文档介绍：国家信息安全测评
信息安全产品自主原创业务FAQ
版本:
©版权2008—中国信息安全测评中心
二〇〇八年三月
自主原创业务FAQ
一、为什么要做自主原创测评
为保证我国的经济建设和国家信息安全,信息安全企业要有意愿、有能力、有条件来研发和生产信息安全产品,企业自己需要掌握该类产品的核心技术。
自主原创测评是我国建立和完善知识产权保护体系过程中的重要环节,保护了具有核心技术原创性的信息安全产品和技术,保护了具有核心技术原创性的信息安全企业的利益,进而为我国的经济建设和国家安全提供了有力的支持和保障。
二、自主原创的效力
凡经过中国信息安全测评中心测评并颁发证书的产品可以通过行业推荐、制定行业标准促使国家有关主管部门逐步将所获证书作为非强制或强制性的采购政策。
三、自主原创测评的主要内容
主要从信息安全企业的资质、管理状况、产品的研发生产过程、产品的核心技术检测等四个方面对信息安全企业及其产品进行了全面的考察和评价。

四、自主原创测评的主要阶段有哪些
主要分为五个阶段:业务受理阶段、测评准备阶段、测评实施阶段、综合评定阶段、公告注册阶段。
五、自主原创的测评方法有哪些
在资质审查阶段,主要采用文档审查评价方式,对以上文件进行审查和分析,形成书面的《资质审查报告》,并由双方进行确认。
1)、资质审查通过后,到企业的实际环境进行现场核查。
2)、现场核查阶段,主要采用现场取证、文档审查、人员交流评价方式。
3)、技术检测阶段,主要采用功能测试、源代码验证和人员交流评价方式,通过对产品样品的功能性检测和深入性检测
4)、综合评价阶段,在以上三个阶段形成结论的基础上进行讨论分析。
六、开展自主原创的依据是什么
主要依据GB/T 18336,参考相关的著作权、专利权等法律依据和行业内部依据。
七、自主原创测评与传统的分级评估有什么区别
自主原创测评与原有分级评估认证的区别主要在于:
1)、通过EAL1级以上评估的产品才能做自主原创的申请。
2)、自主原创虽然在级别上仅要求EAL1级以上,但实际测评中在开发和环境保障的要求上已达到了EAL4级以上的要求,通过自主原创测评的产品不但能证明其核心技术是自主的,还能证明其在开发和环境保障能力上达到了比现有分级评估更高的水准。
3)、自主原创强调流程上和法律上的过程和证据,而分级评估则更多的从技术上考虑。
4)、现场审查和交流情况作为自主原创的主要依据,而在分级评估中仅作为辅助性依据。
八、自主原创测评与专利权和著作权有什么区别
自主原创测评与专利权和著作权的区别主要在于:
1)、自主原创测评是中国信息安全测评中心独家开创的测评业务,其依据标准主要是GB/T 18336。
2)、自主原创测评在颁发证书的同时还提供较全面的测评报告,直接反应测评的实际情况,而专利权和著作权只颁发证书不提供报告。
3)、自主原创测评会对产品本身做深层次的测评,试图发现产品的隐患和漏洞,能够协助生产方改进和完善产品。
4)、通过自主原创测评的产品会直接推荐到国内各大部委和行业机构,为生产方带来经济效益。
九、自主原创各阶段所需时间
测评实施和综合评定两个阶段所需的工作日200人日。
十、现场核查的内容和时间与分级评估有没有区别
有区别,分级评估的现场核查是按照GB/T 18336的要求,主要从配置管理、交付过程、开发环境等角度进行核查。而原创证明的现场核查主要是从项目最初的开始建立、产品相关的原创证据,公司规模和资质、开发现场以及人员询问等方面进行核查。核查的时间和费用支付问题与分级评估区别不大,具体参见现场核查要求。
十一、在测评过程中有哪些安全保密措施
1)、为了保证自主创新的代码安全,中心与公司签署保密协议,源代码第三方托管协议。
2)、设置独立的专用服务器,严密的访问控制和安全审计权限。
十二、不能认定为自主原创的信息安全产品
国外品牌产品
非自主研发的开源产品;
不具有完全知识产权的非自主研发的产品;
其他不符合政策和技术要求的产品。
十三、可以申请认定自主原创的产品
满足以下任何一种情况即可以申请认为产品或产品主要功能对应的核心技术是企业自主开发的:
1)、产品获得了发明专利权,或产品主要功能对应的核心技术获得了著作权或发明专利权。
2)、虽未获得相关知识产权,但产品或产品主要功能对应的核心技术是企业完全自主研发的成果。
3)、虽未获得相关知识产权,但产品或产品主要功能对应的核心技术是在国内合作厂商技术基础上以合法形式研发的,该项核心技术与国内合作厂商的原有技术相比有了重大改进,企业拥有该项核心技术的所有权或独家使用权。
十四、什么情况下可能取消证书资格
通过测评并获得证书的产品在以下情况下可