ISOIEC 15408-12022 信息安全、网络安全和隐私保护.IT安全评估标准.第1部分简介和一般模型标准立项发展报告

信息安全、网络安全和隐私保护IT安全评估标准第1部分：简介和一般模型标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part1:Introductionandgeneralmodel摘要关键词：信息安全；网络安全；隐私保护；IT安全评估；通用准则；安全功能组件；安全保证组件AbstractWiththerapidadvancementofglobaldigitaltransformation,informationsecurity,cybersecurity,andprivacyprotectionhavebecomefocalpointsofconcernforgovernments,enterprises,andinternationalorganizationsworldwide.Asacriticalinfrastructureoftheinformationsecurityassurancesystem,thescientificityandapplicabilityofITsecurityevaluationcriteriadirectlydeterminethesecurityandtrustworthinessofinformationproductsandsystems.ThisreportfocusesonISO/IEC15408-1:2022,*Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part1:Introductionandgeneralmodel*,jointlypublishedbytheInternationalOrganizationforStandardization(ISO)andtheInternationalElectrotechnicalCommission(IEC).Itsystematicallyreviewsthestandard'sprojectbackground,developmenthistory,technicalframework,andcorecontent,andprovidesanin-depthanalysisofthegeneralmodelofevaluationcriteria,theorganizationalstructureofsecurityfunctionalcomponentsandsecurityassurancecomponents,aswellasitsfoundationalrolewithintheCommonCriteria(CC)framework.Thereportplacesspecialemphasisoninterpretingthestandard'stechnicalimplicationsincontextssuchassecurityevaluationenvironment,assetprotection,andsecurityobjectivedefinition,andelaboratesonitsguidingvalueforproductdevelopment,evaluationandcertification,andadoptiondecision-making.Finally,thereportdiscussesthecurrentapplicationstatusandfuturedevelopmenttrendsofthestandard,aimingtoprovidecomprehensiveandaccuratetechnicalreferencesforstandardusersandtopromotethestandardization,internationalization,andhigh-qualitydevelopmentofITsecurityevaluationwork.Keywords:InformationSecurity;Cybersecurity;PrivacyProtection;ITSecurityEvaluation;CommonCriteria;SecurityFunctionalComponent;SecurityAssuranceComponent一、引言1.1立项背景随着全球信息化进程的持续推进和网络空间治理体系的不断深化，信息安全问题已从单纯的技术挑战演变为涉及国家安全、公共安全、产业发展和个人权益保障的综合性议题。在这一宏观背景下，建立科学、统一、国际化的IT安全评估标准体系，对于促进信息产品的安全可信、推动安全评估结果的相互认可、降低重复评估成本、维护健康有序的市场秩序具有重要的战略意义和现实价值。ISO/IEC15408标准（信息技术安全评估通用准则，CommonCriteriaforInformationTechnologySecurityEvaluation，简称CC）是国际标准化领域在信息安全评估方面最具权威性和影响力的基础性标准。自1999年首次发布以来，该标准已被全球众多国家和地区采纳为信息安全产品认证认可的技术依据，成为全球信息安全评估领域的通用语言。ISO/IEC15408-1:2022作为该系列标准的第1部分，承担着确立评估准则总体框架和一般模型的重要职能，是整个标准体系的纲领性文件。1.2编制历程ISO/IEC15408系列标准的编制可追溯至20世纪90年代初期。彼时，美国、英国、德国、法国、加拿大、荷兰等国家分别建立了各自的信息安全评估标准体系，包括美国的TCSEC（可信计算机系统评估准则）、欧洲的ITSEC（信息技术安全评估准则）、加拿大的CTCPEC（加拿大可信计算机产品评估准则）等。多套标准并存的局面导致了评估结果的互不认可，增加了跨国贸易的技术壁垒。为改变这一局面，相关国家和国际组织在1993年启动了通用准则（CommonCriteria）的统一编制工作。经过多年努力，ISO/IEC15408标准于1999年首次正式发布。此后，该标准经历了多次修订和更新。其中，2005年发布的第二版进一步优化了标准的整体结构和技术内容；2009年发布的第三版在评估保证体系方面进行了重大调整；2022年8月9日发布的最新版本（即ISO/IEC15408-1:2022）则是该系列标准在信息安全新形势下的又一次重要技术更新，反映了云计算、物联网、人工智能等新技术对安全评估工作提出的新要求。然而，根据本报告所依据的文件信息，该标准状态标注为"废止"，这意味着当前有效的版本已为其后续替代版本，但ISO/IEC15408-1:2022所确立的基本原则和框架模型仍是理解整个CC体系不可或缺的基础。二、标准概述2.1标准基本信息ISO/IEC15408-1:2022《信息安全、网络安全和隐私保护IT安全评估标准第1部分：简介和一般模型》由国际标准化组织（ISO）和国际电工委员会（IEC）下设的联合技术委员会JTC1（信息技术委员会）及其分委员会SC27（信息安全、网络安全和隐私保护技术委员会）负责制定。该标准的完整编号为ISO/IEC15408-1:2022，发布日期为2022年8月9日，标准语言为英语，发布机构为国际标准化组织（ISO）和国际电工委员会（IEC）。从标准文本的获取方式来看，该标准以电子版加密PDF格式发行，文件大小约1分钟可下载，文档带有水印，需安装FileOpen插件方可阅读，电脑需联网以完成版权验证，并限制累计3台电脑共打印5次。该标准的销售价格为541.0元人民币，反映了国际标准文本的知识产权价值和发行成本。2.2标准名称解读本标准的名称包含三个层次的限定语，准确界定了标准的适用范围和技术领域：第一层"信息安全、网络安全和隐私保护"明确了标准所属的技术领域。这三个概念既有联系又有区别：信息安全侧重于保护信息的机密性、完整性和可用性；网络安全侧重于保护网络环境中的数据流和网络基础设施；隐私保护则侧重于个人信息的合法处理和主体权益保护。ISO/IEC15408-1:2022将这三大领域统一纳入评估视野，体现了当代信息安全保障工作的综合性特征。第二层"IT安全评估标准"明确了标准的性质定位。作为一项评估标准，它所规范的不是信息产品或系统的具体安全功能要求，而是对IT产品安全功能和安全保证措施进行评估的准则、方法和程序。这意味着该标准为评估者提供了评判依据，为开发者提供了设计指引，为使用者提供了信任基础。第三层"第1部分：简介和一般模型"明确了该部分在整个标准体系中的角色和功能。"简介"表明该部分承担着对整个CC体系进行总体性介绍的功能，帮助读者建立对标准的整体认知；"一般模型"则表明该部分确立了IT安全评估所使用的基本概念、模型框架和评估方法论的通用模型，是整个CC体系的理论基石。三、标准核心内容和技术框架3.1标准的总体结构和体系定位ISO/IEC15408系列标准是一个结构完整的标准族，各部分之间有明确的分工和密切的衔接关系。该系列标准主要包括以下组成部分：-第1部分（ISO/IEC15408-1）：简介和一般模型。定义了IT安全评估的基本概念、原则、模型和术语，是整个标准体系的总纲。-第2部分（ISO/IEC15408-2）：安全功能组件。以目录化的形式定义了可供评估使用的安全功能组件（SFR），涵盖安全审计、通信、密码支持、用户数据保护、标识与鉴别、安全管理、隐私保护、TSF保护、资源利用、TOE访问、可信路径/信道等安全功能族。-第3部分（ISO/IEC15408-3）：安全保证组件。以目录化的形式定义了评估保证级别（EAL）和安全保证组件（SAR），并规定了保护轮廓（PP）和安全目标（ST）的评估准则。-第4部分（ISO/IEC15408-4）：安全功能组件的规范框架和评估方法（CAESAR）——该部分在后续版本中有所整合和调整。ISO/IEC15408-1:2022作为第1部分，在整个标准体系中扮演着基础和统领的角色。它定义了评估工作的总框架，确立了评估对象（TOE）、评估环境、安全目的等基本概念及其相互关系，为后续各部分安全功能组件和安全保证组件的合理使用提供了方法论指导。离开第1部分所确立的一般模型，其他各部分的功能组件和保证组件将失去统一的理论基础和应用指南。3.2核心概念和一般模型IT安全评估"一般模型"是ISO/IEC15408-1:2022的核心理论贡献。该模型基于以下核心理念：安全评估的目标是建立对IT产品在特定环境条件下满足特定安全需求的信任。这与传统意义上对产品功能正确性的验证不同——安全评估所关注的不是"产品是否按照规范工作"，而是"产品能否在其运行环境中有效抵抗预期的安全威胁，保护所承载的资产"。该标准首先界定了评估对象（TOE，即TargetofEvaluation）这一基本概念。评估对象可以是IT产品、系统或子系统，以及相关的指南文档。为科学地开展评估工作，标准要求对评估对象进行明确的功能规范和接口定义，界定TOE的安全边界，指明TOE所保护的企业资产，同时要求明确TOE的安全功能（TOESecurityFunctionality，TSF）及其安全功能策略（TOESecurityFunctionalityPolicy，TSP）。在此基础上，标准进一步明确区分了评估对象安全功能与评估对象安全保证两个维度：前者解决的是"做什么"的问题——TOE提供哪些安全功能来应对安全威胁；后者解决的是"做得如何"的问题——这些安全功能是否正确实现、是否可以被信赖。两个维度的统一构成了完整的安全评估体系。该一般模型的核心要素包括以下相互关联的概念实体：（1）安全环境（SecurityEnvironment）。安全环境是指评估对象预期运行的物理环境、技术环境和组织环境的总和。标准要求评估者和开发者必须首先识别评估对象所处的安全环境，包括：资产（需要保护的资源）、威胁（可能损害资产安全的行为或事件）、组织安全策略（约束TOE运行和使用的规则、规程和要求）。安全环境的准确描述是评估工作的出发点。（2）安全目的（SecurityObjectives）。在对安全环境进行充分分析的基础上，标准要求明确规定安全目的。安全目的分为两部分：一是针对TOE的安全目的（即TOE自身需要实现的安全目标），二是针对TOE运行环境的安全目的（即TOE运行环境中需要由管理措施、物理措施或人员措施加以实现的安全目标）。安全目的必须能够追溯至安全环境分析中识别的威胁和组织安全策略，从而保证安全评估的逻辑完备性。（3）IT安全要求（ITSecurityRequirements）。安全要求是将安全目的转化为具体技术或管理要求的桥梁。在CC体系中，安全要求分为两部分：一是安全功能要求（SecurityFunctionalRequirements，SFRs），描述TOE必须提供的安全功能，以实现TOE的安全目的；二是安全保障要求（SecurityAssuranceRequirements，SARs），描述确保SFRs得到正确有效实现所必需的措施和证据。ISO/IEC15408-1:2022所确立的这一"功能+保证"二元结构保证了评估的一致性和可重复性，同时SFRs和SARs又分别对应标准的第2部分和第3部分的组件目录，体现了第1部分与后续部分的有机衔接。（4）评估（Evaluation）。评估是依据既定的安全要求、采用既定的评估方法对TOE进行系统性检查的过程。评估活动包括对安全目标（ST）中规定的SFRs和SARs的满足程度进行验证和确认。ISO/IEC15408-1:2022强调了评估活动的独立性、系统性和可重复性原则，要求评估过程遵循明确的评估方法并保留充分的评估证据。（5）评估级别（EvaluationAssuranceLevel，EAL）。评估保证级别是衡量评估严格程度和保证水平的等级体系。标准规定了从EAL1到EAL7共七个递增的评估保证级别，覆盖了从"功能测试"（EAL1）到"形式化验证"（EAL7）的不同保证水平。不同的EAL级别适用于不同的安全需求和风险评估结果，为产品开发者和采购者提供了灵活的保证选择空间。3.3保护轮廓和安全目标ISO/IEC15408-1:2022详细规定了保护轮廓（ProtectionProfile，PP）和安全目标（SecurityTarget，ST）两类关键文档的结构化规范，它们构成了CC评估体系中连接用户需求与评估实施的核心纽带：保护轮廓（PP）是一种面向用户（资产拥有者、采购方）的标准文档，用于描述一类TOE在特定应用环境下的安全需求。PP与具体的产品实现无关，它描述的是一类产品的共性安全要求。通过PP机制，用户社区可以将其安全需求以标准化的形式加以表达，便于产品开发者理解和实现，也便于评估者依据统一的基线进行评估。ISO/IEC15408-1:2022对PP的内容结构和编写规范提出了明确要求，包括PP引言、TOE描述、安全环境、安全目的、安全要求、应用说明等组成部分。PP和ST机制的建立，实现了安全需求的"用户驱动"和安全实现的"开发者响应"之间的良性匹配，CC评估体系将产品开发者、评估机构和资产拥有者有机联结，各方在此基础上形成了清晰的责任边界和协作关系，推动了安全评估工作的规范化和产品化的良性发展。3.4安全功能组件和安全保证组件ISO/IEC15408-1:2022确立了安全功能组件（SFRs）和安全保证组件（SARs）的概念框架和编排规则，为标准的第2部分和第3部分提供了组织原则。在CC体系中，安全功能和安全保证均以"组件（Component）"为基本单位加以定义。组件是最小可选的安全要求集合，通过组件的选择、组合和细化操作，用户可以生成满足特定安全需求的SFRs和SARs集合。在安全功能组件的组织方面，标准将安全功能需求分为若干类（Class）、族（Family）和组件（Component）三个层级。类是最顶层的分组，反映安全功能的领域划分，如安全审计类、通信类、密码支持类、用户数据保护类、标识与鉴别类、安全管理类、隐私类、TSF保护类、资源利用类、TOE访问类和可信路径/信道类等。每个类下辖若干族，族内包含若干组件。组件的编号规则（如FDP_ACC.1表示用户数据保护类访问控制族中的第1个组件）具有严格的规范含义，便于引用和检索。安全保证组件同样采用类、族、组件的分级结构。保证类涵盖开发（ADV）、指导性文档（AGD）、生命周期支持（ALC）、安全保障（ASE）、测试（ATE）、脆弱性评定（AVA）等主要领域。不同的保证组件组合形成不同的评估保证级别（EAL），实现保证强度的分级控制。这种组件化的组织方式具有显著的灵活性和可扩展性优势：用户可以根据实际安全需求，在标准框架内有选择地组合所需的功能组件和保证组件，形成定制化的安全要求集合，既避免了"一刀切"的僵化模式，又保证了评估结果的一致性和可比性。四、主要参与单位介绍ISO/IEC15408-1:2022的制定和维护工作由国际标准化组织（ISO）与国际电工委员会（IEC）共同设立的第一联合技术委员会（JTC1）下属的信息安全、网络安全和隐私保护分技术委员会（SC27）负责组织。SC27是国际信息安全标准化领域最核心、最活跃