信息技術安全評估準則CC與等級保護分析

摘 要：本文首先簡要分析了CC的基本范圍，探討了其評估、組織、安全概念，最后剖析了CC當中安全需求的具體描述方法，望能為此領域研究有所借鑒。

關鍵詞：信息技術安全;評估準則;CC;等級保護

早在上個世紀90年代初，諸如ITSEC、TCSEC等信息技術安全評估準則的發起、組織便開始緊密融合，把各自的準則以一種合理方式，組合成一個可以廣泛使用且獨立的IT安全準則。此行動被業內形象的稱之為CC項目，其主要目的就是將原先標本當中的基本概念、技術差異解決掉，且將最終結果當作開發過程中的國際標準，向ISO提交。現階段，CC在我國已經成為等級保護制度制定的重要參考準則，本文就此作一探討。

1.CC的基本范圍

CC將人為帶來的信息威脅作為考慮的重點，不管其有意、無意，均作為重點考慮對象;但需要指出的是，CC還可以用作那些不是人為因素所造成的威脅。CC對于那些軟、固、硬件所實現的信息技術安全措施比較適用，而部分內容中包含一些特殊專業技術，所以，并不在此架構當中，比如：（1）CC未囊括那些無關于信息技術安全措施，且屬行政性管理安全措施范疇內的安全評估準則。而在TOE所對應的運行環境當中，此類管理安全措施被當作是TOE安全使用的重要支撐與前提條件;（2）CC不專門評估信息技術安全性架構當中的物理方面，比如電磁輻射控制等;（3）CC不包含評估方法學的內容，也無用于評估機構的CC管理模式。（4）CC未涉及與密碼算法所對應的固有質量評價準則。

2.CC評估

為了使評估結果在可比性上更佳，在進行評價時，需要基于具有權威性的估方案框架中來完成;針對此框架而言，其中不僅規定了標準，而且還對評估質量進行監控，此外，還負責對評估工具進行管理。還需要說明的是，CC當中對那些可調整框架的各項要求，并沒有明確規定，但需要說明的是，各評估機構在可調整框架方面所存在的一致性，是評估結果能夠相互被認同的前提所在。通過對通用評估方法學的合理使用，不僅能提供最終結果的可重復性，而且還能提供其客觀性，但如果單憑方法學，那顯然是不夠的。諸多評估準則需要借助特定背景知識及專家判斷，而此些內容較難實現統一。為了能使評估結果在一致性上得到增強，針對最終所得到的評估結果而言，需要進行認證，而此過程實際就是以評估結果為對象所進行的獨立工作內容，在評估之后，會生成證書，或者是批文。而針對所得到的證書來講，其一般是對外公開的。需要強調的是，認證過程是提高IT安全準則一致性的一項重要手段。還需要指出的是，評估機構負責管理評估方案，因此，方法學和認證過程均為其職責所在，并非在CC的范圍內。

3.CC組織

CC主要由3部分構成，其一：一般模型與簡介。針對CC的格式及一般概念來講，其主要對CC的適用范圍及結構進行了描述，并且對安全需求及安全功能的基本定義進行了描述，給出了安全目標、保護輪廓的基本結構。其二，安全功能要求。該部分將諸多安全功能組件提供給開發者、相關用戶，并被當作對評估對象功能需求予以表示的標準方法;而無論是在安全目標當中，還是在保護輪廓職工，都使用此些功能組件來描述。其三，安全保證要求。針對此部分來講，其將諸多安全保證組件提供給了開發者，并且還將其當作表示對象保證要求的一種標準方法;還需要指出的是，此部分當中還給出了7個評估保證級別，分別為形式化驗證的測試與設計、半形式化驗證的測試與設計、半形式化測試與設計、系統測試、設計與復查、系統檢查與測試、結構測試、功能測試。

4.CC安全概念分析

需要說明的是，在IT環境當中，只有將IT組件保護資產方面的能力考慮在內，此時的CC方為可用。為了能夠證明資產安全，安全考慮需要在全部層次的表述中出現，無論是最抽象還是IT的最終實現。另外，在某層次上，CC要求在表述上包含此層次上TOE描述的原理，因此，此層次需囊括一個規范化的論據，以此來證明其一致于更高層次，且他自身是正確且全面的。借助安全目的與陳述之間的符合性，基本原理能夠證明TOE無論是在執行組織性安全策略上，還是在對抗威脅上，均為有效的。

另外，CC還把表述劃分成各個層次，其給出了一種在對ST或者PP進行開發時，能夠將規范與安全需求得出來的方法。全部TOE安全要求都以對TOE的環境、目的的安全考慮為其來源所在。

5.CC當中安全需求的描述方法

CC為全部安全需求均提供了一種比較實用且高效的組件庫，也就是能依據安全需求，從庫當中挑選出所需要的各種組件，比如安全保證組件、安全功能組件等。所以，可將CC理解為材料基地或者是知識庫，其中囊括了大量當前比較常用的安全技術。但需要說明的是，一個完備的信息系統均有其專屬的安全需求，并且此類需求僅為整個知識庫的一個子集，怎樣自知識庫當中，將所需要的組件子集給選取出來，并有規律且合理化的表達出來，通常情況下，需要與既定安全目標相符，而ST、PP正是能滿足此要求的描述方式。所以，如果將CC當作一個字典，那么ST、PP為其語法規則，依據此種規則組織所需要的字詞，并形成流暢的語言，這樣便可以將自身需求給準確表達出來，且達成既定的安全目標。

6.結語

綜上，信息技術安全評估準則CC是現階段在全球范圍內都已經得到廣泛認可的一種準則，其能夠根據現實需要進行準確的安全評估，并給予有選擇性、針對性的等級保護，因此，其在實際應用中，有著不錯的應用價值與效能。

參考文獻：

[1]蔣魯寧. 強制性的安全標準與自愿的安全標準[J]. 中國信息安全， 2014（6）：121-121.

[2]李守鵬， 曾巖. 信息技術安全評估通用準則（CC）的主要特征[J]. 網絡安全技術與應用， 2002， 30（1）：17-21.

[3]劉寶利， 肖曉春， 張旭，等. 基于PKI系統安全等級保護評估準則的評估方法[J]. 計算機工程， 2007， 33（18）：156-158.

[4]王偉， 謝學富， 杜志良. 一種用于信息系統安全等級保護的定級技術[J]. 信息安全與技術， 2015， 6（7）：6-8.

作者簡介：

謝志偉，出生年月：1986年11月，性別：男，民族：漢，籍貫：廣東省揭陽市，當前職務：辦事員，當前職稱：信息助理工程師，學歷：本科.