全服务(与申报类别一致)3年以上，或取得信息安全服务(与申报类别一致)三级资质1年以上。
· 近三年内签订并完成至少6个信息安全服务项目(与申报类别一致)。
7、服务管理要求
· 遵循国家相关法律法规、标准要求，无违法违规记录，资信状况良好。
· 建立项目管理制度，并按照制度执行。
· 参照国际或国内标准，建立业务范围覆盖信息安全服务的质量管理体系，并有效运行。
· 参照国际或国家标准，建立业务范围覆盖信息安全服务的信息安全管理体系或信息技术服务管理体系，并有效运行。
· 提供资源，确保信息安全服务项目的实施。
8、服务合同要求
· 了解客户及所处的行业对信息安全服务的特定要求。
· 确定信息安全服务范围。
· 应签订信息安全服务合同或协议。
· 合同应明确信息安全服务的行为规范。
9、服务安全要求
· 满足法律法规对服务安全的要求。
· 满足与客户签订服务合同中的安全要求。
· 制定保密管理制度，明确岗位保密责任。
· 按照客户要求，对于接触到的客户敏感信息和知识产权信息予以保护，并确保服务方人员了解客户的相关要求。
· 与相关人员签订保密协议，并进行保密教育。
· 确保其供应商满足上述服务安全要求。
10、服务技术要求
· 建立信息安全服务(与申报类别一致)流程。
· 制定信息安全服务(与申报类别一致)规范并按照规范实施。
一级评价要求
1、取得信息安全服务(与申报类别一致)二级资质1 年以上。(行业领头企业除外)
2、在中华人民共和国境内注册的独立法人组织，发展历程清晰，产权关系明确。
3、近3 年经营状况良好，财务数据真实可信，应提供在中华人民共和国境内登记注册的会计师事务所出具的近3 年财务审计报告。
4、拥有长期固定办公场所和相适应的办公条件，能够满足机构设置及其业务需要。
5、人员素质与资质要求
· 组织负责人拥有4年以上信息技术领域管理经历。
· 技术负责人应获得信息安全相关专业硕士及以上学位或电子信息技术类高级职称，且从事信息安全技术工作8年以上。
· 财务负责人拥有财务系列高级职称，或取得中级职称8年以上。
· 从事信息安全技术服务人员50名以上。
· 拥有信息安全专业认证人员(与申报类别一致)10名以上。
· 拥有项目管理资格证书人员5名以上。
6、技术工具要求
· 具备独立的测试环境及必要的软、硬件设备，用于技术培训和模拟测试。
· 具备承担信息安全服务(与申报类别一致)项目所需的安全工具，如漏洞扫描工具、渗透测试工具、协议分析仪等。
7、业绩要求
· 从事信息安全服务(与申报类别一致)5年以上。
· 近三年内至少签订并完成10个信息安全服务项目(与申报类别一致)。
8、服务管理要求
· 遵循国家相关法律法规、标准要求，无违法违规记录，资信状况良好。
· 建立项目管理制度，并按照制度执行。
· 参照国际、国内标准，建立业务范围覆盖信息安全服务的质量管理体系，并提供有效运行的相关证明。
· 参照国际、国家标准，建立业务范围覆盖信息安全服务的信息安全管理体系或信息技术服务管理体系，并提供有效运行的相关证明。
· 提供足够资源，确保信息安全服务项目的实施。
9、服务合同要求
· 了解客户及所处的行业对信息安全服务的特定要求。
· 确定信息安全服务范围。
· 应签订信息安全服务合同或协议。
· 合同应明确信息安全服务的行为规范。
· 合同应明确信息安全服务的安全要求。
10、服务安全要求
· 满足法律法规对服务安全的要求。
· 满足与客户签订服务合同中的安全要求。
· 制定保密管理制度，明确岗位保密责任。
· 按照客户要求，对于接触到的客户敏感信息和知识产权信息予以保护，并确保服务方人员了解客户的相关要求。
· 与相关人员签订保密协议，并进行保密教育。
· 确保其供应商满足上述服务安全要求。
11、服务技术要求
· 建立信息安全服务(与申报类别一致)流程。
· 制定信息安全服务(与申报类别一致)规范，并按照规范实施。
