ISO15408简介-jordan.doc

ISO/IEC 15408-1999简介
中国国家信息安全测评认证中心
黄元飞 陈晓桦

15408的概述和历史
ISO/IEC 15408-1999“信息技术 安全技术 信息技术安全性评估准则”（简称CC），是国际标准化组织统一现有多种评估准则的努力结果，是在美国和欧洲等国分别自行推出并实践测评准则及标准的基础上，通过相互间的总结和互补发展起来的。主要阶段为：
Ÿ 1985年，美国国防部公布《可信计算机系统评估准则》（TCSEC）即桔皮书；
Ÿ 1989年，加拿大公布《可信计算机产品评估准则》（CTCPEC）；
Ÿ 1991年，欧洲公布《信息技术安全评估准则》（ITSEC）；
Ÿ 1993年，美国公布《美国信息技术安全联邦准则》（FC）；
Ÿ 1996年，六国七方（英国、加拿大、法国、德国、荷兰、美国国家安全局和美国标准技术研究所）公布《信息技术安全性通用评估准则》（CC 1.0版）；
Ÿ 1998年，六国七方公布《信息技术安全性通用评估准则》（CC 2.0版）；
Ÿ 1999年12月，ISO接受CC 2.0版为ISO 15408标准，并正式颁布发行。
从上面发展可以看出，CC源于TCSEC，但已经完全改进了TCSEC。TCSEC主要是针对操作系统的评估，提出的是安全功能要求，目前仍然可以用于对操作系统的评估。随着信息技术的发展，CC全面地考虑了与信息技术安全性有关的所有因素，以“安全功能要求”和“安全保证要求”的形式提出了这些因素，这些要求也可以用来构建TCSEC的各级要求。
CC定义了作为评估信息技术产品和系统安全性的基础准则，提出了目前国际上公认的表述信息技术安全性的结构，即把安全要求分为规范产品和系统安全行为的功能要求以及解决如何正确有效的实施这些功能的保证要求。功能和保证要求又以“类——子类——组件”的结构表述，组件作为安全要求的最小构件块，可以用于“保护轮廓”、“安全目标”和“包”的构建，例如由保证组件构成典型的包——“评估保证级”。另外，功能组件还是连接CC与传统安全机制和服务的桥梁，以及解决CC同已有准则如TCSEC、ITSEC的协调关系，如功能组件构成TCSEC的各级要求。
15408(CC)的先进性
CC的先进性体现在其结构的开放性、表达方式的通用性以及结构和表达方式的内在完备性和实用性四个方面。
CC在结构上具有开放性的特点，即功能和保证要求都可以在具体的“保护轮廓”和“安全目标”中进一步细化和扩展，如可以增加“备份和恢复”方面的功能要求或一些环境安全要求。这种开放式的结构更适应信息技术和信息安全技术的发展。
CC除了提出科学的结构以外，还具有通用性的特点，即给出通用的表达方式。如果用户、开发者、评估者、认可者等目标读者都使用CC的语言，互相之间就更容易理解沟通。例如，用户使用CC的语言表述自己的安全需求，开发者就可以更具针对性地描述产品和系统的安全性，评估者也更容易有效地进行客观评估，并确保评估结果对用户而言更容易理解。这种特点对规范实用方案的编写和安全性测试评估都具有重要意义。这种特点也是在经济全球化发展、全球信息化发展的趋势下，进行合格评定和评估结果国际互认的需要。
CC的这种结构和表达方式具有内在完备性和实用性的特点，具体体现在“保护轮廓”和“安全目标”的编制上。“保护轮廓”主要用于表达一类产品或系统的用户需求，在标准化体系中可以作为安全技术类标准对待。其内容主要包括：对该类产品或系统的界定性描述，即确定需要保护的对象；确定安全环境，即指明安全问题——需要保护的资产、已知的威胁、用户的组织安全策略；产品或系统的安全目的，即对安全问题的相应对策——技术性和非技术性措施；信息技术安全要求，包括功能要求、保证要求和环境安全要求，这些要求通过满足安全目的，进一步提出具体在技术上如何解决安全问题；基本原理，指明安全要求对安全目的、安全目的对安全环境是充分且必要的；以及附加的补充说明信息。“保护轮廓”编制，一方面解决了技术与真实客观需求之间的内在完备性；另一方面用户通过分析所需要的产品和系统面临的安全问题，明确所需的安全策略，进而确定应采取的安全措施，包括技术和管理上的措施，这样就有助于提高安全保护的针对性、有效性。“安全目标”在“保护轮廓”的基础上，通过将安全要求进一步针对性具体化，解决了要求的具体实现。常见的实用方案就可以当成“安全目标”对待。通过“保护轮廓”和“安全目标”这两种结构，就便于将CC的安全性要求具体应用到IT产品的开发、生产、测试、评估和信息系统的集成、运行、评估、管理中。
15408(CC)的三个部分
CC分为三个部分：第1部分“简介和一般模型”，正文介绍了CC中的有关术语、基本概念和一般模型以及与评估有关的一些框架，附录部分主要介绍“保护轮廓”和“安全目标”的基本内容；第2部分“安全功能要求”，按“类——子类——组件”的方式提出安全功能要求，每一个类除正文以外，还有对应的提示性附录作进一步解释；第3部分“安全保证要求”，定义了评估保证级别，介绍了“保护轮廓”和“安全目标”的评估，并按“类——子类——组件”的方式提出安全保证要求。
CC的三个部分相互依存，缺一不可。其中第1部分是介绍CC的基本概念和基本原理，第2部分提出了技术要求，第3部分提出了非技术要求和对开发过程、工程过程的要求。这三部分的有机结合具体体现在“保护轮廓”和“安全目标” 中，“保护轮廓”和“安全目标”的概念和原理由第1部分介绍，“保护轮廓”和“安全目标”中的安全功能要求和安全保证要求在第2、3部分选取，这些安全要求的完备性和一致性，由第2、3两部分来保证。
15408(CC)的发展
CC 作为评估信息技术产品和系统安全性的世界性通用准则，是信息技术安全性评估结果国际互认的基础。早在1995年，CC项目组成立了CC国际互认工作组，此工作组于1997年制订了过渡性CC互认协定，并在同年10月美国的NSA和NIST、加拿大的CSE和英国的CESG签署了该协定。1998年5月德国的GISA、法国的SCSSI也签署了此互认协定。1999年10月澳大利亚和新西兰的DSD加入了CC互认协定。在2000年，又有荷兰、西班牙、意大利、挪威、芬兰、瑞典、希腊、瑞士等国加入了此互认协定，日本、韩国、以色列等也正在积极准备加入此协定。