CCRC的概念

信息安全服務資質是信息安全服務機構提供安全服務的一種資格，包括法律地位、資源狀況、管理水平、 技術能力等方面的要求。信息安全服務資質認證是依據國家法律法規(guī)、國家標準、行業(yè)標準和技術規(guī)范，按照認證基本規(guī)范及認證規(guī)則，對提供信息安全服務機構的信息安全服務資質進行評價。

信息安全服務資質級別分為一級、二級、三級共三個級別，其中一級最高，三級最低。共分8個不同的方向，分別是：安全集成、安全運維、應急處理、風險評估、災難備份與恢復、安全軟件開發(fā)、網絡安全審計、工業(yè)控制系統(tǒng)安全。申請方可根據自身業(yè)務需求來申請對應方向的。

通過對信息安全服務分類分級的資質認證，可以對信息安全服務提供商的基本資格、管理能力、技術能力和服務過程能力等方面進行權威、客觀、公正的評價，證明其服務能力，滿足社會對服務的選擇需求。同時，認證過程也將有效促進服務提供方完善自身管理體系，提高服務質量和水平，引導行業(yè)健康規(guī)范發(fā)展。

CCRC通用評價要求

通用評價要求適用于風險評估、安全集成、應急處理、災難備份與恢復、軟件安全開發(fā)、安全運維等類別的信息安全服務認證評價，均分為三個級別，其中一級最高。申請一級資質時，要求需要取得信息安全服務（與申報類別一致）二級資質1 年以上。（行業(yè)領頭企業(yè)除外）。

CCRC認證周期和流程

一級/二級認證周期一般是12周，三級認證周期4周。

認證周期包括自申請被正式受理之日起至頒發(fā)認證證書時止實際發(fā)生的時間，不包括申請單位準備或補充材料的時間。

申請CCRC流程

第一步：準備材料

配合咨詢機構準備材料

第二步：評審前材料準備

咨詢機構檢查資料完備性，企業(yè)配合補充提供材料。

第三步：現場審核前培訓

咨詢老師到現場/遠程對即將開展的現場審核工作進行指導。

第四步：現場審核評估

認證機構審核，項目對接人員負責老師審核中的問題解答以及首末次會議的執(zhí)行。

第五步：關閉不符合項

企業(yè)配合簽字蓋章

第六步：認證機構認證

配合認證機構的需求，隨時提供證明材料

第七步：提交注冊

證書管理

證書狀態(tài)：有效、暫停、撤銷

造成證書暫停的情況（最長3個月）：

（1）獲證組織的服務管理持續(xù)地或嚴重地不滿足認證要求，；

（2）逾期未按規(guī)定接受監(jiān)督審核；

（3）違規(guī)使用認證證書，且未造成不良影響；

（4）監(jiān)督審核有嚴重不符合項；

（5）獲證組織主動請求暫停；

（6）其他需要暫停證書的情況。

造成撤銷的情況：

（1）逾期3個月未按規(guī)定接受監(jiān)督審核的；

（2）證書暫停期間，未在規(guī)定時間內完成整改并通過驗證；

（3）違規(guī)使用認證證書，造成不良影響；

（4）獲證組織出現嚴重責任事故、被投訴且經核實，影響其繼續(xù)有效提供服務；

（5）獲證組織因自身原因不再維持證書，可提出撤銷認證證書的申請；

（6）其他需要撤銷證書的情況。

年審監(jiān)督

（1）僅單位名稱變更、注冊地址變更，可提出證書變更申請（隨時申請）；

（2）非現場監(jiān)督審核，提供監(jiān)督審核通知單回執(zhí)、相應專業(yè)方向自評估表、公共管理部分上一年度開具的不符合及觀察項整改情況；

（3）現場監(jiān)督，全要素進行審核，重點關注上年度開具的不符合及觀察項。

獲證后的監(jiān)督審核周期

（1）每年均需監(jiān)督審核，提前2個月提交監(jiān)督審核通知單回執(zhí)及自評價表（系統(tǒng)提前3個月郵件通知）；

（2）原則上證后第1年監(jiān)督審核為現場審核；

（3）在認證風險可控的情況下，原則上證后第2年為非現場審核，第3年為現場審核，以此類推；

（4）若存在影響認證有效性的情況，增加現場審核的頻度與部分項的審核力度。

現場監(jiān)督審核項目數量

三級/二級/一級申請方提供近一年內簽訂并完成至少1個/2個/2個信息安全服務（與申報類別一致）項目的全套資料。