CSA（Cloud Security Alliance）在2012“安全云”大会（SecureCloud 2012conference）上正式发布了其开放认证框架（Open CertificationFramework，OCF），以帮助云服务提供商提升其云安全
实践的透明度，提高云服务的市场可信度，增强云服务于用户的安全信心，以便企业和个人用户接受和使用所提供的云服务。 OCF包括安全、信任和保证注册（Security、Trust and AssuranceRegistry ，STAR）三个方面的内容，可分为三个层次，每一个层次将为云服务供应商提供增量级别的信任与透明度，也为云用户提供更高级别的安全保障。

（1）第一级是自我评估。 云服务提供商可以在CSA官网注册并提交自评估报告，证明自身实施的安全控制符合CSA的要求。

（2）第二级为独立第三方认证。 由第三方机构进行认证，确保供应商能够满足CSA云安全控制矩阵（Cloud Controls Matrix，CCM） [30]要求，其中CCM可视为在传统ISO27001安全控制要求的基础上的补充和增强。

（3）第三级为持续监控。 云服务提供商公布基于CSA云计算信任协议（The Cloud Trust Protocol，CTP）的安全监控结果，对云服务相关安全要求进行持续的审计和评估。

为协助云服务提供者展现其云服务安全水平及安全管理成熟度，于2014年与CSA正式开始合作，针对OCF第2等级开展第三方评估认证，即C-STAR云安全评估。 云安全评估认证采用云计算信息安全的行业黄金标准—-CSA最新发布的云控制矩阵(CCM)，结合国内相关法律法规（如等级保护和个人信息保护指南等）等和GB/T22080标准要求，有效评估云服务的安全状况，并用云计算信息安全管理的最佳实践指导企业提升云服务信息安全水平，从而将云服务的信息安全隐忧大幅降低。

安信达咨询拥有众多IT行业头部企业成功辅导案例，代表客户如：平安智慧城市、鹏博士大数据、中科曙光、中国移动、中国东信、中国联通等可助您顺利通过C-STAR认证。 欢迎与我们资深业务经理沟通：134-1861-1761 孙经理。

年度培训计划下载

安信达咨询介绍

安信达咨询公司资质

安信达认证咨询业务

安信达咨询资质申请技术服务

安信达咨询培训课程体系

安信达咨询服务行业

安信达咨询联系方式

The post C-STAR认证 first appeared on 苏州安信达咨询.

“信息系统建设和服务”是指通过结构化的综合布线系统，运用计算机网络技术和软件技术，将各个分离的设备、功能和信息等集成到相互关联的、统一和协调的系统之中，以及为信息系统正常运行提供支持的服务，包括信息技术咨询、软件开发、数据处理，及信息系统的设计、开发、集成实施、运行维护和运营服务等。

二、信息系统建设和服务能力评估体系（CS体系）概述

云计算、大数据、物联网、移动互联网等新一代信息技术迅猛发展，给我国信息化发展带来了巨大的提升空间，信息化服务模
式正经历着重大变化，信息化重大工程也从以前的单一工程正向大系统、超级系统工程发展。信息系统建设和服务是信息化建设中不可或缺的重要环节，随着新技术的发展，信息系统建设和服务正向更高层次发展，对推进两统融合发展，推动软件和信息技术服务产业由大变强，培青国家重点骨干企业，提升全行业支撑性作用具有至关重要的作。

为科学有效地评价信息系统建设和服务提供者的能力水平，指导信息系统建设和服务提供者建设服务能力、提升服务质量，信息系统建设和服务能力评估体系标准应运而生。本标准（团标T/CITIF 001-2019）是信息系统建设和服务能力评估体系系列标准的第一个，提出了对信息系统建设和服务提供者的综合能力要求。

三、CS能力体系级别划分

标准分为共包括4个能力域，17个能力子域，47个能力项，主要内容分为四大类：战略管理、业务运营、基础保障、改进创新。信息系统建设和服务能力划分为五个等级，等级从低到高分别用CS1级（初始级）、CS2级（基本级）、CS3级（良好级）、CS4级（优秀级）、CS5级（杰出级）。

CS1~5级

CS1级(初始级)

组织具备提供信息系统建设和服务活动及保障信息系统建设和服务活动开展的基础能力。

CS2级(基本级)

组织实施了必要的信息系统建设和服务能力管理，日常的信息系统建设和服务能力活动有序开展。

CS3级(良好级)

组织的战略、经营、人才、技术和管理等综合能力达到了良好的水平，主要业务领域具有较强的技术水平，保障信息系统建设，服务活动顺利开展。

CS4级(优秀级)

组织的战略、经营、人才、技术、管理和创新等综合能力达到了优秀的水平，熟悉主要业务额域的业务流程，主要业务领域中典型信息系统建设和服务项目具有较高技术水平。

CS5级(杰出级)

组织的战略、经营、人才、技术、数据、管理和创新等综合能力达到了行业内先进的水平，对主要业务领域的业务流程有深入研究，主要业务领域中典型信息系统建设和服务项目技术居国内同行业领先水平。

四、CS认证申请条件

1、具有独立企业法人地位，从事信息系统建设和服务业务1年以上；

2、社会信誉良好，有良好的资信和公众形象，有良好的知识产权保护意识，近三年无触犯国家法律法规的行为，无经营异常或严重违法失信行为，无不正当竞争行为；

3、能够提供充分满足战略管理、业务运营、基础保障、改进创新等能力要求的真实性、适宜性和有效性证据；

五、CS认证申请流程

1、申请企业自主选择评估机构，提交评估申请；

2、评估机构确定受理评估后，与申请企业签订评估合同；

3、申请企业向评估机构提交评估资料，评估机构进行文件评审；

4、文件评审通过后，评估机构实施现场评估；

5、现场评估结束后，评估机构做出机构推荐的评估结论，出具评估报告；

6、评估机构推荐为CS1级(初始级)、CS2级(基本级)评估结论的申请企业，报评估工作部备案审查通过后，得出最终评估结果；初次申请级别不得高于CS2级（基本级）。证书有效期内，达到一定的年限和能力要求，可以逐步进行升级，不可跨级别申请；

7、评估机构推荐为CS3 (良好级)评估结论的申请企业，由专家委员会定期召开专家评议会，对申请企业满足能力要求的真实性、适宜性和有效性进行复核并评议，得出最终评估结果；

8、评估机构推荐为CS4级(优秀级)、CS5级杰出级)评估结论的申请企业，由专家委员会定期召开专家评议会，申请企业现场答辩(再评估时不需要现场答辩)，对申请企业满足能力要求的真实性、适宜性和有效性进行复核并评议，得出最终评估结果。

六、CS评估机构的选择

评估机构分为：甲级和乙级评估机构。甲级评估机构可开展所有级别的能力评估活动，乙级评估机构只可开展CS1级和CS2级的能力评估活动。

七、CS资质证书有效期

证书有效期为四年。

八、CS资质年审监督

1、CSI级(初始级)、CS2级(基本级)获证企业，自证书发放目起，在每年规定的期限内通过评估工作管理平台提交年度自查报告，由颁证机构对年度自查情况进行真实性和有效性文件复核。评估机构如发现年度自查报告存在异议，可对获证组织采取现场复核。

2、CS3级(良好级)、CS4级(优秀级)、CS5级(杰出级)获证企业， 自证书发放日起12-18个月内，至少进行一次监督评估，证书有效期内至少开展2次监督评估，监督评估人日数不应少于对应级别初次评估总人日数的一半，两次监督评估内容应完整覆盖该能力级别所要求的能力项过程要求和度量项要求。

3、监督评估过程中，对未能达到相应级别能力要求的获证企业进行降级处理。

九、CS资质再次申请

获证企业应在证书有效期满前3个月内提出再评估申请，再评估程序与初次评估程序一致。再评估过程中，对未能达到相应级别能力要求的获证企业进行降级处理。

十、CS信息系统建设和服务能力评估体系申请的意义

1、有利于提高信息系统建设和服务企业的能力与水平，加强自身建设，不断提高企业的经营、技术和管理能力，参与市场竞争。

2、有利于系统建设和服务企业展示自身实力，便于信息系统项目主建单位对项目承建单位的选择，降低前期沟通成本。

3、促进信息系统建设和服务行业高质量发展，规范信息系统建设和服务能力评估工作。

安信达咨询可为您提供专业周到的信息系统建设和服务资质申请代办工作，欢迎广大有需要的企业与我们联系。电话13418611761 孙经理

关于发布《信息系统建设和服务 能力评估体系 能力要求》团体标准及相关管理办法的公告

The post CS信息系统建设和服务资质 first appeared on 苏州安信达咨询.

按照分类分级的工作思路，目前我中心已经开展了信息安全应急处理和风险评估两类服务资质工作。
对服务资质认证工作具体介绍如下：

一、基本概念
信息安全服务资质是信息安全服务机构提供安全服务的一种资格，包括法律地位、资源状况、管理水平、 技术能力等方面的要求。信息安全服务资质认证是依据国家法律法规、国家标准、行业标准和技术规范，按照认证基本规范及认证规则，对提供信息安全服务机构的信息安全服务资质进行评价。
应急处理服务是对影响计算机系统和网络安全的不当行为(事件)进行标识、记录、分类和处理，直到受影响的业务恢复正常运行的过程。（用1799概述里面一段一句的内容）
风险评估服务是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，以求防范和化解信息安全风险，或将风险控制在可接受的水平。
通过对信息安全服务分类分级的资质认证，可以对信息安全服务提供商的基本资格、管理能力、技术能力和服务过程能力等方面进行权威、客观、公正的评价，证明其服务能力，满足社会对服务的选择需求。同时，认证过程也将有效促进服务提供方完善自身管理体系，提高服务质量和水平，引导行业健康规范发展。

二、关于认证申请：
认证的基本环节：
认证申请与受理；
文档审核；
现场审核；
认证决定；
年度监督审核。

初次申请服务资质认证时，申请单位应填写认证申请书，并提交资格、能力方面的证明材料。申请材料通常包括：
服务资质认证申请书；
独立法人资格证明材料；
从事信息安全服务的相关资质证明；
工作保密制度及相应组织监管体系的证明材料；
与信息安全风险评估服务人员签订的保密协议复印件；
人员构成与素质证明材料；
公司组织结构证明材料；
具备固定办公场所的证明材料；
项目管理制度文档；
信息安全服务质量管理文件；
项目案例及业绩证明材料；
信息安全服务能力证明材料等。

三、关于认证依据：
对特定类别的信息安全服务，有具体的评价标准。例如，信息安全应急处理服务资质认证的依据是《网络与信息安全应急处理服务资质评估方法》（YD/T 1799-2008），信息安全风险评估服务资质认证的依据是《信息安全技术 信息安全风险评估规范》（GB/T 20984-2007）与《信息安全风险评估服务资质认证实施规则》(ISCCC-SV-002)。

四、关于认证流程：
参见《信息安全服务资质认证实施规则》(ISCCC-SV-001)及认证流程图。认证周期一般是10周，包括自申请被正式受理之日起至颁发认证证书时止所实际发生的时间，不包括由于申请单位准备或补充材料的时间。

五、信息安全服务资质认证包含八大模块
安全集成服务资质认证
安全运维服务资质认证
风险评估服务资质认证
应急处理服务资质认证
软件安全开发服务资质认证
灾难备份与恢复服务资质认证
工业控制安全服务资质认证
网络安全审计服务资质认证

六、CCRC信息安全服务资质证书样本

信息安全服务资质评审发证机构介绍
CCRC 中国网络安全审查技术与认证中心（原中国信息安全认证中心-ISCCC）是依据国家《网络安全法》和国家有关强制性产品认证、网络安全管理法规，负责实施网络安全审查和认证的专门
机构。
中国网络安全审查技术与认证中心为国家市场监督管理总局直属事业单位，系第三方公正机构和法人实体。其职能为：承担网络安全审查技术与方法研究；开展网络安全认证评价及相关标准技术和方法研究；承担网络安全审查人员和网络安全认证人员技术培训工作；在批准的工作范围内按照认证基本规范和认证规则开展认证工作；受理认证委托、实施评价、做出认证决定，颁发认证证书；负责认证后的跟踪检查和相应认证标志使用的监督；受理有关的认证投诉、申诉工作；依法暂停、注销和撤销认证证书；对认证及认证有关的检测、检查、评价人员进行认证标准、程序及相关要求的培训；对提供信息安全服务的机构、人员进行资质注册和培训；根据国家法律、法规及授权参加相关国际组织开展信息安全领域的国际合作；依据法律、法规及授权从事相关认证工作。在业务上接受中共中央网络安全和信息化委员会办公室指导。

安信达咨询可为您提供专业周到的CCRC信息安全服务资质认证申请服务，我们承诺不通过不收费。欢迎广大有需要的企业与我们联系。电话：0755-82800197、 13418611761（微信）孙经理。

The post CCRC信息安全服务资质认证 first appeared on 苏州安信达咨询.