產品測評通用準則（CC）相關標準介紹

董貞良（中國人民銀行金融信息中心）

1 發展過程

通用準則（Common Criteria，CC）是國際上通用的IT產品安全測評標準，最早來源于TCSEC（Trusted Computer System Evaluation Criteria）。TCSEC常 被稱為“橘皮書”或DoDD 5200.28-STD，1985年，作為彩虹系列（Rainbow Series）出版物的一部分，以美國國防部（Department of Defense，DoD）標準的形式發布。ITSEC（Information Technology Security Evaluation Criteria）發布于1990年，是英國、法國、德國和荷蘭四國共同開發的標準，大量參考了TCSEC。之后各國開始陸續開發此類標準，例如，1993年，加拿大發布了CTCPEC（Canadian Trusted Computer Product Evaluation Criteria）。

直到1996年，以上國家或機構聯合在一起，開發了一個共同的標準，命名為：信息技術安全評估通用準則（Common Criteria for Information Technology Security Evaluation），即為最早版本的CC v1.0。1999年，基于CC v2.0版本的標準ISO/IEC 15408《信息技術 安全技術 IT安全的評估準則》正式發布，該版本的標準是在評估中被廣泛使用的第一個CC標準。2012年，CC v3.1版本在對CC v2.3版本更新后正式發布。CC v3.1共包括3個部分，第1部分是“簡介和一般模型”，第2部分是“安全功能組件”，第3部分是“安全保障組件”。

2 相關國際標準的研發情況

除了最重要的ISO/IEC 15408，與CC相關的提供安全評估技術和方法的國際標準如下：

（1）ISO/IEC 18045：2008《信息技術 安全技術 IT安全評估方法》

ISO/IEC 18045：2008是ISO/IEC 15408的配套文件，ISO/IEC 18045：2008使用ISO/IEC 15408中定義的標準和評價證據，定義了評估者為進行ISO/IEC 15408評估而需要執行的最基本的操作。

（2）ISO/IEC TR 15446：2017《信息技術 安全技術 保護輪廓和安全目標制定指南》

ISO/IEC TR 15446提供了與保護輪廓文件（PPs）和安全目標（STs）相關的指導，這些目標符合ISO/IEC 15408第三版（所有部分），它也適用于符合通用標準3.1修訂的PPs和STs，由參與IT安全評估和認證的政府組織聯盟共同標準管理委員會（Common Criteria Management Board）發布。ISO/IEC TR 15446不處理PP和ST規范之外的相關任務，比如PP注冊和保護知識產權的處理。

（3）ISO/IEC 17825：2016《信息技術 安全技術 針對密碼模塊的非入侵攻擊類的測試方法》

ISO/IEC 17825：2016規定了非侵入性攻擊緩解測試指標，用于確定符合ISO/IEC 19790中關于安全級別3和4的要求。測試度量與ISO/IEC 19790中指定的安全功能相關聯。

（4）ISO/IEC 18367：2016《密碼算法和安全機制符合性測試》

ISO/IEC 18367：2016給出了密碼算法和安全機制一致性測試方法的指南。一致性測試確保密碼算法或安全機制在硬件、軟件或固件中實現都是正確的，它還確認其在特定的操作環境中正確運行。測試可以包括已知答案或蒙特卡羅測試，或者是測試方法的組合。測試可以在實際環境中執行，也可以在模擬環境中建模。ISO/IEC 18367：2016不包含算法或安全機制的效率或性能測試。

（5）ISO/IEC TR 20004：2015 《信息技術 安全技術 基于ISO/ IEC 15408和ISO/ IEC 18045細化軟件漏洞分析》

ISO/IEC TR 20004：2015改進了ISO/IEC 18045中定義的AVA_VAN保證族的活動并對識別、選擇和評估相關潛在漏洞提供更具體的指導，以便對軟件評估目標進行基于ISO/IEC 15408的評估。該技術報告利用公開的信息安全資源支持確定ISO/IEC 18045漏洞分析活動范圍和實現方法。技術報告目前使用公共弱點枚舉（CWE）和公共攻擊模式枚舉和分類（CAPEC），但不排除使用任何其他適當的資源。此外，該技術報告沒有討論所有可能的漏洞分析方法，包括在ISO/IEC 18045中概述的活動范圍之外的方法。ISO/IEC TR 20004：2015沒有為某些高保證的ISO/IEC 15408組件定義評估者的行為。

（6）ISO/IEC 19790：2012《信息技術 安全技術 密碼模塊的安全需求》

ISO/IEC 19790：2012提出了在計算機和電信系統中保護敏感信息的安全系統中使用密碼模塊的安全要求。該標準定義了4個安全級別的密碼模塊以覆蓋范圍更廣的數據敏感性（如低價值管理數據，百萬美元資金轉移，生活保護數據，個人身份信息和政府使用的敏感信息）和應用程序環境的多樣性（如保護設施、辦公室、可移動媒體和一個完全不受保護的位置）。這個標準為11個需求區域中的每個區域指定了4個安全級別，每個安全級別在上一個級別上增加了安全性。

ISO / IEC 19790：2012定義安全需求旨在維護提供的安全加密模塊的安全性，符合該國際標準不足以確保是安全的，但不確保一個特定的模塊或信息所有者保護的信息提供的安全保障是足夠的和可接受的。

（7）ISO/IEC 19896《IT安全技術 信息安全測試員和評估人員的能力要求》

ISO/IEC 19896的第1部分為ISO/ IEC 19896-1：2018《IT安全技術 信息安全測試員和評估人員的能力要求 第1部分：介紹、概念和一般要求》定義了術語，并建立了一套體系化的概念和關系，以理解信息安全保證一致性測試和評估專家的能力要求，從而為在其用戶中對ISO/IEC 19896系列的概念和原則的統一理解奠定了基礎。第2部分為ISO/IEC 19790測試人員的知識、技能和有效性要求，正在開發中。第3部分為ISO/IEC 15408評估人員的知識、技能和有效性要求，正在開發中。

（8）ISO/IEC 19989《生物特征系統安全評價的標準和方法》

ISO/IEC 19989包括3個部分，均在開發中，第1部分為框架，在委員會草案階段；第2部分為生物特征識別性能，在準備階段；第3部分為生物識別演示攻擊檢測，在準備階段。

3 相關國家標準的介紹

安全產品評估國家標準的主要研發機構為全國信息安全標準化技術委員會（SAC/TC 260）1）https://www.tc260.org.cn。，絕大部分標準主要等同采用或非等效采用國際標準的采標形式。在上述描述的國際標準中，截至2018年7月，已經有7項標準被采納為國家標準。

（1）GB/T 18336.1—2015《信息技術 安全技術 信息技術安全評估準則 第1部分：簡介和一般模型》

該標準等同采用ISO/IEC 15408-1：2009。

（2）GB/T 18336.2—2015《信息技術 安全技術 信息技術安全評估準則 第2部分：安全功能組件》

該標準等同采用ISO/IEC 15408-2：2008。

（3）GB/T 18336.3—2015《信息技術 安全技術 信息技術安全評估準則 第3部分：安全保障組件》

該標準等同采用ISO/IEC 15408-3：2008。

（4）GB/T 30270—2013《信息技術 安全技術信息技術安全性評估方法》

該標準采用翻譯法，等同采用國際標準ISO/IEC18045：2005《信息技術 安全技術 信息技術安全性評估方法》。

（5）GB/Z 20283—2006《信息安全技術 保護輪廓和安全目標的產生指南》

該標準非等效采用ISO/IEC TR 15446：2004《信息技術 安全技術 保護輪廓和安全目標產生指南》。該指導性技術文件描述保護輪廓（PPs）和安全目標（STs）中的內容及其各部分內容之間的相互關系。

4 小結

如上文所述，通用準則（Common Criteria, CC）相關國家標準的采標情況如表1所示。

表1 通用準則（Common Criteria, CC）相關國家標準