GB17859和GBT18336等级保护两个标准的关系.pdfVIP

GBl7859和GB／T18336 等级保护两个标准的关系 北京天融信公司 苑向兵 7859和GB／T1 摘要GBl 8336是中国实行信息安全等级保护的两个重要标准。本文从历史沿革和具体内容两个方 面深入分析了它们之间的关系，明确了两者之间并不存在矛盾和不相容的问题，它们的有机结合将为等级保护政策 顺利实施提供有力的保证。 CCGBl7859 8356 关键词等级保护TCSEC GB／T1 级划分标准，对世界各国的信息安全标准研究产生了广泛的影 2003年中共中央办公厅、国务院办公厅转发的27号文件 和2004年9月中央四部局办联合发布的66号文件出台以后，等响。英国、德国、加拿大等国也先后制定了立足于本国情况的 级保护政策的实施工作进入了实质的推进阶段。按照66号文 信息安全评估标准。 件的安排，到2005年9月份应该推出一系列相关的法规、办 1991年，欧洲英、法、德、荷四国国防部门信息安全机 法、指南等。以目前的情况来看，这个阶段的计划基本肯定要 构率先联合制定了《信息技术安全评估准则》(ITSEC)，并在 向后推延。作为等级保护工作的重中之重的《管理办法》、《实 事实上成为欧盟各国使用的共同评估标准。这为多国共同制定 施指南))、《评估指南》等法规的制定，很明显遇到了一定的困 信息安全标准开了先河。为了紧紧把握信息安全产品技术与市 难。等级保护的思想确立，最早可以追溯到1994年的《中华场的主导权，美国在欧洲四国出台ITSEC之后，立即倡议欧 人民共和国信息系统安全保护条例》，人们都会问：经历了这 美六国七方(即英、法、德、荷、加五国国防信息安全机构， 么多年酝酿，现在等级保护的配套法规还是难产，其根源是什 加上美国国防部国家安全局(NSA)和美国商务部国家标准 么? 与技术局(NIST))共同制定一个供欧美各国通用的信息安全 诚然，我国的信息安全标准研究，与国际上信息化水平较 评估标准。1993年至1996年，经过四、五年的研究开发，产 高的国家还存在不小的差距。但笔者认为，目前的问题直接与 生了《信息技术安全通用评估准则》，简称CC标准。它是在 很多有关的人对GB17859和GB／T18336两个国家标准的本 质理解不到位相关。其中比较有代表性的想法是：两个标准不 合形成的。 相容，关系难以调和；GBl7859已经过时，等级保护应该遵从 为了适应经济全球化的形势要求，在CC标准制定出不 最新的国际公认标准。 久，六国七方即推动国际标准化组织(ISO)将CC标准纳入 实际上，这两个标准之间没有任何不相容之处，它们完全 国际标准体系。经过多年协商和切磋，国际标准组织于1999 可以共存，并有效结合。要正确认识等级保护的两个国标，关 年批准CC标准以“ISO／IEC15408-1999”名称正式列入国 键在于一要弄清两个标准的渊源关系，二要弄清两个标准内容 际标准系列。 上各自的特点和差异。 图l清楚地显示出了TCSET、CC等信息安全标准的历史 沿革。 一、GBl7859与GB／T18336的渊源 从起源上说，GBl7859的制定主要参考了美国的TCSEC， 而GB／T18336则直接等同于国际标准ISO／IEC15408，也 就是美国、英国、德国、加拿大等国家共同制定的CC(本文 后面也延用CC这个通俗名称代表GB／T18336)。 TCSEC是80年代，美国国防部根据军事计算机系统的保 密需要，在70年代的基础理论研究成果计算机保密模型(Bell La padula模型)的基础上制订的，亦称为“橙皮书”。1985 萝罕罕萝 年正式发布。该标准事实上成为了美国国家信息安全评估和等