2024网络关键设备和网络安全专用产品安全认证实施细则

目录11111126督 688899销 9件1 件2 ——PAGE10—适用范围证的实施程序。认证依据标准GB40050，网络安全专用GB42250。认证模式型式试验+获证后监督认证单元划分/版本/版本间的差异说明，必要时还应对差异部分补充检测。认证实施程序认证委托基本信息：认证申请书；营业执照、事业单位法人证书或具有同等效力的法律地位证明材料。产品技术文件：产品功能说明书和/或使用手册；安全保障能力文件；同一认证单元中型号/（如适用。安全质量持续符合能力自查报告型式试验型式试验的样品由认证委托人按型式试验方案选送代表性2止样品损坏。样品的处置型式试验的实施实验室按照认证依据标准，并参考与之相配套的、针对具体产品类别的国家标准实施检测（不含安全保障要求部分。项目重新检测。相关文件，确保检测结果可追溯。型式试验报告的提交认证机构制定统一的型式试验报告格式。安全保障能力评估由认证机构指派评价人员按照认证依据标准，并参考与之相配套的、针对具体产品类别的国家标准实施安全保障能力评估。评估的方式为文件评估。对评估过程中发现的不符合项，允许整改。确保评估结果可追溯。认证机构制定统一的评估技术报告格式。型式试验时限各类产品型式试验时限参照下表。序号设备/产品类别型式试验时限（单位：工作日）1路由器282交换机283服务器（机架式）284可编程逻辑控制器（PLC设备）285数据备份与恢复产品286防火墙287入侵检测系统（IDS）288入侵防御系统（IPS）289网络和终端隔离产品2810反垃圾邮件产品2811网络安全审计产品2812网络脆弱性扫描产品2813安全数据库系统5514网站数据恢复产品2815虚拟专用网产品2016防病毒网关2817统一威胁管理产品（UTM）2818病毒防治产品28序号设备/产品类别型式试验时限（单位：工作日）19安全操作系统5520安全网络存储2821公钥基础设施2822网络安全态势感知产品2823信息系统安全管理平台2824网络型流量控制产品2025负载均衡产品2026信息过滤产品2027抗拒绝服务攻击产品2028终端接入控制产品2029USB移动存储介质管理系统2030文件加密产品2031数据泄露防护产品2032数据销毁软件产品2033安全配置检查产品2034运维安全管理产品2035日志分析产品2036身份鉴别产品2037终端安全监测产品2038电子文档安全管理产品20上述时间不含因产品不合格，进行整改和复试的时间。认证结果评价与批准（每一个认证单元颁发一张认证证书求的，向认证委托人发送认证不通过通知书。获证后监督企业分级管理1。监督的实施方式获证后监督的实施方式包括：安全质量持续符合能力评价（简称能力评价。根据产品类别确定。现场检查20.5人日。当涉及多场所时，每增加一个场所增加1人日。对发现的不符合项，允许整改，并经认证机构确认整改结果。产品抽样检测320自检自查监督的实施监督每5年为一个周期。每年的监督安排如下表所列：企业分级第一年第二年第三年第四年第五年高能力评价自检自查自检自查产品检测自检自查中能力评价自检自查产品检测自检自查产品检测基本能力评价产品检测自检自查产品检测产品检测特殊监督的实施如果发生下述情况之一，可安排特殊监督：获证产品出现严重质量问题时,或者用户提出投诉并经查实为证书持有者责任时；合性提出质疑时；件、质量管理体系等发生变更，从而可能影响产品质量时。3）情形时，特殊监督以能力评价的方式实施。5.4.2。获证后监督结果的评价5.5认证时限型式试验时限依据本细则5.2.5要求。受理、认证结果评价与批准、证书制作等其他环节认证工作合计一般不超过3工作日。认证证书认证证书的保持590认证证书的变更/或安全质量持续符合能力评价，应在检测和/或评价合格后，方可批准变更。认证证书覆盖产品的扩展认证委托人需要扩展已经获得的认证证书覆盖的产品范围对符合认证要求的，换发认证证书。认证证书的暂停、注销和撤销认证标志认证标志的样式认证标志的使用认证标志在使用时可以等比例的放大或缩小，不允许变形。加施方式标志位置硬件产品应当在本体的铭牌附近加施认证标志。软件产品应当在其软件包装/产品不使用包装/载体，则应当在软件使用的许可协议中的显著位置明确该产品已经获得认证。认证责任认证机构应当对其做出的认证结论负责。认证委托人应当对其所提交的认证委托文件及样品的真实性、合法性负责。1

企业分级原则一、综述依据《网络关键设备和网络安全专用产品安全认证实施规者分为“高”、“中”、“基本”三级。二、分级原则等对生产者进行综合评价，确定并动态调整企业分级。（一）信息的获取认证机构通过以下渠道获取企业分级所需的信息：认证评价包括检测情况、安全质量持续符合能力评价情况等。收集外部质量信息企业申报材料生产者可随时向认证机构报送综合评价所需信息和证明文件。（二）综合评价认证机构对以下内容进行综合评价并打分：品检测结果。情况。监督抽查中结果。发生经证实的重大投诉。生样品、文件造假等不诚信的情况。认证机构按以下公式对评价情况计算综合得分：T：综合得分nS：单项得分W：单项权重（三）企业分级高：T≥90中：80≤T<90基本：T<802

安全质量持续符合能力要求求。一、能力要求对生产者/生产企业在安全质量持续能力方面提出以下要求。认证产品一致性以使认证产品持续符合标准的要求。应对产品进行配置管理，建立并维护配置项列表。构确认产品符合认证要求后方可使用认证证书和认证标志。d)在产品出厂前，应对产品运行正确性进行确认，并对产品配置情况进行一致性检查。测试在产品的软件（包括固件）的内容应覆盖并达到相应产品国家标准中安全功能及自身安全要求。（含软件工具纳入供应链管理。脆弱性评定中、高风险漏洞。洞可能造成产品不符合认证要求时，应向认证机构报告。供应链安全管理。应具备供应链各环节核心要素追溯能力。应对供应链安全进行风险防控，收集质量、安全等相关二、评价要求安全质量持续符合能力评价的基本内容包括标准符合性检查和安全质量持续符合能力检查。（一）标准符合性检查GB40050、GB42250（二）安全质量持续符合能力检查产品一致性检查（制造商标志等信息，与型式试验报告是否一致；认证机构批准的产品变更信息一致；布应经过确认和审批。动、运行的正确性及产品一致性。型式试验报告的一致性。测试查产品的软件（固件）（固件）符合标准要求。结论。查测试仪器设备（含软件工具如委托外部机构实施测试，查机构能力确认证明文件，应能