商用密码应用安全性测评机构资质流程( 二 ) _流程管理

质量管理能力
(1)建立质量管理体系，制定相应的质量目标，指定质量主管，并明确其管理职责
(2)根据国家有关保密规定制定保密管理制度，明确保密范围、保密职责及有关罚则等内容，定期对工作人员进行保密教育，防止发生泄露国家秘密、商业秘密、敏感信息和个人隐私的事件，测评人员应签订《保密责任书》，规定其应当履行的安全保密义务和承担的法律责任
(3)制定测评项目管理程序，主要应包括测评工作的组织形式、工作职责、测评各阶段的工作内容和管理要求等
(4)保证管理系统的有效运行，持续改进自身的测评质量和管理水平，发现问题及时反馈并采取纠正措施，确保其有效性
(5)制定投诉及争议处理制度，严格遵守制度并记录采取的措施
风险控制能力
(1)充分估计测评过程可能给被测系统带来的风险（测评活动、测评设备和工具接入、测评活动残留数据的保护和清理、重要信息泄露）
(2)针对以上风险制定规避和控制措施
二、密评机构能力评审程序
由国家秘密管理局组成评审专家组，组织专家评审，评审程序分为三个阶段。
阶段
评审内容
材料核查
专家组对申请单位提交的材料进行审查。申请材料包括：
(1)《商用密码应用安全性测评机构申请表》
(2)从事与商用密码相关工作情况的说明
(3)开展测评工作所需软硬件及其他服务保障设施配备情况
(4)管理制度建设情况（需要提供相关制度的文本文件）

文章插图
(5)申请单位及其测评人员基本情况（需要提供人员的基本信息）
(6)申请单位认为有必要提交的其他材料
(7)《商用密码应用安全性测评机构能力评估申请表》
现场评审
专家组前往申请单位，采取查看、问询、模拟考试、问卷考试等形式，对照《商用密码应用安全新评估测评机构能力要求》对机构进行评审（即上面密评机构能力自检表中的7项），并对照《商业密码应用安全性测评结构能力评审专家评分表》逐项打分。
综合评议
专家组组长召开会议，综合材料审查和现场评审情况进行研讨和评议。汇总专家评审情况，填写《商用密码应用安全性测评机构能力评审汇总表》，提交国家密码管理局。另增加实际测评能力仿真评价环节，确保申请机构有实战经验，而且能力特别突出。
三、密评机构申请流程
步骤
具体工作
(1)机构提交申请材料
申请测评机构应提交的材料包括
(1)《商用密码应用安全性测评机构申请表》
(2)从事与商用密码相关工作情况的说明
(3)开展测评工作所需软硬件及其他服务保障设施配备情况
(4)管理制度建设情况（需要提供相关制度的文本文件）
(5)申请单位及其测评人员基本情况（需要提供人员的基本信息）
(6)申请单位认为有必要提交的其他材料
(2)材料初审
国际密码管理局设立申请材料初审工作组，对申请材料进行初审，出具初审结论。初审结论按程序报批后，告知申请单位。
(3)测评人员培训考核
通过初审的申请单位，应在60个工作日内参加培训、考核和能力评审。
(4)机构能力评审
国家密码管理局设立测评机构能力评审专家组，负责申请单位的能力评审工作，具体就是开展材料审核、现场评审和综合评议。