安全运维服务资质专业评价要求针对服务准备、服务设计、服务实施、服务报告四个阶段进行，具体分级要求如下：
三级要求
1 准备阶段
1.1 需求调研与分析
a) 调研客户信息系统安全现状，采集客户安全服务需求与目标，明确客户对信息系统安全运 维服务时间、服务期限、服务内容以及服务方式的需求。
b) 进行信息系统运维预算，定义运维服务。
c) 与客户进行沟通，达成共识并形成记录。
1.2 签订服务协议
a) 与客户签订服务协议，明确范围、目标、时间、内容、金额、质量和输出等。
b) 明确安全运维的方式，方式包括但不限于：驻场值守方式，定期巡检方式，远程值守方式。
2 方案设计阶段
a) 根据系统安全运维需求，编制安全运维服务方案，明确安全运维服务时间、服务内容、服 务方式、服务期限、服务人员、服务交付物、服务质量管理、服务沟通机制、服务风险管 理等方面要求。
b) 提供安全设备、业务系统的健康检查服务，并约定服务方式、检查频次和检查内容。
c) 专业人员负责安全管理的接口。
3 服务实施阶段
a) 实施初始服务，完成资产识别。
b) 采集信息系统重要资产的安全配置、流量信息等安全信息。c) 对安全设备进行日常维护及监控，并记录硬件故障。
d) 收集与分析网络及安全设备、服务器、数据库、中间件、应用系统的日志。
e) 实施日常巡检服务：对用户的安全设备、网络设备、服务器提供业务操作巡检、状态巡检、 安全策略配置巡检服务。
f) 实施日常安全运维服务：完成安全设备、网络设备、服务器、应用系统安全事件监控；病 毒监测、查杀及网络防病毒维护；漏洞扫描、安全加固、补丁安装；并有相关记录。
g) 对信息安全事件进行统计与分析。
h ) 实施健康检查服务：完成安全设备、业务系统的健康检查服务。
4 运维服务报告阶段
a) 向客户提交服务报告，定期收集与报告安全运维实施情况。
b) 汇总整理全年服务记录，形成年终安全运维服务总结报告。
c) 根据合同约定，配合组织项目验收，出具项目验收报告。
二级要求
组织申报二级资质，除满足三级能力要求外，还应满足以下要求：
1 准备阶段
1.1 需求调研与分析
a) 分析客户对信息系统安全服务的需求和类型。
b) 收集与分析信息系统的可用性指标。
c) 分析以往服务的数据，提取出来未来可自动化的服务(监审时适用)。
1.2 签订服务协议
签订服务级别协议。
2 方案设计阶段
a) 编制信息系统的可用性计划，监控可用性事件，报告可用性执行，指导可用性的改进。
b) 识别与分析信息系统运维过程中的历史数据，提出系统运维的保障策略和解决方案（监审 时适用）。
c) 编制信息系统的安全基线。
d) 建立信息系统安全的配置库。
3 服务实施阶段
a) 收集与建立配置管理数据库，确保配置项目的机密性、完整性、可用性（专职管理）。
b) 实施安全设备、网络设备、中间件、数据库、服务器等资产的安全配置管理，定期对配置项进行更新和维护。
c) 根据制定的安全配置基线，定期进行安全配置核查工作。
d) 实施运维监控与分析并形成记录。
4 运维服务报告阶段
a) 应定期收集与分析安全运维的关键指标数据，数据包括但不限于：异常报告及时率、异常 漏报率、故障隐患发现率、异常主动发现率、问题解决率、漏洞扫描覆盖率、加固设备覆盖率、安全补丁安装及时率、安全事件次数。（参照服务合同）
b) 建立客户满意度调查机制。
一级要求
组织申报一级资质，除满足二级能力要求外，还应满足以下要求：
1 准备阶段
1.1 需求调研与分析
a) 内部团队之间的安全运营级别协议应和与安全运维第三方之间的服务级别设计保持一致。
b) 安全组织中要设定安全领导小组。
2 方案设计阶段
a) 建立信息系统应急事件响应机制和恢复保障。
b) 编制安全运维项目作业指导书。
c) 建立应急响应和灾难恢复机制，形成业务连续性计划。
d) 基于漏洞发现与分析进行信息系统漏洞的管理工作。
3 服务实施阶段
a) 实施安全培训服务：完成安全意识、基本安全技术的培训服务。
b) 实施安全通告及漏洞分析服务：完成业界动态的通告、收集国家安全政策及法律法规、漏洞通告、病毒通告、厂商安全通告及其他安全通告。
c) 实施应急响应服务：完成应急响应预案制定，对应急事件及时响应，并对应急预案进行演练，形成相关记录。
d) 依据运维变更管理程序，对运维实施过程中方案、资源变更进行有效控制，完整记录变更 过程。
e) 制定运维应急处置方案和恢复策略，对运维过程中的应急事件及时进行响应。
f) 依据风险评估方案与计划实施信息系统风险评估；依据渗透测试方案与计划实施信息系统 渗透测试。
g) 依据漏洞管理方案实施信息系统漏洞管理工作。
4 运维服务报告阶段
a) 对客户满意度进行趋势分析。
b) 对客户系统的安全态势做出分析，并给出安全建议。
