【国家标准(GB)】 信息安全技术 信息系统安全保障评估框架 第一部分：简介和一般模型

ICS 35. 040
中华人民共和国国家标准
GB/T20274.1--2006
信息安全技术
信息系统安全保障评估框架
第1部分：简介和一般模型
Information security technology-Evalualion framework for information systems security assurance-Part 1: Introduction and general model2006-05-31发布
中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会
2006-12-01实施
061205000028
0.1信息系统安全保障的含义
).2信总系统安全保障评估框架的缩制日的和意义*1范国
2规范性引用文件
3术语、定义和缩略语·
术语和定义
3.2缩略语
信息系统安全保障评估框架的目标读者评估上下文
信息系统安全保障评估框架的文档结构般模型
安全保障上下文
信息系统安全保障评估
ISPP和 TSST的生成
5.5信息系统安全保障描述材料·5信息系统安牟保障评估和评估结果6.1
1SPP(信息系统保护轮廓)和 ISST(倍息系统安全目标)的要求TOE的要求
6.1评估结果的声明·
6.5TOE评循结果的应用
附录A（规范性附录）信息系统保护轮廊概述
信息系统保护轮廓内容
内容和表述
TOE描述….
TOF安全环境
安全保障目的
信息系统安全保障要求
ISPP应用注解
符台性市明
附录B（规范性附录）信息系统安全目标规范YY KAONr KAca
GB/T 20274. 1—2006
GB/T 20274,1—2006
信息系统安全日标内容
内容和形式
ISST引言
TOE描述
TOE安全环境
安全保障目的
安全保障要求
TOE概要规范
ISPP声明
符合性声明
附录（（资料性附录）
信息系统描述
信息系统描述规范
信息系统描述说明
附录ID（资料性附录）信息系统安全保障级说明D.1
信息系统使命分类
信息系统威胁分级
信息系统安全保障级(ISAL)矩阵D.5
信息系统安全保障级(ISAL)分级要求参考文献·
评估上下文
信息系统安全概念和关系
信息系统安全保障模型·
信息系统安全保障生命周期的安全保障要素，信息系统安全保障评估概念和关系信息系统安全保障评估说明
信息系统安全保障评估整体和应用ISPP和ISST的生成过程
安全保障控制要求的组织和结构图10
安全保障要求的应用
评钻结果
信息系统保护轮廊内容
图B.1信息系统安全日标内容
信息系统安全保障评估的信息系统描述规范信息系统技术参考模型
信息系统安全管理能力成熟度级要求示例图图 D.2
某信息系统安全工程能力成熟度级要求示例图表1
信息系统安全保障评估框架使用指南24
信息系统使命分类示例
表 D.2信息系统威胁分类示例
表D.3信息系统安全保障级矩阵示例表D.4
信息系统安全保障级要求示例
YYKAONTKAca
GB/T 20274. 1—2006
..........
GB/T20274信息安全技术
信息系统安全保障评估框架》分为四个部分：第1部分简介和般模型
第2部分：技术保障
第3部分：管理保障
二、第4部分：工程保障
本部分的附录A和附录B为规范性附录，附录C和附录D为资料性附录。本部分由全国信息安全标准化技术委员会提出并归口。本部分起草单位：中国信息安全产品测评认证中心。-YKANrKAca
CB/T20274.1—2006
本标准主要起草人：吴世忠、工海生、陈晓桦，干贵驷、李守鹏、江常青、影勇、张利、班晓芳、李静、王庆，邹琪，钱伟明、江典盛、陆丽、姚轶薪、孙或吴、门雪松、杜字鸽、杨再山：GB/T 20274. 1—2006
0.1信息系统安全保障的含义
信息系统安全保障是在信息系统的整个生：命周期中，避过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提山安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现红织机构的使命。信息系统安全保障涵盖以下元个方面：
a）信息系统安全保障应贯穿信息系统的整个生命周期，包括规划组织开发采购、实施交付、运行维护和废充5个阶段，以获得信息系统安全保障能力的持续性。b）信息系统安全保障不仅涉及安全技术，还应综合考患安全管理，安全工程和人员安全等，以个面保障信息系统安全。在安全技术上，不仅要考虑其体的产品和技术，更要考信息系统的安全技术体系架构；在安全管理士，不仪要考虑基木安全管理实践，更要结合组织的特点建立相应的安全保障管理体系.形成长效和持续改进的安全管埋机制：在安全工程上，不仅要考虑信息系统建设的最终结果，更要结合系统工程的方法，注重工程过程务个阶段的规范化实施；在人员安全上，要考虑与借总系统相关的所有人员包括规划者、设计著，管理者、运营继护著、评者，用者等的要全意识以及安全专业技和能打等，c）信息系统安全保障是基于过程的保障。通过风险识别、风险分析、风险评估、风险控制等风险管理活动，降低信息系统的风险，从而实现信息系统安全保障，d）信息系统安全保障的目的不仅是保护信息和资产的安全，更重要是通过保障信息系统安全保障信息系统所支持的业务的安全，从而达到实现组织机构使命的月的e）信息系统安全保障足主观和客观的结合。通过在技术,管埋、工程和人员方面客观地评估安全保障措施，向信息系统的所有者提供其现有安金保障工作是否满是其安全保障目标的信心。因此，它是一种通过客观证据向信总系统所有者提供主观信心的活动，是主观和客观综合评估的结果，
f）保障信息系统安全不仅是系统所有名白身的职责，前任需要社会各方参与，包括电信、电力、国家信安全基础设施等提供的支撑，保障信息系统安全不仅要满足系统所有者白身的安全需求，而几要满足国家相关法律、政策的要求，包括为其他机构或个人提供保密、公共安全和国家安企等社会帜责。
0.2信息系统安全保障评估框架的编制自的和意义本标准不仅可以作为信息系统安全保障评估的基础标准，也可以为从事信息系统安全保障工作的所有相关方(包括设计开发者、工程实施者、评估者、认证认可著等)提供种标准化、规范化的通用描述语言、结构和方法。本标准是G3/T18336一2001在信息系统领域的展利补充，它是以GB/T18336一2001为基础.吸收其科学方送和结构.将GB/T8336一2(0从品和品系统扩展到信息技术系统，并进--步同其他国内外信息系统安金领域的标准和规范逊行结合、扩展和补充，以形成描述和评估信息系统安全保障内容和能小的通用框架。在不标准中，信息系统作为评站对象，不仅涉放具体产品和产品系统，而且还包含信息系统运行环境的管理、工程等，是用工来集、处理、俘储、传输、分发和部署信息的整个基础设施、组织结构、人员等的总和。本标准属丁信息系统安全保障的基础性和框架性标准，定义了信息系统安金保障的主要的通用要求，制定此标准的意义在于：
-YYKAONrKAca
GB/T 20274. 1—2006
a）为信息系统安全的设计、实施、建设、测评，审核提供规范的、通用的描述语言。b）有利于信息系统所有者编制其信息系统的安全保障要求。有利于信息系统安全集成商和安全服务提供商提供更为科学规范化的设计和服务，促进信息安牟市场的发展。
有利于有关行政管理部门」、执法机构、测评认证机构对信息系统进行安全检查、检测、审计，评估和认证。
1范围
信息安全技术
信息系统安全保障评估框架
第1部分：简介和一般模型
GB/T20274.1—2006
GB/T20274捕述了信息系统安全保障的模型，建了信息系统安全保障的框架，从信息系统安全技术、管理和工程三方面制定了信息系统的通用安全保障要求。GB/T20274的本部分给出了信息系统安全保障的基本概念和模型，并建立了信息系统安全保障框架。
本部分适用于从事信息系统安全保障工作证认可者等。
本部分不适用丁以卡方面
相关方，包括设计开发者、工程实施者、评估者、认a）人员技能和能力的评估，但对人员安全的要求在管理保障中体现：b）系统评估方法学；
c）密码算法固有质量的评价。
2规范性引用文件の
下列文件中的条款通过GB/T20274的本部分的引用而成为本部分的条款！凡是注日期的引用文
件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本，凡是不注日期的引用文件，其最新版本适用于本部分。
GB/T9387.200995信息处理系统开放系统互连基本参考模型第2部分：安全体系结构
(idt ISO7498-2:1989
GB/T18336
200信息技术安全技术信息技术安全性评估准则（idtIS0/IEC15408：1999）3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本部。
访问控制
access control
防止对资源的未授权使用，包括防止以未授权方式使用某一资源。GB/T9837.2—1995,3.3.1]
Eaccountability
可追究性
这样一种性质，它确保一个实体的作用可以被独一无二地跟踪到该实体。[GB/T 9837.21995.3.3.3]
资产asset
信息系统安全策略中所保护的信息或资源。GB/T 20274. 1-2006
[GB/T 18336. 1—2001,3, 3,1
攻击attack
-YYKAONTKAca
在信息系统中一种绕过安金控制的行为，攻击成功与否取决于信息系统的脆弱性以及现有对策的有效性。
审计aadit
为了测试出系统的控制是否足够，为了保证与已建立的策略和操作堆积相符合，为了发现安全中的漏洞，以及为厂建议在控制、策略和堆积中作任何指定的改变，而对系统记录与活动进行的独立观察和考核。
G13/T 9837,2—1995,3, 3. 5]
鉴别authentication
验证实体所声称的身份。
授权authorization
授予权限，包括允许基于访问权的访间。: CB/T 9837.2—1995.3. 3. 103. 1. 8
authorized user
授权用户
依据安全策略可以执行某项操作的用户。[GB/T 18336, 1—2001,3. 3. 7]3. 1. 9
availability
可用性
根据授权实体的请求可被访问与使用。[GB/T 9387.2—1995,3, 3, 11]3.1.10www.bzxz.net
computing environment
计算环境
整个信息系统、网络或组件运行的环境，包括物理环境、管理规则、人员工作程序以及与其他系统的通信和网络连接。
保密性confidentiality
这一性质使信息不泄露给非授权的个人、实体或进程，不为其所用。[GB/T 9837.2—1995,3.3.161
配置管理
configuratlon management
在整个系统生命周期中通过控制硬件、软件、固件、文档、测试、测试设备和测试文档的变化来管理安全功能和保证措施。
information systems securlty assurance; ISSA信息系统安全保障
在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性，完整性和可用性，降低安全风险到可接学的程度，从而保障系统实现组织机构的使命。2
信息系统information systems;ISGB/T 20274. 1—2006
用于采集、处理、存储、传输、分发和部署信息的整个础设施、组织结构、人员和组件的总和，3.1.15
信息系统安全information systems security:INFOSEC通过使用合理的安全控制措施保护在储、处理或传输等过程中的信息不被未授权用户访问，并保证授权用户能够正常使用系统。3.1.16
信息技术系统 infurmation technology systems; I Systems用于采集、创建.通信、诈算、分发、处理、存储和/或控制数据或信息的计算机硬件、软件和/或固件的任何组价，在信息系统中执行组织机构信息功能，3. 1. 17
完整性integrity
这一性质表明数据没有遭受以非授权方式所作的篡改或破坏。[GB/T 9837. 2—1995,3. 3. 31]3.1.18
抗抵赖性Don-repudiation
证明一个行动或事件已经发生的能力，以便以后不能抵赖此事件或行动。3.1.19
风险risk
威胁利用资产或一组资的脆弱性对组织机构造成伤害的潜在可能。3.1.20
风险分析risk analysis
估算风险大小的系统化的过程。3. 1.21
风险管理risk management
以叮接收的成本，标识、控制、减少或最小化那些可能影响信息系统的安全风险的过程。3.1.22
安全securily
一种基于建立和保持保护措施的状态，以确保处于一种不被敌对行为或影响所侵犯的状态。3.1.23
安全体系结构security architecture安全组件或部件之间如何构成一个相互协作的系统规则或方式。3.1.24
安全域securitydomain
遵守相同的安全策略的用户和系统的集合。3.1.25
安全策略securitypolicy
组织机构为保障其运转而规定的荞干安全规则、过程、规范和指南。[GB/T 18336.12001,3.3.29]
注：全策略使用G13/T 1833%.1一2051.3.3.29中组织安全策略的定义。3
GB/T20274.1—2006
信息系统安全保障级informationsystemsassurancelevel，ISALYY KAONr KAca
通过综合技术、管理和工程等安全机制所推荐的对抗各种安全威胁的保护组织机构信息和信息资产来保障组织机构使命的强度和保障度级别。3. 1.27
威胁threat
能够通过未授权访问、毁坏、揭露、数据修改和/或拒绝服务对系统造成潜在危害的任何环境或事件。
脆弱性
yulnerability
在信息系统、系统安全程管埋控制，物理设计、内部控制或实现中的，可能被攻士者利用来获得未授权的信息或破坏关键处理的弱点3.2缩略语
下列缩略语适用丁不标准
通用准则（CommonCriteria）
评估保证级别（EvaluationAssuranceLevel）信息系统（In
CormationSysten
信息系统安全保障级（Inform
TCML：安全
uranceLevel)
朵能力成熟度级（SecurityTechniqueCapabilityMaturityLevel）管理能力成熟度级（SeeurityManagementCapabiliyMaturityLeve)）MCMI：安全
工程能力成熟度级（SccurityEngineeringCapabilityMaturityECML：安全
信息系统保护轮廊（InformationSystensProtectionProfilc）ISPP:
TOE：
4概述
信息系统安全目标（InformationSystemsSecurityTarget）信息技
(Information Technology)
安全技术要求（SccurityTechnique Requirements安全智理要求（SecurityManagement Requiremcnts)安全工程要求（SccurityEngineeringRequirements）(System Robustness Level)
系统健壮程
评估对象（TargtofEvaluation）本章介绍信息系统安全保障评估框渠的主要概念，确定日标读者评估环境和文档结构。4.1引言
信息安全的目标是为了保证信息的保密性、完整性和可用性，信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。4.2信息系统安全保障评估框架的目标读者4.2.1概述
本标准的读者主要有三类，包括：信息系统的所有者或用户、信息系统的开发者和信息系统的评估者。本标准从内容和结构上支持所有三个方面的需求，他们是本标准的主要使用者。正如下文所述，他们都能从本标准中受益。
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。