“信息安全評估標準大概分為國際標準（CC）、歐盟標準（ITSEC）和中國標準（CC）。其中，CC是當今世界上影響力最廣泛和最重要的標準，也是普遍被世界上絕大多數國家認可的標準。”
信息安全標準是有關信息安全狀況的標準中國信息安全測評中心 分級文檔編寫指南 eal1，在TCSEC中，美國國防部按信息的等級和應用采用的響應措施，將計算機安全從高到低分為：A、B、C、D四類八個級別。
01
—
安全評估標準的發展
早在20 世紀50 年代以美國為首的西方發達國家和蘇聯及其盟國即著手開發用于政府和軍隊的安全的信息技術產品。隨著信息技術產品的不斷研發，相關安全評估標準的制定也相應地開展起來并不斷改進。
1985 年，美國國防部率先推出了《可信計算機系統評估準則} (TCSEC) ，該標準事實上成了美國國家信息安全評估標準，對世界各國也產生了廣泛影響。在1990 年前后，英國、德國、加拿大等國也先后制定了立足于本國情況的信息安全評估標準，如加拿大的《可信計算機產品評估準則}() 等。在歐洲影響下，美國1991 年制定了一個《聯邦(最低安全要求)評估準則} (FC) ，但由于其不完備性，未能推行。
由于信息安全評估技術的復雜性和信息技術產品國際市場的逐漸形成，單靠一個國家自行制定并實行自己的評估標準已不能滿足國際交流的要求，于是多國共同制定統一的信息安全評估標準被提了出來。
1991 年，歐洲的英國、法國、德國、荷蘭四國國防部門信息安全機構率先聯合制定了《信息技術安全評估準則} (ITSEC) ，并在事實上成為歐盟各國使用的共同評估標準。這為多國共同制定信息安全標準開了先河。為了緊緊把握信息安全技術與市場的主導權，美國在歐洲四國出臺ITSEC 之后，立即倡議歐美六國七方(即英國、法國、德國、荷蘭、加拿大五國國防信息安全機構，加上美國國防部國家安全局(NSA)和美國商務部國家標準與技術局(NIST) )共同制定一個供歐美各國通用的信息安全評估標準。1993一1996年，經過四、五年的研究開發，產生了《信息技術安全通用評估準則} ，簡稱CC 標準。
信息安全技術評估標準發展如圖1-1 所示。
圖1-1 技術評估標準發展
02
—
可信計算機系統評估標準(TCSEC)
可信計算機系統評估標準( , TCSEC)是美國政府國防部( of , DoD)標準，為評估計算機系統內置的計算機安全功能的有效性設定了基本要求。
TCSEC 用于評估、分類和選擇用于處理、存儲和檢索敏感信息的計算機系統。作為國防部彩虹系列出版物的核心， TCSEC 經常被稱為橙皮書。最初由國家安全局的國家計算機安全中心( , NCSC)于1983 年發布， 1985年更新。TCSEC 已被2005年最初公布的國際標準《通用準則(CC) }所取代。
TESEC基本目標和要求包括策略、問責、保證和文檔。
TCSEC通過分級的方式建立評價指標，其定義了4個級別: D (最小保護)、C (選擇保護)、B (強制保護)和A( 驗證保護) ，其中A 級具有最高的安全性。每個級別代表個人或組織可以對評估系統進行信任的重大差異。在C 、B 和A 級別中又建立了一系列細分，稱為類別C1、C2 、B1 、B2 、B3 和A1。
03
—
信息技術安全評估標準(ITSEC)
信息技術安全評估標準( , ITSEC)是評估產品和系統中計算機安全性的一套結構化的標準。ITSEC 于1990 年5 月首先在法國、德國、荷蘭和英國出版，基于其各自國家的現有情況。
經過廣泛的國際審查， 1. 2 版隨后于1991 年6 月由歐洲共同體委員會在評估和認證計劃中運作使用。自1990 年ITSEC 發布以來，其他一些歐洲國家同意認可ITSEC 評估的有效性。
ITSEC 以超越TCSEC 為目的，將安全概念分為功能與功能評估兩部分。ITSEC 提出評估對象(TOE) 的概念，評估對象分產品和系統兩大類。
功能準則在測定上分F1~F10共10 類。1~5 類對應于TCSEC 的D 到A ，6~10 類增加了以下概念：
評估準則分為6 級: E1~E6 ：
04
—
信息技術安全評估通用標準(CC)
信息技術安全評估通用標準( for )簡稱通用標準或CC ，是計算機安全認證的國際標準( ISO/IEC 15408 ) 。
為了適應經濟全球化的形勢要求，在CC 標準制定出不久，六國七方即推動國際標準化組織(ISO)將CC 標準納入國際標準體系。經過多年協商和切磋，國際標準化組織于1999 年批準CC 標準以"ISO/-1999" 編號正式列入國際標準系列，標準名稱為 - - for IT 。
2005年，ISO 對CC 進行了改版，發布了ISO/IEC 15408: 2005 。其后又不斷修訂，最新版本為ISO 15408-1: 2009 、-2: 2008和ISO 15408-3: 2008 。
CC 的主要思想和框架取自ITSEC 和FC ，并充分突出了"保護輪廓"這一概念，將評估過程分"功能"和"保證"兩部分。
CC 基于風險管理理論，對安全模型、安全概念和安全功能進行了全面系統地描繪，強化了評估保證，是目前最全面的評價準則。CC 是對已有安全準則的總結和兼容，有通用的表達方式，便于理解;有靈活的架構，用戶可以定義自己的要求以擴展CC 的要求。
CC有自己配套的評估方法即通用測試方法(CEM) 0 CC 的意義在于:通過評估有助于增強用戶對于IT 產品的安全信心、促進IT 產品和系統的安全性、消除重復的評估。
在使用中， CC 標準也存在一定的局限性：
05
—
信息技術安全性評估準則(CC)
《信息技術安全性評估準則》是我國在2008 年等同采用《ISO/IEC 15408: 2005 信息技術-安全技術"信息技術安全評估標準》形成的國家標準，標準編號為GB/。標準定義了作為評估信息技術產品和系統安全特性的基礎準則，由于歷史和連續性的原因，仍叫通用準則( , CC)。
通過建立這樣的通用準則庫，使信息技術安全評估的結果能被更多人理解。針對在安全性評估過程中信息技術產品和系統的安全功能及相應的保證措施， CC 提供了一組通用要求，使各種獨立的安全評估結果具有可比性。
評估過程為滿足這些要求的產品和系統的安全功能以及相應的保證措施確定一個可信級別。評估結果可以幫助用戶確定信息技術產品和系統對他們的應用而言是否足夠安全，以及在使用中隱藏的安全風險是否可以容忍。
《信息技術安全性評估準則》由一系列不同但又相互關聯的部分組成，總共分為3 部分，如表5-1 所示。
表5-1 通用準則結構表
有3 類最關心IT 產品和系統安全性評估的人員，分別是TOE 客戶、TOE 開發者和TOE評估者(見表5-2)。此標準在文本組織上已充分考慮了這3 類人員的需求，認為他們都是CC的主要用戶，這3 類人員都能從標準中受益。
表5-2 通用準則使用指南
雖然CC主要是為了規范和評估TOE的IT 安全特性，但它也可以供對IT安全有興趣或有責任的所有各方參考。其他能夠從CC所包含的信息中獲益的群體有系統管理員和系統安全管理員、內部和外部審計員、安全架構師和設計師、審批者、評估發起者、評估管理機構。
CEM 是CC 標準出版后，為了在評估中應用CC 而提供的一種通用方法。是與CC 配套的文檔。
CEM 分為兩部分，第一部分主要包括CEM 簡介、CC評估中的通用原則和假設以及評估的一般模型;第二部分主要講述評估的一般任務、pp 評估、ST評估以及EAL1-EAL4級的評估。CEM沒有提供EAL4 級以上的評估方法。
06
—
信息系統安全等級保護測評標準
信息系統安全等級測評是我國信息安全等級保護過程中必不可缺的環節，是驗證信息系統是否滿足相應安全保護等級的評估過程。信息安全等級保護要求不同安全等級的信息系統應具有不同的安全保護能力。
依據《信息安全等級保護管理辦法》 (公通字[2007]43 號) ，信息系統運營、使用單位在進行信息系統備案后，都應當選擇測評機構進行等級測評。
等級測評是測評機構依據《信息系統安全等級保護測評要求》(GB/-2012) 等管理規范和技術標準，檢測評估信息系統安全等級保護狀況是否達到相應等級基本要求的過程，是落實信息安全等級保護制度的重要環節。
等級測評由單元測評和整體測評兩部分構成。單元測評是針對等級保護基本要求中各項控制點的測評。測評分為安全管理和安全技術兩部分，根據信息系統定級中確定的安全等級中國信息安全測評中心 分級文檔編寫指南 eal1，每一個具體測評實施項都與安全控制點的要求項相對應。
整體測評是在單元測評的基礎上，通過進一步分析信息系統安全保護功能的整體相關性，對信息系統實施的綜合安全測評。整體測評主要包括控制點間、層面間和區域間相互作用的安全測評。
寫在最后
雖然信息安全評估標準大致分為三類，但是CC仍然是當今世界上影響力最廣泛和最重要的標準，也是普遍被世界上絕大多數國家認可的標準。雖然它有不完善的地方，諸如采用半形式化語言，比較難以理解，重點關注人為的威脅，對于其他威脅源并沒有考慮等等。
—— End ——
