信息安全产品分级评估

信息安全产品分级评估是指依据国家标准GB/T 183362001，综合考虑产品的预期应用环境，通过对信息安全产品的整个生命周期，包括技术，开发、管理，交付等部分进行全面的安全性评估和测试，验证产品的保密性、完整性和可用性程度，确定产品对其预期应用而言是否足够安全，以及在使用中隐含的安全风险是否可以容忍，产品是否满足相应评估保证级的要求。中国信息安全产品测评认证中心多年来依据国家授权对外开展信息安全产品测评业务，是代表国家对信息安全产品的最高认可，出具的测评报告具有极高的权威性。 中国信息安全产品测评认证中心依据国标GB/T 183362001开展分级评估业务，该标准等同采用国际标准ISO/IEC 15408:1999，所采用的评估方法均为国际通用方法，具备强大的国际认可基础。目前中国信息安全测评中心使用的标准：GB/T 183362008 信息技术 安全技术 信息技术安全性评估准则（ISO/IEC 15408:2005）信息安全技术安全通用评估方法：ISO/IEC 18045:2005产品分级评估(EAL）是评估保证要求的一个基线集合。每一评估保证级定义一套一致的保证要求，合起来，评估保证级构成预定义的GB/T 18336保证级尺度。在GB/T 18336中定义了以下7个评估保证级：(1) 评估保证级1(EAL1)功能测试；(2) 评估保证级2(EAL2)结构测试；(3) 评估保证级3(EAL3)系统地测试和检查；(4) 评估保证级4(EAL4)系统地设计、测试和复查；(5) 评估保证级5(EAL5)半形式化设计和测试；(6) 评估保证级6(EAL6)半形式化验证的设计和测试；(7) 评估保证级7(EAL7)形式化验证的设计和测试。 分级评估是通过对信息技术产品的安全性进行独立评估后所取得的安全保证等级，表明产品的安全性及可信度。获得的认证级别越高，安全性与可信度越高，产品可对抗更高级别的威胁，适用于较高的风险环境。 不同的应用场合（或环境）对信息技术产品能够提供的安全性保证程度的要求不同。产品认证所需代价随着认证级别升高而增加。通过区分认证级别满足适应不同使用环境的需要。 7个级别的高低次序在确定时权衡了各个级别所获得的保证、达到该保证度所需的测评认证代价，以及测评认证工作的可行性。每个高级别的认证级别都要比所有较低级别提供更多的保证，通过在同一保证类中高级别的保证组件替换低级别的相应组件（即增加严格性、范围或深度），或增加另一个保证类中的保证组件（例如，添加新的保证要求）来实现。 目前中国信息安全产品测评认证中心开展了EAL14级四个认证级别的认证工作。其中除智能卡最高级有4级外，其他最高直到三级。Q&A一、分级评估的目的和意义是什么? 1. 对信息安全产品依据国家标准进行分级评估； 2. 判定产品是否满足标准中的安全功能和安全保证要求； 3. 有助于在涉及国家安全的信息安全领域中加强产品的安全性和可控性，维护国家和用 户的安全利益； 4. 促进中国信息安全市场优胜劣汰机制的建立和完善，规范市场。 二、分级评估业务适用范围有哪些? 具有信息技术安全功能的产品，如：防火墙，IDS/IPS、智能卡、网闸、桌面控制、审计等。 三、分级评估目前可受理的级别包括哪些? 目前可受理的级别包括：EAL1、EAL2、EAL3、EAL4、EAL5及上述各级别的增强级。 四、对分级评估申请者有什么要求? 向中国信息安全测评中心(以下简称国家测评中心)提交分级评估申请的用户，须符合以下要求： 1. 政府机关、具有独立法人资格的合法经营机构或研究机构，可直接向国家测评中心提出评估申请； 2. 涉外企业须通过国内代理向国家测评中心提出评估申请，代理机构应符合第1项中的要求。 五、如何申请分级评估? 申请方应填写信息安全产品分级评估申请书（可通过国家测评中心网站下载），其中纸版、电子版各两份。 国家测评中心在收到申请书后的10个工作日内，通知申请方是否正式受理申请。 六、分级评估依据和参考的标准是什么? 依据标准： . GB/T 18336-2001信息技术 安全技术 信息技术安全性评估准则。 参考标准： 1. 通用评估方法； 2. 产品相应保证级的安全技术要求； 3. 产品相关国家和国际标准。 七、分级评估的主要步骤有哪些? 1. 文档评估：对分级文档进行评估； 2. 安全性测试：包括独立性测试、穿透性测试； 3. 现场核查：EAL3级（含）以上需要此步骤，核查配置管理、开发安全、交付运行。 八、分级评估的主要阶段包括哪些? 1.受理阶段； 2.预评估阶段； 3.评估阶段： 4.注册阶段。 九、产品送测的具体要求是什么? 用户按下列要求将送测物品送达国家测评中心： 1. 产品提交时间最晚不得超过评估进展至50%时； 2. 产品配置必须与ST中描述的完全一致； 3. 送测样品（硬、软件）至少两台套； 4. 相关的产品配件，如IC卡、磁盘、光盘等； 5. 完整的技术文档、指令手册、用户手册等； 6. 相关的计算机或通信外设； 7. 申请者在其它测试机构测试或自测的有关文档； 8. 其它需要的技术文件。 十、现场核查的主要内容有哪些? EAL3级（含）以上分级评估包括现场核查的内容： 1. 现场核查约在评估过程进行至70%左右时进行； 2. 现场核查的内容包括配置管理、交付运行和开发安全； 3. 现场核查的形式包括文档证据审查、实际环境审查以及与有关人员交流。 十一、分级评估的周期有多长? 评估开始时间为厂家接到项目启动通知单的时间，评估结束时间为评估部门出具评估技术报告的时间。 * EAL1: 20个工作日 * EAL2: 30个工作日 * EAL3: 60个工作日 * EAL4: 90