信息化质量保障专家
评估服务
依据相关法律法规、标准规范以及效能展现场景要求，对信息化系统的应用效果，社会效益从实现性、应用性、集约性及扩展性等方面进行评估。对信息化系统供应商的服务效果，服务质量从可靠性、规范性、响应性及有效性等方面进行评估。为信息化项目建设质量及服务规范性的持续改进提供参考和依据。
国办发〔2019〕57号-国家政务信息化项目建设管理办法
加强对绩效评价和项目后评价结果的应用，将评价结果作为下一年度安排政府投资和运行维护经费的重要依据。
发改高技〔2015〕200号-关于开展国家电子政务工程项目绩效评价工作的意见
重点对电子政务项目建成后所达到的建设目标和应用效果进行评价，切实提高项目建设应用效能和项目投资效益。
发改高技〔2021〕1898号-“十四五”推进国家政务信息化规划
强化工程效能管理，将绩效评价结果作为安排项目的重要依据，多措并举推进政务信息化工程项目提质增效。
粤财行〔2020〕18号-关于推进政府购买服务第三方绩效评价工作的实施意见
对受益对象为社会公众的政府购买公共服务重点领域、重点项目，积极引入第三方机构开展绩效评价工作。
信息化绩效评估服务模型
● 信息安全风险评估是从风险管理的角度分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件可能造成的危害程度，从而制定有针对性的抵御威胁的防护对策和整改措施，以最大限度的保障网络和信息安全；
● 帮助委托方符合国家及地方标准及政策法规对信息安全管理的要求，明确信息系统的安全现状，确定信息系统的主要安全风险，并对资产损害进行预警选择成本效益合理的、适用的安全对策
《关键信息基础设施安全保护条例》
第十七条 运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行 一次网络安全检测和风险评估，对发现的安全问题及时整改，并按照保护工作部门要求报送情况。
《中华人民共和国网络安全法》
第十七条 国家推进网络安全社会化服务体系建设，鼓励有关企业、机构开展网络安全认证、检测和风险评估等安全服务。
《GB/T 20984-2022 信息安全技术 信息安全风险评估方法》
本方法，描述了信息安全风险评估的基本概念﹑风险要素关系﹑风险分析原理、风险评估实施流程和评估方法，以及风险评估在信息系统生命周期不同阶段的实施要点和工作形式。
《GB/T 31509-2015 信息安全技术信息 信息安全风险评估实施指南》
本标准规定了信息安全风险评估实施的过程和方法。适用于各类安全评估机构或被评估组 织对非涉密信息系统的信息安全风险评估项目的管理，指导风险评估项目的组织、实施、验收 等工作。
ISO 27001《信息技术—安全技术—信息安全管理系统—要求》
6.1.2 信息安全风险评估
组织应定义并应用信息安全风险评估过程，以：
a) 建立并维护信息安全风险准则；
b) 确保反复的信息安全风险评估产生一致的、有效的和可比较的结果；
c) 识别信息安全风险；
d) 分析信息安全风险；
e) 评价信息安全风险； 组织应保留有关信息安全风险评估过程的文件化信息。
信息安全风险评估工作内容
■ 资产识别：业务资产、系统资产、系统组件、单元资产识别。
■ 威胁识别。
■ 脆弱性识别。
■ 已有安全措施识别。
■ 风险分析。
■ 风险评价。
信息安全风险评估方法
■ 人员访谈
■ 配置核查
■ 文档审查
■ 实地查看
■ 安全测试：基础信息收集、主机安全分析、残留及敏感信息分析、应用安全分析、弱口令分析
● 按照信息化项目造价评估标准，在软件、政务信息化、智能制造等领域的信息化项目建设的不同阶段，通过科学的计算方法，由独立第三方在工程造价的预算申报、审核，工程实施过程中的预算执行度量、管控、决算分析，以及工程运营阶段的运维费预算投入等方面出具权威、公正的信息化项目造价评估报告。
● 信息化项目造价评估的适用范围包括但不限于：电子政务工程、电子商务工程、企业信息化工程、科研信息化工程等。
信息化工程造价评估收益
■ 在预算及招投标中，软件成本评估有助于制定合理的项目预算，规范招投标行为。
■ 在项目实施中，软件成本评估有助于合理调配资源，有效控制项目范围和质量，是软件项目成功的重要保障。
■ 在项目决算及后评价阶段，软件成本评估有助于项目交付、总结和评价，促进软件企业和行业健康发展。
■ 帮助建设单位统计建设概算，设定建设预算、控制建设成本，合规通过结决算。
参考标准
■ 《软件工程软件开发成本度量规范》(GB/T 36964-2018)
■ 《软件研发成本度量规范》（SJ/T11463-2013）
■ 《政务信息化项目造价规范》(T/COC1O 002-2021)
■ 《财政投资项目评审操作规程》(财建[2002]619号)
■ 《电子建设工程概(预)算编制办法及计价依据》(工信厅规[2015]77 号)
■ 各省市发布的信息化项目费用测算指南
数据安全合规评估
提供数据安全合规评估的外部法律和技术服务，包括设置合规管理机构、制定和落实相关管理制度、内部风险管理和合规评估以及处理和应对数据安全事件。
验收差距评估
依据国家或地方的政策法规对信息系统进行履约差距评估，提前发现验收问题，保证验收测评可再符合规范的前提下顺利通过。
等级保护差距评估
依据等级保护测评要求，对信息系统进行等级保护差距评估，提前发现等保测评问题，保证等保测评顺利通过。
密码安全差距评估
依据密码安全性评估要求，对信息系统进行密评差距评估，提前发现密评问题，保证密评顺利通过。
