南京邦道企業(yè)管理咨詢有限公司

本文件由中國合格評定國家認可委員會（CNAS）制定，是結(jié)合信息安 全檢測的特點對CNAS-CL01《檢測和校準實驗室能力認可準則》中的部分 條款的應(yīng)用說明，并不增加或減少該認可準則的要求。 本文件與CNAS-CL01《檢測和校準實驗室能力認可準則》同時使用。 

在結(jié)構(gòu)編排上，本文件章、節(jié)的條款號和條款名稱均采用CNAS-CL01: 中章、節(jié)條款號和名稱，對CNAS-CL01應(yīng)用說明的具體內(nèi)容在對應(yīng)條款后 給出。 

本文件代替CNAS-CL46:2013《檢測和校準實驗室能力認可準則在信息安 全檢測領(lǐng)域的應(yīng)用說明》。 本次修訂主要根據(jù)CNAS-CL01:2018《檢測和校準實驗室能力認可準則》 對章節(jié)號重新進行了編排，并按照CNAS的統(tǒng)一要求調(diào)整文件編號。

1范圍 本文件適用于所有從事信息安全檢測的實驗室。 2引用文件 CNAS-CL01:2018《檢測和校準實驗室認可準則》 3術(shù)語和定義 4通用要求 4.1公正性 4.1.3如果實驗室所在的組織從事信息安全檢測以外的活動（例如，涉及信息安 全相關(guān)的開發(fā)），應(yīng)承諾并采取措施確保不利用被檢測信息安全相關(guān)方的知識產(chǎn) 權(quán)牟取利益。 

4.1.4實驗室應(yīng)建立并保持從事信息安全檢測公正性和誠實性的政策和程序，并 確保信息安全檢測人員不參加被測對象的開發(fā)和咨詢，確保實驗室檢測人員與產(chǎn) 品開發(fā)商、系統(tǒng)集成商、安全集成商、其他有利害關(guān)系和可能影響檢測結(jié)果的人 員之間相互分離。 

6.2.2信息安全檢測實驗室的人員應(yīng)滿足以下要求： a)信息安全檢測人員應(yīng)具有信息安全、計算機、通信或網(wǎng)絡(luò)等相關(guān)專業(yè)本 科或以上學歷，從事信息安全檢測工作1年以上，且至少參與過3個信息安全檢 測項目。 b)信息安全檢測領(lǐng)域的授權(quán)簽字人和意見解釋人員應(yīng)具有信息安全、計算 機、通信或網(wǎng)絡(luò)等相關(guān)專業(yè)本科或以上學歷，從事信息安全檢測工作3年以上， 且至少參與過5個信息安全檢測項目。 c)實驗室人員應(yīng)經(jīng)過相關(guān)培訓，考核通過后方能上崗。實驗室人員還應(yīng)接 受安全保密和知識產(chǎn)權(quán)保護方面的培訓，以確?？蛻衾婧蜕虡I(yè)機密不被泄露。 d)實驗室應(yīng)： 1)至少具有5名信息安全檢測人員； 2)由熟悉信息安全項目管理、開發(fā)、測試及標準、規(guī)范、規(guī)程的技術(shù)人員 負責組織實施信息安全檢測任務(wù)；

3)由熟悉信息安全檢測過程、標準/規(guī)范/規(guī)程，信息安全質(zhì)量評價和信息 安全測試質(zhì)量評價的人員，負責信息安全檢測過程和產(chǎn)品的規(guī)范符合性審核監(jiān) 督； 4)由熟悉信息安全測試需求、測試結(jié)果評價和判定準則的人員負責對信息 安全測試輸入和測試結(jié)果進行核查。 6.3設(shè)施和環(huán)境條件 6.3.1實驗室應(yīng)建立穩(wěn)壓、防靜電和防范惡意代碼的檢測環(huán)境。實驗室還應(yīng)對檢 測環(huán)境在使用前進行核查。 6.3.4b)檢測網(wǎng)絡(luò)應(yīng)與其他網(wǎng)絡(luò)采取隔離措施。

如果同時進行多個檢測項目，實 驗室應(yīng)保持檢測環(huán)境的有效分離。當檢測活動在實驗室以外場所進行時，其檢測 環(huán)境也應(yīng)滿足要求，并確保檢測活動在受控環(huán)境下執(zhí)行。當通過實驗室以外的網(wǎng) 絡(luò)實施遠程檢測時，應(yīng)注意影響網(wǎng)絡(luò)正常運行的環(huán)境條件。 6.4設(shè)備 6.4.1信息安全檢測設(shè)備應(yīng)包括硬件設(shè)備和軟件檢測工具。

實驗室應(yīng)在每個項目 測試前對檢測設(shè)備進行核查。對于性能檢測項目，實驗室所選用的設(shè)備應(yīng)是具有 可追溯性的商用軟件和硬件。 6.4.13實驗室應(yīng)保存所有檢測設(shè)備的檔案。實驗室的記錄還應(yīng)包括檢測設(shè)備的 配置信息、軟件檢測工具所需運行環(huán)境等信息。軟件測試工具的不同版本，均應(yīng) 有唯一性標識。 

6.5計量溯源性 6.5.3對于新的或發(fā)生了重大變化的無法進行外部溯源的方法和測試工具，實驗 室應(yīng)采取措施檢查測試方法和測試工具的有效性，檢查措施可包括： a)適用時，對特定的信息安全產(chǎn)品樣例進行檢測，審查信息安全產(chǎn)品樣例 預(yù)埋問題的復(fù)現(xiàn)情況，確認其偏差。 b)適用時，應(yīng)溯源到權(quán)威的測試集規(guī)范或其它有關(guān)的權(quán)威標準或規(guī)范。 

7過程要求 7.1要求、標書和合同的評審 7.1.1a)實驗室合同評審為簽訂信息安全檢測合同而進行評審的政策和程序應(yīng) 包括： 1)對檢測項目的保密和知識產(chǎn)權(quán)保護要求，在合同中（或簽訂專門的協(xié)議） 應(yīng)予明確、充分規(guī)定。 

2)對檢測項目結(jié)束后如何處置檢測對象應(yīng)予以規(guī)定。 7.2方法的選擇、驗證和確認 7.2.1.3實驗室應(yīng)確保測試使用的檢測樣本集（如病毒樣本庫、網(wǎng)絡(luò)攻擊數(shù)據(jù)包、 漏洞庫等）為最新版本。

7.4檢測或校準物品的處置 7.4.1實驗室應(yīng)向客戶提供充分的保證，確保測試工具或測試集不會將病毒或其 他損壞因素引入到屬于客戶的硬件或軟件中。

檢測完成后，實驗室應(yīng)按合同要求 處置被測樣品，并保留記錄。 7.4.3在接收檢測樣品時，實驗室應(yīng)對檢測對象進行病毒檢查并記錄結(jié)果。 

7.5技術(shù)記錄 7.5.1檢測記錄應(yīng)能夠追溯到檢測人員的操作和工作方法及檢測環(huán)境，應(yīng)詳細記 錄檢測環(huán)境配置（硬件和軟件）、參數(shù)設(shè)置等信息，確保該檢測在盡可能接近原 條件的情況下能夠重復(fù)。

當被測對象包括軟件時，實驗室應(yīng)建立配置管理的程序， 確保測試記錄與被測對象的一致性。 7.5.2實驗室應(yīng)有措施保持同一技術(shù)記錄的不同形態(tài)的內(nèi)容修改、版本控制的一 致性。 

7.7確保結(jié)果的有效性 7.7.1實驗室制定有效的質(zhì)量監(jiān)控方案還應(yīng)包括： a)由同一檢測人員對被測對象進行重復(fù)檢測； b)由不同的檢測人員使用相同方法對同一被測對象進行檢測； c)使用不同的檢測方法（技術(shù)）或同一類型的不同儀器或工具對同一被測對 象進行檢測。 實驗室應(yīng)保存監(jiān)控活動的記錄，包括對比對測試結(jié)果的評價。 

7.8報告結(jié)果 7.8.1總則 7.8.1.2實驗室以電子方式傳輸?shù)臋z測報告應(yīng)使用加密方式傳輸，以確保檢測報 告的完整和保密。 7.11數(shù)據(jù)控制和信息管理 7.11.3實驗室應(yīng)建立數(shù)據(jù)（尤其是涉及到客戶敏感數(shù)據(jù)、知識產(chǎn)權(quán)、安全缺陷 等的檢測數(shù)據(jù)、電子和紙質(zhì)記錄以及其他的材料）保護程序，以防止非授權(quán)人員 的訪問。當檢測結(jié)束后，實驗室應(yīng)妥善刪除檢測過程中在被測對象上生成的測試 數(shù)據(jù)（如：端口、策略、賬號、口令等）。 注：納入配置管理的電子版軟件測試技術(shù)文檔，可通過文檔修改表記錄版本 號、修改內(nèi)容、日期、修改人、審核人等信息的方式保持不同介質(zhì)實物資料版本 的一致；納入受控管理的其他技術(shù)記錄，可通過適合不同介質(zhì)的加注方式記錄修 改內(nèi)容、日期、修改人、審核人等信息。 

8.3.2實驗室應(yīng)有規(guī)定和措施，確保計算機系統(tǒng)中的文件與其它載體上的文件在 CNAS-CL01-A020:2018等方面的一致性。 8.7糾正措施（方式A） 8.7.1b)信息安全檢測活動產(chǎn)生問題的原因還可能是：惡意代碼、檢測操作順序、 軟件版本、參數(shù)設(shè)置、漏洞庫、攻擊特征庫等。

山東省CMA/CNAS實驗室認證辦理，山東濟南市CMA/CNAS實驗室認證辦理，山東青島市CMA/CNAS實驗室認證辦理，山東淄博市CMA/CNAS實驗室認證辦理，山東棗莊市CMA/CNAS實驗室認證辦理，山東東營市CMA/CNAS實驗室認證辦理，山東煙臺市CMA/CNAS實驗室認證辦理，山東濰坊市CMA/CNAS實驗室認證辦理，山東濟寧市CMA/CNAS實驗室認證辦理，山東泰安市CMA/CNAS實驗室認證辦理，山東威海市CMA/CNAS實驗室認證辦理，山東日照市CMA/CNAS實驗室認證辦理，山東濱州市CMA/CNAS實驗室認證辦理，山東德州市CMA/CNAS實驗室認證辦理，山東聊城市CMA/CNAS實驗室認證辦理，山東臨沂市CMA/CNAS實驗室認證辦理，山東菏澤市CMA/CNAS實驗室認證辦理，山東萊蕪市CNAS/CMA實驗室資質(zhì)辦理