GB/T 18336.3-2024網(wǎng)絡(luò)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第3部分：安全保障組件

ICS35030

CCSL.80

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T183363—2024/ISO/IEC15408-32022

.:

部分代替GB/T183363—2015

.

網(wǎng)絡(luò)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則

第3部分安全保障組件

:

Cybersecuritytechnology—EvaluationcriteriaforITsecurity—

Part3Securitassurancecomonents

:yp

ISO/IEC15408-32022Informationsecuritcbersecuritandrivac

(:,y,yypy

protection—EvaluationcriteriaforITsecurity—

Part3SecuritassurancecomonentsIDT

:yp,)

2024-04-25發(fā)布2024-11-01實(shí)施

國(guó)家市場(chǎng)監(jiān)督管理總局發(fā)布

國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T183363—2024/ISO/IEC15408-32022

.:

目次

前言

…………………………Ⅴ

引言

…………………………Ⅶ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語(yǔ)和定義

3………………1

總述

4………………………5

保障范式

5…………………5

概述

5.1…………………5

基本方法

5.2ISO/IEC15408…………5

保障方法

5.3……………5

評(píng)估保障尺度

5.4ISO/IEC15408……………………7

安全保障組件

6……………7

概述

6.1…………………7

保障類(lèi)結(jié)構(gòu)

6.2…………………………7

保障族結(jié)構(gòu)

6.3…………………………9

保障組件結(jié)構(gòu)

6.4………………………9

保障元素

6.5……………11

組件分類(lèi)

6.6……………11

類(lèi)保護(hù)輪廓評(píng)估

7APE:…………………11

概述

7.1…………………11

介紹

7.2PP(APE_INT)………………12

符合性聲明

7.3(APE_CCL)…………12

安全問(wèn)題定義

7.4(APE_SPD)………………………14

安全目的

7.5(APE_OBJ)……………14

擴(kuò)展組件定義

7.6(APE_ECD)………………………15

安全要求

7.7(APE_REQ)……………16

類(lèi)保護(hù)輪廓配置評(píng)估

8ACE:……………18

概述

8.1…………………18

模塊介紹

8.2PP-(ACE_INT)…………19

模塊符合性聲明

8.3PP-(ACE_CCL)…………………19

模塊安全問(wèn)題定義

8.4PP-(ACE_SPD)………………21

模塊安全目的

8.5PP-(ACE_OBJ)……………………21

模塊擴(kuò)展組件定義

8.6PP-(ACE_ECD)………………22

Ⅰ

GB/T183363—2024/ISO/IEC15408-32022

.:

模塊安全要求

8.7PP-(ACE_REQ)…………………23

模塊一致性

8.8PP-(ACE_MCO)……………………25

配置一致性

8.9PP-(ACE_CCO)……………………26

類(lèi)安全目標(biāo)評(píng)估

9ASE:…………………28

概述

9.1…………………28

介紹

9.2ST(ASE_INT)………………29

符合性聲明

9.3(ASE_CCL)…………30

安全問(wèn)題定義

9.4(ASE_SPD)………………………31

安全目的

9.5(ASE_OBJ)……………32

擴(kuò)展組件定義

9.6(ASE_ECD)………………………33

安全要求

9.7(ASE_REQ)……………34

概要規(guī)范

9.8TOE(ASE_TSS)………………………36

復(fù)合產(chǎn)品安全目標(biāo)一致性

9.9(ASE_COMP)………37

類(lèi)開(kāi)發(fā)

10ADV:…………………………38

規(guī)則

10.1………………38

安全架構(gòu)

10.2(ADV_ARC)…………42

功能規(guī)范

10.3(ADV_FSP)……………43

實(shí)現(xiàn)表示

10.4(ADV_IMP)……………50

內(nèi)部

10.5TSF(ADV_INT)…………51

安全策略模型

10.6(ADV_SPM)……………………54

設(shè)計(jì)

10.7TOE(ADV_TDS)…………56

復(fù)合設(shè)計(jì)符合性

10.8(ADV_COMP)…………………61

類(lèi)指導(dǎo)性文檔

11AGD:…………………63

規(guī)則

11.1………………63

操作用戶(hù)指南

11.2(AGD_OPE)……………………63

準(zhǔn)備程序

11.3(AGD_PRE)……………64

類(lèi)生命周期支持

12ALC:………………65

規(guī)則

12.1………………65

能力

12.2CM(ALC_CMC)……………66

范圍

12.3CM(ALC_CMS)……………72

交付

12.4(ALC_DEL)…………………75

開(kāi)發(fā)者環(huán)境安全

12.5(ALC_DVS)……………………76

缺陷糾正

12.6(ALC_FLR)……………77

開(kāi)發(fā)生命周期定義

12.7(ALC_LCD)…………………80

開(kāi)發(fā)構(gòu)件

12.8(ALC_TDA)…………82

工具和技術(shù)

12.9(ALC_TAT)………………………87

復(fù)合部分集成和交付程序一致性核查

12.10(ALC_COMP)………89

Ⅱ

GB/T183363—2024/ISO/IEC15408-32022

.:

類(lèi)測(cè)試

13ATE:…………………………90

規(guī)則

13.1………………90

覆蓋

13.2(ATE_COV)………………91

深度

13.3(ATE_DPT)…………………92

功能測(cè)試

13.4(ATE_FUN)…………95

獨(dú)立測(cè)試

13.5(ATE_IND)……………97

復(fù)合功能測(cè)試

13.6(ATE_COMP)……………………99

類(lèi)脆弱性評(píng)定

14AVA:………………100

概述

14.1………………100

應(yīng)用注釋

14.2…………………………101

脆弱性分析

14.3(AVA_VAN)………………………101

復(fù)合脆弱性評(píng)定

14.4(AVA_COMP)………………105

類(lèi)組合

15ACO:…………………………106

規(guī)則

15.1………………106

組合基本原理

15.2(ACO_COR)……………………109

開(kāi)發(fā)證據(jù)

15.3(ACO_DEV)…………109

依賴(lài)部件的依賴(lài)性

15.4(ACO_REL)………………112

組合測(cè)試

15.5TOE(ACO_CTT)…………………113

組合脆弱性分析

15.6(ACO_VUL)…………………115

附錄資料性開(kāi)發(fā)

A()(ADV)…………118

安全架構(gòu)的補(bǔ)充材料

A.1ADV_ARC:………………118

功能規(guī)范的補(bǔ)充材料

A.2ADV_FSP:………………120

內(nèi)部補(bǔ)充材料

A.3ADV_INT:TSF…………………126

子系統(tǒng)和模塊

A.4ADV_TDS:………………………128

形式化方法補(bǔ)充材料

A.5……………132

附錄資料性組合

B()(ACO)…………135

概述

B.1………………135

組合評(píng)估的必要性

B.2TOE………………………135

執(zhí)行組合的安全目標(biāo)評(píng)估

B.3TOE………………136

組合實(shí)體間的交互關(guān)系

B.4IT……………………136

附錄資料性保障組件依賴(lài)關(guān)系的交叉引用

C()……………………141

附錄資料性縮略語(yǔ)

NA()……………146

參考文獻(xiàn)

……………………147

Ⅲ

GB/T183363—2024/ISO/IEC15408-32022

.:

前言

本文件按照標(biāo)準(zhǔn)化工作導(dǎo)則第部分標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則的規(guī)定

GB/T1.1—2020《1:》

起草

。

本文件是網(wǎng)絡(luò)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則的第部分已經(jīng)

GB/T18336《》3。GB/T18336

發(fā)布以下部分

:

第部分簡(jiǎn)介和一般模型

———1:;

第部分安全功能組件

———2:;

第部分安全保障組件

———3:;

第部分評(píng)估方法和活動(dòng)的規(guī)范框架

———4:;

第部分預(yù)定義的安全要求包

———5:。

本文件和網(wǎng)絡(luò)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第部分評(píng)估方法和

GB/T18336.4—2024《4:

活動(dòng)的規(guī)范框架網(wǎng)絡(luò)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第部分預(yù)定義

》、GB/T18336.5—2024《5:

的安全要求包共同代替信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第

》GB/T18336.3—2015《3

部分安全保障組件

:》。

本文件部分代替信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第部分

GB/T18336.3—2015《3:

安全保障組件與相比除結(jié)構(gòu)調(diào)整和編輯性改動(dòng)外主要技術(shù)變化如下

》。GB/T18336.3—2015,,:

更改了術(shù)語(yǔ)見(jiàn)第章年版的第章

———(3,20153);

增加了精確符合性類(lèi)型見(jiàn)和

———(7.3.2,8.3.2,8.9.29.3.2);

刪除了評(píng)估保障級(jí)和組合保障包見(jiàn)年版的第章和第章

———(201578);

增加了直接基本原理的保護(hù)輪廓見(jiàn)和

———(7.7.39.7.3);

增加了用于模塊化評(píng)估的模塊和配置見(jiàn)第章

———PP-PP-(8);

增加了多重保障級(jí)評(píng)估見(jiàn)和

———(8.9.2,9.2.29.7.3);

增加了復(fù)合產(chǎn)品評(píng)估安全保障組件見(jiàn)和

———(9.9,10.8,12.10,13.614.4)。

本文件等同采用信息安全網(wǎng)絡(luò)安全和隱私保護(hù)信息技術(shù)安全評(píng)估準(zhǔn)

ISO/IEC15408-3:2022《、

則第部分安全保障組件

3:》。

本文件做了下列最小限度的編輯性改動(dòng)

:

為與現(xiàn)有標(biāo)準(zhǔn)協(xié)調(diào)將標(biāo)準(zhǔn)名稱(chēng)改為網(wǎng)絡(luò)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第部分安

———,《3:

全保障組件

》;

增加了資料性附錄縮略語(yǔ)

———NA“”。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專(zhuān)利本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專(zhuān)利的責(zé)任

。。

本文件由全國(guó)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出和歸口

(SAC/TC260)。

本文件起草單位中國(guó)信息安全測(cè)評(píng)中心中國(guó)合格評(píng)定國(guó)家認(rèn)可中心公安部第三研究所中國(guó)電

:、、、

子科技集團(tuán)公司第十五研究所清華大學(xué)華為技術(shù)有限公司北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司中國(guó)

、、、、

科學(xué)院信息工程研究所復(fù)旦大學(xué)武漢大學(xué)吉首大學(xué)浙江大華技術(shù)股份有限公司中科信息安全共

、、、、、

性技術(shù)國(guó)家工程研究中心有限公司吉林信息安全測(cè)評(píng)中心陜西省網(wǎng)絡(luò)與信息安全測(cè)評(píng)中心成都虛

、、、

谷偉業(yè)科技有限公司安徽中科國(guó)創(chuàng)高可信軟件有限公司北京中測(cè)安華科技有限公司榮耀終端有限

、、、

公司科來(lái)網(wǎng)絡(luò)技術(shù)股份有限公司醫(yī)渡云北京技術(shù)有限公司北京中電華大電子設(shè)計(jì)有限責(zé)任公司

、、()、、

合肥天帷信息安全技術(shù)有限公司北京數(shù)安行科技有限公司金篆信科有限責(zé)任公司

、、。

本文件主要起草人張寶峰畢海英鄧輝高金萍楊永生石竑松謝仕華賈煒許源李鳳娟

:、、、、、、、、、、

Ⅴ

GB/T183363—2024/ISO/IEC15408-32022

.:

牛興榮李洪孟亞豪武騰董晶晶葉曉俊姚俊寧王龑劉奇旭馮云徐志鵬程軍軍余榮威

、、、、、、、、、、、、、

李宗壽應(yīng)天元郭昊劉占豐胡建勛閆育蕓明玉琢蘇德財(cái)紀(jì)金龍黃海軍陳泓金左堅(jiān)朱克雷

、、、、、、、、、、、、、

朱瑞瑾駱揚(yáng)毛軍捷王宇航陳佳哲魏偉梁文韜劉戩武建雙劉玉紅薛智慧伊鵬達(dá)孫蕊剛

、、、、、、、、、、、、、

吳雅笛朱業(yè)

、。

本文件于年首次發(fā)布年第一次修訂年第二次修訂本次為

2001GB/T18336.3—2001,2008,2015,

第三次修訂

。

Ⅵ

GB/T183363—2024/ISO/IEC15408-32022

.:

引言

本文件定義的安全保障組件是在安全保障包保護(hù)輪廓模塊配置或安全目標(biāo)

、(PP)、PP-、PP-(ST)

中描述安全保障要求的基礎(chǔ)

。

這些要求建立了描述評(píng)估對(duì)象保障要求的標(biāo)準(zhǔn)方法本文件列出了一組保障組件族和

(TOE)。、

類(lèi)還定義了評(píng)估配置模塊和的準(zhǔn)則

,PP、PP-、PP-ST。

擬由五部分構(gòu)成

GB/T18336。

第部分簡(jiǎn)介和一般模型旨在對(duì)進(jìn)行整體概述定義信息技術(shù)安全評(píng)估的一

———1:。GB/T18336,

般概念和原則并給出評(píng)估的一般模型

,。

第部分安全功能組件旨在建立一套可用于描述安全功能要求的功能組件標(biāo)準(zhǔn)化模板

———2:。。

這些功能組件按類(lèi)和族的方式進(jìn)行結(jié)構(gòu)化組織通過(guò)組件選擇細(xì)化裁剪等方式構(gòu)造出具體

,、、

的安全功能要求

。

第部分安全保障組件旨在建立一套可用于描述安全保障要求的保障組件標(biāo)準(zhǔn)化模板

———3:。。

這些安全保障組件按類(lèi)和族的方式進(jìn)行結(jié)構(gòu)化組織定義針對(duì)和進(jìn)行評(píng)估的準(zhǔn)

,PP、STTOE

則通過(guò)組件選擇細(xì)化裁剪等方式構(gòu)造出具體的安全保障要求

,、、。

第部分評(píng)估方法和活動(dòng)的規(guī)范框架旨在為規(guī)范評(píng)估方法和活動(dòng)提供一個(gè)標(biāo)準(zhǔn)化框架

———4:。。

這些評(píng)估方法和活動(dòng)包含在及任意支持這些方法和活動(dòng)的文檔中供評(píng)估者基于

PP、ST,

其他部分中描述的模型開(kāi)展評(píng)估工作

GB/T18336。

第部分預(yù)定義的安全要求包旨在提供利益相關(guān)者通常使用的安全保障要求和安全功能

———5:。

要求的包提供的包示例包括評(píng)估保障級(jí)和組合保障包

,(EAL)(CAP)。

本文件的目標(biāo)讀者主要包括安全產(chǎn)品的消費(fèi)者開(kāi)發(fā)者技術(shù)工作組評(píng)估者等

IT、、、。GB/T18336.1—

的第章提供了關(guān)于的目標(biāo)讀者以及目標(biāo)讀者群體如何使用的補(bǔ)充

20245GB/T18336,GB/T18336

信息這些讀者群體按如下方式使用本文件

。:

消費(fèi)者選取組件描述保障要求以滿(mǎn)足或中提出的安全目的從而確定所需的安全保

a),,PPST,

障級(jí)別時(shí)都可使用本文件

;

開(kāi)發(fā)者在構(gòu)造以響應(yīng)實(shí)際的或預(yù)想的消費(fèi)者安全要求時(shí)可參考本文件以解釋保障

b),TOE,,

要求陳述并確定的保障方法

TOE;

評(píng)估者在確定的保障級(jí)別以及評(píng)估和時(shí)使用本文件所定義的保障要求作為評(píng)

c),TOEPPST,

估準(zhǔn)則的強(qiáng)制性陳述

。

注本文件在某些情況下使用粗體字和斜體字來(lái)區(qū)分術(shù)語(yǔ)和其余部分文本族內(nèi)組件之間的關(guān)系約定使用粗體突

:。

出顯示對(duì)所有新的要求也約定使用粗體字對(duì)于分層的組件當(dāng)要求被增強(qiáng)或修改且超出了前一個(gè)組件的

,。,,

要求時(shí)以粗體顯示此外除了前面的組件之外任何新的或增強(qiáng)的允許操作也使用粗體突出顯示約定使

,。,,。

用斜體來(lái)表示具有精確含義的文本對(duì)于安全保障要求該約定也適用于與評(píng)估相關(guān)的特殊動(dòng)詞

。,。

Ⅶ

GB/T183363—2024/ISO/IEC15408-32022

.:

網(wǎng)絡(luò)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則

第3部分安全保障組件

:

1范圍

本文件定義了的保障要求包括組成中包含的評(píng)估保障級(jí)和其

ISO/IEC15408,ISO/IEC15408-5

他包的各個(gè)保障包以及配置模塊和的評(píng)估準(zhǔn)則

,PP、PP-、PP-ST。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款其中注日期的引用文

。,

件僅該日期對(duì)應(yīng)的版本適用于本文件不注日期的引用文件其最新版本包括所有的修改單適用于

,;,()

本文件

。

網(wǎng)絡(luò)安全技術(shù)信息技術(shù)安全評(píng)估方法

GB/T30270—202