ISOIEC 20243-22023 信息技术.开放可信技术提供者TM标准（O-TTPS）.第2部分O-TTPS的评估程序标准立项发展报告

信息技术开放可信技术提供者™标准（O-TTPS）第2部分：O-TTPS的评估程序标准立项发展报告StandardizationDevelopmentReport:Informationtechnology-OpenTrustedTechnologyProvider™Standard(O-TTPS)-Part2:AssessmentproceduresfortheO-TTPS摘要关键词：供应链安全；开放可信技术提供者；评估程序；信息技术安全；O-TTPS；国际标准；合规性评估Keywords:SupplyChainSecurity;OpenTrustedTechnologyProvider;AssessmentProcedures;InformationTechnologySecurity;O-TTPS;InternationalStandard;ConformityAssessment一、引言1.1研制背景近年来，全球供应链攻击事件频发，从SolarWinds事件到Log4j漏洞危机，无不凸显出信息技术产品供应链安全的脆弱性与重要性。2021年美国发布的《关键和新兴技术国家战略》以及欧盟《网络安全法案》均将供应链安全列为最高优先级事项。在这一背景下，如何建立一套国际公认的技术可信性评估机制，成为各国政府、行业组织和企业共同关注的焦点问题。O-TTPS（OpenTrustedTechnologyProvider™Standard）标准最初由国际开放标准组织（TheOpenGroup）于2013年发起制定，旨在通过定义技术提供者在产品开发、供应链完整性、安全工程实践等方面的要求，降低恶意污染和假冒伪劣产品对信息技术供应链的威胁。2018年，该标准被采纳为ISO/IEC国际标准（ISO/IEC20243系列），标志着其从行业标准向国际标准的跨越。1.2标准定位本标准位于ISO/IEC20243系列标准的评估方法论层面，与第1部分（O-TTPS技术要求和指南）共同构成O-TTPS标准的完整框架。前者回答"应当做什么"（技术要求和最佳实践），后者回答"如何证明做到了"（评估程序和方法）。这种"要求+评估"的双层结构借鉴了ISO/IEC17021（合格评定管理体系审核认证机构要求）和ISO/IEC27006（信息安全管理体系审核认证机构要求）的成熟范式，体现了国际标准化在合格评定领域的一贯方法论。二、标准概述2.1标准基本信息-标准编号：ISO/IEC20243-2:2023-英文名称：Informationtechnology-OpenTrustedTechnologyProvider™Standard(O-TTPS)-Part2:AssessmentproceduresfortheO-TTPS-中文名称：信息技术开放可信技术提供者™标准（O-TTPS）第2部分：O-TTPS的评估程序-发布日期：2023年11月24日-发布机构：国际电工委员会（IEC）与国际标准化组织（ISO）联合技术委员会（JTC1）-标准状态：现行-标准版本：第二版（替代ISO/IEC20243-2:2018）-国际标准分类（ICS）：35.030（IT安全）-适用对象：O-TTPS评估机构、技术提供者、供应链利益相关方2.2标准版本沿革ISO/IEC20243-2:2023是2023年发布的最新版本，取代了2018年的初版（ISO/IEC20243-2:2018）。本次修订主要反映了以下变化：第一，与O-TTPS第1部分（ISO/IEC20243-1:2023）的技术要求修订保持同步，确保评估程序与更新后的技术要求完全衔接；第二，吸纳了自2018年版本实施以来积累的行业实践经验，对评估过程中的关键环节进行了细化和优化；第三，响应了全球网络安全法规的最新发展，特别是欧盟《网络韧性法案》（CRA）和美国行政令14028对供应链安全评估提出的新要求。三、标准核心内容分析3.1适用范围与目标本标准规定了O-TTPS符合性评估的程序框架，适用于以下三种主要场景：-第一方评估（内部自评）：技术提供者依据本标准对其自身是否符合O-TTPS要求进行内部评估；-第二方评估（客户评估）：采购方或客户对技术提供者进行的符合性评估；-第三方评估（独立认证）：获得授权的独立评估机构对技术提供者进行的正式符合性评定。该标准适用于涉及信息技术产品设计、开发、制造、集成、交付和运维的各类型组织，包括但不限于硬件制造商、软件开发商、系统集成商和云服务提供商。3.2评估程序框架标准规定的评估程序涵盖以下关键阶段：（1）评估准备阶段评估准备阶段包含评估范围的确定、评估团队的组建、评估计划的制定和评估工具的准备工作。评估范围需清晰界定被评估的产品类型、组织边界和供应链环节。评估团队应具备相应的技术能力和独立性，第三方案例中评估人员还需持有相关资质认证。（2）文件评审阶段该阶段对技术提供者的相关政策、程序文件、技术文档和安全记录进行系统性审查，验证其与ISO/IEC20243-1:2023要求的符合性。文件评审是后续现场评估的基础，其深度和广度直接影响评估的整体效率。（3）现场评估阶段现场评估通过访谈、观察、抽样检测和技术验证等方式，对技术提供者的实际执行情况进行核查。标准特别强调对供应链完整性管理、安全开发实践、配置管理和漏洞管理等关键环节的深入评估。（4）评估报告与后续跟踪阶段评估完成后，评估机构需编制正式的评估报告，明确符合性判定结论和发现的不符合项。对于不符合项，标准要求制定纠正措施和跟踪验证机制。评估证书的有效期和持续监督要求也在此阶段加以明确。3.3评估方法要求ISO/IEC20243-2:2023在评估方法层面确立了以下核心原则：证据导向原则——评估结论必须以客观证据为基础，包括文档记录、系统日志、访谈记录、测试结果等可验证的材料。标准要求评估人员采用"基于风险"和"基于证据"的评估方法，确保结论的可追溯性和可重现性。风险驱动原则——评估活动的深度和广度应与被评估对象的供应链风险等级相匹配。对于高风险产品（如涉及关键基础设施或处理敏感数据的产品），评估要求更为严格，抽样比例更高。一致性原则——为确保不同评估机构之间评估结果的可比性，标准对评估程序、判定准则、报告格式等提出了统一要求。这一原则对于建立国际互认的O-TTPS认证体系至关重要。四、标准的技术要点与创新4.1供应链完整性的评估维度本标准将O-TTPS第1部分中的技术要求和最佳实践转化为可操作、可核查的评估指标。其评估维度涵盖以下八个关键领域：1.治理与安全管理：评估组织的信息安全治理架构、安全策略、风险管理机制和资源配置；2.供应链跟踪与溯源：评估从原材料采购、元器件供应到产品交付全链条的追踪能力和来源验证机制；3.安全开发实践：评估安全需求分析、安全设计、安全编码、安全测试等软件/硬件开发生命周期各环节的安全实践；4.配置管理与完整性：评估配置项的标识、变更控制、基线管理和完整性验证机制；5.交付与运营安全：评估产品在交付过程中防篡改、防替换、防假冒的保护措施；6.漏洞管理：评估漏洞发现、分析、修复和披露的全流程管理能力；7.事件响应与恢复：评估安全事件检测、响应、恢复和复盘改进的能力；8.持续改进与合规：评估组织在质量管理和安全能力方面的持续改进机制。4.2评估成熟度模型ISO/IEC20243-2:2023引入分级评估成熟度模型，使评估结果能够更加精准地反映技术提供者的可信性水平。该模型借鉴了CMMI（能力成熟度模型集成）的基本思想，将评估结论划分为多个成熟度等级，从"初始级"到"优化级"，为组织提供了阶梯式改进的路径指引。该成熟度模型的设计充分考虑到了不同规模、不同行业、不同风险等级组织的差异性需求。中小型技术提供者可以在满足基本要求的基础上，逐步向更高成熟度等级迈进。4.3评估工具与技术的更新2023版本充分反映了评估工具和技术的最新进展，包括对自动化评估工具的支持（如供应链安全自动化评估平台、安全配置核查工具等），对远程评估方法的认可（如基于加密视频的安全远程访谈和远程桌面审查），以及对持续监控和实时评估技术的重视。这些技术更新与后疫情时代全球供应链数字化、远程协同的发展趋势高度契合，也体现了国际标准化工作对技术前沿动态的快速响应能力。五、标准的意义与应用价值5.1对供应链安全治理的促进作用本标准为全球信息技术供应链安全治理提供了一套科学、规范、可操作的评估工具。通过统一的评估程序和判定准则，有效解决了此前各路评估体系并存、结果互不认可、市场碎片化的问题，降低了供应链上下游之间重复评估的成本。从国家层面来看，该标准为各国建立ICT供应链安全审查制度提供了重要的技术参考。对于关键信息基础设施的运营者而言，依据本标准开展供应链安全评估，可以有效降低因供应商安全实践不足而导致的安全风险。5.2对技术创新和产业发展的引导作用O-TTPS评估程序的标准化，为技术提供者设定了从"安全设计"到"可信交付"的全流程安全能力基线。这不仅是一种约束，更是一种引导——它激励企业将安全内化为产品研发和生产流程的内在属性，而非外挂的合规负担。同时，该标准推动了一批第三方评估机构的能力建设和市场培育，带动了供应链安全评估咨询、检测认证等专业服务的发展，形成了标准引领产业发展的良性生态。5.3在国际贸易与市场准入中的作用在全球化分工日益深入的今天，供应链安全标准正在成为国际贸易的"新门槛"。欧盟《网络韧性法案》已明确提出对重要数字产品实施基于国际标准的符合性评估要求。ISO/IEC20243-2:2023作为O-TTPS符合性评估的权威依据，正在成为全球ICT供应链安全认证体系的关键参考标准之一。对于希望进入国际市场的技术提供者而言，获得基于ISO/IEC20243-2的O-TTPS认证，不仅是自身安全能力的有力证明，更是在复杂的国际市场竞争中赢得客户信任的重要筹码。六、主要起草单位与标准化组织介绍6.1发布机构——ISO/IECJTC1本标准由ISO/IECJTC1（国际标准化组织/国际电工委员会第一联合技术委员会）发布。JTC1是国际标准化领域规模最大、最活跃的技术委员会之一，负责信息技术领域的国际标准化工作，其下设的SC27分技术委员会专注于信息安全、网络安全和隐私保护技术的标准化。ISO/IEC20243系列标准由JTC1/SC27/WG3（安全评估、测试与规范工作组）归口管理。6.2标准发起组织——TheOpenGroupTheOpenGroup（国际开放标准组织）是O-TTPS标准的发起者和原始制定方，也是本标准技术内容的核心贡献者。该组织成立于1996年，是一个全球性的产业联盟，拥有包括多家世界500强企业在内的900余个成员单位。TheOpenGroup以制定开放、中立的厂商无关技术标准而闻名，其旗下标准包括TOGAF（企业架构框架）、POSIX（可移植操作系统接口）等具有广泛国际影响力的标准。在O-TTPS标准制定过程中，TheOpenGroup组建了专门的O-TTPS论坛，汇聚了来自全球领先的ICT企业（如华为、戴尔、微软、富士通、日立等）的安全专家和供应链管理专家。该论坛负责O-TTPS标准的持续维护、技术更新和推广认证工作，为O-TTPS标准从最初的行业标准演进为ISO/IEC国际标准提供了坚实的技术和产业基础。6.3其他重要参与组织O-TTPS标准的制定和推广还得到了诸多国际组织和国家机构的积极参与和支持，包括美国国家标准与技术研究院（NIST）、国土安全部（DHS）下辖的网络安全与基础设施安全局（CISA）、日本经济产业省（METI）、韩国互联网振兴院（KISA）等。这些机构在标准的需求分析、技术完善和测试验证方面做出了重要贡献，反映了O-TTPS标准在服务国家供应链安全战略方面的国际共识。七、标准发展趋势与展望7.1与新兴技术的融合随着人工智能、物联网、区块链、零信任架构等新技术在ICT供应链中的应用不断深入，O-TTPS评估体系面临着持续演进的压力。未来的评估程序需要充分纳入对AI安全、量子安全密码、软件物料清单（SBOM）验证、可信执行环境（TEE）等新兴技术的评估能力，确保标准的技术前瞻性和适用性。7.2区域法规的对接与协调随着全球各主要经济体对ICT供应链安全的立法日趋完善——欧盟《网络韧性法案》（CRA）、美国《2022年芯片与科学法案》中的安全条款、中国的《网络安全法》《数据安全法》及《关键信息基础设施安全保护条例》——O-TTPS评估程序与各区域法规的对接和互认将成为未来发展的重要方向。标准的国际化属性使其有潜力成为连接各国监管框架的核心纽带。7.3数字化评估与智能化工具未来，O-TTPS评估程序将更加依赖数字化和智能化评估工具，包括基于大数据的风险评估模型、基于机器学习的异常检测方法、基于区块链的可信审计追踪等。这些技术的应用将显著提升评估的效率和准确性，降低人工评估中的主观偏差。7.4面向中小企业的适用性优化当前O-TTPS标准的评估要求对于大型企业而言已经比较成熟，但对于资源有限的中小型技术提供者来说仍存在一定的实施门槛。未来的标准修订方向将包括简化评估流程、引入分级评估机制、提供轻量化评估工具和更灵活的评估周期，以增强标准在市场中的普惠性和包容性。八、结论该标准的发布和实施，对于提升全球信息通信技术供应链的安全性和韧性、促进国际贸易中的信任建立、引导技术提供者系统性提升安全能力，具有重要的现实意义和深远的战略价值。随着全球网络安全形势的持续演变和各主要经济体对供应链安全监管的不断加强，O-TTPS评估程序标准必将在国际网络安全治理体系中发挥越来越重要的作用。我国应紧密跟踪该标准的演进动态，积极推动国内相关标准化工作与国际标准的衔接，鼓励国内优秀的技术提供者和评估机构参与国际标准化的深入合作，在贡献中国智慧的同时，切实维护国家ICT供应链安全和产业利益。参考文献[1]ISO/IEC20243-2:2023,Information