CL20《檢測(cè)和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則在信息技術(shù)產(chǎn)品檢測(cè)領(lǐng)域的應(yīng)用說(shuō)明》核查表

CNAS-AL01第11頁(yè)共11頁(yè)2011年07附表7(CNAS-CL20:2006)《檢測(cè)和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則在信息技術(shù)產(chǎn)品檢測(cè)領(lǐng)域的應(yīng)用說(shuō)明》核查表4管理要求條款核查內(nèi)容對(duì)應(yīng)的質(zhì)量管理體系文件名稱、編號(hào)及章節(jié)/條款號(hào)自查結(jié)果說(shuō)明備注4.1組織4.1.5實(shí)驗(yàn)室是否c）有政策和程序確?？蛻舻臋C(jī)密信息和所有權(quán)得到保護(hù)，除了電子儲(chǔ)存和傳輸結(jié)果的保護(hù)程序，還要在檢測(cè)過程中對(duì)客戶產(chǎn)品的一切信息進(jìn)行保護(hù)，例如檢測(cè)過程中的屏幕保護(hù)等。d）建立并保持從事信息技術(shù)產(chǎn)品檢測(cè)公正性和信任性的政策和程序。實(shí)驗(yàn)室應(yīng)：(1)確保以獨(dú)立判斷和始終保持可信方式組織信息技術(shù)產(chǎn)品檢測(cè)；(2)同一實(shí)驗(yàn)室人員或小組不能開發(fā)和檢測(cè)同一標(biāo)準(zhǔn)或信息技術(shù)產(chǎn)品；(3)同一實(shí)驗(yàn)室人員對(duì)其將要參加檢測(cè)的同一標(biāo)準(zhǔn)或信息技術(shù)產(chǎn)品不得提供咨詢服務(wù)；填表說(shuō)明：1.“自查結(jié)果說(shuō)明”欄應(yīng)逐個(gè)條款進(jìn)行描述。2.本核查表只在CNAS-CL20適用時(shí)填寫。條款核查內(nèi)容對(duì)應(yīng)的質(zhì)量管理體系文件名稱、編號(hào)及章節(jié)/條款號(hào)自查結(jié)果說(shuō)明備注4.1.5實(shí)驗(yàn)室是否制定明確的政策并在實(shí)驗(yàn)室檢測(cè)人員與產(chǎn)品開發(fā)商、系統(tǒng)集成商、其他有利害關(guān)系和可能影響檢測(cè)結(jié)果的人員之間建立保持相互分離的文件化程序？4.2管理體系4.2.1實(shí)驗(yàn)室的管理體系是否能促進(jìn)實(shí)驗(yàn)室的活動(dòng)以保證技術(shù)準(zhǔn)確，檢測(cè)公正等。管理體系是否包括：(1)保證適當(dāng)信息得到保護(hù)的政策和程序。例如，哪些信息應(yīng)當(dāng)保護(hù)，以防止透露給實(shí)驗(yàn)室之外的人員、參觀實(shí)驗(yàn)室人員、不需知道這些信息的實(shí)驗(yàn)室人員以及其他未授權(quán)人員。(2)體系管理和可靠性的程序。如果適用，還應(yīng)包括在實(shí)驗(yàn)室以外的場(chǎng)所進(jìn)行信息技術(shù)產(chǎn)品檢測(cè)的程序。例如，解釋并說(shuō)明怎樣保證檢測(cè)場(chǎng)所的檢測(cè)條件，如何儲(chǔ)存記錄和文件以及如何控制檢測(cè)設(shè)備等。4.11糾正措施4.11.2不合格潛在的原因除了注釋中所列之外，是否還包括病毒、檢測(cè)的操作順序等？4.13記錄4.13.14.13.1.2總則所有的記錄是否注明日期和簽名？實(shí)驗(yàn)室的記錄是否保存五年以上？4.13.1.3實(shí)驗(yàn)室是否有程序確保所有的記錄（包括任何形式的記錄）的準(zhǔn)確性、完整性和保密性，防止未經(jīng)授權(quán)的訪問和和修改？信息技術(shù)產(chǎn)品檢測(cè)實(shí)驗(yàn)室是否采取措施確保，無(wú)論在檢測(cè)期間還是在檢測(cè)之后，第三方都不能夠訪問在線記錄。如果進(jìn)行檢測(cè)的客戶的系統(tǒng)，在檢測(cè)期間向客戶開放訪問，則檢測(cè)實(shí)驗(yàn)室應(yīng)能確保第三方在檢測(cè)期間不能夠訪問正在進(jìn)行檢測(cè)的客戶的系統(tǒng)。此外，如果進(jìn)行檢測(cè)的客戶的系統(tǒng)在檢測(cè)完成之后向第三方開放訪問，并且客戶要將檢測(cè)結(jié)果放在其系統(tǒng)上，那么，客戶應(yīng)提供一份書面承諾，說(shuō)明對(duì)檢測(cè)記錄負(fù)全部責(zé)任。如果客戶沒有做出這樣的承諾，檢測(cè)實(shí)驗(yàn)室首先應(yīng)以妥善的刪除方式尋求與客戶達(dá)成協(xié)議，然后刪除在檢測(cè)過程中在客戶系統(tǒng)上生成的所有記錄。4.13.1.4以電子形式記錄和存儲(chǔ)的記錄是否有相關(guān)人員和日期的信息，這些記錄是否有適當(dāng)?shù)臉?biāo)識(shí)和備份，是否符合實(shí)驗(yàn)室的政策并確保記錄的完整性？4.13.24.13.2.1技術(shù)記錄檢測(cè)行為記錄是否能夠追溯到檢測(cè)人員的操作和工作方法？5技術(shù)要求條款核查內(nèi)容對(duì)應(yīng)的質(zhì)量管理體系文件名稱、編號(hào)及章節(jié)/條款號(hào)自查結(jié)果說(shuō)明備注5.2人員5.2.1實(shí)驗(yàn)室能否確保其管理人員和技術(shù)人員具備進(jìn)行信息技術(shù)產(chǎn)品檢測(cè)的能力。實(shí)驗(yàn)室是否保存了有效的技術(shù)與管理的人員名單，包括實(shí)驗(yàn)室主任，授權(quán)簽字人和關(guān)鍵技術(shù)人員。實(shí)驗(yàn)室是否保存從事信息技術(shù)產(chǎn)品檢測(cè)和負(fù)責(zé)監(jiān)督的實(shí)驗(yàn)室員工的崗位記錄和個(gè)人簡(jiǎn)歷，且便于查閱？從事信息技術(shù)產(chǎn)品檢測(cè)活動(dòng)的實(shí)驗(yàn)室員工是否具有計(jì)算機(jī)科學(xué)專業(yè)或計(jì)算機(jī)工程專業(yè)或者相關(guān)專業(yè)大學(xué)學(xué)歷，或者具有同等學(xué)歷？5.2.1檢測(cè)人員是否至少具備計(jì)算機(jī)軟件硬件和網(wǎng)絡(luò)技術(shù)等方面的技術(shù)培訓(xùn)？是否至少具備在信息技術(shù)產(chǎn)品具體應(yīng)用領(lǐng)域的3年工作經(jīng)驗(yàn)。實(shí)驗(yàn)室的技術(shù)人員是否至少掌握了解下列范圍的知識(shí)或經(jīng)驗(yàn)：操作系統(tǒng)、數(shù)據(jù)結(jié)構(gòu)、算法設(shè)計(jì)和分析、數(shù)據(jù)庫(kù)系統(tǒng)、程序語(yǔ)言、計(jì)算機(jī)系統(tǒng)結(jié)構(gòu)和網(wǎng)絡(luò)。檢測(cè)人員是否接受過知識(shí)產(chǎn)權(quán)保護(hù)方面的專門教育，是否具備知識(shí)產(chǎn)權(quán)意識(shí)確保客戶利益和商業(yè)機(jī)密不被泄露？實(shí)驗(yàn)室是否針對(duì)相應(yīng)的崗位技術(shù)能力要求和培訓(xùn)考慮了必要的考核？實(shí)驗(yàn)室是否檢查每一名被授權(quán)從事每項(xiàng)檢測(cè)方法檢測(cè)的員工的能力？5.2.2實(shí)驗(yàn)室是否對(duì)新員工和在崗員工制定詳細(xì)的培訓(xùn)計(jì)劃文件？每位新員工是否經(jīng)過培訓(xùn)才能上崗？5.2.2培訓(xùn)計(jì)劃是否是最新的，當(dāng)檢測(cè)標(biāo)準(zhǔn)、檢測(cè)方法和員工崗位等發(fā)生變化時(shí)，在崗員工是否重新培訓(xùn)后上崗。每一名員工是否對(duì)其所從事的工作可能接受在職培訓(xùn)、脫產(chǎn)培訓(xùn)或其他適當(dāng)形式的培訓(xùn)？實(shí)驗(yàn)室保存的培訓(xùn)資料是否是實(shí)用、有效的？實(shí)驗(yàn)室員工的培訓(xùn)是否側(cè)重以下方面：(1)檢測(cè)標(biāo)準(zhǔn)/方法的一般要求，包括編寫檢測(cè)報(bào)告；(2)計(jì)算機(jī)軟硬件及其應(yīng)用的科學(xué)知識(shí)；(3)計(jì)算機(jī)安全知識(shí)；(4)檢測(cè)標(biāo)準(zhǔn)/方法的使用知識(shí)。5.3設(shè)施和環(huán)境條件5.3.1實(shí)驗(yàn)室是否有足夠的設(shè)施以保障信息技術(shù)產(chǎn)品的檢測(cè)？包括但不限于用于檢測(cè)的設(shè)備、用于員工培訓(xùn)、記錄保存、文件保存和軟件保存等的設(shè)施，以及為確保檢測(cè)數(shù)據(jù)的準(zhǔn)確及檢測(cè)設(shè)備的安全穩(wěn)定而應(yīng)具備的防靜電措施。實(shí)驗(yàn)室是否有適當(dāng)?shù)谋Ｗo(hù)系統(tǒng)，保護(hù)相應(yīng)的硬件、軟件、檢測(cè)數(shù)據(jù)、電子和紙質(zhì)記錄以及其他的材料，避免透露給實(shí)驗(yàn)室以外的人員、參觀實(shí)驗(yàn)室人員、以及不需知道這些信息的實(shí)驗(yàn)室人員和其他未授權(quán)人員。5.3.1用于信息技術(shù)產(chǎn)品檢測(cè)的實(shí)驗(yàn)室網(wǎng)絡(luò)是否與實(shí)驗(yàn)室以外的網(wǎng)絡(luò)隔離。如果檢測(cè)在實(shí)驗(yàn)室以外的場(chǎng)所進(jìn)行，其環(huán)境是否也滿足所要求的實(shí)驗(yàn)室環(huán)境等級(jí)，是否能夠控制檢測(cè)環(huán)境以防止非授權(quán)實(shí)體在檢測(cè)期間進(jìn)入系統(tǒng)存取信息？5.3.2實(shí)驗(yàn)室是否具備防范計(jì)算機(jī)病毒、惡意軟件等不良程序?qū)z測(cè)設(shè)施和環(huán)境造成影響的措施？例如，是否具備有效的病毒保護(hù)和軟件/數(shù)據(jù)備份程序。實(shí)驗(yàn)室是否定期檢查網(wǎng)絡(luò)情況，必要時(shí)定期進(jìn)行軟硬件的更新?lián)Q代，與外界建立聯(lián)系應(yīng)具備電子郵件的能力等。5.3.3實(shí)驗(yàn)室同時(shí)進(jìn)行多樣檢測(cè)時(shí)，它是否能保持檢測(cè)中的產(chǎn)品、檢測(cè)平臺(tái)、外圍環(huán)境和文件的有效分離。在某些信息技術(shù)產(chǎn)品檢測(cè)服務(wù)中，單個(gè)檢測(cè)或確認(rèn)服務(wù)內(nèi)使用的軟件構(gòu)件之間是否也進(jìn)行了明確的隔離？檢測(cè)工具、被測(cè)產(chǎn)品和支持環(huán)境是否進(jìn)行了有效的隔離？一旦被測(cè)產(chǎn)品被集成在客戶提供的系統(tǒng)中，實(shí)驗(yàn)室是否確保在被測(cè)系統(tǒng)的環(huán)境部分中沒有來(lái)自其它方面的可能影響其檢測(cè)或確認(rèn)結(jié)果的干擾？5.4檢測(cè)和校準(zhǔn)方法及方法確認(rèn)5.4.1實(shí)驗(yàn)室是否按照檢測(cè)標(biāo)準(zhǔn)和檢測(cè)方法制定文件化程序，并據(jù)此進(jìn)行信息技術(shù)產(chǎn)品檢測(cè)。信息技術(shù)產(chǎn)品檢測(cè)所采用的檢測(cè)方法涉及：檢測(cè)用例集；用來(lái)運(yùn)行這些檢測(cè)用例的檢測(cè)工具（硬件和軟件）以及使用它們的方法；用來(lái)選擇和運(yùn)行檢測(cè)用例及分析觀察、說(shuō)明結(jié)果的相關(guān)程序，所有這些是否都經(jīng)適當(dāng)?shù)尿?yàn)證、確認(rèn)并進(jìn)行相應(yīng)的文件化管理。檢測(cè)方法確認(rèn)中是否包括對(duì)樣品的各個(gè)功能的檢測(cè)順序及檢測(cè)的組合？5.4.4非標(biāo)準(zhǔn)方法注：待測(cè)樣品類型的描述是否包括樣品名稱、版本信息、類別等。5.4.5方法的確認(rèn)方法是否滿足重復(fù)性和復(fù)現(xiàn)性準(zhǔn)則的要求？5.4.6測(cè)量不確定度的評(píng)定這些要求僅適用于要進(jìn)行物理量檢測(cè)以及檢測(cè)涉及使用浮點(diǎn)算法或數(shù)據(jù)的近似表示極個(gè)別情況的檢測(cè)。5.4.7.2c)由使用者開發(fā)的檢測(cè)工具和檢測(cè)用例是否有足夠詳細(xì)的文件說(shuō)明，并對(duì)其適用性進(jìn)行適當(dāng)驗(yàn)證？5.5設(shè)備5.5.2檢測(cè)設(shè)備包括但不限于硬件設(shè)備、軟件檢測(cè)工具或其他的用于信息技術(shù)產(chǎn)品檢測(cè)的設(shè)備，實(shí)驗(yàn)室是否確保檢測(cè)設(shè)備能夠滿足信息技術(shù)產(chǎn)品檢測(cè)的要求？用于信息技術(shù)產(chǎn)品檢測(cè)的計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)是否進(jìn)行合理配置？所選用的設(shè)備應(yīng)是具有可追溯性的商用軟、硬件或其他檢測(cè)工具。5.5.3實(shí)驗(yàn)室是否保存用于信息技術(shù)產(chǎn)品檢測(cè)的設(shè)備的使用說(shuō)明及實(shí)驗(yàn)室內(nèi)部文件化的使用程序？5.5.5實(shí)驗(yàn)室是否對(duì)所有的檢測(cè)設(shè)備情況編制文件和保持記錄？包括客戶提供的設(shè)備和實(shí)驗(yàn)室提供的設(shè)備。記錄除準(zhǔn)則中所列之外，還應(yīng)包括檢測(cè)所用設(shè)備的配置及支撐軟件等信息。5.6測(cè)量溯源性5.6.2.2檢測(cè)信息技術(shù)產(chǎn)品檢測(cè)活動(dòng)是否能追溯到檢測(cè)人員的操作？檢測(cè)工具是否能顯示其實(shí)施的檢測(cè)和檢測(cè)結(jié)論，是否能追溯到檢測(cè)標(biāo)準(zhǔn)和方法？實(shí)驗(yàn)室是否確保檢測(cè)結(jié)果建立在可信的符合檢測(cè)標(biāo)準(zhǔn)和檢測(cè)方法的證據(jù)之上？5.8測(cè)試和校準(zhǔn)物品的處置5.8.1當(dāng)檢測(cè)的產(chǎn)品包括軟件構(gòu)件時(shí)，如果需要，實(shí)驗(yàn)室是否使用適當(dāng)?shù)呐渲霉芾砉ぞ咭源_保在檢測(cè)過程中軟件構(gòu)件的有效性和完整性。5.8.3在接受檢測(cè)樣品時(shí)，是否對(duì)樣品進(jìn)行病毒檢查并記錄。5.8.4實(shí)驗(yàn)室是否向客戶提供充分的保證，確保檢測(cè)工具或檢測(cè)用例集不會(huì)將病毒或其他損壞因素引入到屬于客戶的硬件或軟件中。當(dāng)檢測(cè)樣品包括軟件時(shí)，如需要，為了防止在檢測(cè)過程中樣品軟件被無(wú)意篡改，實(shí)驗(yàn)室是否具備配置管理機(jī)制？5.10結(jié)果