南京邦道企業(yè)管理咨詢有限公司

本文件由中國合格評(píng)定國家認(rèn)可委員會(huì)（CNAS）制定，是結(jié)合信息安 全檢測(cè)的特點(diǎn)對(duì)CNAS-CL01《檢測(cè)和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則》中的部分 條款的應(yīng)用說明，并不增加或減少該認(rèn)可準(zhǔn)則的要求。 本文件與CNAS-CL01《檢測(cè)和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則》同時(shí)使用。 

在結(jié)構(gòu)編排上，本文件章、節(jié)的條款號(hào)和條款名稱均采用CNAS-CL01: 中章、節(jié)條款號(hào)和名稱，對(duì)CNAS-CL01應(yīng)用說明的具體內(nèi)容在對(duì)應(yīng)條款后 給出。 

本文件代替CNAS-CL46:2013《檢測(cè)和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則在信息安 全檢測(cè)領(lǐng)域的應(yīng)用說明》。 本次修訂主要根據(jù)CNAS-CL01:2018《檢測(cè)和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則》 對(duì)章節(jié)號(hào)重新進(jìn)行了編排，并按照CNAS的統(tǒng)一要求調(diào)整文件編號(hào)。

1范圍 本文件適用于所有從事信息安全檢測(cè)的實(shí)驗(yàn)室。 2引用文件 CNAS-CL01:2018《檢測(cè)和校準(zhǔn)實(shí)驗(yàn)室認(rèn)可準(zhǔn)則》 3術(shù)語和定義 4通用要求 4.1公正性 4.1.3如果實(shí)驗(yàn)室所在的組織從事信息安全檢測(cè)以外的活動(dòng)（例如，涉及信息安 全相關(guān)的開發(fā)），應(yīng)承諾并采取措施確保不利用被檢測(cè)信息安全相關(guān)方的知識(shí)產(chǎn) 權(quán)牟取利益。 

4.1.4實(shí)驗(yàn)室應(yīng)建立并保持從事信息安全檢測(cè)公正性和誠實(shí)性的政策和程序，并 確保信息安全檢測(cè)人員不參加被測(cè)對(duì)象的開發(fā)和咨詢，確保實(shí)驗(yàn)室檢測(cè)人員與產(chǎn) 品開發(fā)商、系統(tǒng)集成商、安全集成商、其他有利害關(guān)系和可能影響檢測(cè)結(jié)果的人 員之間相互分離。 

6.2.2信息安全檢測(cè)實(shí)驗(yàn)室的人員應(yīng)滿足以下要求： a)信息安全檢測(cè)人員應(yīng)具有信息安全、計(jì)算機(jī)、通信或網(wǎng)絡(luò)等相關(guān)專業(yè)本 科或以上學(xué)歷，從事信息安全檢測(cè)工作1年以上，且至少參與過3個(gè)信息安全檢 測(cè)項(xiàng)目。 b)信息安全檢測(cè)領(lǐng)域的授權(quán)簽字人和意見解釋人員應(yīng)具有信息安全、計(jì)算 機(jī)、通信或網(wǎng)絡(luò)等相關(guān)專業(yè)本科或以上學(xué)歷，從事信息安全檢測(cè)工作3年以上， 且至少參與過5個(gè)信息安全檢測(cè)項(xiàng)目。 c)實(shí)驗(yàn)室人員應(yīng)經(jīng)過相關(guān)培訓(xùn)，考核通過后方能上崗。實(shí)驗(yàn)室人員還應(yīng)接 受安全保密和知識(shí)產(chǎn)權(quán)保護(hù)方面的培訓(xùn)，以確?？蛻衾婧蜕虡I(yè)機(jī)密不被泄露。 d)實(shí)驗(yàn)室應(yīng)： 1)至少具有5名信息安全檢測(cè)人員； 2)由熟悉信息安全項(xiàng)目管理、開發(fā)、測(cè)試及標(biāo)準(zhǔn)、規(guī)范、規(guī)程的技術(shù)人員 負(fù)責(zé)組織實(shí)施信息安全檢測(cè)任務(wù)；

3)由熟悉信息安全檢測(cè)過程、標(biāo)準(zhǔn)/規(guī)范/規(guī)程，信息安全質(zhì)量評(píng)價(jià)和信息 安全測(cè)試質(zhì)量評(píng)價(jià)的人員，負(fù)責(zé)信息安全檢測(cè)過程和產(chǎn)品的規(guī)范符合性審核監(jiān) 督； 4)由熟悉信息安全測(cè)試需求、測(cè)試結(jié)果評(píng)價(jià)和判定準(zhǔn)則的人員負(fù)責(zé)對(duì)信息 安全測(cè)試輸入和測(cè)試結(jié)果進(jìn)行核查。 6.3設(shè)施和環(huán)境條件 6.3.1實(shí)驗(yàn)室應(yīng)建立穩(wěn)壓、防靜電和防范惡意代碼的檢測(cè)環(huán)境。實(shí)驗(yàn)室還應(yīng)對(duì)檢 測(cè)環(huán)境在使用前進(jìn)行核查。 6.3.4b)檢測(cè)網(wǎng)絡(luò)應(yīng)與其他網(wǎng)絡(luò)采取隔離措施。

如果同時(shí)進(jìn)行多個(gè)檢測(cè)項(xiàng)目，實(shí) 驗(yàn)室應(yīng)保持檢測(cè)環(huán)境的有效分離。當(dāng)檢測(cè)活動(dòng)在實(shí)驗(yàn)室以外場(chǎng)所進(jìn)行時(shí)，其檢測(cè) 環(huán)境也應(yīng)滿足要求，并確保檢測(cè)活動(dòng)在受控環(huán)境下執(zhí)行。當(dāng)通過實(shí)驗(yàn)室以外的網(wǎng) 絡(luò)實(shí)施遠(yuǎn)程檢測(cè)時(shí)，應(yīng)注意影響網(wǎng)絡(luò)正常運(yùn)行的環(huán)境條件。 6.4設(shè)備 6.4.1信息安全檢測(cè)設(shè)備應(yīng)包括硬件設(shè)備和軟件檢測(cè)工具。

實(shí)驗(yàn)室應(yīng)在每個(gè)項(xiàng)目 測(cè)試前對(duì)檢測(cè)設(shè)備進(jìn)行核查。對(duì)于性能檢測(cè)項(xiàng)目，實(shí)驗(yàn)室所選用的設(shè)備應(yīng)是具有 可追溯性的商用軟件和硬件。 6.4.13實(shí)驗(yàn)室應(yīng)保存所有檢測(cè)設(shè)備的檔案。實(shí)驗(yàn)室的記錄還應(yīng)包括檢測(cè)設(shè)備的 配置信息、軟件檢測(cè)工具所需運(yùn)行環(huán)境等信息。軟件測(cè)試工具的不同版本，均應(yīng) 有唯一性標(biāo)識(shí)。 

6.5計(jì)量溯源性 6.5.3對(duì)于新的或發(fā)生了重大變化的無法進(jìn)行外部溯源的方法和測(cè)試工具，實(shí)驗(yàn) 室應(yīng)采取措施檢查測(cè)試方法和測(cè)試工具的有效性，檢查措施可包括： a)適用時(shí)，對(duì)特定的信息安全產(chǎn)品樣例進(jìn)行檢測(cè)，審查信息安全產(chǎn)品樣例 預(yù)埋問題的復(fù)現(xiàn)情況，確認(rèn)其偏差。 b)適用時(shí)，應(yīng)溯源到權(quán)威的測(cè)試集規(guī)范或其它有關(guān)的權(quán)威標(biāo)準(zhǔn)或規(guī)范。 

7過程要求 7.1要求、標(biāo)書和合同的評(píng)審 7.1.1a)實(shí)驗(yàn)室合同評(píng)審為簽訂信息安全檢測(cè)合同而進(jìn)行評(píng)審的政策和程序應(yīng) 包括： 1)對(duì)檢測(cè)項(xiàng)目的保密和知識(shí)產(chǎn)權(quán)保護(hù)要求，在合同中（或簽訂專門的協(xié)議） 應(yīng)予明確、充分規(guī)定。 

2)對(duì)檢測(cè)項(xiàng)目結(jié)束后如何處置檢測(cè)對(duì)象應(yīng)予以規(guī)定。 7.2方法的選擇、驗(yàn)證和確認(rèn) 7.2.1.3實(shí)驗(yàn)室應(yīng)確保測(cè)試使用的檢測(cè)樣本集（如病毒樣本庫、網(wǎng)絡(luò)攻擊數(shù)據(jù)包、 漏洞庫等）為最新版本。

7.4檢測(cè)或校準(zhǔn)物品的處置 7.4.1實(shí)驗(yàn)室應(yīng)向客戶提供充分的保證，確保測(cè)試工具或測(cè)試集不會(huì)將病毒或其 他損壞因素引入到屬于客戶的硬件或軟件中。

檢測(cè)完成后，實(shí)驗(yàn)室應(yīng)按合同要求 處置被測(cè)樣品，并保留記錄。 7.4.3在接收檢測(cè)樣品時(shí)，實(shí)驗(yàn)室應(yīng)對(duì)檢測(cè)對(duì)象進(jìn)行病毒檢查并記錄結(jié)果。 

7.5技術(shù)記錄 7.5.1檢測(cè)記錄應(yīng)能夠追溯到檢測(cè)人員的操作和工作方法及檢測(cè)環(huán)境，應(yīng)詳細(xì)記 錄檢測(cè)環(huán)境配置（硬件和軟件）、參數(shù)設(shè)置等信息，確保該檢測(cè)在盡可能接近原 條件的情況下能夠重復(fù)。

當(dāng)被測(cè)對(duì)象包括軟件時(shí)，實(shí)驗(yàn)室應(yīng)建立配置管理的程序， 確保測(cè)試記錄與被測(cè)對(duì)象的一致性。 7.5.2實(shí)驗(yàn)室應(yīng)有措施保持同一技術(shù)記錄的不同形態(tài)的內(nèi)容修改、版本控制的一 致性。 

7.7確保結(jié)果的有效性 7.7.1實(shí)驗(yàn)室制定有效的質(zhì)量監(jiān)控方案還應(yīng)包括： a)由同一檢測(cè)人員對(duì)被測(cè)對(duì)象進(jìn)行重復(fù)檢測(cè)； b)由不同的檢測(cè)人員使用相同方法對(duì)同一被測(cè)對(duì)象進(jìn)行檢測(cè)； c)使用不同的檢測(cè)方法（技術(shù)）或同一類型的不同儀器或工具對(duì)同一被測(cè)對(duì) 象進(jìn)行檢測(cè)。 實(shí)驗(yàn)室應(yīng)保存監(jiān)控活動(dòng)的記錄，包括對(duì)比對(duì)測(cè)試結(jié)果的評(píng)價(jià)。 

7.8報(bào)告結(jié)果 7.8.1總則 7.8.1.2實(shí)驗(yàn)室以電子方式傳輸?shù)臋z測(cè)報(bào)告應(yīng)使用加密方式傳輸，以確保檢測(cè)報(bào) 告的完整和保密。 7.11數(shù)據(jù)控制和信息管理 7.11.3實(shí)驗(yàn)室應(yīng)建立數(shù)據(jù)（尤其是涉及到客戶敏感數(shù)據(jù)、知識(shí)產(chǎn)權(quán)、安全缺陷 等的檢測(cè)數(shù)據(jù)、電子和紙質(zhì)記錄以及其他的材料）保護(hù)程序，以防止非授權(quán)人員 的訪問。當(dāng)檢測(cè)結(jié)束后，實(shí)驗(yàn)室應(yīng)妥善刪除檢測(cè)過程中在被測(cè)對(duì)象上生成的測(cè)試 數(shù)據(jù)（如：端口、策略、賬號(hào)、口令等）。 注：納入配置管理的電子版軟件測(cè)試技術(shù)文檔，可通過文檔修改表記錄版本 號(hào)、修改內(nèi)容、日期、修改人、審核人等信息的方式保持不同介質(zhì)實(shí)物資料版本 的一致；納入受控管理的其他技術(shù)記錄，可通過適合不同介質(zhì)的加注方式記錄修 改內(nèi)容、日期、修改人、審核人等信息。 

8.3.2實(shí)驗(yàn)室應(yīng)有規(guī)定和措施，確保計(jì)算機(jī)系統(tǒng)中的文件與其它載體上的文件在 CNAS-CL01-A020:2018等方面的一致性。 8.7糾正措施（方式A） 8.7.1b)信息安全檢測(cè)活動(dòng)產(chǎn)生問題的原因還可能是：惡意代碼、檢測(cè)操作順序、 軟件版本、參數(shù)設(shè)置、漏洞庫、攻擊特征庫等。

山東省CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東濟(jì)南市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東青島市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東淄博市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東棗莊市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東東營市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東煙臺(tái)市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東濰坊市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東濟(jì)寧市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東泰安市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東威海市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東日照市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東濱州市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東德州市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東聊城市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東臨沂市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東菏澤市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東萊蕪市CNAS/CMA實(shí)驗(yàn)室資質(zhì)辦理