|
國家信息安全測評信息安全產(chǎn)品分級(jí)評估業(yè)務(wù)白皮書
資源天下 2019/8/28 18:02:21
（接上頁）否可以被容忍。
2.2.2 對企業(yè)
分級(jí)評估對產(chǎn)品需求、設(shè)計(jì)、開發(fā)、測試等整個(gè)生命周期均有嚴(yán)格的要求，企業(yè)通過分級(jí)評估可以提升產(chǎn)品安全設(shè)計(jì)水平。
分級(jí)評估從企業(yè)策略、開發(fā)環(huán)境、開發(fā)過程的控制、產(chǎn)品的安全交付等方面作出了要求，能夠規(guī)范內(nèi)部整體研發(fā)流程，從各個(gè)方面杜絕漏洞存在及泄密事件發(fā)生的可能。
分級(jí)評估是國際化的需要，通過分級(jí)評估的產(chǎn)品在我國入世后占據(jù)絕對的競爭優(yōu)勢。
2.2.3 對政府
通過分級(jí)評估，可以了解國內(nèi)企業(yè)生產(chǎn)研發(fā)整體水平，加強(qiáng)行業(yè)監(jiān)管，提升全行業(yè)產(chǎn)品整體水平，使整體信息安全產(chǎn)業(yè)盡快與國際接軌。
2.3 依據(jù)標(biāo)準(zhǔn)
此項(xiàng)業(yè)務(wù)的依據(jù)標(biāo)準(zhǔn)：GB/T 18336—2008《信息技術(shù)、安全技術(shù)、信息技術(shù)安全性評估準(zhǔn)則》。
同時(shí)，參考的標(biāo)準(zhǔn)包括：
《通用評估方法》
產(chǎn)品相應(yīng)保證級(jí)的安全技術(shù)要求
產(chǎn)品相關(guān)國家和國際標(biāo)準(zhǔn)
2.4 業(yè)務(wù)實(shí)施
2.4.1 證據(jù)需求
根據(jù)業(yè)務(wù)內(nèi)容的要求，申請方需提交的證據(jù)包括：
級(jí)評估申請書
分級(jí)文檔（注：見表1中的文檔）
評估對象（TOE）
實(shí)現(xiàn)安全功能的源代碼（注：EAL4以上需要此項(xiàng)）
表2.1 各級(jí)所需文檔（EAL1-EAL5）
2.4.2 業(yè)務(wù)流程
圖2.1 業(yè)務(wù)流程圖
信息安全產(chǎn)品分級(jí)評估流程主要分為受理階段、預(yù)評估階段、評估階段和注冊階段共四個(gè)階段：
（1）受理階段
申請方向中心提出分級(jí)評估申請。由受理部門對申請方提交的申請書進(jìn)行申請審查。通過審查后，將進(jìn)入下一階段。如果未通過審查，受理部門會(huì)根據(jù)提交資料的實(shí)際情況提出書面反饋意見，申請方應(yīng)根據(jù)反饋意見進(jìn)行補(bǔ)充或修改，并于5個(gè)工作日內(nèi)，提交修改后資料。逾期未提交，將被認(rèn)為自動(dòng)放棄本次評估申請。
（2）預(yù)評估階段
受理完成后，相關(guān)文檔將被轉(zhuǎn)給評估部門，評估部門對文檔資料進(jìn)行技術(shù)審查，來判定提交的的資料內(nèi)容是否符合要求。如果未通過審查，評估部門會(huì)根據(jù)提交資料的實(shí)際情況提出書面反饋意見，申請方應(yīng)根據(jù)反饋意見進(jìn)行補(bǔ)充或修改，并于10個(gè)工作日內(nèi)，提交修改后的文檔。通過審查后，評估部門根據(jù)申請的級(jí)別制定評估方案，同時(shí)申請方需向評估部門提交評估對象。
（3）評估階段
評估方案制定完成后，評估部門通知申請方評估工作正式啟動(dòng)，并將需申請方配合的相關(guān)事宜一并告知，申請方應(yīng)按評估進(jìn)度提交符合測試部門要求的產(chǎn)品。
評估組人員根據(jù)評估方案，嚴(yán)格遵照評估進(jìn)度開展評估工作，必要時(shí)可要求申請方提供技術(shù)支持，及配合完成有關(guān)操作。評估中出現(xiàn)的屬于申請方的問題，評估組出具觀察報(bào)告交由申請方簽字確認(rèn)，如果問題極為嚴(yán)重，必要時(shí)可終止評估活動(dòng)。
評估組人員根據(jù)各評估內(nèi)容的評估結(jié)果，進(jìn)行綜合評定，并出具評估技術(shù)報(bào)告，該報(bào)告將作為產(chǎn)品是否通過分級(jí)評估的直接依據(jù)。
報(bào)告和評估記錄交由評審組完成審核，評估組人員根據(jù)審核意見對報(bào)告和記錄進(jìn)行修改，并最終由評審組進(jìn)行確認(rèn)，通過后進(jìn)入下一階段。
（4）注冊階段
通過評估的產(chǎn)品，本中心對其進(jìn)行注冊及頒發(fā)證書，并將結(jié)果公布于中心的網(wǎng)站和雜志。
證書有效期為3年，在證書有效期屆滿前3個(gè)月內(nèi)，由申請方向中心提出分級(jí)評估維持申請。通過評估維持的產(chǎn)品，中心將為其換發(fā)新的證書。
2.4.3 評估內(nèi)容
評估內(nèi)容主要包括評估、安全性測試、現(xiàn)場核查共三個(gè)方面。
（1）評估活動(dòng)主要包括：
ST評估：評估ST是否正確定義了其安全功能、采用的安全機(jī)制以及采取何種安全策略來對抗其所面臨的安全威脅。
配置管理文檔的評估：確認(rèn)配置管理工具的使用，以及對TOE的變更是否可控。
交付和運(yùn)行文檔的評估：評估交付和運(yùn)行活動(dòng)是否可控，是否安全可信。
開發(fā)活動(dòng)文檔的評估：從外部接口、內(nèi)部子系統(tǒng)、內(nèi)部模塊、源碼等方面進(jìn)行評估。
指導(dǎo)性文檔的評估：指南是否詳盡，確認(rèn)指南中沒有誤導(dǎo)、不合理和沖突的指導(dǎo)信息。
生命周期支持文檔的評估：確定開發(fā)者在TOE開發(fā)和維護(hù)期間使用安全程序的能力。
測試活動(dòng)文檔評估：確定開發(fā)者依據(jù)其設(shè)（未完，下一頁）
|