### 信息技术安全评估准则 #### ISO/IEC 15408-1:信息技术安全评估准则 第2部分:安全需求 **一、引言** ISO/IEC 15408-2:1999标准是信息技术领域内关于安全评估的重要文档之一,它详细规定了用于评价信息技术产品和服务安全性的具体要求与方法。本标准作为《信息技术安全评估准则》系列标准的一部分,主要聚焦于安全功能需求(Security Functional Requirements, SFRs)的定义和结构化组织。 #### **二、标准范围及结构** 1. **范围** - **扩展与维护功能需求**:该部分强调了如何根据技术发展和应用环境的变化来扩展或维护安全功能需求。 - **ISO/IEC 15408-2的组织结构**:这部分介绍了标准的组成部分及其之间的关系,为读者理解整体框架提供了指导。 - **功能需求范式**:这部分阐述了功能需求的基本概念模型,包括功能需求的分类、组成以及它们之间的相互作用机制。 2. **安全功能组件** - **概述**:这部分首先对安全功能组件的概念进行了简要介绍,并对其分类进行了概述。 - **类结构**:将安全功能需求分为不同的类别,每种类别对应一类安全需求。 - **家族结构**:每个类下又细分为多个子类别,即“家族”,用以覆盖特定的安全功能。 - **组件结构**:进一步将家族内的功能细分为更小的单元——组件,每个组件负责实现具体的某一项功能。 - **允许的功能组件操作**:规定了在不同安全功能组件之间可以进行的操作类型。 3. **具体内容** #### **三、安全审计类(FAU)** 1. **安全审计自动响应(FAU_ARP)** - 定义了当检测到安全事件时,系统自动采取的一系列预设行动。 2. **安全审计数据生成(FAU_GEN)** - 规定了生成审计记录的数据格式和内容要求,确保审计记录的完整性和准确性。 3. **安全审计分析(FAU_SAA)** - 涉及对审计记录的自动化分析,用以识别潜在的安全威胁或违规行为。 4. **安全审计审查(FAU_SAR)** - 要求定期进行人工审计审查,以确认审计系统的有效性并及时发现潜在问题。 5. **安全审计事件选择(FAU_SEL)** - 规定了如何筛选出需要被审计的具体事件类型,以便减少不必要的数据量并提高效率。 6. **安全审计事件存储(FAU_STG)** - 设定了审计记录的存储方式和保留时间,以确保数据的安全性和可访问性。 #### **四、通信类(FCO)** 1. **非否认起源(FCO_NRO)** - 通过加密技术和数字签名等手段确保发送方不能否认其发送的信息。 2. **非否认接收(FCO_NRR)** - 保证接收方无法否认已接收到的信息,增强了通信双方的信任度。 #### **五、密码支持类(FCS)** 1. **密码密钥管理(FCS_CKM)** - 包括密钥的生成、分发、存储、更新和销毁等整个生命周期的管理过程。 2. **密码操作(FCS_COP)** - 涉及加密、解密、数字签名验证等密码学操作的具体实现。 #### **六、用户数据保护类(FDP)** 1. **访问控制策略(FDP_ACC)** - 规定了用户访问权限的分配规则,确保只有授权用户才能访问相应的资源。 2. **访问控制功能(FDP_ACF)** - 描述了实现访问控制的具体方法和技术。 3. **数据认证(FDP_DAU)** - 通过数字签名或其他认证机制来验证数据的完整性和来源。 4. **向外部TSF的导出控制(FDP_ETC)** - 控制敏感数据向不受保护环境的传输,防止数据泄露。 5. **信息流控制策略(FDP_IFC)** - 设定了信息在不同安全级别间流动的规则,避免低安全级别的数据污染高安全级别的数据。 6. **信息流控制功能(FDP_IFF)** - 实现信息流控制策略的技术手段,确保数据按规定的路径流动。 7. **从外部TSF的导入控制(FDP_ITC)** - 控制外部数据进入受保护环境的方式,确保不会引入安全隐患。 8. **内部TOE转移(FDP_ITT)** - 规定了内部数据在不同组件间移动的规则,保障数据安全性。 9. **剩余信息保护(FDP_RES)** - 保护未完全清除的敏感信息不被未授权访问,确保即使设备报废或重用时数据的安全性。 **总结**: ISO/IEC 15408-2:1999作为一项重要的国际标准,不仅为信息技术产品的安全性评估提供了详细的指导,还为企业和个人在选择和使用信息安全产品时提供了参考依据。通过对这些安全功能需求的理解和应用,可以有效提升信息系统的安全性,降低潜在的风险。
剩余353页未读,继续阅读
- 粉丝: 0
- 资源: 2
- 我的内容管理 展开
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助
最新资源
- 使用DX9制作的FPS引擎及附带的小游戏.zip
- OSG(OpenSceneGraph)简介
- 计算机实现:bvn死神火影3.5(ppt收)new
- 使用C++和DirectX 11实现的GAMES202作业.zip
- docker docker-compose-linux-x86-64.zip 2.30.3版本
- 本文简要介绍了mq4(甲烷传感器)
- 使用 wqweto DirectX 类型库的 VB6 HLSL RayMarching.zip
- YOLOv5安全帽检测代码+训练好的安全帽模型+权重+数据集+使用教程(高分项目)
- 使用 WinSafe 以 Rust 编写的本机 Windows 应用程序示例 .zip
- 使用 Visual Studio 2017 和 Windows 10 SDK 编写的 DirectX 11 3D 游戏编程简介源代码.zip