【文章內(nèi)容簡介】 作。 TC8現(xiàn)設(shè)有 4個(gè)工作組有線網(wǎng)絡(luò)安全（ WG1）、無線網(wǎng)絡(luò)安全（ WG2）、安 全管理（ WG3）、安全基礎(chǔ)（ WG4），另外還設(shè)有安全防護(hù)標(biāo)準(zhǔn)和綠色上網(wǎng)標(biāo) 準(zhǔn) 2個(gè)特設(shè)項(xiàng)目組。 信息產(chǎn)業(yè)部電子工業(yè)標(biāo)準(zhǔn)化研究所 China Electronic Standardization Insititute 三、信息安全標(biāo)準(zhǔn) 體系 軍用標(biāo)準(zhǔn)政 府 用 （ 保 密 C L S ） 標(biāo) 準(zhǔn)商 用 （ 非 密 U N C L S ） 標(biāo) 準(zhǔn)密碼標(biāo)準(zhǔn)3. 信息安全標(biāo)準(zhǔn)體系 課題目標(biāo) 至今，在世界范圍內(nèi)尚未形成統(tǒng)一的、公認(rèn)的標(biāo)準(zhǔn)體系結(jié)構(gòu)。但是許 多國家、不同部門都在研究自身的信息安全標(biāo)準(zhǔn)體系結(jié)構(gòu)。 ?（ 1）美國的體系結(jié)構(gòu) 3. 信息安全標(biāo)準(zhǔn)體系 WG1 需求安全服務(wù)與指南標(biāo)準(zhǔn) （ 22項(xiàng) ） WG2 安全技術(shù)和機(jī)制標(biāo)準(zhǔn) （ 45項(xiàng) ） WG3 系統(tǒng)和產(chǎn)品安全評(píng)估與認(rèn)證標(biāo)準(zhǔn) （ 15項(xiàng) ） I S O JTC/SC27 ISOJTC/SC27 （ 2） ISO標(biāo)準(zhǔn)體系結(jié)構(gòu) （截止到 2023年底） 3. 信息安全標(biāo)準(zhǔn)體系 實(shí)體安全（ A） 環(huán)境安全（ A10） 設(shè)備安全（ A20） 媒體安全（ A30） 運(yùn)行安全（ B） 風(fēng)險(xiǎn)分析（ B10） 審計(jì)跟蹤（ B20） 備份與恢復(fù)（ B30） 應(yīng)急（ B40） 應(yīng)急計(jì)劃輔助軟件（ B41） 應(yīng)急設(shè)施（ B42） 信息安全（ C） 操作系統(tǒng)安全（ C10） 安全操作系統(tǒng)（ C11） 操作系統(tǒng)安全部件（ C12） 數(shù)據(jù)庫安全（ C20） 安全數(shù)據(jù)庫系統(tǒng)（ C21） 數(shù)據(jù)庫系統(tǒng)安全部件（ C22） 網(wǎng)絡(luò)安全（ C30） 網(wǎng)絡(luò)安全管理（ C31） 安全網(wǎng)絡(luò)系統(tǒng)（ C32） 網(wǎng)絡(luò)系統(tǒng)安全部件（ C33） （ 3） GA1631997關(guān)于計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品分類原則 3. 信息安全標(biāo)準(zhǔn)體系 （ 4）一種信息安全產(chǎn)品與標(biāo)準(zhǔn)體系結(jié)構(gòu)草案 網(wǎng)絡(luò)通信安全類 內(nèi)容安全類 身份鑒別類 基礎(chǔ)平臺(tái)與中間 應(yīng)用安全類 惡意代碼防治類 監(jiān)控與審計(jì)類 密碼基礎(chǔ)類 安全隔離類 1密碼設(shè)備類 數(shù)據(jù)安全類 1密碼模塊類 3. 信息安全標(biāo)準(zhǔn)體系 （ 5）一種基于通用標(biāo)準(zhǔn)體系結(jié)構(gòu)的信息安全標(biāo)準(zhǔn)體系結(jié)構(gòu) 國際級(jí) 區(qū)域級(jí) 企業(yè)級(jí) 國家級(jí) 行業(yè)級(jí) 地方級(jí) 產(chǎn)品 系統(tǒng) 人員 服務(wù) 事件 對(duì)象 基礎(chǔ) 技術(shù) 工作 管理 內(nèi)容 我國信息安全標(biāo)準(zhǔn)體系 信息安全技術(shù)標(biāo)準(zhǔn)體系框架 信息安全技術(shù)標(biāo)準(zhǔn)從總體上可劃分為六大類：基礎(chǔ)標(biāo)準(zhǔn)、技術(shù)與機(jī)制標(biāo) 準(zhǔn)、管理標(biāo)準(zhǔn)、測(cè)評(píng)標(biāo)準(zhǔn)、密碼技術(shù)標(biāo)準(zhǔn)和保密技術(shù)標(biāo)準(zhǔn)，在每一大類的基 礎(chǔ)上，可按照標(biāo)準(zhǔn)所涉及的主要內(nèi)容進(jìn)行細(xì)分。信息安全技術(shù)標(biāo)準(zhǔn)體系總體 框架如圖所示。 信 息 安 全 技 術(shù) 標(biāo) 準(zhǔn) 體 系管理標(biāo)準(zhǔn)測(cè)評(píng)標(biāo)準(zhǔn)技術(shù)與機(jī)制標(biāo)準(zhǔn)基礎(chǔ)標(biāo)準(zhǔn)密碼技術(shù)標(biāo)準(zhǔn)保密技術(shù)標(biāo)準(zhǔn)圖 信息安全技術(shù)標(biāo)準(zhǔn)體系總體框架 我國信息安全標(biāo)準(zhǔn)體系 標(biāo)準(zhǔn)體系介紹 基礎(chǔ)標(biāo)準(zhǔn) ： 基 礎(chǔ) 準(zhǔn) 體安 全 術(shù) 語安 全 術(shù) 語框 架模 型圖 基礎(chǔ)標(biāo)準(zhǔn)體系框架 我國信息安全標(biāo)準(zhǔn)體系 我國信息安全標(biāo)準(zhǔn)體系 我國信息安全標(biāo)準(zhǔn)體系 技術(shù)與機(jī)制標(biāo)準(zhǔn) 技 術(shù) 與 機(jī) 制 標(biāo) 準(zhǔn)標(biāo) 識(shí) 與 鑒 別 授 權(quán) 與 訪 問 控 制 物 理 安 全實(shí) 體 管 理圖 技術(shù)與機(jī)制標(biāo)準(zhǔn)體系框架 技術(shù)與機(jī)制標(biāo)準(zhǔn)包括標(biāo)識(shí)與鑒別、授權(quán)與訪問控制、實(shí)體管理和物理安 全技術(shù)標(biāo)準(zhǔn)，體系框架如圖所示。 我國信息安全標(biāo)準(zhǔn)體系 我國信息安全標(biāo)準(zhǔn)體系 我國信息安全標(biāo)準(zhǔn)體系 我國信息安全標(biāo)準(zhǔn)體系 我國信息安全標(biāo)準(zhǔn)體系 管 理 標(biāo) 準(zhǔn)管 理 基 礎(chǔ) 管 理 要 素 工 程 與 服 務(wù)管 理 支 撐 技 術(shù)圖 信息安全管理標(biāo)準(zhǔn)體系框架 信息安全管理標(biāo)準(zhǔn) ： 技術(shù)與機(jī)制標(biāo)準(zhǔn)包括標(biāo)識(shí)與鑒別、授權(quán)與訪問控制、實(shí)體管理和物理安 全技術(shù)標(biāo)準(zhǔn)，體系框架如圖所示。 我國信息安全標(biāo)準(zhǔn)體系 我國信息安全標(biāo)準(zhǔn)體系 信息安全測(cè)評(píng)標(biāo)準(zhǔn) ： 信息安全測(cè)評(píng)標(biāo)準(zhǔn)包括測(cè)評(píng)基礎(chǔ)標(biāo)準(zhǔn)、產(chǎn)品測(cè)評(píng)標(biāo)準(zhǔn)和系統(tǒng)測(cè)評(píng)標(biāo)準(zhǔn)， 信息安全測(cè)評(píng)標(biāo)準(zhǔn)體系框架如圖 。如圖所示。 測(cè) 評(píng) 標(biāo) 準(zhǔn)測(cè) 評(píng) 基 礎(chǔ) 產(chǎn) 品 測(cè) 評(píng) 系 統(tǒng) 測(cè) 評(píng) 我國信息安全標(biāo)準(zhǔn)體系 我國信息安全標(biāo)準(zhǔn)體系 密 碼 技 術(shù) 標(biāo) 準(zhǔn)基 礎(chǔ) 標(biāo) 準(zhǔn) 管 理 標(biāo) 準(zhǔn) 技 術(shù) 標(biāo) 準(zhǔn)密碼產(chǎn)品設(shè)備密碼應(yīng)用管理接口密碼應(yīng)用服務(wù)系統(tǒng)密碼核芯片密碼管理密碼協(xié)議密鑰配用密碼檢測(cè)評(píng)估密碼算法配用密碼術(shù)語密碼算法密鑰 我國信息安全標(biāo)準(zhǔn)體系 保 密 技 術(shù) 標(biāo) 準(zhǔn)管 理 標(biāo) 準(zhǔn)實(shí)驗(yàn)室要求涉密信息系統(tǒng)管理電子文件管理技 術(shù) 標(biāo) 準(zhǔn)涉密信息消除和介質(zhì)銷毀信息安全保密產(chǎn)品技術(shù)要求和測(cè)試方法涉密信息系統(tǒng)技術(shù)要求和測(cè)評(píng)其它技術(shù)標(biāo)準(zhǔn)電磁泄漏發(fā)射防護(hù)和檢測(cè)信息產(chǎn)業(yè)部電子工業(yè)標(biāo)準(zhǔn)化研究所 China Electronic Standardization Insititute 四、主要信息安全 標(biāo)準(zhǔn)介紹 BS7799系列（ ISO/IEC 27000系列） ?BS7799 Part 1的全稱是 Code of Practice for Information Security，也即為信息安全的實(shí)施細(xì)則。 2023年被采納為 ISO/IEC 17799，目前其最新版本為 2023版，也就是 ISO 17799: 2023。ISO/IEC 17799:2023 通過層次結(jié)構(gòu)化形式提供安全策略、信息安全的組織結(jié)構(gòu)、資產(chǎn)管理、人力資源安全等 11個(gè)安全管理要素，還有 39個(gè)主要執(zhí)行目標(biāo)和 133個(gè)具體控制措施（最佳實(shí)踐），供負(fù)責(zé)信息安全系統(tǒng)應(yīng)用和開發(fā)的人員作為參考使用，以規(guī)范化組織機(jī)構(gòu)信息安全管理建設(shè)的內(nèi)容。 ?BS7799 Part 2的全稱是 Information Security Management Specification，也即為信息安全管理體系規(guī)范，其最新修訂版在 05年 10月正式成為 ISO/IEC 27001:2023， ISO/IEC 27001是建立信息安全管理體系（ ISMS）的一套規(guī)范，其中詳細(xì)說明了建立、實(shí)施和維護(hù)信息安全管理體系的要求，可用來指導(dǎo)相關(guān)人員去應(yīng)用 ISO/IEC 17799，其最終目的，在于建立適合企業(yè)需要的信息安全管理體系（ ISMS）。 ISO/IEC TR 13335系列 ISO/IEC TR 13335系列標(biāo)準(zhǔn)（舊版）－ GMITS，由 5部分標(biāo)準(zhǔn)組成： ?ISO/IEC133351:1996《 IT安全的概念與模型》 ?ISO/IEC133352:1997《 IT安全管理與策劃》 ?ISO/IEC133353:1998《 IT安全管理技術(shù)》 ?ISO/IEC133354:2023《防護(hù)措施的選擇》 ?ISO/IEC133355:2023《網(wǎng)絡(luò)安全管理指南》 目前， ISO/IEC 133351:1996 已經(jīng)被新的 ISO/IEC 133351:2023（ MICTS 第 1部分：信息和通信技術(shù)安全管理的概念和模型）所取代，ISO/IEC 133352:1997也將被正在開發(fā)的 ISO/IEC 133352（ MICTS 第 2 部分：信息安全風(fēng)險(xiǎn)管理）取代。 ISO/IEC TR 13335 只是一個(gè)技術(shù)報(bào)告和指導(dǎo)性文件，并不是可依據(jù)的認(rèn)證標(biāo)準(zhǔn)，信息安全體系建設(shè)參考 BS 7799，具體實(shí)踐參考 ISO TR 13335。 SSECMM SSECMM (System Security Engineering Capability Maturity Model)模型是 CMM在系統(tǒng)安全工程這個(gè)具體領(lǐng)域應(yīng)用而產(chǎn)生的一個(gè)分支，是美國國家安全局 (NSA)領(lǐng)導(dǎo)開發(fā)的，是專門用于系統(tǒng)安全工程的能力成熟度模型。 SSECMM第一版于 1996年 10月出版， 1999年 4月， SSECMM模型和相應(yīng)評(píng)估方法 。 系統(tǒng)安全工程過程一共有三個(gè)相關(guān)組織過程： ?工程過程 ?風(fēng)險(xiǎn)過程 ?保證過程 共分 5個(gè)能力級(jí)別， 11個(gè)過程區(qū)域： ?基本執(zhí)行級(jí) ?計(jì)劃跟蹤級(jí) ?充分定義級(jí) ?量化控制級(jí) ?持續(xù)改進(jìn)級(jí) 2023年被國際標(biāo)準(zhǔn)化組織采納成為國際標(biāo)準(zhǔn)即 ISO/IEC 21827:2023《信息技術(shù)系統(tǒng)安全工程－成熟度模型》。 SSECMM 和 BS 7799 都提出了一系列最佳慣例，但 BS 7799 是一個(gè)認(rèn)證標(biāo)準(zhǔn)（第二部分），提出了一個(gè)可供認(rèn)證的 ISMS 體系，組織應(yīng)該將其作為目標(biāo)，通過選擇適當(dāng)?shù)目刂拼胧ǖ谝徊糠郑┤?shí)現(xiàn)。而SSECMM 則是一個(gè)評(píng)估標(biāo)準(zhǔn)， 適合作為評(píng)估工程實(shí)施組織能力與資質(zhì)的標(biāo)準(zhǔn) 通用標(biāo)準(zhǔn) CC(ISO/IEC 15408) 我們通常所稱的通用標(biāo)準(zhǔn)或通用準(zhǔn)則（ Common Criteria，簡稱 CC）是指 ISO/IEC15408:1999標(biāo)準(zhǔn)。目前 CC標(biāo)準(zhǔn)的最新版本是 ； 版在 1999年成為國際標(biāo)準(zhǔn) ISO/IEC15408:1999；我國在 2023年等同采用為國家標(biāo)準(zhǔn) GB/T 18336－ 2023。 CC標(biāo)準(zhǔn)由三個(gè)部分組成： ?GB/T － 2023 idt ISO/IEC154081:1999 信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第 1部分：簡介和一般模型 ?GB/T － 2023 idt ISO/IEC154082:1999 信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第 2部分：安全功能要求 ?GB/T － 2023 idt ISO/IEC154083:1999 信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第 3部分：安全保證要求 與 BS7799 標(biāo)準(zhǔn)相比， CC 的側(cè)重點(diǎn)放在系統(tǒng)和產(chǎn)品的技術(shù)指標(biāo)評(píng)價(jià)上，BS7799 在闡述信息安全管理要求時(shí)，并沒有強(qiáng)調(diào)技術(shù)細(xì)節(jié)。因此，組織在依照 BS7799 標(biāo)準(zhǔn)來實(shí)施 ISMS 時(shí)，一些牽涉系統(tǒng)和產(chǎn)品安全的技術(shù)要求，可以借鑒 CC 標(biāo)準(zhǔn)。 ITIL和 BS15000 ITIL的全稱是信息技術(shù)基礎(chǔ)設(shè)施庫（ Information Technology Infrastructure Library）。 I