ISOIEC 180452022 信息安全、网络安全和隐私保护.IT安全的评估标准.IT安全评估方法标准立项发展报告

信息安全、网络安全和隐私保护IT安全评估方法标准立项发展报告StandardizationDevelopmentReport:InformationSecurity,CybersecurityandPrivacyProtection—EvaluationCriteriaforITSecurity—MethodologyforITSecurityEvaluation摘要关键词：信息安全；网络安全；隐私保护；IT安全评估；通用准则；标准化；ISO/IEC18045Keywords:InformationSecurity;Cybersecurity;PrivacyProtection;ITSecurityEvaluation;CommonCriteria;Standardization;ISO/IEC18045一、引言1.1研究背景21世纪以来，全球信息化进程持续加速，数字技术深度融入经济社会发展的各个领域。与此同时，针对IT产品与系统的网络攻击事件频发，安全漏洞和威胁形态不断演化升级，对传统的安全测试与评估方法提出了严峻挑战。在此背景下，如何在统一的标准框架下客观、科学地评估IT产品的安全保障能力，成为各国标准化机构和网络安全监管部门共同关注的核心议题。国际标准化组织（ISO）和国际电工委员会（IEC）联合制定的ISO/IEC18045标准，是国际信息技术安全评估通用准则体系的重要组成部分。该标准与ISO/IEC15408（CommonCriteriaforInformationTechnologySecurityEvaluation，即CC标准）配套使用，规定了IT安全评估的具体方法和操作流程，为安全评估活动的规范化实施提供了方法论依据。1.2标准基本信息-标准编号：ISO/IEC18045:2022-标准名称：信息安全、网络安全和隐私保护—IT安全的评估标准—IT安全评估方法-英文名称：Informationsecurity,cybersecurityandprivacyprotection—EvaluationcriteriaforITsecurity—MethodologyforITsecurityevaluation-发布机构：国际标准化组织（ISO）/国际电工委员会（IEC）-发布日期：2022年8月9日-标准状态：废止（已被ISO/IEC18045:2025替代）-国别：国际组织-语种：英语二、标准编制背景与立项意义2.1编制背景ISO/IEC18045标准的编制工作可追溯至20世纪90年代末期。彼时，随着计算机和网络技术的广泛应用，各国纷纷建立起各自的信息安全评估体系，但不同国家之间的评估标准和方法存在显著差异，导致安全评估结果难以相互认可，安全产品的跨国流通面临严重的技术壁垒。为应对这一挑战，ISO/IECJTC1（信息技术标准化技术委员会）下属的SC27（信息安全、网络安全和隐私保护分技术委员会）启动了信息技术安全评估通用准则及相关评估方法的国际标准化工作。ISO/IEC18045作为CC体系中的方法论标准，旨在为安全评估的具体实施提供统一的技术规范，确保不同评估机构在遵循同一评估准则的前提下，能够采用一致的评估方法和操作流程。2.2立项意义ISO/IEC18045标准的立项和发布具有多方面的重要意义：第一，统一评估方法论。该标准将安全评估中涉及的评估任务、评估活动、评估证据和评估结论等要素进行了系统化和规范化定义，为全球安全评估机构提供了统一的方法论框架，有效避免了因评估方法差异而导致的评估结果不一致问题。第二，促进国际互认。通过采用统一的评估方法，不同国家之间可以实现安全评估结果的互认，这对于降低安全产品的重复评估成本、促进国际信息安全产品贸易具有重要的推动作用。依据该标准框架，多国签署了信息安全评估互认协议（CCRA），构建了全球化的安全评估互认体系。第三，支撑政策法规落地。世界各国在关键基础设施保护、电子政务安全、个人信息保护等领域的政策法规中，普遍将符合ISO/IEC18045标准的评估活动作为产品准入和安全监管的重要依据，该标准由此成为连接技术标准与政策法规的关键桥梁。第四，推动技术发展。标准的持续修订和更新为应对新兴技术（如云计算、物联网、人工智能等）带来的安全评估挑战提供了方法支撑，推动了安全评估技术本身的发展和进步。三、标准主要内容3.1标准框架与定位ISO/IEC18045:2022是ISO/IEC15408系列标准的配套方法论文件。ISO/IEC15408规定了安全评估的准则和通用模型，定义了安全功能组件和安全保障组件的评价标准；而ISO/IEC18045则聚焦于“如何评估”的问题，即将ISO/IEC15408中定义的评估准则转化为具体的评估任务和操作步骤。该标准在CC体系中的定位可以概括为“方法论层”——它不定义安全功能要求（这部分由保护轮廓PP和安全目标ST完成），也不规定具体的评估准则（这部分由ISO/IEC15408完成），而是专注于评估活动的组织实施和操作规程，为评估员提供了系统化、可复现、可审计的评估方法论指导。3.2标准主要内容ISO/IEC18045:2022主要包括以下几个方面的内容：（一）评估任务总体框架。标准系统定义了IT安全评估中的各类评估任务，包括：安全目标（ST）评估、扩展组件定义评估、安全保障要求（SAR）评估、安全功能要求（SFR）评估、实现表示评估、配置管理和交付运行评估、开发安全评估、脆弱性分析评估等。每一项评估任务均给出了明确的目标、输入、活动和输出要求。（二）评估活动详细规范。针对每一项评估任务，标准详细规定了需要执行的评估活动（Action）、评估员需要检查的评估证据（WorkUnit）以及各项活动的先后顺序和依赖关系，为评估员提供了可操作的执行指南。具体而言：-安全目标评估活动：检查ST中安全问题定义、安全目的、安全要求及声明的一致性、完备性和技术合理性；-开发安全评估活动：审查开发过程中的安全架构描述、功能规范、设计表示和实现对应的充分性和一致性；-生命周期支持评估活动：核查配置管理、交付程序、开发安全和生命周期定义等环节的安全控制措施是否有效落实；-脆弱性分析评估活动：通过穿透性测试、源代码分析、漏洞扫描等手段，对产品在预期使用环境中的安全薄弱环节进行系统排查。（三）评估方法技术规范。标准对评估活动中涉及的具体评估方法进行了规范，如功能测试的测试深度和测试范围确定方法、脆弱性分析的分析方法和分析深度选择方法、穿透性测试的测试策略和测试用例生成方法等。（四）评估结果判定与报告。标准规定了如何根据评估证据的充分性和评估活动的执行结果，判定各安全保障要求组件的符合性结论，并明确评估报告的编制要求和内容框架。（五）评估文档要求。标准明确了在评估过程中需要生成的各类评估文档（如评估工作计划、评估观察报告、评估技术报告等）的内容要求，为评估活动的质量控制和监督管理提供了基础。3.3标准版本沿革-ISO/IEC18045:2005：第一版，2005年发布，与ISO/IEC15408:2005（CC3.0系列）配套使用，替代了此前的CC评估方法论文档（CEM）。-ISO/IEC18045:2008：第二版，2008年发布，对第一版进行了技术修订和完善，细化调整了多项评估活动的操作细节，增强了标准的可操作性。-ISO/IEC18045:2022：第三版，2022年发布，与ISO/IEC15408:2022同步更新，充分考虑了信息安全技术的新发展，纳入了对新型安全技术评估的指导。-ISO/IEC18045:2025：最新版，2025年发布，替代2022版，反映了最新的评估实践需求。截至本报告编制时间，标准状态已更新为“废止”，正式替代版本为ISO/IEC18045:2025。各用户单位应及时跟踪标准版本更新情况，在评估活动中采用最新有效版本。四、标准应用与国际互认4.1主要应用领域ISO/IEC18045在全球范围内得到了广泛应用，主要集中在以下几个领域：（一）安全产品认证与市场准入。全球多个国家和地区将基于ISO/IEC18045的CC评估作为信息安全产品市场准入的重要依据。例如，美国国家信息安全保障合作组织（NIAP）的产品认证体系、德国联邦信息安全办公室（BSI）的CC认证体系、日本信息安全评估中心（JISEC）的认证体系等均采用该标准作为评估方法依据。（二）关键信息基础设施保护。在电信、金融、能源、交通等关键信息基础设施领域，安全产品的选型和部署通常要求提供基于CC标准的评估认证报告，以确保所使用的安全产品具有可验证的安全保障能力。（三）政府采购与行业监管。许多国家的政府采购政策和行业监管要求中，明确规定信息安全产品需通过CC评估认证。例如，我国在关键行业和领域的网络安全专用产品采购中，同样引入了对产品安全评估的要求。（四）安全开发生命周期管理。该标准中关于开发安全、生命周期支持等方面的评估方法，对安全产品的开发过程管理具有重要的参考价值，被许多安全厂商用于指导自身的软件安全开发生命周期（SDL）建设。4.2CCRA国际互认体系在ISO/IEC18045的方法论支撑下，国际间安全评估互认机制不断发展完善。CCRA（CommonCriteriaRecognitionArrangement，通用准则互认协议）是当前国际上最重要的信息安全产品评估互认机制之一。截至2025年，已有包括美国、英国、德国、法国、日本、韩国、加拿大、澳大利亚、荷兰、西班牙、意大利、土耳其、印度、马来西亚、新加坡等在内的多个成员国加入CCRA，覆盖了全球主要的信息安全产品和解决方案市场。通过CCRA互认机制，在任一成员国完成CC评估并取得认证证书的安全产品，可在其他成员国获得相应的认可，极大地促进了安全评估结果的国际流通和安全产品的跨境贸易，显著降低了重复评估带来的成本和时间消耗。五、主要参与单位介绍5.1中国电子技术标准化研究院中国电子技术标准化研究院（电子标准院，CESI）作为国内电子信息技术标准化的核心权威机构，深度参与了ISO/IEC18045系列标准的研究、制定和推广应用工作，是该标准在中国落地实施的重要推动力量。机构概况：中国电子技术标准化研究院创建于1963年，是工业和信息化部直属事业单位，长期从事电子信息技术领域的标准化研究、标准制定、试验验证、检测认证和咨询服务，是我国电子信息领域标准化工作的国家级核心机构。标准研制贡献：该院作为ISO/IECJTC1/SC27的国内技术归口单位，持续跟踪并深度参与ISO/IEC18045等国际标准的制修订工作。其专家团队在标准的各版本修订过程中，结合我国信息安全产业发展的实际情况，就评估方法的可操作性、新兴技术评估适配性、标准与法规政策的衔接等议题提出了多项建设性提案，多项意见被国际标准采纳。在ISO/IEC18045:2022版的修订过程中，该院在云计算安全评估、物联网安全评估等新兴领域积极输出中国实践经验和方案，为完善国际评估方法体系贡献了中国智慧。检验检测实践：依托其下属的网络安全检测中心，该院按照ISO/IEC18045所确立的方法框架，开展了一系列网络安全产品的检测评估实践，积累了丰富的评估经验，为标准的持续改进提供了反馈。同时，通过组织标准宣贯、技术研讨和国际交流等活动，该院有效促进了ISO/IEC18045标准在我国的广泛应用和深度落地。六、结论与展望6.1结论ISO/IEC18045:2022标准作为国际信息技术安全评估的核心方法论文件，为全球IT产品与系统的安全评估提供了统一、科学、可操作的方法框架。通过对该标准的系统梳理可以看出，其价值不仅体现在技术层面的规范化作用，更体现在战略层面的引领作用：第一，标准化治理的典范。该标准的发展历程充分体现了国际标准化在应对全球性安全挑战中的独特价值和治理效能，为其他领域的安全标准化工作提供了可借鉴的范本。第二，产业发展的重要支撑。该标准构建了全球统一的安全评估方法体系，有效降低了安全产品跨国流通的制度性成本，为信息安全产业的全球化发展提供了基础性支撑。第三，安全信任的基石。通过统一的评估方法形成可比较、可验证、可追溯的评估结果，该标准在供应商与用户之间、监管机构与行业之间建立了可量化的安全信任机制，是数字时代构建网络安全信任体系的重要制度基础。6.2展望随着ISO/IEC18045:2025版本的正式发布，IT安全评估方法标准进入了新的发展阶段。展望未来，该标准的发展将呈现以下趋势：（一）面向新兴技术的评估方法持续拓展。随着人工智能安全、量子计算安全、隐私增强技术、零信任架构等新技术的不断涌现和广泛应用，IT安全评估方法将不断扩展和深化，以有效应对新技术带来的安全评估挑战，为颠覆性技术的安全可靠应用提供方法论保障。（二）与法规政策的衔接更加紧密。全球网络安全立法日趋严格，欧盟《网络弹性法案》（CRA）、各国的关键基础设施保护法规等对安全评估提出了更高要求。评估方法标准将在支撑法规落地方面发挥更加关键的作用，推动形成“标准支撑法规、法规引导标准”的良性互动格局。（三）评估自动化与智能化水平提升。借助人工智能、机器学习等新技术手段，安全评估的方法和工具将向自动化、智能化方向加速演进，评估效率和评估覆盖面将大幅提升，评估成本有望显著降低，这将使更多中小规模产品能够纳入规范化的安全评估体系。（四）我国参与国际标准制定的深度和广度将持续提升。