CMMI全稱是Capability Maturity Model Integration，即能力成熟度模型集成
? ? ? ? ?是美國國防部的一個設(shè)想，1994年由美國國防部（United States Department of Defense）與卡內(nèi)基-梅隆大學(xué)（Carnegie-Mellon University）下的軟件工程研究中心（Software Engineering Institute，SEI）以及美國國防工業(yè)協(xié)會（National Defense Industrial Association）共同開發(fā)和研制的，他們計劃把現(xiàn)在所有現(xiàn)存實施的與即將被發(fā)展出來的各種能力成熟度模型，集成到一個框架中去，申請此認(rèn)證的前提條件是該企業(yè)具有有效的軟件企業(yè)認(rèn)定證書。
? ? ? ? ? 其目的是幫助軟件企業(yè)對軟件工程過程進行管理和改進，增強開發(fā)與改進能力，從而能按時地、不超預(yù)算地開發(fā)出高質(zhì)量的軟件。其所依據(jù)的想法是：只要集中精力持續(xù)努力去建立有效的軟件工程過程的基礎(chǔ)結(jié)構(gòu)，不斷進行管理的實踐和過程的改進，就可以克服軟件開發(fā)中的困難。CMMI為改進一個組織的各種過程提供了一個單一的集成化框架，新的集成模型框架消除了各個模型的不一致性，減少了模型間的重復(fù)，增加透明度和理解，建立了一個自動的、可擴展的框架。因而能夠從總體上改進組織的質(zhì)量和效率。CMMI主要關(guān)注點就是成本效益、明確重點、過程集中和靈活性四個方面。
?

1、CMMI的價值
? ? ? ? ? CMMI為企業(yè)帶來價值主要體現(xiàn)在以下幾個方面：
? ? ? ? ? 　　
? ? ? ? ? 第一、能保證軟件開發(fā)的質(zhì)量與進度，能對“雜亂無章、無序管理”的項目開發(fā)過程進行規(guī)范。
? ? ? ? ? 　　
? ? ? ? ? 第二、有利于成本控制。因為質(zhì)量有所保證，浪費在修改、解決客戶的抱怨方面的成本會降低很多。絕大多數(shù)情況是缺少規(guī)范制度，只是求快。項目完成后，要花很多時間修修補補，費用很容易失控。
? ? ? ? ? 　　
? ? ? ? ? 第三、有助于提高軟件開發(fā)者的職業(yè)素養(yǎng)。每一個具體參與其中的員工，無論是項目經(jīng)理，還是工程師，甚至一些高層管理人的做事方法逐漸變得標(biāo)準(zhǔn)化、規(guī)范化。
? ? ? ? ? 　　
? ? ? ? ? 第四、能夠解決人員流動所帶來的問題。公司通過過程改進，建立了財富庫以共享經(jīng)驗， 而不是單純依靠某些人員。
? ? ? ? ? 　　
? ? ? ? ? 第五、有利于提升公司和員工績效管理水平，以持續(xù)改進效益。通過度量和分析開發(fā)過程和產(chǎn)品，建立公司的效率指標(biāo)。
? ? ? ??

2、實施流程
? ? ? ? ? 階段1：CMMI項目啟動會
? ? ? ? ? 明確企業(yè)實施CMMI的商業(yè)目標(biāo)，建立CMMI項目實施的溝通機制。
? ? ? ? ? 階段2：CMMI基礎(chǔ)培訓(xùn)和過程改進小組（EPG）組建
? ? ? ? ? 進行CMMI基礎(chǔ)概念講解，指導(dǎo)企業(yè)建立核心的過程改進小組。
? ? ? ? ? 階段3：診斷
? ? ? ? ? 充分了解企業(yè)研發(fā)過程現(xiàn)狀，識別企業(yè)現(xiàn)有軟件過程與企業(yè)現(xiàn)階段理應(yīng)達(dá)到的CMMI成熟度級別的差距，提交診斷報告，進行過程改進的策劃。
? ? ? ? ? 階段4：過程域培訓(xùn)和文件定義
? ? ? ? ? 結(jié)合企業(yè)過程現(xiàn)狀進行CMMI過程域培訓(xùn)，通過舉例、案例分析等方式，讓企業(yè)的EPG掌握過程文件定義技巧，結(jié)合企業(yè)實際情況有針對性的定義組織的研發(fā)過程，并確定過程產(chǎn)出物（如：需求報告）
? ? ? ? ? 階段5：項目試點
? ? ? ? ? 選擇代表公司核心業(yè)務(wù)的項目或者典型項目進行試點，通過試點來完善過程文件，從而為企業(yè)全面推廣過程文件打下基礎(chǔ)。
? ? ? ? ? 階段6：組織推廣
? ? ? ? ? 全員參與全面導(dǎo)入與執(zhí)行CMMI。
? ? ? ? ? 階段7：預(yù)評估
? ? ? ? ? 驗證組織推廣的結(jié)果，識別企業(yè)尚存缺陷并制定再次改善方案，準(zhǔn)備充分，以便企業(yè)能夠更好進行正式SCAMPI評估。
? ? ? ? ? 階段8：SCAMPI A 正式評估
? ? ? ? ? 由美國CMMI研究所授權(quán)的主任評估師領(lǐng)導(dǎo)，采用SCAMPI ( Standard CMMI Appraisal Method for Process Improvement)評估方法，對企業(yè)的能力成熟度進行正式的評估，頒發(fā)證書，通過美國CMMI研究所網(wǎng)站向全球發(fā)布企業(yè)信息。
? ? ? ?

ITSS（Information Technology Service Standards，信息技術(shù)服務(wù)標(biāo)準(zhǔn)ITSS）是一套成體系和綜合配套的信息技術(shù)服務(wù)標(biāo)準(zhǔn)庫，全面規(guī)范了IT服務(wù)產(chǎn)品及其組成要素，用于指導(dǎo)實施標(biāo)準(zhǔn)化和可信賴的服務(wù)。

ITSS的來源

ITSS是由國家信息技術(shù)服務(wù)標(biāo)準(zhǔn)工作組（以下簡稱：ITSS工作組）組織研究制定的，是我國IT服務(wù)行業(yè)最佳實踐的總結(jié)和提升，也是我國從事IT服務(wù)研發(fā)、供應(yīng)、推廣和應(yīng)用等各類組織自主創(chuàng)新成果的固化。

ITSS的原理

ITSS充分借鑒了質(zhì)量管理原理和過程改進方法的精髓，規(guī)定了IT服務(wù)的組成要素和生命周期，并對其進行標(biāo)準(zhǔn)化，如圖1.1所示：

圖1.1?ITSS原理

組成要素：IT服務(wù)由人員（People）、流程（Process）、技術(shù)（Technology）和資源（Resource）組成，簡稱PPTR。其中：

人員：指提供IT服務(wù)所需的人員及其知識、經(jīng)驗和技能要求；

過程：指提供IT服務(wù)時，合理利用必要的資源，將輸入轉(zhuǎn)化為輸出的一組相互關(guān)聯(lián)和結(jié)構(gòu)化的活動；

技術(shù)：指交付滿足質(zhì)量要求的IT服務(wù)應(yīng)使用的技術(shù)或應(yīng)具備的技術(shù)能力；

資源：指提供IT服務(wù)所依存和產(chǎn)生的有形及無形資產(chǎn)。

生命周期：IT服務(wù)生命周期由規(guī)劃設(shè)計（Planning & Design）、部署實施（Implementing）、服務(wù)運營（Operation）、持續(xù)改進（Improvement）和監(jiān)督管理（Supervision）5個階段組成，簡稱PIOIS。其中：

規(guī)劃設(shè)計：從客戶業(yè)務(wù)戰(zhàn)略出發(fā)，以需求為中心，參照ITSS對IT服務(wù)進行全面系統(tǒng)的戰(zhàn)略規(guī)劃和設(shè)計，為IT服務(wù)的部署實施做好準(zhǔn)備，以確保提供滿足客戶需求的IT服務(wù)；

部署實施：在規(guī)劃設(shè)計基礎(chǔ)上，依據(jù)TSS建立管理體系、部署專用工具及服務(wù)解決方案；

服務(wù)運營：根據(jù)服務(wù)部署情況，依據(jù)ITSS，采用過程方法，全面管理基礎(chǔ)設(shè)施、服務(wù)流程、人員和業(yè)務(wù)連續(xù)性，實現(xiàn)業(yè)務(wù)運營與IT服務(wù)運營融合；

持續(xù)改進：根據(jù)服務(wù)運營的實際情況，定期評審IT服務(wù)滿足業(yè)務(wù)運營的情況，以及IT服務(wù)本身存在的缺陷，提出改進策略和方案，并對IT服務(wù)進行重新規(guī)劃設(shè)計和部署實施，以提高IT服務(wù)質(zhì)量。

監(jiān)督管理：本階段主要依據(jù)ITSS對IT服務(wù)服務(wù)質(zhì)量進行評價，并對服務(wù)供方的服務(wù)過程、交付結(jié)果實施監(jiān)督和績效評估。

ITSS的內(nèi)容

ITSS的內(nèi)容即為依據(jù)上述原理制定的一系列標(biāo)準(zhǔn)，是一套完整的IT服務(wù)標(biāo)準(zhǔn)體系，包含了IT服務(wù)的規(guī)劃設(shè)計、部署實施、服務(wù)運營、持續(xù)改進和監(jiān)督管理等全生命周期階段應(yīng)遵循的標(biāo)準(zhǔn)，涉及咨詢設(shè)計、集成實施、運行維護、服務(wù)管控、服務(wù)運營和服務(wù)外包等業(yè)務(wù)領(lǐng)域。

ITSS供需方

ITSS既是一套成體系和綜合配套的標(biāo)準(zhǔn)庫，又是一套選擇和提供IT服務(wù)的方法學(xué)。我國境內(nèi)需要IT服務(wù)、提供服務(wù)或從事服務(wù)相關(guān)的理論研究和技術(shù)研發(fā)的單位或個人都需要，包括：

行業(yè)主管部門：用于培育內(nèi)需市場，鼓勵服務(wù)外包，規(guī)范和引導(dǎo)信息技術(shù)服務(wù)業(yè)的發(fā)展。

IT服務(wù)需方：用于實施標(biāo)準(zhǔn)化的IT服務(wù)，或選擇合格的IT服務(wù)提供商，包括：

中央及地方各級政府部門信息中心；

金融、電信、電力、石化等全國性或區(qū)域性行業(yè)企業(yè)的IT部門；

全國各省市各類大中型企業(yè)的IT部門；

其它有IT服務(wù)需求的組織。

IT服務(wù)供方：用于提供標(biāo)準(zhǔn)化的IT服務(wù)，提升服務(wù)質(zhì)量并確保服務(wù)可信。這樣的供方主要包括：

以IT咨詢?yōu)橹鳡I業(yè)務(wù)的企業(yè)；

以設(shè)計開發(fā)為主營業(yè)務(wù)的企業(yè)；

以信息系統(tǒng)集成為主營業(yè)務(wù)的企業(yè)；

以數(shù)據(jù)處理和運營為主營業(yè)務(wù)的企業(yè)；

其它提IT服務(wù)的組織。

高校和科研院所：用于指導(dǎo)IT服務(wù)相關(guān)的理論研究、技術(shù)研發(fā)和學(xué)科設(shè)置。

個人：主要通過研究和學(xué)習(xí)ITSS，全面理解和掌握IT服務(wù)相關(guān)的標(biāo)準(zhǔn)化和技術(shù)理論知識，以及實施IT服務(wù)的方法，從而提升個人技能。

ITSS的好處

使用ITSS，對IT服務(wù)供需雙方來講，將帶來以下潛在收益：

對IT服務(wù)需方：

提升IT服務(wù)質(zhì)量：通過量化和監(jiān)控最終用戶滿意度，IT服務(wù)需方可以更好地控制和提升用戶滿意度，從而有助于全面提升服務(wù)質(zhì)量。

優(yōu)化IT服務(wù)成本：不可預(yù)測的支出往往導(dǎo)致服務(wù)成本頻繁變動，同時也意味著難以持續(xù)控制并降低IT服務(wù)成本，通過使用ITSS，將有助于量化服務(wù)成本，從而達(dá)到優(yōu)化成本的目的。

強化IT服務(wù)效能：通過ITSS實施標(biāo)準(zhǔn)化的IT服務(wù)，有助于更合理地分配和使用IT服務(wù)，讓所采購的IT服務(wù)能夠得到最充分、最合理的使用。

降低IT服務(wù)風(fēng)險：通過ITSS實施標(biāo)準(zhǔn)化的IT服務(wù)，也就意味著更穩(wěn)定、更可靠的IT服務(wù)，降低業(yè)務(wù)中斷風(fēng)險，并可以有效避免被單一IT服務(wù)廠商綁定。

對IT服務(wù)供方：

提升IT服務(wù)質(zhì)量：IT服務(wù)供需雙方基于同一標(biāo)準(zhǔn)衡量IT服務(wù)質(zhì)量，可使IT服務(wù)供方一方面通過ITSS來提升IT服務(wù)質(zhì)量，另一方面可使提升的IT服務(wù)質(zhì)量被IT服務(wù)需方認(rèn)可，直接轉(zhuǎn)換為經(jīng)濟效益。

優(yōu)化IT服務(wù)成本：ITSS使IT服務(wù)供方可以將多項IT服務(wù)成本從企業(yè)內(nèi)成本轉(zhuǎn)換成社會成本，比如初級IT服務(wù)工程師培養(yǎng)、客戶IT服務(wù)教育等。這種轉(zhuǎn)變一方面直接降低了IT服務(wù)供方的成本，另一方面為IT服務(wù)供方的業(yè)務(wù)快速發(fā)展提供了可能。

強化IT服務(wù)效能：服務(wù)標(biāo)準(zhǔn)化是服務(wù)產(chǎn)品化的前提，服務(wù)產(chǎn)品化是服務(wù)產(chǎn)業(yè)化的前提。ITSS讓IT服務(wù)供方實現(xiàn)IT服務(wù)的規(guī)模化成為可能。

降低IT服務(wù)風(fēng)險：通過依據(jù)ITSS引入監(jiān)理、服務(wù)質(zhì)量評價等第三方服務(wù)，可降低IT服務(wù)項目實施風(fēng)險；部分IT服務(wù)成本從企業(yè)內(nèi)轉(zhuǎn)換到企業(yè)外，可降低IT服務(wù)企業(yè)運營風(fēng)險。

ISO 9001質(zhì)量保證
ISO 20000信息技術(shù)服務(wù)管理
ISO 27001信息安全管理
ISO 15505（SPICE）軟件過程改進與能力度評定(汽車行業(yè))
ISO 26262 ?道路車輛功能安全
ISO 22301 業(yè)務(wù)連續(xù)性管理體系
ISO 16949國際汽車行業(yè) 質(zhì)量管理體系
ISO 13485醫(yī)療器械 質(zhì)量管理體系
ISO 27032網(wǎng)絡(luò)安全指南國際標(biāo)準(zhǔn)
ISO 27018個人可識別信息安全管理體系
ISO 29151個人身份信息保護
ISO 27017云服務(wù)信息安全管理體系
ISO 27701隱私信息管理體系

敏捷開發(fā)
? ?敏捷開發(fā)以用戶的需求進化為核心，采用迭代、循序漸進的方法進行軟件開發(fā)。在敏捷開發(fā)中，軟件項目在構(gòu)建初期被切分成多個子項目，各個子項目的成果都經(jīng)過測試，具備可視、可集成和可運行使用的特征。換言之，就是把一個大項目分為多個相互聯(lián)系，但也可獨立運行的小項目，并分別完成，在此過程中軟件一直處于可使用狀態(tài)。

開發(fā)宣言
個體和交互 勝過 過程和工具
可以工作的軟件 勝過 面面俱到的文檔
客戶合作 勝過 合同談判
響應(yīng)變化 勝過 遵循計劃
雖然右項也有價值，但是我們認(rèn)為左項具有更大的價值。

宣言原則
最重要的是通過盡早和不斷交付有價值的軟件滿足客戶需要。
我們歡迎需求的變化，即使在開發(fā)后期。敏捷過程能夠駕馭變化，保持客戶的競爭優(yōu)勢。
經(jīng)常交付可以工作的軟件，從幾星期到幾個月，時間尺度越短越好。
業(yè)務(wù)人員和開發(fā)者應(yīng)該在整個項目過程中始終朝夕在一起工作。
圍繞斗志高昂的人進行軟件開發(fā)，給開發(fā)者提供適宜的環(huán)境，滿足他們的需要，并相信他們能夠完成任務(wù)。
在開發(fā)小組中最有效率也最有效果的信息傳達(dá)方式是面對面的交談。
可以工作的軟件是進度的主要度量標(biāo)準(zhǔn)。
敏捷過程提倡可持續(xù)開發(fā)。出資人、開發(fā)人員和用戶應(yīng)該總是維持不變的節(jié)奏。
對卓越技術(shù)與良好設(shè)計的不斷追求將有助于提高敏捷性。
簡單——盡可能減少工作量的藝術(shù)至關(guān)重要。
最好的架構(gòu)、需求和設(shè)計都源自自我組織的團隊。
每隔一定時間，團隊都要總結(jié)如何更有效率，然后相應(yīng)地調(diào)整自己的行為。


DevOps（Development和Operations的組合詞）是一組過程、方法與系統(tǒng)的統(tǒng)稱，用于促進開發(fā)（應(yīng)用程序/軟件工程）、技術(shù)運營和質(zhì)量保障（QA）部門之間的溝通、協(xié)作與整合。

它是一種重視“軟件開發(fā)人員（Dev）”和“IT運維技術(shù)人員（Ops）”之間溝通合作的文化、運動或慣例。透過自動化“軟件交付”和“架構(gòu)變更”的流程，來使得構(gòu)建、測試、發(fā)布軟件能夠更加地快捷、頻繁和可靠。

它的出現(xiàn)是由于軟件行業(yè)日益清晰地認(rèn)識到：為了按時交付軟件產(chǎn)品和服務(wù)，開發(fā)和運維工作必須緊密合作。

作用
DevOps是Develop與Operations的縮寫，它是企業(yè)內(nèi)開發(fā)、技術(shù)運營和質(zhì)量保障這三方面工作的融合，用于促進開發(fā)、技術(shù)運營和質(zhì)保部門之間的溝通、協(xié)作與整合。有研究顯示，在那些引入了DevOps概念的企業(yè)中，開發(fā)與運營人員在設(shè)計、構(gòu)建、測試工作中共同在內(nèi)部應(yīng)用上進行協(xié)作之后，可以將產(chǎn)品開發(fā)的效率提升20%。

然而最為重要的如何成為一名真正的消費者用戶并像消費者用戶那樣來考慮這整件事情的意義所在，無論是成為企業(yè)內(nèi)部用戶的還是外部用戶。事實上，如何提升最終用戶體驗一直是DevOps戰(zhàn)略發(fā)展的第一驅(qū)動力，有68%的企業(yè)是這樣認(rèn)為的，第二個需求是為了提升開發(fā)與運營團隊之間的協(xié)作水平與效率，有61%的受訪者選擇了這一項。企業(yè)的移動與云計算轉(zhuǎn)型趨勢的興起，同樣也是企業(yè)引入DevOps的重要原因，有52%與43%的人分別選擇了這兩項。

國軍標(biāo)質(zhì)量管理體系認(rèn)證（國軍標(biāo)認(rèn)證）
武器裝備科研生產(chǎn)單位保密資質(zhì)認(rèn)證（保密認(rèn)證）
武器裝備科研生產(chǎn)許可證認(rèn)證（許可證認(rèn)證）
裝備承制單位資格名錄認(rèn)證（名錄認(rèn)證））

信息安全等級保護
? ?包括定級、備案、安全建設(shè)和整改、信息安全等級測評、信息安全檢查五個階段。
信息系統(tǒng)安全等級測評是驗證信息系統(tǒng)是否滿足相應(yīng)安全保護等級的評估過程。信息安全等級保護要求不同安全等級的信息系統(tǒng)應(yīng)具有不同的安全保護能力，一方面通過在安全技術(shù)和安全管理上選用與安全等級相適應(yīng)的安全控制來實現(xiàn)；另一方面分布在信息系統(tǒng)中的安全技術(shù)和安全管理上不同的安全控制，通過連接、交互、依賴、協(xié)調(diào)、協(xié)同等相互關(guān)聯(lián)關(guān)系，共同作用于信息系統(tǒng)的安全功能，使信息系統(tǒng)的整體安全功能與信息系統(tǒng)的結(jié)構(gòu)以及安全控制間、層面間和區(qū)域間的相互關(guān)聯(lián)關(guān)系密切相關(guān)。因此，信息系統(tǒng)安全等級測評在安全控制測評的基礎(chǔ)上，還要包括系統(tǒng)整體測評。

等級劃分
《信息安全等級保護管理辦法》規(guī)定，國家信息安全等級保護堅持自主定級、自主保護的原則。信息系統(tǒng)的安全保護等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。
信息系統(tǒng)的安全保護等級分為以下五級，一至五級等級逐級增高：
第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益。第一級信息系統(tǒng)運營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進行保護。
第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對社會秩序和公共利益造成損害，但不損害國家安全。國家信息安全監(jiān)管部門對該級信息系統(tǒng)安全等級保護工作進行指導(dǎo)。
第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴(yán)重?fù)p害，或者對國家安全造成損害。國家信息安全監(jiān)管部門對該級信息系統(tǒng)安全等級保護工作進行監(jiān)督、檢查。
第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對國家安全造成嚴(yán)重?fù)p害。國家信息安全監(jiān)管部門對該級信息系統(tǒng)安全等級保護工作進行強制監(jiān)督、檢查。
第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴(yán)重?fù)p害。國家信息安全監(jiān)管部門對該級信息系統(tǒng)安全等級保護工作進行專門監(jiān)督、檢查。

實施原則
根據(jù)《信息系統(tǒng)安全等級保護實施指南》精神，明確了以下基本原則：
自主保護原則：信息系統(tǒng)運營、使用單位及其主管部門按照國家相關(guān)法規(guī)和標(biāo)準(zhǔn)，自主確定信息系統(tǒng)的安全保護等級，自行組織實施安全保護。
重點保護原則：根據(jù)信息系統(tǒng)的重要程度、業(yè)務(wù)特點，通過劃分不同安全保護等級的信息系統(tǒng)，實現(xiàn)不同強度的安全保護，集中資源優(yōu)先保護涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的信息系統(tǒng)。
同步建設(shè)原則：信息系統(tǒng)在新建、改建、擴建時應(yīng)當(dāng)同步規(guī)劃和設(shè)計安全方案，投入一定比例的資金建設(shè)信息安全設(shè)施，保障信息安全與信息化建設(shè)相適應(yīng)。
動態(tài)調(diào)整原則：要跟蹤信息系統(tǒng)的變化情況，調(diào)整安全保護措施。由于信息系統(tǒng)的應(yīng)用類型、范圍等條件的變化及其他原因，安全保護等級需要變更的，應(yīng)當(dāng)根據(jù)等級保護的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，重新確定信息系統(tǒng)的安全保護等級，根據(jù)信息系統(tǒng)安全保護等級的調(diào)整情況，重新實施安全保護。


十三大重要標(biāo)準(zhǔn)
計算機信息系統(tǒng)安全等級保護劃分準(zhǔn)則 （GB 17859-1999） （基礎(chǔ)類標(biāo)準(zhǔn)）
信息系統(tǒng)安全等級保護實施指南 （GB/T 25058-2010） （基礎(chǔ)類標(biāo)準(zhǔn)）
信息系統(tǒng)安全保護等級定級指南 （GB/T 22240-2008） （應(yīng)用類定級標(biāo)準(zhǔn)）
信息系統(tǒng)安全等級保護基本要求 （GB/T 22239-2008） （應(yīng)用類建設(shè)標(biāo)準(zhǔn)）
信息系統(tǒng)通用安全技術(shù)要求 （GB/T 20271-2006） （應(yīng)用類建設(shè)標(biāo)準(zhǔn)）
信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求 （GB/T 25070-2010） （應(yīng)用類建設(shè)標(biāo)準(zhǔn)）
信息系統(tǒng)安全等級保護測評要求 （GB/T 28448-2012）（應(yīng)用類測評標(biāo)準(zhǔn)）
信息系統(tǒng)安全等級保護測評過程指南 （GB/T 28449-2012）（應(yīng)用類測評標(biāo)準(zhǔn)）
信息系統(tǒng)安全管理要求 （GB/T 20269-2006） （應(yīng)用類管理標(biāo)準(zhǔn)）
信息系統(tǒng)安全工程管理要求 （GB/T 20282-2006） （應(yīng)用類管理標(biāo)準(zhǔn)）
信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求（GB/T 22239-2019）（基礎(chǔ)類標(biāo)準(zhǔn)）
信息安全技術(shù)網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求（GB/T 25070-2019）（應(yīng)用類建設(shè)標(biāo)準(zhǔn)）
信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求（GB/T 28448-2019）（應(yīng)用類測評標(biāo)準(zhǔn)）
其它相關(guān)標(biāo)準(zhǔn)
GB/T 21052-2007 信息安全技術(shù) 信息系統(tǒng)物理安全技術(shù)要求
GB/T 20270-2006 信息安全技術(shù) 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求
GB/T 20271-2006 信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求
GB/T 20272-2006 信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求
GB/T 20273-2006 信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求
GB/T 20984-2007 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范
GB/T 20985-2007 信息安全技術(shù) 信息安全事件管理指南
GB/Z 20986-2007 信息安全技術(shù) 信息安全事件分類分級指南
GB/T 20988-2007 信息安全技術(shù) 信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范

中國信息安全認(rèn)證中心:信息安全服務(wù)資質(zhì)認(rèn)證
? ? 隨著我國信息化和信息安全保障工作的不斷深入推進，以應(yīng)急處理、風(fēng)險評估、災(zāi)難恢復(fù)、系統(tǒng)測評、安全運維、安全審計、安全培訓(xùn)和安全咨詢等為主要內(nèi)容的信息安全服務(wù)在信息安全保障中的作用日益突出。加強和規(guī)范信息安全服務(wù)資質(zhì)管理已成為信息安全管理的重要基礎(chǔ)性工作。

　　我中心是經(jīng)國家認(rèn)證認(rèn)可監(jiān)督管理委員會批準(zhǔn)，可以從事信息安全服務(wù)資質(zhì)認(rèn)證的機構(gòu)（《認(rèn)證機構(gòu)批準(zhǔn)書》CNCA-R-2007-138），并獲得了中國合格評定國家認(rèn)可委員會的認(rèn)可（證書編號：No. CNAS CO66-V）。服務(wù)資質(zhì)認(rèn)證工作是我中心的核心業(yè)務(wù)之一。

　　按照分類分級的工作思路，目前我中心已經(jīng)開展了信息安全應(yīng)急處理和風(fēng)險評估兩類服務(wù)資質(zhì)工作。

對服務(wù)資質(zhì)認(rèn)證工作具體介紹如下：

　　一、基本概念

　　信息安全服務(wù)資質(zhì)是信息安全服務(wù)機構(gòu)提供安全服務(wù)的一種資格，包括法律地位、資源狀況、管理水平、 技術(shù)能力等方面的要求。信息安全服務(wù)資質(zhì)認(rèn)證是依據(jù)國家法律法規(guī)、國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)和技術(shù)規(guī)范，按照認(rèn)證基本規(guī)范及認(rèn)證規(guī)則，對提供信息安全服務(wù)機構(gòu)的信息安全服務(wù)資質(zhì)進行評價。

　　應(yīng)急處理服務(wù)是對影響計算機系統(tǒng)和網(wǎng)絡(luò)安全的不當(dāng)行為(事件)進行標(biāo)識、記錄、分類和處理，直到受影響的業(yè)務(wù)恢復(fù)正常運行的過程。（用1799概述里面一段一句的內(nèi)容）

　　風(fēng)險評估服務(wù)是從風(fēng)險管理角度，運用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，以求防范和化解信息安全風(fēng)險，或?qū)L(fēng)險控制在可接受的水平。

　　通過對信息安全服務(wù)分類分級的資質(zhì)認(rèn)證，可以對信息安全服務(wù)提供商的基本資格、管理能力、技術(shù)能力和服務(wù)過程能力等方面進行權(quán)威、客觀、公正的評價，證明其服務(wù)能力，滿足社會對服務(wù)的選擇需求。同時，認(rèn)證過程也將有效促進服務(wù)提供方完善自身管理體系，提高服務(wù)質(zhì)量和水平，引導(dǎo)行業(yè)健康規(guī)范發(fā)展。

　　二、關(guān)于認(rèn)證申請：

　　認(rèn)證的基本環(huán)節(jié)：

　　認(rèn)證申請與受理；

　　文檔審核；

　　現(xiàn)場審核；

　　認(rèn)證決定；

　　年度監(jiān)督審核。

　　初次申請服務(wù)資質(zhì)認(rèn)證時，申請單位應(yīng)填寫認(rèn)證申請書，并提交資格、能力方面的證明材料。申請材料通常包括：

　　服務(wù)資質(zhì)認(rèn)證申請書；

　　獨立法人資格證明材料；

　　從事信息安全服務(wù)的相關(guān)資質(zhì)證明；

　　工作保密制度及相應(yīng)組織監(jiān)管體系的證明材料；

　　與信息安全風(fēng)險評估服務(wù)人員簽訂的保密協(xié)議復(fù)印件；

　　人員構(gòu)成與素質(zhì)證明材料；

　　公司組織結(jié)構(gòu)證明材料；

　　具備固定辦公場所的證明材料；

　　項目管理制度文檔；

　　信息安全服務(wù)質(zhì)量管理文件；

　　項目案例及業(yè)績證明材料；

　　信息安全服務(wù)能力證明材料等。

　　三、關(guān)于認(rèn)證依據(jù)：

　　對特定類別的信息安全服務(wù)，有具體的評價標(biāo)準(zhǔn)。例如，信息安全應(yīng)急處理服務(wù)資質(zhì)認(rèn)證的依據(jù)是《網(wǎng)絡(luò)與信息安全應(yīng)急處理服務(wù)資質(zhì)評估方法》（YD/T 1799-2008），信息安全風(fēng)險評估服務(wù)資質(zhì)認(rèn)證的依據(jù)是《信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范》（GB/T 20984-2007）與《信息安全風(fēng)險評估服務(wù)資質(zhì)認(rèn)證實施規(guī)則》(ISCCC-SV-002)。

　　四、關(guān)于認(rèn)證流程：

　　參見我中心網(wǎng)站上的《信息安全服務(wù)資質(zhì)認(rèn)證實施規(guī)則》(ISCCC-SV-001)及認(rèn)證流程圖。認(rèn)證周期一般是10周，包括自申請被正式受理之日起至頒發(fā)認(rèn)證證書時止所實際發(fā)生的時間，不包括由于申請單位準(zhǔn)備或補充材料的時間。



?中國信息安全測評中心:信息安全服務(wù)資質(zhì)認(rèn)證
? ? 對提供信息安全服務(wù)的組織和單位資質(zhì)進行審核、評估和認(rèn)定。

信息安全服務(wù)資質(zhì)是對信息系統(tǒng)安全服務(wù)的提供者的技術(shù)、資源、法律、管理等方面的資質(zhì)和能力，以及其穩(wěn)定性、可靠性進行評估，并依據(jù)公開的標(biāo)準(zhǔn)和程序，對其安全服務(wù)保障能力進行認(rèn)定的過程。

目前分為：信息安全工程、信息安全災(zāi)難恢復(fù)、安全開發(fā)、風(fēng)險評估、信息系統(tǒng)審計、云計算安全、大數(shù)據(jù)安全等七大類。

? ?是指從事涉密系統(tǒng)業(yè)務(wù)的單位所需要具備的從事涉及國家秘密活動的資格和保守國家秘密的能力。這里的“涉密系統(tǒng)集成”，包括涉密系統(tǒng)工程的規(guī)劃、設(shè)計、開發(fā)、實施、服務(wù)及保障等工作。
根據(jù)國家保密局《涉及國家秘密的計算機信息系統(tǒng)集成資質(zhì)管理辦法》的規(guī)定，涉密系統(tǒng)集成資質(zhì)實行行政審批制度。申請從事涉密系統(tǒng)集成資質(zhì)業(yè)務(wù)的單位（以下簡稱申請單位），須經(jīng)有關(guān)國家保密工作部門審批，授予《資質(zhì)證書》。涉密系統(tǒng)集成資質(zhì)依據(jù)其資本構(gòu)成、人員構(gòu)成、技術(shù)水平、服務(wù)水平和安全保密設(shè)施等要素進行綜合評定。

基本條件
涉密系統(tǒng)集成單位應(yīng)當(dāng)是中華人民共和國境內(nèi)具有獨立法人地位的企業(yè)或事業(yè)單位。并具備下列條件：
1、遵守國家保密法律和法規(guī)，具有健全的保密制度。
2、具有信息產(chǎn)業(yè)部頒發(fā)的《計算機信息系統(tǒng)集成資質(zhì)證書》（一級或二級），并有網(wǎng)絡(luò)安全集成的成功范例。
無《計算機信息系統(tǒng)集成資質(zhì)證書》（一級或二級）的企、事業(yè)單位，應(yīng)為專門從事信息安全技術(shù)研究開發(fā)，有自主研發(fā)的國家有關(guān)部門認(rèn)可的安全保密技術(shù)或產(chǎn)品，并獨立開展網(wǎng)絡(luò)安全集成業(yè)務(wù)兩年以上（含兩年），有3個以上獨立完成的成功范例。
對僅從事網(wǎng)絡(luò)布線、咨詢、安全保密產(chǎn)品研發(fā)和銷售而不從事計算機信息系統(tǒng)集成業(yè)務(wù)的企、事業(yè)單位，不受理涉密系統(tǒng)集成資質(zhì)申請。
3、具有系統(tǒng)集成能力的計算機硬件、軟件和網(wǎng)絡(luò)工程專業(yè)高中級技術(shù)職稱的專業(yè)隊伍和組織管理人員，員工總數(shù)不得少于30人，其中與單位正式簽定一年期以上勞動合同或聘用合同的專業(yè)技術(shù)人員不得少于20人。
4、具有先進的信息系統(tǒng)設(shè)計、開發(fā)設(shè)備，具有良好的安全保密環(huán)境。
5、注冊資金不少于100萬，具有良好的經(jīng)營業(yè)績和資產(chǎn)狀況。
6、接受保密工作部門的指導(dǎo)、監(jiān)督和檢查。

申請條件
涉密信息系統(tǒng)集成資質(zhì)分為甲級和乙級兩個等級。
甲級資質(zhì)單位可以在全國范圍內(nèi)從事絕密級、機密級和秘密級信息系統(tǒng)集成業(yè)務(wù)。乙級資質(zhì)單位可以在注冊地省、自治區(qū)、直轄市行政區(qū)域內(nèi)從事機密級、秘密級信息系統(tǒng)集成業(yè)務(wù)。
甲級資質(zhì)單位可在全國范圍內(nèi)從事涉密系統(tǒng)集成業(yè)務(wù)。申請前，須先通過由國家保密局指定的資質(zhì)評估機構(gòu)的評估。
申請涉密信息系統(tǒng)集成資質(zhì)的單位應(yīng)具備以下基本條件：
（一）在中華人民共和國境內(nèi)注冊的法人；
（二）依法成立3年以上，有良好的誠信記錄；
（三）從事涉密信息系統(tǒng)集成業(yè)務(wù)人員具有中華人民共和國國籍；
（四）無境外（含香港、澳門、臺灣）投資，國家另有規(guī)定的從其規(guī)定；
（五）取得行業(yè)主管部門頒發(fā)的有關(guān)資質(zhì)，具有承擔(dān)涉密信息系統(tǒng)集成業(yè)務(wù)的專業(yè)能力。
除了滿足上述基本條件之外，申請甲級資質(zhì)還需具備以下條件：
1、綜合條件：
（1）歷史清楚，從事信息系統(tǒng)集成業(yè)務(wù)3年以上；
（2）主業(yè)是信息系統(tǒng)集成、安全保密集成及相關(guān)業(yè)務(wù)，主業(yè)收入是單位收入的主要來源；
（3）產(chǎn)權(quán)關(guān)系明晰，資本結(jié)構(gòu)符合要求，注冊資金達(dá)到一定規(guī)模；
（4）經(jīng)濟運行狀況良好，財務(wù)數(shù)據(jù)通過國家認(rèn)可的審計單位的審計；
（5）員工和上級單位可靠、可信，近3年無違規(guī)和違法問題。
2、業(yè)績：
（1）近3年內(nèi)完成一定金額的信息系統(tǒng)集成項目1個以上，工程質(zhì)量合格，已通過驗收并投入使用；
（2）近3年內(nèi)每年至少完成1個安全系統(tǒng)集成項目，所完成項目有較高的技術(shù)含量且采用的安全技術(shù)和產(chǎn)品符合要求，配置合理，切實有效；
（3）主要業(yè)務(wù)領(lǐng)域的典型項目在技術(shù)水平、工程質(zhì)量等方面居國內(nèi)同行業(yè)領(lǐng)先水平；
（4）近3年內(nèi)完成的主業(yè)業(yè)績達(dá)到一定金額；
（5）近3年內(nèi)承建的信息系統(tǒng)集成項目或安全系統(tǒng)集成項目均未出現(xiàn)過未通過驗收，未出現(xiàn)過由承建單位承擔(dān)責(zé)任的重大系統(tǒng)故障；
（6）單位人員和上級單位同意并支持接受保密管理，并愿承擔(dān)相應(yīng)的保密責(zé)任。
3、管理能力：
（1）具備完善的單位內(nèi)部管理制度和安全保密措施；
（2）具有完善的技術(shù)管理體系和執(zhí)行機制；
（3）具有完備的技術(shù)服務(wù)體系，配置專門的機構(gòu)和人員，能夠提供必要的技術(shù)服務(wù)；
（4）具有系統(tǒng)地對員工進行系統(tǒng)集成技術(shù)知識、保密技術(shù)知識和保密規(guī)章制度的培訓(xùn)機制和計劃，并能有效組織實施與考核；
（5）具有合理的人才資源管理制度和人員保密控制制度，并能有效實施。
4、技術(shù)能力：
（1）主要負(fù)責(zé)人應(yīng)具有4年以上從事信息技術(shù)領(lǐng)域管理工作經(jīng)歷，主要技術(shù)負(fù)責(zé)人應(yīng)獲得信息技術(shù)類高級職稱且從事系統(tǒng)集成技術(shù)工作不少于3年，能夠從事涉密計算機信息系統(tǒng)集成項目管理工作的經(jīng)理人數(shù)不少于5人；
（2）能夠承擔(dān)信息系統(tǒng)安全保密集成工作的專業(yè)技術(shù)人員不少于30人，且其中大學(xué)本科（含）以上學(xué)歷所占比例不低于90%；
（3）計算機信息系統(tǒng)集成技術(shù)實力和安全系統(tǒng)集成技術(shù)水平居國內(nèi)前列；
（4）有專門從事系統(tǒng)集成技術(shù)開發(fā)的高級研發(fā)人員及相應(yīng)的科研場地、設(shè)備等，并已建立完善的系統(tǒng)開發(fā)與測試體系。
資質(zhì)管理
1、涉密系統(tǒng)建設(shè)單位和承接涉密系統(tǒng)集成的單位應(yīng)簽訂保密協(xié)議規(guī)定集成單位應(yīng)履行的保密義務(wù)。
2、涉密系統(tǒng)集成單位在承接系統(tǒng)集成過程中需要與其他單位合作完成的其合作單位應(yīng)有《資質(zhì)證書》。
3、涉密系統(tǒng)建成后集成單位應(yīng)將涉密系統(tǒng)資料全部移交給涉密系統(tǒng)建設(shè)單位不得私自留存或擅自處理。
4、已取得《資質(zhì)證書》的集成單位名稱、經(jīng)營范圍、企業(yè)性質(zhì)、隸屬關(guān)系變更的應(yīng)當(dāng)依照本辦法第七條、第八條的規(guī)定重新辦理審批手續(xù)。
5、省、自治區(qū)、直轄市、計劃單列市、副省級城市保密局對本行政區(qū)域的涉密系統(tǒng)集成單位實施保密監(jiān)督管理。
6、涉密系統(tǒng)集成單位違反本辦法規(guī)定的由省、自治區(qū)、直轄市、計劃單列市、副省級城市保密局責(zé)令其限期改正逾期不改或整改后仍不符合要求的報國家保密局收回其《資質(zhì)證書》 。