[网络协议]中国国家信息安全产品认证证书 |CCRC信息安全服务资质认证

一、信息安全产品认证

1. 什么是中国国家信息安全产品认证证书

中国信息安全认证中心是经中央编制委员会批准成立，由国务院信息化工作办公室、国家认证认可监督管理委员会等八部委授权，依据国家有关强制性产品认证、信息安全管理的法律法规，负责实施信息安全认证的专门机构。 中国信息安全认证中心为国家质检总局直属事业单位。中心简称为信息认证中心。 英文全称：China Information Security Certification Center;英文缩写：ISCCC。

2. 背景

目前市场上通行的信息安全产品认证有三种：

《网络关键设备和网络安全专用产品安全认证》

《中国国家信息安全产品认证证书》

《IT产品信息安全认证证书》

其中，在产品功能和性能满足条件的情况下，《网络关键设备和网络安全专用产品安全认证》《中国国家信息安全产品认证证书》两张证书可以同一产品同时认证同时发证。

3. 中国国家信息安全产品认证证书作用

根据《中华人民共和国产品质量法》、《中华人民共和国标准化法》、《中华人民共和国进出口商品检验法》、《中华人民共和国认证认可条例》、《强制性产品认证管理规定》和《关于建立国家信息安全产品认证认可体系的通知》，决定对部分信息安全产品实施强制性认证，发布了《第一批信息安全产品强制性认证目录》。

目录包含8大类别13种产品
https://www.isccc.gov.cn/zxyw/cprz/gjxxaqcprz/zyxcprztzgg/09/314483.shtml
https://www.docin.com/p-1594182334.html

凡列入强制性认证目录内的信息安全产品，未获得《中国国家信息安全产品认证证书》，不得出厂、销售、进口或在其他经营活动中使用。

4. 国家信息安全产品认证流程

国家信息安全产品认证流程
https://www.renrendoc.com/paper/100880104.html

国家信息安全产品认证流程：

1、认证申请

准备申请材料、申请书等

2、递交申请书

向中国信息安全认证中心提交认证申请书(包括申请书所要求的其他资料)纸质版1式2份，电子版1份。含有密码技术的产品应向国家密码管理局指定检测实验室提交密码技术检测申请。拟用于涉密信息系统的产品，按照国家有关保密规定和标准执行，不适用本申请指南。

3、申请资料审查

中国信息安全认证中心在收到申请资料后对其进行审查，如果资料不符合要求，申请方应按要求修改或补充;如果资料符合要求，进行单元划分。单元划分完成后，中国信息安全认证中心向申请方发出送样通知。

4、发出送样通知单

中国信息安全认证中心向客户发出送样通知单

5、申请方向实验室送样

*实验室选择

申请方从指定实验室名单中，根据指定实验室的业务范围，自主选取检测实验室。指定实验室及业务范围参见中国国家认证认可监督管理委员会公告(2009年第25号)。

*送样原则和数量

详见各个产品的认证实施规则。

*型式试验

检测实验室完成检测后，将型式试验报告提交至中国信息安全认证中心。

国家信息安全产品认证

6、申请方缴费

申请方收到缴费通知后，向中国信息安全认证中心缴纳认证费用(不包括实验室检测费用)。

7、初始工厂检查

工厂检查依据各个产品的认证实施规则进行，工厂检查包括信息安全保证能力、质量保证能力和产品一致性检查。(时间2-4天)综合评价、认证决定中国信息安全认证中心依据相关标准和规范对申请资料、型式试验报告和工厂检查报告等进行综合评价，作出认证决定。

8、颁发证书

证书制作完毕后，申请方可以自行到中国信息安全认证中心领取或委托中国信息安全认证中心邮寄。同时，证书信息将在中国信息安全认证中心网站予以公告。证书的有效性证书有效期为5年，证书有效期内，证书的有效性依据发证机构的定期监督获得维持。

9、证后监督

从获证后第12个月起进行第一次获证后监督，此后每12个月进行一次获证后监督。 必要情况下，认证机构可采取事先不通知的方式对生产厂实施监督。必要时可增加监督频次，详见各个产品的认证实施规则。

二、CCRC信息安全服务资质（认证）

官网： https://www.isccc.gov.cn/

1. 背景和基本概念

随着我国信息化和信息安全保障工作的不断深入推进，以应急处理、风险评估、灾难恢复、系统测评、安全运维、安全审计、安全培训和安全咨询等为主要内容的信息安全服务在信息安全保障中的作用日益突出。加强和规范信息安全服务资质管理已成为信息安全管理的重要基础性工作。

信息系统安全服务资质（CCRC)侧重在于信息安全服务领域。

2. CCRC信息安全服务资质

CCRC(原名ISCCC)信息安全服务资质认证是中国网络安全审查技术与认证中心依据国家法律法规、国家标准、行业标准和技术规范，按照认证基本规范及认证规则，对提供信息安全服务机构的信息安全服务资质包括法律地位、资源状况、管理水平、 技术能力等方面的要求进行评价。

该资质共8个单项，每个单项分为一、二、三级(最低)。其中一级最高，三级最低。共分8个不同的方向，分别是:安全集成、安全运维、应急处理、风险评估、灾难备份与恢复、安全软件开发、网络安全审计、工业控制系统安全。

信息安全服务资质认证证书前名叫ISCCC，现在改名为CCRC。信息系统安全服务资质（CCRC），目前只有中国网络安全审查技术与认证中心一家机构才能审批的资质证书。

CCRC其实就是信息安全服务资质，也就是以前的名称是ISCCC。这三个其实就是一个东西，也就是都是信息安全服务资质认证证书的意思。

CCRC信息安全服务资质单项

官网：https://www.isccc.gov.cn/zxyw/fwzzrz/index.shtml

1、信息安全风险评估
　　2、 信息安全应急处理
　　3、信息系统安全集成
　　4、信息系统灾难备份与恢复
　　5、软件安全开发
　　6、信息系统安全运维
　　7、网络安全审计
　　8、工业控制系统安全

各分项都有三个级别，三级最低，一级最高。其中如果是做三级单个分项，其申报基础要求为：

1、社保人数10人以上；
2、近三年完成的信息安全项目1个以上；
3、持证信息安全保障人员2名以上。

因此，CCRC信息安全服务资质安全集成服务资质三级申报的时候，企业也是需要满足以上三个基础要求。

审核标准

信息系统安全服务资质（CCRC）对项目的管理及资料的存档更加严谨，人员有严格的要求，对于申请不同类别和级别的相关安全保障人员数量、毕业学历、毕业时间都有明确的要求。

3. 信息安全服务资质评审发证机构介绍

CCRC 中国网络安全审查技术与认证中心（原中国信息安全认证中心-ISCCC）是依据国家《网络安全法》和国家有关强制性产品认证、网络安全管理法规，负责实施网络安全审查和认证的专门机构。

中国网络安全审查技术与认证中心为国家市场监督管理总局直属事业单位，系第三方公正机构和法人实体。其职能为：承担网络安全审查技术与方法研究；开展网络安全认证评价及相关标准技术和方法研究；承担网络安全审查人员和网络安全认证人员技术培训工作；在批准的工作范围内按照认证基本规范和认证规则开展认证工作；受理认证委托、实施评价、做出认证决定，颁发认证证书；负责认证后的跟踪检查和相应认证标志使用的监督；受理有关的认证投诉、申诉工作；依法暂停、注销和撤销认证证书；对认证及认证有关的检测、检查、评价人员进行认证标准、程序及相关要求的培训；对提供信息安全服务的机构、人员进行资质注册和培训；根据国家法律、法规及授权参加相关国际组织开展信息安全领域的国际合作；依据法律、法规及授权从事相关认证工作。在业务上接受中共中央网络安全和信息化委员会办公室指导。

4. CCRC信息安全服务资质证书样本

5. CCRC信息安全服务资质认证有什么好处？

通过信息系统安全服务分类分级的资质认证，可以对信息安全服务提供商的基本资格、管理能力、技术能力和服务过程能力等方面进行权威、客观、公正的评价，证明其服务能力，满足社会对服务的选择需求。

证书持有单位可在有效期内从事有关的信息安全服务工作，并接受中国网络安全审查技术与认证中心（以下简称为CNITSEC）的监督；

可用于政府、金融等行业招标投标项目，提高竞争力；提高公司市场占有率，提升企业形象。
这个证书的发证机构有中国信息安全测评中心或中国网络安全审查技术与认证中心。由此可见，其证书的含金量是不低的。且企业如果有这个证书，在参加招投标中是可以获得加分的，对企业自身实力的提升也很有帮助。

CCRC信息安全服务资质认证的好处：
1、企业申请并完成信息安全服务资质有助于信息安全服务商完善自身管理体系，提高服务质量和水平。
2、企业申请并完成信息安全服务资质有助于提高需方对信息安全服务商的信任度。
3、企业获得CCRC信息安全服务资质认证证书有助于提高中标率。
4、企业获得CCRC信息安全服务资质认证证书可用于荣誉展示。

6. CCRC信息安全服务资质二级、三级各项基本要求

资质级别分为一级、二级、三级共三个级别,其中一级最高,三级最低。

CCRC信息安全服务资质三级需要的条件

信息安全服务资质三级需要的条件

1. 申请人必须是中国境内注册的法人单位，成立时间1年以上。
2. 公司的注册资本在50万元以上，且没有任何不良的信用记录，办公面积有100平米以上。
3. 公司近两年的信息安全服务业务完成验收项目总额100万元以上。
4. 近一年未出现亏损，营业收入达到300万元以上，固定资产净值有10万以上，并有中华人民共和国境内依法设立的会计师事务所出具的财务审计报告。
5. 通过ISO9001认证，建立有项目管理、客户服务管理、人力资源管理制度。
6. 技术负责人具备电子信息类硕士以上学位或电子信息类中级以上职称、且从事信息安全服务业务技术工作不少于1年；财务负责人至少有会计技术初级资格。
7. 信息安全服务的工作人员不少于10名，取得“信息系统业务安全服务工程师”培训证书的人数不少于5名。

CCRC认证三级（一个分项）基本要求：

1、社保人数10人以上

2、近三年完成的信息安全项目1个以上

3、持证信息安全保障人员2名以上

CCRC认证二级（一个分项）基本要求

1、社保人数30人以上

2、近三年完成的信息安全项目6个以上

3、持证信息安全保障人员6名以上

以上就是企业做CCRC认证三级、二级分别所需的基本要求

CCRC信息安全服务资质一级要求

都知道CCRC信息安全服务资质一级是最高级别，所以一级也是不能像三级和二级一样直接申请的，如要直接申请一级，首先要进行申请，申请通过之后才能正常申报。所以要申报一级，企业必须要有一定扎实的实力才可以。

申请方可根据条件直接申请，或获得二级一年以上可提出相同类别的一级申请，且服务管理程 序文件需建立、发布并运行一年以上。

人员素质与要求
1、组织负责人拥有4年以上信息技术领域管理经历。
2、技术负责人具备信息安全服务（与申报类别一致）管理能力，经评价合格（与申报类别一致）。
3、项目负责人、项目工程师具备信息安全服务（与申报类别一致）技术能力，经评价合格（与申报类别一致）。

业绩要求
1、从事信息安全服务（与申报类别一致）5年以上。
2、近3年内签订并完成至少10个信息安全服务（与申报类别一致）项目。

7. CCRC信息安全服务资质认证流程图及申报资料清单

参考URL: https://blog.csdn.net/qiye51/article/details/115860285

CCRC信息安全服务资质认证证书需要提交的材料清单：

1.服务资质认证申请书；

2.独立法人资格证明材料；

3.从事信息安全服务的相关资质证明；

4.工作保密制度及相应组织监管体系的证明材料；

5.与信息安全风险评估服务人员签订的保密协议复印件；

6.人员构成与素质证明材料；

7.公司组织结构证明材料；

8.具备固定办公场所的证明材料；

9.项目管理制度文档；

10.信息安全服务质量管理文件；

11.项目案例及业绩证明材料；

12.信息安全服务能力证明材料等。

CCRC认证有效期

CCRC认证有效期为5年。在有效期内，通过每年对获证后的产品进行监督确保认证证书的有效性。

获得CRCC证书后维护需做

1）每年均需监督审核，提前2个月提交监督审核通知单回执及自评价表。
2）原则上证后第1年监督审核为现场审核。
3）在认证风险可控的情况下，原则上证后第2年为非现场审核，第3年为现场审核，以此类推。
4）若存在影响认证有效性的情况，增加现场审核的频度与部分项的审核力度

造成撤销的情况

1)逾期3个月未按规定接受监督审核的；
2)证书暂停期间，未在规定时间内完成整改并通过验证；
3)违规使用认证证书，造成不良影响；
4)获证组织出现严重责任事故、被投诉且经核实，影响其继续有效提供服务；
5)获证组织因自身原因不再维持证书，可提出撤销认证证书的申请；
6)其他需要撤销证书的情况。

三、参考

360借条通过CCRC权威认证，再获国家级认可
参考URL: https://blog.csdn.net/FL63Zv9Zou86950w/article/details/122469635
http://www.isocsr.com/ccrc/ruanjiankaifazizhi
信息安全产品认证介绍
https://zhuanlan.zhihu.com/p/405689624