1.2 信息系统安全评估框架

1.2.1 信息系统安全评估的发展演化

信息安全评估标准是实施信息安全检测与评估的参照依据。自1985年首项信息安全评估标准——可信计算机系统评测标准TCSEC（又称橘皮书）诞生以来，人们对于安全评估所涉及的评估对象、评估内容、评估模型和方法论逐渐发展成熟，形成了一系列的相关信息安全评估标准与指南。目前，比较典型的信息安全评估标准有TCSEC、ITSEC、CC、ISO/IEC 27000系列和等级保护系列。

（1）TCSEC

《可信计算机系统安全评估准则》由美国国防部在1985年起草制定。作为计算机系统安全评估的第一个正式标准，TCSEC在评估准则制定的思路方面，更多地着眼于把操作系统视为安全评估的对象，强调对于被访问对象的标记，从访问主体的身份鉴别与授权、访问的可信路径和安全审计等角度出发来规范安全评估的度量问题。TCSEC以D、C1、C2、B1、B2、B3、A1共七层不同安全等级的形式度量系统的安全风险，安全等级越高，风险越低。至此，安全分级的思想已经开始在安全评估方法论中初现萌芽。

（2）ITSEC

1990，欧洲发布了《信息技术安全评估标准》ITSEC，该标准明确将IT安全解释为保密性、完整性和可用性。ITSEC在理论层面提出了评估对象（Target of Evaluation，TOE）的概念，将被测评对象分为IT系统和产品两大类，并将被测对象的功能和质量保证分开加以讨论。

（3）CC

1993年，美国、欧洲和加拿大在TCSEC、ITSEC和CTCPEC等早期的安全标准基础上，一起研发了《信息技术安全评价通用准则》（即Common Criterion，CC标准）。制定CC标准的目的是建立一个具有国际范围共识性、通用信息安全产品和系统的安全性评估框架，并且CC确实成为一项通用的国际安全标准。CC标准提出通过定义保护轮廓（Protection Profile）来描述来自客户的安全需求，使用安全目标来描述供应商可提供的安全需求的思路。在评估实现时，分别基于功能要求和保证要求进行TOE安全评估，定义了评估保证水平，最终实现从EAL1到EAL7的分级评估目标。

（4）ISO/IEC 27000系列

ISO/IEC 27000系列安全标准的前身是1995年英国标准协会（BSI）制定的信息安全管理体系标准BS 7799。该标准的目的是为各类组织提供一个完整的信息安全管理框架。后来，BS 7799成为国际标准ISO/IEC 17799，在此基础上形成了现在的ISO/IEC 27001（管理体系要求）和ISO/IEC 27002（安全技术规范）等系列标准。ISO/IEC 27000系列是信息安全领域的管理体系标准，将现代管理的思想纳入信息安全保障过程中。该标准明确了组织应如何确定其信息安全风险评估和处置过程可靠性的要求。在安全措施层面，ISO/IEC 27000系列从安全策略、组织安全、资产管理、人力资源安全、物理环境安全、通信运维管理、访问控制、信息系统研发运维、安全事件管理、业务连续性安全和合规性方面，对信息安全问题进行了全面考虑。

（5）等级保护系列

我国的信息安全等级保护系列标准是一套主要采用对信息和信息载体按照重要性等级分级别进行保护的信息安全标准。该系列标准覆盖了从定级、备案、安全建设和整改，到信息安全等级测评以及信息安全监督检查5个安全保护阶段。其中根据信息系统的重要性和影响，将其分为用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级共5个等级，对应安全要求依次由低到高。信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。