2023最新《全国网络安全等级测评与检测评估机构目录》及​GB/T 36959-2018 测评机构要求【等保测评】【标准规范】

2023年2月10日中关村信息安全测评联盟发布了最新一期的《全国网络安全等级测评与检测评估机构目录》（本文后附最新等保机构目录），此次新增了认证证书编号从SC202327130010232-SC202327130010236共5家等级保护测评机构：

1. 甘肃电力科学研究院技术中心有限公司（SC202327130010232）

2. 江苏翔信信息安全技术有限公司（SC202327130010233）

3. 广东中科实数科技有限公司（SC202327130010234）

4. 四川中成基业安全技术有限公司（SC202327130010235）

5. 黑龙江智泽测评科技有限公司（SC202327130010236）

i)应具备的其他条件。

二、组织管理能力

1）测评机构管理者应掌握等级保护政策文件，熟悉相关的标准规范。

2）测评机构应按一定方式组织并设立相关部门，明确其职责、权限和相互关系，保证各项工作的有序开展。

3）测评机构应具有胜任等级测评工作的专业技术人员和管理人员，大学本科(含)以上学历所占比例不低于70%。

4）测评机构应设置满足等级测评工作需要的岗位，如测评技术员、测评项目组长、技术主管、质量主管、保密安全员、设备管理员和档案管理员等，岗位职责明确，人员稳定。

5）测评机构应制定完善的规章制度，包括但不限于以下内容：

2）测评机构应配备满足等级测评工作需要的测评设备和工具，如WEB安全检测工具、恶意行为检测工具等，在测试过程中辅助发现安全问题。测评设备和工具应通过权威机构的检测并可提供检测报告。

3）测评机构应具备符合相关要求的机房以及必要的软、硬件设备，用于满足网络安全仿真、技术培训和模拟测试的需要。

4）测评机构应确保测评设备和工具运行状态良好，并通过持续更新、升级等手段保证其提供准确的测评数据。

5）测评设备和工具均应有正确的标识。

1）测评机构应建立、实施和维护符合等级测评工作需要的文件化的管理体系，并确保测评机构各级人员能够理解和执行。

2）测评机构应当制定相应的质量目标，不断提升自身的测评质量和管理水平。

3）测评机构应指定一名质量主管，明确其质量保证的职责。质量主管不应受可能有损工作质量的影响或利益冲突，并有权直接与测评机构最高管理层沟通。

1）测评机构由于自身能力或资源不足造成的风险；

2）测试验证活动可能对被测系统正常运行造成影响的风险；

3）测试设备和工具接入可能对被测系统正常运行造成影响的风险；

4）测评过程中可能发生的被测系统重要信息(如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档等)泄漏的风险等。

1）测评机构应根据自身情况制定战略规划，通过不断的投入保证测评机构的持续建设和发展。

2）测评机构应定期对管理体系进行评审并持续改进，不断提高管理要求。设定中、远期目标，通过目标的实现，逐步提升质量管理能力。

3）测评机构应根据培训制度做好培训工作，并保存培训和考核记录。

4）测评机构应投入专门的力量从事测评实践总结和测评技术研究工作，测评机构间应进行经验交流和技术研讨，保持与测评技术发展的同步性。

网络安全等级保护测评师能力要求

一、初级等级测评师应具备以下条件或能力：

a)了解网络安全等级保护的相关政策、标准；

b)熟悉信息安全基础知识；

c)熟悉信息安全产品分类，了解其功能、特点和操作方法；

d)掌握等级测评方法，能够根据测评指导书客观、准确、完整地获取各项测评证据；

e)掌握测评工具的操作方法，能够合理设计测试用例获取所需测试数据；

f)能够按照报告编制要求整理测评数据。

二、中级等级测评师应具备以下条件或能力：

a)熟悉网络安全等级保护相关政策、法规；

b)正确理解网络安全等级保护标准体系和主要标准内容，能够跟踪国内、国际信息安全相关标准的发展；

c)掌握信息安全基础知识，熟悉信息安全测评方法，具有信息安全技术研究的基础和实践经验；

d)具有较丰富的项目管理经验，熟悉测评项目的工作流程和质量管理的方法，具有较强的组织协调和沟通能力；

e)能够独立开发测评指导书，熟悉测评指导书的开发、版本控制和评审流程；

f)能够根据等级保护对象的特点，编制测评方案，确定测评对象、测评指标和测评方法；

g)具有综合分析和判断的能力，能够依据测评报告模板要求编制测评报告，能够整体把握测评报告结论的客观性和准确性。具备较强的文字表达能力；

h)了解等级保护各个工作环节的相关要求。能够针对测评中发现的问题，提出合理化的整改建议。

三、高级等级测评师应具备以下条件或能力：

a)熟悉和跟踪国内、外信息安全的相关政策、法规及标准的发展；

b)对网络安全等级保护标准体系及主要标准有较为深入的理解；

c)具有信息安全理论研究的基础、实践经验和研究创新能力；

d)具有丰富的质量体系管理和项目管理经验，具有较强的组织协调和管理能力；

e)熟悉等级保护工作的全过程，熟悉定级、等级测评、建设整改各个工作环节的要求。

全国网络安全等级测评与检测评估机构目录

来源：信创纵横