信息安全产品分级评估
信息安全标准的分级与分类
信息安全标准的分级与分类信息安全标准的分级与分类是指根据不同安全需求和安全等级的不同，对信息安全的标准进行层级划分和分类管理。
这种分类和分级可以帮助企业和组织在信息安全管理过程中更加系统化、规范化地进行。
下面将详细介绍信息安全标准的分级与分类内容。
1. 根据安全等级分类：（1）国家级安全标准：国家级安全标准是由国家安全管理机构制定和发布的，适用于国家级重要信息系统或者关键信息基础设施。
这些标准通常涉及国家安全、国家秘密和军事等方面的信息安全需求。
（2）行业级安全标准：行业级安全标准是由特定行业的管理机构或组织制定和发布的，适用于该行业特定的信息系统。
这些标准通常包括行业内共享的最佳实践和技术要求，旨在提高整个行业的信息安全水平。
（3）企业级安全标准：企业级安全标准是由企业自身制定和发布的，适用于企业内部的信息系统。
这些标准通常基于国家级和行业级标准，并结合企业自身的风险评估和安全需求，制定具体的信息安全政策、控制措施和操作规范。
2. 根据安全需求分类：（1）机密性标准：机密性标准主要关注信息的保密性，旨在防止未经授权的访问、使用和泄露敏感信息。
这些标准通常包括身份认证、访问控制、数据加密、安全审计等措施。
（2）完整性标准：完整性标准主要关注信息的完整性，旨在防止信息被未经授权的篡改或破坏。
这些标准通常包括数据备份与恢复、访问权限管理、防病毒和入侵检测等措施。
（3）可用性标准：可用性标准主要关注信息系统的可用性，旨在保证用户能够及时和正常地访问和使用信息系统。
这些标准通常包括容灾备份、故障恢复、性能优化等措施。
（4）法律合规性标准：法律合规性标准主要关注信息系统的合法性和合规性，旨在遵守相关的法律法规和行业要求。
这些标准通常包括隐私保护、数据保护、知识产权保护、网络安全法律法规合规等措施。
3. 分级管理的策略：（1）风险评估：对信息系统进行风险评估，确定系统的安全需求和对应的安全等级。
（2）安全分类：根据安全等级和安全需求，将信息系统进行分类，并确定相应的安全控制措施。
信息安全评估标准简介
信息安全产品评估标准综述全国信息安全标准化技术委员会安全评估标准组崔书昆信息安全产品，广义地是指具备安全功能（保密性、完整性、可用性、可鉴别性与不可否认性）的信息通信技术（ICT）产品，狭义地是指具备上述功能的专用信息通信技术产品。
这些产品可能是硬件、固件和软件，也可能是软、固、硬件的结合。
一、国外信息安全产品评估标准的发展以美国为首的西方发达国家和前苏联及其盟国，早在20世纪50年代即着手开发用于政府和军队的信息安全产品。
到20世纪末，美国信息安全产品产值已达500亿美元。
随着产品研发，有关信息安全产品评估标准的制定也相应地开展起来。
（一）国外信息安全产品评估标准的演变国际上信息安全产品检测评估标准的发展大体上经历了三个阶段：1.本土化阶段1983年，美国国防部率先推出了《可信计算机系统评估准则》（TCSEC），该标准事实上成了美国国家信息安全评估标准，对世界各国也产生了广泛影响。
在1990年前后，英国、德国、加拿大等国也先后制定了立足于本国情况的信息安全评估标准，如加拿大的《可信计算机产品评估准则》（CTCPEC）等。
在欧洲影响下，美国1991年制定了一个《联邦（最低安全要求）评估准则》（FC），但由于其不完备性，未能推开。
2.多国化阶段由于信息安全评估技术的复杂性和信息安全产品国际市场的逐渐形成，单靠一个国家自行制定并实行自己的评估标准已不能满足国际交流的要求，于是多国共同制定统一的信息安全产品评估标准被提了出来。
1991年欧洲英、法、德、荷四国国防部门信息安全机构率先联合制定了《信息技术安全评估准则》（ITSEC），并在事实上成为欧盟各国使用的共同评估标准。
这为多国共同制定信息安全标准开了先河。
为了紧紧把握信息安全产品技术与市场的主导权，美国在欧洲四国出台ITSEC之后，立即倡议欧美六国七方（即英、法、德、荷、加五国国防信息安全机构，加上美国国防部国家安全局（NSA）和美国商务部国家标准与技术局（NIST））共同制定一个供欧美各国通用的信息安全评估标准。
等级保护、风险评估和安全测评三者之间的区别与联系
等级保护、风险评估和安全测评三者之间的区别与联系刚接触安全测试这项工作的时候，对等级保护、风险评估和安全测评三者之间的联系很不清楚，常常会弄混淆。
幸得有这样一篇文章，详细介绍了三者的概念区别以及联系，澄清了他们之间的关系。
好文章不敢独享，特在此和大家一起分享。
一、三者的基本概念和工作背景A、等级保护基本概念：信息安全等级保护是指对国家秘密信息、法人和其他组织和公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的安全产品实行按等级管理，对信息系统中发生的信息安全事件等等级响应、处置。
这里所指的信息系统，是指由计算机及其相关和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的系统或者网络；信息是指在信息系统中存储、传输、处理的数字化信息。
工作背景：1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》2规定：计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。
1999年公安部组织起草了《计算机信息系统安全保护等级划分准则》（GB 17859-1999），规定了计算机信息系统安全保护能力的五个等级，即：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级:结构化保护级；第五级：访问验证保护级。
GB17859中的分级是一种技术的分级，即对系统客观上具备的安全保护技术能力等级的划分。
2002年7月18日，公安部在GB17859的基础上，又发布实施五个GA新标准，分别是：GA/T 387-2002《计算机信息系统安全等级保护网络技术要求》、GA 388-2002 《计算机信息系统安全等级保护操作系统技术要求》、GA/T 389-2002《计算机信息系统安全等级保护数据库管理系统技术要求》、GA/T 390-2002《计算机信息系统安全等级保护通用技术要求》、GA 391-2002 《计算机信息系统安全等级保护管理要求》。
安全风险分级评估范围
安全风险分级评估范围
安全风险分级评估的范围可以包括以下方面：
1. 信息安全风险评估：评估信息系统和数据的安全风险，包括网络安全风险、系统漏洞、数据泄露等。
2. 物理安全风险评估：评估物理环境中的安全风险，包括设备丢失、灾害风险、入侵等。
3. 人员安全风险评估：评估员工和外部人员对安全的威胁，包括内部恶意操作、社会工程等。
4. 过程和操作风险评估：评估组织内部的过程和操作中的安全风险，包括安全规范和政策的执行风险、安全控制措施的脆弱性等。
5. 合规性风险评估：评估组织是否符合法律、法规、行业规范等合规要求，包括数据隐私保护、个人信息保护、数据处理合规等。
6. 供应链风险评估：评估与组织相关的供应商、合作伙伴和第三方，包括供应商的信息安全控制、数据保护措施等。
综上所述，安全风险分级评估范围涵盖了信息安全、物理安全、人员安全、过程和操作安全、合规性安全以及供应链安全等多个方面。
网络信息安全等级与标准
我国网络信息安全的相关政策法规
❖ 《中华人民共和国计算机信息网络国际联网管理暂行规定》 ❖ 《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》 ❖ 《中国互联网络域名注册暂行管理办法》 ❖ 《中国互联网络域名注册实施细则》 ❖ 《中华人民共和国计算机信息系统安全保护条例》 ❖ 《关于加强计算机信息系统国际联网备案管理的通告》 ❖ 《中华人民共和国电信条例》中华人民共和国国务院令(第291号) ❖ 《互联网信息服务管理办法》中华人民共和国国务院令(第292号) ❖ 《从事放开经营电信业务审批管理暂行办法》 ❖ 《电子出版物管理规定》 ❖ 《关于对与国际联网的计算机信息系统进行备案工作的通知》 ❖ 《计算机软件保护条例》 ❖ 《计算机信息网络国际联网出入口信道管理办法》
• 实施方法
❖ 在组织实施网络与信息安全系统时，应该将技术层 面和管理层面良好配合。
❖ 在信息安全技术层面，应通过采用包括建设安全的 主机系统和安全的网络系统，并配备适当的安全产 品的方法来实现
❖ 而在管理层面，则可以通过构架ISMS来实现。
信息安全管理体系构建
❖ 定义信息安全策略 ❖ 定义NISMS的范围 ❖ 进行信息安全风险评估 ❖ 信息安全风险管理 ❖ 确定管制目标和选择管制措施 ❖ 准备信息安全适用性声明
A级)。
D级和A级暂时不分子级。每级包括它下级的所有
特性，从最简单的系统安全特性直到最高级的计算机
安全模型技术，不同计算机信息系统可以根据需要和
可能选用不同安全保密程度的不同标准。
网络信息安全等级与标准
1) D级 D级是最低的安全形式，整个计算机是不信任的， 只为文件和用户提供安全保护。D级系统最普通的形 式是本地操作系统，或者是一个完全没有保护的网络。 拥有这个级别的操作系统就像一个门户大开的房子， 任何人可以自由进出，是完全不可信的。对于硬件来 说，是没有任何保护措施的，操作系统容易受到损害， 没有系统访问限制和数据限制，任何人不需要任何账 户就可以进入系统，不受任何限制就可以访问他人的 数据文件。
分级评估指南eal3
分级文档编写指南EAL3版本：2.0©版权2008—中国信息安全测评中心二〇〇八年八月目录1安全目标 (1)1.1ST引言 (1)1.2TOE描述 (1)1.3TOE安全环境 (2)1.4安全目的 (4)1.5IT安全要求 (4)1.6TOE概要规范 (5)1.7PP声明 (6)1.8基本原理 (7)2配置管理 (8)2.1配置管理能力 (8)2.2配置管理范围 (8)3交付和运行 (9)3.1交付 (9)3.2安装、生成和启动程序 (9)4开发类文档 (10)4.1功能规范 (10)4.2高层设计 (10)4.3对应性分析文档 (10)5指导性文档 (11)5.1管理员指南 (11)5.2用户指南 (11)6测试相关文档 (12)6.1功能测试 (12)6.2测试范围分析 (12)6.3测试深度分析 (12)7生命周期支持相关文档 (13)7.1开发安全 (13)8脆弱性分析 (14)8.1误用分析 (14)8.2安全功能强度分析 (14)8.3脆弱性分析 (14)1安全目标（ST）一个ST包括特定的TOE的IT安全要求以及TOE提供的规定安全功能和保证措施，以满足所述的安全要求。
对一个TOE而言，ST是开发者、评估者、用户在TOE安全特性和评估范围之间达成一致的基础。
一个ST读者不限于对TOE制造和评估负有责任，但可能负有管理、营销、购买、安装、配置、操作和使用TOE的责任。
ST应是一个面向用户使用的文档，应尽可能少地引用用户不易得到的其他材料。
申请者提供的文档《安全目标》编写方法详见GB/Z 20283《信息安全技术保护轮廓和安全目标产生指南》，本文档只作概要性的描述。
1.1ST引言1.1.1ST标识1) 包括ST 标识信息，如：ST 标题、版本号、申请的保证级别、编写日期和作者；2) 包括此ST文档所描述的TOE 标识信息，如：TOE 名称、TOE 版本号。
1.1.2ST概述1）概括ST的文档结构及所包含的内容；2）概括介绍TOE 的类别、形态、主要组成、功能及应用环境。
数据安全4个等级分级标准
数据安全4个等级分级标准数据安全4个等级分级标准如下：1．一级数据具有公共传播属性，可对外公开发布、转发传播，但也需考虑公开的数据量及类别，避免由于类别较多或者数量过大被用于关联分析。
2．二级数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能对个人合法权益、组织合法权益造成轻微危害。
二级数据通常在组织内部、关联方共享和使用，相关方授权后可向组织外部共享。
3．三级数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能对个人合法权益、组织合法权益造成一般危害。
三级数据仅能由授权的内部机构或人员访问，如果要将数据共享到外部，需要满足相关条件并获得相关方的授权。
4．四级数据：数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能对个人合法权益、组织合法权益造成严重危害，但不会危害国家安全或公共利益。
四级数据按照批准的授权列表严格管理，仅能在受控范围内经过严格审批、评估后才可共享或传播。
数据处理者应在国家数据安全角度出发，结合行业数据分类分级规则或组织生产经营需求，考虑影响对象、影响程度两个要素进行分级。
这个等级标准是由国家相关机构和专家根据数据安全法、相关行业规定和实际情况制定出来的。
在制定过程中，他们考虑了数据的敏感程度、重要性、对个人和组织的影响程度等因素，同时也借鉴了国际上的相关标准和经验。
制定这个等级标准的目的是为了保护个人和组织的合法权益，维护国家安全和社会公共利益，促进数据的合理利用和发展。
隐私保护和用户隐私的区别主要体现在以下两个方面：1．定义：隐私保护是一种对个人信息和隐私进行保护的行为或措施，旨在防止未经授权的访问、使用、泄露或滥用。
而用户隐私是指个人在使用产品或服务时所涉及的隐私信息，包括但不限于个人身份信息、浏览记录、搜索历史、位置信息等。
2．范围：隐私保护的范围相对较广，包括个人信息的收集、存储、处理、使用和共享等方面。
它不仅涉及个人隐私，还可能包括企业机密、商业敏感信息等。
国家信息安全测评信息安全产品自主原创测评白皮书
国家信息安全测评信息安全产品自主原创测评白皮书版本：1.0©版权2008—中国信息安全测评中心二〇〇八年三月目录目录 (I)第1 章简介 (1)1.1 引言 (1)1.2 目的和意义 (1)1.3 业务范围 (2)第2 章自主原创测评业务介绍 (3)2.1 业务特点 (3)2.1.1 国家权威 (3)2.1.2 公平、公正、保密 (3)2.1.3 成熟的技术 (3)2.2 业务需求 (3)2.2.1 支持自主产权 (3)2.2.2 经济发展需要 (3)2.2.3 政策措施完善 (3)2.3 依据标准 (4)第3 章自主原创测评方法介绍 (5)3.1 企业自主原创环境和能力测评 (5)3.1.1 企业资质考查 (5)3.1.2 企业管理状况考查 (6)3.1.3 企业产品研发生产环境和过程 (7)3.2 产品自主原创资质和技术测评 (8)3.2.1 产品资质 (8)3.2.2 产品安全性测评 (8)3.2.3 产品核心技术同源性分析 (8)3.3 自主原创测评内容综述 (9)第4 章自主原创测评流程介绍 (10)4.1 自主原创测评流程综述 (10)4.2 资料提交和说明 (12)4.2.1 业务受理阶段（申请书）所需提交的资料 (12)4.2.2 测评实施阶段（启动通知单）所需提交的资料 (13)4.3 自主原创测评业务接口说明 (13)4.3.1 测评内容 (14)4.3.2 人员及时间 (15)4.3.3 监督测评 (15)4.3.4 代码托管 (15)4.4 业务输出 (15)第 1 章简介1.1 引言当今世界，国家的核心竞争力越来越表现为对智力资源和智慧成果的培育、配置、调控能力，表现为对知识产权的拥有、运用能力。
因此，加强我国自主知识产权的建设，大力提高对知识产权的创造、管理、保护、运用能力，是完善社会主义市场经济体制、规范市场秩序和建立诚信社会的迫切需要，是增强我国企业市场竞争力、提高国家核心竞争力的迫切需要。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全产品分级评估是指依据国家标准GB/T 18336—2001，
综合考虑产品的预期应用环境，通过对信息安全产品的整个生命周期，包括技术，开发、管理，交付等部分进行全面的安全性评估和测试，验证产品的保密性、完整性和可用性程度，确定产品对其预期应用而言是否足够安全，以及在使用中隐含的安全风险是否可以容忍，产品是否满足相应评估保证级的要求。
中国信息安全产品测评认证中心多年来依据国家授权对外开展信息安全产品测评业务，是代表国家对信息安全产品的最高认可，出
具的测评报告具有极高的权威性。
中国信息安全产品测评认证中心依据国标GB/T 18336—2001开展分级评估业务，该标准等同采用国际标准ISO/IEC 15408:1999，所采用的评估方法均为国际通用方法，具备强大的国际认可基础。
目前中国信息安全测评中心使用的标准：
GB/T 18336—2008 《信息技术安全技术信息技术安全性评估准则》（ISO/IEC 15408:2005）
信息安全技术安全通用评估方法：ISO/IEC 18045:2005
产品分级评估(EAL）是评估保证要求的一个基线集合。
每一评估保证级定义一套一致的保证要求，合起来，评估保证级构成预定义的GB/T 18336保证级尺度。
在GB/T 18336中定义了以下7个评估保证级：
(1) 评估保证级1(EAL1)——功能测试；
(2) 评估保证级2(EAL2)——结构测试；
(3) 评估保证级3(EAL3)——系统地测试和检查；
(4) 评估保证级4(EAL4)——系统地设计、测试和复查；
(5) 评估保证级5(EAL5)——半形式化设计和测试；
(6) 评估保证级6(EAL6)——半形式化验证的设计和测试；
(7) 评估保证级7(EAL7)——形式化验证的设计和测试。
分级评估是通过对信息技术产品的安全性进行独立评估后所取得的安全保证等级，表明产品的安全性及可信度。
获得的认
证级别越高，安全性与可信度越高，产品可对抗更高级别的威胁，适用于较高的风险环境。
不同的应用场合（或环境）对信息技术产品能够提供的安全性保证程度的要求不同。
产品认证所需代价随着认证级别升高而增加。
通过区分认证级别满足适应不同使用环境的需要。
7个级别的高低次序在确定时权衡了各个级别所获得的保证、达到该保证度所需的测评认证代价，以及测评认证工作的可行性。
每个高级别的认证级别都要比所有较低级别提供更多的保证，通过在同一保证类中高级别的保证组件替换低级别的相应组件（即增加严格性、范围或深度），或增加另一个保证类中的保证组件（例如，添加新的保证要求）来实现。
目前中国信息安全产品测评认证中心开展了EAL1~4
级四个认证级别的认证工作。
其中除智能卡最高级有4级外，其他最高直到三级。
Q&A
一、分级评估的目的和意义是什么?
1. 对信息安全产品依据国家标准进行分级评估；
2. 判定产品是否满足标准中的安全功能和安全保证要求；
3. 有助于在涉及国家安全的信息安全领域中加强产品的安全性和
可控性，维护国家和用户的安全利益；
4. 促进中国信息安全市场优胜劣汰机制的建立和完善，规范市场。
二、分级评估业务适用范围有哪些?
具有信息技术安全功能的产品，如：防火墙，IDS/IPS、智能卡、网闸、桌面控制、审计等。
三、分级评估目前可受理的级别包括哪些?
目前可受理的级别包括：EAL1、EAL2、EAL3、EAL4、EAL5及上述各级别的增强级。
四、对分级评估申请者有什么要求?
向中国信息安全测评中心(以下简称国家测评中心)提交分级评估申
请的用户，须符合以下要求： 1. 政府机关、具有独立法人资格的合法经营机构或研究机构，可直接向国家测评中心提出评估申请； 2. 涉外企业须通过国内代理向国家测评中心提出评估申请，代理机构应符合第1项中的要求。
五、如何申请分级评估? 申请方应填写《信息安全产品分级评估申请书》（可通过国家测评中心网站下载），其中纸版、电子版各两份。
国家测评中心在收到申请书后的10个工作日内，通知申请方是否正式受理申请。
六、分级评估依据和参考的标准是什么?
依据标准：１. GB/T 18336-2001《信息技术安全技术信息技术安全性评估准则》。
参考标准： 1. 《通用评估方法》； 2. 产品相应保证级的安全技术要求； 3. 产品相关国家和国际标准。
七、分级评估的主要步骤有哪些?
1. 文档评估：对分级文档进行评估；
2. 安全性测试：包括独立性测试、穿透性测试；
3. 现场核查：EAL3级（含）以上需要此步骤，核查配置管理、开发安全、交付运行。
八、分级评估的主要阶段包括哪些?
1.受理阶段；
2.预评估阶段；
3.评估阶段：
4.注册阶段。
九、产品送测的具体要求是什么? 用户按下列要求将送测物品送达国家测评中心：
1. 产品提交时间最晚不得超过评估进展至50%时；
2. 产品配置必须与ST中描述的完全一致；
3. 送测样品（硬、软件）至少两台套；
4. 相关的产品配件，如IC卡、磁盘、光盘等；
5. 完整的技术文档、指令手册、用户手册等；
6. 相关的计算机或通信外设；
7. 申请者在其它测试机构测试或自测的有关文档；
8. 其它需要的技术文件。
十、现场核查的主要内容有哪些? EAL3级（含）以上分级评估包括现场核查的内容：
1. 现场核查约在评估过程进行至70%左右时进行；
2. 现场核查的内容包括配置管理、交付运行和开发安全；
3. 现场核查的形式包括文档证据审查、实际环境审查以及与有关人员交流。
十一、分级评估的周期有多长?
评估开始时间为厂家接到项目启动通知单的时间，评估结束时间为评估部门出具评估技术报告的时间。
* EAL1: 20个工作日 * EAL2: 30个工作日 * EAL3: 60个工作日 * EAL4: 90个工作日 * EAL5: 120个工作日十二、评估后的产品，注册公告需多长时间? 产品通过评估后，将进入注册公告阶段，其时间为10个工作日。
（学习的目的是增长知识，提高能力，相信一分耕耘一分收获，努力就一定可以获得应有的回报）。