1.4　信息安全国际标准

信息社会的信息安全是建立在信息系统互连、互通、互操作意义上的安全需求，因此需要制定技术标准来规范系统的建设和使用。国际上的信息安全标准涉及有关密码应用和信息系统安全两大类。制定标准的机构有国际标准化组织、某些国家的标准化机构和一些企业集团。他们的工作推动了信息系统的规范化发展和信息安全产业的形成。本节介绍几个在国际上比较有影响的标准。

1.4.1　可信计算机系统评估准则

1983年，美国国防部发布了计算机系统安全等级划分的基本准则（Trusted Computer System Evaluation Criteria，TCSEC），并在1985年对其进行了修订。TCSEC使用了可信计算基（Trusted Computing Base，TCB）这一概念，即计算机硬件与支持不可信应用及不可信用户的操作系统的组合体。TCSEC论述的重点是通用的操作系统，为了使其评判方法适用于网络，美国国家安全中心于1987年制定了一系列有关可信计算机数据库、可信计算机网络等的指南（俗称彩虹系列）。

TCSEC根据所采用的安全策略、系统所具备的安全功能将计算机系统的可信程度分为四类七个安全级别，安全性按从低到高排列分别为D、C1、C2、B1、B2、B3、A。各个级别的介绍如下。

（1）D级：安全保护欠缺级。D级为最低的保护等级，提供了最弱的安全性，是为已经通过评估但无法达到更高安全等级的系统而设定的。D级计算机系统的典型代表有DOS、Windows 3.1系统等。

（2）C级：自主保护级。C级主要提供自主访问控制保护，在保证项中包括支持识别、认证和审计。C级划分了两个子级：C1级和C2级。

①C1级——自主安全保护级；

②C2级——受控存取保护级。

C2级计算机系统的典型代表有Windows NT、Windows XP、UNIX系统等。

（3）B级：强制保护级。B级要求客体必须保留敏感标记，可信计算基利用安全标记施加强制访问控制保护。B级划分了三个子级：B1级、B2级和B3级。

①B1级——标记安全保护级；

②B2级——结构化保护级；

③B3级——安全域保护级。

（4）A级：验证保护级。A级的特点是使用形式化安全验证方法，以保证使用强制访问控制和自主访问控制的系统能有效地保护该系统存储和处理秘密信息和其他敏感信息。其中，A级是形式最高级规格，在安全功能上等价于B3级，但它必须对相同的设计运用数字形式化证明方法加以验证，以证明安全功能的正确性。

1.4.2　信息技术安全评估准则

TCSEC带动了国际计算机安全的评估研究，1989年，法国、德国、英国、荷兰这四个欧洲国家联合提出了信息技术安全评估准则（Information Technology Security Evaluation Criteria，ITSEC）。ITSEC在吸收TCSEC成功经验的基础上，首次提出了信息安全的保密性、完整性、可用性的概念，把可信计算机的概念提高到了可信信息技术的高度。ITSEC对国际信息安全的研究、实施带来深刻的影响。

1.4.3　通用安全评估准则

1991年，美国、荷兰、法国、德国、英国以及加拿大六国联合推出了通用安全评估准则（Common Criteria of Information Technical Security，CC）（ISO/IEC 15408—1），并于1995年发布了正式文件。该准则的主要思想和框架来源于欧洲的ITSEC、美国的包括TCSEC在内的新的联邦评价准则。它由三部分内容组成：介绍以及一般模型；安全功能需求（技术上的要求）；安全认证需求（非技术要求和对开发过程、工程过程的要求）。CC面向整个信息产品生存期，不仅考虑了保密性，而且还考虑了完整性和可用性多方面的安全特性，并且有与之配套的通用安全评估方法（Common Evaluation Methodology，CEM）。CC吸收了各先进国家对现代信息系统信息安全的经验与知识，对之后的信息安全的研究与应用产生了很大的影响。

1.4.4　BS 7799标准

BS 7799标准是由英国标准协会（British Standards Institute，BSI）制定的信息安全管理标准，是国际上具有代表性的信息安全管理体系标准，包括两部分：BS 7799-1《信息安全管理实施细则》；BS 7799-2《信息安全管理体系规范》。BS 7799-1于2000年通过国际标准化组织认可，正式成为国际标准，即ISO/IEC 17799，2007年被更新为ISO/IEC 27002《信息安全管理实践规则》。BS 7799-2于2005年被ISO采纳为ISO/IEC 27001《信息安全管理体系规范要求》。

BS 7799-1《信息安全管理实施细则》是组织建立并实施信息安全管理体系的一个指导性的准则，BS 7799-2以BS 7799-1为指南，详细说明按照“规划、实施、检查、处置（Plan Do Check Act，PDCA）”进行质量管理模型的建立、实施及文件化信息安全管理体系设置的要求。

1.4.5　ISO/IEC 27000系列标准

ISO 27000起源于英国的BS 7799标准系列，以保证组织业务的连续性、缩减业务风险、最大化投资收益为目的。该系列标准为组织实施安全管理提供了指导，使组织可以建立比较完整的信息安全管理体系，实现制度化及以预防为主的信息安全管理方式，增加信息安全技术措施的效能。ISO/IEC 27001《信息安全管理体系规范要求》（Specification for Information Security Management Systems）和ISO/IEC 27002《信息安全管理实践规则》是ISO/IEC 27000系列中最主要的两个标准。

ISO/IEC 27001《信息安全管理体系规范要求》，是在组织内部建立信息安全管理体系（Information Security Management Systems，ISMS）的一套规范，目的是通过规范的过程建立适合组织实际要求的信息安全管理体系。ISO/IEC 27001《信息安全管理体系规范要求》采用了PDCA的质量管理理念建立、执行和维护信息安全管理体系，详细说明了ISMS的规划与建立、实施与运行、监控与评审、保持与改进四个阶段的基本要求，并指出这是一个循环迭代的提高过程。

ISO/IEC 27002《信息安全管理实践规则》提出了在组织内部启动、实施、保持和改进信息安全管理的指南和一般原则。它将需要实施管理控制的对象分为11类：安全策略、组织信息安全、资产管理、人力资源安全、物理和环境安全、通信和操作管理、访问控制、信息系统的获取或开发与维护、信息安全事故管理、业务连续性管理和兼容性。针对这11类控制项，ISO/IEC 27002还提供了具体的控制目标和控制措施。