信息安全技术 网络产品和服务安全通用要求-编制说明

国家标准《信息安全技术网络产品和服务安全通用要求》编制说明一、任务来源《信息安全技术网络产品和服务安全通用要求》是国家标准化管理委员会2017年下达的信息安全国家标准制定项目，国标立项号20193257-T-469，由中国电子技术标准化研究院、北京赛西科技发展有限责任公司、公安部第三研究所、中国信息安全测评中心、中国网络安全审查技术与认证中心、国家信息技术安全研究中心、中国电子信息产业发展研究院、中科院信息工程研究所、中国信息通信研究院、国家信息中心、国家计算机网络与信息安全管理中心、中电数据服务有限公司、中国软件评测中心、工业和信息化部电子第五研究所、中国电子科技集团公司第十五研究所、中科院软件所、公安部第一研究所、阿里巴巴（北京）软件服务有限公司、联想（北京）有限公司、阿里云计算有限公司、浪潮电子信息产业股份有限公司、北京天融信网络安全技术有限公司、华为技术有限公司、启明星辰信息技术集团股份有限公司、中国电力科学研究院有限公司、北京神州绿盟科技有限公司、深圳市腾讯计算机系统有限公司、北京奇虎科技有限公司、北京威努特技术有限公司、山谷网安科技股份有限公司、国家应用软件产品质量监督检验中心、新华三技术有限公司、浙江蚂蚁小微金融服务集团股份有限公司、深信服科技股份有限公司、西门子（中国）有限公司、奇安信科技集团股份有限公司等单位共同参与了该标准的起草工作。

标准主要起草人包括：刘贤刚、李京春、顾健、李斌、李嵩、叶润国、孙彦、谢安明、胡影、王闯、许东阳、高金萍、宋好好、周开波、舒敏、吴迪、刘蓓、何延哲、方进社、崔宁宁、周亚超、张宝峰、布宁、任泽君、申永波、李汝鑫、樊洞阳、雷晓锋、鲍旭华、程广明、郭永振、白晓媛、赵江、杜晓黎、史岗、韩煜、董晶晶、刘玉岭、李凌、李娜、严妍、徐雨晴、张屹、焦玉峰、代威、石凌志、钟建伟、姚金龙、宋铮、闫韬、郭旭、王晖等。

二、编制原则当前，网络产品和服务中经常出现多种网络安全问题，例如，个人信息泄露、默认口令、后门、木马等，严重影响用户安全或国家安全。

我国高度重视网络安全，密集出台了一系列国家网络安全政策法规，包括《中华人民共和国网络安全法》（以下简称《网络安全法》），以及为落实《网络安全法》而制定的《网络产品和服务安全审查办法（试行）》、《网络关键设备和网络安全专用产品目录(第一批)》、《国家网络安全事件应急预案》等法律法规，这些法律法规开启了我国“依法治网”的新局面。

网络产品和服务的安全是保障我国网络安全的基础。

为贯彻落实《网络安全法》等法律法规对网络产品和服务的安全要求，坚持网络安全与信息化发展并重的方针，提高网络产品和服务的安全能力，提升用户对网络产品和服务在安全性方面的信心，需要重点解决网络产品和服务中存在的恶意程序植入、安全缺陷漏洞响应、供应中断等安全、个人信息滥用问题。

本标准旨在规定在我国销售或提供的网络产品和服务必须满足的最小安全要求，以提升用户的信心，维护用户的合法权益，保障国家网络安全。

本标准中定义的网络产品是基于网络安全法中对网络的定义以及现有国家标准中对信息技术产品的定义推导而来。

按照网络安全法第76条的定义，网络，是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。

国标GB/T32921-2016《信息技术产品供应方行为安全准则》中的信息技术产品定义：“信息技术产品是指具有采集、存储、处理、传输、控制、交换、显示数据或信息功能的硬件、软件、系统和服务。

注：信息技术产品包括计算机及其辅助设备、通信设备、网络设备、自动控制设备、操作系统、数据库、应用软件与服务等。

”经过标准编制组对国标中信息技术产品和网络产品的定义进行比较分析，认为《网络安全法》中网络产品和GB/T32921-2016定义的IT产品基本等价。

本标准中定义的网络服务是标准编制组在对现有信息技术服务相关标准中对服务的定义进行分析后给出的。

本标准的网络服务为“供方为满足需方要求所提供的网络技术开发、部署、运维等活动，以及以网络技术为手段支持网络可靠、安全运行的活动。

注：网络服务主要包括云计算服务、大数据服务、网络通信服务、数据处理和存储服务、网络设计与开发服务、网络系统集成实施服务、网络系统运维服务等。

”本标准中的网络服务主要包括两类：一类是以服务形态提供的产品。

例如，云计算服务、邮件服务、大数据服务等。

一类是围绕产品展开，由人提供的服务。

例如，软件设计开发服务，远程维护服务等。

对于完全由人提供，且不涉及具体产品的服务，例如，技术咨询服务，不属于本标准规定范围。

本标准将网络产品和服务的安全要求分为安全功能要求、安全保障要求。

其中，又将安全功能、安全保障要求进一步划分为基本安全要求和增强安全要求两部分。

基本安全要求是为落实网络安全法中对网络产品和服务的安全要求，用于落实网络安全法第22条中关于网络产品和服务安全要求条款。

增强安全要求则针对用户重点关切的各种安全问题和安全风险。

本标准在制定时遵循以下原则：1）落实网络安全法中关于网络产品和服务的安全要求。

主要落实网络安全法中对恶意程序植入、安全缺陷漏洞响应、供应中断等安全问题、个人信息保护提出的安全要求，包括：a)第二十二条：网络产品、服务应当符合相关国家标准的强制性要求（恶意程序防范、缺陷漏洞响应、持续安全维护、用户信息保护）；b）第二十三条：网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求；3）用户信息和个人信息安全保护相关条款；4）关键信息基础设施建设和运营过程中针对网络产品和服务的相关安全要求。

本标准将对网络安全法中的上述安全要求按照标准语言进行细化，形成一个针对网络产品和服务的通用安全基线。

2）解决用户重点关切的安全问题。

针对用户对网络关键设备和网络安全专用产品中存在的常见的弱口令、个人信息泄露、后门、安全漏洞等问题的严重关切，本标准通过增强要求方式为网络关键设备和网络安全专用产品规范了最小安全基线，以提升用户对网络关键设备和网络安全专用产品的安全信心。

该最小安全基线主要包括网络关键设备和网络安全专用产品的安全功能要求和安全保障要求，该最小安全基线主要通过对我国现有网络安全专用产品国家标准进行梳理和适用性分析得到。

3）保持与现有网络产品和服务国家标准的兼容。

本标准在为网络产品和服务制定最小安全基线时，充分考虑了与现有网络安全专用产品国家标准的兼容性和衔接性问题。

通过对信息系统安全等级保护相关标准中第1级和第2级安全要求进行适用性分析，凡是可应用到网络产品和服务的安全技术和安全管理要求标准条款都作为制定本标准增强安全要求的输入。

通过对CC类网络安全专用产品的EAL1和EAL2级的安全保障要求也进行了适用性分析，凡是可应用到网络产品和服务的安全保障要求，都作为本标准增强安全要求的输入。

同时，第三方测评机构在对一个具体的网络产品进行安全测评时，除了需要满足本标准规定的安全要求外，一般情况下还需要参考该产品具体的安全要求标准。

三、主要工作过程1)2017年1月19日，标准研制启动会。

牵头单位组织所有标准编制参与单位召开标准研制启动会，并邀请标准主管单位对标准研制工作进行指导。

会上，标准牵头单位对前期的研究工作在组内进行了汇报，确定了标准的研究思路和分工。

2)2017年2月09日，标准编制思路讨论。

主要是深入研究网络安全法中对网络产品和服务的安全需求，最后确定各单位的标准研究分工。

3)2017年2月14日，召开标准草案闭门研讨会，各参与单位介绍各自在网络产品和服务标准方面的研究成果。

4)2017年2月15日，邀请WG5专家，就标准编制思路和框架进行讨论，并听取专家意见，确定标准编制思路。

5)2017年2月21日，召开现有产品标准专题研讨会。

开展针对CC、等保、供应方行为准则相关国家标准的适用性分析。

6)2017年2月23日，标准草案提纲研讨。

确定标准草案提纲，确定整个标准对网络产品和网络服务分别提安全要求，并进行编制分工。

7)2017年3月03日，形成第一版标准草案，邀请WG5组长和副组长对草案给出建议，专家组建议将标准按强制部分和推荐部分来组织，其中强制部分来自网络安全法针对网络产品和服务的安全要求细化得到，推荐部分则来自现有网络产品和服务国家标准的适用性分析。

8)2017年3月07日，组织服务专题闭门研讨会。

对现有服务安全相关标准开展调研和适用性分析。

9)2017年3月14日，组织服务部分标准草案编写会。

基于前期的服务相关标准适用性分析结果，对标准草案进行补充。

10)2017年3月28日，召开标准草案研讨会。

邀请WG5组长和副组长对草案提出建议，专家建议在提安全要求时不再区分网络产品和服务，因为现在的趋势是产品和服务的界限越来越模糊，网络安全法中也并没有单独提网络产品和服务。

11)2017年4月6日，编制组召开闭门编制会议，根据专家意见，对标准框架进行了调整，并根据专家意见对标准内容进行了完善，得到了标准草案第二版。

12)2017年4月9日，编制组在武汉会议周上对标准草案第二版内容进行了介绍，听取了信安标委内各成员对标准草案的意见。

13)2017年4月25日，编制组就武汉安全会议周上收集的反馈意见进一步对标准草案第二版进行修改，得到了第三版草案。

14)2017年6月15日，召开标准草案编制组全体会议，围绕网络安全法和其它近期发布的网络安全法规，进一步完善标准草案，并确定标准的第一部分基本要求主要来自对网络安全法中对网络产品和服务的安全要求的细化，得到一个必须满足的最小安全基线，是本标准的强制性部分；第二部分安全技术要求和第三部分安全管理要求则来自对现有网络安全产品国标的梳理和适用性分析，得到另一个推荐满足的最小安全基线，是本标准的推荐性部分。

15)2017年7月3日，召开标准编制组会议，进一步完善了标准草案，主要是按照网络安全法解读版本，重新调整了网络产品和服务的术语定义。

16)2017年7月4日，标准草案内部评审会。

邀请WG1和网络安全标准专家对草案进行评审，并根据专家的评审意见对草案进行了进一步的修改完善，得到标准草案第三版。

17)2017年7月18日，召开标准编制组研讨会。

深入讨论标准条款的验证问题，邀请了编制组内的13家单位网络产品和服务提供商，以及第三方测评机构参与标准条款的验证，以验证标准条款的合理性和可操作性。

四、标准的主要内容本标准规定了在我国境内销售或提供的通用网络产品和服务应满足的安全通用要求，包括安全功能要求、安全保障要求。

本标准适用于网络产品和服务提供者对其所销售或提供的网络产品和服务进行安全设计、开发和自评估，同时也可用于指导第三方测评机构对在我国境内销售或提供的网络产品和服务进行安全测评。