解读:软件信息行业的CMMI、ITSS、CCRC、CS以及shemizizhi等资质认证

shemizizhi

“涉密”资质主要分为以下几种：

1、武器装备科研生产单位保密资格；

2、涉密信息系统集成资质；

3、国家秘密载体印制资质；

4、涉密业务咨询服务能力建设。

我们重点说下：涉密信息系统集成资质

涉密系统集成资质，是指从事涉密系统业务的单位所需要具备的从事涉及国家秘密活动的资格和保守国家秘密的能力。这里的“涉密系统集成”，包括涉密系统工程的规划、设计、开发、实施、服务及保障等工作。

适用对象：从事涉密信息系统的规划、设计、建设、监理和运行维护等活动的企业。

资质分级：甲级、乙级。

甲级资质单位可以在全国范围内从事绝密级、机密级和秘密级信息系统集成业务。

乙级资质单位可以在注册地省、自治区、直辖市行政区域内从事机密级、秘密级信息系统集成业务。

审查规则：申请前，须先通过由国家保密局指定的资质评估机构的评估。评分制：现场审查满分为100分，达到80分（含）以上为现场审查通过，80分（不含）以下为现场审查不通过

申请涉密信息系统集成资质的单位应具备以下基本条件：

（一）在中华人民共和国境内注册的法人；

（二）依法成立3年以上，有良好的诚信记录；

（三）从事涉密信息系统集成业务人员具有中华人民共和国国籍；

（四）无境外（含中国香港地区、中国澳门地区、中国台湾地区）投资，国家另有规定的从其规定；

（五）取得行业主管部门颁发的有关资质，具有承担涉密信息系统集成业务的专业能力。

CMMI

　CMMI（Capability Maturity Model Integration，软件能力成熟度模型集成）用于指导一个组织进行开发、维护、购买产品和服务的过程。其目的是帮助软件企业对软件工程过程进行管理和改进，增强开发与改进能力，从而能按时地、不超预算地开发出高质量的软件。并通过CMMI认证与国际接轨，可提高产品附加价值，创造产业的新价值。

CMMI适用范围：具有一定规模和实力的软件企业，都可以进行CMMI评估。

必备条件：

1、合法注册的企业；

2、至少需要4-6名ATM，ATM也就是实习评估师；

3、Zui少需要4个项目的记录，软件、硬件和系统集成均可；

4、参与人员不能低于20人。

CMMI的级别划分：

　　CMMI分为五个等级，由低到高依次为：一级（初始级）、二级(已管理级)、三级（已定义级）、四级（量化管理级）、五级（优化管理级）。企业如果需要进行CMMI认证，建议从三级起做。

　    认证要求：

1、CMMI认证组织通常为企业、事业、科研机构等主体或下属的研发部门。

2、组织应按照CMMI模型的要求建立项目管理体系。

3、CMMI体系应当在组织内全面实施，而不是仅仅个别的项目按照CMMI要求来管理。组织应收集和保存项目按照CMMI进行管理的记录和数据。

4、CMMI认证后有效期3年，组织在3年后可以选择CMMI复评或CMMi升级

ITSS

ITSS：是信息技术服务标准（InformationTechnology Service Standards）的英文缩写，指在国家工业和信息化部、国家标准化委的支持下，由ITSS分会研制出的一套IT服务领域的标准库和方法论。

ITSS定义了IT服务由人员(People)、流程(Process)、技术(Technology)和资源(Resource)这四个要素组成，并对这些IT服务的组成要素进行标准化。

ITSS信息技术服务标准分级：

从低到高分别是四级、三级、二级、一级。

（1）四级：是Zui基本的要求，只需要建立ITSS标准要求体系，没有指标评估要求，ITSS分公司组织的专家会议只对评估机构的评估结果进行正式的审查和确认。企业申请ITSS四级，需要公司成立一年，并有相关的运维合作项目。

（2）三级：在四级的基础上，对系统的完整性和与业务的匹配性提出了要求，对运维工具和监控工具提出了要求，并开始有一些关键指标和考核要求；Zui后，组织专家以材料审核的形式进行审核和确认，具有通过率的比例。如果公司申请ITSS三级，需要成立2年以上，并有相关的运维合作项目。

（3）二级：在三级的基础上，在系统建设中更加注重部门、资源之间的相关性和协调，对企业应急交付机制提出要求；Zui后，组织专家对材料审查、现场辩护（认证机构代表、一般领导）进行综合评价和确认。企业需要ITSS三级才能申请ITSS二级。

（4）一级：在二级的基础上，合定量管理，基于数据统计分析进行战略决策和日常管理，促进技术创新和业务变革。Zui后，组织专家对材料审查、现场辩护（企业代表辩护，一般4+1配置）进行综合评审和确认。企业需要ITSS二级才能申请ITSS一级。

认证要求：

1、具有独立法人地位；

2、已按照《ITSS-运维服务能力成熟度》特征和关键指标建立了运维服务能力体系，且有效运行三个月以上；

3、能够提供运维服务能力管理、人员、资源、技术和过程等有效证据；

4、申请单位从事信息系统运维服务业务满一年以上。

CCRC

CCRC（原名ISCC）信息安全服务资质认证是中国网络安全审查技术与认证中心依据国家法律法规、国家标准、行业标准和技术规范，按照认证基本规范及认证规则，对提供信息安全服务机构的信息安全服务资质包括法律地位、资源状况、管理水平、技术能力等方面的要求进行评价，可以对信息安全服务提供商的基本资格、管理能力、技术能力和服务过程能力等方面进行quanwei、客观、公正的评价，证明其服务能力，满足社会对服务的选择需求。

      CCRC信息安全服务资质申请条件：

申请机构所从事的行业开展的项目类型和IT相关，有合适的办公场地，良好的财务状况和资信水平，具备一定的服务人员队伍，建立有基本的管理制度并有效运行，能够为组织的安全服务过程提供支撑和保障。

CCRC信息安全服务资质办理条件：

（一）、CCRC信息安全服务资质一级

      1、企业成立满三年且二级证书满一年

      2、近三个月社保30人及以上

      3、申报类别的安全项目10个及以上

      4、CISAW证书申报类别10人或年审前培训

      5、组织负责人拥有4年以上信息技术领域管理经历

      6、通过ISO27001或20000，覆盖范围含信息安全服务

（二）、CCRC信息安全服务资质二级

      1、企业成立满三年或三级证书满一年

      2、近三个月社保20人及以上

      3、申报类别的安全项目6个及以上

      4、CISAW证书申报类别6人或年审前培训

      5、组织负责人拥有3年以上信息技术领域管理经历

      6、通过ISO27001或20000，覆盖范围含信息安全服务

（三）、CCRC信息安全服务资质三级

      1、企业成立满半年

      2、近三个月社保6人及以上

      3、申报类别的安全项目1个及以上

      4、CISAW证书申报类别2人或年审前培训

      5、组织负责人拥有2年以上信息技术领域管理经历。

C S

CS资质证书是指应用大数据技术及其软件开发技术，依据结构型的网络布线，将各种提取出来的设备、性能和信息集成化到双方关联息系统正常运行服务，包括信息技术服务、软件开发、数据处理方法、信息系统设计方案、设计开发、集成化实行、运行维护和运行服务项目。

CS资质分级：

从低到高分为CS1（初始级）、CS2（基本级）、CS3（良好级）、CS4（youxiu级)、CS5(杰出级）。一般来说从CS1开始起办，初次申请级别不得高于CS2，证书有效期内，达到一定的年限和能力要求后，就可以逐步进行升级。

认证要求：

现在要办CS1也很简单，只需要企业成立满1年，有100平米以上办公场地，在缴社保人数超过10人就可以办理。

1、具有独立企业法人地位，从事信息系统建设和服务业务1年以上。

2、社会信誉良好，有良好的资信和公众形象，有良好的知识产权保护意识，近三年无触犯国家法律法规的行为，无经营异常或严重违法失信行为，无不正当竞争行为

3、满足《信息系统建设和服务能力评估体系能力要求》中相应级别要求。

4、能够提供充分满足战略管理、业务运营、基础保障、改进创新等能力要求的真实性、适宜性和有效性证据。

5、承诺并遵守行业公约，并认同本管理办法。

6、信息系统建设和服务企业可根据自身条件 选择相应级别进行初次申请，初次申请级别不得高于CS2级 （基本级）。证书有效期内，达到一定的年限和能力要求，可逐级进行升级，不可跨级别申请；监督评估和再评估过程 中，对未能达到相应级别能力要求的获证企业进行降级处理。