一、认证模式：初次认证+获证后监督
二、认证级别：信息安全服务认证级别分为一级、二级、三级，其中一级为最高级别。
三、认证申请：初次认证（含增项、升降级等）申请，申请组织至少提供以下必要的信息：
（1) 认证申请书
（2) 自评估表
四、初次认证
（一） 文件审核
文件审核应根据申请组织提交的申请材料及自评估表进行评审，确保满足认证依据的要求。
文件审核应确认申请组织是否针对所涉及的所有认证规范条款进行了自我评价并提供了充足的证据证明其满足认证规范的要求，内容包括但不限于：
1) 提供的基本信息，包括法律地位、财务、办公场所、人员能力、业绩等；
2) 服务管理制度文件的发布时间，确认是否满足运行时间；
3) 服务管理制度文件的内容是否满足认证规范的要求；
4) 服务管理制度文件的覆盖范围是否与申请的范围保持一致；
5) 提供的制度文件执行证据是否充分；
6) 提供的证据是否能够证明其技术能力。
（二）现场审核
现场审核包含申请组织办公现场及其服务实施现场。一级和二级项目在文件审核通过后，实施现场审核。三级项目根据文件审核结论经中心复核后，必要时实施现场审核。
现场审核应根据文件审核的结果，对文件审核中查阅的证据材料进行现场验证，必要时重新抽样，现场审核内容包括但不限于：
1) 对客户的法律地位、财务资信、办公场所、人员能力等多个方面进行现场验证；
2) 对客户的服务管理执行情况进行现场验证；
3) 对客户的服务技术能力进行跟踪验证，包括已结束项目的和正在执行项目。验证方式包括
但不限于：文件和记录查阅、人员访谈、现场核查等。
- 获证后监督：自获证后12-18个月内至少进行1次监督审核。
当获证组织持有多张证书时，应以最早的获证日期发起监督审核，其他证书合并审核。
五、认证证书内容
1) 认证证书名称，例如：信息安全服务资质认证证书；
2) 证书编号；
3) 获证组织名称、注册地址、办公地址；
4) 符合本规则第2章的认证依据；
5) 通过认证的服务类别；
6) 首次颁证日期、换证日期以及证书有效期的起止年月日；
7) 中心的名称及其标志；
8) 中心的印章和法定代表人代表或其授权人的签字；
9) 认可标识及认可注册号(应为国家认监委确定的认可机构的标识，以申请认可为目的发出的证书可没有此内容)。
六、认证证书的保持
认证证书有效期为 3 年。证书有效性通过获证后监督维持。
获证组织应在证书有效期届满前至少 3 个月提交换证申请。认证证书有效期内且最后一次监督审核结果合格的，换发新证书；获证组织在证书有效期届满时未提出换证申请的，其证书到期后失效。
七、认证证书的变更
获证组织证书内容变更时，应向中心提出变更申请，并按照要求提交相关材料。
1) 如果认证变更只涉及到获证组织名称、注册地址的变更，获证组织须递交变更申请及工商变更证明材料等，经认证决定后，中心换发新证书并收回原证书；
2) 如果获证组织受审核地址变更时，可与监督审核合并进行，审核通过后换发新证书并收回原证书。
八、暂停和撤销
（一）认证证书的暂停
1) 获证组织的服务管理持续地或严重地不满足认证要求；
2) 逾期未按规定进行监督审核；
3) 违规使用认证证书，且未造成不良影响；
4) 监督审核有严重不符合项；
5) 获证组织主动请求暂停；
6) 其他需要暂停证书的情况。
在暂停认证期间，获证组织的服务认证证书暂时无效，中心应使认证证书的暂停信息可公开获取。证书暂停时间一般为3个月，最长不超过6个月。在证书暂停期间，组织可提出恢复证书的申请，并经认证机构审核、批准后方可使用证书。
（二）认证证书的撤销
1) 逾期6个月未按规定进行监督审核的；
2) 证书暂停期间，未在规定时间内完成整改并通过验证；
3) 违规使用认证证书，造成不良影响；
4) 获证组织出现严重责任事故、被投诉且经核实，影响其继续有效提供服务；
5) 其他需要撤销证书的情况。
认证证书撤销后，中心予以公示。