网络安全测评技术与标准

网络安全测评概况

　　网络安全测评是网络信息系统和IT技术产品的安全质量保障。本节主要阐述网络安全测评的概念，给出网络安全测评的发展状况。

18.1.1 网络安全测评概念

　　网络安全测评是指参照一定的标准规范要求，通过一系列的技术和管理方法，获取评估对象的网络安全状况信息，对其给出相应的网络安全情况综合判定。网络安全测评对象通常包括信息系统的组成要素或信息系统自身。

18.1.2 网络安全测评发展

　　1999年，ISO接受CC作为国际标准ISO/IEC 15408标准，并正式颁布发行。CC标准提出了“保护轮廓”概念，将评估过程分为“功能”和“保证”两部分，是目前最全面的信息安全评估标准。
　　与此同时，网络信息安全管理国际标准化也在进一步推进。1995年，英国制定了《信息安全管理要求》，后续演变成为国际信息安全管理标准ISO/IEC 27001，是国际上具有代表性的信息安全管理体系标准，标准涉及的安全管理控制项目主要包括安全策略、安全组织、资产分类与控制、人员安全、物理与环境安全、通信与运作、访问控制、系统开发与维护、事故管理、业务持续运行、符合性。
　　国内网络信息安全测评标准工作也开始跟进。1999年，我国发布了《计算机信息系统安全保护等级划分准则》（GB 17859-1999）。GB 17859-1999从自主访问控制、强制访问控制、身份鉴别、数据完整性、客体重用、审计、标记、隐蔽通道分析、可信路径和可信恢复等方面，将计算机信息系统安全保护能力分为5个等级：第一级是用户自主保护级；第二级是系统审计保护级；第三级是安全标记保护级；第四级是结构化保护级；第五级是访问验证保护级。计算机信息系统安全保护能力随着安全保护等级增大而逐渐增强，其中第五级是最高安全等级。2001年，参考国际通用准则CC和国际标准ISO/IEC 15408,我 国分布了《信息技术 安全技术 信息安全性评估准则》（GB/T 18336-2001）。

18.2 网络安全测评类型

18.2.1 基于测评目标分类

　　按照测评的目标，网络安全测评可分为三种类型：网络信息系统安全等级测评、网络信息系统安全验收测评和网络信息系统安全风险测评。
　　1. 网络信息系统安全等级测评
　　网络信息系统安全等级测评是测评机构依据国家网络安全等级保护相关法律法规，按照有关管理规范和技术标准，对非涉及国家秘密的网络信息系统的安全等级保护状况进行检测评估的活动。
　　2. 网络信息系统安全验收测评
　　网络信息系统安全验收测评是依据相关政策文件要求，遵循公开、公平和公正原则，根据用户申请的项目验收目标和验收范围，结合项目安全建设方案的实现目标和考核指标，对项目实施状况进行安全测试和评估，评价该项目是否满足安全验收要求中的各项安全技术指标和安全考核目标，为系统整体验收和下一步的安全规划提供参考依据。
　　3. 网络信息系统安全风险测评
　　网络信息系统安全风险测评是从风险管理角度，评估系统面临的威胁以及脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对系统造成的影响，提出有针对性的抵御威胁的办法措施，将风险控制在可接受的范围内，达到系统稳定运行的目的，为保证信息系统的安全建设、稳定运行提供技术参考。