信息技術(shù)安全評(píng)估準(zhǔn)則CC與等級(jí)保護(hù)分析

摘 要：本文首先簡(jiǎn)要分析了CC的基本范圍，探討了其評(píng)估、組織、安全概念，最后剖析了CC當(dāng)中安全需求的具體描述方法，望能為此領(lǐng)域研究有所借鑒。

關(guān)鍵詞：信息技術(shù)安全;評(píng)估準(zhǔn)則;CC;等級(jí)保護(hù)

早在上個(gè)世紀(jì)90年代初，諸如ITSEC、TCSEC等信息技術(shù)安全評(píng)估準(zhǔn)則的發(fā)起、組織便開始緊密融合，把各自的準(zhǔn)則以一種合理方式，組合成一個(gè)可以廣泛使用且獨(dú)立的IT安全準(zhǔn)則。此行動(dòng)被業(yè)內(nèi)形象的稱之為CC項(xiàng)目，其主要目的就是將原先標(biāo)本當(dāng)中的基本概念、技術(shù)差異解決掉，且將最終結(jié)果當(dāng)作開發(fā)過(guò)程中的國(guó)際標(biāo)準(zhǔn)，向ISO提交?，F(xiàn)階段，CC在我國(guó)已經(jīng)成為等級(jí)保護(hù)制度制定的重要參考準(zhǔn)則，本文就此作一探討。

1.CC的基本范圍

CC將人為帶來(lái)的信息威脅作為考慮的重點(diǎn)，不管其有意、無(wú)意，均作為重點(diǎn)考慮對(duì)象;但需要指出的是，CC還可以用作那些不是人為因素所造成的威脅。CC對(duì)于那些軟、固、硬件所實(shí)現(xiàn)的信息技術(shù)安全措施比較適用，而部分內(nèi)容中包含一些特殊專業(yè)技術(shù)，所以，并不在此架構(gòu)當(dāng)中，比如：（1）CC未囊括那些無(wú)關(guān)于信息技術(shù)安全措施，且屬行政性管理安全措施范疇內(nèi)的安全評(píng)估準(zhǔn)則。而在TOE所對(duì)應(yīng)的運(yùn)行環(huán)境當(dāng)中，此類管理安全措施被當(dāng)作是TOE安全使用的重要支撐與前提條件;（2）CC不專門評(píng)估信息技術(shù)安全性架構(gòu)當(dāng)中的物理方面，比如電磁輻射控制等;（3）CC不包含評(píng)估方法學(xué)的內(nèi)容，也無(wú)用于評(píng)估機(jī)構(gòu)的CC管理模式。（4）CC未涉及與密碼算法所對(duì)應(yīng)的固有質(zhì)量評(píng)價(jià)準(zhǔn)則。

2.CC評(píng)估

為了使評(píng)估結(jié)果在可比性上更佳，在進(jìn)行評(píng)價(jià)時(shí)，需要基于具有權(quán)威性的估方案框架中來(lái)完成;針對(duì)此框架而言，其中不僅規(guī)定了標(biāo)準(zhǔn)，而且還對(duì)評(píng)估質(zhì)量進(jìn)行監(jiān)控，此外，還負(fù)責(zé)對(duì)評(píng)估工具進(jìn)行管理。還需要說(shuō)明的是，CC當(dāng)中對(duì)那些可調(diào)整框架的各項(xiàng)要求，并沒(méi)有明確規(guī)定，但需要說(shuō)明的是，各評(píng)估機(jī)構(gòu)在可調(diào)整框架方面所存在的一致性，是評(píng)估結(jié)果能夠相互被認(rèn)同的前提所在。通過(guò)對(duì)通用評(píng)估方法學(xué)的合理使用，不僅能提供最終結(jié)果的可重復(fù)性，而且還能提供其客觀性，但如果單憑方法學(xué)，那顯然是不夠的。諸多評(píng)估準(zhǔn)則需要借助特定背景知識(shí)及專家判斷，而此些內(nèi)容較難實(shí)現(xiàn)統(tǒng)一。為了能使評(píng)估結(jié)果在一致性上得到增強(qiáng)，針對(duì)最終所得到的評(píng)估結(jié)果而言，需要進(jìn)行認(rèn)證，而此過(guò)程實(shí)際就是以評(píng)估結(jié)果為對(duì)象所進(jìn)行的獨(dú)立工作內(nèi)容，在評(píng)估之后，會(huì)生成證書，或者是批文。而針對(duì)所得到的證書來(lái)講，其一般是對(duì)外公開的。需要強(qiáng)調(diào)的是，認(rèn)證過(guò)程是提高IT安全準(zhǔn)則一致性的一項(xiàng)重要手段。還需要指出的是，評(píng)估機(jī)構(gòu)負(fù)責(zé)管理評(píng)估方案，因此，方法學(xué)和認(rèn)證過(guò)程均為其職責(zé)所在，并非在CC的范圍內(nèi)。

3.CC組織

CC主要由3部分構(gòu)成，其一：一般模型與簡(jiǎn)介。針對(duì)CC的格式及一般概念來(lái)講，其主要對(duì)CC的適用范圍及結(jié)構(gòu)進(jìn)行了描述，并且對(duì)安全需求及安全功能的基本定義進(jìn)行了描述，給出了安全目標(biāo)、保護(hù)輪廓的基本結(jié)構(gòu)。其二，安全功能要求。該部分將諸多安全功能組件提供給開發(fā)者、相關(guān)用戶，并被當(dāng)作對(duì)評(píng)估對(duì)象功能需求予以表示的標(biāo)準(zhǔn)方法;而無(wú)論是在安全目標(biāo)當(dāng)中，還是在保護(hù)輪廓職工，都使用此些功能組件來(lái)描述。其三，安全保證要求。針對(duì)此部分來(lái)講，其將諸多安全保證組件提供給了開發(fā)者，并且還將其當(dāng)作表示對(duì)象保證要求的一種標(biāo)準(zhǔn)方法;還需要指出的是，此部分當(dāng)中還給出了7個(gè)評(píng)估保證級(jí)別，分別為形式化驗(yàn)證的測(cè)試與設(shè)計(jì)、半形式化驗(yàn)證的測(cè)試與設(shè)計(jì)、半形式化測(cè)試與設(shè)計(jì)、系統(tǒng)測(cè)試、設(shè)計(jì)與復(fù)查、系統(tǒng)檢查與測(cè)試、結(jié)構(gòu)測(cè)試、功能測(cè)試。

4.CC安全概念分析

需要說(shuō)明的是，在IT環(huán)境當(dāng)中，只有將IT組件保護(hù)資產(chǎn)方面的能力考慮在內(nèi)，此時(shí)的CC方為可用。為了能夠證明資產(chǎn)安全，安全考慮需要在全部層次的表述中出現(xiàn)，無(wú)論是最抽象還是IT的最終實(shí)現(xiàn)。另外，在某層次上，CC要求在表述上包含此層次上TOE描述的原理，因此，此層次需囊括一個(gè)規(guī)范化的論據(jù)，以此來(lái)證明其一致于更高層次，且他自身是正確且全面的。借助安全目的與陳述之間的符合性，基本原理能夠證明TOE無(wú)論是在執(zhí)行組織性安全策略上，還是在對(duì)抗威脅上，均為有效的。

另外，CC還把表述劃分成各個(gè)層次，其給出了一種在對(duì)ST或者PP進(jìn)行開發(fā)時(shí)，能夠?qū)⒁?guī)范與安全需求得出來(lái)的方法。全部TOE安全要求都以對(duì)TOE的環(huán)境、目的的安全考慮為其來(lái)源所在。

5.CC當(dāng)中安全需求的描述方法

CC為全部安全需求均提供了一種比較實(shí)用且高效的組件庫(kù)，也就是能依據(jù)安全需求，從庫(kù)當(dāng)中挑選出所需要的各種組件，比如安全保證組件、安全功能組件等。所以，可將CC理解為材料基地或者是知識(shí)庫(kù)，其中囊括了大量當(dāng)前比較常用的安全技術(shù)。但需要說(shuō)明的是，一個(gè)完備的信息系統(tǒng)均有其專屬的安全需求，并且此類需求僅為整個(gè)知識(shí)庫(kù)的一個(gè)子集，怎樣自知識(shí)庫(kù)當(dāng)中，將所需要的組件子集給選取出來(lái)，并有規(guī)律且合理化的表達(dá)出來(lái)，通常情況下，需要與既定安全目標(biāo)相符，而ST、PP正是能滿足此要求的描述方式。所以，如果將CC當(dāng)作一個(gè)字典，那么ST、PP為其語(yǔ)法規(guī)則，依據(jù)此種規(guī)則組織所需要的字詞，并形成流暢的語(yǔ)言，這樣便可以將自身需求給準(zhǔn)確表達(dá)出來(lái)，且達(dá)成既定的安全目標(biāo)。

6.結(jié)語(yǔ)

綜上，信息技術(shù)安全評(píng)估準(zhǔn)則CC是現(xiàn)階段在全球范圍內(nèi)都已經(jīng)得到廣泛認(rèn)可的一種準(zhǔn)則，其能夠根據(jù)現(xiàn)實(shí)需要進(jìn)行準(zhǔn)確的安全評(píng)估，并給予有選擇性、針對(duì)性的等級(jí)保護(hù)，因此，其在實(shí)際應(yīng)用中，有著不錯(cuò)的應(yīng)用價(jià)值與效能。

參考文獻(xiàn)：

[1]蔣魯寧. 強(qiáng)制性的安全標(biāo)準(zhǔn)與自愿的安全標(biāo)準(zhǔn)[J]. 中國(guó)信息安全， 2014（6）：121-121.

[2]李守鵬， 曾巖. 信息技術(shù)安全評(píng)估通用準(zhǔn)則（CC）的主要特征[J]. 網(wǎng)絡(luò)安全技術(shù)與應(yīng)用， 2002， 30（1）：17-21.

[3]劉寶利， 肖曉春， 張旭，等. 基于PKI系統(tǒng)安全等級(jí)保護(hù)評(píng)估準(zhǔn)則的評(píng)估方法[J]. 計(jì)算機(jī)工程， 2007， 33（18）：156-158.

[4]王偉， 謝學(xué)富， 杜志良. 一種用于信息系統(tǒng)安全等級(jí)保護(hù)的定級(jí)技術(shù)[J]. 信息安全與技術(shù)， 2015， 6（7）：6-8.

作者簡(jiǎn)介：

謝志偉，出生年月：1986年11月，性別：男，民族：漢，籍貫：廣東省揭陽(yáng)市，當(dāng)前職務(wù)：辦事員，當(dāng)前職稱：信息助理工程師，學(xué)歷：本科.