本文件建立了信息技术安全评估的一般概念和原则,并规定了ISO/IEC 15408各部分所给出的一般评估模型,该模型整体上可作为评估IT产品安全属性的基础。本文件给出了ISO/IEC 15408(所有部分)1)的总体概述。它描述了ISO/IEC 15408各个部分内容;定义了各部分使用的术语及缩略语;建立了评估对象(TOE)的核心概念;描述了评估背景和评估准则所针对的目标读者。本文件还给出了信息技术产品评估所需的基本安全概念。1)〓ISO/IEC 154081~ISO/IEC 154085分别被采标对应我国国家标准GB/T 18336.1~GB/T 18335.5。本文件介绍了:--保护轮廓(PP)、PP模块、PP配置、包、安全目标(ST)和符合性类型等核心概念;--整个模型中安全组件的组织化描述;--定义了对ISO/IEC 154082和ISO/IEC 154083给出的功能组件和保障组件定制时允许使用的各种操作;--在ISO/IEC 18045中给出的评估方法的一般信息;--ISO/IEC 154084应用指南,用以开发源自ISO/IEC 18045的评估方法(EM)和评估活动(EA);--在ISO/IEC 154085中预定义评估保障级别(EAL)的一般信息;--有关评估体制范围的信息。
本文件定义了安全功能组件所需的结构和内容,以用于安全评估。它包含了一个安全组件的分类目录,来满足许多IT产品的通用安全功能要求。
本文件定义了ISO/IEC 15408的保障要求,包括组成ISO/IEC 154085中包含的评估保障级和其他包的各个保障包,以及PP、PP配置、PP模块和ST的评估准则。
本文件提供了一个标准化框架,用以规定客观的、可重复的和可重现的评估方法和评估活动。
本文件未规定如何评估、采用或维持评估方法和评估活动。这方面的内容由那些在其感兴趣的特定领域内提出评估方法和评估活动的相关方负责。
本文件给使用者提供了通用的安全保障要求包和安全功能要求包。
GB/T 18336的本部分建立了IT安全评估的一般概念和原则,详细描述了ISO/IEC 15408各部分给出的一般评估模型,该模型整体上可作为评估IT产品安全属性的基础。本部分给出了ISO/IEC 15408的总体概述。它描述了ISO/IEC 15408的各部分内容;定义了在ISO/IEC 15048各部分将使用的术语及缩略语;建立了关于评估对象(TOE)的核心概念;论述了评估背景;并描述了评估准则针对的读者对象。此外,还介绍了IT产品评估所需的基本安全概念。本部分定义了裁剪ISO/IEC 154082和ISO/IEC 154083描述的功能和保障组件时可用的各种操作。本部分还详细说明了保护轮廓(PP)、安全要求包和符合性这些关键概念,并描述了评估产生的结果和评估结论。ISO/IEC 15408的本部分给出了规范安全目标(ST)的指导方针并描述了贯穿整个模型的组件组织方法。关于评估方法的一般信息以及评估体制的范围将在IT安全评估方法论中给出。
为了安全评估的意图,GB/T 18336的本部分定义了安全功能组件所需要的结构和内容。本部分包含一个安全组件的分类目录,将满足许多IT产品的通用安全功能要求。
GB/T 18336的本部分定义了保障要求,包括:评估保障级(EAL)——为度量部件TOE的保障定义了一种尺度;组合保障包(CAP)——为度量组合TOE的保障提供了一种尺度;组成保障级和保障包的单个保障组件;PP和ST的评估准则。
GB/T 18336旨在作为评估信息技术产品和系统安全特性的基础准则。通过建立这样的通用准则库,信息技术安全性评估的结果才能被更多的人理解。本标准定义了两种结构以表述IT安全功能和保证要求。其中,保护轮廓(PP)允许创建一些普遍可重复使用的安全要求集合。PP可被目标客户用于规范和识别满足其需求的产品及其IT安全特性。安全目标(ST)用于阐述安全要求和详细说明被评估产品或系统的安全功能,这些产品通常称为评估对象(TOE)。ST被评估者用来作为在GB/T 18336指导下进行评估活动的基础。
GB/T 18336的这一部分定义了安全功能组件的规定结构和内容,适用于安全性评估。本部分包含满足多个IT产品和系统通用安全功能要求的系列功能组件。