1.技术标准的比较分析
最初的TCSEC是针对孤立计算机系统提出的,起初为军用标准,只应用在对操作系统的评估上。欧洲的ITSEC与TCSEC一样,均是不涉及开放系统的安全标准,仅针对产品的安全保证要求来划分等级并进行评测,且均为静态模型,仅能反映静态的安全状况,但适用于军队、政府与商用。CTCPEC虽在二者的基础上有一定发展,但也是静态模型。FC对TCSEC做了补充和修改,对保护轮廓（PP）和安全目标（ST）做了定义,明确了由用户提供出其系统安全保护要求的详细轮廓,由产品厂商定义产品的安全功能、安全目标等,但因其本身的缺陷一直没有正式投入使用。
TCSEC对安全的最初定义仅有机密性一点。ITSEC首次将安全定义为保密性、完整性与可用性,并将信息系统的功能要求与保证要求分离开来,其目标在于对产品和系统两者的评估,这些均代表了标准的发展方向。CTCPEC在上述基础上又提出了可控性。
CC虽源于TCSEC,但CC全面考虑了与信息技术安全性有关的各种因素,定义了作为评估信息技术产品和系统安全性的基础准则,并以安全功能要求和安全保证要求的形式提出了这些因素。CC不仅考虑信息的保密性、完整性和可用性要求,同时也考虑了信息的可控性、可用性及责任可追查性。其适用范围也包括军队、政府及商业等部门。
CC与早期的评估标准相比,主要具有四大特征：①CC符合：PDR（Protection,Detection,Response,保护、检测、响应）模型；②CC评估准则是面向整个信息产品生存期的；③CC评估准则不仅考虑了保密性,而且考虑了完整性和可用性多方面的安全特性；④CC评估准则有与之配套的安全评估方法CEM（Common Evaluation Methodology,通用评估方法）。
但是,CC没有包括对物理安全、行政管理措施、密码机制等重要方面的评估,仍然未能完全体现动态的安全技术要求。
2.技术标准与管理标准之间的比较分析
CC是一个技术标准,旨在支持对产品和系统中IT安全特征的规范性与技术性的评估。通常,对产品的评估是作为信息系统开发和生产周期的一部分的。CC标准还可用于描述组织对产品安全性的技术要求。换句话说,信息系统风险评估实践中对安全技术要求的选择,一般都来自CC标准,从而满足信息产品或系统测评等的需要。
与技术标准CC相比,ISO 17799是一个管理标准,它处理的是与己安装的IT系统相关的非技术问题,这些问题与诸如安全方针、组织及人员、物理环境、通信与访问控制、信息系统开发、业务连续性等安全管理内容相关。也就是说,一般从ISO 17799标准中选择安全管理要求,对信息系统实施风险评估。(www.xing528.com)
而ISO27001《信息安全管理体系要求》,是结合ISO 17799的安全管理要求,规定建立ISMS时的PDCA过程模型,有利于组织对信息系统的安全管理,而它本身和CC没有直接的关系。
在信息系统风险评估实践中,通常将CC的安全技术要求和ISO 17799的安全管理要求结合起来,对信息安全产品或系统实施风险评估或系统测评。典型的例子如北京市地方标准DB11/T171—2002《党政机关信息系统安全测评规范》,其体系结构按照GB 17859—1999《计算机信息系统安全保护等级划分准则》的等级划分要求,将党政机关的信息系统划分为5个安全类别,分别与GB 17859的5个等级相对应。对每一安全类别,选择CC的技术要求和ISO 17799的管理要求,从而形成对党政机关信息系统全面的测评规范要求。
3.评估标准之间的对应关系
简单地比较CC、TCSEC、ITSEC标准之间的对应关系,如表3-7所示。
表3-7 几个标准之间的比较
【注释】
[1]Willianm Stallings.网络安全要素——应用与标准[M].潇湘工作室,译.北京：人民邮电出版社,2001：67-68.
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
