信息安全技術(shù) 網(wǎng)絡(luò)存儲安全技術(shù)要求-編制說明

國家標(biāo)準(zhǔn)報批資料一、工作簡況《信息安全技術(shù)網(wǎng)絡(luò)存儲安全技術(shù)要求》是國家互聯(lián)網(wǎng)信息辦公室2016年下達的信息安全國家標(biāo)準(zhǔn)制定項目。本標(biāo)準(zhǔn)為自主制定標(biāo)準(zhǔn)，標(biāo)準(zhǔn)編制單位由華為技術(shù)有限公司、公安部第三研究所、華中科技大學(xué)、上海交通大學(xué)、北京匡恩網(wǎng)絡(luò)科技有限責(zé)任公司、杭州?？低晹?shù)字技術(shù)股份有限公司、中國電子技術(shù)標(biāo)準(zhǔn)化研究院、聯(lián)想（北京）信息技術(shù)有限公司、中國信息安全測評中心、浪潮電子信息產(chǎn)業(yè)股份有限公司等單位組成，歸口單位為全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會（簡稱信息安全標(biāo)委會，TC260）。二、標(biāo)準(zhǔn)編制原則和確定主要內(nèi)容的論據(jù)及解決的主要問題隨著信息技術(shù)的發(fā)展與應(yīng)用，我們正在由信息時代走向數(shù)據(jù)時代，數(shù)據(jù)也呈海量模式增長，這就必然需要大量的存儲設(shè)備能夠承載海量數(shù)據(jù)的存儲工作。數(shù)據(jù)集中存儲所帶來的數(shù)據(jù)價值集中性不斷地提升存儲設(shè)備在整個網(wǎng)絡(luò)中的重要性，同時也大大增加了存儲設(shè)備所面臨的安全威脅。針對于此，國家在政策層面做出了指導(dǎo)，《國家中長期科學(xué)和技術(shù)發(fā)展規(guī)劃綱要（2006━2020年）》中明確要求建立可保障核心應(yīng)用的信息安全的安全存儲。然而要實現(xiàn)可保證核心應(yīng)用信息安全的存儲，就必須在整個存儲行業(yè)內(nèi)有一套存儲安全技術(shù)方面的標(biāo)準(zhǔn)，以達到牽引存儲產(chǎn)品的安全能力共同發(fā)展的目的。目前存儲行業(yè)中存儲技術(shù)和架構(gòu)達成共識的是網(wǎng)絡(luò)存儲，因此本標(biāo)準(zhǔn)致力于規(guī)定出網(wǎng)絡(luò)存儲的安全技術(shù)要求。另一方面，網(wǎng)絡(luò)存儲安全技術(shù)標(biāo)準(zhǔn)的統(tǒng)一也有助于減小對于整個存儲市場不同網(wǎng)絡(luò)存儲產(chǎn)品安全能力的評估難度；同時，可以讓使用網(wǎng)絡(luò)存儲的用戶對于網(wǎng)絡(luò)存儲的安全能力有一個清晰的認(rèn)識，進而更好地建設(shè)自有信息系統(tǒng)。本標(biāo)準(zhǔn)的研究與編制工作遵循以下原則：1、規(guī)范性原則嚴(yán)格按照國家標(biāo)準(zhǔn)編制流程進行標(biāo)準(zhǔn)的編制工作，力求達到編制的標(biāo)準(zhǔn)思路清晰、邏輯合理、文本規(guī)范、內(nèi)容完整。2、協(xié)調(diào)一致性原則廣泛征求業(yè)界專家的意見，同時充分考慮相關(guān)標(biāo)準(zhǔn)的關(guān)聯(lián)關(guān)系，力求達到編制標(biāo)準(zhǔn)的不同使用方的協(xié)調(diào)一致和標(biāo)準(zhǔn)之間的協(xié)調(diào)統(tǒng)一。3、可操作性和實用性原則利用多年的實踐經(jīng)驗，結(jié)合行業(yè)現(xiàn)狀進行標(biāo)準(zhǔn)的編制，力求標(biāo)準(zhǔn)在具體執(zhí)行中操作性和實用性強。4、等級劃分原則本標(biāo)準(zhǔn)參照網(wǎng)絡(luò)存儲市場產(chǎn)品分為低端系列、中端系列和高端系列三個級別，對應(yīng)的安全能力為低、中和高三類的現(xiàn)狀，將網(wǎng)絡(luò)存儲安全功能要求按安全能力的強弱分為第一級、第二級、第三級共三個等級，將網(wǎng)絡(luò)存儲安全保障要求按保障力度的大小分為第一級、第二級、第三級共三個等級，在選擇安全功能要求和安全保障要求級別時，滿足所選取安全保障要求的級別不低于安全功能要求的級別。若涉及到等級保護系統(tǒng)選擇網(wǎng)絡(luò)存儲產(chǎn)品時，建議：1）用戶自主保護級和系統(tǒng)審計保護級的等級保護系統(tǒng)選擇滿足或高于第一級安全功能要求和安全保障要求的網(wǎng)絡(luò)存儲產(chǎn)品；2）安全標(biāo)記保護級的等級保護系統(tǒng)選擇滿足或高于第二級安全功能要求和安全保障要求的網(wǎng)絡(luò)存儲產(chǎn)品；3）結(jié)構(gòu)化保護級和訪問驗證保護級的等級保護系統(tǒng)選擇滿足第三級安全功能要求和安全保障要求的網(wǎng)絡(luò)存儲產(chǎn)品。4）若等級保護系統(tǒng)選擇的存儲產(chǎn)品安全能力在上述建議情形之外，則系統(tǒng)需實施額外的安全措施，以保證整個系統(tǒng)滿足其等級保護級別的基本要求。5、科學(xué)性原則既充分考慮國內(nèi)外存儲行業(yè)目前的技術(shù)能力水平，又對于行業(yè)健康安全發(fā)展保持一定的前瞻性。三、主要試驗[或驗證]情況分析1、2016年6月，項目組組建臨時的標(biāo)準(zhǔn)預(yù)研組，對國內(nèi)外存儲技術(shù)、應(yīng)用、政策和標(biāo)準(zhǔn)進行調(diào)研分析，確定存儲安全技術(shù)要求標(biāo)準(zhǔn)化需求。2、2016年7月，成立正式的存儲安全技術(shù)要求標(biāo)準(zhǔn)編制組，由華為技術(shù)有限公司、公安部第三研究所、華中科技大學(xué)、上海交通大學(xué)等單位組成標(biāo)準(zhǔn)編制組，召開標(biāo)準(zhǔn)編制啟動工作會議，對標(biāo)準(zhǔn)編制背景、標(biāo)準(zhǔn)化內(nèi)容等進行了深入討論，確定了標(biāo)準(zhǔn)編制工作機制，確定了標(biāo)準(zhǔn)編制提綱，并根據(jù)編制提綱進行了任務(wù)分工。3、2016年7月21日，標(biāo)準(zhǔn)編制組進行了第一次編寫進度匯報討論，并對編寫的方向及章節(jié)進行了討論。4、2016年7月29——30日，標(biāo)準(zhǔn)編制組按照參與單位提供的資料匯總形成了國家標(biāo)準(zhǔn)《信息安全技術(shù)存儲安全技術(shù)要求》（第一版草案）。5、2016年9月，標(biāo)準(zhǔn)編制組召開標(biāo)準(zhǔn)草案修訂會議，對草案文本進行了討論，并根據(jù)修訂意見整理成第二版草案。6、2016年10月，編制組各參與單位對第二版草案章節(jié)取舍及分等級內(nèi)容進行了討論，并根據(jù)意見整理得到第三版草案。6、2016年11月編制組各參與單位確認(rèn)了交叉評審的內(nèi)容分配，11月14日討論了交叉評審意見，并根據(jù)意見整理得到第四版草案。7、2017年2——3月，編制組對第四版標(biāo)準(zhǔn)草案進行了全面深入的評審，對于發(fā)現(xiàn)的問題進行討論及修正，并于3月6日形成第五版草案。8、2017年3月17日，參加WG5專家評審會，并征求專家組的意見，會后修改整理形成第六版草案。9、2017年4月8日至12日，在TC260全會會議周上做了標(biāo)準(zhǔn)項目進展匯報，專家針對標(biāo)準(zhǔn)的對象范圍和對象定位提出了意見。10、2017年4月至5月，根據(jù)會議周上專家提出的意見，并與公安部專家共同商討確定修改方案，至6月上旬，對標(biāo)準(zhǔn)做了以下幾方面的修改： 1）標(biāo)準(zhǔn)參考體系：首先標(biāo)準(zhǔn)對象定位于產(chǎn)品，在同時參考《GB/T18336-2015信息技術(shù)安全技術(shù)IT安全性評估準(zhǔn)則》和《GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》的基礎(chǔ)上，并充分考慮標(biāo)準(zhǔn)的易用性，對其他幾方面作了修改。2）標(biāo)準(zhǔn)安全框架：重新從分析網(wǎng)絡(luò)存儲產(chǎn)品在通用業(yè)務(wù)場景中可能面臨的威脅出發(fā)，調(diào)整了標(biāo)準(zhǔn)的安全框架。3）標(biāo)準(zhǔn)章節(jié)劃分：對標(biāo)準(zhǔn)章節(jié)條目和內(nèi)容進行了合并同類項，使標(biāo)準(zhǔn)化繁為簡并滿足于修改后的安全框架。4）安全功能要求：刪除了部分產(chǎn)品功能之外的要求，以保證不擴大對象功能要求范圍；修改了安全功能要求的表述，提高了標(biāo)準(zhǔn)的易用性；5）安全保障要求：參照《GB/T18336-2015信息技術(shù)安全技術(shù)IT安全性評估準(zhǔn)則》規(guī)定了網(wǎng)絡(luò)存儲產(chǎn)品生命周期內(nèi)的安全性要求。6）等級劃分：在充分考慮網(wǎng)絡(luò)存儲產(chǎn)品市場現(xiàn)狀和今后發(fā)展以及產(chǎn)品應(yīng)用到系統(tǒng)時的操作性，對安全功能要求和安全保障要求進行了等級劃分，并且給出了不同級別的等級保護系統(tǒng)選取存儲安全要求等級時的對應(yīng)性建議。修改之后，形成了第七版草案。11、2017年6月21日，在北京召開WG5專家組評審會，與會專家對標(biāo)準(zhǔn)在會議周之后的修改成果表示贊同并提出了意見和建議，會后編寫組根據(jù)意見修改，形成了第八版草案。12、2017年6月29日，召集浪潮、聯(lián)想、?？低暤却鎯ο嚓P(guān)廠商在北京召開了編寫組研討會議，與會單位積極提出意見和建議，會后還征求了IBM專家的意見；本次會議及會后共收到53條意見和建議，這些意見涉及到了標(biāo)準(zhǔn)的多個方面，根據(jù)意見完成修改后，形成了第八版草案。13、2017年7月26日，在信安標(biāo)委WG5工作組2017年第一次會議周上，對標(biāo)準(zhǔn)進展做了匯報，標(biāo)準(zhǔn)順利進入征求意見稿階段，并獲得WG5工作組同意申請將標(biāo)準(zhǔn)名稱由《信息安全技術(shù)存儲安全技術(shù)要求》改為《信息安全技術(shù)網(wǎng)絡(luò)存儲安全技術(shù)要求》。14、2017年8月10日，組織召開了電話會議，有戴爾、聯(lián)想、IBM、公安三所、匡恩網(wǎng)絡(luò)等單位參加，討論了WG5工作組會議周期間收集到的意見處理情況，又充分聽取和收集了與會單位的意見，對于未能參會的?？低?、浪潮、電子四院等多個單位單獨進行了意見收集和溝通，對于收集到的意見進行修改并于8月17日整理得到征求意見稿。四、知識產(chǎn)權(quán)情況說明本標(biāo)準(zhǔn)不涉及專利。五、采用國際標(biāo)準(zhǔn)和國外先進標(biāo)準(zhǔn)情況未采用國際標(biāo)準(zhǔn)，本標(biāo)準(zhǔn)為存儲產(chǎn)品級國家標(biāo)準(zhǔn)，國內(nèi)無同類標(biāo)準(zhǔn)，國外只有系統(tǒng)級存儲標(biāo)準(zhǔn)。六、與現(xiàn)行相關(guān)法律、法規(guī)、規(guī)章及相關(guān)標(biāo)準(zhǔn)的協(xié)調(diào)性(一)貫徹國家有關(guān)政策與法規(guī)本標(biāo)準(zhǔn)中涉及的密碼算法遵循國家商用密碼的有關(guān)規(guī)定。本標(biāo)準(zhǔn)項目主要依據(jù)現(xiàn)有法律法規(guī)制定，與我國現(xiàn)行的法律、法規(guī)及國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)不存在沖突問題。（二）與相關(guān)國內(nèi)標(biāo)準(zhǔn)的關(guān)系標(biāo)準(zhǔn)編制過程中，參考了GB/T18336-1：2015《信息技術(shù)安全技術(shù)IT安全性評估準(zhǔn)則第1部分：簡介和一般模型》、GB/T18336-2：2015《信息技術(shù)安全技術(shù)IT安全性評估準(zhǔn)則第2部分：安全功能組件》、GB/T18336-3：2015《信息技術(shù)安全技術(shù)IT安全性評估準(zhǔn)則第3部分：安全保障組件》、GB17859-1999《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》等國家標(biāo)準(zhǔn)，保證標(biāo)準(zhǔn)相關(guān)內(nèi)容和已發(fā)布標(biāo)準(zhǔn)的一致性。七、重大分歧意見的處理經(jīng)過和依據(jù)專家在TC260全會會議周上針對標(biāo)準(zhǔn)的對象范圍、對象定位和分級原則提出了意見。編寫組在會后針對專家意見做了多次討論，最終進行了以下修改：1、標(biāo)準(zhǔn)參考體系：首先標(biāo)準(zhǔn)對象定位于產(chǎn)品，進一步細(xì)化了標(biāo)準(zhǔn)的對象和范圍。2、安全功能要求：刪除了部分產(chǎn)品功能之外的要求，以保證不擴大標(biāo)準(zhǔn)對象功能要求范圍；修改了安全功能要求的表述，提高了標(biāo)準(zhǔn)的易用性；3、安全保障要求：參照《GB/T18336-2015信息技術(shù)安全技術(shù)IT安全性評估準(zhǔn)則》規(guī)定了網(wǎng)絡(luò)存儲產(chǎn)品生命周期內(nèi)的安全性要求。4.等級劃分：本標(biāo)準(zhǔn)參照網(wǎng)絡(luò)存儲市場產(chǎn)品分為低端系列、中端系列和高端系列三個級別，對應(yīng)的安全能力為低、中和高三類的現(xiàn)狀，將存儲安全功能要求按安全能力的強弱分為第一級、第二級、第三級共三個等級，將存儲安全保障要求按保障力度的大小分為第一級、第二級、第三級共三個等級，在選擇安全功能要求和安全保障要求級別時，滿足所選取安全保障要求的級別不低于安全功能要求的級別。并且給出了不同級別的等級保護系統(tǒng)選取存儲安全要求等級時的對應(yīng)性建議。以上修改成果得到了專家組專家的高度認(rèn)可。八、標(biāo)準(zhǔn)性質(zhì)的建議本標(biāo)準(zhǔn)為推薦性標(biāo)準(zhǔn)。九、貫徹標(biāo)準(zhǔn)的要求和措施建議標(biāo)準(zhǔn)發(fā)布前，在存儲市場不同存儲廠商之間去論證標(biāo)準(zhǔn)的有效性。標(biāo)準(zhǔn)發(fā)布后，在安標(biāo)委指導(dǎo)下對進行標(biāo)準(zhǔn)的試點和推廣。十、替代或廢止現(xiàn)行相關(guān)標(biāo)準(zhǔn)的建議無。十一、其它應(yīng)予說明的事項編制組在標(biāo)準(zhǔn)編制過程中，進行了內(nèi)部討論、專家論證評審等過程。編制組對國內(nèi)外現(xiàn)狀做了大量調(diào)研，完成了標(biāo)準(zhǔn)草案編制工作。在整個過程中，編制組遵循編制原則，對專家提出的意見和建議做出認(rèn)真的應(yīng)答和處理，不斷對標(biāo)準(zhǔn)草案進行完善。本標(biāo)準(zhǔn)是信息安全技術(shù)要求系列標(biāo)準(zhǔn)的重要組成部分，用以指導(dǎo)如何設(shè)計、實現(xiàn)、測試、生產(chǎn)滿足相應(yīng)安全等級保護要求的存儲，同時可為后續(xù)建立針對存儲系統(tǒng)的安全能力測試規(guī)范作參考。是指導(dǎo)黨政機關(guān)、重要行業(yè)和關(guān)鍵領(lǐng)域采購