董貞良（中國(guó)人民銀行金融信息中心）

1 發(fā)展過(guò)程

通用準(zhǔn)則（Common Criteria，CC）是國(guó)際上通用的IT產(chǎn)品安全測(cè)評(píng)標(biāo)準(zhǔn)，最早來(lái)源于TCSEC（Trusted Computer System Evaluation Criteria）。TCSEC常 被稱為“橘皮書”或DoDD 5200.28-STD，1985年，作為彩虹系列（Rainbow Series）出版物的一部分，以美國(guó)國(guó)防部（Department of Defense，DoD）標(biāo)準(zhǔn)的形式發(fā)布。ITSEC（Information Technology Security Evaluation Criteria）發(fā)布于1990年，是英國(guó)、法國(guó)、德國(guó)和荷蘭四國(guó)共同開發(fā)的標(biāo)準(zhǔn)，大量參考了TCSEC。之后各國(guó)開始陸續(xù)開發(fā)此類標(biāo)準(zhǔn)，例如，1993年，加拿大發(fā)布了CTCPEC（Canadian Trusted Computer Product Evaluation Criteria）。

直到1996年，以上國(guó)家或機(jī)構(gòu)聯(lián)合在一起，開發(fā)了一個(gè)共同的標(biāo)準(zhǔn)，命名為：信息技術(shù)安全評(píng)估通用準(zhǔn)則（Common Criteria for Information Technology Security Evaluation），即為最早版本的CC v1.0。1999年，基于CC v2.0版本的標(biāo)準(zhǔn)ISO/IEC 15408《信息技術(shù) 安全技術(shù) IT安全的評(píng)估準(zhǔn)則》正式發(fā)布，該版本的標(biāo)準(zhǔn)是在評(píng)估中被廣泛使用的第一個(gè)CC標(biāo)準(zhǔn)。2012年，CC v3.1版本在對(duì)CC v2.3版本更新后正式發(fā)布。CC v3.1共包括3個(gè)部分，第1部分是“簡(jiǎn)介和一般模型”，第2部分是“安全功能組件”，第3部分是“安全保障組件”。

2 相關(guān)國(guó)際標(biāo)準(zhǔn)的研發(fā)情況

除了最重要的ISO/IEC 15408，與CC相關(guān)的提供安全評(píng)估技術(shù)和方法的國(guó)際標(biāo)準(zhǔn)如下：

（1）ISO/IEC 18045：2008《信息技術(shù) 安全技術(shù) IT安全評(píng)估方法》

ISO/IEC 18045：2008是ISO/IEC 15408的配套文件，ISO/IEC 18045：2008使用ISO/IEC 15408中定義的標(biāo)準(zhǔn)和評(píng)價(jià)證據(jù)，定義了評(píng)估者為進(jìn)行ISO/IEC 15408評(píng)估而需要執(zhí)行的最基本的操作。

（2）ISO/IEC TR 15446：2017《信息技術(shù) 安全技術(shù) 保護(hù)輪廓和安全目標(biāo)制定指南》

ISO/IEC TR 15446提供了與保護(hù)輪廓文件（PPs）和安全目標(biāo)（STs）相關(guān)的指導(dǎo)，這些目標(biāo)符合ISO/IEC 15408第三版（所有部分），它也適用于符合通用標(biāo)準(zhǔn)3.1修訂的PPs和STs，由參與IT安全評(píng)估和認(rèn)證的政府組織聯(lián)盟共同標(biāo)準(zhǔn)管理委員會(huì)（Common Criteria Management Board）發(fā)布。ISO/IEC TR 15446不處理PP和ST規(guī)范之外的相關(guān)任務(wù)，比如PP注冊(cè)和保護(hù)知識(shí)產(chǎn)權(quán)的處理。

（3）ISO/IEC 17825：2016《信息技術(shù) 安全技術(shù) 針對(duì)密碼模塊的非入侵攻擊類的測(cè)試方法》

ISO/IEC 17825：2016規(guī)定了非侵入性攻擊緩解測(cè)試指標(biāo)，用于確定符合ISO/IEC 19790中關(guān)于安全級(jí)別3和4的要求。測(cè)試度量與ISO/IEC 19790中指定的安全功能相關(guān)聯(lián)。

（4）ISO/IEC 18367：2016《密碼算法和安全機(jī)制符合性測(cè)試》

ISO/IEC 18367：2016給出了密碼算法和安全機(jī)制一致性測(cè)試方法的指南。一致性測(cè)試確保密碼算法或安全機(jī)制在硬件、軟件或固件中實(shí)現(xiàn)都是正確的，它還確認(rèn)其在特定的操作環(huán)境中正確運(yùn)行。測(cè)試可以包括已知答案或蒙特卡羅測(cè)試，或者是測(cè)試方法的組合。測(cè)試可以在實(shí)際環(huán)境中執(zhí)行，也可以在模擬環(huán)境中建模。ISO/IEC 18367：2016不包含算法或安全機(jī)制的效率或性能測(cè)試。

（5）ISO/IEC TR 20004：2015 《信息技術(shù) 安全技術(shù) 基于ISO/ IEC 15408和ISO/ IEC 18045細(xì)化軟件漏洞分析》

ISO/IEC TR 20004：2015改進(jìn)了ISO/IEC 18045中定義的AVA_VAN保證族的活動(dòng)并對(duì)識(shí)別、選擇和評(píng)估相關(guān)潛在漏洞提供更具體的指導(dǎo)，以便對(duì)軟件評(píng)估目標(biāo)進(jìn)行基于ISO/IEC 15408的評(píng)估。該技術(shù)報(bào)告利用公開的信息安全資源支持確定ISO/IEC 18045漏洞分析活動(dòng)范圍和實(shí)現(xiàn)方法。技術(shù)報(bào)告目前使用公共弱點(diǎn)枚舉（CWE）和公共攻擊模式枚舉和分類（CAPEC），但不排除使用任何其他適當(dāng)?shù)馁Y源。此外，該技術(shù)報(bào)告沒(méi)有討論所有可能的漏洞分析方法，包括在ISO/IEC 18045中概述的活動(dòng)范圍之外的方法。ISO/IEC TR 20004：2015沒(méi)有為某些高保證的ISO/IEC 15408組件定義評(píng)估者的行為。

（6）ISO/IEC 19790：2012《信息技術(shù) 安全技術(shù) 密碼模塊的安全需求》

ISO/IEC 19790：2012提出了在計(jì)算機(jī)和電信系統(tǒng)中保護(hù)敏感信息的安全系統(tǒng)中使用密碼模塊的安全要求。該標(biāo)準(zhǔn)定義了4個(gè)安全級(jí)別的密碼模塊以覆蓋范圍更廣的數(shù)據(jù)敏感性（如低價(jià)值管理數(shù)據(jù)，百萬(wàn)美元資金轉(zhuǎn)移，生活保護(hù)數(shù)據(jù)，個(gè)人身份信息和政府使用的敏感信息）和應(yīng)用程序環(huán)境的多樣性（如保護(hù)設(shè)施、辦公室、可移動(dòng)媒體和一個(gè)完全不受保護(hù)的位置）。這個(gè)標(biāo)準(zhǔn)為11個(gè)需求區(qū)域中的每個(gè)區(qū)域指定了4個(gè)安全級(jí)別，每個(gè)安全級(jí)別在上一個(gè)級(jí)別上增加了安全性。

ISO / IEC 19790：2012定義安全需求旨在維護(hù)提供的安全加密模塊的安全性，符合該國(guó)際標(biāo)準(zhǔn)不足以確保是安全的，但不確保一個(gè)特定的模塊或信息所有者保護(hù)的信息提供的安全保障是足夠的和可接受的。

（7）ISO/IEC 19896《IT安全技術(shù) 信息安全測(cè)試員和評(píng)估人員的能力要求》

ISO/IEC 19896的第1部分為ISO/ IEC 19896-1：2018《IT安全技術(shù) 信息安全測(cè)試員和評(píng)估人員的能力要求 第1部分：介紹、概念和一般要求》定義了術(shù)語(yǔ)，并建立了一套體系化的概念和關(guān)系，以理解信息安全保證一致性測(cè)試和評(píng)估專家的能力要求，從而為在其用戶中對(duì)ISO/IEC 19896系列的概念和原則的統(tǒng)一理解奠定了基礎(chǔ)。第2部分為ISO/IEC 19790測(cè)試人員的知識(shí)、技能和有效性要求，正在開發(fā)中。第3部分為ISO/IEC 15408評(píng)估人員的知識(shí)、技能和有效性要求，正在開發(fā)中。

（8）ISO/IEC 19989《生物特征系統(tǒng)安全評(píng)價(jià)的標(biāo)準(zhǔn)和方法》

ISO/IEC 19989包括3個(gè)部分，均在開發(fā)中，第1部分為框架，在委員會(huì)草案階段；第2部分為生物特征識(shí)別性能，在準(zhǔn)備階段；第3部分為生物識(shí)別演示攻擊檢測(cè)，在準(zhǔn)備階段。

3 相關(guān)國(guó)家標(biāo)準(zhǔn)的介紹

安全產(chǎn)品評(píng)估國(guó)家標(biāo)準(zhǔn)的主要研發(fā)機(jī)構(gòu)為全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)（SAC/TC 260）1）https://www.tc260.org.cn。，絕大部分標(biāo)準(zhǔn)主要等同采用或非等效采用國(guó)際標(biāo)準(zhǔn)的采標(biāo)形式。在上述描述的國(guó)際標(biāo)準(zhǔn)中，截至2018年7月，已經(jīng)有7項(xiàng)標(biāo)準(zhǔn)被采納為國(guó)家標(biāo)準(zhǔn)。

（1）GB/T 18336.1—2015《信息技術(shù) 安全技術(shù) 信息技術(shù)安全評(píng)估準(zhǔn)則 第1部分：簡(jiǎn)介和一般模型》

該標(biāo)準(zhǔn)等同采用ISO/IEC 15408-1：2009。

（2）GB/T 18336.2—2015《信息技術(shù) 安全技術(shù) 信息技術(shù)安全評(píng)估準(zhǔn)則 第2部分：安全功能組件》

該標(biāo)準(zhǔn)等同采用ISO/IEC 15408-2：2008。

（3）GB/T 18336.3—2015《信息技術(shù) 安全技術(shù) 信息技術(shù)安全評(píng)估準(zhǔn)則 第3部分：安全保障組件》

該標(biāo)準(zhǔn)等同采用ISO/IEC 15408-3：2008。

（4）GB/T 30270—2013《信息技術(shù) 安全技術(shù)信息技術(shù)安全性評(píng)估方法》

該標(biāo)準(zhǔn)采用翻譯法，等同采用國(guó)際標(biāo)準(zhǔn)ISO/IEC18045：2005《信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估方法》。

（5）GB/Z 20283—2006《信息安全技術(shù) 保護(hù)輪廓和安全目標(biāo)的產(chǎn)生指南》

該標(biāo)準(zhǔn)非等效采用ISO/IEC TR 15446：2004《信息技術(shù) 安全技術(shù) 保護(hù)輪廓和安全目標(biāo)產(chǎn)生指南》。該指導(dǎo)性技術(shù)文件描述保護(hù)輪廓（PPs）和安全目標(biāo)（STs）中的內(nèi)容及其各部分內(nèi)容之間的相互關(guān)系。

4 小結(jié)

如上文所述，通用準(zhǔn)則（Common Criteria, CC）相關(guān)國(guó)家標(biāo)準(zhǔn)的采標(biāo)情況如表1所示。

表1 通用準(zhǔn)則（Common Criteria, CC）相關(guān)國(guó)家標(biāo)準(zhǔn)