ISOIEC TR 222162022 信息安全、网络安全和隐私保护.ISOIEC 154082022和ISOIEC 180452022中的新概念和变化标准立项发展报告

信息安全、网络安全和隐私保护ISO/IEC15408:2022和ISO/IEC18045:2022中的新概念和变化标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection—NewconceptsandchangesinISO/IEC15408:2022andISO/IEC18045:2022摘要随着全球数字化转型的加速，信息安全、网络安全与隐私保护已成为国家战略与产业发展的核心议题。ISO/IEC15408（通用准则，CC）与ISO/IEC18045（通用评估方法，CEM）作为全球最具影响力的信息技术安全评估标准体系，其2022年版的修订引入了多项新概念与重大变化，旨在应对新兴技术挑战并提升评估的灵活性与实用性。本报告旨在系统阐述《ISO/IECTR22216:2022》所涵盖的核心内容，包括对“评估预警”、“复合产品评估”、“脆弱性分析”等新概念的解读，以及评估体系架构、组件依赖关系、评估方法流程等方面的关键变化。通过分析背景、解读内容、评估影响，本报告揭示了此次修订对于推动全球信息安全产品认证互认、适应物联网（IoT）、人工智能（AI）及云安全等新型应用场景的关键作用。重要结论指出，新标准的发布标志着全球信息安全评估体系从静态验证向动态、风险驱动、关联性整合的范式转变，并为我国GB/T18336系列标准的后续修订提供了重要技术参考。关键词：信息安全评估；通用准则；通用评估方法；新概念；标准修订；网络安全；隐私保护Keywords:InformationSecurityEvaluation;CommonCriteria;CommonEvaluationMethodology;NewConcepts;StandardRevision;Cybersecurity;PrivacyProtection正文1.引言与背景分析在当今高度互联的数字化环境中，信息系统的安全性与可信赖性已成为社会运行的基础。为确保信息技术产品、系统和服务的安全可靠性，国际标准化组织（ISO）和国际电工委员会（IEC）联合制定了信息安全评估通用准则（ISO/IEC15408系列）及相应的通用评估方法（ISO/IEC18045系列）。该标准体系，俗称“CC认证”，为全球范围内的安全产品评估、认证与互认提供了统一的技术框架与度量依据。自1999年发布以来，CC标准经历了多次修订，以应对不断演变的安全威胁与技术架构。然而，随着云计算、物联网、人工智能、移动计算以及嵌入式系统等新型ICT技术的迅猛发展，传统的单机版、基于功能分解的评估模式逐渐暴露出局限性。例如，复合系统（如云服务中的软硬件结合）的认证路径不清晰，对影子评估、预发布评估等新评估形态的需求日益迫切，以及对攻击面分析和自动化漏洞挖掘的指导仍然不足。在此背景下，ISO/IECJTC1/SC27（信息安全、网络安全与隐私保护技术委员会）启动了自ISO/IEC15408:2008以来的最大规模修订工作，并于2022年正式发布了ISO/IEC15408:2022和ISO/IEC18045:2022。作为这份重要修订的技术解释与指南，ISO/IECTR22216:2022《信息安全、网络安全和隐私保护—ISO/IEC15408:2022和ISO/IEC18045:2022中的新概念和变化》应运而生。该技术报告（TR）并非一份独立的标准，而是对2022年版CC标准核心变化的高度凝练和解读。它帮助标准使用者、评估实验室、产品开发者和认证机构迅速理解新标准带来的范式转变。该报告的发布，标志着全球信息安全评估体系进入了一个以“风险驱动”、“资产导向”和“跨组件关联分析”为核心的新阶段。2.标准核心内容与主要变化本报告（ISO/IECTR22216:2022）系统地梳理并阐述了2022版ISO/IEC15408及ISO/IEC18045中的关键新概念和变化。其主要内容可归纳为以下几个方面：2.1评估范式的根本性转变：从“功能点”到“资产与靶子”新标准最显著的变化是引入了基于资产（Asset）的评估理念，而非仅仅关注具体的安全功能（SFR）。这意味着，评估者需要首先识别出被保护对象（如用户数据、系统状态、加密密钥等），并明确攻击者模型，从而将安全功能与具体的保护目标关联起来。此外，引入了“评估靶对象（TargetofEvaluation,TOE）”的全新定义，强调TOE不再是孤立的物理或逻辑实体，而是一个具备明确边界、安全功能与安全策略的“安全组件”。这种范式转变使得评估更能反映真实世界中的攻击场景。2.2新概念的引入：聚焦新兴评估需求-评估预警：针对产品在市场发布前进行的预评估评估，允许厂商在产品尚未完全定型时进行早期安全性审查，以提前发现并修复安全瓶颈。这为快速迭代的敏捷开发流程提供了支持。-复合产品评估：系统性地定义了如何评估由多个基本组件（如硬件、操作系统、应用程序）组成的复合系统。新标准提供了清晰的方法论，指导如何利用每个组件已经获得的评估结果，减少重复评估的工作量，并识别组件间的交互脆弱性。-关联脆弱性分析：引入了更科学的脆弱性分析方法论。传统的方法往往只检查TOE自身的弱点，而2022版标准要求分析不同安全功能之间、组件之间、以及TOE与其运行环境之间可能存在的关联性风险。这增强了对多步攻击链和旁路攻击的防范能力。-结构化安全功能描述：对安全功能组件（SFR）的描述进行了模块化与结构化改革，使其更易于理解、实现和复用。组件间的依赖关系被更清晰地定义，并提供了可选的组件扩展路径。2.3评估方法（CEM）的重大调整-工作单元（WorkUnits）的简化与重构：ISO/IEC18045:2022对评估工作单元进行了大规模的精简与重构，删除了冗余条目，新增了针对新概念（如复合评估、预警评估）的工作单元。同时，工作单元的描述更加清晰，减少了歧义。-评估深度的灵活性：新标准提供了一种梯度化的评估深度（即不同评估保障级别EAL1-EAL7或更灵活的评估保障包）。但它更加强调根据TOE的风险特征和潜在攻击者的能力来选择适当的评估深度，而非机械地遵循固定级别。-支持自动化工具：明确鼓励使用自动化工具，如静态分析、动态分析、模糊测试工具等，以提升评估效率与覆盖度，并提供了如何将自动化工具的发现转化为标准评估证据的指南。2.4文档结构与命名规范-更友好的术语体系：对标准中的关键术语（如“安全功能”、“脆弱性”、“攻击者”等）进行了重新定义，使其与网络安全领域的主流用语更一致。-文档结构的优化：2022版标准本身及本技术报告均采用了更清晰的层级结构与章节划分，便于查阅与参考。3.标准立项意义与行业影响ISO/IECTR22216:2022的发布，不仅仅是技术文档的更新，更是一次对全球信息安全生态的深刻重塑。-支持新兴技术创新：它为物联网、人工智能、云计算和工控系统（OT）的评估提供了合法与高效的技术路径，消除了传统标准在这些领域应用时的障碍。例如，对复合产品评估的明确支持，直接利好于提供虚拟化或容器化解决方案的云服务商。-提升评估效率与降低成本：复合评估和预警评估的引入，使得厂商可以更灵活地规划认证周期。对于已获证的基础组件，后续产品可以“搭便车”进行快速评估，显著降低重复评估的成本和时间。-增强国际互认体系（CCRA）：新版标准提供了更严谨、一致且可扩展的评估框架，增强了全球各国认证机构（如美国的NIAP、德国的BSI、中国的测评中心）之间认证结果互信与互认的技术基础。-指导中国标准体系演进：我国现行的GB/T18336系列标准全面采标ISO/IEC15408。ISO/IECTR22216:2022为GB/T18336的下一轮修订提供了直接的技术输入。中国作为CCRA的参与方和主要应用国，必须紧跟国际最新动态，以确保国内安全评估体系与国际同步，支撑信创产业和国产化替代的合规需求。4.主要参与单位介绍：ISO/IECJTC1/SC27ISO/IECTR22216:2022是由国际标准化组织/国际电工委员会第一联合技术委员会第27分技术委员会（ISO/IECJTC1/SC27）负责制定的。该标委会是全球信息安全标准化领域的核心机构，在全球范围内享有极高的技术权威性。组织结构与职责：ISO/IECJTC1/SC27的全称为“信息安全、网络安全和隐私保护技术委员会”，其主要职责是负责制定和维护信息技术安全、网络安全和隐私保护领域的国际标准。其工作范围覆盖了从密码算法、密钥管理、电子签名等基础技术，到安全评估、身份认证、访问控制、数字取证、云安全、物联网安全以及隐私保护等应用及管理层面的广泛议题。规模与影响力：SC27是ISO/IECJTC1下规模最大、最活跃的分技术委员会之一，拥有来自超过60个成员国的数百名专家参与。其制定的标准，如ISO/IEC27001（信息安全管理体系）、ISO/IEC15408（通用准则）以及ISO/IEC29100（隐私框架），已成为全球公认的基石性标准。该委员会的工作成果深刻影响着全球包括政府、金融、通信、能源、医疗等在内的所有关键信息基础设施领域的合规与认证体系。具体贡献：在ISO/IECTR22216:2022的制定过程中，SC27的各国家成员体（如中国、美国、德国、英国、日本等）的专家团队历经多年深入讨论与协作。他们分析了来自全球安全评估实验室、产品制造商、政府监管机构以及学术界的数百条技术意见，最终达成了高度共识。SC27不仅负责提出本报告的技术大纲，还对其内容进行了严格的审查与验证，确保其与ISO/IEC15408:2022和ISO/IEC18045:2022的每一个条款都精确对应，且表述清晰、无歧义。通过SC27的努力，本报告成功地将复杂的技术新标准转化为所有利益相关方都能理解、接受并应用的实践指南。结论ISO/IECTR22216:2022《信息安全、网络安全和隐私保护—ISO/IEC15408:2022和ISO/IEC18045:2022中的新概念和变化》是一份极具前瞻性与指导性的技术文件。它不仅忠实地记录了全球信息安全评估体系在2022年完成的重大范式转变——从孤立的功能检查到集成化、风险驱动、资产导向的评估，更通过精炼的解读，为业界指明了未来几年内安全认证与合规发展的方向。展望未来，随着量子计算、零信任架构、后量子密码学以及隐私增强计算（PET）等前沿技术的