網絡安全合規咨詢服務規范-編制說明

1/10團體標準《工作簡況1.1任務來源《網絡安全合規咨詢服務規范》由網安聯認證中心有限公司作為提出單位，由廣東省網絡空間安全協會和北京網絡空間安全協會歸口管理。1.2主要起草單位和工作組成員本標準由網安聯認證中心有限公司、廣東省網絡空間安全協會、廣州新珀爾信息技術股份有限公司、聯奕科技股份有限公司、神州中安（廣州）技術有限公司等多家單位共同參與編制。1.3主要工作過程（1）2021年12月24日，組織參與本標準編寫的相關單位召開項目啟動會，成立規范編制小組，確立各自分工，開展標準修訂工作。（2）2022年1月20日，編制組召開組內研討會并結合充分的調研結果，參考各類國家標準和相關政策文件，形成標準草案初稿，（3）2022年1月25日，經內部多次討論研究，形成標準內容修改稿。（4）2022年4月8日，編制組召開組內研討會，基于前期成果，經多次內部討論研究，組織完善草案內容，形成終稿。二、標準編制原則和標準編制詳細說明及解決的主要問題2.1編制原則本標準的研究與編制工作遵循以下原則：（1）符合性原則遵循國家現有資費相關標準，符合國家有關法律法規和已編制標準規范的相關要求，符合國家資費管理主管部門的要求。（2）實用性原則本標準規范是對實際工作成果的總結與提升，保持整體結果合理且維持原意和功能不變，針對不同的用戶群體，做到可操作、可用與實用。2.2文檔結構網絡安全合規咨詢服務規范文檔分為前言、引言、范圍、規范性引用文件、術語和定義、網絡安全合規咨詢服務類型、服務機構等級劃分、通用評價要求、附錄、參考文獻等九部分。2.3整體格式整體格式根據GB/T1.1-2020《標準化工作導則第1部分：標準化文件的結構和起草規則》的相關要求，對本標準的各要素進行編寫和排版。在標準內容匯總過程中，對各編寫組成員提交過來的部分，根據GB/T1.1的編寫要求進行了必要的增刪改，以確保符合一致性、協調性、易用性等文件的表述原則及相關規定。2.4標準名稱英文翻譯標準的名稱“網絡安全合規咨詢服務規范”翻譯為“Specificationforcyberspacesecuritycomplianceconsultingservice”。2.5術語和定義術語和定義中所列的術語的英文翻譯，根據各部分編寫成員提供的術語，如有類似術語的標準，參考了其翻譯，沒有類似術語標準翻譯的，通過百度翻譯和谷歌翻譯后進行對比，并參考網絡相關翻譯后進行確定。2.6網絡安全服務類型網絡安全合規咨詢服務類型主要包括網絡安全等級保護合規咨詢、數據安全合規咨詢、個人信息安全合規咨詢。2.7服務機構等級劃分咨詢服務機構能力評價包含通用評價要求和專業能力評價要求。通用評價要求包含法律資格、財務資信、人員狀況、辦公場所、從業時間、經營業績、管理制度、管理體系、保證能力、風險控制能力、可持續發展能力等。專業能力評價要求包含基本要求、專業能力要求、服務過程規范等。依據咨詢服務機構的基本能力、專業能力和服務過程能力分為一級、二級、三級、四級，其中四級最高，一級最低。2.8通用評價要求通用評價要求部分規定了一級、二級、三級和四級服務機構的通用能力要求。每個級別從法律資格、財務資信、人員狀況、辦公場所、從業時間、經營業績、管理制度、管理體系、保證能力、風險控制能力、可持續發展能力等規定了能力要求。2.9附錄附錄分A、B、C三大部分，其中附錄A為數據安全咨詢服務專業評價要求，附錄B為網絡安全等級保護咨詢服務專業評價要求，附錄C為個人信息安全咨詢服務專業要求。附錄A數據安全咨詢服務專業評價要求中對數據安全咨詢服務能力要求從基本要求、專業要求（含人員能力要求，以及設備、設施和專業工具要求）、服務過程規范（含準備階段、方案編制階段、實施階段、驗收階段）等方面對一到四級的數據安全咨詢服務機構專業能力進行要求。附錄B網絡安全等級保護咨詢服務專業評價要求中對網絡安全等級保護咨詢服務能力要求從基本要求、專業要求（含人員能力要求，以及設備、設施和專業工具要求）、服務過程規范（含準備階段、方案編制階段、實施階段、驗收階段）等方面對一到四級的網絡安全等級保護咨詢服務機構專業能力進行要求。附錄C個人信息安全咨詢服務專業評價要求中對網絡安全等級保護咨詢服務能力要求從基本要求、專業要求（含人員能力要求，以及設備、設施和專業工具要求）、服務過程規范（含準備階段、方案編制階段、實施階段、驗收階段）等方面對一到四級的個人信息安全咨詢服務機構專業能力進行要求。2.9參考文獻本部分列出了在本標準編寫過程中所參考的主要文獻名稱2.11解決問題通過對本標準的制定，主要解決了網絡安全合規咨詢服務行業無統一的規范對行業內服務機構能力進行評價，具體內容包括：（1）行業內網絡安全合規咨詢服務機構能力良莠不齊，無統一評價標準，造成服務采購方沒有標準來選擇服務提供機構。（2）網絡安全合規咨詢服務規范可解決服務機構的資格和服務能力的評價標準缺失、市場秩序的規范不足、惡性競爭、不良企業涉足網絡安全行業等問題。三、知識產權情況說明本標準不涉及專利。四、采用國際標準和國外先進標準情況無。五、與現行相關法律、法規、規章及相關標準的協調性本標準為推薦性團體標準。本標準不觸犯國家現行法律法規，不與其他強制性國標相沖突。六、重大分歧意見的處理經過和依據《網絡安全合規咨詢服務規范》編制過程中未出現重大分歧。七、標準性質的建議建議《網絡安全合規咨詢服務規范》作為推薦性團體標準發布實施。八、貫徹標準的要求和措施建議鑒于本標準是網絡安全合規咨詢服務規范的標準，建議在標準貫徹執行過程