1.2 信息系統安全評估框架

1.2.1 信息系統安全評估的發展演化

信息安全評估標準是實施信息安全檢測與評估的參照依據。自1985年首項信息安全評估標準——可信計算機系統評測標準TCSEC（又稱橘皮書）誕生以來，人們對于安全評估所涉及的評估對象、評估內容、評估模型和方法論逐漸發展成熟，形成了一系列的相關信息安全評估標準與指南。目前，比較典型的信息安全評估標準有TCSEC、ITSEC、CC、ISO/IEC 27000系列和等級保護系列。

（1）TCSEC

《可信計算機系統安全評估準則》由美國國防部在1985年起草制定。作為計算機系統安全評估的第一個正式標準，TCSEC在評估準則制定的思路方面，更多地著眼于把操作系統視為安全評估的對象，強調對于被訪問對象的標記，從訪問主體的身份鑒別與授權、訪問的可信路徑和安全審計等角度出發來規范安全評估的度量問題。TCSEC以D、C1、C2、B1、B2、B3、A1共七層不同安全等級的形式度量系統的安全風險，安全等級越高，風險越低。至此，安全分級的思想已經開始在安全評估方法論中初現萌芽。

（2）ITSEC

1990，歐洲發布了《信息技術安全評估標準》ITSEC，該標準明確將IT安全解釋為保密性、完整性和可用性。ITSEC在理論層面提出了評估對象（Target of Evaluation，TOE）的概念，將被測評對象分為IT系統和產品兩大類，并將被測對象的功能和質量保證分開加以討論。

（3）CC

1993年，美國、歐洲和加拿大在TCSEC、ITSEC和CTCPEC等早期的安全標準基礎上，一起研發了《信息技術安全評價通用準則》（即Common Criterion，CC標準）。制定CC標準的目的是建立一個具有國際范圍共識性、通用信息安全產品和系統的安全性評估框架，并且CC確實成為一項通用的國際安全標準。CC標準提出通過定義保護輪廓（Protection Profile）來描述來自客戶的安全需求，使用安全目標來描述供應商可提供的安全需求的思路。在評估實現時，分別基于功能要求和保證要求進行TOE安全評估，定義了評估保證水平，最終實現從EAL1到EAL7的分級評估目標。

（4）ISO/IEC 27000系列

ISO/IEC 27000系列安全標準的前身是1995年英國標準協會（BSI）制定的信息安全管理體系標準BS 7799。該標準的目的是為各類組織提供一個完整的信息安全管理框架。后來，BS 7799成為國際標準ISO/IEC 17799，在此基礎上形成了現在的ISO/IEC 27001（管理體系要求）和ISO/IEC 27002（安全技術規范）等系列標準。ISO/IEC 27000系列是信息安全領域的管理體系標準，將現代管理的思想納入信息安全保障過程中。該標準明確了組織應如何確定其信息安全風險評估和處置過程可靠性的要求。在安全措施層面，ISO/IEC 27000系列從安全策略、組織安全、資產管理、人力資源安全、物理環境安全、通信運維管理、訪問控制、信息系統研發運維、安全事件管理、業務連續性安全和合規性方面，對信息安全問題進行了全面考慮。

（5）等級保護系列

我國的信息安全等級保護系列標準是一套主要采用對信息和信息載體按照重要性等級分級別進行保護的信息安全標準。該系列標準覆蓋了從定級、備案、安全建設和整改，到信息安全等級測評以及信息安全監督檢查5個安全保護階段。其中根據信息系統的重要性和影響，將其分為用戶自主保護級、系統審計保護級、安全標記保護級、結構化保護級和訪問驗證保護級共5個等級，對應安全要求依次由低到高。信息系統安全等級測評是驗證信息系統是否滿足相應安全保護等級的評估過程。