什么是GB/T38558、GB/T39477办公设备信息化安全体系认证
GB/T38558-2020《信息安全技术办公设备安全测试方法》和GB/T39477-2020《信息安全技术政务信息共享数据安全技术要求》是中国国家标准，它们共同构成了办公设备信息化安全体系的重要组成部分。GB/T38558主要关注办公设备的安全性评估与测试方法，而GB/T39477则侧重于政务信息系统中数据的安全管理和共享机制。
GB/T38558标准详细规定了办公设备的安全技术要求及其对应的测评方法，适用于办公设备的安全采购、测评、维护和管理。它不仅覆盖了传统的打印、复印、扫描等设备，还涉及到驱动程序、固件以及电磁兼容等方面的要求。此外，该标准也强调了安全保障的重要性，确保办公设备在使用过程中不会成为网络攻击的目标或途径。
GB/T39477则聚焦于政务信息系统的安全性，特别是当这些系统涉及跨部门的数据交换时的数据保护措施。此标准旨在为政府机构提供一套完整的框架，以保障敏感数据在整个生命周期内的安全性，包括但不限于数据的采集、存储、传输、处理、共享及销毁环节。
二、申请GB/T38558、GB/T39477办公设备信息化安全体系认证需要的条件
1.管理体系方面
*建立完善的安全管理制度：企业或部门需要根据GB/T38558和GB/T39477标准的要求，制定涵盖办公设备管理、数据安全保护、应急响应等方面的规章制度。这些制度应明确规定各岗位的安全职责，确保在信息化安全工作中有章可循。
*形成有效的安全运行机制：要确保安全管理体系能够有效运行，包括定期的安全检查、风险评估和应急演练等。同时，要建立信息沟通和协调机制，保证相关人员能够及时获取和共享安全信息，协同应对安全事件。
2.技术设施要求
*办公设备安全配置：办公设备应按照标准要求进行安全配置，例如安装必要的杀毒软件、防火墙等安全防护软件，及时更新系统补丁，以防止恶意攻击和病毒感染。
*数据加密与保护：对于涉及政务信息的重要数据进行加密存储和传输，采用合适的加密算法和技术手段，确保数据在存储和传输过程中的保密性和完整性。
3.人员能力与培训
*具备专业的安全人员：企业或部门需要配备一定数量的具备信息安全专业知识和技能的人员，能够独立进行安全管理体系的建设、运行和维护。
*定期开展安全培训：对企业员工进行全面的信息安全培训，使其了解并掌握办公设备安全使用方法和数据安全保护的重要意义，提高员工的安全意识和技能水平。
三、GB/T38558、GB/T39477办公设备信息化安全体系认证申请流程
1.准备阶段
*组建认证工作小组：由企业或部门的相关领导和专业人员组成认证工作小组，负责整个认证工作的策划、组织和实施。
*开展自查与评估：对照GB/T38558和GB/T39477标准，对企业或部门现有的办公设备信息化安全管理现状进行全面自查和评估，找出存在的问题和不足，为后续的改进工作提供依据。
*制定整改方案：根据自查与评估结果，制定详细的整改方案，明确整改目标、整改措施和整改时间节点，确保各项安全存在的问题能够得到有效解决。
2.体系建立阶段
*制定安全管理制度和流程：根据标准要求，制定办公设备安全管理、数据安全保护等方面的规章制度和操作流程，并确保这些制度和流程得到有效执行。
*实施安全技术措施：按照标准要求，对办公设备进行安全配置，安装必要的安全防护软件，对数据进行加密保护等，确保办公设备和数据的安全。
*开展人员培训与教育：组织相关人员参加信息安全培训，提高员工的安全意识和技能水平，使其能够熟练掌握办公设备安全使用方法和数据安全保护措施。
3.申请与审核阶段
*选择认证机构：选择具有资质和认可能力的认证机构，向其提交认证申请，并提供相关资料。
*审核准备：在认证机构确定审核日期后，企业或部门应积极配合审核机构做好各项准备工作，包括整理和完善相关资料、安排审核现场的接待等。
*现场审核：认证机构审核员对企业或部门的办公设备信息化安全管理体系进行现场审核，通过查阅资料、现场检查、人员访谈等方式，验证企业或部门是否满足认证标准要求。
4.整改与再审核阶段
*整改落实：对于审核中发现的不符合项，企业或部门应制定详细的整改措施，明确整改责任人、整改时间节点和整改要求，及时进行整改。整改完成后，向认证机构提交整改报告。
*再审核验证：认证机构对企业或部门的整改情况进行复查验证，确保所有不符合项都得到有效整改。如果整改情况符合要求，认证机构将颁发认证证书。
5.证书颁发与维护阶段
*颁发认证证书：认证机构对企业或部门通过审核和整改验证的办公设备信息化安全管理体系，颁发GB/T38558、GB/T39477办公设备信息化安全体系认证证书。
*监督与维护：企业或部门需要定期对办公设备信息化安全管理体系进行内部审核和管理评审，确保体系的持续有效运行。同时，要按照认证机构的要求，接受定期的监督审核，保证认证的持续有效性。
四、GB/T38558、GB/T39477办公设备信息化安全体系认证的作用
1.提升办公设备的安全性
*通过对办公设备进行安全配置和风险评估，能够及时发现并修复设备存在的安全漏洞，有效防止恶意攻击和病毒入侵，保障办公设备的正常运行和数据的安全。
*规范办公设备的使用和管理，制定安全操作流程，防止因人为操作不当导致的安全问题，提高办公设备的安全性和可靠性。
2.保护政务数据的保密性、完整性和可用性
*在政务信息共享过程中，采用数据加密、访问控制等技术手段，确保政务数据的保密性，防止数据泄露。
*对数据进行完整性验证和备份恢复，保证数据在传输和存储过程中的完整性，防止数据被篡改。
*建立数据备份和恢复机制，确保在发生数据丢失或损坏的情况下，能够及时恢复数据，保证政务数据的可用性。
3.增强企业的竞争力和信誉
*获得GB/T38558、GB/T39477办公设备信息化安全体系认证证书，表明企业或部门在办公设备信息化安全管理方面具备了较高的水平和能力，能够为合作伙伴和客户提供更加安全可靠的服务。
*在市场竞争中，认证证书可以成为企业的重要优势，帮助企业在招投标、市场拓展等方面获得更多的机会，提升企业的信誉和品牌形象。
4.满足法律法规和监管要求
*随着信息技术的快速发展，国家和地方政府对信息化安全的要求越来越高。通过申请认证，企业或部门能够满足相关法律法规和监管要求，避免因违法违规行为而面临的法律风险和经济损失。
5.保障政务工作的顺利开展
*政务信息共享是政务服务的重要手段，确保办公设备信息化安全是政务工作顺利开展的基础。通过认证，能够保障政务数据的安全，防止政务系统因安全事故而瘫痪，确保政务工作的正常运行和高效开展。
景鸿认证咨询认为，GB/T38558和GB/T39477认证不仅是对现有管理水平的认可，更是推动企业不断追求卓越、实现长期稳定发展的有力工具。通过遵循这两项标准，组织能够更好地履行社会责任，保护自身及用户的利益，同时也为自己赢得更多市场机会和发展空间。
