第三方软件测试机构的漏洞扫描服务，能同步配套出具CNAS认可的安全报告吗？

先说结论：可以。但前提是这家机构的CNAS认可范围必须明确覆盖“软件测试”或“信息安全测试”类别。不是有CNAS证书就能出，得看证书附件里到底写了什么。

一、为什么必须是CNAS？

“一单一库”新政实施后，通用软件的漏洞扫描已被明确移出CMA的法定清单范围。渗透测试、漏洞扫描、代码安全审计等安全测评场景，任何第三方机构出具的报告都不能标注CMA标志。CNAS成了漏洞扫描报告合规的核心凭证。

一单一库政策

CNAS遵循ISO/IEC 17025国际标准，不受“一单一库”限制，报告在ILAC框架下被全球100多个经济体互认。在双资质报告在投标中技术得分可提升15%-20%，且65%大型项目已明确要求提供CNAS认证报告。

二、关键前提：CNAS认可范围必须匹配

这是最容易被忽略、也最容易踩坑的地方。机构有CNAS证书，不代表它能出具漏洞扫描的CNAS报告。

真正决定它在哪些项目上能盖CNAS章的，是《认可范围附件》 。上海市质检院软件测评室的业务范围明确包含了“安全测试（安全漏洞扫描、渗透测试等）”，其CNAS认可范围覆盖了GB/T 25000.51-2016和GB/T 34975-2017标准。

如果一家机构的CNAS认可范围附件里只有硬件检测、材料测试，没有软件或信息安全相关项目，那它出具的漏洞扫描报告就不能盖CNAS章。有CNAS证书，不代表它能测你的项目。

三、实操核验方法

拿到机构的CNAS证书后，登录CNAS官网，在“获认可的机构名录”中查询该机构，下载《认可范围附件》 ，逐条核对里面是否明确包含“软件测试”或“信息安全测试”相关标准。

根据CNAS-AL24指南的规定，相关方可以从获准认可实验室提供的认可证书附件查询其获准认可的能力范围、授权签字人及其授权签字范围。范围匹配，报告才能用；范围不匹配，报告就是废纸。

四、配套出具是什么意思？

“同步配套出具”通常包含两层意思。

第一层：同一家机构，一次委托，同时出漏洞扫描报告和安全评估报告。

具备CNAS认可范围覆盖“信息安全测试”的机构，可以在完成漏洞扫描后，基于扫描结果和人工复核，出具一份完整的CNAS认可安全测试报告。不需要找两家机构分开做。

第二层：漏洞扫描只是安全报告中的一部分。

安全测试报告

一份完整的CNAS安全测试报告，通常包含漏洞扫描、渗透测试、配置核查等多个测试项。漏洞扫描负责广覆盖，渗透测试负责深度验证，配置核查负责基线合规。三者组合，才是完整的“安全测试报告”。

漏洞扫描服务配套出具CNAS认可的安全报告，完全可以。但核心不在于机构“愿不愿意出”，而在于它的CNAS认可范围“允不允许出”。 选机构时把认可范围附件翻出来对一遍，比听销售说一百句都管用。如果你的报告需要用于项目验收或招投标，这一步核查不能省。

标签：漏洞扫描、第三方测试机构