国外信息安全测评认证体系简介

国外信息安全测评认证体系简介

1、信息安全度量基准

1、1 信息安全测评认证标准的发展

在信息技术方面美国一直处于领导地位，在有关信息安全测评认证方面美国也是发源地。早在70年代美国就开展信息安全测评认证标准研究，并于1985年由美国国防部正式公布了可信计算机系统评估准则（TCSEC）即桔皮书，也就是大家公认的第一个计算机信息系统评估标准。在随后的十年里，不同的国家都开始主动开发建立在TCSEC基础上的评估准则，这些准则更灵活、更适应了IT技术的发展。

可信计算机系统评估准则（TCSEC）开始主要是作为军用标准，后来延伸至民用。其安全级别从高到低分为A、B、C、D四类，级下再分A1、B1、B2、B3、C1、C2、D等7级。

欧洲的信息技术安全性评估准则（ITSEC）1.2版于1991年由欧洲委员会在结合法国、德国、荷兰和英国的开发成果后公开发表。ITSEC作为多国安全评估标准的综合产物，适用于军队、政府和商业部门。它以超越TCSEC为目的，将安全概念分为功能与功能评估两部分。

加拿大计算机产品评估准则（CTCPEC）1.0版于1989年公布，专为政府需求而设计，1993年公布了3.0版。作为ITSEC和TCSEC的结合，将安全分为功能性要求和保证性要求两部分。

美国信息技术安全联邦准则（FC）草案1.0版也在1993年公开发表，它是结合北美和欧洲有关评估准则概念的另一种标准。在此标准中引入了“保护轮廓（PP）”这一重要概念，每个轮廓都包括功能部分、开发保证部分和评测部分。其分级方式与TCSEC不同，充分吸取了ITSEC、CTCPEC中的优点，主要供美国政府用，民用和商用。

由于全球IT市场的发展，需要标准化的信息安全评估结果在一定程度上可以互相认可，以减少各国在此方面的一些不必要开支，从而推动全球信息化的发展。国际标准化组织（ISO）从1990年开始着手编写通用的国际标准评估准则。

该任务首先分派给了第1联合技术委员会（JTC1）的第27分委员会（SC27）的第3工作小组（WG3）。最初，由于大量的工作和多方协商的强烈需要，WG3的进展缓慢。

在1993年6月，由与CTCPEC、FC、TCSEC和ITSEC有关的六个国家中七个相关政府组织集中了他们的成果，并联合行动将各自独立的准则集合成一系列单一的、能被广泛接受的IT安全准则。其目的是解决原标准中出现的概念和技术上的差异，并把结果作为对国际标准的贡献提交给了ISO。并于1996年颁布了1.0版，1998年颁布了2.0版，1999年12月ISO正式将CC2.0作为国际标准——ISO 15408发布。在CC中充分突出“保护轮廓”，将评估过程分为“功能”和“保证”两部分。此通用准则是目前最全面的信息技术安全评估准则。

下图就清楚描述了到目前为止信息技术安全评测标准的发展史。

1、2 信息安全性度量标准

信息技术安全性评估通用准则，通常简称通用准则（CC），是评估信息技术产品和系统安全特性的基础准则。通过建立信息技术安全性评估的通用准则库，

使得其评估结果能被更多的人理解，更多人信任，并且让各种独立的安全评估结果具有可比性，从而达到互相认可的目的。

此标准是现阶段最完善的信息技术安全性评估标准，我国也将采用这一标准对产品、系统和系统方案进行测试、评估和认可。通用准则内容分三部分，其中第1部分“简介和一般模型”，第2部分“安全功能要求”，第3部分“安全保证要求”。在保证要求部分分以下7个评估保证级：

(1) 评估保证级别1(EAL1)——功能测试

(2) 评估保证级别2(EAL2)——结构测试

(3) 评估保证级别3(EAL3)——功能测试与校验

(4) 评估保证级别4(EAL4)——系统地设计、测试和评审

(5) 评估保证级别5(EAL5)——半形式化设计和测试

(6) 评估保证级别6(EAL6)——半形式化验证的设计和测试

(7) 评估保证级别7(EAL7)——形式化验证的设计和测试

通用准则评估保证级与常见的几种安全测评标准的对应关系见下表。

1、3 国际互认

早在1995年，CC项目组成立了CC国际互认工作组，此工作组于1997年制订了过度性CC互认协定，并在同年10月美国的NSA和NIST、加拿大的CSE

和英国的CESG签署了该协定。1998年5月德国的GISA、法国的SCSSI也签署了此互认协定。当时由于依照了CC1.0版，因此互认的范围限于评估保证级1—3。

1999年10月澳大利亚和新西兰的DSD加入了CC互认协定。此时互认范围发展为评估保证级1—4，但证书发放机构限于政府机构。

在今年，又有荷兰、西班牙、意大利、挪威、芬兰、瑞典、希腊等国加入了此互认协定，日本、韩国、以色列等也正在积极准备加入此协定。目前的证书发放机构也不再限于政府机构，非政府的认证机构也可以加入此协定，但必须有政府机构参与或授权。

2、国家信息安全测评认证体系

2、1 组织结构

从目前已建立了基于CC的信息安全测评认证体系的有关国家来看，每个国家都具有自己的国家信息安全测评认证体系，并且基本上都专门成立了信息安全测评认证机构，由认证机构管理通过了实验室认可的多个CC评估/测试实验室，认证机构一般受国家安全或情报部门和国家标准化部门控制。

归纳起来，常见的组织结构图如下：

在这样的组织结构中，认证机构在国家安全主管部门的监管和国家技术监

督主管部门的认可/授权下，负责对安全产品的安全性实施评估和认证，并颁发认证证书。认证机构作为公正的第三方，它的存在对于规范信息安全市场，强化产品的生产者和使用者的安全意识都将起到积极的作用。为利用社会上的资源和技术力量，一些商业机构的试验室，可以申请成为授权的CC 评估/测试实验室，在认证机构的监督管理下，对安全产品进行检测或对信息系统进行评估，并将结果提交认证中机构。

2、2 信息安全测评认证体系

国际上，目前基于CC 的信息安全测评认证体系一般具有如下形式：

2、3 各国测评认证体系

A 、美国

美国于1997年由国家标准技术研究所和国家安全局共同组建了国家信息保证伙伴（NIAP ），专门负责基于CC 信息安全测试和评估，研究并开发相关的测

ISO/IEC 导则25

要求

认可

消费者群体：

本国政府、本国非政府 外国政府、外国非政府 信息安全有关组织

实验室认可机构

评估结果

方案需求

技术监督

技术支持

CC

测试实验室

评估发起者

IT 产品或保护轮廓