CNASCL46：2022年《檢測和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則在信息安全檢測領(lǐng)域的應(yīng)用說明》

CNAS-CL46-2022檢測和校準(zhǔn)試驗(yàn)室力量認(rèn)可準(zhǔn)則在信息安全檢測領(lǐng)域的應(yīng)用說明中國合格評定國家認(rèn)可委員會(huì)前言本文件由中國合格評定國家認(rèn)可委員會(huì)〔CNAS〕制定，是結(jié)合信息安全檢測的特點(diǎn)對CNAS-CL01：2022《檢測和校準(zhǔn)試驗(yàn)室力量認(rèn)可準(zhǔn)則》中的局部條款的應(yīng)用說明，并不增加或削減該認(rèn)可準(zhǔn)則的要求。本文件與CNAS-CL01：2022《檢測和校準(zhǔn)試驗(yàn)室力量認(rèn)可準(zhǔn)則》同時(shí)使用。在構(gòu)造編排上，本文件章、節(jié)的條款號和條款名稱均承受CNAS-CL01:2022中章、節(jié)條款號和名稱，對CNAS-CL01:2022應(yīng)用說明的具體內(nèi)容在對應(yīng)條款后給出。檢測和校準(zhǔn)試驗(yàn)室力量認(rèn)可準(zhǔn)則在信息安全檢測領(lǐng)域的應(yīng)用說明范圍1.2 本文件適用于全部從事信息安全檢測的試驗(yàn)室。引用標(biāo)準(zhǔn)檢測和校準(zhǔn)試驗(yàn)室認(rèn)可準(zhǔn)則〔CNAS-CL01:2022〕術(shù)語和定義治理要求組織假照試驗(yàn)室所在的組織從事信息安全檢測以外的活動(dòng)〔例如，涉及信息安全相關(guān)的開發(fā)，應(yīng)承諾并實(shí)行措施確保不利用被檢測信息安全相關(guān)方的學(xué)問產(chǎn)權(quán)牟取利推斷獨(dú)立性和檢測誠信度。試驗(yàn)室應(yīng)：安排由生疏工程治理、信息安全開發(fā)技術(shù)、信息安全測試技術(shù)及其標(biāo)準(zhǔn)、規(guī)程和標(biāo)準(zhǔn)的技術(shù)人員負(fù)責(zé)組織、實(shí)施信息安全檢測任務(wù)。有政策和程序確保與被測對象的信息安全相關(guān)各方的機(jī)密信息和學(xué)問產(chǎn)權(quán)得密承諾書。應(yīng)建立并保持從事信息安全檢測公正性和誠懇性的政策和程序，并確保信息e〕55.2要求的信息安全檢測技術(shù)人員，并應(yīng)擁有與其檢測任務(wù)相適應(yīng)的場地、設(shè)施、設(shè)備、檢測工具等資源。g〕由生疏信息安全的檢測過程、標(biāo)準(zhǔn)/標(biāo)準(zhǔn)/規(guī)程，信息安全質(zhì)量評價(jià)和信息安全測試質(zhì)量評價(jià)的人員，負(fù)責(zé)信息安全檢測過程和產(chǎn)品的標(biāo)準(zhǔn)符合性審核監(jiān)視；h) 由生疏信息安全測試需求、測試結(jié)果評價(jià)和判定準(zhǔn)則的人員負(fù)責(zé)對信息安全1名信息安全檢測領(lǐng)域的技術(shù)負(fù)責(zé)人。治理體系文件掌握4.3.3.4 試驗(yàn)室應(yīng)有規(guī)定和措施，確保計(jì)算機(jī)系統(tǒng)中的文件與其它載體上的文件在內(nèi)容、修訂、版本掌握、公布、存檔等方面的全都性。要求、標(biāo)書和合同的評審4.4.1為簽訂信息安全檢測合同而進(jìn)展評審的政策和程序應(yīng)包括：a〕對檢測工程的機(jī)密保護(hù)和學(xué)問產(chǎn)權(quán)保護(hù)要求，在合同中〔或簽訂特地的協(xié)議〕應(yīng)予明確、充分規(guī)定。b〕對檢測工程完畢后如何處置檢測對象應(yīng)予以規(guī)定。檢測和校準(zhǔn)的分包效勞和供給品的選購效勞客戶投訴不符合檢測和/校準(zhǔn)工作的掌握改進(jìn)訂正措施4.11.2 緣由分析本、參數(shù)設(shè)置、漏洞庫、攻擊特征庫等。預(yù)防措施記錄的掌握總則1個(gè)認(rèn)可周期，或依據(jù)客戶要求的時(shí)限保存。試驗(yàn)室應(yīng)有程序確保全部的記錄〔包括任何形式的記錄〕的準(zhǔn)確性、完整性和保密性。的標(biāo)識和備份，應(yīng)符合試驗(yàn)室的政策并確保記錄的完整性，防止未經(jīng)授權(quán)的訪問和修改。技術(shù)記錄檢測環(huán)境配置〔硬件和軟件、參數(shù)設(shè)置等信息，確保該檢測在盡可能接近原條件的狀況下能夠重復(fù)。當(dāng)被測對象包括軟件時(shí)，試驗(yàn)室應(yīng)建立配置治理的程序，以保證測試記錄與被測對象的全都性。4.13.2.3 試驗(yàn)室應(yīng)有措施保持同一技術(shù)記錄的不同形態(tài)的內(nèi)容修改、版本掌握的全都性。內(nèi)部審核治理評審技術(shù)要求總則人員。信息安全檢測人員應(yīng)具有信息安全、計(jì)算機(jī)軟硬件、通信或網(wǎng)絡(luò)等相關(guān)專業(yè)本科31年以上信息安全檢測工作經(jīng)受。信息安全檢測領(lǐng)域的技術(shù)負(fù)責(zé)人、授權(quán)簽字人和意見解釋人員應(yīng)具備信息安全檢53年以上信息安全檢測工作經(jīng)受；試驗(yàn)室人員應(yīng)承受過安全保密、學(xué)問產(chǎn)權(quán)保護(hù)方面的特地教育，并應(yīng)具備安全保密意識和學(xué)問產(chǎn)權(quán)保護(hù)意識，以確?？蛻衾婧蜕虡I(yè)機(jī)密不被泄露。試驗(yàn)室的員工應(yīng)經(jīng)過相關(guān)培訓(xùn)、考核通過前方能上崗。試驗(yàn)室應(yīng)保存全部技術(shù)人員〔包括簽約人員〕的相關(guān)授權(quán)記錄。設(shè)施和環(huán)境條件有效的惡意代碼防護(hù)和軟件/數(shù)據(jù)備份程序。試驗(yàn)室還應(yīng)對檢測環(huán)境在使用前進(jìn)展核查。檢測網(wǎng)絡(luò)應(yīng)與其他網(wǎng)絡(luò)實(shí)行隔離措施。假設(shè)同時(shí)進(jìn)展多個(gè)檢測工程，試驗(yàn)室應(yīng)要求，并確保檢測活動(dòng)在受控環(huán)境下執(zhí)行。條件。檢測和校準(zhǔn)方法及方法確實(shí)認(rèn)總則試驗(yàn)室應(yīng)依據(jù)檢測方法制定可操作的文件化程序。信息安全檢測所承受的檢測方法可能涉及：檢測樣本集〔如病毒樣本庫、網(wǎng)絡(luò)攻擊數(shù)據(jù)包、漏洞庫等、檢測用例集以及檢測工具/平臺(tái)等。全部檢測方法都應(yīng)經(jīng)過適當(dāng)?shù)尿?yàn)證、確認(rèn)及其文件化治理。試驗(yàn)室應(yīng)確保測試使用的檢測樣本集為最版本。方法的選擇當(dāng)有產(chǎn)品檢測方法時(shí)，試驗(yàn)室應(yīng)使用產(chǎn)品檢測方法。5.4.7.2b) 試驗(yàn)室應(yīng)建立數(shù)據(jù)〔尤其是涉及到客戶敏感數(shù)據(jù)、學(xué)問產(chǎn)權(quán)、安全缺陷等〕保護(hù)程序，以防止非授權(quán)人員的訪問。〔如：端口、策略、賬號、口令等。設(shè)備5.5.2信息安全檢測設(shè)備應(yīng)包括硬件設(shè)備和軟件檢測工具。試驗(yàn)室應(yīng)在每個(gè)工程測試性的商用軟件和硬件。軟件測試工具的不同版本，均應(yīng)有唯一性標(biāo)識。息，軟件檢測工具所需運(yùn)行環(huán)境等信息。測量溯源性檢測對于的或發(fā)生了重大變化的無法進(jìn)展外部溯源的方法和測試工具，試驗(yàn)室應(yīng)實(shí)行措施檢查測試方法和測試工具的有效性，檢查措施可包括：適用時(shí)，對特定的信息安全產(chǎn)品樣例進(jìn)展檢測，審查信息安全產(chǎn)品樣例預(yù)埋問題的復(fù)現(xiàn)狀況，確認(rèn)其偏差。適用時(shí)，確認(rèn)報(bào)告應(yīng)指明可溯源到權(quán)威的測試集標(biāo)準(zhǔn)或其它有關(guān)的權(quán)威標(biāo)準(zhǔn)或標(biāo)準(zhǔn)。抽樣檢測和校準(zhǔn)物品〔樣品〕的處置在接收檢測樣品時(shí)，試驗(yàn)室應(yīng)對檢測對象進(jìn)展病毒檢查并記錄結(jié)果。試驗(yàn)室應(yīng)向客戶供給充分的保證，保證檢測工具或測試集不會(huì)將病毒或其他損后處置方式處置被測對象，并保存記錄。檢測和校準(zhǔn)結(jié)果質(zhì)量的保證試驗(yàn)室制定的質(zhì)量掌握打算還應(yīng)包括：由同一檢測人員對被測對象進(jìn)展重復(fù)檢測；由不同的檢測人員使用