《數(shù)據(jù)泄漏防護(hù)產(chǎn)品安全評(píng)價(jià)規(guī)范》（2017RB012）-編制說(shuō)明

《《數(shù)據(jù)泄漏防護(hù)產(chǎn)品安全評(píng)價(jià)規(guī)范》（2017RB012）-編制說(shuō)明》由會(huì)員分享，可在線閱讀，更多相關(guān)《《數(shù)據(jù)泄漏防護(hù)產(chǎn)品安全評(píng)價(jià)規(guī)范》（2017RB012）-編制說(shuō)明（4頁(yè)珍藏版）》請(qǐng)?jiān)谘b配圖網(wǎng)上搜索。

《數(shù)據(jù)泄漏防護(hù)產(chǎn)品安全評(píng)價(jià)規(guī)范》(征求意見稿) 編制說(shuō)明 一、 工作簡(jiǎn)況 （一）括任務(wù)來(lái)源和協(xié)作單位 《數(shù)據(jù)泄漏防護(hù)產(chǎn)品安全評(píng)價(jià)規(guī)范》是國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)下達(dá)的認(rèn)證認(rèn)可行業(yè)規(guī)范制定項(xiàng)目，行標(biāo)計(jì)劃號(hào)為2017RB012。本規(guī)范為自主制定標(biāo)準(zhǔn)，牽頭單位為中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心，參與規(guī)范申請(qǐng)單位有信息產(chǎn)業(yè)信息安全測(cè)評(píng)中心、北京億賽通科技發(fā)展有限責(zé)任公司、北京北信源軟件股份有限公司、北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司等5家單位，歸口單位為國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)（簡(jiǎn)稱國(guó)家認(rèn)監(jiān)委）。 （二）主要工作過(guò)程 1、2017年5月，成立規(guī)范編制組； 2、2017年6月，通過(guò)分析國(guó)內(nèi)外數(shù)據(jù)泄露防護(hù)產(chǎn)品涉及的關(guān)鍵技術(shù)及工作原理，確定安全邊界并分析其“安全環(huán)境”； 3、2017年7月，結(jié)合產(chǎn)品功能和實(shí)際需求，識(shí)別數(shù)據(jù)泄露防護(hù)產(chǎn)品應(yīng)用可能存在的威脅及安全假設(shè)； 4、2017年8月，基于安全環(huán)境、安全威脅和應(yīng)用假設(shè)的分析結(jié)果，提煉、標(biāo)識(shí)數(shù)據(jù)泄露防護(hù)產(chǎn)品應(yīng)達(dá)到的技術(shù)和管理“安全目標(biāo)”； 5、2017年9月，根據(jù)確定的安全目標(biāo)，結(jié)合現(xiàn)有技術(shù)和法律法規(guī)要求提出對(duì)數(shù)據(jù)泄露防護(hù)產(chǎn)品的技術(shù)要求； 6、2017年10月至2007年11月，根據(jù)當(dāng)前管理和應(yīng)用需求，確定數(shù)據(jù)泄露防護(hù)產(chǎn)品應(yīng)達(dá)到的信息安全功能要求和信息安全保障能力級(jí)別； 7、2017年12月至2018年3月，初步形成規(guī)范草案； 8、2018年4月至2018年5月，規(guī)范編制組對(duì)草案進(jìn)行內(nèi)部研討； 9、2018年6月，并對(duì)草案進(jìn)行修改完善，形成了《數(shù)據(jù)泄漏防護(hù)產(chǎn)品安全評(píng)價(jià)規(guī)范》的征求意見稿。 二、 標(biāo)準(zhǔn)編制原則和主要內(nèi)容 數(shù)據(jù)泄露防護(hù)產(chǎn)品是一種以統(tǒng)一策略為基礎(chǔ)，采用深層內(nèi)容分析技術(shù)對(duì)數(shù)據(jù)的傳輸、存儲(chǔ)進(jìn)行即時(shí)的識(shí)別、監(jiān)控和防護(hù)的安全產(chǎn)品。 隨著信息化建設(shè)的加速發(fā)展，數(shù)據(jù)泄露防護(hù)產(chǎn)品已經(jīng)被廣泛應(yīng)用于大型企業(yè)和政府部門，這些企業(yè)和政府部門保存有大量需要保密的數(shù)據(jù)。近些年頻頻發(fā)生的數(shù)據(jù)泄露事件，給相關(guān)企業(yè)信譽(yù)、政府部門形象和經(jīng)濟(jì)等方面帶來(lái)了巨大的損失；而棱鏡門事件的發(fā)生，則威脅到了國(guó)家的安全。這使得國(guó)家在政策層面、企業(yè)在意識(shí)層面，對(duì)敏感數(shù)據(jù)泄露的防護(hù)提出了前所未有的嚴(yán)格要求。 本項(xiàng)目研究?jī)?nèi)容包括： 1） 通過(guò)分析國(guó)內(nèi)外數(shù)據(jù)泄露防護(hù)產(chǎn)品涉及的關(guān)鍵技術(shù)及工作原理，確定安全邊界并分析其“安全環(huán)境”； 2） 結(jié)合產(chǎn)品功能和實(shí)際需求，識(shí)別數(shù)據(jù)泄露防護(hù)產(chǎn)品應(yīng)用可能存在的威脅及安全假設(shè)； 3） 基于安全環(huán)境、安全威脅和應(yīng)用假設(shè)的分析結(jié)果，提煉、標(biāo)識(shí)數(shù)據(jù)泄露防護(hù)產(chǎn)品應(yīng)達(dá)到的技術(shù)和管理“安全目標(biāo)”； 4） 根據(jù)確定的安全目標(biāo)，結(jié)合現(xiàn)有技術(shù)和法律法規(guī)要求提出對(duì)數(shù)據(jù)泄露防護(hù)產(chǎn)品的技術(shù)要求； 5） 基于產(chǎn)品功能和安全功能技術(shù)要求，研究制定相應(yīng)的檢測(cè)方法，并建立相關(guān)評(píng)價(jià)準(zhǔn)則； 6） 根據(jù)我國(guó)產(chǎn)業(yè)發(fā)展現(xiàn)狀，及用戶應(yīng)用和國(guó)家信息安全管理需要，確定有效實(shí)現(xiàn)數(shù)據(jù)泄露防護(hù)產(chǎn)品安全目標(biāo)導(dǎo)出的安全要求，產(chǎn)品研發(fā)生產(chǎn)者信息安全保障能力應(yīng)達(dá)到的級(jí)別，明確相關(guān)要求及方法； 7） 綜合產(chǎn)品功能、安全功能、安全保障能力要求，及相應(yīng)測(cè)試評(píng)價(jià)方法的研究結(jié)果，形成標(biāo)準(zhǔn)草案； 8） 根據(jù)標(biāo)準(zhǔn)驗(yàn)證應(yīng)用結(jié)果、專家評(píng)審意見，修訂標(biāo)準(zhǔn)草案，包括：在檢測(cè)認(rèn)證活動(dòng)中驗(yàn)證應(yīng)用標(biāo)準(zhǔn)，組織專家對(duì)標(biāo)準(zhǔn)草案及驗(yàn)證應(yīng)用情況進(jìn)行評(píng)審，遵循保證標(biāo)準(zhǔn)科學(xué)性、可操作性、一定前瞻性等原則，對(duì)標(biāo)準(zhǔn)草案進(jìn)行修訂。 三、 預(yù)期目標(biāo) 為適應(yīng)數(shù)據(jù)泄露防護(hù)產(chǎn)品技術(shù)的發(fā)展，本項(xiàng)目旨在集成認(rèn)證、檢測(cè)機(jī)構(gòu)和相關(guān)產(chǎn)業(yè)的最佳實(shí)踐，通過(guò)研究數(shù)據(jù)泄露防護(hù)產(chǎn)品的工作原理、功能特點(diǎn)、安全機(jī)制，確定數(shù)據(jù)泄露防護(hù)產(chǎn)品安全邊界和應(yīng)用環(huán)境，結(jié)合相關(guān)法律法規(guī)及實(shí)際應(yīng)用有關(guān)要求，參考相關(guān)技術(shù)要求和規(guī)范，提出數(shù)據(jù)泄露防護(hù)產(chǎn)品的技術(shù)要求和測(cè)試評(píng)價(jià)方法，形成《數(shù)據(jù)泄露防護(hù)產(chǎn)品安全評(píng)價(jià)規(guī)范》標(biāo)準(zhǔn)。 四、 采用國(guó)際標(biāo)準(zhǔn)和國(guó)外先進(jìn)標(biāo)準(zhǔn)情況 目前國(guó)內(nèi)尚無(wú)數(shù)據(jù)泄露防護(hù)產(chǎn)品安全技術(shù)相關(guān)標(biāo)準(zhǔn)，國(guó)內(nèi)數(shù)據(jù)泄露防護(hù)行業(yè)的發(fā)展處于深度困擾和迷茫狀態(tài)中。出臺(tái)數(shù)據(jù)安全和數(shù)據(jù)防泄露產(chǎn)品的標(biāo)準(zhǔn)，對(duì)于DLP行業(yè)的發(fā)展具備至關(guān)重要的作用。 在國(guó)外，自2007年以來(lái)，賽門鐵克、麥咖啡、趨勢(shì)科技等跨國(guó)信息安全巨頭，紛紛收購(gòu)數(shù)據(jù)泄露防護(hù)（DLP）公司、技術(shù)和產(chǎn)品，涉足推動(dòng)數(shù)據(jù)泄露防護(hù)（DLP）領(lǐng)域，在全球推出以內(nèi)容檢測(cè)為核心技術(shù)、輔以身份認(rèn)證和訪問(wèn)控制、日志審計(jì)等技術(shù)的DLP產(chǎn)品。 《數(shù)據(jù)泄露防護(hù)產(chǎn)品安全評(píng)價(jià)規(guī)范》制定項(xiàng)目將以《GB/T 18336-2015信息技術(shù) 安全技術(shù) 信息技術(shù)安全評(píng)估準(zhǔn)則》標(biāo)準(zhǔn)框架為基礎(chǔ)，以提高和規(guī)范數(shù)據(jù)泄露防護(hù)產(chǎn)品安全技術(shù)為目標(biāo)，充分考慮國(guó)內(nèi)外主要數(shù)據(jù)泄露防護(hù)產(chǎn)品的特點(diǎn)和安全機(jī)制，提出安全技術(shù)的評(píng)價(jià)規(guī)范，為國(guó)內(nèi)相關(guān)產(chǎn)品的研制、生產(chǎn)、測(cè)試和評(píng)估提供指導(dǎo)作用。 《GB/T 18336信息技術(shù) 安全技術(shù) 信息技術(shù)安全評(píng)估準(zhǔn)則》等同采用ISO/IEC 15408國(guó)際標(biāo)準(zhǔn)，對(duì)應(yīng)CC標(biāo)準(zhǔn)（Common Criteria for Information Technology Security Evaluation：信息技術(shù)安全性通用評(píng)估準(zhǔn)則)。 1、 國(guó)外CC標(biāo)準(zhǔn)發(fā)展情況 國(guó)外，CC（Common Criteria）組織一直致力于信息安全通用評(píng)估準(zhǔn)則（Common Criteria for Information Technology Security Evaluation，簡(jiǎn)稱“CC”)的研究和發(fā)布。在1996年發(fā)布了信息技術(shù)安全評(píng)價(jià)通用準(zhǔn)則V1.0版，1998年發(fā)布CC V2.0版，1999年升級(jí)為CC V2.1版，同年被國(guó)際標(biāo)準(zhǔn)組織ISO吸納為國(guó)際標(biāo)準(zhǔn)，編號(hào)ISO/IEC 15408:1999。 隨著各國(guó)在使用該標(biāo)準(zhǔn)過(guò)程中經(jīng)驗(yàn)的積累和反饋，CC組織不斷對(duì)該標(biāo)準(zhǔn)進(jìn)行相關(guān)修訂工作，2005年發(fā)布了CC V2.3版，該版本被ISO組織吸納升級(jí)為國(guó)際標(biāo)準(zhǔn)ISO/IEC 15408:2005版。2006年CC組織發(fā)布了CC V3.1版，這次修訂對(duì)上一版本進(jìn)行了較大調(diào)整，經(jīng)過(guò)多次反復(fù)的意見征集和討論，最終在2009年7月發(fā)布最終修訂版（V3.1 Revision 3 Final）。2009年12月，國(guó)際標(biāo)準(zhǔn)組織ISO通過(guò)吸收CC V3.1的內(nèi)容，陸續(xù)將該標(biāo)準(zhǔn)的3部分完成發(fā)布（ISO/IEC 15408-1:2009、ISO/IEC 15408-2:2008、ISO/IEC 15408-3:2008），作廢了ISO/IEC 15408:2005標(biāo)準(zhǔn)。 2、 國(guó)內(nèi)GB/T 18336標(biāo)準(zhǔn)情況 國(guó)內(nèi)，2001年3月我國(guó)發(fā)布了信息安全技術(shù)評(píng)價(jià)的基礎(chǔ)標(biāo)準(zhǔn)《GB/T 18336-2001信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則》（等同采用國(guó)際標(biāo)準(zhǔn)ISO/IEC 15408:1999）。在GB/T 18336中定義了評(píng)估信息技術(shù)產(chǎn)品和系統(tǒng)安全性所需的基礎(chǔ)準(zhǔn)則，是度量信息技術(shù)安全性的基準(zhǔn)。該標(biāo)準(zhǔn)針對(duì)在安全性評(píng)估過(guò)程中，信息技術(shù)產(chǎn)品和系統(tǒng)的安全功能及相應(yīng)的保證措施提出一組通用要求，使各種相對(duì)獨(dú)立的安全性評(píng)估結(jié)果具有可比性。 2008年6月根據(jù)相應(yīng)國(guó)際標(biāo)準(zhǔn)的修訂和更新情況，發(fā)布了該標(biāo)準(zhǔn)的新版本，編號(hào)為GB/T 18336-2008（等同采用國(guó)際標(biāo)準(zhǔn)ISO/IEC 15408:2005）。 2015年根據(jù)相應(yīng)國(guó)際標(biāo)準(zhǔn)的修訂和更新情況，發(fā)布了該標(biāo)準(zhǔn)的最新版本，編號(hào)為GB/T 18336-2015（等同采用國(guó)際標(biāo)準(zhǔn)ISO/IEC 15408:2009），目前該標(biāo)準(zhǔn)已經(jīng)發(fā)布生效。 五、 與相關(guān)法律法規(guī)及國(guó)家有關(guān)規(guī)定、國(guó)內(nèi)相關(guān)標(biāo)準(zhǔn)的關(guān)系 本規(guī)范與現(xiàn)行法律、法規(guī)以及國(guó)家標(biāo)準(zhǔn)沒(méi)有沖突與矛盾的地方。 六、 有關(guān)問(wèn)題的說(shuō)明 項(xiàng)目組在標(biāo)準(zhǔn)編制過(guò)程中，經(jīng)歷了內(nèi)部討論與論證、技術(shù)研討會(huì)等過(guò)程，項(xiàng)目組在工作過(guò)程中遵循GB/T1.1—2009編制原則，對(duì)國(guó)內(nèi)外現(xiàn)狀做了大量調(diào)研，完成了規(guī)范草案的編寫工作。在整個(gè)過(guò)程中未遇到重大意見分歧，但對(duì)專家提出的意見和建議，我們做了應(yīng)答和處理，更好地完善了我們的規(guī)范編制工作。 七、 有關(guān)專利的說(shuō)明 本標(biāo)準(zhǔn)不涉及專利。 規(guī)范編制組 2018年6月 7