GBT 18336.5-2024 网络安全技术 信息技术安全评估准则 第5部分：预定义的安全要求包标准立项发展报告

网络安全技术信息技术安全评估准则第5部分：预定义的安全要求包标准立项发展报告StandardizationDevelopmentReport:CybersecurityTechnology—InformationTechnologySecurityEvaluationCriteria—Part5:PredefinedSecurityRequirementPackages摘要关键词：网络安全；信息技术安全评估；安全要求包；保护轮廓；安全目标；国家标准一、引言1.1立项背景随着云计算、大数据、物联网、人工智能等新一代信息技术的迅猛发展与广泛应用，网络空间的安全问题愈发突出，安全事件呈现高频化、复杂化和规模化特征。在此背景下，各国纷纷建立健全网络安全产品测评认证制度，将安全评估作为确保信息技术产品安全性、可信度与合规性的关键手段。我国自本世纪初引入CC评估体系以来，以GB/T18336系列标准为核心的技术文件体系在信息安全产品检测、认证和政府采购中发挥了不可替代的作用。1.2标准适用范围与定位该标准是GB/T18336全新框架体系中的重要补充与延伸，与第1部分“简介和一般模型”、第2部分“安全功能组件”、第3部分“安全保障组件”、第4部分“评估活动规定的框架”共同构成完整的评估准则体系，为各行业开展安全评估与认证提供了有力工具。二、标准制定的必要性与可行性2.1标准制定的必要性（1）应对国际标准演进的迫切需求。ISO/IEC15408作为全球公认的信息安全评估基准，其2022版在结构上发生了重大调整，新增了第4和第5部分内容。我国作为ISO/IECJTC1/SC27的积极参与国，有必要尽快将新版国际标准转化为国家标准，以保持与国际接轨，降低跨国贸易中的技术壁垒，支持网络安全产品的国际化发展。（2）填补国内安全要求包标准化空白。在以往的评估实践中，各行业针对不同类型产品的安全需求往往自行定义，缺乏统一的标准模板和可复用的安全要求组合。本标准的制定填补了我国在该领域的标准空白，将有效整合碎片化的安全需求，提升安全评估的科学性和效率。（3）推动网络安全认证认可工作的深化。依据《中华人民共和国网络安全法》《中华人民共和国密码法》和《网络安全审查办法》等法律法规，我国已建立多层级、多领域的安全审查与认证制度。GB/T18336.5-2024所提供的预定义安全要求包，将显著提高产品安全检测和认证的规范性，增强评估结果的可比性、可重复性与可信度。（4）支撑各行业安全需求标准化落地。从党政机关到金融、能源、电信、交通等关键信息基础设施领域，均需要对特定类别的信息技术产品实施有针对性的安全评估。预定义的安全要求包为行业主管部门制定行业标准、开展合规检测提供了权威的技术基线和操作指南，有助于形成“国家通用标准+行业应用规范”的协同布局。2.2标准制定的可行性（1）具备良好的技术基础。我国在信息安全标准化领域已积累二十余年经验，GB/T18336系列标准在国内广泛应用，积累了大量的评估案例和应用实践，为标准制定提供了丰富的实践依据。（3）国内标准化工作组织机制健全。全国网络安全标准化技术委员会（TC260）归口管理本标准，该委员会拥有由院士、专家和企业代表组成的权威工作团队，在组织协调、技术审查和意见征求等方面具备成熟的工作机制，为标准制定的进度和质量提供了有力保障。三、主要技术内容3.1标准框架与组成GB/T18336.5-2024在结构上遵循ISO/IEC15408-5:2022的框架，主要内容包括：-安全要求包的概念模型：明确安全要求包的定义、结构、用途和分类，阐述其与保护轮廓、安全目标之间的关系。-安全功能要求包的预定义组合：按产品类型或防护目的，将第2部分中的安全功能组件组织为常用组合，涵盖身份鉴别、访问控制、数据保护、审计、通信安全、安全运维等类别。-安全保障要求包的预定义组合：将第3部分中的保障组件按评估保障级（EAL）或特定保障目标进行预配置，支持分级评估。-包的选择、裁剪与扩展规则：规定用户如何基于预定义包进行安全要求的增加、删除或调整，并阐明裁剪操作对评估结果可能产生的影响和需遵循的原则。3.2关键技术要点预定义安全要求包的价值在于平衡充分性与灵活性。充分性体现在包内安全要求足以覆盖某一类别产品的基本安全需求；灵活性体现在允许用户根据部署场景、威胁模型和风险容忍度对包内容进行调整，避免“一刀切”所导致的安全过度或安全不足。标准中详细规定了包的名称、组成组件及其依赖关系，并明确了引用规则，以确保包的语义清晰和实施一致性。为保证安全要求包在评估中的可操作性和可核查性，标准还给出了各类包的适用性说明，帮助编制人员将抽象的安全需求映射为具体的安全功能和安全保障组件。对于常见产品形态（如操作系统、网络设备、数据库管理系统、智能卡等），标准提供了有针对性的建议组合和参考配置。四、标准修订单位4.1主要起草单位本标准由全国网络安全标准化技术委员会（TC260）提出并归口，主要起草单位包括中国电子技术标准化研究院、中国信息安全测评中心、北京信息安全测评中心、华为技术有限公司等多家权威机构和企业。其中，中国电子技术标准化研究院作为核心起草单位，在本标准的制定过程中发挥了主导作用。4.2中国电子技术标准化研究院简介中国电子技术标准化研究院（电子标准院，CESI）创建于1963年，是工业和信息化部直属的事业单位，也是我国电子信息领域标准化工作的国家级核心科研机构。研究院长期从事电子信息技术领域的标准研究、制定、试验验证和应用推广工作，是ISO/IECJTC1的国内技术归口单位之一，在网络安全、信息安全、数据治理等方向拥有雄厚的科研实力与丰富的标准化实践经验。作为我国网络安全标准化工作的“国家队”，中国电子技术标准化研究院还深度参与了ISO/IEC15408系列国际标准的制定工作，持续将国内实践成果和国际标准最新动态双向转化，为我国网络安全标准化事业的高水平发展提供了持续动力。五、标准实施预期效益5.1提升安全评估的一致性和效率在未发布预定义安全要求包之前，不同评估项目中的安全要求配置高度依赖编写者的经验与理解，容易造成评估结果差异较大、可比性不足的问题。GB/T18336.5-2024的应用将统一安全要求的表达方式和组合逻辑，大幅提升评估过程和评估结论的一致性、客观性和可重复性。预定义安全要求包的使用亦可显著减少评估准备阶段的基础性工作，缩短产品认证周期，降低评估成本。5.2强化安全基线管理与行业应用指导标准所给出的预定义安全要求包可作为各行业制定安全基线的重要技术依据。关键信息基础设施运营者、行业主管部门及第三方测评机构可基于本标准，针对云计算、大数据、物联网等新技术领域制定更为细化的安全基线要求，提高各行业的整体安全防护水平。5.3支撑国家网络安全审查与认证体系建设GB/T18336.5-2024的实施不仅为网络安全产品的检测认证提供了重要依据，也为网络安全审查工作中对产品安全性和合规性的研判提供了技术支撑。通过采用统一的安全要求包，不同测评机构、不同评估项目之间的结果可比性增强，为国家层面开展安全审查提供了更加科学、规范的技术手段，进一步提升了审查结论的公信力。通过降低合规成本、提升评估效率、增强标准透明度，本标准将有助于营造公平有序的市场竞争环境，引导企业从产品设计之初即将安全性纳入考量，推动安全左移。同时，标准中对安全要求包的灵活裁剪机制也鼓励企业在满足基本安全需求的基础上进行差异化创新，为产业良性竞争和技术进步提供了空间。六、结论与展望GB/T18336.5-2024《网络安全技术信息技术安全评估准则第5部分：预定义的安全要求包》的发布实施，是我国网络安全标准化进程中的一个重要里程碑。该标准立足国际标准前沿，结合我国网络安全实践，构建了系统化、可操作的安全要求包体系，为评估机构、产品开发者和行业用户提供了统一的技术语言和操作指南。展望未来，随着网络安全威胁形势的持续演变和新兴技术的加速迭代，GB/T18336系列标准体系仍需不断丰富和完善。建议后续围绕以下几个方面进一步开展工作：一是加快制定面向云计算、人工智能、车联网等新技术新应用的安全要求包行业应用指南；二是加强标准宣贯和培训工作，提升全行业对标准的理解和运用能力；三是深化国际合作，积极参与ISO/IEC15408系列标准的后续演进，持续提升我国在国际网络安全标准化领域的话语权和影响力。随着GB/T18336.5-2024的深入实施，我国网络安全评估工作将迈上新台阶，为国家网络安全保障体系和产业生态建设提供更加坚实的技术支撑。参考文献[1]GB/T18336.5-2024，网络安全技术信息技术安全评估准则第5部分：预定义的安全要求包[S].北京：中国标准出版社，2024.[2]ISO/IEC15408-5:2022,Informationsecurity,cybersecurityandprivacyprotection—Evaluationcrit