信息技术安全评估一般方法学CEM.docx

信息技术安全评估一般方法学CEM 信息技术安全评估一般方法学CEM全文共48页，当前为第1页。信息技术安全评估一般方法学CEM全文共48页，当前为第1页。Foreword 前言 信息技术安全评估一般方法学CEM全文共48页，当前为第1页。 信息技术安全评估一般方法学CEM全文共48页，当前为第1页。 CEM v3.1 aims to: eliminate redundant evaluation activities; reduce/eliminate activities that contribute little to the final assurance of a product; clarify CEM terminology to reduce misunderstanding; restructure and refocus the evaluation activities to those areas where security assurance is gained; and add new CEM requirements if needed. CEM v3 信息技术安全评估一般方法学CEM（Common Evaluation Methodology for Information Technology Security）是一种国际公认的方法论，用于评估信息技术产品的安全性。CEM v3.1是该方法学的一个版本，旨在优化和提升评估效率与精确度。它主要关注以下几个方面： 1. **消除冗余评估活动**：CEM v3.1的目标之一是去除不必要的重复评估步骤，以节省时间和资源，确保评估过程更加高效。 2. **减少无用活动**：针对那些对最终产品安全保证贡献不大的活动，CEM v3.1力求进行减少或消除，使评估更专注于关键的安全特性。 3. **术语澄清**：为了减少因术语理解不一致导致的混淆，CEM v3.1强调了术语的清晰化和标准化，确保所有参与者对评估过程有统一的理解。 4. **评估活动重构**：评估活动被重新组织和定位，聚焦于那些能提供最大安全保证的领域，使评估更具有针对性。 5. **新增要求**：根据需要，CEM v3.1可能引入新的要求，以适应不断变化的信息安全环境和技术进步。 文档中包含了多个章节，从介绍到具体的评估类别，详细阐述了整个评估过程： - **介绍**（Introduction）：概述CEM的基本概念和目的。 - **范围**（Scope）：定义了CEM的应用范围和适用场景。 - **标准引用**（Normative References）：列举了进行评估时需要参考的相关国际标准。 - **术语和定义**（Terms and Definitions）：列出并解释了评估过程中使用的专业术语。 - **符号和缩写**（Symbols and Abbreviated Terms）：为便于理解，提供了所有符号和缩写的释义。 - **概述**（Overview）：简要介绍了评估过程的整体框架。 - **文档惯例**（Document Conventions）：明确了文档编写和解读的规则。 - **评估过程和相关工作**（Evaluation Process and Associated Work）：详细描述了评估流程及其涉及的各个阶段。 - **各类评估**：包括保护轮廓评估（APE）、安全目标评估（ASE）、开发评估（ADV）、指导文档评估（AGD）、生命周期支持评估（ALC）、测试评估（ATE）、脆弱性评估（AVA）和组件评估（ACO），这些类别涵盖了从产品设计到测试的整个安全评估周期。 此外，还有通用评价指导和脆弱性评估的专门部分，提供更深入的指导和准则，以确保评估过程的全面性和准确性。 CEM作为信息技术安全评估的通用方法，为评估者提供了一套系统化的工具和流程，以确保信息安全产品在开发、测试和使用过程中的安全性，从而保护用户的隐私和数据安全。随着技术的不断发展，CEM也会持续更新，以适应新的威胁和挑战。