CCRC的概念
信息安全服务资质是信息安全服务机构提供安全服务的一种资格，包括法律地位、资源状况、管理水平、 技术能力等方面的要求。信息安全服务资质认证是依据国家法律法规、国家标准、行业标准和技术规范，按照认证基本规范及认证规则，对提供信息安全服务机构的信息安全服务资质进行评价。
信息安全服务资质级别分为一级、二级、三级共三个级别，其中一级最高，三级最低。共分8个不同的方向，分别是：安全集成、安全运维、应急处理、风险评估、灾难备份与恢复、安全软件开发、网络安全审计、工业控制系统安全。申请方可根据自身业务需求来申请对应方向的。
通过对信息安全服务分类分级的资质认证，可以对信息安全服务提供商的基本资格、管理能力、技术能力和服务过程能力等方面进行权威、客观、公正的评价，证明其服务能力，满足社会对服务的选择需求。同时，认证过程也将有效促进服务提供方完善自身管理体系，提高服务质量和水平，引导行业健康规范发展。
CCRC通用评价要求
通用评价要求适用于风险评估、安全集成、应急处理、灾难备份与恢复、软件安全开发、安全运维等类别的信息安全服务认证评价，均分为三个级别，其中一级最高。申请一级资质时，要求需要取得信息安全服务（与申报类别一致）二级资质1 年以上。（行业领头企业除外）。
CCRC认证周期和流程
一级/二级认证周期一般是12周，三级认证周期4周。
认证周期包括自申请被正式受理之日起至颁发认证证书时止实际发生的时间，不包括申请单位准备或补充材料的时间。
申请CCRC流程
第一步：准备材料
配合咨询机构准备材料
第二步：评审前材料准备
咨询机构检查资料完备性，企业配合补充提供材料。
第三步：现场审核前培训
咨询老师到现场/远程对即将开展的现场审核工作进行指导。
第四步：现场审核评估
认证机构审核，项目对接人员负责老师审核中的问题解答以及首末次会议的执行。
第五步：关闭不符合项
企业配合签字盖章
第六步：认证机构认证
配合认证机构的需求，随时提供证明材料
第七步：提交注册
证书管理
证书状态：有效、暂停、撤销
造成证书暂停的情况（最长3个月）：
（1）获证组织的服务管理持续地或严重地不满足认证要求，；
（2）逾期未按规定接受监督审核；
（3）违规使用认证证书，且未造成不良影响；
（4）监督审核有严重不符合项；
（5）获证组织主动请求暂停；
（6）其他需要暂停证书的情况。
造成撤销的情况：
（1）逾期3个月未按规定接受监督审核的；
（2）证书暂停期间，未在规定时间内完成整改并通过验证；
（3）违规使用认证证书，造成不良影响；
（4）获证组织出现严重责任事故、被投诉且经核实，影响其继续有效提供服务；
（5）获证组织因自身原因不再维持证书，可提出撤销认证证书的申请；
（6）其他需要撤销证书的情况。
年审监督
（1）仅单位名称变更、注册地址变更，可提出证书变更申请（随时申请）；
（2）非现场监督审核，提供监督审核通知单回执、相应专业方向自评估表、公共管理部分上一年度开具的不符合及观察项整改情况；
（3）现场监督，全要素进行审核，重点关注上年度开具的不符合及观察项。
获证后的监督审核周期
（1）每年均需监督审核，提前2个月提交监督审核通知单回执及自评价表（系统提前3个月邮件通知）；
（2）原则上证后第1年监督审核为现场审核；
（3）在认证风险可控的情况下，原则上证后第2年为非现场审核，第3年为现场审核，以此类推；
（4）若存在影响认证有效性的情况，增加现场审核的频度与部分项的审核力度。
现场监督审核项目数量
三级/二级/一级申请方提供近一年内签订并完成至少1个/2个/2个信息安全服务（与申报类别一致）项目的全套资料。
