網(wǎng)絡(luò)安全等保測評機(jī)構(gòu)正式納入檢驗(yàn)機(jī)構(gòu)能力認(rèn)可準(zhǔn)則
信安客 2022-06-30
??中國合格評定國家認(rèn)可委員會(huì)近日發(fā)布通知，自2022年7月1日起實(shí)施《檢驗(yàn)機(jī)構(gòu)能力認(rèn)可準(zhǔn)則在網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域的應(yīng)用說明》。
該領(lǐng)域2022年7月1日后初次申請認(rèn)可的檢驗(yàn)機(jī)構(gòu)，須應(yīng)按此文件實(shí)施；2022年7月1日前初次申請已獲受理、但尚未實(shí)施現(xiàn)場評審的檢驗(yàn)機(jī)構(gòu)，鼓勵(lì)在現(xiàn)場評審時(shí)按此文件實(shí)施；已獲認(rèn)可的檢驗(yàn)機(jī)構(gòu)，應(yīng)在最近一次現(xiàn)場評審實(shí)施并完成轉(zhuǎn)化。
特此通知。
該領(lǐng)域2022年7月1日后初次申請認(rèn)可的檢驗(yàn)機(jī)構(gòu)，須應(yīng)按此文件實(shí)施；2022年7月1日前初次申請已獲受理、但尚未實(shí)施現(xiàn)場評審的檢驗(yàn)機(jī)構(gòu)，鼓勵(lì)在現(xiàn)場評審時(shí)按此文件實(shí)施；已獲認(rèn)可的檢驗(yàn)機(jī)構(gòu)，應(yīng)在最近一次現(xiàn)場評審實(shí)施并完成轉(zhuǎn)化。
各相關(guān)機(jī)構(gòu)及人員：
網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域是中國合格評定國家認(rèn)可委員會(huì)（CNAS）檢驗(yàn)機(jī)構(gòu)認(rèn)可的重要技術(shù)領(lǐng)域。為滿足網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域檢驗(yàn)機(jī)構(gòu)認(rèn)可需求， CNAS秘書處組織編制了CNAS-CI01-A018《檢驗(yàn)機(jī)構(gòu)能力認(rèn)可準(zhǔn)則在網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域的應(yīng)用說明》。經(jīng)過公開征求意見，并經(jīng)相關(guān)批準(zhǔn)程序，現(xiàn)予以發(fā)布。
此文件于2022年6月30日發(fā)布，并于2022年7月1日起實(shí)施。實(shí)施與轉(zhuǎn)化方案如下：鑒于本文件與監(jiān)管部門相關(guān)要求的一致性，該領(lǐng)域2022年7月1日后初次申請認(rèn)可的檢驗(yàn)機(jī)構(gòu)，須應(yīng)按此文件實(shí)施；2022年7月1日前初次申請已獲受理、但尚未實(shí)施現(xiàn)場評審的檢驗(yàn)機(jī)構(gòu)，鼓勵(lì)在現(xiàn)場評審時(shí)按此文件實(shí)施；已獲認(rèn)可的檢驗(yàn)機(jī)構(gòu)，應(yīng)在最近一次現(xiàn)場評審實(shí)施并完成轉(zhuǎn)化。
CNAS-CI01-A018《檢驗(yàn)機(jī)構(gòu)能力認(rèn)可準(zhǔn)則在網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域的應(yīng)用說明》可在CNAS網(wǎng)站（https://www.cnas.org.cn）“檢驗(yàn)機(jī)構(gòu)認(rèn)可／認(rèn)可規(guī)范／認(rèn)可應(yīng)用準(zhǔn)則”欄目中查找下載。
網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域是中國合格評定國家認(rèn)可委員會(huì)（CNAS）檢驗(yàn)機(jī)構(gòu)認(rèn)可的重要技術(shù)領(lǐng)域。為滿足網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域檢驗(yàn)機(jī)構(gòu)認(rèn)可需求， CNAS秘書處組織編制了CNAS-CI01-A018《檢驗(yàn)機(jī)構(gòu)能力認(rèn)可準(zhǔn)則在網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域的應(yīng)用說明》。經(jīng)過公開征求意見，并經(jīng)相關(guān)批準(zhǔn)程序，現(xiàn)予以發(fā)布。
此文件于2022年6月30日發(fā)布，并于2022年7月1日起實(shí)施。實(shí)施與轉(zhuǎn)化方案如下：鑒于本文件與監(jiān)管部門相關(guān)要求的一致性，該領(lǐng)域2022年7月1日后初次申請認(rèn)可的檢驗(yàn)機(jī)構(gòu)，須應(yīng)按此文件實(shí)施；2022年7月1日前初次申請已獲受理、但尚未實(shí)施現(xiàn)場評審的檢驗(yàn)機(jī)構(gòu)，鼓勵(lì)在現(xiàn)場評審時(shí)按此文件實(shí)施；已獲認(rèn)可的檢驗(yàn)機(jī)構(gòu)，應(yīng)在最近一次現(xiàn)場評審實(shí)施并完成轉(zhuǎn)化。
CNAS-CI01-A018《檢驗(yàn)機(jī)構(gòu)能力認(rèn)可準(zhǔn)則在網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域的應(yīng)用說明》可在CNAS網(wǎng)站（https://www.cnas.org.cn）“檢驗(yàn)機(jī)構(gòu)認(rèn)可／認(rèn)可規(guī)范／認(rèn)可應(yīng)用準(zhǔn)則”欄目中查找下載。
特此通知。
中國合格評定國家認(rèn)可委員會(huì)秘書處
2022年6月23日
2022年6月23日
在文件《檢驗(yàn)機(jī)構(gòu)能力認(rèn)可準(zhǔn)則在網(wǎng)絡(luò)安全等級(jí)測評領(lǐng)域的應(yīng)用說明》中明確了對網(wǎng)絡(luò)安全等保測評機(jī)構(gòu)人員的要求，具體如下：
6.1.1 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)應(yīng)具有勝任等級(jí)測評活動(dòng)的測評人員和管理人員，大學(xué)本科及以上學(xué)歷所占比例不低于70%。檢驗(yàn)機(jī)構(gòu)應(yīng)設(shè)置滿足等級(jí)測評活動(dòng)需要的崗位，包括測評項(xiàng)目組長、測評項(xiàng)目組員、滲透測試工程師、保密安全員等，崗位職責(zé)明確。
注：測評人員包括測評項(xiàng)目組員、測評項(xiàng)目組長、滲透測試工程師和技術(shù)主管等崗位人員。
6.1.2 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)中測評項(xiàng)目組員、測評項(xiàng)目組長和技術(shù)主管崗位人員應(yīng)分別取得初、中、高級(jí)等級(jí)測評師證書，數(shù)量不應(yīng)少于15人，滲透測試工程師應(yīng)取得行業(yè)認(rèn)可的技術(shù)能力證明，滲透測試工程師數(shù)量不應(yīng)少于2人。
信安客注：目前國內(nèi)行業(yè)認(rèn)可的滲透測試技術(shù)能力證明資質(zhì)推薦CISP-PTE（注冊滲透測試工程師認(rèn)證），該認(rèn)證是國家對滲透測試從業(yè)人員職業(yè)能力的權(quán)威認(rèn)可與資格證明。
6.1.3 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)測評人員應(yīng)理解和掌握相關(guān)技術(shù)標(biāo)準(zhǔn)，熟悉等級(jí)測評的方法、流程和工作規(guī)范等方面的知識(shí)及能力，應(yīng)取得等級(jí)測評師資格并有依據(jù)測評結(jié)果做出專業(yè)判斷以及出具等級(jí)測評報(bào)告等任務(wù)的能力，授權(quán)簽字人應(yīng)取得高級(jí)測評師資格。
6.1.5 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)應(yīng)保留測評人員能力考核、授權(quán)記錄，等級(jí)測評師證書應(yīng)作為測評人員授權(quán)上崗的必要條件之一，未取得等級(jí)測評師證書的測評人員，不得授權(quán)上崗承擔(dān)等級(jí)測評項(xiàng)目。
6.1.7 測評人員上崗前，網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)應(yīng)組織崗前培訓(xùn)。同時(shí)檢驗(yàn)機(jī)構(gòu)應(yīng)組織測評人員參加多種形式的測評業(yè)務(wù)和技術(shù)培訓(xùn)，根據(jù)每個(gè)測評人員的測評活動(dòng)領(lǐng)域制訂培訓(xùn)計(jì)劃，測評人員每年培訓(xùn)時(shí)長累計(jì)不少于40學(xué)時(shí)，或按照監(jiān)管部門的要求進(jìn)行培訓(xùn)。
6.1.10 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)應(yīng)建立并保存測評人員的人員技術(shù)檔案，包括人員基本信息、工作經(jīng)歷、培訓(xùn)記錄、項(xiàng)目經(jīng)歷、監(jiān)督記錄、專業(yè)資格等。
6.1.13 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)中的測評人員離職前，檢驗(yàn)機(jī)構(gòu)應(yīng)與其簽訂離職保密承諾書。檢驗(yàn)機(jī)構(gòu)應(yīng)加強(qiáng)對測評人員的監(jiān)督管理，每年至少一次組織開展安全保密教育培訓(xùn)。
6.1.1 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)應(yīng)具有勝任等級(jí)測評活動(dòng)的測評人員和管理人員，大學(xué)本科及以上學(xué)歷所占比例不低于70%。檢驗(yàn)機(jī)構(gòu)應(yīng)設(shè)置滿足等級(jí)測評活動(dòng)需要的崗位，包括測評項(xiàng)目組長、測評項(xiàng)目組員、滲透測試工程師、保密安全員等，崗位職責(zé)明確。
注：測評人員包括測評項(xiàng)目組員、測評項(xiàng)目組長、滲透測試工程師和技術(shù)主管等崗位人員。
6.1.2 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)中測評項(xiàng)目組員、測評項(xiàng)目組長和技術(shù)主管崗位人員應(yīng)分別取得初、中、高級(jí)等級(jí)測評師證書，數(shù)量不應(yīng)少于15人，滲透測試工程師應(yīng)取得行業(yè)認(rèn)可的技術(shù)能力證明，滲透測試工程師數(shù)量不應(yīng)少于2人。
信安客注：目前國內(nèi)行業(yè)認(rèn)可的滲透測試技術(shù)能力證明資質(zhì)推薦CISP-PTE（注冊滲透測試工程師認(rèn)證），該認(rèn)證是國家對滲透測試從業(yè)人員職業(yè)能力的權(quán)威認(rèn)可與資格證明。
6.1.3 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)測評人員應(yīng)理解和掌握相關(guān)技術(shù)標(biāo)準(zhǔn)，熟悉等級(jí)測評的方法、流程和工作規(guī)范等方面的知識(shí)及能力，應(yīng)取得等級(jí)測評師資格并有依據(jù)測評結(jié)果做出專業(yè)判斷以及出具等級(jí)測評報(bào)告等任務(wù)的能力，授權(quán)簽字人應(yīng)取得高級(jí)測評師資格。
6.1.5 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)應(yīng)保留測評人員能力考核、授權(quán)記錄，等級(jí)測評師證書應(yīng)作為測評人員授權(quán)上崗的必要條件之一，未取得等級(jí)測評師證書的測評人員，不得授權(quán)上崗承擔(dān)等級(jí)測評項(xiàng)目。
6.1.7 測評人員上崗前，網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)應(yīng)組織崗前培訓(xùn)。同時(shí)檢驗(yàn)機(jī)構(gòu)應(yīng)組織測評人員參加多種形式的測評業(yè)務(wù)和技術(shù)培訓(xùn)，根據(jù)每個(gè)測評人員的測評活動(dòng)領(lǐng)域制訂培訓(xùn)計(jì)劃，測評人員每年培訓(xùn)時(shí)長累計(jì)不少于40學(xué)時(shí)，或按照監(jiān)管部門的要求進(jìn)行培訓(xùn)。
6.1.10 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)應(yīng)建立并保存測評人員的人員技術(shù)檔案，包括人員基本信息、工作經(jīng)歷、培訓(xùn)記錄、項(xiàng)目經(jīng)歷、監(jiān)督記錄、專業(yè)資格等。
6.1.13 網(wǎng)絡(luò)安全等級(jí)測評機(jī)構(gòu)中的測評人員離職前，檢驗(yàn)機(jī)構(gòu)應(yīng)與其簽訂離職保密承諾書。檢驗(yàn)機(jī)構(gòu)應(yīng)加強(qiáng)對測評人員的監(jiān)督管理，每年至少一次組織開展安全保密教育培訓(xùn)。
