信息安全技術 信息技術產(chǎn)品安全可控評價指標 第4部分：辦公套件-編制說明

工作簡況1.1任務來源根據(jù)中國電子信息產(chǎn)業(yè)發(fā)展研究院的申請，全國信息安全標準化技術委員會于2015年下達了《信息安全技術信息技術產(chǎn)品安全可控水平評價指標第4部分：辦公套件》國家標準制定任務。國家標準化委員會于2016年6月下達了《信息安全技術信息技術產(chǎn)品安全可控水平評價指標第4部分：辦公套件》國家標準制定計劃（計劃號：20160658-T-469），由中國電子信息產(chǎn)業(yè)發(fā)展研究院牽頭起草，起草單位包括珠海金山辦公軟件有限公司、無錫永中軟件有限公司、中標軟件有限公司、中國電子信息產(chǎn)業(yè)發(fā)展研究院、公安部第一研究所、中國電子技術標準化研究院、中國軟件評測中心等。1.2主要工作過程《信息安全技術信息技術產(chǎn)品安全可控水平評價指標第4部分：辦公套件》課題始于2015年7月，標準編制期間召開了3次10名以上專家參會的大型研討會，十余次小型研討會，電話、郵件、現(xiàn)場溝通討論百余次，根據(jù)研討結果進行了幾次較大規(guī)模的修訂和反復的推敲琢磨。編制過程主要分為三個階段：（一）課題啟動經(jīng)過前期調(diào)研，2015年3月，信息安全技術信息技術產(chǎn)品安全可控水平評價指標第4部分：辦公套件》標準項目上報全國信息安全標準化技術委員會；2015年7月，全國信息安全標準化技術委員會批準立項，所屬工作組為WG7。（二）編制初稿2015年7月，在前期研究基礎上，開始初稿編制工作。編制組調(diào)研了國內(nèi)主要的辦公套件廠商和研究機構，走訪國內(nèi)知名專家學者，參考了CC、ISO/IEC27036、SP800-53、NISTSP800-161、FIPS_PUB_140-2等相關國際標準，且標準制定過程中將充分考慮了WTO等國際規(guī)則要求，基本保持國內(nèi)外標準一致性。2015年9月，編制完成統(tǒng)一的標準初稿。（三）標準修訂標準初稿完成后，編制組組織了多次征求意見行動，包括2015年9-10月面向技術專家、主要廠商、研究機構和用戶單位等的廣泛征求意見活動，11月面向WTO和法律專家的征求意見活動，以及12月面向知名外企的征求意見會。編制組充分吸取各方專家意見，對標準反復討論，多次修訂，于2016年5月形成較為完善成熟的標準草案。2016年6月，在全國信息安全標準化技術委員會2016年第一次工作組會議周上，王闖代表標準編制組做了標準編制工作報告及標準草案的說明，根據(jù)與會代表提出的意見和建議，完成了意見匯總處理表，并在此基礎上修訂標準文本，于8月份形成新的標準草案提交TC260平臺。2016年10月份，在全國信息安全標準化技術委員會2016年第二次工作組會議周上，王闖代表標準編制組做了標準編制工作報告及標準草案的說明，工作組同意進入“征求意見稿”階段。2016年11月4日，進一步修改后形成標準（征求意見稿）版本。編制原則和主要內(nèi)容2.1編制原則本標準的研究與編制工作遵循以下原則：（1）公平性原則信息技術產(chǎn)品安全可控水平評價指標的制定應對國內(nèi)外產(chǎn)品一視同仁，采用同一標準，由第三方認證機構進行評估，營造公平競爭環(huán)境，促進國內(nèi)廠商和企業(yè)更快的提升技術能力。（2）系統(tǒng)性原則信息技術產(chǎn)品安全可控水平評價指標的制定應跳出單點技術和產(chǎn)品的局限，從技術體系、管理能力、供應鏈、司法管轄等方面綜合考慮評價標準，指標的各部分應相互協(xié)調(diào)，形成統(tǒng)一的整體，可單獨使用，也可配合使用。（3）簡單性原則信息技術產(chǎn)品安全可控水平評價指標的制定應避繁就簡，無需全面，但求有效，盡可能找到實現(xiàn)信息技術產(chǎn)品安全可控的關鍵點，簡化標準使用流程，對于事關信息產(chǎn)品安全的核心指標，可設為“一票否決”。（4）可操作性原則標準規(guī)范是對實際工作成果的總結與提升，最終還需要用于實踐中，并經(jīng)得起實踐的檢驗，做到可操作、可用與實用。2.2主要內(nèi)容1范圍 12規(guī)范性引用文件3術語和定義 4評價指標結構 5評價方法 5.1評價材料要求 5.2指標評價 5.3計分方法 主要試驗（或驗證）的分析、綜述報告、技術經(jīng)濟論證、預期的經(jīng)濟效果編制組已請相關編制單位，包括珠海金山辦公軟件有限公司、無錫永中軟件有限公司、中標軟件有限公司等對標準進行試用，基本可以達到安全可控水平評價的目的。反饋的建議對標準的制定奠定了良好基礎。采用國際標準和國外先進標準的程度、以及與國際、國外同類標準水平的對比情況、或與測試的國外樣品、樣機的有關數(shù)據(jù)對比情況經(jīng)調(diào)研，國際尚未發(fā)布類似標準，在標準編制過程中參考了CC、ISO/IEC27036、SP800-53、NISTSP800-161、FIPS_PUB_140-2等國際標準的相關內(nèi)容，且標準制定過程中將充分考慮了WTO等國際規(guī)則要求，基本保持國內(nèi)外標準一致性。與有關的現(xiàn)行法律、法規(guī)和強制性國家標準的關系本標準符合現(xiàn)有法律法規(guī)的要求。重大分歧意見的處理經(jīng)過和依據(jù)本標準在編制過程中未出現(xiàn)重大分歧，其他詳見意見匯總處理表。國家標準作為強制性國家標準或推薦性國家標準的建議建議本標準作為推薦性國家標準發(fā)布實施。貫徹國家標準的要求和措施建議（包括組織措施、技術措施、過渡辦法等內(nèi)容）本標準作為信息技術產(chǎn)品安全可控評價指標的一部分，配合實施。其他事項說明本標準不涉及專利。國家標準《信息安全技術信息技術產(chǎn)品安全可控水平評價指標第4部分：辦公套件》（征求意見稿）編制說明國家標準《信息安全技術信息技術產(chǎn)品安全可控水平評價指標第4部分：