ISOIEC 15408-32022 信息安全、网络安全和隐私保护.IT安全评估标准.第3部分安全保证组件标准立项发展报告

信息安全、网络安全和隐私保护IT安全评估标准第3部分：安全保证组件标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part3:Securityassurancecomponents摘要信息技术安全评估标准（简称CC标准）是国际信息安全领域最具权威性和影响力的安全评估基准体系，为IT产品的安全性评估与认证提供了统一的技术框架和操作规范。ISO/IEC15408-3:2022作为该标准体系的第三部分，聚焦于安全保证组件的定义与规范，是确保IT产品安全可信性的核心技术依据。本报告系统梳理了该标准的研制背景、修订历程、技术框架、核心内容及应用价值，重点剖析了安全保证组件的层次化结构、族与组件划分机制及其在评估实践中的关键作用。报告指出，该标准的废止并非技术内容的失效，而是被ISO/IEC15408-3:2025所取代，体现了版本迭代与持续完善的标准化演进逻辑。作为通用准则（CommonCriteria）的正式国际标准版本，本标准为全球信息安全产品认证、政府安全采办及关键信息基础设施安全保护提供了重要的标准化技术支撑，对推动我国网络安全等级保护制度与全球CC认证体系的深度融合具有重要的参考价值和借鉴意义。关键词：IT安全评估；安全保证组件；CC标准；信息安全标准化；安全功能；评估保证级；通用准则Keywords:ITsecurityevaluation;securityassurancecomponents;CommonCriteria;informationsecuritystandardization;securityfunctionality;EvaluationAssuranceLevel;CommonCriteria一、引言1.1标准研制背景随着信息技术的迅猛发展与网络空间安全威胁的持续升级，IT产品的安全性已成为各国政府、行业组织及广大用户关注的焦点。在此背景下，建立统一、客观、可比较的信息安全评估标准，对于规范安全产品市场秩序、指导安全产品研制开发、支撑安全产品测评认证等活动具有不可替代的关键作用。ISO/IEC15408（即通用准则，CommonCriteria,CC）系列标准正是顺应这一需求而诞生的国际权威标准。信息安全评估标准的演进可追溯至20世纪80年代。美国首先制定了可信计算机系统评估标准（TCSEC，又称"橙皮书"），欧洲各国随后提出了信息技术安全评估标准（ITSEC），加拿大也研制了加拿大可信计算机产品评估标准（CTCPEC）。这些区域性标准的并存导致安全评估体系碎片化，缺乏国际互认性。为解决这一困境，1996年，美国、英国、德国、法国、加拿大、荷兰等六国共同启动了通用准则（CC）的联合研制工作，并于1999年将其提交至国际标准化组织（ISO/IECJTC1/SC27），正式发布为ISO/IEC15408系列标准，标志着全球IT安全评估标准的统一和规范化。1.2标准的战略意义ISO/IEC15408-3:2022作为该标准体系的核心组成部分，专注于定义安全保证组件，是评估IT产品在安全保障方面是否达到预期要求的权威依据。在日益严峻的网络安全形势下，该标准对于支撑信息产品安全认证国际互认（CCRA）、推动网络安全等级保护制度的落地实施、促进可信计算技术发展等方面均具有重要的战略意义。二、标准概述2.1标准基本信息-标准编号：ISO/IEC15408-3:2022-标准名称：信息安全、网络安全和隐私保护—IT安全评估标准—第3部分：安全保证组件-英文名称：Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part3:Securityassurancecomponents-发布机构：国际标准化组织（ISO）与国际电工委员会（IEC）联合发布-发布日期：2022年8月9日-标准状态：废止（被ISO/IEC15408-3:2025取代）-国别：国际组织-语言：英语2.2版本演进ISO/IEC15408-3历经多个版本的迭代更新。从最初1999年的第一版，到2022年的最新修订版，每次修订均充分吸收了国际信息安全技术发展的最新成果和CCRA（通用准则互认协定）体系在实践应用中的反馈经验。2022版相较于之前的版本，在安全保证组件分类、评估方法论的明确性以及与网络安全、隐私保护的协同性方面均做出了显著改进。值得注意的是，该版本已于近期被ISO/IEC15408-3:2025所替代，体现了标准的持续演进机制。2022版作为过渡阶段的重要版本，其技术框架和核心内容仍具有高度的参考价值。三、标准技术内容解析3.1核心框架ISO/IEC15408-3:2022围绕安全保证组件建立了系统而严谨的技术框架，主要包括以下几个层次：第一层：保证类（Class）。安全保证组件被划分为若干保证类，覆盖从安全策略建模、系统架构设计、集成测试到交付运行的全生命周期保证需求。每个保证类定义一组相关的保证族，共同构成某一特定安全保证维度的完整描述。第二层：保证族（Family）。在同一保证类下，具有共同安全目标和保证要求的组件被归纳为同一保证族，便于评估者更有针对性地选用和判定。第三层：保证组件（Component）。保证族下细分为具体的保证组件，每个组件定义明确的安全保证需求和评估判定准则。评估者可依据具体产品的安全目标和预期应用环境选择适用的保证组件。3.2关键保证类及其内容ISO/IEC15408-3:2022定义的主要保证类包括：APC（安全策略建模类）：涵盖安全策略模型的形式化或半形式化描述，要求评估者核查安全策略模型的完备性、内部一致性以及策略模型与TOE（评估对象）安全功能规范之间的对应关系。ASE（安全评估对象规范类）：要求建立完整的TOE安全功能需求描述、安全保证需求描述及TOE概要规范。ASE类组件是评估活动的基础性输入，规定了ST（安全目标）的结构和内容。ALC（生命周期支持类）：覆盖开发环境安全、配置管理、交付操作及维护流程等生命周期各环节的安全保证。该类组件强调安全保证贯穿于产品全生命周期的理念。ADE（测试类）：规定测试覆盖分析、功能测试、独立性测试等保证需求，要求评估者确认TOE安全功能得到充分有效的测试验证。AVA（脆弱性评估类）：涵盖脆弱性分析、渗透测试等安全保证活动，旨在识别TOE中潜在的可利用漏洞并评估其可利用性。ACO（组合评估类）：针对多个组件组合而成的复杂TOE，规定组合评估的保证组件与评估方法。在评估保证级别方面，标准沿用了CC体系的核心概念——评估保证级（EvaluationAssuranceLevel,EAL），定义了从EAL1（功能测试）到EAL7（形式化验证）的七个递增保证级别。产品可依据部署环境的安全风险等级选用不同的EAL级别。四、标准的应用与实践价值4.1国际互认与全球实践ISO/IEC15408-3:2022在国际CC认证体系中发挥着基础性规范作用。截至当前，全球已有超过30个国家加入了CCRA多边互认协定，基于ISO/IEC15408标准体系颁发的认证证书在成员国之间获得广泛互认。这极大地降低了跨国安全产品的认证成本，提高了安全产品的市场流通效率。4.2对我国网络安全标准化工作的指导意义该标准作为国际通行的信息技术安全评估基准，对我国网络安全标准化工作产生了深远影响。我国的GB/T18336系列标准（等同于ISO/IEC15408）广泛应用于信息安全产品的分级测评与认证工作，为我国的网络安全等级保护制度提供了关键的技术支撑。标准中的安全保证组件体系框架，为安全产品的研制方提供了系统化的安全保障设计指南，也为评估方提供了客观的测评依据，同时为监管方构建了可信的监督管理工具。4.3在关键行业中的应用在金融、能源、交通、政务等关键信息基础设施领域，ISO/IEC15408-3:2022所定义的评估保证级别正被广泛应用于安全设备采购的安全能力判定中。等级保护制度明确要求重要信息系统所采用的安全产品应当经过安全评估，CC标准体系为此类评估提供了与国际接轨的规范化路径。五、主要参与研制单位介绍5.1ISO/IECJTC1/SC27工作组ISO/IEC15408-3:2022由ISO/IECJTC1（联合技术委员会）下属的SC27（信息安全、网络安全和隐私保护分技术委员会）负责研制和维护。SC27是国际信息安全标准化领域最核心的技术委员会之一，其工作范围涵盖信息安全管理的各个方面。SC27/WG3（安全评估、测试与规范工作组）具体承担了ISO/IEC15408系列标准的维护与修订工作，工作组汇聚了来自全球各成员体的信息安全评估专家、密码技术专家和标准化专业人士。5.2中国全国信息安全标准化技术委员会（TC260）作为ISO/IECJTC1/SC27的国内技术归口单位，全国信息安全标准化技术委员会（TC260）组织国内相关科研机构、检测认证机构和企业深度参与了ISO/IEC15408系列标准的跟踪研究和转化应用工作。其中，中国信息安全测评中心作为我国信息安全等级保护测评和产品认证的核心技术支持机构，长期从事CC标准体系的跟踪研究和应用实践工作，主导完成了GB/T18336系列国家标准的多轮修订工作，培养了一支精通CC评估标准的专业技术团队，为我国信息安全产品认证体系与国际CC标准的对接奠定了坚实的技术和人才基础。该中心在标准应用研究方面积累了大量的脆弱性评估、渗透测试和安全保证组件选用方面的实战经验，形成了富有中国特色的标准化应用方法论。六、结论与展望ISO/IEC15408-3:2022作为国际主要的安全评估标准之一，为全球IT产品的安全评估提供了系统化、结构化、可操作的技术规范。该标准的发布和持续演进，有效促进了全球信息安全产品评估体系的统一性和互认程度，为各国建立可信的信息安全产品市场机制发挥了重要的技术基础作用。虽然该版本已被ISO/IEC15408-3:2025所替代，但其技术框架和核心方法论仍具有重要的参考价值。展望未来，随着网络空间安全威胁的持续演变和新技术（如人工智能、云计算、量子计算等）的不断涌现，CC标准体系将持续演进。2025版的发布代表了新一代标准的技术方向，预计将在云安全评估、物联网安全评估、AI安全评估等新兴领域纳入更多技术内容，安全保证组件的定义也将更加精细化和场景化。对我国而言，应持续关注并深度参与ISO/IEC15408系列标准的国际修订工作，推动我国网络安全评估技术与国际标准体系的融合发展，加快促进我国网络安全认证体系的国际化进程，同时充分发挥CC标准在支撑网络安全等级保护制度和关键信息基础设施安全保护方面的重要作用，为建设网络强国提供坚实的标准化技术支撑。参考文献[1]ISO/IEC15408-3:2022,Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part3:Securityassurancecomponents[S].Geneva:ISO/IEC,2022.[2]ISO/IEC15408-1:2022,Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part1:Introductionandgeneralmodel[S].Geneva:ISO/IEC,2022.[3]GB/