ICS35.020 CCSL70 T/CSAS 团 体 标 准 T/CSAS0019—2025 数据安全评估机构能力要求 Capabilityrequirementsforassessmentorganizationofdatasecurity 2025-11-28发布 2025-12-29实施 四川省网络空间安全协会  发布 全国团体标准信息平台 T/CSAS0019—2025 I目  次 前言·············································································································II 引言············································································································III 1范围···········································································································1 2规范性引用文件······························································································1 3术语和定义···································································································1 4基本要求·····································································································1 5能力要求·····································································································2 5.1组织管理能力···························································································2 5.2评估实施能力···························································································3 5.3质量管理能力···························································································6 5.4评估保证能力···························································································6 5.5风险控制能力···························································································8 5.6可持续发展能力························································································8 附录A（资料性）常见数据安全评估工具··································································9 参考文献········································································································10 全国团体标准信息平台 T/CSAS0019—2025 II前  言 本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由四川省网络空间安全协会提出并归口。 本文件起草单位：成都创信华通信息技术有限公司、四川省网络空间安全协会、成都市信息系统与 软件评测中心、豪符密码检测技术（成都）有限责任公司、成都久信信息技术股份有限公司、成都卓越 华安信息技术服务有限公司、成都安美勤信息技术股份有限公司、成都理工大学、全域数据信息安全重 点联合实验室西南实验室。 本文件主要起草人：唐发明、白杨、胥滔、彭承宗、林壮雄、王娟、曹媛媛、杨伟、陈纪羽、张建 华、唐梓晞、孙瑞、张鹏、何志鹏、阎育斌、李冬芬、周清、赖一阳、李一楠（排名不分先后）。 全国团体标准信息平台 T/CSAS0019—2025 III引  言 数据安全评估机构是开展数据安全评估工作的第三方服务机构，对数据安全评估机构基本要求进行 统一和规范，可以为数据处理者选择专业的评估机构和安全服务机构建设数据安全评估能力提供参考依 据，进而可以促进数据安全评估工作的顺利开展。 本文件依据已颁布的网络安全第三方测评机构和服务机构基本要求国家标准和行业标准，结合数据 安全的业务特点，对数据安全评估机构基本要求进行了规范。 全国团体标准信息平台 T/CSAS0019—2025 1数据安全评估机构能力要求 1范围 本文件规定了数据安全评估机构各方面的能力要求。 本文件适用于有意开展数据安全评估的安全服务机构自身的能力建设，可为广大数据处理者选择数 据安全评估机构时提供参考依据，也适用于有关部门对数据安全评估机构开展能力评定。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T19001—2016质量管理体系要求 GB/T25069—2022信息安全技术术语 GB/T32914—2023信息安全技术网络安全服务能力要求 GB/T36959—2018信息安全技术网络安全等级保护测评机构能力要求和评估规范 GB/T41479—2022信息安全技术网络数据处理安全要求 T/CSAS0001—2025数据生命周期安全参考框架 3术语和定义 GB/T25069—2022和GB/T41479—2022中界定的以及下列术语和定义适用于本文件。 3.1 数据data 任何以电子或者其他方式对信息的记录。 [来源：GB/T43697—2024，3.1] 3.2 数据处理活动dataprocessingactivities 数据的收集、存储、使用、加工、传输、提供、公开、销毁等活动。 [来源：GB/T45577—2025,3.3] 3.3 数据安全datasecurity 通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。 [来源：GB/T35274—2023,3.17] 3.4 数据安全评估datasecurityassessment 对数据处理活动存在的安全问题、面临的安全风险、采取的安全措施等开展的技术检测、评价等活动。 [来源：GB/T45389—2025，3.2] 3.5 数据安全评估机构assessmentorganizationofdatasecurity 从事数据安全评估活动的机构。 [来源：GB/T45389—2025，3.5] 4基本要求 为了保障正常开展数据安全评估业务，数据安全评估机构（以下简称“评估机构”）应具备以下基 本条件： 全国团体标准信息平台 T/CSAS0019—2025 2a)在中华人民共和国境内注册成立，由中国公民、法人投资或者国家投资的企事业单位； b)法定代表人、主要负责人、技术人员应为中华人民共和国境内的中国公民，且无犯罪记录； c)产权关系明晰，运营资金充足，独立经营核算，近三年经营状况良好，无重大亏损，财务数据 真实可信，可提供在中华人民共和国境内登记注册的会计师事务所出具的近三年财务审计报告； d)无违法违规记录，未被列入失信被执行人、重大税收违法案件当事人名单和政府采购严重违法 失信行为记录名单等，以及其他可能影响评估机构能力和信誉的负面清单； e)从事数据安全评估或相关服务三年以上，且无重大服务投诉和被处罚事件的发生； f)近三年完成过数据安全相关检查、检测、评估项目或任务五项以上； g)具有国家相关机构颁发的评估检验机构认可证书，且证书处于有效状态，证书认可的能力范围 含信息安全、网络安全或者数据安全检验相关内容； h)拥有健全的组织机构体系，有专门从事数据安全评估服务的部门或团队，并配备相应的数据安 全评估专业人员，数据安全评估业务所涉及的岗位职责要清晰，并且人员相对稳定； i)具有支撑开展数据安全评估活动的实验环境和工具； j)具有完备的项目管理、质量管理、人员管理、档案管理、培训教育和安全保密管理等规章制度； k)具有固定的办公场所。 5能力要求 5.1组织管理能力 5.1.1组织机构 评估机构应设立数据安全相关的组织机构，要明确各部门的职责、权限和相互关系，保证数据安全