《信息安全技术 安全漏洞分类规范》编制说明

一、工作简况

1.1任务来源

《信息安全技术安全漏洞分类规范》是国家标准化管理委员会2010年下

达的信息安全国家标准制定项目，国标计划号为：20100385-T-469。由国家信息

技术安全研究中心主要负责进行规范的起草，中国信息安全测评中心、中国科学

院研究生院国家计算机网络入侵防范中心、国家计算机网络应急技术处理协调中

心等单位参与起草。

1.2主要工作过程

1、2010年6月，组织参与本规范编写的相关单位召开项目启动会，成立规

范编制小组，确立各自分工，进行初步设计，并听取各协作单位的相关意见。

2、2010年7月，根据任务书的要求，规范编制小组开展考察调研和资料搜

集工作，按照需求分析整理出安全漏洞分类规范的框架结构。

3、2011年4月，按照制定的框架结构，确定分类的原则和方法，形成《安

全漏洞分类规范》草稿V1.0。

4、2011年7月，课题组在专家指导下，积极采纳国外相关漏洞分类的原则，

形成《安全漏洞分类规范》草稿V1.1。

5、2011年8月26日，规范编制小组在积极采纳专家意见的基础上，对规

范内容进行修改，形成《安全漏洞分类规范》草稿V1.2。

6、2013年8月28日，安标委秘书处组织了该标准的专家评审，编制小组

听取了专家意见，对标准文本的内容进行修订、简化，形成《安全漏洞分类规范》

草稿V1.3。

7、2014年11月，安标委WG5工作组对《安全漏洞分类规范》标准草案稿

进行了投票表决，通过了本标准。投票表决中相关单位和专家提出了一些修改建

议和意见，标准编制组对意见进行了逐条分析和理解，对标准文本进行了完善，

形成了《安全漏洞分类规范》征求意见稿及相关文件。

二、编制原则和主要内容

2.1编制原则

本标准的研究与编制工作遵循以下原则：

（1）通用性原则

立足于当前信息化技术水平，对国内外知名安全漏洞库的分类方法进行总

结、归纳、简化，同时参考吸纳国外相关领域的先进成果并融入标准。

（2）可操作性和实用性原则

标准规范是对实际工作成果的总结与提升，最终还需要用于实践中，并经

得起实践的检验，做到可操作、可用与实用。

（3）简化原则

根据规范化对象的结构、形式、规则等筛选提炼，经过剔除、替换，保持

整体结构合理且维持原意和功能不变。

本标准的编制的内容制定遵循以下原则：

（A)唯一性原则：安全漏洞仅在某一类别中，其所属类别不依赖人为因

素。

（B)互斥性原则：类别没有重叠，安全漏洞必属于某一分类。

（C)扩展性原则：允许根据实际情况扩展安全漏洞的类别。

2.2主要内容

本标准主要内容如下：

三、主要试验（或验证）的分析、综述报告，技术经济论证，预期的经济效果

《信息安全技术安全漏洞分类规范》旨在对安全漏洞的特征属性进行研究，

通过统计国内外主要漏洞库的分类依据信息，并结合国内信息安全行业应用情

况，提出科学的、合理的安全漏洞分类意见，用以支持计算机信息系统风险管理、

安全漏洞管理等方面的工作，为国家计算机信息安全行业发展提供重要的技术参

考与标准规范。

四、采用国际标准和国外先进标准的程度，以及与国际、国外同类标准水平的

对比情况，或与测试的国外样品、样机的有关数据对比情况

本标准在编写时参考了NISTSP800-82和SP800-53等相关标准。

五、与有关的现行法律、法规和强制性国家标准的关系

本规范的编制，要配合《GB/T28458-2012信息安全技术安全漏洞标识与

描述规范》的使用。GB/T28458-2012中对安全漏洞标识与描述规范的要求，包

括：标识号、名称、发布时间、发布单位、类别、等级、影响系统等必须的描述

项（实线框描述项），并可根据需要扩充（但不限于）相关编号、利用方法、解

决方案建议、其他描述等描述项（虚线框描述项）。

结合GB/T28458-2012使用：“名称”描述项是安全漏洞标题，概括性描述

安全漏洞信息的短语，例如InternetExplorer8.0缓冲区溢出漏洞，已经涵盖

了漏洞宿主（包括：厂商、产品、版本）的信息，因此在分类规范中不适合引入

该角度。

用于安全漏洞分类的漏洞等级与GB/T28458-2012使用的“等级”描述项重

复，因此在分类规范中不适合引入该角度。

安全漏洞形成原因和安全漏洞被利用后的威胁影响说明与GB/T

28458-2012使用的描述项无重复重合，因此可适合于引入该角度。

六、重大分歧意见的处理经过和依据

详见标准意见汇总处理表。

七、国家标准作为强制性国家标准或推荐性国家标准的建议

建议本标准作为推荐性国家标准发布实施。

八、贯彻国家标准的要求和措施建议（包括组织措施、技术措施、过渡办法等

内容）

本标准主要用于解决漏洞分类问题，配合《GB/T28458-2012信息安全技

术安全漏洞标识与描述规范》使用。

九、其他事项说明

本标准不涉及专利。