信息安全服务资质现场监督审核流程-中国信息安全认证中心.PDF

ISCCC-QOT-0404-B/0信息安全服务资质现场监督审核流程图 信息安全服务资质现场监督审核流程 流程说明： 1、 准备阶段 项目管理人员在持证组织证书到期前3个月，将《监督审核通知单》发送给持证组织， 通知本年度现场监督审核工作启动； 中国信息安全认证中心 第1页，共3 页 ISCCC-QOT-0404-B/0信息安全服务资质现场监督审核流程图 持证组织登录中国信息安全认证中心网站，下载《信息安全服务资质认证自评估表-公 共管理》、对应的技术自评估表，实施自评估后（具体自评估表的填写方法可参考中心网站 上的《信息安全服务资质认证自评估表填写指南》），将上述文档、自评估证明材料、《监 督审核通知单》回执提交中心。 2、 非现场审核及商务阶段（此阶段工作应在三周内完成，如需要持证组织补 充材料，应在五周内完成） 项目管理人员指派审查员对持证组织提交的材料进行非现场审核； 审查员依据《信息安全服务规范》及相关技术标准，对持证组织所提供的材料是否满足 要求进行判定，并填写《审核记录表》。如满足要求，审查员通知项目管理人员向持证组织 出具《受理通知单》（如持证组织有需求，也可签订《服务资质认证合同》），收取认证费 用。如不满足要求，审查员开具《材料问题清单》，通知持证组织补充材料重新提交，并对 补充材料进行审核。 3、 现场审核阶段（此阶段工作应在四周内完成，如开具不符合项，应在八周 内完成） 项目管理人员指派审核组长（一般情况下指派对该组织材料进行非现场审核的审查员为 组长），协调审查员组建审核组； 审核组长编制 《审核计划》，准备现场审核的相关表格等材料，通过项目管理人员将 《审 核计划》发送给持证组织； 审核组前往对持证组织开展现场审核工作，判断该组织目前对外提供的信息安全服务管 理及技术能力是否符合《信息安全服务规范》的要求，并依据现场审核中的实际情况对非现 场审核时已填写的《审核记录表》进行补充、完善和验证。如满足要求，审核组长编制《审 核报告》，并汇总《审核记录表》、《首末次会议记录》、《公正性、保密性承诺》等审核 材料提交中心进行认证决定（如开具不符合项，审核组长则通知持证组织在一个月内提交整 改材料）；如不满足要求 （例如在现场审核时发现持证组织存在材料造假等严重不符合时）， 审核组长现场通知持证组织不推荐其继续持有证书，同时编制《审核报告》，在报告中注 明不满足资质要求的具体情况，并提交中心进行认证决定。 4、 认证决定阶段（此阶段工作应在两周内完成） 中心认证决定人员对审核组长提交的审核材料进行认证决定； 如认证决定通过，则通知项目管理人员进行制证；如认证决定不通过，则通知持证组织 不通过的原因，撤销并寄回证书。 中国信息安全认证中心 第2页，共3 页 ISCCC-QOT-0404-B/0信息安全服务资质现场监督审核流程图 5、 制证阶段（此阶段工作应在三周内完成） 认证决定通过，项目管理人员制作新的证书，并邮寄给持证组织。 中国信息安全认证中心 第3页，共3 页