|
大家读完觉得有帮助记得关注和点赞！！！
安全测评的主要尺度包括多个国际和国内的尺度，这些尺度为信息系统和产物的安全评估提供了基础和指导。
一、安全测评的主要尺度
1.1、国际尺度
- 可信盘算机系统评估准则（TCSEC）：这是最早的信息安全测评尺度，由美国国家盘算机安全中心（NCSC）于1983年公布。TCSEC将产物的安全水平分为不同的评估品级，包括A、B、C、D四级，每个品级都有详细的安全要求。
- 信息技术安全评价通用准则（CC尺度）：这是由美国、加拿大、英国、法国、德国和荷兰共同制定的单一通用准则，旨在提供一个统一的评估框架。
1.2、国内尺度
- GB 17859-1999：这是中国在1999年发布的强制性国家尺度，参考了美国的TCSEC尺度，用于盘算机信息系统安全保护品级分别。
- GB/T 18336系列尺度：包括《网络安全技术 信息技术安全评估准则》等6项保举性国家尺度，涵盖了软件、硬件、固件形式的IT产物及其组合的安全测评基础尺度。
- GB/T 33563和GB/T 33565：这两项尺度分别规定了无线局域网客户端和接入系统的安全技术要求，为无线局域网的安全测试和开辟提供指导。
- GB/T 43696和GB/T 43694：分别规定了零信任参考体系架构和证书应用综合服务接口规范，适用于接纳零信任体系框架的信息系统规划、操持和检测。
1.3、安全测评的界说和过程
安全测评包括“测”和“评”两个阶段：
测是测试，对照尺度进行落实的过程。
评是基于测阶段对信息系统各指标的度量和判断，综合估计整个系统的安全状态和水平。
二、安全测评尺度的发展背景介绍
2.1、发展背景
国际上公认的最早的信息安全测评尺度是 1983 年美国国家盘算机安全中心(NCSC) 公布的 可信盘算机系统评估准则(Trusted Computer System Evaluation Criteria, TCSEC).
美国建立 TCSEC 尺度后, 欧洲也开始制定本身的信息技术安全评估尺度. 1991 年, 欧洲共同体委员会以(英, 法, 德, 荷兰)四个国家为代表, 共同制定了欧洲统一的安全评估尺度(Information Technology Security Evaluation Criteria, ITSEC).
加拿大也参考美国的 TCSEC 和 欧洲的 ITSEC 在 1993 年制定了加拿大可信盘算机产物测评尺度 CTCPEC.
1993 年 6 月, 美国和加拿大和欧洲共同体一起草拟单一的通用准则(CC 尺度), 并将其推到国际尺度. 在 (TCSEC, ITSEC, CTCPEC, FC) 等信息安全准则的基础上, 由 6 个国家(美, 加, 英, 法, 德, 荷)共同提出 信息技术安全评价通用准则(The Common Criteria for Information Technology security Evaluation, CC), 即 CC 尺度.
我国在 1999 年发布强制性国家尺度 GB 17859-1999 “盘算机信息系统安全保护品级分别准则”, 此尺度参考了美国的 TCSEC.
2.2、TCSEC 简单介绍
TCSEC 将产物的安全水平列为不同的评估品级, 规定了不划一级的详细安全要求.
安全要求分为:
安全计谋(Security Policy)
问责(Accountability)
安全包管(Assurance)
文档(Document)
安全品级: A, B, C, D (安全性由高到低)
安全种别: A1, B3, B2, B1, C2, C1, D1 (安全要求由高到低)
A: 最高安全品级
A1 类: 系统操持者必须按照一个正式的操持规范来分析系统.
B: 具有强制性保护功能.
B1 类: 满足两个要求, 一是系统对网络控制下的每个对象都进行灵敏度标志, 二是系统使用灵敏度标志作为所有逼迫访问控制的基础.
B2 类: 基于 B1, 且管理员必须使用一个明白的和文档化的安全计谋模式作为系统的可信任运行基础体制.
B3 类: 基于 B2, 还要求具有很强的监视委托管理访问能力和抗干扰能力, 要求必须产生一个可读的安全列表.
C: 提供审计保护, 并为用户的行动和责任提供审计能力.
C1 类: 使用可信任运算基础体制(Trusted Computing Base, TCB), 将用户和数据分开来到达安全的目标.
C2 类: 基于 C1, 增强了可调的审计控制.
D: 普通品级
D1: 只为文件和用户提供安全保护, 好比本地操作系统, 一个完全没有保护的网络.
2.3、 ITSEC 简单介绍
该尺度将安全概念分为功能和评估两部分.
ITSEC 并不把保密步伐直接与盘算机功能相联系, 只是叙述技术安全的要求, 把保密作为安全增强功能.
TCSEC 的重点是保密, 而 ITSEC 除了保密, 还重视 完整性, 可用性.
功能: 功能准则从 F1 到 F10 分十级. F1 到 F5 对应 TCSEC 的 D 到 A.
F6: 数据和程序的完整性
F7: 系统的可用性
F8: 数据通信的完整性
F9: 数据通信的保密性
F10: 秘密性和完整性的网络安全
评估安全品级:
E0 级: 表示不充分的安全包管.
E1 级: 该级别必须有一个安全目标, 一个对产物或系统的体系结构操持的非形式化的形貌, 还要有功能测试.
E2 级: 基于 E1, 还要有对详细的操持有非形式化形貌. 功能测试的证据需进行评估. 需有配置控制系统, 承认的分配过程.
E3 级: 基于 E2, 必要评估(与安全机制相对应的)源代码和硬件操持图. 必要评估和测试了这些安全机制的证据.
E4 级: 基于 E3, 需有支持安全目标的安全计谋的基本形式模子. 需用半形式说明(安全增强功能, 体系结构, 详细的操持).
E5 级: 基于 E4, 需在详细的操持和源代码或硬件操持图之间有精密的对应关系.
E6 级: 基于 E5, 需正式说明安全增强功能和体系结构操持, 使其与安全计谋的基本形式模子一致.
2.4 、CC 尺度(ISO/IEC 15408) 简单介绍
CC 尺度便于理解, 是目前最全面的评价尺度, 是一种通用的评估方法.
CC 尺度主要分为: 一样平常模子, 安全功能要求, 安全包管要求.
CC 尺度基于保护轮廓和安全目标提出安全需求, 具有灵活性和合理性.
CC 尺度基于功能要求和包管要求进行安全评估, 即评估分为 功能 和 包管 两部分.
CC 尺度基于风险管理理论, 对(安全模子, 安全概念, 安全功能)进行全面和系统地刻画.
重要概念:
评估对象(Target of Evaluation, TOE):
就是被评估的产物或系统, 包括(信息技术产物, 系统或子系统).
保护轮廓(Protection Profile, PP):
指为了满足安全目标而提出的一整套相对应的功能和包管的需求, 即用户对某一类评估对象所提的一系列安全要求, 相当于产物的技术要求.
安全目标(Security Target, ST):
相当于产物和系统的实现方案, 即对详细评估对象的详细保护轮廓的详细实现, 包含用于满足安全要求的特定安全功能和包管步伐.
评估包管级(Evaluation Assurance Level, EAL) ：
是 CC 用来分别 TOE 包管品级的预界说的一组评估尺度.
评估包是指评估包管要求的一个基准聚集.
一个评估包管级对应一个评估包, 评估包由一系列包管组件构成.
预界说的评估包管级:
评估包管级 1 (EAL1): 功能测试.
评估包管级 2 (EAL2): 结构测试.
评估包管级 3 (EAL3): 系统地测试和检查.
评估包管级 4 (EAL4): 系统地(操持, 测试, 复查).
评估包管级 5 (EAL5): 半形式化操持和测试.
评估包管级 6 (EAL6): 半形式化验证的操持和测试.
评估包管级 7 (EAL7): 形式化验证的操持和测试.
三、国内安全测评
对于非涉密系统, 使用品级保护相干尺度.
对于涉密系统, 使用分级保护相干尺度, 分级保护把涉密信息系统的安全保护水平分为(秘密级, 秘密级, 绝密级)三个品级, 我国唯一的涉密信息系统安全保密测评机构是国家保密测评中心, 测评使用 BMB 系列尺度.
下面的尺度都是基于品级保护的相干尺度、相干尺度(按发展顺序):
基础尺度:
GB 17859-1999 “盘算机信息系统安全保护品级分别准则”
GB/T 18336-2001 “信息技术安全性评估准则”
此尺度等同于 CC 尺度.
GB/T 20274 “信息系统安全保障评估框架”
此尺度是 GB/T 18336 在信息系统评估领域的扩展和增补.
提出了一个形貌和评估信息系统安全保障内容和安全保障能力的通用框架.
定级:
GB/T 22240-2008 “信息系统安全品级保护定级指南”
建立:
GB/T 20269-2006 “信息系统安全管理要求”
GB/T 20282-2006 “信息系统安全工程管理要求”
GB/T 25071-2008 “信息系统通用安全技术要求”
GB/T 22239-2008 “信息系统安全品级保护基本要求”
GB/T 25070-2010 “信息系统品级保护安全操持技术要求”
测评:
GB/T 28448 “信息系统安全品级保护测评要求”
GB/T 28449 “信息系统安全品级保护测评过程指南”
3.1、什么是 “品级保护”
信息安全品级保护是指:
对(国家的秘密信息, 法人和其他组织和公民的专有信息, 公开信息)进行(存储, 传输, 处置惩罚)的信息系统进行分品级安全保护.
对信息系统中使用的信息安全产物按品级实现管理
对信息系统中发生的信息安全事件分品级进行响应和处置.
品级保护尺度具有强制性.
3.2、保护品级的分别
第一级(自主保护级): 信息系统受到粉碎后, 会对(公民, 法人, 其他组织)的正当权益造成损害, 但不损害(国家安全, 社会秩序, 公共权益).
第二级(指导保护级): 信息系统受到粉碎后, 会对(公民, 法人, 其他组织)的正当权益造成严重损害, 或对(社会秩序, 公共利益)造成损害, 但不损害国家安全.
第三级(监督保护级): 信息系统受到粉碎后, 会对(公民, 法人, 其他组织)的正当权益造成特别严重损害, 或对(社会秩序, 公共利益)造成严重损害, 或对国家安全造成损害.
第四级(强制保护级): 信息系统受到粉碎后, 会对(社会秩序, 公共利益)造成特别严重损害, 或对国家安全造成严重损害.
第五级(专控保护级): 信息系统受到粉碎后, 会对(国家安全, 社会秩序, 公共利益, 经济建立)造成特别严重损害.
分别出处: 信息安全品级保护管理办法.
3.3、 不划一级的羁系强度
国家对不同安全保护品级的信息和信息系统实行不同的羁系政策:
第一级: 自主保护.
第二级: 自主保护, 并受信息安全羁系职能部门指导.
第三级: 自主保护, 并受信息安全羁系职能部门监督和检查.
第四级: 自主保护, 并受信息安全羁系职能部门强制监督和检查.
第五级: 自主保护, 并受国家指定的专门部门和专门机构监督.
3.4 品级保护制度特点
紧急性: 信息安全滞后于信息化发展, 重要信息系统的安全保障的需求迫切.
全面性: 内容涉及广泛, 需各单元各部门落实.
基础性: 品级保护是国家的一项基本制度和基本国策.
强制性: 要求公安构造等羁系部门进行(监督, 检测, 指导)品级保护工作.
规范性: 国家出台了一系列政策和尺度.
3.5 品级保护的工作环节
定级
存案
建立整改
品级测评
监督检查
出处: 信息安全品级保护管理办法.
3.6 品级保护 2.0
为了适应(移动互联, 云盘算, 大数据, 物联网, 工业控制)等新技术和新应用的情况下的安全品级保护工作的开展, 国家从 2013 年开始对 GB/T 22239-2008 尺度进行修订工作, 并后续出台一系列基于 GB/T 22239-2008 的分册尺度.
新尺度:
GB/T 22239.1 “信息安全技术网络安全品级保护基本要求第 1 部分: 安全通用要求”
GB/T 22239.2 “信息安全技术网络安全品级保护基本要求第 2 部分: 云盘算安全扩展要求”
GB/T 22239.3 “信息安全技术网络安全品级保护基本要求第 3 部分: 移动互联安全扩展要求”
GB/T 22239.4 “信息安全技术网络安全品级保护基本要求第 4 部分: 物联网安全扩展要求”
GB/T 22239.5 “信息安全技术网络安全品级保护基本要求第 5 部分: 工业控制安全扩展要求”
GB/T 22239.6 “信息安全技术网络安全品级保护基本要求第 6 部分: 大数据安全扩展要求”
注意事项事项
附录1
2024年11月1日起，13项网络安全国家尺度开始实行
《网络安全技术 信息技术安全评估准则》等13项网络安全国家尺度开始实行，将为引领网络安全产业高质量发展，增强广大人民群众的获得感、幸福感和安全感提供尺度支撑。
《网络安全技术 信息技术安全评估准则 第1部分：简介和一样平常模子》（GB/T 18336.1—2024）、《网络安全技术 信息技术安全评估准则 第2部分：安全功能组件》（GB/T 18336.2—2024）、《网络安全技术 信息技术安全评估准则 第3部分：安全保障组件》（GB/T 18336.3—2024）、《网络安全技术 信息技术安全评估准则 第4部分：评估方法和活动的规范框架》（GB/T 18336.4—2024）、
《网络安全技术 信息技术安全评估准则 第5部分：预界说的安全要求包》（GB/T 18336.5—2024）、
《网络安全技术 信息技术安全评估方法》（GB/T 30270—2024）等6项保举性国家尺度，是对软件、硬件、固件形式的IT产物及其组合进行安全测评的基础尺度，为产物消费者、开辟者、评估者提供了基本的安全功能和保障组件，内容吸纳了国际网络安全评估领域模块化评估、多重保障评估、供应链分析等最新理念，将为我国具有安全功能IT产物的开辟、评估以及采购过程提供指导。
《网络安全技术 无线局域网客户端安全技术要求》（GB/T 33563—2024）、
《网络安全技术 无线局域网接入系统安全技术要求》（GB/T 33565—2024）两项保举性国家尺度，规定了无线局域网客户端与接入系统的安全功能要求和安全保障要求，给出了无线局域网客户端与接入系统面临安全标题标说明，可以或许为无线局域网客户端产物与接入系统的测试、研制和开辟提供指导。
《网络安全技术 零信任参考体系架构》（GB/T 43696—2024）、
《网络安全技术 证书应用综合服务接口规范》（GB/T 43694—2024）两项保举性国家尺度，分别规定了零信任参考体系架构以及面向证书应用的综合服务接口要求和相应验证方法，对于接纳零信任体系框架的信息系统的规划、操持，公钥密码基础设施应用技术体系下证书应用中间件和证书应用系统的开辟，以及密码应用支撑平台的研制和检测具有重要意义。
《网络安全技术 软件供应链安全要求》（GB/T 43698—2024）、
《网络安全技术 网络安全众测服务要求》（GB/T 43741—2024）、
《网络安全技术 软件产物开源代码安全评价方法》（GB/T 43848—2024）3项保举性国家尺度，分别确立了软件供应链安全目标，规定了软件供应链安全风险管理要求和供需双方的组织管理和供应活动管理安全要求，形貌了网络安全众测服务的脚色以及职责、服务流程、安全风险、服务要求，规定了软件产物中的开源代码成分安全评价要素和评价流程，对软件供应链中的供需双方开展风险管理、组织管理和供应活动管理具有引领和促进作用，将为网络安全众测服务活动提供帮助指导，助力各方对软件产物包含的开源代码成分进行静态安全评价。
附录2
1、美国TCSEC，美国国防部制定，将安全分为4个方面：安全计谋、可说明性、安全保障、文档。在尺度中又把这几方面分为7个安全级别，D、C1、C2、B1、B2、B3、A（从低到高）。
2、欧洲ITSEC，它主要是形貌了技术安全的要求，与TCSEC不同的是ITSEC把完整性、可用性、保密性作为与保密划一重要的因素。ITSEC界说了从E0到E6的7个品级。
3、联合公共准则（CC），它的目标是把已有的安全准则合成一个统一的尺度。96年出第一版，98年第二版，现在已经是ISO尺度。
4、ISO的安全体系架构尺度，是ISO7498-1999。
5、中国的尺度则是GB17895-1999，将系统安全分为5个品级。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。 |
