今年5月份，等保2.0的主要標準GB/-2019《信息安全技術 網絡安全等級保護基本要求》、GB/-2019《信息安全技術 網絡安全等級保護安全設計技術要求》、GB/-2019《信息安全技術網絡安全等級保護測評要求》終于正式發布了。作為一個商用密碼從業者，常被問到多類安全等級相關的問題：等保級別、密碼產品級別、密碼芯片級別、EAL級別，似乎有點多，還有點關聯，不容易分清楚。密小白在此匯總了跟安全級別相關的內容，希望對大家有所幫助~~
一、等保中的“等級”含義
我國從1994年《中華人民共和國計算機信息系統安全保護條例》起步，逐步對計算機信息系統實行安全等級保護。經過20多年的實施推進，隨著2019年5月系列新標準的發布，正式進入等保2.0時代，等級保護中“等級”的含義也得到了不斷的深化。
從現有等保系列標準中可以看出，-1999仍然是當前等級保護的上位標準（請關注這個小細節，-1999的GB后面，沒有常見的“/T”，表明這是一個強制標準）：
在中，根據計算機信息系統的安全保護技術能力，定義了五個等級，等級越高，計算機信息系統安全保護能力越強。每個級別都有名稱：
從上述名稱中，我們也可以大致看出每一級在安全保護技術方面的主要特點。
但是，等級保護對象的安全保護等級可不是按照上面的等級來定義和命名的。在GB/T 22240《信息安全等級保護實施指南》中，保護等級是按照系統被破壞后，受侵害的客體類型及其侵害程度來進行劃分的。
中的五個等級和GB/T 22240中的五個等級既有不同的地方，也有相通的地方。前者是根據采取的安全機制的多少和強弱來確定等級的，而后者是根據信息資產的重要程度來確定安全等級的。不過，重要程度越高，等級保護對象的安全保護等級就越高，需要采取的安全機制也就越多越強。那為什么兩者不采用同一說法，一定要區分呢？
以下直接引用我國著名等級保護專家陸寶華的觀點，密小白非常贊同。
17859等級劃分準則由于是99年出臺的，很多問題沒有考慮到，這個標準實際等于是橘皮書的一個翻版。所以對一些問題考慮得還是不完善的。橘皮書主要是從信息的機密性角度給出了四類八個等級：D類（沒有任何保護的）、C類（分為C1和C2級）、B類（分為B1、B2、B3）、A類和超A類。
超A類沒有描述，A類有描述但是實現起來還有很多問題，尤其是在我們國家。我們國家制訂這些標準的人，就把橘皮書去了頭和尾，把D類、A類和超A類去 掉，只留下B類和C類，就出現了前面說的這五個等級。第一級和第二級是C1級和C2級，第三級、第四級、第五級對應的是B類的B1、B2、B3。我們比橘皮書有一點很重要的進步就是提到了完整性保護的問題。雖然提了，但是沒有細致的講這個完整性應該保護到什么程度，怎么保護。
由于17859的這些不足，2002年公安部又組織了很多專家起草了公共行業安全標準，387~392。這些標準就是對17859做了一個很好的說明和補充。這些標準到06年，提升為國家標準GB/~20273標準。是我國等保工作的技術依據。
最后再補充一句，我國等保系列標準除了技術防護要求之外，對安全管理也提出了具體要求，管理相關內容在17859也是沒有的。
因此，得出小結，是我國等保標準的上位標準，是起點，但當前等級保護中的等級概念得到了深化，等級的名稱、等級確定的依據、等級保護的技術措施和管理措施等等都有很大的發展。
至于每個等級的具體技術和管理要求內涵，請參考當前很多的等保2.0學習文章。關于每個等級的密碼應用和密碼管理相關內容，可參考本號相關文章。
二、信息產品的安全等級概述
總得來說，在我國，存在密碼產品、IT產品和信息安全產品三類安全等級，分別遵循不同的技術標準來劃分中國信息安全測評中心 分級文檔編寫指南 eal1，相應地也有不同的檢測機構來檢測并發放相應的證書。
密碼產品由國家密碼管理局認可的檢測機構進行檢測，安全芯片的檢測依據GM/T 0008-2012 《安全芯片密碼檢測準則》，安全等級從低到高分為一級、二級和三級。密碼模塊的安全檢測遵循GＭ/T 0028-2014 《密碼模塊安全技術要求》和GＭ/T 0039-2014 《密碼模塊安全檢測要求》，安全等級從低到高分為一級、二級、三級和四級。密碼產品的安全等級檢測是強制的，主要衡量密碼相關功能實現的安全性，與產品實現了哪些密碼功能沒有關系。
IT產品（也可以包括密碼產品、信息安全產品）的安全級別，目前用得比較廣泛的是EAL等級，主要是中國信息安全測評中心的系列單位在采用，每款通過測評的產品都會標注上代表其信息安全程度的EAL級別。某些含有密碼功能的產品，比如VPN設備、智能卡等產品，也可以提交檢測，獲得相應的EAL安全等級。只是這個檢測不是強制性的。
信息安全產品（比如防火墻、入侵檢測系統等等）的銷售許可證是強制的，由公安部認可的機構進行檢測，依據相應產品的公安行標區分產品等級。信息安全產品等級不僅代表產品信息安全性上的區別，也包含了產品功能上的區別。
三、密碼產品的安全等級
密碼產品的分級，目前主要依據密標委（密碼行業標準化技術委員會）編制的系列標準來進行分級。從整體上來看，密碼產品又可以分為安全芯片、密碼模塊和密碼系統（注：密碼系統指作為產品的密碼系統，而非責任單位建設的“密碼應用系統”）
安全芯片的密碼相關要求及檢測遵循GM/T 0008-2012 《安全芯片密碼檢測準則》，其中將芯片安全等級從低到高分為一級、二級和三級。當前，我國大部分安全芯片的密碼安全級別在一級或者二級。（請特別關注：這個芯片安全級別跟EAL級別的差異）
密碼模塊的安全級別遵循GＭ/T 0028-2014 《密碼模塊安全技術要求》（已轉成國標GB/T 37092《信息安全技術 密碼模塊安全要求》）和GＭ/T 0039-2014 《密碼模塊安全檢測要求》。此處密碼模塊包含了硬件/軟件/固件及其組合。密碼產品的安全等級越高，其自身的安全防護能力就越強。目前，我國絕大部分密碼產品的安全級別在二級的水平。關于密碼模塊的安全等級的具體含義，請參見本公號：說說商用密碼的安全性：（二）商密產品的安全性
作為產品送檢的密碼系統，其安全級別的定義和標準尚不清楚。
四、IT產品的EAL級別
4.1 EAL簡述
EAL級別是參照國際CC路線對IT產品的安全性做了定義和分級，我們轉化為國標是GB/T 18336-2015《信息技術 安全技術 信息技術安全評估準則》（有三個部分）。根據該標準，可以對幾乎所有的軟硬件產品進行安全性評估，也就是說，評估對象可以是防火墻、入侵檢測系統、密碼機等信息安全產品，也可以是路由器、交換機、操作系統、數據庫系統等非安全產品。在此需要提及，商密產品也可以去做信息安全產品測評，這樣也會拿到一個EAL級別，但這個級別跟商密產品檢測的級別不是一回事。
EAL等級出自 “信息技術安全評估通用準則（The for ，CC ）”，簡稱CC標準。因此，要了解EAL等級就有必要知道CC標準的基本情況。
簡單地說，CC標準是信息技術安全性評估標準，是用來評估信息系統、信息產品的安全性的中國信息安全測評中心 分級文檔編寫指南 eal1，這兒的安全性主要指信息安全常說的的CIA三性（機密性、完整性和可用性）。在20世紀90年代之前，美國、加拿大、歐共體等都有各自關于IT產品安全性的技術標準，對安全性的涵義、等級劃分和評價方法是百花齊放，各有特點。隨著國際化進程演進，越來越需要建立一個各國都能接受的通用的標準。1996年，基于美國TCSEC、歐洲ITSEC、加拿大、美國FC等標準，6國7方（美國國家安全局和國家技術標準研究所、加、英、法、德、荷）共同提出了CC標準（V1.0），1998年，美、英、加、法、德共同簽署了書面認可協議，即CC2.0，該標準于1999年正式發布為國際標準 ISO/IEC 15408。我國于2001年等同采用CC1.0為GB/-2001，現行標準為等同采用CC2.0的GB/-2015。
CC標準對信息產品的安全性評估分為兩個方面：安全功能需求和安全保證需求。EAL（ Level，評估保證級）就是CC中用來衡量安全保證能力而設置的級別。
4.2EAL內涵
在CC標準中，EAL是用來衡量安全保證能力的。那何為安全保證能力呢？直白地講，安全保證能力就是能夠向外界證明產品安全功能的可信度的能力。也就是通過獨立的測評來評價IT產品安全功能的可信度，測評后獲得的級別越高（從EAL1到EAL7），可信度越高。高EAL等級的產品并不一定比低EAL等級的產品具有更多的安全功能。
從安全保證的含義可以看出，EAL不衡量系統本身的安全功能，只表示測試的嚴格程度。從EAL1到EAL7一共有7個等級，等級越高，表示通過認證需要滿足的安全保證要求越多，系統的安全特性越可信。
(1) 評估保證級1(EAL1)——功能測試；
(2) 評估保證級2(EAL2)——結構測試；
(3) 評估保證級3(EAL3)——系統地測試和檢查；
(4) 評估保證級4(EAL4)——系統地設計、測試和復查；
(5) 評估保證級5(EAL5)——半形式化設計和測試；
(6) 評估保證級6(EAL6)——半形式化驗證的設計和測試；
(7) 評估保證級7(EAL7)——形式化驗證的設計和測試。
從上述各級的名稱中，我們可以看到，EAL評估方法跟質量認證有些相似，會從設計文檔、設計分析、功能測試、穿透測試等方面對安全功能的可信度進行考量。因此，也可以認為，EAL級別大致代表了IT產品的安全功能的質量水平。EAL等級越高，表明質量水平越高，需要越詳細的文檔、分析和測試來提供質量水平的證明，產品的研發保證過程需要耗費更多的時間和金錢。
4.3注明EAL級別的IT產品標準
在CC的體系中，不同類別IT產品，其安全功能要求和安全保證要求都是從一系列集合（以類、族、組件的形式體現）中進行選擇并定義的。CC體系中定義了兩類非常重要的文檔：
——保護輪廓（PP）：用戶的需求及滿足需求的技術實現方法與途徑，通常以技術標準的形式出現。
——安全目標（ST）：廠商對產品提供的安全功能的聲明和特定的技術實現，廠商在提交產品測評時需要提交的文檔，廠商的ST中至少要包含相關PP中的安全功能要求。
我國信安標委（TC260）發布了一些產品的安全標準，其中標注了安全保證級別的就是CC體系中產品保護輪廓（PP）的良好例子，比如：
——GB/T 36950-2018信息安全技術智能卡安全技術要求（EAL4+）
——GB/T 30284-2013移動通信智能終端操作系統安全技術要求（EAL2級）
——GB/T 35101-2017信息安全技術智能卡讀寫機具安全技術要求（EAL4增強）
中國信息安全測評中心網站上公布的產品測評結果都包含了EAL級別。其中EAL級別的具體含義，有興趣研究的可以對照GB/，并參考上述產品保準進行研讀。其中內容稍微有點晦澀，不過對于信息安全從業人員系統掌握產品安全性要求和安全保證要求還是非常不錯的學習資料。
五 信息安全產品的級別
我國信息安全產品由公安部進行檢測，也有一系列相關的產品標準，里面也有關于級別的區分。比如有的產品分為基本型和增強型，不同級別的產品在功能要求、安全性要求方面都有不同。
