標準號：GB/T 18336.1-2008
中文標準名稱：信息技術.安全技術.信息技術安全性評估準則.第1部分:簡介和一般模型
英文標準名稱：Information technology. Security techniques. Evaluation criteria for IT security. Part 1: Introduction and general model
標準類型：L80
發布日期：2008/6/26 12:00:00
實施日期：2008/11/1 12:00:00
中國標準分類號：L80
國際標準分類號：35.040
適用范圍：GB/T 18336旨在作為評估信息技術產品和系統安全特性的基礎準則。通過建立這樣的通用準則庫，信息技術安全行評估的結果才能被更多人理解。某些內容因涉及專業技術或僅僅是IT安全的外圍技術，因此不在GB/T 18336范圍之內。例如：a） GB/T 18336不包括那些與IT安全措施沒有直接關聯的屬于行政管理安全措施的安全評估準則。但是應該認識到TOE安全的某些重要組成部分通常可通過諸如組織的、人員的、物理的、程序的控制等行政性管理措施來實現。在TOE的運行環境中，當行政管理安全措施影響到IT安全措施對抗已確定威脅的能力時，則將其作為安全使用假設；b） GB/T 18336沒有明確涵蓋電磁輻射控制等IT安全中技術性物理方面的評估，雖然標準中的許多概念適用于該領域。換句話說，GB/T 18336只涉及到TOE物理保護的某些方面；c） GB/T 18336并不專注于評估方法學，也不專注于評估管理機構使用本準則的管理和法律架構，但希望GB/T 18336能在具有這樣的框架和方法論的環境中用于評估；d） 評估結果用于產品或系統認可的程序不屬于GB/T 18336的范圍。產品或系統的認證是行政性的管理過程，據此準許IT產品或系統在其整個運行環境中投入使用。評估側重于產品或系統的IT安全部分，以及直接影響到IT單元安全使用的那些運行環境。因此，評估結果是認可過程的重要輸入。但是，由于其他技術更適合于評價非IT相關系統或產品的安全特性以及其與IT安全部分的關系，認可者應針對這些情況分別制定不同的條款；e） GB/T 18336不包括評價密碼算法固有質量相關的標準條款。如果需要對嵌入TOE的密碼算法的數學特性進行獨立評價，則必須在使用GB/T 18336 的評估體制中為相關評價制定專門條款。本標準定義了兩種結構以表述IT安全功能和保證要求。其中，保護輪廓（PP）允許創建一些普通可重復使用的安全要求集合。PP可被目標客戶用于規范和識別滿足其需求的產品及其IT安全特性。安全目標(ST)用于闡述安全要求和詳細說明被評估產品或系統的安全功能，這些產品通常稱為評估對象（TOE）。ST被評估者用來作為在GB/T 18336指導下進行評估活動的技術。