CNAS-EC-039-2015 認(rèn)證機(jī)構(gòu)依據(jù)ISOIEC 27001-2013實(shí)施信息安全管理體系認(rèn)證的認(rèn)可轉(zhuǎn)換說(shuō)明

認(rèn)證機(jī)構(gòu)依據(jù)ISO/IEC27001:2013實(shí)施信息安全管理體系認(rèn)證的認(rèn)可轉(zhuǎn)換說(shuō)明0背景0.1當(dāng)前，我國(guó)信息安全管理體系(ISMS)認(rèn)證的認(rèn)證依據(jù)是GB/T22080-2008《信息技術(shù)安全技術(shù)信息安全管理體系要求》(IDTISO/IEC27001:2005)。0.2國(guó)際標(biāo)準(zhǔn)化組織(ISO)于2013年10月1日發(fā)布了ISO/IEC27001:2013《信息技術(shù)安全技術(shù)信息安全管理體系要求》。該標(biāo)準(zhǔn)代替了ISO/IEC27001:2005。0.3我國(guó)正在按照等同采用的原則，由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)0.42013年10月國(guó)際認(rèn)可論壇(IAF)成員大會(huì)，通過(guò)了有關(guān)ISO/IEC27001:2013轉(zhuǎn)換的決議(編號(hào)為：IAFResolution2013-13)。該決議規(guī)定：1)符合ISO/IEC27001:2013的截止日期為該標(biāo)準(zhǔn)發(fā)布之后的2年，即轉(zhuǎn)換截止日期為2015年9月30日；2)自該標(biāo)準(zhǔn)發(fā)布一年后(即2014年10月1日),所有新頒發(fā)的、獲認(rèn)可的認(rèn)0.52015年9月28日，國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)(以下簡(jiǎn)稱(chēng)“國(guó)家認(rèn)監(jiān)委”)發(fā)布了第30號(hào)公告《關(guān)于管理體系認(rèn)證標(biāo)準(zhǔn)換版工作安排的公告》。該公告中規(guī)定：1)在國(guó)家標(biāo)準(zhǔn)等同采用國(guó)際標(biāo)準(zhǔn)的領(lǐng)域內(nèi)，具備該領(lǐng)域批準(zhǔn)資格的認(rèn)證機(jī)構(gòu)，可在新版國(guó)際標(biāo)準(zhǔn)發(fā)布實(shí)施之后至新版國(guó)家標(biāo)準(zhǔn)發(fā)布實(shí)施之前的時(shí)間段內(nèi)，向客戶(hù)頒發(fā)以新版國(guó)際標(biāo)準(zhǔn)作為認(rèn)證依據(jù)的認(rèn)證證書(shū)。2)中國(guó)合格評(píng)定國(guó)家認(rèn)可委員會(huì)(CNAS)要結(jié)合國(guó)際認(rèn)可論壇(IAF)的統(tǒng)一要求，根據(jù)我國(guó)認(rèn)證機(jī)構(gòu)工作實(shí)際，制定標(biāo)準(zhǔn)換版工作方案，開(kāi)展認(rèn)可證書(shū)的換證工作。在新版國(guó)際標(biāo)準(zhǔn)發(fā)布實(shí)施之后至新版國(guó)家標(biāo)準(zhǔn)發(fā)布實(shí)施之前的時(shí)間段內(nèi)，CNAS可對(duì)依據(jù)新版國(guó)際標(biāo)準(zhǔn)開(kāi)展認(rèn)證的認(rèn)證機(jī)構(gòu)進(jìn)行認(rèn)可。0.6鑒于等同采用ISO/IEC27001:2013的國(guó)家標(biāo)準(zhǔn)目前尚未發(fā)布，CNAS根據(jù)國(guó)家認(rèn)監(jiān)委2015年第30號(hào)公告的要求，調(diào)整了ISMS認(rèn)可轉(zhuǎn)換安排，明確了認(rèn)證機(jī)構(gòu)完成ISMS認(rèn)證轉(zhuǎn)換的截止時(shí)間。為確保ISO/IEC27001:2013的順利轉(zhuǎn)換，CNAS根據(jù)IAF相關(guān)決議、我國(guó)ISMS認(rèn)證認(rèn)可的實(shí)際情況以及ISO/IEC27001新舊版本之間的變化情況，制定本文件。編號(hào)：CNAS-EC-039:2015注：新頒發(fā)的認(rèn)證證書(shū)，包括初次認(rèn)證和再認(rèn)證所頒發(fā)的認(rèn)證證書(shū)。2.2帶CNAS認(rèn)可標(biāo)識(shí)的、依據(jù)GB/T22080-200月30日前轉(zhuǎn)換為依據(jù)ISO/IEC27001:2013的認(rèn)證證書(shū)。自2016年9月3.1獲認(rèn)可的認(rèn)證機(jī)構(gòu)應(yīng)分析ISO/IEC2審，對(duì)已認(rèn)可的ISMS認(rèn)證機(jī)構(gòu)實(shí)施轉(zhuǎn)換評(píng)審。如有需要，認(rèn)證機(jī)構(gòu)也可3.3在轉(zhuǎn)換評(píng)審時(shí)，CNAS將關(guān)注認(rèn)證機(jī)構(gòu)針對(duì)ISO/IEC27001:2013轉(zhuǎn)換所采取的3.5在更換認(rèn)可證書(shū)之后的首次辦公室評(píng)審，CNAS評(píng)審組將繼續(xù)跟蹤認(rèn)證機(jī)構(gòu)針4.2獲認(rèn)可的認(rèn)證機(jī)構(gòu)可以結(jié)合例行的監(jiān)編號(hào)：CNAS-EC-039:20154.3在獲得了依據(jù)ISO/IEC27001:2013的認(rèn)可證書(shū)之后，認(rèn)證機(jī)構(gòu)方可在CNAS已認(rèn)可的業(yè)務(wù)范圍內(nèi)為通過(guò)轉(zhuǎn)換審核的獲證組織換發(fā)帶有CN核認(rèn)證機(jī)構(gòu)的要求》。CNAS將在新版ISO/IECC