信息安全技術(shù) 服務(wù)器安全技術(shù)要求和測(cè)評(píng)準(zhǔn)則-編制說(shuō)明

任務(wù)來(lái)源按照全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)2018年信息安全標(biāo)準(zhǔn)項(xiàng)目立項(xiàng)通知（信安秘字[2018]028號(hào)），全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)啟動(dòng)了《信息安全技術(shù)服務(wù)器安全技術(shù)要求和測(cè)評(píng)準(zhǔn)則》的修訂工作。本標(biāo)準(zhǔn)將同時(shí)對(duì)GB/T21028-2007《信息安全技術(shù)服務(wù)器安全技術(shù)要求》和GB/T25063-2010《信息安全技術(shù)服務(wù)器安全測(cè)評(píng)要求》進(jìn)行修訂，并將兩項(xiàng)標(biāo)準(zhǔn)修訂為一項(xiàng)標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)修訂單位為浪潮電子信息產(chǎn)業(yè)股份有限公司、聯(lián)想（北京）有限公司、華為技術(shù)有限公司、曙光信息產(chǎn)業(yè)（北京）有限公司、中國(guó)信息通信研究院、公安部第三研究所、中國(guó)信息安全測(cè)評(píng)中心、中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院、中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心、藍(lán)盾信息安全技術(shù)股份有限公司、杭州華三通信技術(shù)有限公司等，主辦單位為浪潮電子信息產(chǎn)業(yè)股份有限公司，歸口單位為全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)（SAC/TC260）。編制背景服務(wù)器作為信息系統(tǒng)的重要組成部分，承載著數(shù)據(jù)和業(yè)務(wù)處理、存儲(chǔ)、傳輸?shù)热蝿?wù)，其安全性對(duì)于整個(gè)信息系統(tǒng)的安全至關(guān)重要。因此，2007年和2010年，我國(guó)相繼發(fā)布了GB/T21028-2007《信息安全技術(shù)服務(wù)器安全技術(shù)要求》和GB/T25063-2010《信息安全技術(shù)服務(wù)器安全測(cè)評(píng)要求》兩項(xiàng)服務(wù)器安全國(guó)家標(biāo)準(zhǔn)，為我國(guó)服務(wù)器安全建設(shè)起到積極的作用。但是，近來(lái)年，隨著云計(jì)算、大數(shù)據(jù)、移動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等新技術(shù)的廣泛使用，服務(wù)器作為其支撐平臺(tái)，其作用顯得更加重要。同時(shí)，網(wǎng)絡(luò)安全威脅也呈現(xiàn)下移趨勢(shì)，也越來(lái)越復(fù)雜性和多變，有效抵御威脅也面臨較大的挑戰(zhàn)。因此，在新的條件下，針對(duì)GB/T21028-2007《信息安全技術(shù)服務(wù)器安全技術(shù)要求》和GB/T25063-2010《信息安全技術(shù)服務(wù)器安全測(cè)評(píng)要求》兩項(xiàng)標(biāo)準(zhǔn)進(jìn)行修訂就十分必要。按照《國(guó)家標(biāo)準(zhǔn)委關(guān)于印發(fā)<推薦性標(biāo)準(zhǔn)集中復(fù)審工作方案>的通知》（國(guó)標(biāo)委綜合[2016]28號(hào)）要求，信安標(biāo)委于2016年開展了集中復(fù)審工作，并將復(fù)審結(jié)論上報(bào)國(guó)標(biāo)委，建議修訂78項(xiàng)信息安全國(guó)家標(biāo)準(zhǔn)，這兩項(xiàng)標(biāo)準(zhǔn)為需要修訂的國(guó)家標(biāo)準(zhǔn)之一。針對(duì)當(dāng)前服務(wù)器安全相關(guān)內(nèi)容進(jìn)行系統(tǒng)的梳理和分析，并進(jìn)行標(biāo)準(zhǔn)化，其根本目的在于盡可能減少服務(wù)器自身的安全風(fēng)險(xiǎn)，提高業(yè)務(wù)運(yùn)行和服務(wù)提供的安全性和可持續(xù)性。本標(biāo)準(zhǔn)修訂工作將吸取業(yè)界當(dāng)前服務(wù)器安全領(lǐng)域最佳實(shí)踐、新技術(shù)突破及產(chǎn)品研制成果，對(duì)GB/T21028-2007《信息安全技術(shù)服務(wù)器安全技術(shù)要求》和GB/T25063-2010《信息安全技術(shù)服務(wù)器安全測(cè)評(píng)要求》進(jìn)行修訂，形成一項(xiàng)標(biāo)準(zhǔn)《信息安全技術(shù)服務(wù)器安全技術(shù)要求和測(cè)評(píng)準(zhǔn)則》，主要對(duì)服務(wù)器安全功能安全求和安全保障要求及相應(yīng)測(cè)評(píng)準(zhǔn)則進(jìn)行了規(guī)范。編制原則本標(biāo)準(zhǔn)根據(jù)當(dāng)前產(chǎn)業(yè)界服務(wù)器安全最佳實(shí)踐，結(jié)合新技術(shù)發(fā)展和國(guó)內(nèi)實(shí)際應(yīng)用情況，提出適合于我國(guó)國(guó)情，具有較強(qiáng)可操作性的服務(wù)器安全標(biāo)準(zhǔn)。通過(guò)該標(biāo)準(zhǔn)的修訂及實(shí)踐，提升服務(wù)器自身安全能力，為服務(wù)器研制、生產(chǎn)、維護(hù)和測(cè)評(píng)提供指導(dǎo)。本標(biāo)準(zhǔn)的修訂遵循以下原則：符合性：應(yīng)符合國(guó)家有關(guān)政策法規(guī)的要求；兼容性：應(yīng)與已頒布實(shí)施的相關(guān)安全標(biāo)準(zhǔn)相協(xié)調(diào)；先進(jìn)性：充分考慮我國(guó)服務(wù)器實(shí)際安全技術(shù)水平和發(fā)展應(yīng)用，并保持一定的前瞻性。適用性：應(yīng)結(jié)合產(chǎn)業(yè)對(duì)服務(wù)器安全實(shí)際應(yīng)用需求中立性：公正、中立，不與任何利益攸關(guān)方發(fā)生關(guān)聯(lián)；簡(jiǎn)要過(guò)程說(shuō)明本標(biāo)準(zhǔn)為自主修訂，主要工作內(nèi)容是將GB/T21028-2007《信息安全技術(shù)服務(wù)器安全技術(shù)要求》和GB/T25063-2010《信息安全技術(shù)服務(wù)器安全測(cè)評(píng)要求》技術(shù)內(nèi)容修訂為符合服務(wù)器產(chǎn)業(yè)實(shí)際需要的安全要求。在本標(biāo)準(zhǔn)項(xiàng)目啟動(dòng)時(shí)已經(jīng)組建了一個(gè)申報(bào)小組，成員單位有浪潮電子信息產(chǎn)業(yè)股份有限公司、聯(lián)想（北京）有限公司、華為技術(shù)有限公司、曙光信息產(chǎn)業(yè)（北京）有限公司、中國(guó)信息通信研究院、公安部第三研究所、中國(guó)信息安全測(cè)評(píng)中心、中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院。在2017年11月至2018年2月組織兩次集中討論、以及小范圍溝通，形成修訂申報(bào)材料，包括申報(bào)書、建議書和標(biāo)準(zhǔn)草案。2018年4月參加信安標(biāo)委2018年第一次會(huì)議周提出修訂立項(xiàng)建議，于2018年7月在信安標(biāo)委正式立項(xiàng)，新立項(xiàng)的標(biāo)準(zhǔn)修訂計(jì)劃包括對(duì)GB/T21028-2007《信息安全技術(shù)服務(wù)器安全技術(shù)要求》和GB/T25063-2010《信息安全技術(shù)服務(wù)器安全測(cè)評(píng)要求》的修訂。2018年8月信安標(biāo)委下達(dá)標(biāo)準(zhǔn)計(jì)劃任務(wù)后，浪潮電子信息產(chǎn)業(yè)股份有限公司牽頭組織首次標(biāo)準(zhǔn)草案意見討論，由參編單位針對(duì)標(biāo)準(zhǔn)范圍的修改和標(biāo)準(zhǔn)內(nèi)容的擴(kuò)展進(jìn)行討論，并組織參編單位進(jìn)行標(biāo)準(zhǔn)草案的意見反饋。2018年9月，標(biāo)準(zhǔn)修訂組經(jīng)多次討論修改形成標(biāo)準(zhǔn)草案討論稿V2.0。2018年9月27日，浪潮電子信息產(chǎn)業(yè)股份有限公司牽頭組織標(biāo)準(zhǔn)編制會(huì)，與聯(lián)想（北京）有限公司、華為技術(shù)有限公司、中國(guó)信息通信研究院、中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院、中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心、藍(lán)盾信息安全技術(shù)股份有限公司、杭州華三通信技術(shù)有限公司等參編單位共同討論標(biāo)準(zhǔn)范圍、框架、技術(shù)要求內(nèi)容，并針對(duì)立項(xiàng)階段的專家意見進(jìn)行內(nèi)容修改，會(huì)后形成標(biāo)準(zhǔn)草案討論稿V3.0。2018年10月15日，標(biāo)準(zhǔn)修訂組參加信安標(biāo)委WG5組織的專家審查會(huì)，收集專家意見，并針對(duì)專家意見修改形成標(biāo)準(zhǔn)草案V3.3。2018年10月24日，標(biāo)準(zhǔn)修訂組參加信安標(biāo)委在青島召開的2018年第二次工作組“會(huì)議周”，收集WG5工作成員及專家的意見，并針對(duì)專家意見修改形成標(biāo)準(zhǔn)征求意見稿V1.1。2018年11月21日，標(biāo)準(zhǔn)修訂組參加信安標(biāo)委WG5在北京召開的專家審查會(huì)，收集相關(guān)專家的意見，并針對(duì)專家意見修改形成標(biāo)準(zhǔn)征求意見稿V1.2及配套的意見處理表和編制說(shuō)明。標(biāo)準(zhǔn)結(jié)構(gòu)本標(biāo)準(zhǔn)總體上將服務(wù)器安全技術(shù)要求分為安全功能要求和安全保障要求兩部分，并根據(jù)安全功能的強(qiáng)弱和安全保障的高低對(duì)安全技術(shù)要求進(jìn)行了安全等級(jí)劃分，即分為基本級(jí)和增強(qiáng)級(jí)兩個(gè)等級(jí)，最后針對(duì)安全技術(shù)要求提出了相應(yīng)的測(cè)評(píng)準(zhǔn)則。具體結(jié)構(gòu)如下：服務(wù)器安全技術(shù)要求安全功能要求：設(shè)備標(biāo)簽、硬件接口安全、固件安全（包含完整性保護(hù)、更新安全、固件恢復(fù)）、軟件安全、可靠運(yùn)行支持、安全管理（包含身份標(biāo)識(shí)與鑒別、授權(quán)與訪問(wèn)控制、安全審計(jì)、遠(yuǎn)程管理）安全保障要求：安全管理制度和組織、開發(fā)、指導(dǎo)性文檔、生命周期支持、測(cè)試、脆弱性評(píng)定、維護(hù)安全測(cè)評(píng)準(zhǔn)則本標(biāo)準(zhǔn)與GB/T21028-2007《信息安全技術(shù)服務(wù)器安全技術(shù)要求》和GB/T25063-2010《信息安全技術(shù)服務(wù)器安全測(cè)評(píng)要求》相比，主要修訂內(nèi)容如下：將原兩項(xiàng)標(biāo)準(zhǔn)合并為一項(xiàng)。大幅度增加固件安全及自身安全管理相關(guān)內(nèi)容，主要原因一是當(dāng)前針對(duì)服務(wù)器高級(jí)安全威脅主要目標(biāo)為服務(wù)器引導(dǎo)固件及帶外管理模塊固件及其他重要部件中的固件，一旦遭受惡意代碼攻擊，對(duì)整個(gè)服務(wù)器安全帶來(lái)極大的危害，急需加強(qiáng)這些方面的安全；二是GB/T21028-2007針對(duì)固件安全及自身設(shè)備的管理安全考慮得極少。此部分主要修改的內(nèi)容如下：保留原標(biāo)準(zhǔn)4.1.1設(shè)備標(biāo)簽部分，刪除了原標(biāo)準(zhǔn)部件標(biāo)簽條款；保留并修訂了原標(biāo)準(zhǔn)4.1.2設(shè)備可靠運(yùn)行支持部分，并把原標(biāo)準(zhǔn)4.1.3設(shè)備工作狀態(tài)監(jiān)控整合到該部分，見本標(biāo)準(zhǔn)5.1.5可靠運(yùn)行支持；刪除原標(biāo)準(zhǔn)4.1.4設(shè)備電磁防護(hù)、4.2.1安全監(jiān)控、4.2.3惡意代碼防護(hù)、4.2.4備份與故障恢復(fù)、4.2.6可信時(shí)間戳等章節(jié)；新增了5.1.2硬件接口安全、5.1.3固件安全部分；新增了固件安全管理部分，并從固件管理的實(shí)際安全需求出發(fā)，將原本標(biāo)準(zhǔn)4.3數(shù)據(jù)安全章節(jié)相關(guān)內(nèi)容和4.2.2安全審計(jì)相關(guān)內(nèi)容進(jìn)行了裁剪和修改，并整合到該部分；該部分主要從身份標(biāo)識(shí)與鑒別、授權(quán)與訪問(wèn)控制、安全審計(jì)、遠(yuǎn)程管理等方面提出更合理的安全功能要求。大幅度減少操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、應(yīng)用系統(tǒng)的安全內(nèi)容，主要原因?yàn)檫@些軟件系統(tǒng)目前已有成熟的國(guó)標(biāo)可以采用。此部分主要修改的內(nèi)容如下：刪除4.3數(shù)據(jù)安全章節(jié)，整體調(diào)整為引用操作系統(tǒng)和數(shù)據(jù)庫(kù)的標(biāo)準(zhǔn)；刪除了應(yīng)用系統(tǒng)相關(guān)內(nèi)容；規(guī)范性引用文件增加操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的引用。安全保障要求部分主要參考了GB/T18336.3-2015，并在此基礎(chǔ)上增加安全管理制度和組織、維護(hù)等內(nèi)容，主要原因一是原參考標(biāo)準(zhǔn)GB/T20271-2006標(biāo)齡已較長(zhǎng)，參考GB/T18336.3-2015對(duì)于本標(biāo)準(zhǔn)更合適；二是增加的安全管理制度和組織、維護(hù)等內(nèi)容為網(wǎng)絡(luò)安全法提出了相應(yīng)的要求，同時(shí)，只有建立有效的安全管理制度和組織才能真正保證安全保障活動(dòng)開展的質(zhì)量和可持續(xù)性。將GB/T21028-2007原劃分為五個(gè)等級(jí)調(diào)整為兩個(gè)等級(jí)，即基本級(jí)和增強(qiáng)級(jí)。劃分兩個(gè)等級(jí)主要是結(jié)合服務(wù)器安全技術(shù)發(fā)展情況及應(yīng)用需求，增強(qiáng)了標(biāo)準(zhǔn)的適用性和可操作性，可有效降低產(chǎn)業(yè)成本。劃分的依據(jù)：在安全功能方面的分級(jí)方面，基本級(jí)主要參考了網(wǎng)絡(luò)安全等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)中第一級(jí)和第二級(jí)的相關(guān)功能要求，增強(qiáng)級(jí)主要參考第三級(jí)的相關(guān)要求；在安全保障方面的分級(jí)方面，基本級(jí)主要參考了GB/T18336.3-2015EAL1、EAL2的要求，增強(qiáng)級(jí)主要參考了GB/T18336.3-2015EAL3的要求。專利說(shuō)明無(wú)。與有關(guān)的現(xiàn)行法律、法規(guī)和強(qiáng)制性國(guó)家標(biāo)準(zhǔn)的關(guān)系本標(biāo)準(zhǔn)符合現(xiàn)有法律法規(guī)的要求。本標(biāo)準(zhǔn)與現(xiàn)有國(guó)家標(biāo)準(zhǔn)不矛盾、不沖突，也不重復(fù)。重大分歧意見的處理經(jīng)過(guò)和依據(jù)本標(biāo)準(zhǔn)編制過(guò)程中未出現(xiàn)重大分歧。其他詳見意見匯總處理表。國(guó)家標(biāo)準(zhǔn)作為強(qiáng)制性國(guó)家標(biāo)準(zhǔn)或推薦性國(guó)家標(biāo)準(zhǔn)的建議建議作為推薦性國(guó)家標(biāo)準(zhǔn)發(fā)布實(shí)施。貫徹國(guó)家標(biāo)準(zhǔn)的要求和措施建議（包括組織措施、技術(shù)措施、過(guò)渡辦法等內(nèi)容）該標(biāo)準(zhǔn)為服務(wù)器研制、生產(chǎn)、維護(hù)和測(cè)評(píng)提供了指導(dǎo)。該標(biāo)準(zhǔn)在具體貫徹實(shí)施時(shí)，可要求相關(guān)測(cè)評(píng)認(rèn)證機(jī)構(gòu)采用該標(biāo)準(zhǔn)作為服務(wù)器的測(cè)評(píng)依據(jù)，如可使用在政府采購(gòu)設(shè)備的準(zhǔn)入測(cè)試，網(wǎng)絡(luò)安全等級(jí)保護(hù)制度下不同保護(hù)等級(jí)的信息系統(tǒng)對(duì)服務(wù)器安全的選型測(cè)評(píng)，《網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄（第一批）》中服務(wù)器測(cè)評(píng)和認(rèn)證，國(guó)內(nèi)相關(guān)單