網(wǎng)絡(luò)安全等保測評機構(gòu)正式納入檢驗機構(gòu)能力認可準則
信安客 2022-06-30
??中國合格評定國家認可委員會近日發(fā)布通知，自2022年7月1日起實施《檢驗機構(gòu)能力認可準則在網(wǎng)絡(luò)安全等級測評領(lǐng)域的應(yīng)用說明》。
該領(lǐng)域2022年7月1日后初次申請認可的檢驗機構(gòu)，須應(yīng)按此文件實施；2022年7月1日前初次申請已獲受理、但尚未實施現(xiàn)場評審的檢驗機構(gòu)，鼓勵在現(xiàn)場評審時按此文件實施；已獲認可的檢驗機構(gòu)，應(yīng)在最近一次現(xiàn)場評審實施并完成轉(zhuǎn)化。
特此通知。
該領(lǐng)域2022年7月1日后初次申請認可的檢驗機構(gòu)，須應(yīng)按此文件實施；2022年7月1日前初次申請已獲受理、但尚未實施現(xiàn)場評審的檢驗機構(gòu)，鼓勵在現(xiàn)場評審時按此文件實施；已獲認可的檢驗機構(gòu)，應(yīng)在最近一次現(xiàn)場評審實施并完成轉(zhuǎn)化。
各相關(guān)機構(gòu)及人員：
網(wǎng)絡(luò)安全等級測評領(lǐng)域是中國合格評定國家認可委員會（CNAS）檢驗機構(gòu)認可的重要技術(shù)領(lǐng)域。為滿足網(wǎng)絡(luò)安全等級測評領(lǐng)域檢驗機構(gòu)認可需求， CNAS秘書處組織編制了CNAS-CI01-A018《檢驗機構(gòu)能力認可準則在網(wǎng)絡(luò)安全等級測評領(lǐng)域的應(yīng)用說明》。經(jīng)過公開征求意見，并經(jīng)相關(guān)批準程序，現(xiàn)予以發(fā)布。
此文件于2022年6月30日發(fā)布，并于2022年7月1日起實施。實施與轉(zhuǎn)化方案如下：鑒于本文件與監(jiān)管部門相關(guān)要求的一致性，該領(lǐng)域2022年7月1日后初次申請認可的檢驗機構(gòu)，須應(yīng)按此文件實施；2022年7月1日前初次申請已獲受理、但尚未實施現(xiàn)場評審的檢驗機構(gòu)，鼓勵在現(xiàn)場評審時按此文件實施；已獲認可的檢驗機構(gòu)，應(yīng)在最近一次現(xiàn)場評審實施并完成轉(zhuǎn)化。
CNAS-CI01-A018《檢驗機構(gòu)能力認可準則在網(wǎng)絡(luò)安全等級測評領(lǐng)域的應(yīng)用說明》可在CNAS網(wǎng)站（https://www.cnas.org.cn）“檢驗機構(gòu)認可／認可規(guī)范／認可應(yīng)用準則”欄目中查找下載。
網(wǎng)絡(luò)安全等級測評領(lǐng)域是中國合格評定國家認可委員會（CNAS）檢驗機構(gòu)認可的重要技術(shù)領(lǐng)域。為滿足網(wǎng)絡(luò)安全等級測評領(lǐng)域檢驗機構(gòu)認可需求， CNAS秘書處組織編制了CNAS-CI01-A018《檢驗機構(gòu)能力認可準則在網(wǎng)絡(luò)安全等級測評領(lǐng)域的應(yīng)用說明》。經(jīng)過公開征求意見，并經(jīng)相關(guān)批準程序，現(xiàn)予以發(fā)布。
此文件于2022年6月30日發(fā)布，并于2022年7月1日起實施。實施與轉(zhuǎn)化方案如下：鑒于本文件與監(jiān)管部門相關(guān)要求的一致性，該領(lǐng)域2022年7月1日后初次申請認可的檢驗機構(gòu)，須應(yīng)按此文件實施；2022年7月1日前初次申請已獲受理、但尚未實施現(xiàn)場評審的檢驗機構(gòu)，鼓勵在現(xiàn)場評審時按此文件實施；已獲認可的檢驗機構(gòu)，應(yīng)在最近一次現(xiàn)場評審實施并完成轉(zhuǎn)化。
CNAS-CI01-A018《檢驗機構(gòu)能力認可準則在網(wǎng)絡(luò)安全等級測評領(lǐng)域的應(yīng)用說明》可在CNAS網(wǎng)站（https://www.cnas.org.cn）“檢驗機構(gòu)認可／認可規(guī)范／認可應(yīng)用準則”欄目中查找下載。
特此通知。
中國合格評定國家認可委員會秘書處
2022年6月23日
2022年6月23日
在文件《檢驗機構(gòu)能力認可準則在網(wǎng)絡(luò)安全等級測評領(lǐng)域的應(yīng)用說明》中明確了對網(wǎng)絡(luò)安全等保測評機構(gòu)人員的要求，具體如下：
6.1.1 網(wǎng)絡(luò)安全等級測評機構(gòu)應(yīng)具有勝任等級測評活動的測評人員和管理人員，大學(xué)本科及以上學(xué)歷所占比例不低于70%。檢驗機構(gòu)應(yīng)設(shè)置滿足等級測評活動需要的崗位，包括測評項目組長、測評項目組員、滲透測試工程師、保密安全員等，崗位職責(zé)明確。
注：測評人員包括測評項目組員、測評項目組長、滲透測試工程師和技術(shù)主管等崗位人員。
6.1.2 網(wǎng)絡(luò)安全等級測評機構(gòu)中測評項目組員、測評項目組長和技術(shù)主管崗位人員應(yīng)分別取得初、中、高級等級測評師證書，數(shù)量不應(yīng)少于15人，滲透測試工程師應(yīng)取得行業(yè)認可的技術(shù)能力證明，滲透測試工程師數(shù)量不應(yīng)少于2人。
信安客注：目前國內(nèi)行業(yè)認可的滲透測試技術(shù)能力證明資質(zhì)推薦CISP-PTE（注冊滲透測試工程師認證），該認證是國家對滲透測試從業(yè)人員職業(yè)能力的權(quán)威認可與資格證明。
6.1.3 網(wǎng)絡(luò)安全等級測評機構(gòu)測評人員應(yīng)理解和掌握相關(guān)技術(shù)標準，熟悉等級測評的方法、流程和工作規(guī)范等方面的知識及能力，應(yīng)取得等級測評師資格并有依據(jù)測評結(jié)果做出專業(yè)判斷以及出具等級測評報告等任務(wù)的能力，授權(quán)簽字人應(yīng)取得高級測評師資格。
6.1.5 網(wǎng)絡(luò)安全等級測評機構(gòu)應(yīng)保留測評人員能力考核、授權(quán)記錄，等級測評師證書應(yīng)作為測評人員授權(quán)上崗的必要條件之一，未取得等級測評師證書的測評人員，不得授權(quán)上崗承擔(dān)等級測評項目。
6.1.7 測評人員上崗前，網(wǎng)絡(luò)安全等級測評機構(gòu)應(yīng)組織崗前培訓(xùn)。同時檢驗機構(gòu)應(yīng)組織測評人員參加多種形式的測評業(yè)務(wù)和技術(shù)培訓(xùn)，根據(jù)每個測評人員的測評活動領(lǐng)域制訂培訓(xùn)計劃，測評人員每年培訓(xùn)時長累計不少于40學(xué)時，或按照監(jiān)管部門的要求進行培訓(xùn)。
6.1.10 網(wǎng)絡(luò)安全等級測評機構(gòu)應(yīng)建立并保存測評人員的人員技術(shù)檔案，包括人員基本信息、工作經(jīng)歷、培訓(xùn)記錄、項目經(jīng)歷、監(jiān)督記錄、專業(yè)資格等。
6.1.13 網(wǎng)絡(luò)安全等級測評機構(gòu)中的測評人員離職前，檢驗機構(gòu)應(yīng)與其簽訂離職保密承諾書。檢驗機構(gòu)應(yīng)加強對測評人員的監(jiān)督管理，每年至少一次組織開展安全保密教育培訓(xùn)。
6.1.1 網(wǎng)絡(luò)安全等級測評機構(gòu)應(yīng)具有勝任等級測評活動的測評人員和管理人員，大學(xué)本科及以上學(xué)歷所占比例不低于70%。檢驗機構(gòu)應(yīng)設(shè)置滿足等級測評活動需要的崗位，包括測評項目組長、測評項目組員、滲透測試工程師、保密安全員等，崗位職責(zé)明確。
注：測評人員包括測評項目組員、測評項目組長、滲透測試工程師和技術(shù)主管等崗位人員。
6.1.2 網(wǎng)絡(luò)安全等級測評機構(gòu)中測評項目組員、測評項目組長和技術(shù)主管崗位人員應(yīng)分別取得初、中、高級等級測評師證書，數(shù)量不應(yīng)少于15人，滲透測試工程師應(yīng)取得行業(yè)認可的技術(shù)能力證明，滲透測試工程師數(shù)量不應(yīng)少于2人。
信安客注：目前國內(nèi)行業(yè)認可的滲透測試技術(shù)能力證明資質(zhì)推薦CISP-PTE（注冊滲透測試工程師認證），該認證是國家對滲透測試從業(yè)人員職業(yè)能力的權(quán)威認可與資格證明。
6.1.3 網(wǎng)絡(luò)安全等級測評機構(gòu)測評人員應(yīng)理解和掌握相關(guān)技術(shù)標準，熟悉等級測評的方法、流程和工作規(guī)范等方面的知識及能力，應(yīng)取得等級測評師資格并有依據(jù)測評結(jié)果做出專業(yè)判斷以及出具等級測評報告等任務(wù)的能力，授權(quán)簽字人應(yīng)取得高級測評師資格。
6.1.5 網(wǎng)絡(luò)安全等級測評機構(gòu)應(yīng)保留測評人員能力考核、授權(quán)記錄，等級測評師證書應(yīng)作為測評人員授權(quán)上崗的必要條件之一，未取得等級測評師證書的測評人員，不得授權(quán)上崗承擔(dān)等級測評項目。
6.1.7 測評人員上崗前，網(wǎng)絡(luò)安全等級測評機構(gòu)應(yīng)組織崗前培訓(xùn)。同時檢驗機構(gòu)應(yīng)組織測評人員參加多種形式的測評業(yè)務(wù)和技術(shù)培訓(xùn)，根據(jù)每個測評人員的測評活動領(lǐng)域制訂培訓(xùn)計劃，測評人員每年培訓(xùn)時長累計不少于40學(xué)時，或按照監(jiān)管部門的要求進行培訓(xùn)。
6.1.10 網(wǎng)絡(luò)安全等級測評機構(gòu)應(yīng)建立并保存測評人員的人員技術(shù)檔案，包括人員基本信息、工作經(jīng)歷、培訓(xùn)記錄、項目經(jīng)歷、監(jiān)督記錄、專業(yè)資格等。
6.1.13 網(wǎng)絡(luò)安全等級測評機構(gòu)中的測評人員離職前，檢驗機構(gòu)應(yīng)與其簽訂離職保密承諾書。檢驗機構(gòu)應(yīng)加強對測評人員的監(jiān)督管理，每年至少一次組織開展安全保密教育培訓(xùn)。
