久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

第一部分介紹了ISO/IEC15408的整體情況，定義了信息技術(shù)安全評估的概念和原則，提出了安全評估的通用模型。該部分還介紹了制定信息技術(shù)安全目標(biāo)、選擇和定義信息技術(shù)安全需求的架構(gòu)，同時也為編寫產(chǎn)品及系統(tǒng)的高級規(guī)范提供了準(zhǔn)則。

第二部分規(guī)定了規(guī)范信息技術(shù)安全行為的安全功能要求，建立了一組以“類-族-組件”結(jié)構(gòu)出現(xiàn)的功能組件，作為表示TOE功能要求的標(biāo)準(zhǔn)方法^[3]。

第三部分規(guī)定了一種描述TOE保障要求的標(biāo)準(zhǔn)方法。與第二部分一樣，該部分的保障組件也是按照“類-族-組件”進(jìn)行分類，組件是最小構(gòu)件塊。正在修訂的第四版本中，提出了模塊化評估方法，并增加了相應(yīng)的保障組件。

第四部分規(guī)定了評估方法和活動規(guī)范的框架，是正在修訂的最新版本中引入的全新內(nèi)容。該部分為描述通用的功能測試方法及測試活動提供支持，對測試方法的制定過程進(jìn)行規(guī)范，同時將通用評估方法（Common Evaluation Methodology，CEM）中的工作單元部分進(jìn)行細(xì)化，提高了功能測試方法的普適性及測試結(jié)果的可重復(fù)性^[4]。

第五部分描述了預(yù)定義的7個安全保障包，并為后續(xù)加入其他安全功能包提供基礎(chǔ)^[4]。

采用CC對信息技術(shù)產(chǎn)品和系統(tǒng)進(jìn)行評測認(rèn)證，其認(rèn)證結(jié)果會得到通用準(zhǔn)則互認(rèn)協(xié)議（Common Criteria Recognition Arrangement，CCRA）簽署國家的認(rèn)可。目前，簽署CCRA的國家共有31個，其中有17個屬于證書頒發(fā)（Certificate Authorizing）國家，14個屬于證書使用（Certificate Consuming）國家。證書頒發(fā)國家均設(shè)立認(rèn)證機(jī)構(gòu)，認(rèn)證機(jī)構(gòu)授權(quán)得到CCRA認(rèn)可的評測實(shí)驗(yàn)室對產(chǎn)品或系統(tǒng)進(jìn)行安全評測，同時對評測實(shí)驗(yàn)室進(jìn)行監(jiān)管，并定期進(jìn)行監(jiān)督審計。信息技術(shù)產(chǎn)品和系統(tǒng)的評估保障等級（Evaluation Assurance Level，EAL）共7級，經(jīng)其中一個CCRA成員國認(rèn)證達(dá)到EAL4+的產(chǎn)品，其認(rèn)證結(jié)果在所有CCRA成員國中皆被認(rèn)可。該認(rèn)證體系的應(yīng)用，在明確產(chǎn)品安全性的同時，也緩解了需在不同國家進(jìn)行多次測試的壓力，降低了產(chǎn)品安全認(rèn)證的復(fù)雜性。

（3）評價與分析

CC源于6國的信息技術(shù)安全性評估準(zhǔn)則，經(jīng)歷多年的應(yīng)用與修訂，其內(nèi)容較為全面，并已得到多國認(rèn)可，成為信息技術(shù)產(chǎn)品及系統(tǒng)的基本評估準(zhǔn)則，我國也于2001年3月發(fā)布了等同采用CC的國家標(biāo)準(zhǔn)GB/T 18336。

但CC適用于所有信息技術(shù)產(chǎn)品，包括硬件和軟件，并沒有專門針對評測網(wǎng)絡(luò)設(shè)備安全性的方法。同時，CC主要是對信息技術(shù)產(chǎn)品與系統(tǒng)的技術(shù)評估，沒有涉及到通過行政組織、官方人員、程序的控制等行政性安全管理措施實(shí)現(xiàn)的信息技術(shù)安全。

2.2 NESAS

NESAS為證明網(wǎng)絡(luò)設(shè)備是否滿足一系列的安全需求、設(shè)備供應(yīng)商是否按照安全要求進(jìn)行產(chǎn)品開發(fā)提供了安全基線，同時也為運(yùn)營商和設(shè)備供應(yīng)商提供了安全保證的技術(shù)參考。

（1）NESAS的發(fā)展背景

在許多國家，運(yùn)營商的任務(wù)之一是部署并運(yùn)行可靠的移動網(wǎng)絡(luò)，網(wǎng)絡(luò)能否安全運(yùn)行依賴于設(shè)備供應(yīng)商生產(chǎn)的網(wǎng)絡(luò)設(shè)備安全性。對于運(yùn)營商來說，了解供應(yīng)商提供設(shè)備的安全級別十分重要。為了協(xié)助運(yùn)營商確定網(wǎng)絡(luò)設(shè)備的安全水平，降低商業(yè)風(fēng)險，全球移動通信系統(tǒng)協(xié)會（Global System for Mobile Communications Assembly，GSMA）聯(lián)合第三代合作伙伴計劃（3rd Generation Partnership Project，3GPP）共同制定了NESAS。其中，GSMA定義了移動通信行業(yè)的安全需求、設(shè)備廠商的產(chǎn)品開發(fā)及產(chǎn)品全生命周期流程評估框架，并于2019年10月發(fā)布1.0版本；3GPP定義了用于評測網(wǎng)絡(luò)設(shè)備安全性的測試標(biāo)準(zhǔn)，即SCAS（Security Assurance Specification）系列標(biāo)準(zhǔn)，該系列標(biāo)準(zhǔn)已于2019年9月完成并發(fā)布。

（2）NESAS的主要內(nèi)容

GSMA提出評測網(wǎng)絡(luò)設(shè)備安全性的方法有兩種：一是評定設(shè)備供應(yīng)商開發(fā)和產(chǎn)品生命周期流程的安全性，由GSMA選擇的安全審計員（需來自世界級的安全審計公司，如Atsec、Nccgroup）審查設(shè)備廠商是否將安全性融入到自定義的產(chǎn)品生命周期流程中；二是檢測網(wǎng)絡(luò)設(shè)備的安全性，依據(jù)一套預(yù)定義的安全測試標(biāo)準(zhǔn)，由獲得ISO/IEC 17025認(rèn)證并被GSMA承認(rèn)的安全檢測實(shí)驗(yàn)室對所有網(wǎng)絡(luò)設(shè)備進(jìn)行客觀測試，將網(wǎng)絡(luò)設(shè)備所達(dá)到的安全級別可視化^[5]。針對方法一，GSMA制定了系列文檔，包括FS.13（網(wǎng)絡(luò)設(shè)備安全保障計劃概述）、FS.14（安全測試實(shí)驗(yàn)室認(rèn)證需求及流程）、FS.15（設(shè)備商開發(fā)及產(chǎn)品全生命周期審計方法）和FS.16（設(shè)備商開發(fā)及產(chǎn)品全生命周期安全需求），用于審計設(shè)備生產(chǎn)過程的安全性；針對方法二，NESAS采用了3GPP制定的SCAS系列標(biāo)準(zhǔn)，包括通用安全保障需求、網(wǎng)絡(luò)產(chǎn)品安全保障方法論及針對5G網(wǎng)元功能發(fā)布的系列標(biāo)準(zhǔn)，用于評測5G網(wǎng)絡(luò)設(shè)備本身的安全性。

根據(jù)這兩種方法，GSMA定義了評價5G網(wǎng)絡(luò)設(shè)備安全性的流程（見圖2）。

設(shè)備供應(yīng)商可定義各自的流程，描述如何將安全性融入在產(chǎn)品的設(shè)計、開發(fā)、實(shí)現(xiàn)和維護(hù)過程中，并根據(jù)FS.16對流程的合規(guī)性進(jìn)行自我評定。設(shè)備供應(yīng)商可在GSMA任命的獨(dú)立審計專家組中選擇一位審計員并向其證明內(nèi)部所有流程與NESAS定義的安全需求一致。若審計員在審計后認(rèn)為該設(shè)備供應(yīng)商的內(nèi)部流程符合NESAS的要求，則可在GSMA的NESAS網(wǎng)站上發(fā)布審計報告。通過審計的設(shè)備商將生產(chǎn)的設(shè)備交給NESAS安全測試實(shí)驗(yàn)室，根據(jù)3GPP定義的SCAS系列標(biāo)準(zhǔn)對網(wǎng)絡(luò)設(shè)備的安全等級進(jìn)行測試，并驗(yàn)證通過審計的設(shè)備商內(nèi)部流程是否已應(yīng)用于被測的網(wǎng)絡(luò)設(shè)備中；最終，測試實(shí)驗(yàn)室依據(jù)評測結(jié)果出具評測報告。

（3）評價與分析

NESAS作為一個移動產(chǎn)業(yè)的志愿計劃，給多方提供了行業(yè)解決方案。對于網(wǎng)絡(luò)運(yùn)營商來說，該方案的實(shí)施可以增加對網(wǎng)絡(luò)設(shè)備安全性的信心；對設(shè)備供應(yīng)商來說，可在設(shè)計之初就將安全性融入產(chǎn)品中，促進(jìn)設(shè)備供應(yīng)行業(yè)形成的安全產(chǎn)品文化，同時也節(jié)約了向多個運(yùn)營商證明其產(chǎn)品安全性的成本；對監(jiān)管部門來說，一個統(tǒng)一的安全評測體系可減少大量的安全性測試負(fù)擔(dān)，提高了效率。但NESAS體系還未得到國際的統(tǒng)一認(rèn)可，其影響力有待提升。

3 我國5G網(wǎng)絡(luò)設(shè)備安全評測體系的構(gòu)建

隨著5G商用步伐的加快，5G網(wǎng)絡(luò)設(shè)備安全評測已逐漸成為運(yùn)營商、設(shè)備供應(yīng)商、垂直行業(yè)及監(jiān)管部門的關(guān)注焦點(diǎn)，我國也致力于建立安全可靠、開放透明、合作共贏的5G全球生態(tài)鏈。根據(jù)前文對CC國際認(rèn)證和NESAS保障體系的總結(jié)及分析，后者對5G網(wǎng)絡(luò)設(shè)備的安全性評測更具有針對性，值得借鑒。關(guān)于推動我國5G網(wǎng)絡(luò)設(shè)備的安全評測工作，可從3方面開展。

（1）同步參與國際標(biāo)準(zhǔn)研究，加快國內(nèi)相關(guān)標(biāo)準(zhǔn)推出

NESAS等國際設(shè)備安全評測標(biāo)準(zhǔn)在持續(xù)演進(jìn)中，我國應(yīng)鼓勵運(yùn)營商、設(shè)備商、科研機(jī)構(gòu)等相關(guān)單位積極參與標(biāo)準(zhǔn)的研究工作，提高在國際標(biāo)準(zhǔn)上的話語權(quán)。同時，結(jié)合我國實(shí)際情況，加快國內(nèi)5G安全評測標(biāo)準(zhǔn)的制定與推出。

（2）推動5G設(shè)備安全測試能力建設(shè)，提高實(shí)驗(yàn)室國際化水平

加大5G安全技術(shù)研發(fā)投入，加速開展5G安全測試研究工作，推動5G設(shè)備安全測試能力建設(shè)。同時，關(guān)注國際上安全測試實(shí)驗(yàn)室認(rèn)證需求及流程動態(tài)（如GSMA等），鼓勵國內(nèi)有關(guān)實(shí)驗(yàn)室參與國際上相關(guān)認(rèn)可實(shí)驗(yàn)室的申請工作，提高我國安全測試實(shí)驗(yàn)室國際化水平。

（3）加快我國5G設(shè)備安全評測體系構(gòu)建，推動國際互認(rèn)

健全我國行業(yè)政策和安全框架，完善設(shè)備安全評測機(jī)制，構(gòu)建我國5G設(shè)備安全評測體系。同時，加強(qiáng)5G安全領(lǐng)域國際交流與合作，推動我國5G安全設(shè)備檢測工作與國際接軌，實(shí)現(xiàn)5G設(shè)備安全檢測體系國際互認(rèn)。