国产欧美日韩精品a在线观看-国产欧美日韩精品一区二区三区-国产欧美日韩精品综合-国产欧美中文字幕-一区二区三区精品国产-一区二区三区精品国产欧美

第一部分介紹了ISO/IEC15408的整體情況，定義了信息技術安全評估的概念和原則，提出了安全評估的通用模型。該部分還介紹了制定信息技術安全目標、選擇和定義信息技術安全需求的架構，同時也為編寫產(chǎn)品及系統(tǒng)的高級規(guī)范提供了準則。

第二部分規(guī)定了規(guī)范信息技術安全行為的安全功能要求，建立了一組以“類-族-組件”結構出現(xiàn)的功能組件，作為表示TOE功能要求的標準方法^[3]。

第三部分規(guī)定了一種描述TOE保障要求的標準方法。與第二部分一樣，該部分的保障組件也是按照“類-族-組件”進行分類，組件是最小構件塊。正在修訂的第四版本中，提出了模塊化評估方法，并增加了相應的保障組件。

第四部分規(guī)定了評估方法和活動規(guī)范的框架，是正在修訂的最新版本中引入的全新內(nèi)容。該部分為描述通用的功能測試方法及測試活動提供支持，對測試方法的制定過程進行規(guī)范，同時將通用評估方法（Common Evaluation Methodology，CEM）中的工作單元部分進行細化，提高了功能測試方法的普適性及測試結果的可重復性^[4]。

第五部分描述了預定義的7個安全保障包，并為后續(xù)加入其他安全功能包提供基礎^[4]。

采用CC對信息技術產(chǎn)品和系統(tǒng)進行評測認證，其認證結果會得到通用準則互認協(xié)議（Common Criteria Recognition Arrangement，CCRA）簽署國家的認可。目前，簽署CCRA的國家共有31個，其中有17個屬于證書頒發(fā)（Certificate Authorizing）國家，14個屬于證書使用（Certificate Consuming）國家。證書頒發(fā)國家均設立認證機構，認證機構授權得到CCRA認可的評測實驗室對產(chǎn)品或系統(tǒng)進行安全評測，同時對評測實驗室進行監(jiān)管，并定期進行監(jiān)督審計。信息技術產(chǎn)品和系統(tǒng)的評估保障等級（Evaluation Assurance Level，EAL）共7級，經(jīng)其中一個CCRA成員國認證達到EAL4+的產(chǎn)品，其認證結果在所有CCRA成員國中皆被認可。該認證體系的應用，在明確產(chǎn)品安全性的同時，也緩解了需在不同國家進行多次測試的壓力，降低了產(chǎn)品安全認證的復雜性。

（3）評價與分析

CC源于6國的信息技術安全性評估準則，經(jīng)歷多年的應用與修訂，其內(nèi)容較為全面，并已得到多國認可，成為信息技術產(chǎn)品及系統(tǒng)的基本評估準則，我國也于2001年3月發(fā)布了等同采用CC的國家標準GB/T 18336。

但CC適用于所有信息技術產(chǎn)品，包括硬件和軟件，并沒有專門針對評測網(wǎng)絡設備安全性的方法。同時，CC主要是對信息技術產(chǎn)品與系統(tǒng)的技術評估，沒有涉及到通過行政組織、官方人員、程序的控制等行政性安全管理措施實現(xiàn)的信息技術安全。

2.2 NESAS

NESAS為證明網(wǎng)絡設備是否滿足一系列的安全需求、設備供應商是否按照安全要求進行產(chǎn)品開發(fā)提供了安全基線，同時也為運營商和設備供應商提供了安全保證的技術參考。

（1）NESAS的發(fā)展背景

在許多國家，運營商的任務之一是部署并運行可靠的移動網(wǎng)絡，網(wǎng)絡能否安全運行依賴于設備供應商生產(chǎn)的網(wǎng)絡設備安全性。對于運營商來說，了解供應商提供設備的安全級別十分重要。為了協(xié)助運營商確定網(wǎng)絡設備的安全水平，降低商業(yè)風險，全球移動通信系統(tǒng)協(xié)會（Global System for Mobile Communications Assembly，GSMA）聯(lián)合第三代合作伙伴計劃（3rd Generation Partnership Project，3GPP）共同制定了NESAS。其中，GSMA定義了移動通信行業(yè)的安全需求、設備廠商的產(chǎn)品開發(fā)及產(chǎn)品全生命周期流程評估框架，并于2019年10月發(fā)布1.0版本；3GPP定義了用于評測網(wǎng)絡設備安全性的測試標準，即SCAS（Security Assurance Specification）系列標準，該系列標準已于2019年9月完成并發(fā)布。

（2）NESAS的主要內(nèi)容

GSMA提出評測網(wǎng)絡設備安全性的方法有兩種：一是評定設備供應商開發(fā)和產(chǎn)品生命周期流程的安全性，由GSMA選擇的安全審計員（需來自世界級的安全審計公司，如Atsec、Nccgroup）審查設備廠商是否將安全性融入到自定義的產(chǎn)品生命周期流程中；二是檢測網(wǎng)絡設備的安全性，依據(jù)一套預定義的安全測試標準，由獲得ISO/IEC 17025認證并被GSMA承認的安全檢測實驗室對所有網(wǎng)絡設備進行客觀測試，將網(wǎng)絡設備所達到的安全級別可視化^[5]。針對方法一，GSMA制定了系列文檔，包括FS.13（網(wǎng)絡設備安全保障計劃概述）、FS.14（安全測試實驗室認證需求及流程）、FS.15（設備商開發(fā)及產(chǎn)品全生命周期審計方法）和FS.16（設備商開發(fā)及產(chǎn)品全生命周期安全需求），用于審計設備生產(chǎn)過程的安全性；針對方法二，NESAS采用了3GPP制定的SCAS系列標準，包括通用安全保障需求、網(wǎng)絡產(chǎn)品安全保障方法論及針對5G網(wǎng)元功能發(fā)布的系列標準，用于評測5G網(wǎng)絡設備本身的安全性。

根據(jù)這兩種方法，GSMA定義了評價5G網(wǎng)絡設備安全性的流程（見圖2）。

設備供應商可定義各自的流程，描述如何將安全性融入在產(chǎn)品的設計、開發(fā)、實現(xiàn)和維護過程中，并根據(jù)FS.16對流程的合規(guī)性進行自我評定。設備供應商可在GSMA任命的獨立審計專家組中選擇一位審計員并向其證明內(nèi)部所有流程與NESAS定義的安全需求一致。若審計員在審計后認為該設備供應商的內(nèi)部流程符合NESAS的要求，則可在GSMA的NESAS網(wǎng)站上發(fā)布審計報告。通過審計的設備商將生產(chǎn)的設備交給NESAS安全測試實驗室，根據(jù)3GPP定義的SCAS系列標準對網(wǎng)絡設備的安全等級進行測試，并驗證通過審計的設備商內(nèi)部流程是否已應用于被測的網(wǎng)絡設備中；最終，測試實驗室依據(jù)評測結果出具評測報告。

（3）評價與分析

NESAS作為一個移動產(chǎn)業(yè)的志愿計劃，給多方提供了行業(yè)解決方案。對于網(wǎng)絡運營商來說，該方案的實施可以增加對網(wǎng)絡設備安全性的信心；對設備供應商來說，可在設計之初就將安全性融入產(chǎn)品中，促進設備供應行業(yè)形成的安全產(chǎn)品文化，同時也節(jié)約了向多個運營商證明其產(chǎn)品安全性的成本；對監(jiān)管部門來說，一個統(tǒng)一的安全評測體系可減少大量的安全性測試負擔，提高了效率。但NESAS體系還未得到國際的統(tǒng)一認可，其影響力有待提升。

3 我國5G網(wǎng)絡設備安全評測體系的構建

隨著5G商用步伐的加快，5G網(wǎng)絡設備安全評測已逐漸成為運營商、設備供應商、垂直行業(yè)及監(jiān)管部門的關注焦點，我國也致力于建立安全可靠、開放透明、合作共贏的5G全球生態(tài)鏈。根據(jù)前文對CC國際認證和NESAS保障體系的總結及分析，后者對5G網(wǎng)絡設備的安全性評測更具有針對性，值得借鑒。關于推動我國5G網(wǎng)絡設備的安全評測工作，可從3方面開展。

（1）同步參與國際標準研究，加快國內(nèi)相關標準推出

NESAS等國際設備安全評測標準在持續(xù)演進中，我國應鼓勵運營商、設備商、科研機構等相關單位積極參與標準的研究工作，提高在國際標準上的話語權。同時，結合我國實際情況，加快國內(nèi)5G安全評測標準的制定與推出。

（2）推動5G設備安全測試能力建設，提高實驗室國際化水平

加大5G安全技術研發(fā)投入，加速開展5G安全測試研究工作，推動5G設備安全測試能力建設。同時，關注國際上安全測試實驗室認證需求及流程動態(tài)（如GSMA等），鼓勵國內(nèi)有關實驗室參與國際上相關認可實驗室的申請工作，提高我國安全測試實驗室國際化水平。

（3）加快我國5G設備安全評測體系構建，推動國際互認

健全我國行業(yè)政策和安全框架，完善設備安全評測機制，構建我國5G設備安全評測體系。同時，加強5G安全領域國際交流與合作，推動我國5G安全設備檢測工作與國際接軌，實現(xiàn)5G設備安全檢測體系國際互認。