【作者】 左晓栋；

【导师】 戴英侠； 赵战生；

【作者基本信息】 中国科学院研究生院（电子学研究所） ， 通信与信息系统， 2002， 硕士

【摘要】 信息安全对国家安全和社会安全的重要意义使得我们尤其关心信息安全产品和系统的安全性水平，因此国家要对信息安全产品和系统的安全性进行测评认证，而测评认证的前提则是要有科学的信息安全评估标准，它构成了信息安全测评认证的基础。所以，测评认证与评估标准是重要的基础性研究内容。国际社会中，自从1985年美国国防部发布了TCSEC（可信计算机系统评估准则）以来，历经十余年的发展，已经制定了得到广泛认可的CC（IT安全通用评估准则），并将其作为国际标准发布。在此期间，各国一直在基于这些标准建设自己的测评认证体系。其中以CC为基础的评估与认证体系目前占主流。本论文在概述、分析国际测评认证与评估发展的基础上进行了如下研究：首先进行了基于CC的测评工具的开发，完成了交换机、E-mail服务软件、Web服务软件的安全功能的设计，给出了使用工具测试这些安全功能的具体方法。继而，本文分析了CC的核心：保护轮廓和安全目标，说明了两者的不同，并进一步对CC的发展作了反思。在其中，分析了CC与信息安全工程学的关系，指出了SSE-CMM（系统安全工程-能力成熟度模型）可以应用于保护轮廓的制定，提出了如何利用SSE-CMM来制定保护轮廓的方法。本文还思考、分析了我国信息安全测评认证和标准发展的过程与现状，提出了针对性的建议。产品评估与系统评估之间的差异也在论文中得到了分析，作者指出，当前最有效的系统安全评估方法是风险评估，为此，本文设计了风险评估标准的基本框架。最后，本文还对信息安全标准中的术语定义和中文称谓进行了讨论，并就研究工作中遇到的若干术语的含义及其称谓做出了建议。更多还原

【Abstract】 Information security is critical to the security and profits of China. So our country especially cares for the security of information products and systems. This leads to the need of the evaluation and certification on information security which is based on information security standards.So the evaluation and certification on information security is a fundmental research area. Since US DoD developed TCSEC in 1985, the security community in the world has made great progress and at last developed CC (Common Criteria) which latter was publicized as International standard.On the basis of complete investigation on these development this article conducts such research as follow items:Designed the security requirment of swich, e-mail system, and web system, then developed the specific evaluation method of these requirement.Analyzed the core of CC: Protection Profiel and Security Target and showed their difference. And analyzed the relationship between CC and information security engineering. Showd that SSE-CMM can be used to develop Protection Profiles and described the way.The article alse studied the process and status of evaluation, certification , and the standard development in China. Then put forward some ideas on how to construct the evaluation and certification scheme in our country.Then I also researched the difference between system evaluation and product evaluation and desighed a framework to conduct system evaluation.Finally, the article discussed the definition of concepts which aroused many discussions.更多还原