4.2　能力要求

4.2　能力要求

4.2.1　檢測機構應明確其組織和管理結構，如檢測機構屬于某個實體的一部分，而該實體還從事檢測以外的其它信息技術產品安全相關活動，則該實體的檢測活動和其它活動之間的關系應予界定。

4.2.2　檢測機構應制定和維護實施信息技術產品安全檢測活動的策略和規程，以維持其檢測活動的獨立性和公正性以及檢測活動中涉及信息的保密性和完整性。

4.2.3　檢測機構應制定文件，明確其有能力實施的檢測活動，并從組織和管理上確保其具備能夠持續開展檢測業務所需的能力。在進行信息技術產品安全檢測時，應最少具備4.2.4至4.2.7所描述的能力。

4.2.4　檢測機構應具備發現并分析被測產品中是否存在惡意程序、安全缺陷、漏洞等的檢測技術能力。

4.2.5　檢測機構應具備產品供應鏈安全的檢測能力，包括產品供應鏈組件關系分析和安全檢測能力。

4.2.6　檢測機構應具備驗證信息技術產品供應方是否僅依照所聲稱的方式進行數據交互和收集用戶相關信息的檢測能力。

4.2.7　檢測機構應具備分析檢測工作安全風險的能力，并能夠通過采取人員培訓、簽署委托檢測協議、保密協議、制定安全操作規程等方法，消減或緩解檢測工作安全風險。

4.2.8　檢測機構應明確涉及檢測活動的每個崗位/人員的職責及相互關系。

4.2.9　檢測機構應至少具有5名滿足5.2節中相關要求的人員，包括技術負責人、質量負責人、檢測人員、監督人員等。

4.2.10　檢測機構應具有有效運行的管理體系，并考慮管理體系的有效性和滿足客戶和其它要求的重要性，并及時溝通。

4.2.11　檢測機構應建立信息安全管理制度，包括信息安全策略、資產管理、人員管理、物理和環境安全、保密制度等，并有效執行。