信息技术 安全技术 信息技术安全评估准则.PDFVIP

国家家信息息安安全测测评

信信息技技术产产品品分级级评估估

业务务白皮皮书书

版版本：5.1

©版版权2017——中国信息安安全测评中中心

2017年12月月

目录

1引言1

2目的和意义1

3业务范围1

4业务特点1

4.1国家权威，国际认可1

4.2公平公正，客观规范2

4.3测评专业，技术领先2

5业务实施2

5.1证据需求2

5.2业务流程2

5.3评估内容4

5.4评估时间5

5.5评估费用5

5.6业务输出5

-I-

1引言

信息技术产品分级评估是指依据国家标准GB/T18336—2015《信息技术安

全技术信息技术安全评估准则》，综合考虑产品的预期应用环境，通过对信息

技术产品的整个生命周期，包括技术、开发、管理、交付等部分进行全面的安全

性评估和测试，验证产品的保密性、完整性和可用性程度，确定产品对其预期应

用而言是否足够安全，以及在使用中隐含的安全风险是否可以容忍，产品是否满

足相应评估保障级的要求。

2目的和意义

信息技术产品分级评估的目的是促进高质量、安全和可控的IT产品的开发，

分级评估具体的目的和意义包括：

1）深层次排除产品的信息安全隐患；

2）帮助用户选择安全可靠的信息产品；

3）有助于在涉及国家安全的信息安全领域中加强产品的安全性和可控性；

4）促进信息技术产业的稳步成熟和信息技术产品市场规范化。

3业务范围

具有安全功能的信息技术产品，如：防火墙、IDS/IPS、智能卡、芯片、USBKey、

扫描器、安全审计、数据库、操作系统等。

目前受理的级别包括：EAL1、EAL2、EAL3、EAL4、EAL5、EAL6、EAL7及相

应增强级，如EAL3+、EAL4+、EAL5+。

4业务特点

4.1国家权威，国际认可

测评中心多年来依据国家授权对外开展测评业务，出具的测评报告具有权威

性。测评中心依据国标GB/T18336—2015开展分级评估业务，该标准等同采用

国际标准ISO/IEC15408，所采用的评估方法均为国际通用方法，具备国际认可

基础。

第1页共5页

4.2公平公正，客观规范

测评中心是第三方的独立测评机构，不代表任何商业组织的利益，出具的测

评报告以事实为依据，以公平、公正为准则。测评活动严格按照质量体系相关要

求执行，实事求是，确保测评的一致性和完整性。

4.3测评专业，技术领先

测评中心是国内最早开展产品分级评估业务的专业职能机构，长期以来从事

信息技术产品分级评估工作，拥有专业的评估队伍、一流的测试环境和丰富的评

估技术手段。掌握国内外对信息技术产品的最新研究成果和发展趋势，测评技术

达到国内领先水平。

5业务实施

5.1证据需求

根据业务内容的要求，申请方需提交的证据包括：

分级评估申请书

分级文档（注：见《分级文档编写指南》）

评估对象（TOE）

实现安全功能的源代码（注：EAL4级及以上需此项）

5.2业务流程

业务流程如下图1所示：

第2页共5页

图1业务流程图

信息技术产品分级评估流程主要分为受理阶段、预评估阶段、评估阶段