[PDF] GB/T 20274.1-2006 - 自动发货. 英文版
| 标准号码 | 美元 | 购买PDF | 工期 | 标准名称(英文版) |
| GB/T 20274.1-2006 | 145 | GB/T 20274.1-2006 | 9秒内发货PDF | 信息安全技术 信息系统安全保障评估框架 第1部分：简介和一般模型 |
| 基本信息 | |
|---|---|
| 标准编号 | GB/T 20274.1-2006 (GB/T20274.1-2006) |
| 中文名称 | 信息安全技术 信息系统安全保障评估框架 第1部分：简介和一般模型 |
| 英文名称 | Information security technology -- Evaluation framework for information systems security assurance -- Part 1: Introduction and general model |
| 行业 | 国家标准 (推荐) |
| 中标分类 | L80 |
| 国际标准分类 | 35.040 |
| 字数估计 | 71,748 |
| 发布日期 | 2006-05-31 |
| 实施日期 | 2006-12-01 |
| 引用标准 | GB/T 9387.2-1995; GB/T 18336-2001 |
| 标准依据 | 中国国家标准批准发布公告 2006年第7号(总第94号) |
| 发布机构 | 中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会 |
| 范围 | GB/T 20274描述了信息系统安全保障的模型, 建立了信息系统安全保障的框架, 从信息系统安全技术、管理和工程三方面制定了信息系统的通用安全保障要求。GB/T 20274的本部分给出了信息系统安全保障的基本概念和模型, 并建立了信息系统安全保障框架。本部分适用于从事信息系统安全保障工作的所有相关方, 包括设计开发者、工程实施者、评估者、认证认可者等。本部分不适用于以下方面:a)人员技能和能力的评估, 但对人员安全的要求在管理保障中体现;b)系统评估法学;c)密码算法固有质量的评价。 |
GB/T 20274.1-2006: 信息安全技术 信息系统安全保障评估框架 第1部分：简介和一般模型
GB/T 20274.1-2006 英文名称: Information security technology -- Evaluation framework for information systems security assurance -- Part 1: Introduction and general model
中华人民共和国国家标准
GB/T ２０２７４．１-２００６
信息安全技术
信息系统安全保障评估框架
第１部分：简介和一般模型
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会发布
１ 范围
GB/T ２０２７４描述了信息系统安全保障的模型，建立了信息系统安全保障的框架，从信息系统安全
技术、管理和工程三方面制定了信息系统的通用安全保障要求。
GB/T ２０２７４的本部分给出了信息系统安全保障的基本概念和模型，并建立了信息系统安全保障
框架。
本部分适用于从事信息系统安全保障工作的所有相关方，包括设计开发者、工程实施者、评估者、认
证认可者等。
本部分不适用于以下方面：
ａ） 人员技能和能力的评估，但对人员安全的要求在管理保障中体现；
ｂ） 系统评估方法学；
ｃ） 密码算法固有质量的评价。
２ 规范性引用文件
下列文件中的条款通过GB/T ２０２７４的本部分的引用而成为本部分的条款。凡是注日期的引用文
件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本部分，然而，鼓励根据本部分达成
协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本
部分。
４ 概述
本章介绍信息系统安全保障评估框架的主要概念，确定目标读者、评估环境和文档结构。
４．１ 引言
信息安全的目标是为了保证信息的保密性、完整性和可用性。信息系统安全保障是在信息系统的
整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和
人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程
度，从而保障系统实现组织机构的使命。
４．２．１ 概述
本标准的读者主要有三类，包括：信息系统的所有者或用户、信息系统的开发者和信息系统的评估
者。本标准从内容和结构上支持所有三个方面的需求，他们是本标准的主要使用者。正如下文所述，他
们都能从本标准中受益。
４．２．２ 用户
用户可以参考本标准中给出的通用描述语言、方法和结构，从信息系统安全保障的技术、管理和工
程领域来表达其信息系统安全保障要求，即信息系统安全保护轮廓（ＩＳＰＰ）。
用户可以使用本标准同信息系统的设计开发等相关人员进行更加有效的沟通和相互理解。
用户可根据信息系统安全保障的评估，了解其信息系统安全保障的现状，获得其信息系统安全保障
的信心。同时，用户还可以根据评估结果，进一步完善和持续改进其信息系统的安全保障能力，以跟上
外部和内在环境不断变化产生的安全保障要求。
４．２．３ 开发者
开发者使用本标准能帮助客户更好的描述其信息系统安全需求，编制符合其运行环境要求的信息
系统安全目标（ＩＳＳＴ）和具体的信息系统安全保障方案和措施。
使用本标准还可以评估某个特定系统的信息系统安全目标（ＩＳＳＴ）和特定的安全保护轮廓的符合
性。通常，用户的需求由一个或多个信息系统保护轮廓（ＩＳＰＰ）提供。
开发者可以使用本标准来编制相应的安全保障证据的内容和表现形式，支持评估方的评估要求。
４．２．４ 评估者
评估者可使用本标准来定义信息系统安全评估的内容。评估的内容包括安全技术、安全管理和安
全工程等要求。
本标准并没有规定如何进行评估，具体的评估过程由信息系统安全保障评估方法、系统安全导出性
测评指南、安全评估指南、操作手册等文档来描述。
４．２．５ 其他读者
除上述人员之外，本标准还可以供以下人员参考使用：
ａ） 系统管理员和系统安全管理员：负责维护系统达到组织机构的信息系统安全保障策略和要求；
ｂ） 内部和外部的审核员：负责评定信息系统安全保障是否恰当；
ｃ） 安全规划和设计者：负责设计信息系统安全技术、工程和管理保障等规范；
ｄ） 认可者：负责批准一个信息系统在特定环境中的使用；
ｅ） 评估发起者：负责申请和支持一个信息系统安全评估活动；
ｆ） 评估机构：负责管理和监督评估者实施信息系统安全保障评估。
４．３ 评估上下文
为了使不同的评估机构和评估者得出的评估结果在技术上具有可比性，信息系统安全保障的评估
应在国家权威的测评体系内执行，通过该体系所建立的严格、规范、科学的评估标准、评估质量的监督，
以及评估机构和评估者遵循相关的国家法律和政策，确保了评估结果的权威性和客观性。
在评估上下文中，信息系统安全保障通用评估方法学（ＳＣＥＭ）有助于保证评估结果的可重复性和
客观性，但仅靠ＳＣＥＭ本身是不充分的。本标准的许多条款需要专业判断和一定的背景知识，而这些
是很难达到一致的。为了增强评估结果的一致性，评估机构须在权威的测评体系内，不同评估机构须遵
循相同的评估机构认可准则，同时评估机构之间要增加评估基准的对比测试。此外，评估的结果即测评
报告可以进入认可或审批过程，并生成最终的评定证书或正式批准文件。这些证书或文件通常是公
开的。
对于测评体系、评估方法学和评估过程的监督和管理是认证监督管理机构的责任，不属于本标准的
范围；对评估结果的认可或审批是信息系统所有者或其主管机构的责任，也不属于本标准的范围。
４．４ 信息系统安全保障评估框架的文档结构
本标准由以下相互关联的４个部分组成：
ａ） 第１部分：简介和一般模型。该部分定义了信息系统安全保障评估框架的一般概念和原理，并
在信息安全的基础上提出了信息系统安全保障的模型。它也详细解释了信息系统安全保障模
型的概念和关系以及信息系统安全保障评估的整体框架和应用。在该部分的附录中，给出了
信息系统保护轮廓（ＩＳＰＰ）和信息系统安全目标（ＩＳＳＴ）的描述规范；
ｂ） 第２部分：技术保障。该部分描述了信息系统安全保障框架中的技术保障方面的内容，定义了
一系列信息系统安全技术保障组件，定义了反映信息系统安全技术保障能力的成熟度模型和
级别；
ｃ） 第３部分：管理保障。该部分描述了信息系统安全保障框架中的管理保障方面的内容，定义了
一系列信息系统安全管理保障组件，定义了反映信息系统安全管理保障能力的成熟度模型和
级别；
ｄ） 第４部分：工程保障。该部分描述了信息系统安全保障框架中的工程保障方面的内容，定义了
一系列信息系统安全工程保障组件，定义了反映信息系统安全工程保障能力的成熟度模型和
级别。
５．１ 概述
本章提出了信息系统安全保障评估框架的一般概念，其中也包括使用这些概念的上下文，以及使用
这些概念的方法。本标准的其他部分在这些概念的基础上进一步展开，并使用了本章描述的方法。
本部分使用一系列安全保障概念和术语讨论信息系统安全保障。对这些概念和术语的理解是有效
运用本标准的前提条件。这些概念和术语是相当通用的，不限于在本标准的应用，可以在其他标准中
使用。
５．２．１ 安全保障概念
随着组织机构的使命越来越依赖于信息系统，信息系统也越来越成为组织机构生存和发展的关键
因素。信息系统的安全风险也成为组织风险的一部分。为了保障组织机构完成其使命，必须针对信息
系统面临的各种各样的风险，制定相应的策略来抵抗这些风险。图２说明了信息系统安全保障中的这
些高层概念的关系。
信息系统是用于采集、处理、存储、传输、分发和部署信息的整个基础设施、组织结构、机构人员和组
件的总和。每个信息系统总是运行于特定的现实环境中，它从属某个组织机构，受来自组织内部与外部
环境的约束，因此，信息系统的安全保障除了要在充分分析信息系统本身的技术、业务、管理等特性基础
上提出相应的要求外，还要考虑这些约束条件产生的要求。
信息系统安全风险是具体的风险，各个风险是针对某一特定对象的风险。产生风险的因素主要有
信息系统自身存在的脆弱性和来自系统外部的威胁。信息系统运行环境存在着怀有特定威胁动机的威
胁源，它会使用各种攻击方法，利用信息系统运行环境中的各种脆弱性，对信息系统造成相应的风险，由
此才产生信息安全事件和问题。
信息系统安全保障工作就是针对信息系统在运行环境中所面临的各种风险，制定信息安全保障策
略体系，在它的指导下，设计并实现信息安全保障架构或模型，采取技术、管理等安全保障措施，将风险
减少至预定可接受的程度，从而保障其使命要求。策略体系是组织机构在对风险、资产和使命综合理解
的基础上所作出的指导文件。策略体系的制定，反映了组织机构对信息系统安全保障及其目标的理解，
它的制定和贯彻执行对组织机构信息系统安全保障起着纲领性的指导作用。
在５．２．１的内容中，给出了信息系统安全保障涉及的高层概念关系。这个高层概念是本标准的基
础，本标准在此基础上提出了信息系统安全保障模型。
信息系统安全保障模型的主要内容是：以风险和策略为基础和出发点（即从信息系统所面临的风险
和信息系统所处的环境出发），制定组织机构信息系统安全保障策略体系，通过在信息系统生命周期中
在技术、管理、工程和人员等方面实施保障措施，确保信息的保密性、完整性和可用性特征，从而实现和
贯彻组织机构策略并将风险降低到可接受的程度，达到保护组织机构信息和信息系统资产，从而保障组
织机构实现其使命的最终目的。
图３描述了信息系统安全保障模型。
图３ 信息系统安全保障模型
整个信息系统安全保障模型包含保障要素、生命周期和安全特征三方面。
本模型主要特点为：
ａ） 以安全概念和关系为基础，将风险和策略作为信息系统安全保障的基础和核心；
ｂ） 强调信息系统安全保障持续发展的动态安全模型，即强调信息系统安全保障应贯穿于整个信
息系统生命周期的全过程中；
ｃ） 强调信息系统安全保障的概念，信息系统的安全保障是通过综合技术、管理、工程和人员的安
全保障要求来实施和实现信息系统的安全保障目标，通过对信息系统的技术、管理、工程和人
员要求的评估，提供了对信息系统安全保障的信心；
ｄ） 通过以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要
素，从而使信息系统安全保障实现信息安全的安全特征：信息的保密性、完整性和可用性特征，
从而达到保障组织机构执行其使命的根本目的。
本标准更强调信息系统所处的运行环境、信息系统的生命周期和信息系统安全保障的概念。信息
系统生命周期有各种各样的模型，在本标准中的信息系统生命周期模型是基于这些模型的一个简单、抽
象的概念性说明模型，它的主要用途在于对信息系统生命周期模型进行示例说明。在进行信息系统安
全保障具体操作时，可根据实际环境和要求，在信息系统生命周期内进行改动和细化。在这里，强调信
息系统生命周期的意义是强调信息系统安全保障并不是仅在某个时间点下的安全，而是在信息系统的
整个生命周期中通过对技术、管理、工程和人员这些方面建立信息系统安全保障，来保证信息系统整个
生命周期的、动态持续的、长效的安全。
５．２．２．２ 在信息系统生命周期中的安全保障
在信息系统安全保障模型中，信息系统的生命周期层面和保障要素层面不是相互孤立的，而是相互
关联、密不可分的。图４示例化地描述了它们之间的关系。
在信息系统生命周期模型中，将信息系统的整个生命周期抽象成规划组织、开发采购、实施交付、运
行维护和废弃五个阶段以及在运行维护阶段的变更产生的反馈，形成信息系统生命周期完整的闭环结
构。在信息系统的生命周期中的任何时间点上，都需要综合信息系统安全保障的技术、管理、工程和人
员保障要素对信息系统进行安全保障。
ａ） 规划组织阶段：由于组织机构的使命要求和业务要求产生了信息系统安全保障建设和使用的
需求。在此阶段，信息系统的风险及策略应加入至信息系统建设和使用的决策中，从信息系统
建设的开始就应该综合考虑系统的安全保障要求，使信息系统的建设和信息系统安全保障的
建设同步规划、同步实施。
ｂ） 开发采购阶段：此阶段是规划组织阶段的细化、深入和具体体现，在此阶段中，进行系统需求
分析、考虑系统运行的需求、进行系统体系的设计以及相关的预算申请和项目准备等管理活
动。在此阶段，应克服传统的基于具体技术或产品的片面性，要基于系统需求和风险、策略将
信息系统安全保障作为一个整体进行系统体系的设计和建设，以建立信息系统安全保障整体
规划和全局视野。组织机构可根据具体要求，对系统整体的技术、管理安全保障规划或设计进
行评估，以保证对信息系统的整体规划满足组织机构的建设要求和相关国家、行业和组织机构
的其他要求。
ｃ） 实施交付阶段：在此阶段，组织机构可通过对承建方进行安全服务资格要求和信息安全专业人
员资格要求以确保施工组织的服务能力；组织机构还可通过信息系统安全保障的工程保障对
实施施工过程进行监理和评估，最终确保所交付系统的安全性。
ｄ） 运行维护阶段：信息系统进入运行维护阶段后，对信息系统的管理、运行维护和使用人员的能
力等方面进行综合保障，是信息系统得以安全正常运行的根本保证。
ｅ） 变更和反馈：信息系统投入运行后并不是一成不变的，它随着业务和需求的变更、外界环境的
变更产生新的要求或增强原有的要求，重新进入信息系统的规划阶段。
ｆ） 废弃阶段：当信息系统的保障不能满足现有要求时，信息系统进入废弃阶段。
这样，通过在信息系统生命周期的所有阶段融入信息系统安全保障概念，确保了信息系统的持续动
态安全保障。
５．３．１ 概述
信息系统安全保障评估，就是在信息系统所处的运行环境中对信息系统安全保障的具体工作和活
动进行客观的评估，通过信息系统安全保障评估所搜集的客观证据，向信息系统的所有相关方提供信息
系统的安全保障工作能够实现其安全保障策略，能够将其所面临的风险降低到其可接受的程度的主观
信心。信息系统安全保障评估的评估对象是信息系统，信息系统是用于采集、处理、存储、传输、分发和
部署信息的整个基础设施、组织结构、人员等的总和，因此信息系统不仅包含了仅讨论技术的信息技术
系统，还包括同信息系统所处的运行环境相关的人和管理等领域。信息系统安全保障是一个动态持续
的过程，涉及信息系统整个生命周期，因此信息系统安全保障的评估也应该提供一种动态持续的信心。
５．３．２ 信息系统安全保障评估概念和关系
评估是信息系统安全保障的一个重要概念，系统所有者可以根据评估所得到的客观评估结果建立
其主观的信心。图５描述了信息系统安全保障评估的概念和关系。
５．３．３．１ 概述
信息系统安全保障的评估，是从信息系统安全保障的概念出发，在信息系统的生命周期内，根据组
织机构的要求，在信息系统的安全技术、安全管理和安全工程领域内对信息系统的安全技术控制措施和
技术架构能力、安全管理控制和管理能力以及安全工程实施控制措施和工程实施能力进行评估综合，从
而最终得出信息系统在其运行环境中安全保障措施满足其安全保障要求的符合性以及信息系统安全保
信息系统安全保障评估主要包括两方面的评估：信息系统在其运行环境中其具体的安全保障控制
相对于安全保障要求的符合性的评估以及信息系统安全保障级的评估。
ａ）......
英文网页English: GB/T 20274.1-2006
相关标准: GB/T 20274.1|GB/T 20279|GB/T 20278|GB/T 20274.1|GB/T 20274.1-2006|GB/T 20274.1|