信息安全产品评估标准综述全国信息安全标准化技术委员会安全评估标准组崔书昆信息安全产品，广义地是指具备安全功能（保密性、完整性、可用性、可鉴别性与不可否认性）的信息通信技术（ICT）产品，狭义地是指具备上述功能的专用信息通信技术产品。

这些产品可能是硬件、固件和软件，也可能是软、固、硬件的结合。

一、国外信息安全产品评估标准的发展以美国为首的西方发达国家和前苏联及其盟国，早在20世纪50年代即着手开发用于政府和军队的信息安全产品。

到20世纪末，美国信息安全产品产值已达500亿美元。

随着产品研发，有关信息安全产品评估标准的制定也相应地开展起来。

（一）国外信息安全产品评估标准的演变国际上信息安全产品检测评估标准的发展大体上经历了三个阶段：1.本土化阶段1983年，美国国防部率先推出了《可信计算机系统评估准则》（TCSEC），该标准事实上成了美国国家信息安全评估标准，对世界各国也产生了广泛影响。

在1990年前后，英国、德国、加拿大等国也先后制定了立足于本国情况的信息安全评估标准，如加拿大的《可信计算机产品评估准则》（CTCPEC）等。

在欧洲影响下，美国1991年制定了一个《联邦（最低安全要求）评估准则》（FC），但由于其不完备性，未能推开。

2.多国化阶段由于信息安全评估技术的复杂性和信息安全产品国际市场的逐渐形成，单靠一个国家自行制定并实行自己的评估标准已不能满足国际交流的要求，于是多国共同制定统一的信息安全产品评估标准被提了出来。

1991年欧洲英、法、德、荷四国国防部门信息安全机构率先联合制定了《信息技术安全评估准则》（ITSEC），并在事实上成为欧盟各国使用的共同评估标准。

这为多国共同制定信息安全标准开了先河。

为了紧紧把握信息安全产品技术与市场的主导权，美国在欧洲四国出台ITSEC之后，立即倡议欧美六国七方（即英、法、德、荷、加五国国防信息安全机构，加上美国国防部国家安全局（NSA）和美国商务部国家标准与技术局（NIST））共同制定一个供欧美各国通用的信息安全评估标准。

1993年至1996年，经过四、五年的研究开发，产生了《信息技术安全通用评估准则》，简称CC标准。

3.国际化阶段为了适应经济全球化的形势要求，在CC标准制定出不久，六国七方即推动国际标准化组织（ISO）将CC标准纳入国际标准体系。

经过多年协商和磋切，国际标准组织于1999年批准CC标准以“ISO/IEC 15408-1999”名称正式列入国际标准系列。

（二）国外信息安全产品及评估标准的分类、分级1.分类美、（前）苏两大集团在信息安全产品的开发与评估中都实行了分类、分级原则。

以美国为例，从20世纪50年代迄今，几经演变，目前信息安全产品大体上分为两部分、六大类。

两部分即：政府（国防）专用安全产品（GOTS）和商用安全产品（COTS）。

六大类分别为：电磁（发射）安全（EMSEC或TEMPEST）产品、通信安全（COMSEC）产品、密码（CRYPT）产品、信息技术安全（ITSEC）产品、安全检测（SEC INSPECTION）产品、其他专用安全产品。

与此相关的技术测评标准，也大体上按此分类制定。

如电磁安全标准是一个包括20多个具体标准的标准系列。

其他类别也都包括一系列标准。

2.分级在分类的基础上，美、（前）苏等国对每一类产品中的每一具体产品又采取了分级，以便用户按安全需求，选择相应的产品。

美国1991年将TEMPEST产品分为3级：第一级用于最高级的防护，第二级用于中级防护，第三级用于初级防护。

美国的密码产品也分为多个等级，其中允许出口的密码产品，如数据加密标准（DES）产品，在上世纪90年代，其密钥长度为64位以上的用于美国国内，64位的仅可出口盟国，而对中国仅允许出口40位的密码。

美国的《可信计算机安全评估准则》（TCSEC）将计算机安全产品分为四等（A、B、C、D）8级（D，C1，C2，B1，B2，B3，A1，超A1）。

欧洲英、法、德、荷四国制定信息技术安全评估准则（ITSEC），继承发展了TCSEC，不仅保留了安全功能（F）等级，并且对评估保证（E）级进行了划分。

由美、英、法、德、荷、加六国制定的CC标准将评估保证级（EAL）划分为1-7级。

美国TCSEC 欧洲ITSEC CC标准D：最小保护E。

---- --EAL1-功能测试C1：自主安全保护E1 EAL2-结构测试EAL3-方法测试和检验C2：控制访问保护F1 E2F2B1：标识安全保护F3E3 EAL4-方法设计，测试和评审B2：结构保护F4 E4 EAL5-半形式化设计和测试B3：安全域F5 E5 EAL6-半形式验证设计和测试A1：验证设计F5 E6 EAL7-形式化验证设计和测试TCSEC、ITSEC和CC标准分级大体对应关系（三）TCSEC、ITSEC和CC标准一脉相承，各有长短。

TCSEC主要规范了计算机操作系统和主机的安全要求，侧重于对保密性的要求。

该标准至今对评估计算机安全仍具有现实意义。

ITSEC将信息安全由计算机扩展到更广的实用系统，增强了对完整性、可用性要求，发展了评估保证概念。

CC 基于风险管理理论，对安全模型、安全概念和安全功能进行了全面系统描绘，强化了评估保证。

二、我国信息安全产品（系统）评估标准现状我国从上世纪90年代中期即开始制定关于信息安全产品的标准。

2000年开始有计划地研究制定信息安全评估标准，至目前已完成国家标准报批稿4项；正在完成的送审稿17项；正在完成的征求意见稿15项，总计36项，基本覆盖了信息安全产品的主要项目。

具体情况是：（一）2003年已完成4项报批稿的评估标准，分别为：1.《操作系统安全保护等级评估准则》。

该标准适用于计算机通用操作系统的安全保护等级的评估，对于通用操作系统安全功能的研制、开发和测试亦可参照使用。

2.《数据库管理系统安全保护等级评估准则》。

该标准适用于数据库管理系统的安全保护等级的评估，对于数据库管理系统安全功能的研制、开发和测试亦可参照使用。

3.《路由器安全保护等级评估准则》。

该标准适用于路由器安全保护等级的评估，对路由器的研制、开发、测试和产品采购也可参照使用。

4.《包过滤防火墙安全保护等级评估准则》。

该标准适用于包过滤防火墙安全保护等级的评估，对于包过滤防火墙的研制、开发、测试和产品采购也可参照使用。

（二）2004年需完成送审稿的评估标准（共17项），分别为：1.《信息系统安全保障评估框架》。

主要技术内容包括对信息系统的描述、其所处的安全环境（包括假设、所考虑的威胁和组织安全策略）、所要达到的安全保障目标、所创建的实际安全保障要求以及信息系统安全保障级的分级说明等。

2.《网上银行系统安全保障要求》。

本标准参考CC标准，提出了网上银行的安全需求，分析了网上银行的安全目标，最后规定了网上银行的安全功能要求和安全保证要求。

3.《网上证券系统安全保障要求》。

本标准达到ISO/IEC15408的EAL2级，相当于TCSEC的C1级。

适用于网上证券委托系统的开发、运行、测试和评估认证，以及证券公司对网上证券委托系统的采购和用户对网上证券委托系统的选择。

4.《智能卡操作系统（COS）测评标准》。

本标准对智能卡操作系统定义其安全环境、描述安全目的、提出安全功能要求和安全保障要求。

5.《防火墙技术要求与测评准则》。

防火墙产品作为设置在两个或多个网络之间的安全阻隔，用于保证本地网络资源的安全。

本标准将包括其定义、功能、工作原理和安全性能等。

6.《计算机信息系统安全等级保护操作系统技术要求》。

本标准对数据库管理系统所涉及的安全性要求及安全保证要求进行描述。

7.《计算机信息系统安全等级保护端设备隔离部件技术要求》。

本标准主要研究内容：网络隔离部件面临的主要威胁；安全等级与隔离的关系；隔离部件自身的保护能力；隔离措施的有效性和可控性。

8.《端设备隔离部件安全保护等级评估准则》。

本标准主要用于评估网络隔离部件面临的主要威胁，安全等级与隔离的关系，隔离部件自身的保护能力，隔离措施的有效性和可控性。

9.《计算机信息系统安全等级保护工程管理要求》。

本标准由保障与实施要求和安全等级构成，具体包含了安全工程体系、资格保障体系、组织保障要求、工程实施要求、项目实施要求、用于工程管理等级划分的要求。

10.《计算机信息系统安全等级保护网络技术要求》。

本标准对网络所涉及的与信息安全相关的内容，及应采取的安全保证要求进行描述。

11.《计算机信息系统安全等级保护数据库管理系统技术要求》。

本标准对数据库管理系统所涉及的与信息安全相关的内容进行描述，并对为达到安全性要求所应采取的安全保证措施进行描述。

12.《计算机信息系统安全等级保护管理要求》。

本标准旨在将质量管理基本要求与安全管理要求有机结合，为计算机信息系统的使用单位建立安全管理的状态和水平的评估标准。

13.《计算机信息系统安全等级保护通用技术要求》。

本标准对计算机信息系统涉及的与信息安全相关的内容、从安全功能和安全保证两方面进行全面、完整的描述。

14.《入侵检测系统安全保护等级评估准则》。

本标准系统地规定了符合我国入侵检测产品开发现状的功能要求，安全要求，保证要求，并对安全要求进行分级。

15.《网络脆弱性扫描产品安全保护等级评估准则》。

本标准将对网络脆弱性扫描产品的评估提出要求和指导意见。

16.《计算机信息系统安全等级保护网络脆弱性扫描产品技术要求》。

本标准将对网络脆弱性扫描产品的功能要求、保证要求等提出要求和指导意见。

17.《信息安全产品保护轮廓和安全目标产生规则》。

本标准将对信息安全产品保护轮廓和安全目标提出指导意见。

（三）2004年需完成征求意见稿的评估标准（共15项），分别为：1.《电子商务系统安全保障评估准则》。

电子商务的信息安全保障从风险和策略出发，通过在信息系统生命周期中对技术、过程、管理和人员进行保证，确保信息的保密性、完整性和可用性，将风险降低到可接受程度，达到保护信息和信息系统资产，从而保障实现电子商务系统使命的最终目的。

2.《电子政务系统安全保障评估准则》。

电子政务的信息安全保障从风险和策略出发，通过在信息系统生命周期中对技术、过程、管理和人员进行保证，确保信息的保密性、完整性和可用性，实现和贯彻组织机构策略并将风险降低到可接受的程度，达到保护信息和信息系统资产，从而保障实现电子政务系统使命的最终目的。

3.《通用操作系统安全技术要求》。

通用操作系统安全技术要求定义针对不同使用环境的安全假设、威胁和安全策略，给出操作系统及其环境各自独立实现的安全目的，最低功能要求和保证要求，保障操作系统安全功能正确控制用户资源访问权限、进行数据保护、实现信息传输的保密性和完整性，对抗信息系统开发中的恶意破坏或人员管理带来的安全威胁。

4.《通用评估方法》。