此文獻給中國信息安全認證中心成立三周年

大鵬一日同風起 ——謹以此文獻給中國信息安全認證中心成立三周年        信息安全產品強制性認證順利實施；信息安全服務資質認證破繭而出；信息安全管理體系認證實現快速發展；信息安全系列培訓課程依次開班；承擔的國家863計劃、國家科技支撐計劃重大課題等捷報頻傳；“中國信息安全認證中心戰略研究報告”發布實施……從成立到步入正軌僅僅3年時間，中國信息安全認證中心勵精圖治、勇立潮頭、求新求變，實現跨越式發展，取得了一系列驕人成績。     3年“蓬勃發展”、3年“蒸蒸日上”、3年“碩果累累”，翻開中國信息安全認證中心的大事記，你會發現，用這樣的詞匯概括中國信息安全認證中心這一認證新銳毫不為過。     3年來，中國信息安全認證中心踏著改革創新的節拍快速成長，以彎道超越的速度實現業務大發展，在一切從零開始的起點上，從小到大、從弱到強，為認證事業描繪了更加多彩的篇章。     以保障國家信息安全為己任     2009年，信息安全界似乎就沒有真正安寧過。到7月份的韓國各大網站遭黑客攻擊而癱瘓4小時，以及頻繁發作的病毒破壞、信息詐騙、網絡攻擊和竊密、垃圾信息騷擾事件及信息安全問題層出不窮。有調查表明，目前我國與互聯網相聯的網絡節點95%都遭到過攻擊或侵入，其中銀行、金融機構和政府網站是攻擊重點，信息安全問題已經引起人們的高度關注。     信息安全產品和技術是保障信息安全的重要支撐。在信息安全領域，采取認證制度來保障產品和系統的安全性是各國的通用做法。黨中央、國務院對信息安全認證工作高度重視，提出要進一步推進認證認可工作，規范和加強信息安全產品測評認證工作，并作出了一系列重大部署。2006年11月17日，經中編辦批準，中國信息安全認證中心正式成立。     信息安全認證中心成立之始，首先面臨的是制度環境、技術環境和市場環境帶來的嚴峻挑戰。如何才能沖破阻力、推動工作有序發展，從而在保障國家信息安全的進程中發揮應有作用？受命于關鍵時刻的中心領導班子審時度勢，科學決策，帶領一支年輕的隊伍，打響了奠定基礎、開發技術、拓展業務的攻關戰役。     產品認證業務是一種非盈利性業務，是中心的先導業務，也是一塊難啃的“硬骨頭”。突破產品認證既可體現中心核心價值，也可“牽一發而動全身”帶動其他業務發展。     啟動統一的產品認證可謂困難重重。既涉及與相關部委原評價、許可或采購管理的銜接，又涉及與檢測機構、政府采購的合作與配合，協調工作量大、面廣、環節多，而諸多技術文件欠缺，更需從頭起步。     責任在肩，使命如磐。困難只能讓弱者低頭，強者只會迎難而上。協調工作難，但協調一次不成，再來第二次，有異議再繼續……缺標準、缺規范、缺規則怎么辦？加班加點，集體攻關；面對國外的質疑，頂住壓力，沉著應對。短短3年的時間里，中心在協助國家認監委大力推動信息安全產品認證制度實施的同時，編制了近百萬字的技術文件，中心“四大業務”全面啟動，亮點頻現。     ——信息安全產品認證順利啟動。2009年4月27日，國家質檢總局、財政部、國家認監委聯合發布公告，決定從2010年5月1日起，對防火墻、網絡安全隔離卡與線路選擇器、安全隔離與信息交換、安全路由器、智能卡COS、數據備份與恢復、安全操作系統、安全數據庫系統、反垃圾郵件、入侵檢測系統、網絡脆弱性掃描、安全審計、網站恢復等13種產品，在政府采購法規定范圍內實行強制性認證，未獲得強制性認證證書和未加施中國強制性認證標志的，不得進入政府采購領域。短短4個月后，首批國家信息安全產品認證證書問世。中心8月28日在京召開頒證大會，向北京啟明星辰信息安全技術有限公司等14家企業頒發了首批34張認證證書。這表明，國家信息安全產品認證制度順利實施。同時，根據市場需求，中心還確定了自愿性認證的9類、近20種重點產品，啟動了自愿性產品認證業務。     ——信息安全管理體系認證實現快速發展。管理體系認證是中心率先開展的業務，繼2007年10月22日向中國信達資產管理公司頒發第一張證書以來，中心針對當前信息安全管理體系認證市場的具體情況，采取“揚長避短，培育重點客戶，以點帶面，由面到區域”的市場策略，將政府、行業主管部門對有關企業的獲證要求、資助政策作為開拓體系認證市場的第一推動力，優先發掘大中型客戶，同時兼顧優質小型客戶，體系認證市場正穩步擴大。截至目前，中心已頒發信息安全管理體系和信息技術服務管理體系認證證書19張。認證企業類型已從原先的以金融為主，到現在的覆蓋金融、電力、軟件外包等多個領域，呈現出快速增長態勢。     ——信息安全服務資質認證取得突破。從參與制訂YD/TI1799-2008“網絡與信息安全應急處理服務資質評估辦法”著手，對承擔奧運應急保障服務的支撐單位開展了資質認證工作，于2008年7月8日頒發了國內首批、23張信息安全應急服務資質認證證書，為奧運會的順利舉辦作出了貢獻。中心還計劃適時開展其他類信息安全服務資質認證業務。     ——信息安全系列培訓業務逐步展開。為滿足政府和企業需求，先后啟動了信息安全標準培訓、信息安全管理體系審核員培訓、信息安全咨詢師培訓。同時借力引智，與北京郵電大學簽訂聯合培訓協議。規模培訓可望迅速展開。     此外，中心還立足認證需要，瞄準國際前沿，緊密跟蹤國內外信息安全動態，取得了一批科研性成果。     中國信息安全認證中心，一個知名的認證品牌正在叫響。     以打造一流的認證機構為目標     推進事業發展，必須打造翱翔之翼。     信息安全認證是交叉學科，涉及門類多，技術含量高，需要大量既懂認證管理、又掌握信息安全知識、還熟悉認證業務的復合型人才。成立之初，中心堅持“多條腿走路”策略，從相關部委、社會機構、應屆畢業生中選用了部分專業骨干，組建起信息安全認證基本隊伍。具有相關專業背景、碩士以上學歷者達到了70%，博士超過20%。     “但學歷不等于能力，事業要想發展，必須大力實施專業技術人才崗位教育和能力素質建設計劃。”中國信息安全認證中心主任魏昊表示。     認準的目標馬上實施。于是，一系列力度大、內容多、3年貫穿始終的培訓計劃從成立伊始就迅速鋪開。采用邀請外部專家舉辦講座、安排內部專家授課等方式，中心連續3年策劃安排了幾十個培訓項目，內容涉及認證技術培訓、營銷業務培訓、管理知識培訓，同時采取送學培訓、參觀見學、輪崗鍛煉等方法，多渠道、多層次地提高員工能力和素質，建立了包括國家科技進步一等獎獲得者在內的一支高素質的職工隊伍、專兼職體系審核員隊伍、信息安全資質認證評審員隊伍、信息安全產品檢查員隊伍、信息安全培訓教師隊伍，為信息安全認證事業發展提供了人才保證和智力支撐。     圍繞提高認證質量和有效性，中心建立運行了質量管理體系，并持續通過了中國合格評定國家認可委員會每年組織的現場監督評審。同時建立健全了內部規章制度，形成了有章可循、運轉有序、持續改進的管理秩序。     堅持以客戶為關注點，進一步完善認證前、中、后服務體系。完善受理申請途徑，從客戶一般性問題咨詢、技術問題咨詢，到認證計費、合同簽署，到證書發放、認證公告，到客戶售后服務等，實行“一站式服務”。通過調查，獲證企業對中心提供服務的滿意度達到100%。     努力加強信息化建設。通過招標方式確定了承建商，以“網上申報、網上辦公”為主要功能的業務信息系統可望于年底建成并投入運行。同時，中心建立了自己的網站，通過技術創新和改版，進一步強化了網站在發布信息、強化宣傳、服務組織等方面的功能。為確保中心自身的信息安全，還加強軟硬件建設，嚴格落實內外網物理隔離措施，既方便了職工日常使用，又確保了全年信息安全無事故。     努力加強黨建工作。充分發揮黨組織的戰斗堡壘作用和黨員的先鋒模范作用。建立了黨委、黨支部兩級組織，建立健全了包括學習制度、“三會一課”制度、民主生活會制度、黨員培養發展制度在內的各項工作制度，卓有成效地開展了黨務活動。黨組織的凝聚力不斷增強，中心三分之二的群眾向黨組織遞交了入黨申請書。     努力加強機構文化建設。設立了乒乓球室、文化閱覽室，成立了籃球隊、乒乓球隊、羽毛球隊，開展了豐富多彩的文化活動。面對國內外市場競爭的新形勢，中心總結、提煉和培育了鮮明的中國信息安全認證中心核心價值觀和認證機構精神，樹立了與市場經濟相適應的管理理念、發展理念、質量理念、人才理念、創新理念、安全理念等，形成了關注細節、追求卓越的認證機構文化精神，構建起了和諧的機構文化。     中國信息安全認證中心，一個和諧、務實、進取的團隊形象日漸突顯。     以科學發展戰略為引領     當前，信息安全形勢日新月異，各類組織對信息安全認證的需求日益高漲。     如何才能適應信息安全認證新形勢的需要，理清發展思路，確保信息安全認證科學發展？這是擺在信息安全認證中心領導班子面前的一項重要課題。     未雨綢繆，彰顯智慧。     2008年10月，中國信息安全認證中心在開展學習實踐科學發展觀的同時，同步啟動了“中心發展戰略規劃項目”。為推進這一工作，中心成立了以主任魏昊為組長的戰略研究領導小組來組織領導，成立了由全體員工參與的若干項目小組分頭推進，同時聘請專業咨詢公司協助和指導。項目研究組著眼當前，立足長遠，采取外部調研與內部調研相結合、案例分析與比較分析相結合、國際視野與國內分析相結合的方法，對信息安全認證的實際社會需求、制度環境、技術基礎、市場環境、發展趨勢進行了深入探討，并通過科學評估，多層面、分階段、有的放矢地確定了中心未來發展目標、戰略任務、保障措施以及戰略管理機制等，使戰略規劃體現出了較強的針對性、可操作性和前瞻性。     戰略制訂中，中心領導親歷親為，全體員工熱情參與，建言獻策。戰略的制訂過程，是中心上下結合、內外聯動、全面調研的過程；是自我剖析、明確方向、確定目標的過程；是凝聚智慧、統一思想、提升信心的過程。     5個月后的2009年4月7日，這部凝聚中國信息安全認證中心全體職工心血的《戰略研究報告》結題成文并發布實施。對此業內專家給予廣泛好評，稱“報告設計科學，方向明確，措施具體，表明中國信息安全認證中心的事業發展步入了戰略管理軌道，開始運用戰略管理機制，推進戰略目標的實現”。     “努力開創一個更安全的信息社會，成為信息安全的信心保障者”     ——這是戰略中的“中心愿景”。     “因信而立，以誠得遠，有聚乃強，常新至善”     ——這是中心“價值觀”。     “通過我們的努力，使認證制度成為保障信息安全的有效機制；使認證服務成為促進信息安全產業發展的強大動力；使認證結果成為信息安全市場采信的權威信息；使我們每一項業務成為傳播信息安全認知的專業平臺”     ——這是戰略中的“中心使命”。     客戶的評價是對使命最好的詮釋。     “在中國信息安全認證中心的幫助下，該公司于2008年通過了ISO20000IT服務管理體系和ISO27001信息安全管理體系認證。借助這一手段，該公司在保障信息安全、提高IT服務質量和管理效率方面取得了長足的進步，贏得了監管部門和社會各界的信任，為提高公司的信譽和市場影響力，為公司走向國際大舞臺發揮了重要的作用。”首張信息安全管理體系認證證書獲得者——中國信達資產管理公司信息技術部繳遠總經理如是說。     讓更多的像信達公司一樣的各類組織借助信息安全認證手段規范管理、提升資質優勢，實現更好更快地發展，正是中心的使命。     3年時光，中國信息安全認證中心已經立足市場，展露影響；3年時光，中國信息安全認證中心已經羽翼漸豐，欲展翅翱翔。3年后，中國信息安全認證中心必將蒸蒸日上，鑄就輝煌。     始于足下的路，日積跬步，終致千里。