信息安全技術(shù) 辦公設(shè)備安全測(cè)試方法-編制說(shuō)明

工作簡(jiǎn)況任務(wù)來(lái)源本項(xiàng)目為2012年的標(biāo)準(zhǔn)編制項(xiàng)目，名為“信息安全技術(shù)硬拷貝設(shè)備安全測(cè)試評(píng)價(jià)方法”（以下簡(jiǎn)稱《測(cè)評(píng)方法》），計(jì)劃號(hào)為20130341-T-469。該標(biāo)準(zhǔn)以《信息安全技術(shù)辦公設(shè)備基本安全要求》（GB/T29244-2012）為基礎(chǔ)，制定了對(duì)辦公設(shè)備安全要求進(jìn)行測(cè)試評(píng)價(jià)的方法。本項(xiàng)目由中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院承擔(dān)，參與單位包括西安電子科技大學(xué)、國(guó)家辦公設(shè)備與耗材質(zhì)量監(jiān)督檢驗(yàn)中心、珠海天威飛馬打印耗材有限公司、方正科技集團(tuán)股份有限公司、珠海賽納打印科技股份有限公司、天津復(fù)印機(jī)技術(shù)研究所、東莞市金翔電器設(shè)備有限公司、天津光電通信技術(shù)有限公司、河北漢光重工有限責(zé)任公司等國(guó)內(nèi)單位，以及中國(guó)惠普有限公司、佳能（中國(guó)）有限公司、柯尼卡美能達(dá)（中國(guó)）投資有限公司、上海富士施樂(lè)有限公司、夏普辦公設(shè)備（常熟）有限公司、三星電子（山東）數(shù)碼打印機(jī)有限公司、愛(ài)普生（中國(guó)）有限公司等國(guó)外企業(yè)。主要工作過(guò)程1.2013年2月，成立標(biāo)準(zhǔn)編制組考慮到辦公設(shè)備的產(chǎn)業(yè)現(xiàn)狀，標(biāo)準(zhǔn)編制組廣泛吸收了國(guó)內(nèi)的研究機(jī)構(gòu)、質(zhì)檢機(jī)構(gòu)、辦公設(shè)備企業(yè)參與到標(biāo)準(zhǔn)研制工作，同時(shí)按照相關(guān)程序，接受了部分國(guó)外企業(yè)作為觀察成員，參與標(biāo)準(zhǔn)研制過(guò)程。2.2013年3月，調(diào)研國(guó)內(nèi)外辦公設(shè)備安全標(biāo)準(zhǔn)現(xiàn)狀研究現(xiàn)有國(guó)內(nèi)外辦公設(shè)備安全相關(guān)標(biāo)準(zhǔn)，分析各自特點(diǎn)，學(xué)習(xí)借鑒，主要包括：《信息安全技術(shù)辦公設(shè)備基本安全要求》（GB/T29244-2012）《IEEEStandardforInformationTechnology:HardcopyDeviceandSystemSecurity》（IEEE2600-2008）《IEEEStandardforaProtectionProfileinOperationalEnvironmentA/B/C/D》（IEEE2600.1~4-2009）GB/T18336.1～3-2015(ISO／IEC15408-1～3－2005)《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T22239—2008）《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》（GB/T28448-2012）3.2013年4月，調(diào)研國(guó)內(nèi)辦公設(shè)備安全測(cè)評(píng)需求與產(chǎn)業(yè)現(xiàn)狀2013年4月，與國(guó)內(nèi)外辦公設(shè)備廠商、國(guó)家辦公設(shè)備與耗材質(zhì)量監(jiān)督檢驗(yàn)中心等代表進(jìn)行研討，并到個(gè)別廠商和政府機(jī)構(gòu)實(shí)地調(diào)研情況，了解辦公設(shè)備的安全現(xiàn)狀與測(cè)評(píng)需求。4.2013年5月，召開(kāi)標(biāo)準(zhǔn)啟動(dòng)會(huì)，確定標(biāo)準(zhǔn)范圍和框架2013年5月編制組召開(kāi)標(biāo)準(zhǔn)啟動(dòng)會(huì)，與參與單位共同討論，明確了標(biāo)準(zhǔn)的適用范圍和草案框架。5.2013年6月-7月，初步形成標(biāo)準(zhǔn)草案，小范圍征求意見(jiàn)。根據(jù)標(biāo)準(zhǔn)草案框架，編制標(biāo)準(zhǔn)草案初稿，并于2013年7月底召開(kāi)標(biāo)準(zhǔn)內(nèi)部研討會(huì)，與編制組成員進(jìn)行研討，并小范圍征求專家意見(jiàn)。6.2013年8月-10月，完善標(biāo)準(zhǔn)草案，召開(kāi)標(biāo)準(zhǔn)草案審查會(huì)編制組根據(jù)標(biāo)準(zhǔn)內(nèi)部研討會(huì)的意見(jiàn)，完成標(biāo)準(zhǔn)草案。2013年10月信安標(biāo)委秘書(shū)處組織了標(biāo)準(zhǔn)草案審查會(huì)，評(píng)審專家對(duì)標(biāo)準(zhǔn)內(nèi)容提出了修改意見(jiàn)。7.2013年11月-12月，修改完善標(biāo)準(zhǔn)草案，召開(kāi)標(biāo)準(zhǔn)草案研討會(huì)編制組根據(jù)審查會(huì)的專家意見(jiàn)，重新梳理了標(biāo)準(zhǔn)研制思路，并進(jìn)行了任務(wù)分工，完善了標(biāo)準(zhǔn)草案。2013年12月，信安標(biāo)委秘書(shū)處組織了標(biāo)準(zhǔn)草案研討會(huì)，進(jìn)一步對(duì)標(biāo)準(zhǔn)制定內(nèi)容進(jìn)行討論。8.2014年1月-2015年9月，修改完善標(biāo)準(zhǔn)草案，開(kāi)展標(biāo)準(zhǔn)實(shí)驗(yàn)驗(yàn)證為了驗(yàn)證標(biāo)準(zhǔn)的合理性和可操作性，編制組搭建了辦公設(shè)備安全標(biāo)準(zhǔn)驗(yàn)證環(huán)境，對(duì)主流品牌多款辦公設(shè)備產(chǎn)品開(kāi)展了大量安全測(cè)評(píng)實(shí)驗(yàn)，包括辦公設(shè)備的安全漏洞掃描、硬盤(pán)數(shù)據(jù)恢復(fù)、網(wǎng)絡(luò)協(xié)議分析等，并研發(fā)配備了數(shù)據(jù)恢復(fù)、安全檢測(cè)等多款測(cè)評(píng)工具。在測(cè)評(píng)實(shí)驗(yàn)驗(yàn)證的基礎(chǔ)上，編制組對(duì)標(biāo)準(zhǔn)草案進(jìn)一步修改完善，形成了標(biāo)準(zhǔn)草案第二版。信安標(biāo)委秘書(shū)處于2014年6月、2014年11月、2015年5月分別組織三次標(biāo)準(zhǔn)草案研討會(huì)，進(jìn)一步對(duì)標(biāo)準(zhǔn)內(nèi)容進(jìn)行討論。8.2015年9月-2016年3月，修改完善標(biāo)準(zhǔn)草案根據(jù)前期標(biāo)準(zhǔn)研討會(huì)的專家意見(jiàn)，將標(biāo)準(zhǔn)草案進(jìn)行完善，并參考國(guó)家等級(jí)保護(hù)系列標(biāo)準(zhǔn)對(duì)標(biāo)準(zhǔn)草案的內(nèi)容邏輯和文字描述進(jìn)行修改，形成標(biāo)準(zhǔn)草案第三版。2016年3月，陸續(xù)征求了幾位專家對(duì)標(biāo)準(zhǔn)草案的意見(jiàn)，并進(jìn)行了相應(yīng)完善。9.2016年4月，召開(kāi)標(biāo)準(zhǔn)草案審查會(huì)，專家同意形成征求意見(jiàn)稿2016年4月25日，召開(kāi)標(biāo)準(zhǔn)草案審查會(huì)，會(huì)議專家同意形成征求意見(jiàn)稿，并根據(jù)此標(biāo)準(zhǔn)研討會(huì)的專家意見(jiàn)，將標(biāo)準(zhǔn)名稱由《信息安全技術(shù)硬拷貝設(shè)備安全測(cè)試評(píng)價(jià)方法》改為《信息安全技術(shù)辦公設(shè)備安全測(cè)試評(píng)價(jià)方法》。10.2016年10月，標(biāo)準(zhǔn)周審查該標(biāo)準(zhǔn)，同意形成征求意見(jiàn)稿2016年10月14日召開(kāi)內(nèi)部專家評(píng)審會(huì)，會(huì)議專家對(duì)標(biāo)準(zhǔn)草案提出一些修改意見(jiàn)，修改后形成標(biāo)準(zhǔn)草案第9稿。10月19日，該標(biāo)準(zhǔn)參加成都信息安全標(biāo)準(zhǔn)周會(huì)議，會(huì)議同意該標(biāo)準(zhǔn)形成征求意見(jiàn)稿，但是標(biāo)準(zhǔn)名稱更改未獲同意，名稱仍為《信息安全技術(shù)硬拷貝設(shè)備安全測(cè)試評(píng)價(jià)方法》。編制原則和主要內(nèi)容2.1編制原則本標(biāo)準(zhǔn)的研究與編制工作遵循以下原則：一是以GB/T29244-2012標(biāo)準(zhǔn)為基礎(chǔ)?！稖y(cè)評(píng)方法》是《信息安全技術(shù)辦公設(shè)備基本安全要求》（GB/T29244-2012）對(duì)應(yīng)的安全測(cè)評(píng)標(biāo)準(zhǔn)，因此標(biāo)準(zhǔn)編制中針對(duì)GB/T29244-2012的每一條辦公設(shè)備安全要求，提出了相應(yīng)的安全測(cè)評(píng)方法，力求做到一一對(duì)應(yīng)，沒(méi)有遺漏。二是支持靈活的測(cè)評(píng)方法。由于辦公設(shè)備類型多樣，并且越來(lái)越網(wǎng)絡(luò)化、智能化，辦公設(shè)備的安全測(cè)評(píng)方法也在不斷發(fā)展變化，因此本標(biāo)準(zhǔn)在編制中盡量保持技術(shù)中立，只對(duì)安全要求的測(cè)評(píng)提出要求，而不限制具體的測(cè)評(píng)實(shí)現(xiàn)方法，保持了辦公設(shè)備安全測(cè)評(píng)方法的靈活性。三是考慮可操作性和實(shí)用性。為了確保標(biāo)準(zhǔn)的可操作性和實(shí)用性，標(biāo)準(zhǔn)編制從兩方面著手，一方面標(biāo)準(zhǔn)編制組廣泛吸收了在國(guó)內(nèi)辦公設(shè)備市場(chǎng)的主流國(guó)內(nèi)和國(guó)外辦公設(shè)備廠商作為標(biāo)準(zhǔn)編制組成員；另一方面標(biāo)準(zhǔn)編制過(guò)程中，開(kāi)展了大量了辦公設(shè)備產(chǎn)品安全測(cè)評(píng)實(shí)驗(yàn)，為標(biāo)準(zhǔn)合理性和可操作性驗(yàn)證提供了支撐。2.2主要內(nèi)容《測(cè)評(píng)方法》是GB/T29244-2012《信息安全技術(shù)辦公設(shè)備基本安全要求》對(duì)應(yīng)的測(cè)評(píng)標(biāo)準(zhǔn)，規(guī)定了對(duì)辦公設(shè)備安全要求進(jìn)行測(cè)試評(píng)價(jià)的方法。該標(biāo)準(zhǔn)適用于對(duì)辦公設(shè)備具有安全要求的機(jī)構(gòu)，對(duì)采購(gòu)或使用的辦公設(shè)備產(chǎn)品進(jìn)行安全測(cè)評(píng)，也可為辦公設(shè)備供應(yīng)商提供產(chǎn)品安全設(shè)計(jì)的參考，但不適用于涉及國(guó)家秘密的信息處理環(huán)境?！稖y(cè)評(píng)方法》在“測(cè)評(píng)概述”中介紹了辦公設(shè)備安全測(cè)評(píng)的測(cè)評(píng)依據(jù)、測(cè)評(píng)實(shí)施過(guò)程、測(cè)評(píng)方法、測(cè)試環(huán)境和對(duì)辦公設(shè)備供應(yīng)商的要求。其中，測(cè)評(píng)實(shí)施過(guò)程將辦公設(shè)備安全測(cè)評(píng)分成測(cè)評(píng)準(zhǔn)備、測(cè)評(píng)計(jì)劃開(kāi)發(fā)、現(xiàn)場(chǎng)測(cè)評(píng)、綜合分析四個(gè)階段。測(cè)評(píng)方法，包括訪談、檢查、測(cè)試三種方法。測(cè)試環(huán)境，則給出了一個(gè)典型的辦公設(shè)備安全測(cè)評(píng)的實(shí)驗(yàn)室環(huán)境。針對(duì)GB/T29244-2012的每一項(xiàng)辦公設(shè)備安全要求，《測(cè)評(píng)方法》在“測(cè)評(píng)規(guī)程”中給出了相應(yīng)的安全測(cè)評(píng)方法，主要包括：標(biāo)識(shí)和鑒別訪問(wèn)控制安全審計(jì)殘余信息保護(hù)系統(tǒng)功能維護(hù)會(huì)話可移動(dòng)非易失性存儲(chǔ)密碼要求安全屬性管理數(shù)據(jù)管理用戶角色管理主要試驗(yàn)（或驗(yàn)證）的分析、綜述報(bào)告，技術(shù)經(jīng)濟(jì)論證，預(yù)期的經(jīng)濟(jì)效果編制組搭建了辦公設(shè)備安全標(biāo)準(zhǔn)驗(yàn)證環(huán)境，根據(jù)《測(cè)評(píng)方法》標(biāo)準(zhǔn)草案要求，對(duì)HP、三星、理光、兄弟、佳能等主流品牌多款辦公設(shè)備產(chǎn)品開(kāi)展了大量安全測(cè)評(píng)實(shí)驗(yàn)，涉及身份鑒別、訪問(wèn)控制、殘余信息保護(hù)、安全審計(jì)、遠(yuǎn)程維護(hù)、系統(tǒng)功能等多個(gè)方面，標(biāo)準(zhǔn)的合理性和可操作性效果良好。采用國(guó)際標(biāo)準(zhǔn)和國(guó)外先進(jìn)標(biāo)準(zhǔn)的程度，以及與國(guó)際、國(guó)外同類標(biāo)準(zhǔn)水平的對(duì)比情況，或與測(cè)試的國(guó)外樣品、樣機(jī)的有關(guān)數(shù)據(jù)對(duì)比情況信息安全標(biāo)準(zhǔn)已經(jīng)成為網(wǎng)絡(luò)空間國(guó)際競(jìng)爭(zhēng)的戰(zhàn)略制高點(diǎn)。特別是，辦公設(shè)備安全標(biāo)準(zhǔn)及其背后的管理政策將會(huì)對(duì)辦公設(shè)備產(chǎn)業(yè)造成重大影響，也將限制國(guó)外辦公設(shè)備供應(yīng)商滲透到我國(guó)敏感部門和重要行業(yè)，這必然會(huì)引起國(guó)外企業(yè)的強(qiáng)烈反應(yīng)。為此，編制組專門分析、參考、吸收了國(guó)外辦公設(shè)備信息安全相關(guān)標(biāo)準(zhǔn)，主要包括：《硬拷貝設(shè)備和系統(tǒng)安全》（IEEE2600-2008）。這是硬拷貝設(shè)備的國(guó)際標(biāo)準(zhǔn)，用于指導(dǎo)制造商或用戶硬拷貝設(shè)備和系統(tǒng)的安全安裝、配置或使用?！禔類操作環(huán)境的硬拷貝設(shè)備保護(hù)輪廓》（IEEE2600.1-2009）。這是適用于A類操作環(huán)境下硬拷貝設(shè)備的保護(hù)輪廓（PP）國(guó)際標(biāo)準(zhǔn)，A類環(huán)境通常是HIPAA、PCIDSS，或高保密性的環(huán)境。《B類操作環(huán)境的硬拷貝設(shè)備保護(hù)輪廓》（IEEE2600.2-2009）。這是適用于B類操作環(huán)境下硬拷貝設(shè)備的保護(hù)輪廓（PP）國(guó)際標(biāo)準(zhǔn)，B類環(huán)境常見(jiàn)于中到大型企業(yè)，或政府部門中（不需要高級(jí)安全的）?！禖類操作環(huán)境的硬拷貝設(shè)備保護(hù)輪廓》（IEEE2600.3-2009）。這是適用于C類操作環(huán)境下硬拷貝設(shè)備的保護(hù)輪廓（PP）國(guó)際標(biāo)準(zhǔn)，C類環(huán)境是服務(wù)于公眾的環(huán)境?！禗類操作環(huán)境的硬拷貝設(shè)備保護(hù)輪廓》（IEEE2600.4-2009）。這是適用于D類操作環(huán)境下硬拷貝設(shè)備的保護(hù)輪廓（PP）國(guó)際標(biāo)準(zhǔn)，D類環(huán)境通常是遠(yuǎn)程工作環(huán)境，或小到中型企業(yè)。由于GB/T29244-2012標(biāo)準(zhǔn)主要參考了IEEE2600.1-2009國(guó)際標(biāo)準(zhǔn)，本標(biāo)準(zhǔn)在GB/T29244-2012標(biāo)準(zhǔn)的基礎(chǔ)上，力求在技術(shù)要素上覆蓋國(guó)際權(quán)威標(biāo)準(zhǔn)。同時(shí)，為落實(shí)國(guó)家對(duì)辦公設(shè)備信息安全管理的政策要求，標(biāo)準(zhǔn)在保持技術(shù)中立的前提下，提出了大量擴(kuò)展要求。與有關(guān)的現(xiàn)行法律、法規(guī)和強(qiáng)制性國(guó)家標(biāo)準(zhǔn)的關(guān)系《測(cè)評(píng)方法》符合現(xiàn)有法律法規(guī)?！稖y(cè)評(píng)方法》是GB/T29244-2012《信息安全技術(shù)辦公設(shè)備基本安全要求》配套的測(cè)評(píng)標(biāo)準(zhǔn)，規(guī)定了對(duì)辦公設(shè)備安全要求進(jìn)行測(cè)試評(píng)價(jià)的要求?！稖y(cè)評(píng)方法》與GB/T18336-2015《信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則》不矛盾、不沖突?！稖y(cè)評(píng)方法》是針對(duì)辦公設(shè)備安全保護(hù)輪廓的安全測(cè)評(píng)方法?！稖y(cè)評(píng)方法》與GB/T28448-2012《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》不矛盾、不沖突。等級(jí)保護(hù)標(biāo)準(zhǔn)是針對(duì)信息系統(tǒng)，沒(méi)有覆蓋辦公設(shè)備的安全等級(jí)測(cè)評(píng)。重大分歧意見(jiàn)的處理經(jīng)過(guò)和依據(jù)詳見(jiàn)標(biāo)準(zhǔn)意見(jiàn)匯總處理表。國(guó)家標(biāo)準(zhǔn)作為強(qiáng)制性國(guó)家標(biāo)準(zhǔn)或推薦性國(guó)家標(biāo)準(zhǔn)的建議建議本標(biāo)準(zhǔn)作為推薦性國(guó)家標(biāo)準(zhǔn)發(fā)布實(shí)施。貫徹國(guó)家標(biāo)準(zhǔn)的要求和措施建議（包括組織措施、技術(shù)措施、過(guò)渡辦法等內(nèi)容）本標(biāo)準(zhǔn)作為辦公設(shè)備安全標(biāo)準(zhǔn)體系的一部分，配合實(shí)施。其他事項(xiàng)說(shuō)明