实施指南《G B-T36630.5-2018信息安全技术信息技术产品安全可控评价指标第5部分：通 用计算机》实施指南

—PAGE—《GB/T3663.5-2018信息安全技术信息技术产品安全可控评价指标第5部分：通用计算机》实施指南目录一、为何说《GB/T3663.5-2018》是通用计算机安全可控的“导航图”？专家视角剖析标准核心定位与行业价值二、通用计算机安全可控评价的“维度密码”是什么？深度拆解标准中评价指标的核心构成与逻辑关联三、如何精准判定通用计算机的“安全可控等级”？依据标准详解等级划分依据、判定流程及关键阈值四、标准实施中通用计算机硬件安全可控如何落地？从芯片到外设逐一解析合规要求与验证方法五、通用计算机软件层面安全可控有哪些“硬指标”？专家解读操作系统、应用软件等评价要点与实操方案六、未来3年通用计算机安全可控趋势如何？结合标准预测技术方向、合规重点及行业应用新场景七、标准实施常见疑点如何破解？针对评价边界、特殊场景等问题提供权威解答与案例参考八、不同行业应用通用计算机如何适配标准？金融、政务等领域差异化合规策略与实践经验分享九、标准与国际通用计算机安全标准有何差异与衔接？深度对比分析助力企业兼顾国内合规与国际合作十、如何建立通用计算机安全可控长效管理机制？基于标准提出全生命周期管控方案与持续改进路径一、为何说《GB/T3663.5-2018》是通用计算机安全可控的“导航图”？专家视角剖析标准核心定位与行业价值（一）标准出台的背景与行业痛点有何关联？在数字化浪潮下，通用计算机作为各行业信息系统的核心设备，其安全可控性直接关系到数据安全与业务稳定。此前，行业内缺乏针对通用计算机安全可控的统一评价标准，企业在设备选型、安全检测时无据可依，面临“评价维度混乱”“安全风险难量化”等痛点。该标准的出台，正是为解决这些问题，为通用计算机安全可控评价提供统一“标尺”，填补了行业空白，让企业在保障设备安全时有明确方向，有效降低因设备安全隐患引发的信息泄露、系统瘫痪等风险。（二）标准在信息安全技术体系中处于什么核心地位？从信息安全技术体系来看，《GB/T3663.5-2018》属于信息技术产品安全可控评价指标体系的关键组成部分。它聚焦通用计算机这一核心终端设备，与体系内其他部分（如服务器、移动终端等评价指标）相互补充、协同发力，构建起覆盖主要信息技术产品的安全可控评价框架。在整个体系中，该标准是终端设备安全评价的“基石”，只有通用计算机达到安全可控要求，才能为上层信息系统的安全运行筑牢第一道防线，对保障整个信息安全技术体系的完整性和有效性具有不可替代的作用。（三）专家如何看待标准对行业发展的长远价值？业内专家普遍认为，该标准对行业发展具有多方面长远价值。从企业层面，它为企业提供了通用计算机安全可控的清晰评价路径，帮助企业精准识别设备安全短板，优化设备采购与管理策略，降低安全运营成本。从产业层面，标准明确了通用计算机安全可控的技术方向，将引导硬件制造商、软件开发商加大技术研发投入，推动国产通用计算机产业向更高安全级别发展。从国家信息安全层面，标准的实施能提升关键领域通用计算机的自主可控水平，减少对国外产品的依赖，增强国家信息安全保障能力，为数字经济健康发展保驾护航。二、通用计算机安全可控评价的“维度密码”是什么？深度拆解标准中评价指标的核心构成与逻辑关联（一）标准中评价指标的核心维度包含哪些内容？《GB/T3663.5-2018》将通用计算机安全可控评价指标划分为四大核心维度，分别是硬件安全可控、软件安全可控、供应链安全可控以及运维安全可控。硬件维度聚焦芯片、主板、存储设备等硬件组件的安全性能与可控性；软件维度涵盖操作系统、应用软件、固件等软件层面的安全要求；供应链维度关注设备从研发、生产到交付各环节的供应链风险管控；运维维度则涉及设备使用过程中的运维管理、漏洞修复、应急响应等方面，四大维度全面覆盖通用计算机安全可控的关键环节。（二）各评价维度之间存在怎样的逻辑关联？各评价维度并非相互独立，而是形成紧密的逻辑关联，共同构成通用计算机安全可控的完整评价体系。硬件安全可控是基础，若硬件存在安全漏洞或不可控风险，软件层面的安全措施将难以发挥作用；软件安全可控是核心，硬件的安全功能需通过软件实现，软件的安全性直接影响设备整体安全水平；供应链安全可控是保障，只有供应链各环节可控，才能确保硬件与软件在研发、生产过程中不被植入恶意组件或存在安全隐患；运维安全可控是延伸，设备投用后，需通过规范的运维管理持续维持安全状态，及时应对新的安全威胁，四个维度环环相扣，缺一不可。（三）如何理解评价指标设置的科学性与合理性？该标准评价指标的设置充分体现了科学性与合理性，主要体现在三个方面。一是全面性，指标覆盖通用计算机从硬件到软件、从供应链到运维的全生命周期关键环节，避免因评价盲区导致安全风险遗漏；二是可操作性，指标内容具体、明确，如硬件维度明确芯片的安全认证要求、软件维度规定操作系统的漏洞修复周期等，便于企业与评价机构开展实际评价工作；三是动态适应性，指标设置预留了一定的扩展空间，能适应通用计算机技术的发展变化，当出现新的硬件架构、软件形态时，可在现有框架下补充完善相关评价要求，确保标准长期具有指导意义。三、如何精准判定通用计算机的“安全可控等级”？依据标准详解等级划分依据、判定流程及关键阈值（一）标准将通用计算机安全可控等级划分为哪几类？根据《GB/T3663.5-2018》规定，通用计算机安全可控等级分为三级，分别是基本安全可控级、增强安全可控级和高级安全可控级。基本安全可控级是最低等级，要求设备满足基础的安全可控要求，能抵御常见的低级别安全威胁；增强安全可控级在基本级基础上，进一步提升硬件、软件、供应链及运维的安全要求，可抵御中等程度的安全威胁；高级安全可控级是最高等级，对设备各环节的安全可控性提出最严格要求，能有效抵御高级、复杂的安全威胁，适用于对信息安全要求极高的关键领域。（二）不同等级的判定依据包含哪些关键要素？不同等级的判定依据围绕四大核心评价维度设定差异化关键要素。基本安全可控级判定时，硬件需满足核心组件的基本安全认证，软件需具备基础的安全防护功能，供应链有基本的风险管控措施，运维能开展常规的安全管理；增强安全可控级判定，要求硬件核心组件实现较高比例的国产化，软件具备完善的访问控制与数据加密功能，供应链建立全流程追溯机制，运维能及时进行漏洞修复与应急响应；高级安全可控级判定，需硬件核心组件100%国产化且通过最高级别安全认证，软件实现自主研发并具备主动防御能力，供应链实现全环节可控可追溯，运维建立实时监控与快速处置的安全管理体系。（三）通用计算机安全可控等级判定的具体流程是什么？等级判定需遵循规范的流程，共分为五个步骤。第一步是准备阶段，企业收集通用计算机的硬件配置、软件版本、供应链信息、运维管理制度等相关资料，明确评价范围与目标；第二步是指标对照，评价机构依据标准，将收集的资料与对应等级的评价指标逐一对照，检查是否满足要求；第三步是现场验证，评价人员到企业现场，对通用计算机的硬件运行状态、软件安全功能、供应链追溯情况、运维操作流程等进行实地验证；第四步是综合评分，根据指标对照与现场验证结果，对各评价维度进行打分，计算总分；第五步是等级判定，依据总分确定通用计算机所属的安全可控等级，并出具评价报告，若不满足某一等级要求，需提出整改建议，待企业整改后重新评价。（四）等级判定中的关键阈值如何设定与应用？标准中等级判定的关键阈值围绕各评价维度的核心指标设定，且不同等级阈值存在差异。例如，在硬件国产化率指标上，基本安全可控级设定阈值为30%，增强级为70%，高级为100%；软件漏洞修复周期阈值，基本级要求不超过90天，增强级不超过30天，高级不超过7天。这些阈值的设定基于行业技术发展水平、安全风险评估结果及实际应用需求，在等级判定中，需严格依据阈值进行判定，若某一核心指标未达到对应等级阈值，即使其他指标满足要求，也无法判定为该等级，确保等级判定的客观性与公正性，避免因指标“达标率不足”导致安全风险。四、标准实施中通用计算机硬件安全可控如何落地？从芯片到外设逐一解析合规要求与验证方法（一）通用计算机芯片的安全可控合规要求有哪些？在通用计算机硬件安全可控中，芯片作为核心组件，合规要求较为严格。首先，芯片需通过国家认可的安全认证机构的安全认证，认证等级需符合对应安全可控等级要求，如高级安全可控级芯片需通过EAL4+以上等级认证；其次，芯片的设计、生产环节需具备可追溯性，芯片制造商需提供完整的设计文档与生产流程报告，确保芯片无恶意后门或隐藏功能；最后，对于涉及国家关键领域的通用计算机，芯片需实现国产化，且国产化芯片的性能需满足设备运行的基本需求，不得因国产化而导致设备性能大幅下降，影响业务正常开展。（二）如何验证芯片是否符合标准中的安全可控要求？验证芯片是否合规可通过三步开展。第一步是文档审查，评价人员审查芯片制造商提供的安全认证证书、设计文档、生产流程报告等资料，确认证书有效性、设计是否符合安全规范、生产流程是否具备可追溯性；第二步是技术检测，借助专业的芯片检测设备，对芯片的功能进行测试，检查是否存在未声明的功能模块（可能为恶意后门），同时测试芯片的加密性能、抗攻击能力等安全指标，判断是否达到标准要求；第三步是实际运行验证，将芯片安装在通用计算机中，模拟正常运行与遭受攻击的场景，观察芯片在不同场景下的稳定性与安全性，若在攻击场景下能有效抵御攻击且不影响正常功能，则判定芯片符合安全可控要求。（三）主板、存储设备等硬件组件的合规要求与验证思路是什么？主板的合规要求包括：主板设计需符合国家相关硬件设计标准，具备硬件级的访问控制功能，能防止未授权人员对主板硬件参数进行修改；主板上的关键部件（如BIOS芯片）需具备安全防护功能，防止被恶意篡改。验证时，先审查主板设计图纸与检测报告，再通过专业工具检测主板的访问控制功能与BIOS芯片的安全性。存储设备的合规要求为：具备数据加密功能，支持对存储的数据进行加密存储与解密访问，且加密算法需符合国家密码管理局认可的算法标准；具备数据销毁功能，能彻底销毁存储的数据，防止数据泄露。验证时，测试存储设备的加密功能是否正常，使用数据恢复工具尝试恢复已销毁数据，若无法恢复则满足要求。（四）通用计算机外设（如键盘、打印机）的安全可控要求与验证方法是什么？通用计算机外设虽非核心计算组件，但也存在安全风险，其合规要求主要包括：外设需具备基本的安全防护功能，如键盘需防止按键记录器等恶意设备的接入，打印机需具备身份认证功能，防止未授权打印；外设的固件不得含有恶意代码，且固件更新需通过安全通道进行，防止被篡改。验证方法如下：对于键盘，使用专业检测工具检测是否存在按键记录功能，模拟恶意设备接入，观察是否能被有效识别与阻断；对于打印机，测试身份认证功能是否正常，尝试未授权打印，查看是否被拒绝，同时审查打印机固件的来源与更新记录，检测固件是否存在恶意代码，确保外设符合安全可控要求。五、通用计算机软件层面安全可控有哪些“硬指标”？专家解读操作系统、应用软件等评价要点与实操方案（一）操作系统的安全可控“硬指标”包含哪些内容？操作系统作为通用计算机软件的核心，其安全可控“硬指标”涵盖多个方面。一是身份认证与访问控制，要求操作系统支持多因素认证（如密码+Ukey），能对用户账户进行权限细分，防止越权操作；二是数据安全，需具备文件加密、数据备份与恢复功能，加密算法需符合国家密码标准，备份数据需存储在安全位置且定期检测备份有效性；三是漏洞管理，操作系统开发商需建立漏洞响应机制，及时发布漏洞补丁，补丁更新周期需符合对应安全可控等级要求，同时操作系统需具备漏洞扫描功能，能主动发现系统中的安全漏洞；四是审计日志，需详细记录用户登录、操作行为、系统事件等日志信息，日志保存时间不少于6个月，且支持日志查询与分析，便于追溯安全事件。（二）如何依据标准对操作系统安全可控性进行评价？评价操作系统安全可控性可按照“指标拆解-证据收集-技术测试-综合评价”的思路开展。首先，将操作系统的安全可控指标拆解为身份认证、数据安全、漏洞管理、审计日志等具体子指标；其次，收集操作系统开发商提供的安全认证报告、漏洞响应机制文件、补丁更新记录、日志管理规范等资料，作为评价依据；然后，通过技术测试验证各项指标的落实情况，如测试多因素认证是否有效、文件加密功能是否正常、漏洞扫描是否能发现模拟漏洞、审计日志是否完整记录操作行为；最后，结合资料审查与技术测试结果，对操作系统的安全可控性进行综合评分，若评分达到对应等级要求，则判定为合规，否则需提出整改建议，督促开发商完善操作系统安全功能。（三）应用软件的安全可控评价要点与实操方案是什么？应用软件的安全可控评价要点主要包括：一是软件来源，需从正规、可信的渠道获取应用软件，软件开发商需具备相应的资质，且软件需通过安全检测；二是功能安全，应用软件不得含有恶意功能（如窃取用户数据、远程控制设备等），核心业务功能需具备安全防护措施，如金融类应用软件需具备交易加密功能；三是兼容性与稳定性，应用软件需与操作系统兼容，运行过程中不得出现崩溃、卡顿等问题，避免因软件故障引发安全风险；四是更新与维护，软件开发商需提供持续的更新服务，及时修复软件中的安全漏洞，同时提供技术支持，解决用户使用过程中遇到的安全问题。实操方案方面，首先审查应用软件的来源渠道证明、开发商资质证书、安全检测报告；其次，通过静态代码分析工具检查软件代码是否存在恶意代码或安全漏洞，通过动态测试模拟软件运行场景，测试功能安全性、兼容性与稳定性；最后，检查软件的更新记录，确认开发商是否及时发布漏洞补丁，同时咨询用户使用反馈，了解软件的维护与技术支持情况，综合判断应用软件是否符合安全可控要求。（四）固件的安全可控要求与评价方法有何特殊之处？固件作为连接硬件与软件的桥梁，其安全可控要求具有一定特殊性，主要包括：固件需由可信的开发商提供，且固件的研发过程需建立安全管理体系，防止固件被植入恶意代码；固件需具备完整性校验功能，在固件加载或更新时，能自动校验固件的完整性，若发现固件被篡改，需拒绝加载或更新；固件需支持安全更新，更新过程需通过加密通道传输更新文件，且需进行身份认证，防止未授权更新。评价方法上，由于固件直接与硬件交互，评价过程需结