ISOIEC TR 222162022 信息安全、网络安全和隐私保护.ISOIEC 154082022和ISOIEC 180452022中的新概念和变化标准立项发展报告

信息安全、网络安全和隐私保护ISO/IEC15408:2022和ISO/IEC18045:2022中的新概念和变化标准立项发展报告StandardizationDevelopmentReport:InformationSecurity,CybersecurityandPrivacyProtection—NewConceptsandChangesinISO/IEC15408:2022andISO/IEC18045:2022摘要关键词：信息安全；网络安全；隐私保护；ISO/IEC15408；通用准则；安全评估；标准化；ISO/IEC18045一、引言1.1研究背景在数字化转型加速推进的时代背景下，信息安全产品和服务的安全性与可信性已成为各国关注的核心议题。ISO/IEC15408（CommonCriteriaforInformationTechnologySecurityEvaluation，简称CC）是国际标准化组织（ISO）和国际电工委员会（IEC）联合发布的信息技术安全评估通用准则，是国际上公认的信息安全产品评估基准。该标准为信息安全产品的安全功能、安全保障要求及其评估方法提供了统一的规范框架，被全球数十个国家采纳为国家认证体系的技术基础。ISO/IEC18045（MethodologyforITSecurityEvaluation，简称CEM）则是与ISO/IEC15408配套的安全评估方法论标准，规定了评估者执行评估活动的具体方法和操作指南。两者共同构成了信息安全产品CC评估认证的完整技术规范体系。1.2标准基本信息ISO/IECTR22216:2022是国际标准化组织于2022年5月17日正式发布的技术报告（TechnicalReport），其全称为“Informationsecurity,cybersecurityandprivacyprotection—NewconceptsandchangesinISO/IEC15408:2022andISO/IEC18045:2022”。该技术报告的核心功能在于系统性地阐述和解释ISO/IEC15408:2022和ISO/IEC18045:2022两个核心标准中引入的新概念和主要变化，为各利益相关方（包括标准使用者、评估机构、产品开发者、认证体系管理者等）提供权威的过渡指导和技术解读。1.3研究意义本报告的编制具有重要的现实意义。首先，ISO/IEC15408作为全球应用最广泛的信息安全评估标准，其版本更新直接影响各国信息安全认证体系的运行和衔接。其次，ISO/IECTR22216:2022所揭示的新概念和变化体现了国际信息安全评估理念的前沿发展方向，对我国信息安全标准化战略的制定具有重要参考价值。第三，系统理解和把握这些变化，有助于我国信息安全产业界和评估机构做好技术准备和体系调整，降低标准升级带来的转换成本。1.4报告结构本报告共分为六个部分。第一部分为引言，阐明研究背景和意义；第二部分详细阐述ISO/IEC15408:2022和ISO/IEC18045:2022发展历程与修订背景；第三部分深入解析新版本的核心概念与关键技术变化；第四部分系统分析评估方法论（ISO/IEC18045:2022）的协同演进；第五部分介绍主要参与单位及其技术贡献；第六部分为结论与展望。二、标准修订背景与发展历程2.1ISO/IEC15408的历史演进ISO/IEC15408标准的制定始于20世纪90年代，其前身可追溯至美国国防部发布的TCSEC（可信计算机系统评估准则，即“橙皮书”）、欧洲各国联合制定的ITSEC（信息技术安全评估准则）以及加拿大颁布的CTCPEC等相关标准。1999年，ISO/IEC正式发布了第一版ISO/IEC15408标准，标志着全球统一的信息安全评估基准初步确立。自发布以来，ISO/IEC15408经历了多次修订和完善。2005年发布了第二版（ISO/IEC15408:2005），2009年发布了第三版（ISO/IEC15408:2009），并在其后通过技术勘误和修订持续完善。该标准在各国信息安全产品认证体系中发挥了不可替代的基础性作用，全球已有超过20个国家和地区建立了基于CC标准的互认安排（CCRA，CommonCriteriaRecognitionArrangement）。2.22022版修订的动力与目标ISO/IEC15408:2022和ISO/IEC18045:2022的修订是通用准则体系发展历程中的重要里程碑。此次修订主要基于以下几方面动力：第一，应对新兴技术挑战。云计算、物联网、人工智能、大数据等新兴技术的广泛应用，对传统的信息安全评估模式提出了新的要求。原有标准框架在应对这些新型技术形态的安全评估时存在适应性问题。第二，解决实践应用中的反馈问题。在CC标准长期应用实践中，各国评估机构和产品开发者反馈了大量操作性问题和改进建议，包括部分组件描述不够清晰、某些评估活动难以执行、组件间关系不够明确等。第三，推动标准的可用性提升。原标准中部分结构存在冗余和复杂性，需要通过组件合并和结构优化来提升标准的可读性和易用性，降低评估活动中的误解和歧义。第四，增强与相关标准的协调性。随着ISO/IEC27000系列、ISO/IEC21827（SSE-CMM）等相关标准的持续发展，CC标准需要更好地与这些标准体系进行协调和衔接。2022版修订的目标是保持标准的时代适用性和技术先进性，同时尽可能保持向后兼容性，降低标准升级带来的转换成本。2.3ISO/IECTR22216:2022的定位与作用ISO/IECTR22216:2022作为一份技术报告，在通用准则体系中发挥着特殊的桥梁作用。技术报告不同于国际标准，它不提出规范性要求，而是提供信息性说明和指导。ISO/IECTR22216:2022的核心目的在于：一是系统总结和解释ISO/IEC15408:2022和ISO/IEC18045:2022中的新概念和主要变化；二是为使用者提供从旧版本向新版本过渡的清晰指引；三是通过示例和说明帮助使用者准确理解新概念的内涵和应用场景；四是为各国认证体系调整提供技术参考依据。三、ISO/IEC15408:2022核心概念与变化解析3.1框架结构的系统性调整ISO/IEC15408:2022在框架结构上进行了系统性调整，对2009版标准的三大部分——第一部分（简介和一般模型，Introductionandgeneralmodel）、第二部分（安全功能组件，Securityfunctionalcomponents）、第三部分（安全保障组件，Securityassurancecomponents）——分别进行了内容重组和结构优化。新版本在延续三大部分基本架构的基础上，对各部分内部的组织方式进行了显著调整。其中最为突出的是对安全功能组件和安全保障组件目录的系统性梳理和重组。部分组件被合并，部分组件被拆分重组，还有少数组件被移除或新增。这些调整的总体目标是消除冗余、明确边界、提高组件的可用性和适用性。3.2术语体系的更新与扩展ISO/IEC15408:2022对术语体系进行了全面更新。新版本中的关键术语变化反映了信息安全领域技术发展的最新态势。主要术语变化体现在：首先，新版本引入了一系列新的技术术语，以更好地刻画现代信息安全产品和系统的安全特性。例如，“洞悉”（revelation）作为新引入的概念，在传统保密性（confidentiality）概念基础上进行了细化和扩展，以更精确地描述不同类型的信息披露风险场景。其次，部分原有术语的定义被重新定义和修订，使其更加清晰和准确。例如，对“对象”（object）、“主体”（subject）、“安全属性”（securityattribute）等基础概念的定义进行了精化，以减少不同使用者之间的理解偏差。第三，术语体系与ISO/IEC27000系列标准的术语进一步协调对齐，增强了国际标准之间的兼容性，减少了多标准应用时的术语转换成本。3.3组件重组与合并ISO/IEC15408:2022在安全功能组件（SFRs）和安全保障组件（SARs）层面进行了大规模的重组和合并。这一变化对标准的实际应用产生直接影响。在安全功能组件方面，新版本对FDP（用户数据保护）、FIA（标识与鉴别）、FPT（TSF保护）等类别的组件进行了重新编排。部分功能相近或重叠的组件被合并为一个更通用的组件，以减少使用者选择组件时的困惑，同时提高组件定义的精确度。在安全保障组件方面，新版本重点对AVA（脆弱性评估）类组件进行了调整，使其与ISO/IEC18045:2022中对应的评估活动更加紧密地对应。同时，对ALC（生命周期支持）类组件进行了优化，以更好地适应现代软件和系统开发实践的需求，特别是DevOps和敏捷开发等新型开发模式。3.4安全包（cPKG）的概念引入ISO/IEC15408:2022引入了安全包的概念，这是一项具有重要实践意义的结构创新。安全包是一个或多个安全功能组件、安全保障组件或功能包的组合，通过打包方式提供完整的安全要求集合。安全包的引入改变了以往使用者需要从组件目录中逐一挑选所需组件的做法，允许通过直接引用预定义的安全包来快速建立安全要求基线。这对于特定类型产品或特定应用场景的安全评估尤为有用，能够显著减少评估准备阶段的工作量和出错概率。安全包与传统的“保护轮廓”（ProtectionProfile，PP）和“安全目标”（SecurityTarget，ST）概念形成互补关系。安全包可在保护轮廓和安全目标的制定中作为基础构件使用，也可单独作为安全要求的快速定义工具。这一机制创新显著提升了标准应用的灵活性和效率。3.5拒绝模型的重构ISO/IEC15408:2022中“拒绝”（rejection）模型经历了重要的概念重构，这是新版本中最具理论深度的变化之一。在旧版标准中，拒绝模型主要描述系统拒绝某些访问请求的能力，与系统对错误输入或异常请求的处理机制相关联。新版标准对拒绝模型进行了更为细致和系统的规范化，明确了拒绝操作的具体类型、触发条件和预期行为，并新增了对拒绝信息的策略性控制要求。拒绝模型的重构反映了信息安全理念从单纯的访问控制向更为综合的行为管控方向的演进。通过更加精确地描述系统在不同场景下应当如何拒绝操作或请求，标准为开发者和评估者提供了更加清晰的指导，有助于提高安全产品在面对异常或恶意输入时的鲁棒性。3.6协同使用机制ISO/IEC15408:2022引入了协同使用机制的相关要求，以支持多个产品组件在协同工作环境下的安全评估。这一机制的设计初衷是为了应对现代IT系统中多产品、多组件协同部署的普遍现实。协同使用机制的核心内容包括：定义多组件系统中安全功能职责的分配方式、描述组件间安全交互的信任关系模型、规定协同工作模式下安全保障要求的适配原则，以及提供协同使用场景下安全评估的策略指引。这一机制的引入具有重要意义。传统的CC评估主要针对单一产品或独立系统，难以充分覆盖多个产品协同工作时的安全特性。协同使用机制填补了这一空白，使CC标准的适用性从单一产品评估扩展到了多产品协作环境下的安全评估。3.7洞悉的新模式“洞悉”（revelation）是ISO/IEC15408:2022中引入的全新概念，是此次修订中最具创新性的理论贡献之一。洞悉概念从本质上是对传统保密性概念的细化和扩展。在传统模型中，保密性主要关注未经授权的信息泄露，而洞悉概念在此基础上进一步区分了不同类型的信息暴露场景，特别是考虑了信息在传输、处理和存储等不同状态下可能面临的各类非授权观察风险。新版本通过引入洞悉概念，使标准能够更加精确地区分和刻画以下安全场景：一是信息被未授权方直接获取的泄漏场景；二是信息在边信道中被观察或推断的隐蔽暴露场景；三是通过统计分析或关联分析导致的信息间接暴露场景。洞悉新模式的引入，使评估工作能够在更细粒度上分析和评价系统对各类信息暴露风险的防御能力。同时，这一概念的引入也要求评估方法论（CEM）进行相应调整，以适应新评估维度的需要。四、ISO/IEC18045:2022评估方法论的协同演进4.1评估活动的结构化重构ISO/IEC18045:2022作为ISO/IEC15408:2022的配套评估方法论标准，在本次修订中进行了同样深度的调整和重构，以确保评估方法论与CC标准的最新变化保持高度一致。在评估活动的整体框架方面，ISO/IEC18045:2022对各评估任务和子任务进行了重新编排和描述。评估活动的组织方式从以往较为固定的线性流程调整为更具灵活性的模块化结构，使评估者能够根据具体评估场景的特征合理组织和调整评估活动的顺序与侧重。4.2与新版CC组件的映射关系ISO/IEC18045:2022的修订核心任务之一，是建立与ISO/IEC15408:2022中重组和新组件的准确映射关系。针对新版本中的组件合并，评估方法论相应地调整了评估活动的适用范围和操作细节。特别值得关注的是，ISO/IEC18045:2022针对新引入的洞悉概念和协同使用机制，设计了专门的新评估活动及操作方法。这些新评估活动为评估者提供了系统化的操作指引，确保新概念在评估实践中能够被准确和一致地应用。4.3评估方法的技术更新ISO/IEC18045:2022在评估方法的技术层面进行了多方面更新。在脆弱性评估方面，新版方法论纳入了近年来在漏洞分析和渗透测试领域积累的最佳实践，并提供了更加系统化的漏洞分析思路。在独立测试方面，新版方法论对测试深度和测试覆盖度的要求进行了重新定义，使测试要求更加适应现代软件系统架构的复杂性。此外，ISO/IEC18045:2022进一步明确了评估者在评估过程中的判断空间和决策原则，在保持评估活动严格性的同时，为评估者提供了合理的专业判断余地，以应对实际评估中可能出现的各种复杂情况。五、主要参与单位介绍5.1国际标准化组织ISO/IECJTC1/SC27工作组ISO/IECTR22216:2022由国际标准化组织（ISO）和国际电工委员会（IEC）联合技术委员会JTC1（信息技术）下属的SC27分技术委员会（信息安全、网络安全和隐私保护）负责制定。SC27是国际信息安全标准化领域最具权威性和影响力的技术委员会，其工作范围涵盖信息安全管理的各个方面，制定了包括ISO/IEC27000系列、ISO/IEC15408、ISO/IEC18045等在内的核心国际标准。SC27下设多个工作组（WG），其中WG3（安全评估、测试与规范）直接负责ISO/IEC15408和ISO/IEC18045的维护和修订工作。WG3汇集了来自全球各成员体的信息安全专家，包括国家认证机构代表、评估实验室技术专家、学术界研究人员、产业界标准化工程师等。5.2主要参与单位及其贡献在ISO/IECTR22216:2022的制定过程中，多个国家的标准化机构和专家作出了重要贡献。其中，德国联邦信息安全办公室（BSI）作为通用准则体系最为活跃和深入参与的机构之一，在该技术报告的制定中发挥了核心作用。德国联邦信息安全办公室（BSI，BundesamtfürSicherheitinderInformationstechnik）是德国负责信息安全管理和技术标准制定的国家级权威机构。BSI在通用准则（CC）体系中的参与源远流长——德国作为欧洲IT安全评估准则（ITSEC）的主要发起国之一，自CC标准最初制定阶段就深度参与其中，并将其作为德国国家信息安全产品评估认证体系的基础。在ISO/IECTR22216:2022的编制过程中，BSI的技术专家承担了多项关键任务。首先，BSI牵头组织了新概念的定义和框架设计工作，特别是针对“洞悉”（revelation）概念的理论构建和操作化定义提供了核心思路。这一概念在CC标准体系中是全新的理论基础，对标准的实际应用和评估实践具有深远影响。其次，BSI主导了新版本