ISCCC信息系统安全集成服务资质认证现场审核表要点.docVIP

信息系统安全集成服务资质认证现场审核表 组织名称 深圳市脉山龙技术股份有限公司 审核时间 2015.9.8-9.9 受审核部门/人员 集成服务部青、丁杰，管理中心婷 序号 要点 条款 需提供证明材料 审核结果 审核记录 符合 不符合 需观察 集成准备-需求调研与分析 B1.1.1 a) 调研客户背景信息，采集系统建设需求和建设目标，明确功能、性能及安全性要求。 抽查项目案例，验证准备阶段控制程序文件的落实情况，包括明确工作内容、流程、方法、文档模板，内容至少包括需求调研、分析、审核，产品选型，财务预算。提供投标文件、项目文档等证明。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目设计方案里了用户背景信息目标、性能安全性要求 B1.1.1 b) 基于系统建设需求，提出产品选型方案和建设预算。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目设计方案投标书里系统建设提出了、安全网服务器选型等，并有报价。 B1.1.1 c) 结合系统建设和安全需求，与客户、设计、开发等充分沟通，达成共识并形成记录。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目通过邮件形式与客户进行设计等方面的沟通 B2.1.1 a) 仅二级/一级要求：准确识别和综合分析系统在保密性、完整性、可用性、可靠性等方面的安全需求，提出系统安全保障策略和建议。 查验项目案例中系统安全需求分析报告，验证内容是否覆盖审核条款要求。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目设计方案里扩充性管理性、安全性高性能方面的。 B2.1.1 b) 仅二级/一级要求：基于客户需求和投入能力，开展需求分析，编制需求分析报告。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目方案中了需求分析内容。 B3.1.1 仅一级要求：协助客户有效识别系统建设过程中的政策、法律和约束条件,有效规避商业风险和泄密事件。 结合项目案例，查验安全集成项目风险控制要求。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目方案，中通过培训协助客户建设过程中信息安全相关知识培训，有效规避商业风险和泄密事件的内容不完善。 集成准备-签订服务协议 B1.1.2 a) 与客户、供应商签订服务协议，明确范围、目标、时间、内容、金额、质量和输出等。 验证项目合同管理办法，抽查项目合同及保密协议。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目合同，明确了范围、时间、内容、金额、质量输出。 B3.1.2 仅一级要求：建立安全集成服务级别管理程序，签订服务级别协议。 结合案例抽查，验证服务级别管理程序、服务级别协议。 √ 查阅了城基金及远程监视服务项目》，了服务级别协议。 方案设计 B1.2 a/b) 根据系统建设安全需求，编制安全集成技术方案。依据技术方案，编制安全集成实施方案，明确人员、进度、质量、沟通、风险等方面要求。 抽查实际案例，验证项目方案设计阶段控制程序文件的落实情况，包括明确工作内容、流程、文档模板，内容应覆盖审核条款的要求。项目技术方案、实施方案。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目设计方案和实施方案人员、进度、质量、沟通风险的要求。 B2.2 a) 仅二级/一级要求：结合需求分析和客户在保障系统安全方面的投入能力，提出系统建设安全设计说明书，明确系统架构、产品选型、产品功能、性能及配置等参数。 验证项目方案设计阶段控制程序文件，内容应覆盖审核条款要求。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目投标书里了系统架构、产品选型、产品功能、性能及配置参数 B2.2 b) 仅二级/一级要求：组织客户及相关技术专家对技术方案和实施方案进行论证，确认是否满足系统功能、性能和安全性要求。 验证项目管理审核程序，包括明确工作内容、过程、方法、文档模板，内容应覆盖审核条款要求。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目项目方案探讨会会议纪要，客户和客户方的技术专家确认项目的方案、性能安全方面的。 B2.2 c) 仅二级/一级要求：对项目组及第三方配合人员进行业务和技能培训。 验证项目方案设计阶段控制程序文件，内容应覆盖审核条款要求。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目工程项目培训记录，对项目组成员进行了业务和技能培训。 B2.2 d) 仅二级/一级要求：依据技术方案具体指标要求，制定系统测试计划。 √ 查阅了产权交易所有公司数据中心硬件设备采购项目技术方案制定了测试计划。 B3.2 a) 仅一级要求：结合项目需要，编制安全集成项目施工手册和作业指导书。 验证项目方案设计阶段控制程序文件，内容应覆盖审核条款的要求。 √ 查阅