ISOIEC 15408-52022 信息安全、网络安全和隐私保护.IT安全评估标准.第5部分预先定义的安全要求包标准立项发展报告

信息安全、网络安全和隐私保护IT安全评估标准第5部分：预先定义的安全要求包标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part5:Pre-definedpackagesofsecurityrequirements摘要关键词：信息安全；网络安全；隐私保护；IT安全评估；通用准则；安全要求包；标准化Keywords:InformationSecurity;Cybersecurity;PrivacyProtection;ITSecurityEvaluation;CommonCriteria;SecurityRequirementPackages;Standardization一、引言1.1研究背景随着全球数字化进程加速推进，信息技术产品和服务已深度融入经济社会发展的各个领域。随之而来的是网络攻击手段日趋多样、攻击频率逐年攀升，信息安全风险已成为各国政府、企业和个人面临的重大挑战。在此背景下，如何对IT产品的安全性进行客观、科学、可重复的评估与认证，成为信息安全管理领域亟需解决的核心问题。ISO/IEC15408系列标准（即通用准则，CommonCriteria，简称CC）自1999年首次发布以来，经过二十余年的持续修订和完善，已发展成为全球范围内被广泛认可和采纳的IT安全评估国际标准体系。该标准系列为IT产品与系统的安全功能和安全保障措施提供了统一的评估准则和方法论，是各国开展信息安全产品认证、政府采购和安全监管的重要技术依据。1.2标准立项背景ISO/IEC15408系列标准在长期应用实践中，暴露出一个显著的技术瓶颈：评估过程复杂、耗时且成本较高。对于大量具有相似安全需求的产品（如防火墙、操作系统、数据库管理系统等），如果每次评估都从零开始定义安全要求，不仅效率低下，而且可能导致评估结果的不一致性和不可比性。为解决这一突出问题，国际标准化组织（ISO）和国际电工委员会（IEC）下属的联合技术委员会ISO/IECJTC1/SC27（信息安全、网络安全和隐私保护分技术委员会）在修订ISO/IEC15408系列标准的过程中，决定增设第5部分，将预先定义的安全要求包（Pre-definedPackagesofSecurityRequirements）以独立标准的形式加以规范。这一举措旨在通过标准化手段，将实践中反复出现的、经过验证的安全需求组合预定义为可复用的"包"，从而提升安全评估的效率和一致性。1.3标准基本信息-标准编号：ISO/IEC15408-5:2022-标准名称：信息安全、网络安全和隐私保护—IT安全评估标准—第5部分：预先定义的安全要求包-英文名称：Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—Part5:Pre-definedpackagesofsecurityrequirements-发布机构：国际标准化组织（ISO）/国际电工委员会（IEC）-发布日期：2022年8月9日-标准状态：现行有效-标准性质：国际标准-适用对象：IT安全评估机构、信息安全产品开发企业、认证机构、政府监管部门及相关科研机构二、标准发展历程与演进逻辑2.1ISO/IEC15408系列标准的历史沿革ISO/IEC15408系列的起源可追溯至20世纪80年代末至90年代初。彼时，美国、英国、德国、法国、加拿大等多个国家分别制定了各自的信息安全产品评估标准，如美国的TCSEC（橘皮书）、欧洲的ITSEC、加拿大的CTCPEC等。不同国家的评估标准体系之间存在显著差异，导致安全产品跨国认证和互认面临巨大障碍。为解决这一问题，1996年，上述五国联合启动了通用准则（CommonCriteria）项目，旨在建立一套统一的国际信息安全评估标准。1999年，该成果被正式采纳为ISO/IEC15408国际标准，标志着全球信息安全评估进入统一化时代。ISO/IEC15408系列标准历经多次修订，各版本情况如下：|版本|发布时间|主要特征||------|----------|----------||第一版|1999年|首次发布，确立CC评估基本框架||第二版|2005年|引入安全保障级别（EAL），优化评估方法||第三版|2009年|调整结构为4部分，强化安全保证要求||第四版|2022年|扩展为5部分，新增预先定义安全要求包|2.2第5部分的立项与发展ISO/IEC15408-5:2022的立项工作可追溯至2015年前后。随着第三版标准的深入应用，ISO/IECJTC1/SC27下设的工作组WG3（安全评估准则工作组）在收集各成员国反馈意见时发现，多个国家在实施CC评估时，经常面临安全需求定义重复劳动、评估起点不一致等问题。部分国家在实践探索中已形成了自己的"包"或"配置文件"（ProtectionProfile）体系，如美国国家信息安全保障合作组织（NIAP）制定的各类保护配置文件。为将这些分散的实践经验整合为统一的国际标准，SC27启动了第5部分的编制工作。编制团队由来自约二十个成员体的专家组成，历经多轮实质性讨论与修改，最终在2021年完成了标准草案的国际标准草案（DIS）投票，并于2022年8月9日正式发布。该标准的推出标志着ISO/IEC15408系列从"评估准则"向"评估准则+预配置方案"的体系化转型，反映了国际标准化工作理念从"确立原则"向"指导实践"的深化发展。三、标准主要内容详解3.1总体框架与结构ISO/IEC15408-5:2022延续了CC系列标准在术语界定、结构编排和逻辑展开方面的一贯风格。该标准在逻辑上构成了对ISO/IEC15408-1至15408-4中定义的评估概念、功能组件体系（Part2）和保障组件体系（Part3）的补充与延伸。标准的主体内容包括两大部分：预定义功能要求包和预定义保障要求包，覆盖了多个典型应用场景中的常用安全需求组合。3.2预定义功能要求包标准中定义的功能要求包，是将一系列相关联的安全功能组件（SecurityFunctionalComponents，SFCs）按照特定应用场景或安全目标进行逻辑组合。每个包均明确了其适用对象、组合依据、实现效果及局限性。标准涵盖的预定义功能包主要包括：-访问控制包：定义了一套完整的主体-客体访问控制要求，涵盖自主访问控制（DAC）和强制访问控制（MAC）的核心组件；-数据完整性包：规定了数据完整性的检测、验证和恢复机制要求；-数据保密性包：涉及静态数据存储和动态数据传输场景下的加密保护要求；-审计日志包：定义了安全审计事件的记录、存储、保护、分析等系列要求；-身份认证包：涵盖用户身份标识、认证机制强度、失败处理等要求。3.3预定义保障要求包保障要求包是对安全保障组件（SecurityAssuranceComponents，SACs）的系统性组合安排，用于支撑评估活动中的保障等级认定。标准根据业界广泛采用的评估保障等级（EAL,EvaluationAssuranceLevel）框架，预定义了从EAL1到EAL5等不同级别对应的保障包。|保障级别|包名称|关键保障组件|适用场景||----------|--------|-------------|----------||EAL1|功能测试包|功能规格、用户文档、功能测试|低风险环境||EAL2|结构测试包|漏洞分析、安全功能测试|遗产系统改造||EAL3|系统测试与检查包|安全功能测试、配置管理、交付与运行|中等级安全产品||EAL4|系统化设计、测试与复查包|系统化设计、脆弱性分析、生命周期支持|高安全性产品||EAL5|半形式化设计与测试包|半形式化安全策略模型、模块化设计|政府及国防级应用|各保障包之间既存在递进升级关系，又保持相对独立性，使用者可根据目标产品的安全等级定位选择适当的保障包。3.4包的使用方法与扩展机制标准明确了使用安全要求包的通用方法论和扩展机制。在方法论层面，标准要求评估者在使用包时，应首先分析目标产品的安全环境和资产价值，确定适用的安全目标；其次选择合适的包作为基础，根据特殊需求进行必要的组件增删和参数调整；最后形成完整的评估输入文档。在扩展机制方面，标准允许使用者结合具体情况创建自定义包。标准给出了包创建的规范性模板和命名规则，并要求自定义包在描述规范、组件选择逻辑、适用边界等方面与标准包的风格保持一致。此外，该标准与保护配置文件（ProtectionProfile）机制既相互关联又各有侧重，二者在TOE（TargetofEvaluation，评估对象）安全要求定义层面相互支持。四、标准的意义与应用价值4.1对安全评估实践的促进该标准的发布为IT安全评估实践带来了多方面的效率提升。首先，预先定义的安全要求包显著减少了评估工作的重复劳动。评估人员和开发人员无需从零开始设计安全需求，而是可以直接在预制包的基础上进行针对性调整。其次，标准化的包定义提高了评估结果的可比性和一致性。不同评估机构、不同评估项目之间采用相同的"包"语言描述安全需求，便于评估结果在不同机构、不同国家之间实现互认。4.2对信息安全产业的推动在产业层面，该标准为安全产品的开发方提供了明确的需求指引。产品开发商在设计阶段即可参考标准中的预定义包来确定产品应具备的安全功能和保障水平，缩短了产品安全需求分析周期。与此同时，标准也为第三方评估机构提供了统一的工作基准，有助于降低评估过程中的主观性和随意性。对于采购方而言，该标准的广泛应用将提高安全产品安全性能的透明度，使得安全等级比较和产品选型决策更加便利，从而有效支撑政府采购、行业准入和信息安全管理实践。4.3与国际互认机制的衔接ISO/IEC15408-5:2022与"通用准则互认协议"（CommonCriteriaRecognitionArrangement,CCRA）有着高度契合的关系。CCRA是各成员国之间关于IT安全评估结果互认的多边协议框架，其核心机制依赖于各国评估标准和操作方式的高度一致性。第5部分标准的出台，为CCRA框架下的联合评估和结果互认提供了更加有利的技术支撑条件。五、主要参与单位和推进机构5.1标准起草单位本标准的制定工作主要由ISO/IECJTC1/SC27（信息技术安全技术分技术委员会）主导，该委员会是国际信息安全标准化领域最权威的技术组织，秘书处设于德国标准化学会（DIN），主席国由日本等国家轮流担任。在标准制定的关键成员中，德国联邦信息安全办公室（BSI）发挥了突出的组织和核心技术作用。BSI作为世界领先的信息安全管理和认证机构，在CC标准的应用和推广方面积累了丰富经验。BSI主导开发了多个保护配置文件和预先定义安全要求包，其技术实践为本标准的制定提供了重要的基础和参考。同时，BSI承担了标准文本中关于评估保障包部分的重要撰写工作。此外，美国国家标准与技术研究院（NIST）、美国国家安全局（NSA）、英国国家网络安全中心（NCSC）、加拿大通信安全机构（CSE）等机构也参与了关键技术条款的编制和意见反馈。5.2主要参与单位详细介绍：德国联邦信息安全办公室（BSI）德国联邦信息安全办公室（BundesamtfürSicherheitinderInformationstechnik，简称BSI）成立于1991年，是隶属德国内政部的国家级信息安全主管机构，总部位于波恩。BSI的核心职能涵盖信息安全风险管理、密码技术研究、网络安全监测预警、IT产品安全认证等多个领域。在ISO/IEC15408-5:2022的制定过程中，BSI发挥了不可替代的主导作用。作为CC标准体系发源地之一的德国，其国内CC评估认证体系由BSI统一管理，BSI下属的认证机构负责德国境内所有CC评估项目的授权与监督。截至2022年，BSI已累计颁发超过300份CC认证证书，位居全球前列。通过具体的认证实践，BSI积累了大量的跨行业安全评估经验和评估数据，为编制本标准的预定义安全要求包提供了丰富的实证素材。BSI技术专家主导起草了标准中多个核心功能包的技术方案，并在标准讨论过程中积极推动"可复用安全需求"理念的落地。同时，BSI还作为标准文本的主要编辑单位，承担了大量标准草案的编写和修订工作。六、标准应用现状与推广情况6.1国际应用现状ISO/IEC15408-5:2022自2022年发布后，迅速在CCRA各成员国中得到采纳和应用。欧洲多国已将该标准内容纳入本国CC评估操作规范，美国NIAP在各类保护配置文件的制定过程中也已引入该标准的包定义作为需求模板。在行业应用方面，智能卡、网络安全设备、移动终端安全模块、云计算安全产品等领域已成为该标准应用最为活跃的方向。芯片和智能卡行业是最早大规模系统化应用预定义安全要求包的行业。全球主要的芯片设计企业和安全模块供应商，如英飞凌、恩智浦、意法半导体等公司，已在其产品的安全评估过程中系统采用ISO/IEC15408-5定义的包结构来描述自身产品的安全需求，显著缩短了评估准备时间。6.2中国的转化与应用我国是ISO/IECJTC1/SC27的积极成员，长期深度参与CC系列标准的制定和修订工作。中国电子技术标准化研究院（CESI）作为SC27的国内技术对口单位，全程参与了ISO/IEC15408-5:2022的编制过程和投票工作。在国内标准转化方面，中国正积极推进ISO/IEC15408-5:2022向国家标准（GB/T）的转化工作，相关工作由中国信息安全测评中心、中国电子技术标准化研究院等单位牵头推进。与此同时，我国的信息安全产品分级评估体系（如CC评估、等级保护测评等）也在积极吸收该标准中关于安全要求包的规范化方法，旨在提升我国信息安全评估的技术水平和国际一致性程度。七、面临的挑战与未来展望7.1面临的挑战ISO/IEC15408-5:2022作为新发布的标准，在推广应用过程中仍面临若干挑战。首先，标准制定所依据的安全需求包主要基于原有版本的保障等级框架和若干传统应用场景；面对云计算、物联网、人工智能等新兴技术领域快速涌现的新的安全需求形态，现有包体系可能存在覆盖不足和应用适配性不充分的问题。其次，不同国家和地区在标准应用中的操作习惯和管理模式差异较大，标准落地时需要因地制宜地进行适应性调整。此外，标准包体系中涉及部分技术参数和算法推荐，如何在标准应用实际中兼顾技术中立性和技术演进性也需要持续关注。7.2未来展望展望未来，ISO/IEC15408-5标准的后续修订将主要在以下几个方向推进。一是面向云安全、零信任架构、AI安全、量子安全等新场景扩展新的安全要求包。二是进一步提升包定义的粒度水平和灵活性，支持更细颗粒度的组件定制和参数调整。三是加强与其他信息安全标准（如ISO/IEC27001信息安全管理体系标准、ISO/IEC27701隐私信息管理体系标准）之间的衔接与协同。四是推动安全要求包的自动化工具支持，通过机器可读格式的标准表达方式，支撑自动化评估工具链的构建。从标准化发展趋势来看，从"原则定义型"标准向"实践指导型"标准过渡已成为国际信息安全标准化领域的明显趋势。ISO/IEC15408-5:2022正是这一趋势下的典型代表，未来其作用将从单纯的技术规范逐步扩展为安全生态建设和协同治理的基础工具。八、结论ISO/IEC15408-5:2022《信息安全、网络安全和隐私保护—IT安全评估标准—第5部分：预先定义的安全要求包》是国际信息安全标准化领域的标志性成果。该标准的发布顺应了信息安全评估领域从"统一准则"走向"高效实施"的演进方向，通过将实践中反复验证的安全需求组合预定义为标准化包，有效解决了评估工作重复性高、一致性差的历史性难题。该标准在产品开发、评估执行、政策监管等层面均展现出显著的应用价值，对促进国际信息安全产品认证互认、推动产业健康有序发展发挥了积极作用。我国在今后的标准转化和应用推广过程中，应充分结合国内信息安全管理和产业发展实际，加快国家标准转化步伐，加强CC评估与分级保护制度的深度融合，积极参与标准后续修订工作以贡献中国方案和最佳实践。可以预见，随着标准的深入推广应用和持续迭代完善，ISO/IEC15408-5将在构建更加安全、可信的数字世界进程中发挥日益重要的作用，为全球信息技术安全治理贡献坚实的