本文件由中國合格評定國家認(rèn)可委員會（CNAS）制定，是結(jié)合信息安 全檢測的特點(diǎn)對CNAS-CL01《檢測和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則》中的部分 條款的應(yīng)用說明，并不增加或減少該認(rèn)可準(zhǔn)則的要求。 本文件與CNAS-CL01《檢測和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則》同時(shí)使用。 

在結(jié)構(gòu)編排上，本文件章、節(jié)的條款號和條款名稱均采用CNAS-CL01: 中章、節(jié)條款號和名稱，對CNAS-CL01應(yīng)用說明的具體內(nèi)容在對應(yīng)條款后 給出。 

本文件代替CNAS-CL46:2013《檢測和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則在信息安 全檢測領(lǐng)域的應(yīng)用說明》。 本次修訂主要根據(jù)CNAS-CL01:2018《檢測和校準(zhǔn)實(shí)驗(yàn)室能力認(rèn)可準(zhǔn)則》 對章節(jié)號重新進(jìn)行了編排，并按照CNAS的統(tǒng)一要求調(diào)整文件編號。

1范圍 本文件適用于所有從事信息安全檢測的實(shí)驗(yàn)室。 2引用文件 CNAS-CL01:2018《檢測和校準(zhǔn)實(shí)驗(yàn)室認(rèn)可準(zhǔn)則》 3術(shù)語和定義 4通用要求 4.1公正性 4.1.3如果實(shí)驗(yàn)室所在的組織從事信息安全檢測以外的活動（例如，涉及信息安 全相關(guān)的開發(fā)），應(yīng)承諾并采取措施確保不利用被檢測信息安全相關(guān)方的知識產(chǎn) 權(quán)牟取利益。 

4.1.4實(shí)驗(yàn)室應(yīng)建立并保持從事信息安全檢測公正性和誠實(shí)性的政策和程序，并 確保信息安全檢測人員不參加被測對象的開發(fā)和咨詢，確保實(shí)驗(yàn)室檢測人員與產(chǎn) 品開發(fā)商、系統(tǒng)集成商、安全集成商、其他有利害關(guān)系和可能影響檢測結(jié)果的人 員之間相互分離。 

6.2.2信息安全檢測實(shí)驗(yàn)室的人員應(yīng)滿足以下要求： a)信息安全檢測人員應(yīng)具有信息安全、計(jì)算機(jī)、通信或網(wǎng)絡(luò)等相關(guān)專業(yè)本 科或以上學(xué)歷，從事信息安全檢測工作1年以上，且至少參與過3個信息安全檢 測項(xiàng)目。 b)信息安全檢測領(lǐng)域的授權(quán)簽字人和意見解釋人員應(yīng)具有信息安全、計(jì)算 機(jī)、通信或網(wǎng)絡(luò)等相關(guān)專業(yè)本科或以上學(xué)歷，從事信息安全檢測工作3年以上， 且至少參與過5個信息安全檢測項(xiàng)目。 c)實(shí)驗(yàn)室人員應(yīng)經(jīng)過相關(guān)培訓(xùn)，考核通過后方能上崗。實(shí)驗(yàn)室人員還應(yīng)接 受安全保密和知識產(chǎn)權(quán)保護(hù)方面的培訓(xùn)，以確保客戶利益和商業(yè)機(jī)密不被泄露。 d)實(shí)驗(yàn)室應(yīng)： 1)至少具有5名信息安全檢測人員； 2)由熟悉信息安全項(xiàng)目管理、開發(fā)、測試及標(biāo)準(zhǔn)、規(guī)范、規(guī)程的技術(shù)人員 負(fù)責(zé)組織實(shí)施信息安全檢測任務(wù)；

3)由熟悉信息安全檢測過程、標(biāo)準(zhǔn)/規(guī)范/規(guī)程，信息安全質(zhì)量評價(jià)和信息 安全測試質(zhì)量評價(jià)的人員，負(fù)責(zé)信息安全檢測過程和產(chǎn)品的規(guī)范符合性審核監(jiān) 督； 4)由熟悉信息安全測試需求、測試結(jié)果評價(jià)和判定準(zhǔn)則的人員負(fù)責(zé)對信息 安全測試輸入和測試結(jié)果進(jìn)行核查。 6.3設(shè)施和環(huán)境條件 6.3.1實(shí)驗(yàn)室應(yīng)建立穩(wěn)壓、防靜電和防范惡意代碼的檢測環(huán)境。實(shí)驗(yàn)室還應(yīng)對檢 測環(huán)境在使用前進(jìn)行核查。 6.3.4b)檢測網(wǎng)絡(luò)應(yīng)與其他網(wǎng)絡(luò)采取隔離措施。

如果同時(shí)進(jìn)行多個檢測項(xiàng)目，實(shí) 驗(yàn)室應(yīng)保持檢測環(huán)境的有效分離。當(dāng)檢測活動在實(shí)驗(yàn)室以外場所進(jìn)行時(shí)，其檢測 環(huán)境也應(yīng)滿足要求，并確保檢測活動在受控環(huán)境下執(zhí)行。當(dāng)通過實(shí)驗(yàn)室以外的網(wǎng) 絡(luò)實(shí)施遠(yuǎn)程檢測時(shí)，應(yīng)注意影響網(wǎng)絡(luò)正常運(yùn)行的環(huán)境條件。 6.4設(shè)備 6.4.1信息安全檢測設(shè)備應(yīng)包括硬件設(shè)備和軟件檢測工具。

實(shí)驗(yàn)室應(yīng)在每個項(xiàng)目 測試前對檢測設(shè)備進(jìn)行核查。對于性能檢測項(xiàng)目，實(shí)驗(yàn)室所選用的設(shè)備應(yīng)是具有 可追溯性的商用軟件和硬件。 6.4.13實(shí)驗(yàn)室應(yīng)保存所有檢測設(shè)備的檔案。實(shí)驗(yàn)室的記錄還應(yīng)包括檢測設(shè)備的 配置信息、軟件檢測工具所需運(yùn)行環(huán)境等信息。軟件測試工具的不同版本，均應(yīng) 有唯一性標(biāo)識。 

6.5計(jì)量溯源性 6.5.3對于新的或發(fā)生了重大變化的無法進(jìn)行外部溯源的方法和測試工具，實(shí)驗(yàn) 室應(yīng)采取措施檢查測試方法和測試工具的有效性，檢查措施可包括： a)適用時(shí)，對特定的信息安全產(chǎn)品樣例進(jìn)行檢測，審查信息安全產(chǎn)品樣例 預(yù)埋問題的復(fù)現(xiàn)情況，確認(rèn)其偏差。 b)適用時(shí)，應(yīng)溯源到權(quán)威的測試集規(guī)范或其它有關(guān)的權(quán)威標(biāo)準(zhǔn)或規(guī)范。 

7過程要求 7.1要求、標(biāo)書和合同的評審 7.1.1a)實(shí)驗(yàn)室合同評審為簽訂信息安全檢測合同而進(jìn)行評審的政策和程序應(yīng) 包括： 1)對檢測項(xiàng)目的保密和知識產(chǎn)權(quán)保護(hù)要求，在合同中（或簽訂專門的協(xié)議） 應(yīng)予明確、充分規(guī)定。 

2)對檢測項(xiàng)目結(jié)束后如何處置檢測對象應(yīng)予以規(guī)定。 7.2方法的選擇、驗(yàn)證和確認(rèn) 7.2.1.3實(shí)驗(yàn)室應(yīng)確保測試使用的檢測樣本集（如病毒樣本庫、網(wǎng)絡(luò)攻擊數(shù)據(jù)包、 漏洞庫等）為最新版本。

7.4檢測或校準(zhǔn)物品的處置 7.4.1實(shí)驗(yàn)室應(yīng)向客戶提供充分的保證，確保測試工具或測試集不會將病毒或其 他損壞因素引入到屬于客戶的硬件或軟件中。

檢測完成后，實(shí)驗(yàn)室應(yīng)按合同要求 處置被測樣品，并保留記錄。 7.4.3在接收檢測樣品時(shí)，實(shí)驗(yàn)室應(yīng)對檢測對象進(jìn)行病毒檢查并記錄結(jié)果。 

7.5技術(shù)記錄 7.5.1檢測記錄應(yīng)能夠追溯到檢測人員的操作和工作方法及檢測環(huán)境，應(yīng)詳細(xì)記 錄檢測環(huán)境配置（硬件和軟件）、參數(shù)設(shè)置等信息，確保該檢測在盡可能接近原 條件的情況下能夠重復(fù)。

當(dāng)被測對象包括軟件時(shí)，實(shí)驗(yàn)室應(yīng)建立配置管理的程序， 確保測試記錄與被測對象的一致性。 7.5.2實(shí)驗(yàn)室應(yīng)有措施保持同一技術(shù)記錄的不同形態(tài)的內(nèi)容修改、版本控制的一 致性。 

7.7確保結(jié)果的有效性 7.7.1實(shí)驗(yàn)室制定有效的質(zhì)量監(jiān)控方案還應(yīng)包括： a)由同一檢測人員對被測對象進(jìn)行重復(fù)檢測； b)由不同的檢測人員使用相同方法對同一被測對象進(jìn)行檢測； c)使用不同的檢測方法（技術(shù)）或同一類型的不同儀器或工具對同一被測對 象進(jìn)行檢測。 實(shí)驗(yàn)室應(yīng)保存監(jiān)控活動的記錄，包括對比對測試結(jié)果的評價(jià)。 

7.8報(bào)告結(jié)果 7.8.1總則 7.8.1.2實(shí)驗(yàn)室以電子方式傳輸?shù)臋z測報(bào)告應(yīng)使用加密方式傳輸，以確保檢測報(bào) 告的完整和保密。 7.11數(shù)據(jù)控制和信息管理 7.11.3實(shí)驗(yàn)室應(yīng)建立數(shù)據(jù)（尤其是涉及到客戶敏感數(shù)據(jù)、知識產(chǎn)權(quán)、安全缺陷 等的檢測數(shù)據(jù)、電子和紙質(zhì)記錄以及其他的材料）保護(hù)程序，以防止非授權(quán)人員 的訪問。當(dāng)檢測結(jié)束后，實(shí)驗(yàn)室應(yīng)妥善刪除檢測過程中在被測對象上生成的測試 數(shù)據(jù)（如：端口、策略、賬號、口令等）。 注：納入配置管理的電子版軟件測試技術(shù)文檔，可通過文檔修改表記錄版本 號、修改內(nèi)容、日期、修改人、審核人等信息的方式保持不同介質(zhì)實(shí)物資料版本 的一致；納入受控管理的其他技術(shù)記錄，可通過適合不同介質(zhì)的加注方式記錄修 改內(nèi)容、日期、修改人、審核人等信息。 

8.3.2實(shí)驗(yàn)室應(yīng)有規(guī)定和措施，確保計(jì)算機(jī)系統(tǒng)中的文件與其它載體上的文件在 CNAS-CL01-A020:2018等方面的一致性。 8.7糾正措施（方式A） 8.7.1b)信息安全檢測活動產(chǎn)生問題的原因還可能是：惡意代碼、檢測操作順序、 軟件版本、參數(shù)設(shè)置、漏洞庫、攻擊特征庫等。

山東省CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東濟(jì)南市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東青島市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東淄博市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東棗莊市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東東營市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東煙臺市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東濰坊市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東濟(jì)寧市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東泰安市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東威海市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東日照市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東濱州市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東德州市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東聊城市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東臨沂市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東菏澤市CMA/CNAS實(shí)驗(yàn)室認(rèn)證辦理，山東萊蕪市CNAS/CMA實(shí)驗(yàn)室資質(zhì)辦理