提醒！CNAS领域最新发布三项源代码漏洞测试能力验证活动

近日，华北计算技术研究所计算机测评中心（CNAS认可的能力验证提供者，证书号CNAS PT0076）发布了2026年度三项源代码安全检测能力验证计划，分别针对Java、C/C++和C#三种语言，依据标准为GB/T 34944-2017、GB/T 34943-2017和GB/T 34946-2017。提醒已经获得资质的实验室或计划申请该领域CNAS资质的实验室尽快报名参加。

对新申请机构而言，能力验证是必须要做的， 根据CNAS-RL02《能力验证规则》，初次申请认可的合格评定机构，其申请范围对应的每个子领域应至少参加过1次能力验证且获得满意结果（申请之日前3年内有效）。这是在提交文审材料时就需要同步提交的一个材料。

一、参加能力验证的完整流程

第一步：选择合适的能力验证计划

登录CNAS官网或能力验证提供者网站，查询能力验证计划目录，确认：

检测项目（C/C++、C#、Java源代码安全检测）

依据标准（GB/T 34943、34944、34946）

时间安排（报名截止、样品发放、结果提交、报告发布）

费用及支付方式

第二步：报名并缴费

填写能力验证报名表，提供实验室名称、地址、联系人、检测项目等信息，并按要求缴纳费用。注意保留缴费凭证和报名确认回执。

第三步：接收样品及作业指导书

能力验证提供者在规定时间发放测试样品（源代码文件）和作业指导书。实验室应检查样品完整性，确认文件可正常打开、编译（如需要），并妥善保管样品，防止泄露或损坏。

第四步：实施检测并提交结果

按照作业指导书要求，在规定期限内完成检测：

使用本实验室的检测工具和方法

记录检测过程和结果

按要求填写结果报告表

在截止日期前提交结果（通常通过电子邮件或指定系统）

第五步：接收结果报告

能力验证提供者在结果发布时间内发布报告，包括：

各实验室的检测结果

统计处理结果（如Z比分数、En值等）

评价结论（满意/不满意/可疑）

第六步：结果利用与整改

结果满意：保留报告，作为资质申请或监督评审的证据。

结果不满意：启动不符合工作控制程序，分析原因，实施纠正措施，必要时参加补测或下一轮能力验证。

二、参加能力验证前的内部准备工作

（一）文件化准备工作

1. 制定能力验证实施方案

实验室应制定书面的能力验证实施计划或方案，明确：

参加的能力验证项目名称、计划编号

检测依据的标准（GB/T 34943-2017、GB/T 34944-2017、GB/T 34946-2017）

检测工具及版本（如静态分析工具Fortify、Checkmarx、Coverity，或自研工具）

检测人员及分工

时间安排（内部检测时间、结果复核时间、提交截止时间）

质量控制措施

2. 确认检测方法文件

确保实验室使用的源代码漏洞检测方法已文件化，且与能力验证依据的标准保持一致。如果实验室内部方法与企业标准、行业标准存在差异，应提前进行方法确认或比对。

3. 准备记录表格

设计或准备以下记录表格：

样品接收确认记录

检测环境记录（操作系统、编译器版本、检测工具版本）

检测过程记录（检测时间、检测人员、检测参数）

漏洞检出记录（漏洞类型、位置、严重程度）

结果复核记录

结果报告签发记录

4. 更新设备/软件档案

确认检测用计算机、操作系统、编译环境、检测工具均在有效期内，软件版本已记录，必要时进行版本确认或校准（如工具的规则库更新）。

（二）技术准备工作

1. 人员培训与预演

组织检测人员学习GB/T 34943、34944、34946标准，特别是漏洞分类和判定准则。

使用历史样品或公开漏洞库（如OWASP Benchmark、Juliet Test Suite）进行模拟检测。

明确漏洞报告的编写要求，确保描述准确、定位清晰。

2. 检测环境确认

确保检测环境与日常检测环境一致，避免临时更换环境导致结果偏差。

确认检测工具的规则库为最新版本，或按作业指导书要求使用指定版本。

检查硬件资源（内存、存储）是否满足大规模代码扫描需求。

3. 内部质量控制

安排经验丰富的技术人员对检测方案进行评审。

如条件允许，可先用类似样品进行内部模拟测试，验证流程可行性。

（三）参加完能力验证后需要做的工作

1. 结果分析与评价

收到能力验证结果报告后：

如结果满意：将报告归档，作为技术能力证明；分析本实验室结果与统计值的偏离程度，评估检测稳健性。

如结果可疑或不满意：立即启动不符合工作控制程序。

2. 不满意结果的整改

原因分析：从人、机、料、法、环、测六个方面分析原因，常见原因包括：

检测工具规则库未更新，漏检新型漏洞

检测人员经验不足，误报或漏报

检测方法或参数设置不当

样品处理或记录错误

纠正措施：根据原因采取针对性措施，如工具升级、人员再培训、方法修订

验证措施有效性：通过内部质控样品、人员比对等方式验证整改效果

提交整改报告：按CNAS或能力验证提供者要求提交整改报告

3. 文件更新与持续改进

将能力验证结果及整改情况纳入管理评审输入。

更新检测作业指导书、质量控制计划。

调整下一轮能力验证计划或内部质控频次。

三、可与能力验证同步开展的质量控制活动

能力验证是外部质量控制，实验室还应配套开展内部质量控制活动，形成"内外结合"的质量保障体系。

（一）人员比对

目的：验证不同检测人员对同一样品的检测结果一致性。

实施方法：

选取具有代表性的源代码样品（如历史项目代码、公开漏洞库代码）。

安排两名或以上检测人员独立检测，使用相同的工具和方法。

比对漏洞检出结果，计算一致率（如检出漏洞的交集/并集）。

对不一致项进行讨论，明确判定标准，必要时修订作业指导书。

频次：每季度至少一次，或在能力验证前专门安排。

（二）设备/工具比对

目的：验证不同检测工具或同一工具不同版本对检测结果的影响。

实施方法：

使用同一源代码样品，分别用实验室主用工具和备用工具（或不同版本）检测。

比对漏洞检出差异，评估工具适用性。

建立工具比对数据库，为方法选择提供依据。

（三）方法比对

目的：验证不同检测方法（如静态分析与动态分析、人工审计与工具扫描）的结果一致性。

实施方法：

对同一样品分别采用不同方法检测。

分析各类方法的检出率、误报率、漏报率。

确定最优方法组合，形成检测策略。

（四）留样再测

目的：验证检测过程的重复性和复现性。

实施方法：

对已完成检测的样品保存副本。

间隔一定时间（如一个月）后，由同一人员或不同人员重新检测。

比对两次结果，评估检测稳定性。

（五）内部盲样测试

目的：模拟能力验证环境，检验实验室的真实水平。

实施方法：

由质量负责人或技术负责人制备含已知漏洞的盲样（或从公开漏洞库选取）。

检测人员按正常流程检测，但不告知样品漏洞详情。

评价检出率，作为能力验证的"预演"。