ISOIEC 19896-32025 信息安全、网络安全和隐私保护 IT安全合格评定机构人员能力要求 第3部分根据ISOIEC 15408系列和ISOIEC 18045对评估员和评审员的知识和技能要求标准立项发展报告

ISO/IEC19896-3:2025《信息安全、网络安全和隐私保护IT安全合格评定机构人员能力要求第3部分：根据ISO/IEC15408系列和ISO/IEC18045对评估员和评审员的知识和技能要求》标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection—RequirementsforthecompetenceofITsecurityconformanceassessmentbodypersonnel—Part3:KnowledgeandskillsrequirementsforevaluatorsandreviewersaccordingtotheISO/IEC15408seriesandISO/IEC18045摘要随着全球信息化进程的纵深推进，信息安全的合格评定活动已成为保障数字经济发展和国家安全的重要技术基础。在信息技术安全评估领域，ISO/IEC15408（即通用准则，CommonCriteria,CC）系列标准和ISO/IEC18045（信息技术安全评估方法）作为国际上公认的信息技术安全评估基准，其评估结果被全球众多国家和经济体所采信。然而，评估结果的可靠性与可信度，从根本上取决于实施评估和审查工作的专业人员的知识水平与实操技能。在此背景下，国际标准化组织（ISO）与国际电工委员会（IEC）联合发布了ISO/IEC19896-3:2025标准，该标准系统性地规定了依据ISO/IEC15408系列和ISO/IEC18045开展信息安全评估活动的评估员（Evaluator）和评审员（Reviewer）必须具备的知识领域与技能要求。本报告详细阐述了该标准的立项背景、国际需求动因、核心内容架构以及其在提升合格评定人员能力、保障评估结果一致性方面的重要价值。报告认为，该标准的发布填补了ISO/IEC15408体系在人员能力资格确认方面的国际空白，对全球信息安全评估体系的完善与互认具有里程碑式的意义。关键词：信息安全；合格评定；人员能力；ISO/IEC15408；ISO/IEC18045；知识技能要求；评估员评审员Keywords:InformationSecurity;ConformityAssessment;PersonnelCompetence;ISO/IEC15408;ISO/IEC18045;KnowledgeandSkillsRequirements;EvaluatorsandReviewers一、引言1.1标准制定的背景与紧迫性在过去的三十年间，信息技术安全评估经历了从产品功能验证到系统性安全保障体系的根本性变革。ISO/IEC15408系列标准（信息安全管理体系-通用准则）为信息产品的安全性评估提供了国际公认的通用框架，而ISO/IEC18045则规定了执行这些评估活动的具体方法论。全球各国IT产品安全认证机构依据这些标准对防火墙、操作系统、移动支付系统、智能卡芯片等关键信息基础设施组件实施安全评估与认证。然而，一个不容忽视的关键性问题是：评估主体（即评估员与评审员）自身能力的标准化问题长期缺位。尽管ISO/IEC15408对评估过程提出了详尽的技术要求，但是否具备相应的专业素养来执行这些评估活动，却缺乏统一的、可操作的国际基准。不同国家、不同实验室之间的评估人员水平参差不齐，导致同样一个产品在不同机构进行评估时可能得出差异巨大的评估结论。这一状况不仅削弱了CC认证体系在全球范围内的互信基础，也制约了信息安全产业的国际贸易流通。1.2ISO/IEC19896系列标准的总体架构为系统解决这一问题，ISO/IECJTC1/SC27（信息技术安全技术分技术委员会）启动了ISO/IEC19896系列标准的编制工作。该系列标准旨在构建覆盖IT安全合格评定机构不同岗位人员能力要求的完整规范体系：-第1部分（ISO/IEC19896-1）：规定了IT安全合格评定机构人员能力要求的总则、通用术语、能力等级框架及考核原则；-第2部分（ISO/IEC19896-2）：针对依据ISO/IEC19790（加密模块安全要求）和ISO/IEC24759（加密模块测试要求）开展密码模块评估的人员制定知识与技能要求；-第3部分（ISO/IEC19896-3:2025）：即本报告聚焦的标准，聚焦于依据ISO/IEC15408系列和ISO/IEC18045实施评估和审查工作的人员能力要求；-第4部分（ISO/IEC19896-4）：针对依据ISO/IEC19790开展加密模块测试的人员制定专项能力要求。这一系列标准的协调发布，标志着国际信息安全合格评定体系从"关注过程合规"向"关注人员胜任力"的重大范式转型。二、ISO/IEC19896-3:2025标准的立项依据与研制过程2.1立项依据ISO/IEC19896-3标准的立项具有深远的现实依据和国际社会的广泛共识。首先，在CCRA（通用准则互认协定）的框架下，各签署国通过互认协定接受彼此的评估结果，这要求各成员国评估实验室之间的人员能力评估具有等效性。但长期以来，这种效性缺乏精细化的国际规范支撑。其次，随着信息技术安全评估对象的复杂度急剧上升——从单一的IT产品扩展至虚拟化平台、人工智能系统、云计算基础设施及物联网组件——评估人员需要掌握的知识领域正在呈指数级扩展，急需通过标准化的知识技能框架引导能力建设和考核。第三，ISO/IEC17024（人员认证机构通用要求）和ISO/IEC17025（检测和校准实验室能力的通用要求）均要求合格评定机构为其人员建立明确的能力准则并通过系统的考核验证。2.2研制过程与技术路径ISO/IEC19896-3:2025由ISO/IECJTC1/SC27下设的第3工作组（WG3，安全评估、测试和规格）牵头起草。该工作组汇聚了来自全球各国的信息安全评估专家、国家级认证机构代表、资深评估员及学术界人士。标准草案历经了多个阶段的深入讨论与技术审查：-工作组草案（WD）阶段：编制完成标准初始框架，确立知识领域和技能分类体系；-委员会草案（CD）阶段：各成员国对标准结构、术语定义及知识条目提出系统修改意见；-国际标准草案（DIS）阶段：面向各国开展正式投票评议，就知识技能的系统性覆盖和深度等级达成协商一致；-最终国际标准草案（FDIS）阶段：对文本进行精细化打磨和术语一致性校正。2025年11月19日，该标准经国际电工委员会正式发布，标准代号为ISO/IEC19896-3:2025，状态为现行有效。三、标准内容深度解析3.1标准的适用范围与定位ISO/IEC19896-3:2025明确规定了在依据ISO/IEC15408系列开展安全评估活动（包括评估和审查环节）时，评估员（Evaluator）和评审员（Reviewer）所需具备的知识领域和专业技能要求。该标准不仅适用于信息技术安全评估实验室的人员能力建设与考核，同时也为人员认证机构（如依据ISO/IEC17024运作的认证机构）、国家认证监管机构、以及希望系统培养信息技术安全评估专业人才的教育培训机构提供了规范指引。3.2核心知识领域（KnowledgeAreas）的系统划分标准将评估员和评审员必须掌握的知识内容做了系统化、模块化的梳理，形成了涵盖以下核心知识域的框架体系：（1）CC标准体系与评估方法学知识：深入理解ISO/IEC15408系列各部分之间的逻辑关系（第1部分：简介和一般模型；第2部分：安全功能组件；第3部分：安全保障组件），掌握ISO/IEC18045规定的评估动作基本原理，及各评估族（如APE、ASE、AVA、ALC等）的实施方法论。（2）安全模型与安全架构知识：包括访问控制模型（如DAC、MAC、RBAC）、信息流模型（如Bell-LaPadula、Biba）、安全功能的设计原理、TOE安全架构的分类与评估判定方法。（3）攻击方法与漏洞分析知识：涵盖常见攻击技术分类（如缓冲区溢出、注入攻击、侧信道攻击）、漏洞扫描与渗透测试方法、脆弱性分析（AVA_VAN）的系统化判定逻辑、攻击潜力评估方法。（4）安全保障级别与包结构知识：理解EAL（评估保证级别）从EAL1至EAL7递增的内涵、PP（保护轮廓）和ST（安全目标）的结构化评估方法，以及保障包的组合与增补方式。（5）开发环境与生命周期安全知识：涉及开发过程的安全性控制（ALC_DVS）、配置管理要求（ALC_CMC/ALC_CMS）、交付与运行过程中的安全要求（ALC_DEL）、生命周期定义（ALC_LCD）及工具和技术的安全要求（ALC_TAT）。（6）测试方法与测试充分性判定知识：包括功能测试（ATE_FUN）、覆盖度分析（ATE_COV）、深度分析（ATE_DPT）以及独立测试的设计与执行方法。3.3技能要求与行为特征3.4知识技能的等级划分与考核导向ISO/IEC19896-3:2025在能力模型设计上采取了从基础理解到熟练应用再到专家级洞察的进阶式等级划分体系。标准明确指出，评估员和评审员应当在被授权独立执行评估任务前，通过系统的培训、考核和实践积累证明其在各知识领域的熟练掌握程度。四、该标准的核心价值与现实意义4.1为全球IT安全评估人员能力互认奠定了基准在CCRA框架下，各国认证机构出具的评估证书能否被其他成员国采纳，评估人员的等效能力是关键前提之一。ISO/IEC19896-3:2025构建的统一知识技能框架，使得不同国家、不同实验室对合格评估人员的界定有了可比较、可对接的国际基准。这将有效降低跨国认证中的重复评估成本，促进全球信息技术安全评估市场的融合与效率。4.2推动评估结果质量的持续提升评估活动的本质是一种高度依赖人员智识的专业判断行为。通过对人员知识掌握深度和技能熟练程度施加标准化约束，ISO/IEC19896-3:2025能够有效降低因人员能力不足而产生的漏评、误评风险，进而提升CC认证整体结论的准确性和可靠性。4.3呼应了全球网络安全人才能力建设的战略需求随着全球网络空间安全博弈的日趋激烈，培养高水平的网络安全测试评估人才已成为各主要经济体的国家战略。该标准的出版不仅为从事CC评估的专业人员提供了系统能力提升的路线图，也为高校（信息安全专业）、职业教育机构和职业培训机构在课程体系设计及培训效果评价方面提供了国际化的对标依据。五、主要参与标准修订的单位介绍在本标准的研制与修订过程中，多个国际权威机构和国家级标准化组织作出了重要贡献，其中德国联邦信息安全办公室（BSI,BundesamtfürSicherheitinderInformationstechnik）作为主导起草单位之一，发挥了尤为关键的引领作用。德国联邦信息安全办公室（BSI）隶属于德国内政部，是德国国家级信息安全主管部门和网络安全的核心机构，总部位于波恩（Bonn），另在柏林和弗莱堡设有分部。BSI的核心职责包括：保护德国联邦政府信息系统、制定信息安全技术标准与基线保护策略（IT-Grundschutz）、实施IT产品的安全性评估与认证，以及对重大网络安全事件开展技术分析研判。在CC体系的发展演进过程中，BSI长期扮演着思想引领者和实践推动者的双重角色。早在20世纪90年代，BSI即深度参与了CC标准的原始制定工作，将德国在IT安全评估领域的深厚技术积淀（源自德国ITSEC评估实践）充分融合进了通用准则的框架设计中。由BSI运营的德国国家网络安全认证机构（BSI-DSZ）长期位列全球最活跃、最受认可的CC认证机构之一，其在智能卡、芯片安全、电子身份认证等高端评估领域的技术优势和国际影响力尤为显著。在ISO/IEC19896-3:2025标准的研制过程中，BSI派遣了具有数十年CC评估实战经验的首席评估专家和法律标准化专家深度参与文本起草。BSI团队将其实践中积累的评估员分级培养方案、知识考核题库架构及质量保证机制等宝贵经验贡献于标准文本，特别是在攻击潜力评估技巧、脆弱性分析判定技能以及保障级别判定知识的细化规范方面发挥了不可替代的主导作用。BSI的参与不仅使标准文本更加贴合实际评估工作的技术与操作逻辑，也通过其覆盖全球的技术合作网络推动了该标准在欧洲、亚洲等主要经济体中的采纳与实施。同时，BSI与德国的DIN（德国标准化学会）建立了密切的标准协作机制，确保该国际标准转化为德国国家标准时的一致性与通畅性。此外，我国全国信息安全标准化技术委员会（TC260）及相关科研院所也持续跟踪并参与了该系列标准的研究与评议工作。六、结论与展望ISO/IEC1989