张敏
点击图片查看原图
信息安全服务资质是信息安全服务机构提供安全服务的一种资格，包括法律地位、资源状况、管理水平、 技术能力等方面的要求。信息安全服务资质认证是依据国家法律法规、国家标准、行业标准和技术规范，按照认证基本规范及认证规则，对提供信息安全服务机构的信息安全服务资质进行评价。
1获证的意义：
1、强企业信息安全服务能力水平：近几年各企事业单位对信息安全服务的要求越来越高，因此很多信息安全服务企业迫切需要加强自身服务能力、建立涵盖人员、流程、技术、资源四个方面的信息安全服务能力管理体系以降低服务成本、提高服务效率和服务质量、保证客户满意。
信息安全服务资质是中国在信息安全服务管理方面的最佳实践总结，而且该资质提供了一套信息安全服务能力管理体系持续改进的框架，因此对于追求提高信息安全服务能力的中国企业，信息安全服务资质ISCCC/CCRC无疑是最佳选择。
2、提高了企业信任度：企业为了获得订单、获得客户的信任，需要向客户证明其信息安全服务能力水平，而信息安全服务资质是目前国内IT业界普遍认可的行业资质，获得信息安全服务资质认证是赢得客户、市场信任的有效途径。
2资质方向：
CCRC信息安全服务资质分8个不同的方向，分别是：安全集成、安全运维、风险评估、应急处理、软件安全开发、灾难备份与恢复、工业控制安全、网络安全审计。企业可根据自身业务需求来申请对应方向的。
3证书级别：
证书级别分为一级、二级、三级，其中一级最高，三级最低，证书有效期为3年，证书到期需要提前3个月提出申请。
4认证流程：
申请过程主要分为：准备阶段、审计阶段、认证决策阶段和认证制定阶段四个阶段。
1、准备阶段：申请组织根据自身实际情况确定服务资格类型，登录中国信息安全认证中心网站，提交准备好的材料、文件和自评证明材料。
2.审核阶段：审计形式存在较大差异，需要注意：
（1）初步认证：文件审查+现场审查。
（2）监督审核：文件审核+现场审核+服务点审核。
服务点审核抽样要求：在申请组织提交正在进行的项目中，现场审核时随机抽查一个项目；
审核流程：
（1）项目管理人员指派审核组长，协调审核员成立审核组；
（2）审核组长编制审核计划，通过项目管理人员发送给审核组全体成员；
（3）审计组对申请组织提交的材料进行审计，判断组织提供的信息安全服务管理和技术能力是否符合《信息安全服务规范》的要求。符合要求的，审计组长应当通知项目管理人员向申请组织出具受理通知书（申请组织有需要的，也可以签订《服务资格认证合同》）、收取认证费后，编制《非现场审计报告》，汇总《信息安全服务资质认证公共管理审计记录表》等审计材料，提交中心作出认证决定；不符合要求的，审计组长通知申请组织重新提交补充材料，审核补充材料（申请组织补充材料仍不符合要求的，审计组长应通知项目经理，项目经理通知申请组织不符合申请资格条件）。
3、认证决定阶段（本阶段工作应在两周内完成）
中心认证决定人员对审计组长提交的审计材料作出认证决定；认证决定通过的，通知项目管理人员制证；认证决定不通过的，通知申请组织不通过的原因。