ISOIEC 15408-32022 信息安全、网络安全和隐私保护.IT安全评估标准.第3部分安全保证组件标准立项发展报告

标题：信息安全、网络安全和隐私保护IT安全评估标准第3部分：安全保证组件标准立项发展报告英文标题：StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part3:Securityassurancecomponents摘要随着全球数字化转型的加速，信息安全、网络安全与隐私保护已成为各国政府、企业与个人关注的焦点。IT产品与系统的安全可信度是保障数字经济发展的基石。国际标准ISO/IEC15408（通常称为“通用准则”）系列为IT产品的安全评估提供了全球通用的基准框架。本报告聚焦于该系列标准的核心组成部分——ISO/IEC15408-3:2022《信息安全、网络安全和隐私保护IT安全评估标准第3部分：安全保证组件》。该标准规定了用于评估IT产品安全保证要求的具体组件，是确保安全评估过程具有一致性、可重复性和可比较性的关键依据。本报告详尽分析了该标准的立项背景、技术内容演变、核心价值与应用实践，介绍了其主要制定机构——国际标准化组织/国际电工委员会（ISO/IEC）第一联合技术委员会（JTC1）下属的SC27分委会，并对该标准的废止及其后续发展进行了深入探讨。结论指出，尽管本版标准已被废止，但其确立的安全保证理念、组件化方法以及评估框架，为后续版本及全球信息安全评估实践奠定了坚实基础，对推动全球网络安全认证体系的互认与发展具有不可替代的历史和现实意义。关键词信息安全；网络安全；隐私保护；IT安全评估；通用准则；安全保证组件；ISO/IEC15408；国际标准Keywords:InformationSecurity;Cybersecurity;PrivacyProtection;ITSecurityEvaluation;CommonCriteria;SecurityAssuranceComponents;ISO/IEC15408;InternationalStandard正文1.引言：从“功能”到“保证”——信息安全评估范式的演进在信息技术（IT）领域，产品和系统的“安全功能”解决了“它能做什么来保护资产”的问题，例如加密、身份验证、访问控制等。然而，一个更深层次的问题随之而来：我们如何相信这些功能能够被正确地设计、实现和维护？这引出了安全“保证”（Assurance）的概念，即对安全措施有效性的信心和依据。早期的安全评估往往侧重于对产品功能的独立测试，缺乏一套系统化、标准化的方法论来评估其背后的开发过程、生命周期管理以及面对潜在攻击的健壮性。这种“黑盒”测试模式难以应对日益复杂和隐蔽的网络安全威胁，也导致不同国家、不同评估机构之间对同一产品的安全等级判断难以统一，形成了国际贸易和技术交流的壁垒。为了应对这一挑战，20世纪90年代，由美国、加拿大、英国、德国、法国、荷兰等国家的安全机构牵头，共同发起了“通用准则”（CommonCriteriaforInformationTechnologySecurityEvaluation,CC）项目。其目标是在整合各国现有评估标准（如美国TCSEC、欧洲ITSEC、加拿大CTCPEC等）的基础上，打造一个国际通用的、针对IT产品安全评估的权威标准体系。这一努力最终结出了ISO/IEC15408系列标准的硕果。该系列标准的灵魂，并非仅仅定义安全功能，而是创新性地建立了一套完整的“保证”体系——通过定义不同等级的安全保证要求，使得对产品安全的信任程度可以被明确划分和客观度量。ISO/IEC15408-3:2022，作为该系列标准的第三部分，正是这一保证体系的核心。它不再描述具体的“安全功能组件”（这部分由第2部分负责），而是专注于定义“安全保证组件”（SecurityAssuranceComponents,SACs）。这些组件是构建安全保证要求的最小原子单位，涵盖了从开发、文档、生命周期支持、测试到脆弱性分析等全生命周期的保障活动。通过组合这些组件，评估者可以为被评估的IT产品或系统构建一个量化的信任等级（评估保证级，EAL1-EAL7），从而为采购方、使用者和监管机构提供一个清晰、可比较的安全置信度指标。2.ISO/IEC15408-3:2022标准的技术核心与演进ISO/IEC15408-3:2022作为该标准系列的最新版本之一，并非孤立存在，而是建立在其前序版本基础之上的持续完善。该标准的核心技术架构与关键内容主要包括：2.1安全保证组件的定义与分类本部分标准的核心是一系列预先定义的安全保证组件（SAC）。这些组件被组织成若干保证类（AssuranceClass），每个类代表一组性质相似或目标一致的保证活动。常见的保证类包括：*开发（ADV类）：关注安全功能（TOE，TargetofEvaluation，评估对象）的设计和实现过程的规范性。它要求提供从功能规范、高层设计、低层设计到实现表示的完整证据链。*指导性文档（AGD类）：关注产品操作指南和准备程序的质量，确保用户和管理员能够安全地使用和配置产品。*生命周期支持（ALC类）：覆盖从产品开发到废止的全生命周期管理，包括配置管理、交付与操作、开发安全、缺陷纠正等，确保产品在整个生命周期内的安全性得到控制。*测试（ATE类）：要求评估者（或开发方）对产品功能进行不同深度的测试，包括功能测试、接口测试、深入测试等，以验证其是否满足安全功能要求。*脆弱性评定（AVA类）：通过对产品进行系统性的脆弱性分析（如搜索公开漏洞、执行隐蔽信道分析等），评估其抵抗潜在攻击的能力。*组合保证（ACE类）：专门用于评估由多个已评估产品组合而成的复合产品。每个保证类下又细分为多个保证族（AssuranceFamily），最终分解为一个或多个具体的保证组件。每个组件都有唯一的标识符（如ADV_FSP.1，表示开发类-功能规范族-第1级）和精确的评估要素（EvaluationEvidence），明确了需要对方提供何种工作量证明或证据。2.2评估保证级（EAL）的构建ISO/IEC15408-3并不直接规定一个产品应该达到哪个安全等级，但它提供了一套预定义的、现成的“套餐”——评估保证级（EvaluationAssuranceLevels,EAL）。EAL1到EAL7共七个级别，每个级别都是由一组特定的SACs组合而成的。随着级别升高，所需的保证证据的严格性、深度和广度也随之增加。*EAL1-功能测试：最低级别，主要进行基本的运行环境测试。*EAL2-结构测试：要求提供高层设计信息和支持轻量级的结构分析。*EAL3-系统测试和检查：引入配置管理和交付过程控制。*EAL4-系统设计、测试和评审：是目前商业产品评估最常见的等级，要求对工业实践有系统性的保障。*EAL5-半形式化设计和测试：要求使用半形式化的设计表示方法。*EAL6-半形式化验证的设计和测试：实现结构化和模块化的设计方案。*EAL7-形式化验证的设计和测试：最高级别，要求形式化模型和设计验证，通常用于高安全性领域。ISO/IEC15408-3:2022版本相较于更早期的版本（如ISO/IEC15408-3:2008），在技术上进行了多项重要更新。尤其体现在对现代开发范式的适应上，例如：*增强了对敏捷开发和DevOps的支持：澄清了在迭代和持续交付模式下如何满足生命周期支持（ALC）等保证要求。*强化了应对新威胁的考虑：更新了脆弱性评定（AVA）组件的相关要求，以涵盖侧信道攻击、基于硬件的攻击及新兴的供应链攻击。*与隐私保护的融合：标准的标题中明确加入了“隐私保护”，体现了与国际隐私法规（如GDPR）的协同，尽管其核心技术仍侧重于IT安全评估，但框架设计已考虑到隐私增强技术的评估需求。*对组合评估的改进：优化了ACE类组件，使其能更灵活、更准确地评估由多个不同等级和来源组件构成的复杂系统。3.主要制定机构：ISO/IECJTC1/SC27ISO/IEC15408-3:2022是由国际标准化组织（ISO）和国际电工委员会（IEC）共同设立的第一联合技术委员会（JTC1）下属的SC27分委会负责制定的。ISO/IECJTC1/SC27的全称是“信息技术、网络安全和隐私保护”分委会（Informationtechnology,cybersecurityandprivacyprotection），是国际信息安全标准化领域最权威、最活跃的组织之一。SC27分委会详细介绍：*成立背景与目标：SC27成立于1990年，其前身是处理IT安全的专门工作组。其目标是制定和推广覆盖整个信息社会安全需求的国际标准，包括但不限于安全技术、安全评估、网络安全管理、个人身份信息保护等。*组织架构与工作机制：SC27下设多个工作组（WorkingGroups,WGs），分别专注于不同领域。其中，与ISO/IEC15408系列标准相关的WG3（工作组3）——安全评估、测试和规范（Securityevaluation,testingandspecification），正是直接负责通用准则系列标准（包括15408,18045等）的维护和修订的核心力量。WG3汇聚了来自全球各国的行业专家、政府机构代表、学术机构研究人员以及认证认可机构的技术官员。他们通过定期召开的全体会议和网络会议，对标准的草案进行深入讨论、投票和修订，确保标准的科学性、适用性和国际共识。*重要性与贡献：SC27发布的数百项标准构成了全球信息安全标准化的核心支柱。除了通用准则外，其著名的成果还包括ISO/IEC27000系列信息安全管理体系标准、ISO/IEC27001信息安全管理体系要求等。SC27的工作对于协调各国安全政策、降低贸易技术壁垒、提升全球网络安全水平具有极高的战略价值。4.标准状态（废止）分析及其深层意义值得注意的是，本报告所描述的ISO/IEC15408-3:2022标准当前状态为“废止”。这并非技术层面的失效或否定，而是标准化工作的正常迭代。标准化管理有其严格的流程，当一项标准的新版本（如ISO/IEC15408-3:2022的下一个版本）被正式发布后，旧版本会自动被废止，以避免市场上并行使用多版本标准带来的混乱。*废止并非价值归零：作为一项被废止的标准，ISO/IEC15408-3:2022所记录的当年技术共识和框架结构，依然具有极高的学术参考价值和技术历史研究意义。它是理解整个通用准则发展脉络的关键节点。*指示标准化演进方向：标准的废止提示我们，该领域的标准化工作从未停止。通用的安全评估方法论必须与时俱进，以应对云计算、人工智能、物联网、5G等新技术带来的新威胁和新挑战。后续的标准版本（例如，目前最新的ISO/IEC15408-3:2023，或未来版本）一定会在此基础上，进一步优化组件定义，甚至引入全新的评估类（如针对AI安全属性、数据保护计算等的新保证类），并调整EAL的定义以适应现代信息系统的高动态性。*对实际应用的指导：对于正在进行新系统设计或产品开发的单位而言，应参考最新正式发布的标准版本（例如2023版）。但对于已依据ISO/IEC15408-3:2022完成评估或获得认证的产品，仍然在认证有效期内保持效力。同时，所有从该废止标准中习得的设计理念、保证思路和评估方法论，将长期指导工程实践。例如，安全开发生命周期（SDL）的核心理念，很大程度上就是从ALC保证类中抽象和衍生出来的。5.结论与展望ISO/IEC15408-3:2022《信息安全、网络安全和隐私保护IT安全评估标准第3部分：安全保证组件》作为通用准则体系的支柱，在历史上为全球IT产品安全评估提供了清晰、一致、可度量的保证框架。虽然它已被正式废止，但由它定义并系统化的“安全保证组件”方法、评估保证级体系以及对开发全生命周期安全的考量，已成为全球信息安全领域的宝贵遗产和行业基准。回顾其发展，我们看到的是从功能验证到全生命周期信任的范式飞跃。展望未来，尽管版本更新，但“保证”作为安全评估核心灵魂的本质不会改变。随着未来标准（如ISO/IEC15408-3:2023及后续版本）的持续迭代，我们有理由相信：1.融合与扩展：未来的保证组件会更紧密地嵌入DevSecOps和零信任架构的DNA中，并扩展到更复杂的系统形态（如数字孪生、系统之系统）。2.自动化与智能化：随着AI和自动化测试工具的普及，标准的评估要求将更明确地指导如何利用自动化手段产生和验证保证证据，提升评估效率和深度。3.互认与普惠：基于通用准则的CCRA（通用准则互认协定）将继续发展，使得经过标准评估的产品能够更顺畅地在全球市场流