信息技術(shù)服務(wù)管理體系認(rèn)證機(jī)構(gòu)要求certificationofinformation中國(guó)合格評(píng)定國(guó)家認(rèn)可委員會(huì) 2 3 3 3 3 3 3 4 4 4 4 5 5 5 6 6 7 7 7 8 8 9 本文件等同采用國(guó)家標(biāo)準(zhǔn)GB/T2認(rèn)證機(jī)構(gòu)要求》1。本文件是中國(guó)合格評(píng)定國(guó)家認(rèn)可委員會(huì)（CNAS）對(duì)信息技術(shù)服機(jī)構(gòu)的基本認(rèn)可準(zhǔn)則CNAS-CC01《管理體系認(rèn)證機(jī)構(gòu)要求》共同用于CNAS對(duì)在本文件的條款名稱中以“ITS+條款號(hào)”的形式出現(xiàn)的，表明該條款及該條款27308—2011，其內(nèi)容基于ISO/IEC17021:2006（被CNAS等同采用為CNAS-CC01:2007）。ISO/IEC息技術(shù)服務(wù)管理體系認(rèn)證機(jī)構(gòu)認(rèn)可活動(dòng)。CNAS已向全國(guó)認(rèn)證認(rèn)可標(biāo)準(zhǔn)化技術(shù)委員會(huì)（SAC/TC261）建議修訂GB/T27308—2011，并提交了修信息技術(shù)服務(wù)管理體系認(rèn)證機(jī)構(gòu)要求注：本文件也可以作為ITSMS認(rèn)證機(jī)構(gòu)間同行評(píng)審或其他針對(duì)ITSMS認(rèn)GB/T24405.1信息技術(shù)服務(wù)管理第1部分：服務(wù)管理體系要求（ISO/IECCNAS-CC01第5章適用，并且以下ITS認(rèn)證機(jī)構(gòu)應(yīng)對(duì)其審核和認(rèn)證活動(dòng)可能給客戶組織的信息安全帶來(lái)的風(fēng)險(xiǎn)以及認(rèn)的能力需求分析，以及在申請(qǐng)?jiān)u審和審核方案管理中根據(jù)特定客戶具體情況進(jìn)行的能力需求分析（見本文件9.1.2）；e）本機(jī)構(gòu)審核和認(rèn)證的實(shí)踐（包括針對(duì)特定客戶組織的審核和認(rèn)證根據(jù)能力需求分析結(jié)果的變化及時(shí)更新能力準(zhǔn)則注：其他認(rèn)證人員包括ITSMS認(rèn)證機(jī)構(gòu)的管理人員、行政支持性人員、相關(guān)委7.2.2.1ITSMS認(rèn)證機(jī)構(gòu)宜確定并持續(xù)改進(jìn)用于判斷認(rèn)證人員是否滿足能力準(zhǔn)則的注：CNAS-CC01附錄D（資料性附錄）和ISO19011就期望認(rèn)證人員表現(xiàn)出的個(gè)準(zhǔn)和法律法規(guī)等方面的知識(shí)隨著這些方面的發(fā)CNAS-CC01第8章適用，并且以下ITS8.1.1在認(rèn)證審核前，認(rèn)證機(jī)構(gòu)應(yīng)要求客戶組織識(shí)別并向認(rèn)證機(jī)構(gòu)告知其ITSMS范如果認(rèn)證機(jī)構(gòu)因?yàn)槲传@得客戶組織的允許或無(wú)法滿足適用的要求而不能接觸相8.1.2認(rèn)證機(jī)構(gòu)應(yīng)與其ITSMS認(rèn)證相關(guān)人員簽訂在法律上具有強(qiáng)制實(shí)施力的協(xié)議，以確保認(rèn)證相關(guān)人員對(duì)審核和認(rèn)證過(guò)程中接觸到的客戶組織的保密或敏感信息予以CNAS-CC01第9章適用，并且以下ITS點(diǎn)、服務(wù)提供所用的技術(shù)以及其他適用的方面注：遠(yuǎn)程審核技術(shù)，例如，電話會(huì)議、網(wǎng)絡(luò)會(huì)對(duì)信息系統(tǒng)硬件的架構(gòu)、選型和實(shí)施策略指以搭建需方的信息化管理支持平臺(tái)為目將各個(gè)分離的軟件、功能和信息等集成到相互關(guān)聯(lián)的、統(tǒng)一和協(xié)調(diào)的平臺(tái)之中的服檢驗(yàn)信息系統(tǒng)是否與要求相吻合的測(cè)試服檢驗(yàn)軟件產(chǎn)品是否與要求相吻合的測(cè)試服計(jì)算機(jī)及其外部設(shè)備、網(wǎng)絡(luò)設(shè)備、音視頻設(shè)備、自動(dòng)化控制設(shè)備及其他采用信息技術(shù)控制的硬件及設(shè)備的狀態(tài)監(jiān)控、故障處基礎(chǔ)軟件和應(yīng)用軟件的安裝、升級(jí)、故障評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來(lái)判斷安全事件一旦發(fā)通過(guò)專業(yè)的服務(wù)，解決網(wǎng)絡(luò)和信息系統(tǒng)日在處置網(wǎng)絡(luò)與安全事件時(shí)提供一系列的措將信息系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢