CNAS-CC170：2015 信息安全管理体系认证机构要求 (1).pdfVIP

CNAS-CC170 信息安全管理体系认证机构要求 Requirements for Information Security Management System Certification Bodies 中国合格评定国家认可委员会 2015 年12 月30 日发布 2016 年04 月01 日 实施 CNAS-CC170:2015 第1 页 共37 页 目 次 目 次 1 前 言 3 引 言 4 1 范围 5 2 规范性引用文件 5 3 术语和定义 5 4 原则 5 5 通用要求 5 5.1 法律与合同事宜 5 5.2 公正性的管理 5 5.3 责任和财力 6 6 结构要求 6 7 资源要求 6 7.1 人员能力 6 7.2 参与认证活动的人员 9 7.3 外部审核员和外部技术专家的使用 10 7.4 人员记录 10 7.5 外包 10 8 信息要求 10 8.1 公开信息 10 8.2 认证文件 11 8.3 认证的引用和标志的使用 11 8.4 必威体育官网网址 11 8.5 认证机构与其客户间的信息交换 11 9 过程要求 11 9.1 认证前的活动 11 9.2 策划审核 14 9.3 初次认证 15 9.4 实施审核 16 9.5 认证决定 17 9.6 保持认证 17 9.7 申诉 18 2015 年12 月30 日 发布 2016 年04 月01 日 实施 CNAS-CC170:2015 第2 页 共37 页 9.8 投诉 18 9.9 客户的记录 18 10 认证机构的管理体系要求 18 10.1 可选方式 18 10.2 方式A：通用的管理体系要求 19 10.3 方式B：与GB/T19001 一致的管理体系要求 19 附录A （资料性附录）ISMS 审核与认证的知识与技能 20 附录B （规范性附录）审核时间 22 附录C （资料性附录）审核时间计算方法 27 附录D （资料性附录）对已实施的ISO/IEC 27001:2013 附录A 的控制的评审指南.. 31 参考文献 37 2015 年12 月30 日 发布 2016 年04 月01 日 实施 CNAS-CC170:2015 第3 页 共37 页 前 言 本文件等同采用国际标准ISO/IEC 27006:2015 《信息技术安全技术 信息安全管理 体系审核认证机构的要求》。本文件是CNAS对信息安全管理体系认证机构的专用认可准 则，与管理体系认证机构基本认可准则CNAS-CC01:2015 《管理体系认证机构要求》共同 构成CNAS对信息安全管理体系认证机构的认可准则。 本文件的附录A、C和D是资料性附录，附录B是规范性附录。 为了便于使用，对ISO/IEC 27006:2015做了下列编辑性修改： 1) 针对认证机构的管理时，用词汇“程序”表示“procedure”；针对客户的管理 时，用词汇“规程”表示“procedure”； 2) 针对认证机构的管理时，用词汇“政策”表示 “policy”；针对客户的信息安 全方面的管理时，用词汇“策略”表示 “policy”，针对客户的管理体系方面 的管理时，用 “方针”表示“policy”； 本文件代替了CNAS-CC17:2012。 2015 年12 月30 日 发布 2016 年04 月01 日 实施 CNAS