ISOIEC TS 95692023 信息安全、网络安全和隐私保护.IT安全评估标准.ISOIEC 15408系列和ISOIEC 18045的补丁管理扩展标准立项发展报告

信息安全、网络安全和隐私保护——IT安全评估标准——ISO/IEC15408系列和ISO/IEC18045的补丁管理扩展标准立项发展报告StandardizationDevelopmentReport:InformationSecurity,CybersecurityandPrivacyProtection-EvaluationCriteriaforITSecurity-PatchManagementExtensionfortheISO/IEC15408seriesandISO/IEC18045摘要随着全球信息化进程的不断深入，信息安全漏洞的频发与利用已成为各行业数字化转型过程中面临的重大挑战。补丁管理作为保障系统安全、降低漏洞风险的核心环节，其规范化评估需求日益迫切。然而，现有ISO/IEC15408系列标准（通用准则，CommonCriteria，简称CC）及ISO/IEC18045（CC评估方法论）在补丁管理的系统化评估方面尚存在技术空白，导致已认证产品在实际运营环境下难以有效评估其补丁全生命周期管理能力。为弥补这一标准化缺口，国际标准化组织（ISO）与国际电工委员会（IEC）联合制定了ISO/IECTS9569:2023技术规范，旨在为补丁管理过程提供统一的评估框架与要求扩展。本报告对该标准的立项背景、编制过程、核心内容、技术特征及产业应用价值进行了系统梳理与深度分析，并结合主要参与单位的技术贡献，对该标准的实施路径和未来发展趋势做出前瞻性评估，以期为相关组织和评估机构提供权威参考。关键词：补丁管理；ISO/IEC15408；ISO/IEC18045；IT安全评估；通用准则；技术规范；漏洞修复Keywords:PatchManagement;ISO/IEC15408;ISO/IEC18045;ITSecurityEvaluation;CommonCriteria;TechnicalSpecification;VulnerabilityRemediation一、引言1.1研究背景在网络安全威胁日趋复杂化的背景下，软件漏洞已成为攻击者最常利用的初始攻击向量之一。根据2023年国际上主要漏洞数据库的统计，年度公开披露的漏洞数量持续保持高位增长，其中高危与严重等级漏洞占比较高，而且从漏洞公开到被利用的平均时间窗口正在显著缩短。面对这一严峻态势，补丁管理作为漏洞修复和安全加固的核心实践，受到各类组织和监管机构的高度重视。然而，在信息安全产品评估领域，长期以来占据主导地位的ISO/IEC15408系列标准并未对补丁管理过程提出系统化、可评估的技术要求。该系列标准在第1部分至第5部分中涵盖了安全功能组件、安全保障组件及评估方法，但对产品生命周期中持续进行的补丁管理工作——包括补丁的发现、分类、测试、部署和验证等环节——缺乏明确的评估准则。这导致了两个突出问题：其一，经过CC认证的产品在投入运行后，其补丁管理操作缺少与认证要求相匹配的规范化约束；其二，评估机构在开展安全保障等级（EAL）评估时，难以对补丁管理相关活动提供一致、可复现的判定依据。1.2标准制定必要性在上述背景下，制定ISO/IECTS9569:2023的需求应运而生。该标准作为ISO/IEC15408系列的重要补充，旨在为补丁管理提供专门的技术扩展，填补了原有标准体系在动态安全维护环节的空白。具体而言，该标准的制定具有以下多重必要性：1.弥补标准体系结构性空白：ISO/IEC15408系列标准所关注的焦点集中于产品的设计与实现安全性，属于静态安全属性的评估范畴。而补丁管理涉及产品交付后持续运行与维护阶段的安全保障能力，本质上属于动态安全过程的管理范畴，需要专门的评估准则加以支撑。2.满足实际安全运营需求：在真实网络环境中，补丁管理能力直接决定了系统抵御已知漏洞利用攻击的有效性。如果缺少统一的评估要求，不同厂商的补丁管理和发布流程差异巨大，安全管理者难以对不同产品的补丁响应能力进行横向比较。3.适应合规与监管趋势：全球多个国家和地区已出台或正在制定针对供应链安全、软件物料清单及安全更新管理的法律法规。一个国际公认的补丁管理评估标准，有助于统一合格评定活动，降低合规成本，促进国际贸易。二、标准立项与编制过程2.1立项背景与发起ISO/IECTS9569:2023的研制工作由ISO/IECJTC1（信息技术联合技术委员会）下属的SC27（信息安全、网络安全和隐私保护分技术委员会）牵头推动。SC27作为信息安全领域国际标准化最核心的技术委员会，其工作范围涵盖安全技术、安全评估、安全管理、密码技术及隐私保护等多个方向，下设多个工作组（WG），其中负责通用准则相关工作的主要为WG3（安全评估准则工作组）。WG3在长期跟踪ISO/IEC15408系列标准实施反馈的过程中发现，多个成员国及其国家认证机构（如德国BSI、美国NIAP等）均提出了对补丁管理评估细则的需求。特别是在工业控制系统、关键信息基础设施、云平台等高安全需求场景中，评估机构和企业普遍反映需要一套统一的补丁管理评估扩展方案。2.2编制历程在ISO/IECTS9569:2023的编制过程中，WG3采取了严谨的技术研究流程。首先，工作组对多个既有评估实践进行了系统调研，包括美国NIAP的补丁管理补充要求、德国BSI针对CC的补充指引以及部分行业联盟的最佳实践。在此基础上，工作组形成了初步的技术框架草案。随后，草案在多个成员国和关联组织之间进行了多轮征求意见和讨论，广泛吸纳了来自政府部门、产业界、学术机构及检测实验室的意见。经过工作组会议的多轮审议与修改，最终于2023年11月28日由ISO/IEC正式发布，标准编号为ISO/IECTS9569:2023，标准性质为技术规范（TechnicalSpecification，TS）。相较于正式国际标准（IS），技术规范的发布流程更注重时效性和灵活性，能够更快响应产业界的紧迫需求，同时为后续升级为正式标准奠定基础。2.3标准定位该标准在ISO/IEC15408系列中定位为"补丁管理扩展"，其作用并非替代或修改既有标准的要求，而是在原有通用准则框架的基础上增加补丁管理相关的扩展要求集。这种"扩展"式标准编制模式既保障了与现有标准体系的兼容性，又能够有针对性地补足标准内容的缺口。三、标准主要内容3.1适用范围的界定ISO/IECTS9569:2023的适用范围主要涵盖以下对象：-评估对象（TOE）：涉及运行软件/固件的各类信息安全产品，包括但不限于操作系统、网络设备、安全设备（防火墙、入侵检测系统等）、物联网设备及云服务组件；-评估活动：针对补丁管理的全生命周期过程，包括补丁的获取、分析、验证、部署及后续验证等活动；-相关方：包括TOE开发方、补丁提供方（可能与开发方不一致）、评估机构以及TOE用户。3.2核心技术要求本标准的核心在于为补丁管理定义了一套结构化的安全要求，其内容逻辑如下：补丁管理策略与规程要求：标准要求组织（补丁提供方或TOE用户）应建立明确的补丁管理策略，规定补丁管理的角色与职责、补丁优先级划分规则以及异常情况下的应急处理程序。补丁获取与验证要求：确保障补丁来源可信、完整且经过验证。要求补丁提供方采用数字签名等机制确保补丁的完整性和来源真实性，并提供相应的验证信息供用户核验。补丁兼容性与影响分析要求：要求补丁在发布前经过充分的兼容性测试，明确补丁变更对TOE安全功能和保障措施的影响，发布时应附带详尽的变更说明和影响分析文档。补丁部署与回滚要求：规定补丁部署的过程要求，包括部署方式、时间窗口、回滚机制和失败恢复方案。确保在补丁导致异常情况时能够快速恢复原有运行状态。补丁管理记录与审计要求：要求补丁管理全过程保留充分的审计记录，包括补丁获取时间、验证结果、部署时间、部署人员及部署后验证结果等，以满足追溯审计需求。持续监控与更新机制要求：要求建立与威胁情报和漏洞信息的联动机制，能够持续跟踪新增漏洞及相应补丁的发布情况，并及时更新补丁管理策略和规程。此外，该标准还考虑了不同场景下的适用性——包括传统IT环境、云环境、工业控制系统环境以及资源受限的物联网设备环境，并针对不同场景在评估深度和严格程度方面做出了差异化安排。3.3与ISO/IEC15408系列和ISO/IEC18045的关联ISO/IEC15408系列标准包括：-ISO/IEC15408-1:简介和通用模型-ISO/IEC15408-2:安全功能组件-ISO/IEC15408-3:安全保障组件-ISO/IEC15408-4:安全要求规范的框架-ISO/IEC15408-5:安全要求规范的模板其中，ISO/IEC15408-3规定了一系列安全保障组件（如APC_类、ALC_类等），而补丁管理相关的要求主要归属于ALC（生命周期支持）类。然而，原有ALC类组件对补丁管理的覆盖范围有限，缺乏细粒度和可操作性的规定。ISO/IECTS9569:2023在此基础上增加了补丁管理所需的扩展组件要求，并为评估机构在依据ISO/IEC18045开展评估活动时提供了方法层面的延伸指引。值得注意的是，标准的正确实施需要ISO/IEC15408系列标准、ISO/IEC18045评估方法及ISO/IECTS9569:2023之间形成协同配套的关系。评估机构在开展CC评估时，应将ISO/IECTS9569:2023中定义的扩展要求融入原有评估流程中，确保补丁管理能力被纳入安全保障等级的判定范围。四、主要参与单位介绍：ISO/IECJTC1/SC27/WG3ISO/IECTS9569:2023的研制工作由ISO/IECJTC1/SC27/WG3承担。WG3（安全评估准则工作组）是CC系列标准的核心维护与研发单位，长期以来在信息安全产品评估标准化领域发挥着不可替代的作用。4.1WG3的组织定位与职能WG3的主要工作范围涵盖安全评估标准的设计、维护与推广，具体包括：-维护和改进ISO/IEC15408系列标准及ISO/IEC18045；-开发支持评估实践的相关标准和指南；-协调各成员国国家认证计划之间的标准实施一致性；-跟踪评估技术的发展趋势，尤其是漏洞分析、形式化方法和自动化评估等前沿方向。4.2WG3的重要贡献在ISO/IECTS9569:2023的制定过程中，WG3主要贡献包括：1.技术框架设计：WG3基于多年积累的CC标准实践经验，提出了补丁管理扩展的整体技术架构，将补丁管理要求合理地映射到ISO/IEC15408-3的保障组件结构中。2.国际协调与共识建立：WG3通过组织工作组会议、技术研讨会和成员国投票等方式，积极协调不同国家对补丁管理评估的差异化诉求，最终在技术规范中实现了较好的平衡和包容性。3.与评估实践的对接：WG3与各国认证机构保持密切沟通，确保标准要求具有实际操作性和可评估性，避免出现过度的抽象性而难以落地的问题。4.3WG3的运作模式WG3的日常工作以线下工作组会议和线上协作平台相结合的方式进行，每年定期召开工作组会议和临时技术会议。各成员国通过国家标准化机构派出代表参与WG3工作，同时业界企业、研究机构和检测实验室也以联络组织或观察员身份参与讨论。这种多元参与的运作模式保障了标准的广泛代表性和技术权威性。五、标准实施与应用展望5.1实施路径建议ISO/IECTS9569:2023作为技术规范发布后，其实际应用与推广需要多方协同推进：-认证机构层面：各国家认证机构（如中国网络安全审查认证和市场监管大数据中心、美国NIAP、德国BSI等）应将该技术规范纳入CC评估实践指南，制定配套的评估实施细则和报告模板。-检测实验室层面：各授权检测实验室应组织技术人员开展标准培训和能力建设，掌握补丁管理评估的技术要点，建立相应的评估工具和方法库。-产品开发方层面：信息安全产品开发商应参照该技术规范完善自身的补丁管理体系，形成从漏洞响应到补丁发布的标准化流程，主动将补丁管理能力作为产品竞争力的重要组成部分。-产品用户层面：关键信息基础设施运营者和大型企业用户可在采购和安全运维中引入该标准，将补丁管理能力评估结果作为产品选型和风险评估的重要参考依据。5.2产业应用场景该标准的应用场景涵盖但不限于以下领域：|应用场景|具体应用方式||---------|------------||政府采购与选型|将补丁管理能力纳入安全产品采购的技术评分指标||等级保护测评|在安全产品检测中增加补丁管理能力核验环节||云安全评估|用于评估云服务提供商补丁管理的成熟度和规范性||供应链安全管理|作为供应链上下游安全协作的统一参照框架||行业监管检查|为行业主管部门提供补丁管理合规检查的技术依据|5.3未来发展趋势展望未来，ISO/IECTS9569:2023的发布将产生深远的标准化效应。一方面，随着使用经验的积累和反馈的收集，该技术规范有望在未来升级为正式国际标准（IS），成为CC体系的标准组成部分。另一方面，伴随自动化补丁管理、基于人工智能的漏洞优先级分析、软件物料清单（SBOM）等技术的快速发展，补丁管理评估标准也需要持续迭代，以纳入更多新技术要素。同时，该标准的落地实施将与各主要经济体的网络安全法律法规形成协同效应。例如，欧盟《网络弹性法案》（CyberResilienceAct）对数字产品的安全更新提出了明确的法律要求，而ISO/IECTS9569:2023所提供的评估框架可为该法案的技术实施提供重要的标准化支撑，形成"法规–标准–合格评定"的完整闭环。六、结论ISO/IECTS9569:2023作为ISO/IEC15408系列标准体系在补丁管理领域的重要扩展，填补了信息安全产品评估中动态安全维护能力的标准化空白。该标准的发布标志着国际信息安全评估标准化从"静态安全属性"向"全生命周期安全能力"迈出了关键一步。我们建议相关的标准化研究机构、安全产品厂商、检测评估机构和行业主管部门密切关注该标准的发展动向，尽早开展标准的研究、试点和应用工作，结合我国网络安全法、数据安全法和关键信息基础设施安全保护条例等法律法规的要求，推动该标准在中国的落地实施，为我国网络安全产业的健康发展提供有力的标准化支撑。参考文献[1]ISO/IECTS9569:2023,Informationsecurity,cybersecurityandprivacyprotection-EvaluationcriteriaforITsecurity-PatchManagementExtensionfortheISO/IEC15408seriesandISO