国内外信息安全产品认证标准简介
信息安全的国际标准与规范
信息安全的国际标准与规范信息安全已经成为当今社会中一项至关重要的任务，它涉及到个人、组织和国家的利益。
为了确保信息的保密性、完整性和可用性，国际上制定了一系列标准与规范。
本文将介绍其中的一些主要标准与规范。
一、ISO/IEC 27001信息安全管理体系ISO/IEC 27001是一项被广泛接受和采用的国际标准，它为组织提供了建立、实施、监督和改进信息安全管理体系的指南。
这个标准涵盖了各个方面，包括组织安全管理、人员安全、物理与环境安全、通信与操作管理、访问控制等。
通过合规于ISO/IEC 27001标准，组织可以有效管理信息安全风险，提高信息系统和业务流程的安全性。
二、PCI DSS支付卡行业数据安全标准PCI DSS是由PCI安全标准理事会制定的，旨在确保支付卡数据的安全性。
该标准适用于接受、存储、处理或传输持卡人信息的任何组织或机构。
PCI DSS标准包含12个具体的安全要求，包括建立和维护防火墙配置、保护存储的卡片数据、加密传输敏感信息等。
通过遵守PCI DSS标准，组织可以保护客户的支付卡数据，减少数据泄露和支付卡欺诈的风险。
三、HIPAA健康保险可穿戴产品安全标准HIPAA（美国健康保险便携性与责任法案）是美国政府制定的一项法规，其目的是保护个人健康信息的安全与隐私。
HIPAA包含了一系列安全标准，适用于处理、存储和传输个人健康信息的各种组织和个人。
当涉及到健康保险可穿戴产品时，这些产品的制造商和开发者必须符合HIPAA的相关要求，以保障用户的健康信息不被泄露或滥用。
四、GDPR通用数据保护条例GDPR（General Data Protection Regulation）是一项针对欧洲联盟成员国的数据保护法规，目的是保护个人数据的隐私和安全。
该条例规定了组织和个人对于收集、存储、处理和传输个人数据的责任和义务。
GDPR要求组织必须事先获得个人数据的明确同意，并为其提供了一系列权利，如访问、更正和删除个人数据等。
国外信息安全测评认证体系简介
国外信息安全测评认证体系简介1、信息安全度量基准1、1 信息安全测评认证标准的发展在信息技术方面美国一直处于领导地位，在有关信息安全测评认证方面美国也是发源地。
早在70年代美国就开展信息安全测评认证标准研究，并于1985年由美国国防部正式公布了可信计算机系统评估准则（TCSEC）即桔皮书，也就是大家公认的第一个计算机信息系统评估标准。
在随后的十年里，不同的国家都开始主动开发建立在TCSEC基础上的评估准则，这些准则更灵活、更适应了IT技术的发展。
可信计算机系统评估准则（TCSEC）开始主要是作为军用标准，后来延伸至民用。
其安全级别从高到低分为A、B、C、D四类，级下再分A1、B1、B2、B3、C1、C2、D等7级。
欧洲的信息技术安全性评估准则（ITSEC）1.2版于1991年由欧洲委员会在结合法国、德国、荷兰和英国的开发成果后公开发表。
ITSEC作为多国安全评估标准的综合产物，适用于军队、政府和商业部门。
它以超越TCSEC为目的，将安全概念分为功能与功能评估两部分。
加拿大计算机产品评估准则（CTCPEC）1.0版于1989年公布，专为政府需求而设计，1993年公布了3.0版。
作为ITSEC和TCSEC的结合，将安全分为功能性要求和保证性要求两部分。
美国信息技术安全联邦准则（FC）草案1.0版也在1993年公开发表，它是结合北美和欧洲有关评估准则概念的另一种标准。
在此标准中引入了“保护轮廓（PP）”这一重要概念，每个轮廓都包括功能部分、开发保证部分和评测部分。
其分级方式与TCSEC不同，充分吸取了ITSEC、CTCPEC中的优点，主要供美国政府用，民用和商用。
由于全球IT市场的发展，需要标准化的信息安全评估结果在一定程度上可以互相认可，以减少各国在此方面的一些不必要开支，从而推动全球信息化的发展。
国际标准化组织（ISO）从1990年开始着手编写通用的国际标准评估准则。
该任务首先分派给了第1联合技术委员会（JTC1）的第27分委员会（SC27）的第3工作小组（WG3）。
全球信息安全标准概览
全球信息安全标准概览信息安全标准是全球范围内保护和管理信息系统安全的重要指导性文档，它们为企业和组织提供了一套安全框架和指导原则，帮助他们建立和保护其信息资产。
在全球范围内，存在着多个不同的信息安全标准，每个标准都有其独特的特点和适用范围，下面将就一些常见的全球信息安全标准做一个概述。
ISO 27001是一种全球信息安全标准，旨在帮助组织保护其信息资产。
它提供了一个详细的框架，涵盖了信息安全管理系统的各个方面，包括风险评估、安全政策、组织架构、访问控制、通信安全等内容。
ISO 27001是一种非常全面的标准，适用于各种规模和类型的组织。
另一个全球信息安全标准是PCI DSS，即支付卡行业数据安全标准。
这个标准由信用卡组织制定，旨在保护持卡人的数据安全。
PCI DSS包括一系列安全控制措施，要求商家和处理商户交易的实体遵守这些控制措施，以确保支付卡数据不被盗窃或滥用。
对于云计算领域，ISO 27017和ISO 27018是两个重要的信息安全标准。
ISO 27017是关于云服务安全的指导原则，帮助云服务提供商和云用户建立和维护安全云环境。
ISO 27018则是专门针对云服务中个人信息的保护要求，规定了云服务提供商应该如何处理和保护用户的个人数据。
在医疗健康信息领域，HIPAA是一个重要的全球信息安全标准。
HIPAA是一项美国法律，旨在保护个人健康信息的隐私和安全。
它规定了医疗保健提供者和其他与之相关的实体如何处理和保护患者的健康信息，以确保这些信息不被滥用或泄露。
总的来说，全球信息安全标准对于维护信息系统的安全性和保护信息资产至关重要。
各个标准都有其独特的特点和适用范围，组织和企业应该根据自身的需求和情况选择最适合自己的信息安全标准，并严格遵守标准中规定的各项要求，以确保信息安全管理系统的高效运作和信息资产的有效保护。
通过遵守全球信息安全标准，组织和企业可以有效防范各类信息安全风险，提升信息系统的安全性和稳定性，保护用户和组织的利益。
信息系统 安全相关认证
在信息系统安全领域，有一些国际认可的专业认证，可以帮助信息安全专业人员提升技能水平和行业地位。
以下是一些重要的信息安全相关认证：1. CISSP（Certified Information Systems Security Professional）CISSP由(ISC)²颁发，是全球公认的信息安全领域的权威认证之一。
它涵盖了八个知识领域：安全与风险管理、资产安全、安全工程、通信与网络安全、身份与访问管理、安全评估与测试、软件开发安全以及操作安全。
2. CISM（Certified Information Security Manager）CISM是由ISACA提供的认证，专注于信息安全经理的角色，强调信息安全管理策略的制定、实施、管理和监督。
3. CISA（Certified Information Systems Auditor）同样由ISACA提供，CISA主要针对IT审计人员，关注的是信息系统审计、控制和保证过程。
4. CEH（Certified Ethical Hacker）CEH认证由EC-Council提供，旨在培养具备道德黑客技能的专业人士，他们能够通过模拟攻击来评估和改进组织的安全状况。
5. Security+CompTIA Security+是一个基础级认证，适用于希望从事或已经在信息安全岗位上的IT专业人士，涵盖基础级别的安全概念和技术。
6. GSEC（SANS GIAC Security Essentials Certification）由SANS研究所颁发的GSEC证书表明持有者具备网络安全基础知识和关键技能，包括加密、防火墙、入侵检测等。
7. ISO/IEC 27001 LA/LI（Lead Auditor / Lead Implementer）这是关于信息安全管理体系（ISMS）的认证，LA侧重于审核技能，LI则关注实施能力，基于ISO 27001标准。
8. CSSLP（Certified Secure Software Lifecycle Professional）CSSLP由(ISC)²提供，专门针对软件开发生命周期中的安全实践，确保软件从设计到部署全过程的安全性。
世界各国认证，这是最全面的，值得收藏
世界各国认证，这是最全面的，值得收藏文：制造原理▲图片来源质量与认证认证标志是指产品经法定的认证机构按规定的认证程序认证合格，准许在该产品及其包装上使用的表明该产品的有关质量性能符合认证标准的标识。
认证标志作为一种质量标志，其根本作用在于向产品购买者传递正确可靠的质量信息。
一、体系认证ISO9001 质量管理体系认证ISO14001 环境管理体系认证OHSAS18001 职业健康安全管理体系认证ISO22000 食品安全管理体系认证FSSC 22000 食品安全体系认证HACCP 危害分析关键控制点ISO13485 医疗器械质量管理体系认证ISO/TS16949 国际汽车工业质量管理体系认证ISO/IEC 27001 信息安全管理体系认证ISO10015 人力资源培训管理体系认证SA8000 社会责任标准认证IQNet SR10 社会责任管理体系认证ISO/IEC 20000 信息技术服务管理体系认证能源管理体系认证二、产品认证德国：德国GS（Germany safety）安全认证标志认证；德国VDE（Verband Deutscher Elektrotechniker）电气工程师协会标准认证；德国VDA6 德国企业工业质量标准；德国TUV（TUV Rheinland Group）莱茵公司认证。
美洲：美国UL（Underwriters Laboratories Inc.）美国保险商试验所认证；美国EPA（U.S Environmental Protection Agency）环境保护署认证；美国ETL（ETL Electrical Testing Laboratories）美国电子测试实验室；美国FCC（Federation Communication Certification）联邦通信委员会通讯认证/电磁兼容认证；美国ASME（American Society of Mechanical Engineers）机械工程师学会认证；美国Energy Star能源之星认证；美洲UC认证；美国ANS标准认证；美国SEI（安全保护设备研究所）认证；北美NEBC认证；美国ASTM认证；北美ENTELA认证（ENgineering TEsting LAboratory）；美国SNELL认证；美国CQ&Ｒ认证；美国DTCMC（Discreet Training Center Management Center）；美国SAE机动车工程师学会认证；美国NRTL（National recognized Testing Lab）国家认可实验室认证；美国CUL（Canadian underwriter laboratory）（相当于加拿大的UL认证）。
网络信息安全的国际标准与合规要求
网络信息安全的国际标准与合规要求随着互联网的飞速发展，网络信息安全问题日益突出，给个人、组织和国家带来了巨大的风险。
为了确保网络信息的安全性和可信度，国际社会广泛采用了一系列标准和合规要求。
本文将介绍网络信息安全的国际标准和合规要求，并探讨其对保护网络环境的重要性。
一、国际标准1. ISO/IEC 27001：信息安全管理体系(ISMS)标准ISO/IEC 27001是由国际标准化组织(ISO)和国际电工委员会(IEC)联合制定的，为组织提供了一种建立、实施、监控和持续改进信息安全管理体系的框架。
该标准重点关注信息安全的管理，包括风险评估、安全策略、安全控制和安全审计等方面。
2. ISO/IEC 27002：信息技术—安全技术—信息安全管理实施指南ISO/IEC 27002是一份指导性文件，为组织在ISO/IEC 27001框架下规划和实施信息安全管理提供了详细的指导。
它包含了一系列的最佳实践和控制措施，涵盖了信息安全管理的各个方面，如组织安全政策、人员安全、物理安全、通信安全和访问控制等。
3. GDPR：通用数据保护条例GDPR是欧盟委员会制定的一项关于个人数据保护和隐私权的法规。
该法规于2018年5月25日正式生效，并适用于所有在欧盟境内运营的组织。
GDPR规定了个人数据的处理原则、个人权利、数据保护措施等，并对违反规定的组织进行了严厉的处罚。
二、合规要求1. 数据保护要求在网络信息安全中，保护个人数据的安全是一项重要的合规要求。
组织应采取必要的措施，保护个人数据的机密性、完整性和可用性，遵守相关法律法规，如欧盟的GDPR和美国的HIPAA（医疗保险可移植性和责任法案）等。
2. 安全审计要求组织应定期进行安全审计，以评估信息系统和网络的安全性，并发现和解决存在的安全风险和漏洞。
安全审计应包括对网络设备、系统配置、安全策略和安全控制等方面的评估。
3. 事件响应和报告要求当出现网络安全事件时，组织应及时响应，并采取适当的措施进行应对和处置。
国内外信息安全产品认证标准简介
ｓ ｃ ｒｔ ｖａｕ ｔｏ ） 。 ｅ ｕ ｉｙ ｅ ｌ ａ ｉ ｎ）
ｅ ｕ ｉｙ ） Ｓ ／ 产 品 的 安 全 性 。 Ｃｃ标 准 源 于 世 界 ｓ ｃ ｒｔ） ， 目前 ，最 新 版 本 Ｉ Ｏ
Ｅ ５ ０ —０ ８ ＣＶ３ １ ．。 多 个 国 家 的信 息 安 全 准 则 规 范 ， 包 Ｉ Ｃ１ ４ ８ ２ ０ 采 用 了 Ｃ
个 各 国 都 能 接 受 的 通 用 的 信 息 安
标 家 技 术 标 准 研 究 所 、 加 拿 大 、 英 法 ，并统 的安 全 性 评 估 准 则 。
国 、 法 国 、 德 国 、 荷 兰 ） 共 同 提 而 更 新 。 ＣＥＭ 标 准 主 要 描 述 了 保 ＣＣ标 准 为 不 同 国 家 或 实 验 室 的 评
联 邦 准 则 （ ｅ ｅ ａ Ｃｒ ｅｉ） 等 ， Ｆ ｄｒｌ ｉ ｒ ｔ ａ
Ｉ ｏ ｍ ａ ｉ ｎ Ｔｅ ｈｎｏｌ ｎｆ ｒ ｔｏ ｃ ｏｇｙ Ｓｅ ｕｒ ｔ ｃ ｉｙ
要 求 和 安 全 保 证 要 求 ， 目的 是 建 立
一
ａ ｕ ｔｏ ）提 供 了通 用 的 评 估 方 由 ６ 国 家 （ 国 国 家 安 全 局 和 国 Ｅｖ ｌ ａ ｉ ｎ 个 美
Ｐ 。 ｒ ｔｃｉｎ Ｐ ｏ ｉ ｅ 出 制 定 。ｃＣ 准 的 发 展 过 程 见 附 护 轮 廓 （ Ｐ Ｐ ｏ ｅ ｔｏ ｒ ｆｌ ） 、 标
图。
估结 果提供 了可 比性 。
安 全 目标 （ － ｃ ｒｔ ｒ ｅ ） ＳＴ Ｓｅ ｕ ｉｙ Ｔａ ｇ ｔ
一
ＣＣ 准 的 第 一 部 分 为 简 介 和 标
编航 辑 ／ 徐
． ＞
文 ／ 崔占华
陈世翔
信息安全的国际标准与合规要求
信息安全的国际标准与合规要求随着科技的迅猛发展和全球互联网的普及，信息安全问题变得尤为重要。
无论是个人还是组织，都需要遵守国际标准和合规要求来保护信息的安全。
本文将介绍一些重要的国际标准和合规要求，以帮助读者更好地了解和应对信息安全风险。
一、国际标准1. ISO/IEC 27001ISO/IEC 27001是信息安全管理体系的国际标准，为组织提供了一套完整的框架，用于制定、实施、维护和持续改进信息安全管理。
它包括安全策略、组织安全、人员安全、物理安全、通信和运营管理、访问控制、信息系统获取、开发和维护、信息安全事件管理等方面的要求。
2. PCI DSSPCI DSS（Payment Card Industry Data Security Standard）是由信用卡行业制定的安全标准，旨在保护持卡人的支付信息。
该标准涵盖了网络安全管理、卡片数据保护、强身份验证、访问控制、网络监控和测试等方面。
3. SOXSOX（Sarbanes-Oxley Act）是美国一项重要的法律法规，要求上市公司和注册会计师事务所制定和遵守相关的信息披露和内部控制规则，以确保公司财务报告的准确性和可靠性。
信息安全在SOX法规中占据重要位置，组织需要采取必要的安全措施来保护财务数据和交易信息。
二、合规要求1. GDPRGDPR（General Data Protection Regulation）是欧盟制定的数据保护法规，于2018年5月生效。
它适用于任何处理欧盟公民个人数据的组织，包括数据收集、储存、处理和处理者之间的数据传输。
组织需要明确个人数据的用途、法律依据和用户权利，并采取适当的安全措施来保护这些数据。
2. HIPAAHIPAA（Health Insurance Portability and Accountability Act）是美国一项重要的医疗信息保护法规，旨在保护个人的医疗信息和隐私。
根据HIPAA的要求，医疗机构和相关组织需要建立合适的安全措施来保护电子医疗记录等敏感信息。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
国内外信息安全产品认证标准简介信息安全标准是解决有关信息安全的产品和系统在设计、研发、生产、建设、使用、检测认证中的一致性、可靠性、可控性，先进性和符合性的技术规范和技术依据。
因此，世界各国越来越重视信息安全产品认证标准的制修订工作。
一、国外信息安全标准发展现状
l .CC标准的发展过程
CC标准(Common Criteria for Information Technology Security Evaluation)是信息技术安全性评估标准，用来评估信息系统和信息产品的安全性。
CC标准源于世界多个国家的信息安全准则规范，包括欧洲ITSEC、美国TCSEC（桔皮书）、加拿大CTCPEC以及美国的联邦准则(Federal Criteria)等，由6个国家（美国国家安全局和国家技术标准研究所、加拿大、英国、法国、德国、荷兰）共同提
出制定。
CC标准的发展过程见附图。
国际上，很多国家根据CC标准实施信息技术产品的安全性评估与认证。
1999年CCV2.1被转化为国际标准ISO/IEC15408-1999《Information technology-Security techniques-Evaluation criteria for IT security》，目前，最新版本ISO/IEC15408-2008采用了CCV3.1。
用于CC评估的配套文档CEM标准(Common Methodology for Information Technology Security Evaluation)提供了通用的评估方法，并且跟随CC标准版本的发展而更新。
CEM标准主要描述了保护轮廓(PP-Protection Profile)、安全目标(ST-Security Target)和不同安全保证级产品的评估要求和评估方法。
CEM标准于2005年成为国际标准ISO/IEC18045《Information technology-Security
techniques-Methodology for ITsecurity evaluation》。
2. CC标准内容介绍
CC标准共分为三部分,主要内容包括信息技术安全性评估的一般模型和基本框架，以及安全功能要求和安全保证要求，目的是建立一个各国都能接受的通用的信息安全产品和系统的安全性评估准则。
CC标准为不同国家或实验室的评估结果提供了可比性。
CC标准的第一部分为简介和一般模型，描述了信息安全相关的基本概念和模型，以及PP和ST的要求。
PP是为一类产品或系统定义信息安全技术要求，包括功要求和保证要求。
ST则定义了一个既定评估对象(TOE-TarEet of aluation)的IT
安全要求，并规定了该TOE应提供的安全功能和保证措施，以满足所提出的安全要求，ST是开发者、评估者和用户之间对TOE安全特性和评估范圈达成一致的基础。
第二部分和第三部分描述了安全功能要求和安全保证要求，功能要求是对产品希望提供的安全功能或特征的描述；保证要求是功能要求能够得到满足的程度。
CC标准根据安全保证要求预先定义了7个安全保证级（EALl~EAL7)，安全保证能力由低到高逐级增强。
CC标准由专门的开发组（CCDB)负责开发、维护、解释，根据检测认证工作实践，CCDB也发布了很多技术支持文档作为检测认证的指导文件，其中有些文件必须参照执行，例如《攻击潜力在智能卡产品中的应用》（CCDB-2009-03-001）等。
3 CC认证概况
为了推进信息技术产品的安全性评估结果在国际间互认，减少重复检测认证，美国、加拿大、法国、德国、英国、荷兰等国于1998年10月发起并签署了CCRA（Common Criteria Recognition Arrangement)。
截止到2011年12月，CCRA 成员国已发展到26个。
根据协定要求，各CCRA成员国之间对CCEALI—EAIA级的评估结果相互承认。
CCRA协定在一定程度上减少了信息安全产品的技术性贸易壁垒。
据CC官方网站公布的数据，截止到2011年11月，总共颁发了1614张认证证书，注册了219个PP，获得授权的检测机构近60个。
随着采用CC标准的国家越来越多，产品获得CC认证证书将有助于进入多个国家的市场。
二、国内信息安全标准介绍
为了加强信息安全标准化工作的组织协调力度，国家标准化管理委员会批准成立了全国信息安全标准化技术委员会(简称“信安标委会”编号为TC260)。
在信安标委会的协调与管理下，我国已经制修订了几十个信息安全标准，为信息安全产品检测认证提供了技术基础。
2001年，我国将ISO/IEC15408-1999转化为国家推荐性标准GB/T18336-2001 (CC V2.1)《信息技术安全技术信息技术安全性评估准则》。
目前，国内最新版本GB/T18336-2008采用了IS0/IEC15408-2005．即CC V2.3。
我国信息安全标准借鉴了GB/T 18336结构框架和技术要求，包括安全功能要求、安全保证要求和安全保证级的定义方法，以及标准的框架结构等。
例如，
GB/T20276-2006《信息安全技术智能卡嵌入式软件安全技术要求(EAL4增强级)》借用了PP的结构和内容要求，包括安全环境、安全目的和安全要求（安全功能要求和安全保证要求）等内容，以及CC标准预先定义的安全保证级别(EAL4)。
同时，结合国内信息安全产品产业的实际情况，我国信息安全标准还规定了产品功能要求和性能要求，以及产品的测试方法。
有些标准描述产品分级要求时，还考虑了产品功能要求与性能要求方面的影响因素。
目前，我国已经根据现有信息安全标准开展了信息安全产品检测认证工作。
在信息安全产品认证认可制度建立后，中国信息安全认证中心已经颁发了近230 张中国国家信息安全产品认证证书，范围覆盖国内信息安全市场上的主要产品种类。
三、小结
我国信息安全标准不仅借鉴了CC标准的技术特点，还结合了国内实际情况。
国内信息安全标准化工作水平还需要进一步提高，这就需要加大标准制修订的
投入力度，考虑标准化应用的实际需求，尽快建立覆盖全面的信息安全标准体系，更好地服务于信息安全产业的发展，提升我国信息安全产品的安全技术水平和
市场竞争力。
《认证技术》2012年第2期作者：崔占华陈世翔。