作為一項(xiàng)信息安全評(píng)估標(biāo)準(zhǔn)，通用評(píng)估準(zhǔn)則(CC Common Criteria)經(jīng)過(guò)了近20年的發(fā)展后，已在信息安全領(lǐng)域得到了廣泛認(rèn)可，是目前國(guó)際上對(duì)信息安全評(píng)估最完善、最權(quán)威的技術(shù)標(biāo)準(zhǔn)。CC適用于信息技術(shù)(IT)產(chǎn)品的安全性評(píng)估，針對(duì)評(píng)估中的IT產(chǎn)品的安全功能及其保障措施提供了一套通用要求，并為IT產(chǎn)品的安全功能及其保障措施滿足要求的情況定義了七個(gè)評(píng)估保障級(jí)別(EAL)，評(píng)估結(jié)果可以幫助消費(fèi)者確定該IT產(chǎn)品是否滿足其安全要求。CC可為具有安全功能的IT產(chǎn)品的開(kāi)發(fā)、評(píng)估以及采購(gòu)過(guò)程提供指導(dǎo)。下面就一起來(lái)看看小編分享的信息技術(shù)安全性評(píng)估通用準(zhǔn)則注意事項(xiàng)吧。

　　CC和PP應(yīng)用過(guò)程中的注意事項(xiàng)

　　1.對(duì)資產(chǎn)的定義

　　在編寫(xiě)PP或ST(Security Target)時(shí)，需要對(duì)資產(chǎn)和威脅進(jìn)行定義。那首先如何來(lái)定義“資產(chǎn)”呢?在CC 2.3中定義的“資產(chǎn)”是“由TOE安全策略保護(hù)的信息或資源”，CC 3.1中定義的“資產(chǎn)”是“評(píng)估對(duì)象(TOE)所有者賦予了價(jià)值的實(shí)體”，也就是說(shuō)只要是TOE所有者賦予了價(jià)值的實(shí)體都可視為所有者的資產(chǎn)。許多資產(chǎn)均以信息的形式由IT產(chǎn)品存儲(chǔ)、處理和傳送，以滿足信息所有者的要求。信息所有者為了信息的可用性，會(huì)嚴(yán)格控制信息的傳播和修改，并實(shí)施對(duì)策以減少對(duì)資產(chǎn)的風(fēng)險(xiǎn)。TOE的部署即可視為資產(chǎn)所有者所采取的一種IT對(duì)策。通過(guò)對(duì)IT對(duì)策的評(píng)估，可以增加所有者對(duì)對(duì)策的充分性和正確性的信心。從上面的論述我們可以看出，在PP和ST中定義資產(chǎn)時(shí)，要考慮的是所有者賦予了價(jià)值，并且由TOE來(lái)保護(hù)的資產(chǎn)，即包括TOE內(nèi)部資產(chǎn)和的TOE外部資產(chǎn)。

　　2.CC評(píng)估中測(cè)試的作用

　　對(duì)產(chǎn)品進(jìn)行評(píng)估是獲取安全保障信心的有效途徑。CC評(píng)估需要論證TOE的安全對(duì)策(在某些環(huán)境條件的配合下)足以抵抗已標(biāo)識(shí)的所有威脅，并且實(shí)現(xiàn)正確，即可以獲取對(duì)TOE的安全對(duì)策的充分性和正確性的信心。

　　在評(píng)估中，安全對(duì)策的充分性是通過(guò)ST來(lái)分析的。ST從描述資產(chǎn)和對(duì)這些資產(chǎn)的威脅開(kāi)始，然后以安全目的的形式描述對(duì)策，并證實(shí)這些對(duì)策對(duì)于對(duì)抗這些威脅是充分的：如果對(duì)策做了聲稱(chēng)要做的事情，那么對(duì)策足以對(duì)抗威脅。

　　對(duì)正確性的評(píng)估需要按照ST中描述的安全保障要求審查T(mén)OE的各種實(shí)現(xiàn)表示文檔，并需要對(duì)TOE進(jìn)行實(shí)際的測(cè)試，包括獨(dú)立測(cè)試與穿透性測(cè)試。獨(dú)立測(cè)試是評(píng)估者對(duì)TOE的安全功能獨(dú)立進(jìn)行的驗(yàn)證性測(cè)試，通過(guò)獨(dú)立測(cè)試可以驗(yàn)證TOE的安全功能能夠滿足安全功能要求。穿透性測(cè)試是評(píng)估者基于已標(biāo)識(shí)的脆弱性，來(lái)進(jìn)行威脅建模，從攻擊者的角度考慮可能的攻擊路徑，對(duì)TOE進(jìn)行穿透性測(cè)試。通過(guò)穿透性測(cè)試，可以確認(rèn)TOE在預(yù)期使用環(huán)境中不存在可被利用的明顯脆弱性。這些過(guò)程要求遵循由ISO/IEC 18045(CEM，CC Evaluation Methodology)給出的評(píng)估方法(對(duì)高保障級(jí)別的評(píng)估，由于CEM中可能未給出規(guī)范方法，評(píng)估體制為此應(yīng)規(guī)定具體的方法)。如果所有的安全保障要求都得到了滿足，則表明TOE實(shí)現(xiàn)正確，這將給用戶傳達(dá)一種信心，即TOE包含可被攻擊者利用的脆弱性的可能性不高。

　　3.對(duì)評(píng)估保障級(jí)的理解

　　CC的理念是，通過(guò)對(duì)IT產(chǎn)品進(jìn)行評(píng)估來(lái)提供保障。CC對(duì)評(píng)估結(jié)論按保障要求體現(xiàn)的范圍、深度和嚴(yán)格性進(jìn)行級(jí)別劃分。CC為此預(yù)定義了7個(gè)保障級(jí)，按逐級(jí)遞增的方式依次為EAL1至EAL7，每一個(gè)評(píng)估保障級(jí)比其它較低的評(píng)估保障級(jí)表達(dá)更多的保障。依據(jù)這種劃分方法，保障級(jí)別要求越高，評(píng)估活動(dòng)付出的努力也越多，由此所能提供的關(guān)于TOE安全保障的信心也就越足。但這并不意味著保障級(jí)別越高，產(chǎn)品的安全性就越高。

　　現(xiàn)狀及展望

　　作為信息技術(shù)產(chǎn)品安全性評(píng)估的基礎(chǔ)準(zhǔn)則，通用評(píng)估準(zhǔn)則在我國(guó)的應(yīng)用也越來(lái)越廣，國(guó)內(nèi)測(cè)評(píng)機(jī)構(gòu)依據(jù)GB/T 18336開(kāi)展了大量的IT產(chǎn)品的安全評(píng)估業(yè)務(wù)，相關(guān)標(biāo)準(zhǔn)得到了廣泛應(yīng)用，依據(jù)GB/T 18336衍生出來(lái)的國(guó)家標(biāo)準(zhǔn)也越來(lái)越多，如《信息安全技術(shù)智能卡嵌入式軟件安全技術(shù)要求(EAL4增強(qiáng)級(jí))》(GB/T 20276)、《信息安全技術(shù)具有中央處理器的集成電路(IC)卡芯片安全技術(shù)要求(評(píng)估保證級(jí)4增強(qiáng)級(jí))》(GB/T 22186)、《信息安全技術(shù)網(wǎng)絡(luò)交換機(jī)安全技術(shù)要求(評(píng)估保證級(jí)3)》(GB/T 21050)等。同時(shí)關(guān)于安全辦公U盤(pán)、數(shù)據(jù)庫(kù)管理系統(tǒng)相關(guān)的安全標(biāo)準(zhǔn)也正在編寫(xiě)中。

　　在信安標(biāo)委的領(lǐng)導(dǎo)下，國(guó)內(nèi)測(cè)評(píng)機(jī)構(gòu)及相關(guān)單位以GB/T 18336為范化標(biāo)準(zhǔn)，結(jié)合自身行業(yè)安全需求和技術(shù)要求，制定出臺(tái)關(guān)鍵信息技術(shù)產(chǎn)品的安全標(biāo)準(zhǔn)，逐步形成信息技術(shù)產(chǎn)品安全性評(píng)估標(biāo)準(zhǔn)體系，將極大地增強(qiáng)信息技術(shù)安全性評(píng)估標(biāo)準(zhǔn)具體實(shí)施的靈活性和可操作性。這些標(biāo)準(zhǔn)在我國(guó)信息系統(tǒng)安全建設(shè)中起著非常重要的作用，對(duì)于指導(dǎo)相關(guān)產(chǎn)品的開(kāi)發(fā)過(guò)程和評(píng)估過(guò)程有著重要意義。

更多熱門(mén)文章推薦：

1.信息技術(shù)安全性評(píng)估通用準(zhǔn)則解讀

2.信息技術(shù)安全性評(píng)估通用準(zhǔn)則注意事項(xiàng)

3.信息技術(shù)安全性評(píng)估通用準(zhǔn)則

4.2016中國(guó)互聯(lián)網(wǎng)絡(luò)域名管理最新規(guī)定

5.2016年中國(guó)軍隊(duì)改革亮點(diǎn)解讀