随着市场经济的成熟以及标准化水平的提高，现代认证已经发展成为市场经济体制下政府履行经济和社会管理职能的一个有机组成部分，成为国际上通行的技术管理和质量评价形式，日益受到各国政府和市场的高度重视并获得迅猛发展。
在信息安全领域，认证认可制度作为一种社会管理手段有其独特的优势。首先，信息安全产品和服务管理的技术性很强，通过采用认证认可制度，可以将政府从繁重的技术工作中解放出来，使政府能够将注意力集中在国家安全的专控领域。其次，政府部门依靠认证认可手段实现对经济社会活动的间接管理，直接采信认证结果，可以提高行政效率，减少行政成本和风险，从而实现科学管理、科学决策。
信息安全认证认可工作基本内容
2003年9月，国务院发布了《认证认可条例》(以下简称《条例》)，对认证和认可做出了定义：认证是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动;认可则是指由认可机构对认证机构、检查机构、实验室以及从事评审、审核等认证活动人员的能力和执业资格，予以承认的合格评定活动。根据《条例》的定义，认证的对象分为三类：产品、服务和管理体系。在信息安全领域，目前针对这三类对象的认证活动在我国都已开展，即信息安全产品认证、信息安全服务认证和信息安全管理体系认证。
此外，社会上还广泛存在信息安全人员认证的概念，国外产业界以及研究机构也将信息安全领域的人员认证作为一种重要的信息安全认证活动，甚至将信息安全人员认证作为信息安全认证的基本形式之一。
信息安全认证认可的国际发展
认证认可的发展历史已经有一百余年，但从世界范围看，这一制度在信息安全领域的应用总体上还处于初期阶段。近年来，信息安全认证认可制度对信息安全的重要意义已经被越来越多的国家和地区所重视，很多实践工作也已开展。
根据欧洲网络与信息安全局(ENISA)的调查，当前在欧盟成员国内广泛存在着名目繁多的信息安全认证制度(包括产品认证、人员认证和管理体系认证)，数目可能达到百余种。ENISA报告中谈到，欧洲从事信息安全活动的人都认为基于公认标准的认证将在今后几年得到更广泛的接受。因此，ENISA强调要在全欧洲范围内广泛传播信息安全认证知识，促进信息安全认证结果被更多的人所采信，以此推动欧洲信息安全水平的提高。
美国的信息安全认证制度主要是产品认证，这项工作起源于20世纪80年代，先后经历了“可信产品评估项目”(TPEP)、“可信技术评价项目”(TTAP)以及“国家信息保障联盟”(NIAP)的阶段。2001年，美国国家安全电信和信息系统安全委员会宣布，自2002年7月起，在“国家安全系统”(对于国家安全至关重要的信息系统)中强制使用经过NIAP认证的产品。2003年7月，美国国家安全电信和信息系统安全委员会发布了《国家信息保障采购政策修改概要》，重申了这一要求。近年来，美国不断强调信息安全产品认证的意义，推进商业产品和标准在国家安全系统中的使用，鼓励联邦和商业领域积极参考认证结果。
亚洲国家近年来加快了信息安全产品认证的步伐。比如，为了加强政府信息系统安全、推动国际标准应用以及促进企业改进技术能力，韩国政府在采购政策中明确规定，政府机构必须在2006年1月1日起采购经认证的IT安全产品。日本的认证机构为国家信息技术安全局下属的信息安全认证办公室，负责运行日本的测评和认证体系。为了加强电子政务信息系统安全，2011年4月，日本信息安全政策委员会发布了新的管理标准《中央政府计算机系统信息安全度量的管理标准》，要求在有必要并且有供选择的获证产品的情况下，应采购经过IT安全评估和认证的产品。
在信息安全的综合管理方面，西方发达国家重视系统化地安全管理。比如，德国对于政府及重点领域的安全管理，要求相关组织建立信息安全管理体系，以此为基本要求，突出各行业的针对性安全管理要求，从而构成信息安全保障体系的基本框架。
目前，我国金融领域、通信领域、能源领域的行业主管部门均出台了信息安全管理体系建设和认证的引导政策。北京市经信委于2013年夏出台的文件，则鼓励北京市委办局有些选用通过27001认证的技术队伍提供的信息技术服务或信息安全服务。
信息安全认证认可工作中需要引起重视的几个问题
目前，在世界范围内，信息安全认证认可的发展还不成熟，特别是信息安全评价标准和方法仍在不断发生变化，面临很多争议。
(一)从信息安全产品认证的角度来看，信息技术产品安全性认证的国际互认范围不断扩大，但互认范围严格限制在非敏感领域。目前美、英等采用CC标准的很多国家存在着变革认证标准和认证方法的压力，但这些压力不是来自于信息安全产品认证制度框架的设计，而是来自于所选择的认证标准和具体的认证方法，信息安全产品认证制度的重要性及其未来发展趋势仍得到各国的一致肯定。
(二)从信息安全服务资质认证的角度来看，虽然我国对特定领域的信息安全服务或者特定类型的信息安全服务实施了管理，但还没有对通用的信息安全服务进行严格管理，特别是还没有对为国家基础信息网络和重要信息系统提供服务进行直接干预和约束。
通过信息安全应急处理和风险评估等服务资质认证工作的实施，认证认可手段显示出了可为信息安全服务管理提供基础支撑的潜力，特别是在对信息安全服务组织和人员的能力评价方面。信息安全主管部门和行业主管部门在制定信息安全服务管理政策时，可以采信分级、分类的信息安全服务认证的结果。
(三)从信息安全管理体系认证的角度来看，信息安全管理体系认证认可工作的开展对各类组织增强信息安全意识、提高信息安全管理水平起到了积极作用，为我国外贸企业特别是软件和服务业外包企业拓广国际市场创造了条件。
由于信息安全管理体系认证审核过程涉及到被审核单位的大量敏感信息，2010年六部委联合发布了第394号文件，对于国家重要网络与信息系统中开展认证活动加以规范和限制。尽管如此，对于获得国外认可机构认可的认证活动引入的安全风险，还没有引起足够的重视。
