2003年9月，国务院发布了《认证认可条例》（以下简称《条例》），对认证和认可做出了定义：认证是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动；认可则是指由认可机构对认证机构、检查机构、实验室以及从事评审、审核等认证活动人员的能力和执业资格，予以承认的合格评定活动。
美国的信息安全认证制度主要是产品认证，这项工作起源于20世纪80年代，先后经历了“可信产品评估项目”（TPEP）、“可信技术评价项目”（TTAP）以及“国家信息保障联盟”（NIAP）的阶段。2001年，美国国家安全电信和信息系统安全委员会宣布，自2002年7月起，在“国家安全系统”（对于国家安全至关重要的信息系统）中强制使用经过NIAP认证的产品。2003年7月，美国国家安全电信和信息系统安全委员会发布了《国家信息保障采购政策修改概要》，重申了这一要求。近年来，美国不断强调信息安全产品认证的意义，推进商业产品和标准在国家安全系统中的使用，鼓励联邦和商业领域积极参考认证结果。
在信息安全领域，认证认可制度作为一种社会管理手段有其独特的优势。首先，信息安全产品和服务管理的技术性很强，通过采用认证认可制度，可以将政府从繁重的技术工作中解放出来，使政府能够将注意力集中在国家安全的专控领域。其次，政府部门依靠认证认可手段实现对经济社会活动的间接管理，直接采信认证结果，可以提高行政效率，减少行政成本和风险，从而实现科学管理、科学决策。
促进信息安全认证结果被更多的人所采信，欧洲从事信息安全活动的人都认为基于公认标准的认证将在今后几年得到更广泛的接受。随着市场经济的成熟以及标准化水平的提高，认证认可的发展历史已经有一百余年，现代认证已经发展成为市场经济体制下政府履行经济和社会管理职能的一个有机组成部分，因此，以此推动欧洲信息安全水平的提高。成为国际上通行的技术管理和质量评价形式，近年来，ENISA强调要在全欧洲范围内广泛传播信息安全认证知识，这一制度在信息安全领域的应用总体上还处于初期阶段。日益受到各国政府和市场的高度重视并获得迅猛发展。当前在欧盟成员国内广泛存在着名目繁多的信息安全认证制度（包括产品认证、人员认证和管理体系认证），ENISA报告中谈到，但从世界范围看，根据欧洲网络与信息安全局（ENISA）的调查，很多实践工作也已开展。信息安全认证认可制度对信息安全的重要意义已经被越来越多的国家和地区所重视，数目可能达到百余种。
根据《条例》的定义，认证的对象分为三类：产品、服务和管理体系。在信息安全领域，目前针对这三类对象的认证活动在我国都已开展，即信息安全产品认证、信息安全服务认证和信息安全管理体系认证。
亚洲国家近年来加快了信息安全产品认证的步伐。比如，为了加强政府信息系统安全、推动国际标准应用以及促进企
我国的《行政许可法》颁布后，逐步缩小行政许可范围，打造服务型政府，凡是能通过认证解决的不再实行行政许可，这已经成为一个重要的方向。近年来，随着认证认可工作的深入开展，认证认可工作得到了有关政府部门及社会公众的广泛关注和认同，经过国家认监委的法规协调工作，目前已有多部法律、行政法规写入认证认可法律制度。
此外，社会上还广泛存在信息安全人员认证的概念，国外产业界以及研究机构也将信息安全领域的人员认证作为一种重要的信息安全认证活动，甚至将信息安全人员认证作为信息安全认证的基本形式之一。
