| 法 規 規 範 | |
|
◆防雷法規 ◆避雷規範 |
|
|
|
| 電腦資訊系統安全專用產品分類原則 | |||
|
中華人民共和國公共安全行業標準 GA 163-1997 電腦資訊系統安全專用產品分類原則 Classification of Security Products in Computer Information Systems 1997/04/21 發佈 1997/07/01實施 公安部 發佈 1 範圍 本標準規定了電腦資訊系統安全專用產品分類原則。 本標準適用於保護電腦資訊系統安全專用產品，涉及實體安全、運行安全和資訊安全三個方面。 實體安全包括環境安全，設備安全和媒體安全三個方面。 運行安全包括風險分析,審計跟蹤，備份與恢復，應急四個方面。 資訊安全包括作業系統安全，資料庫安全，網路安全，病毒防護，訪問控制，加密與鑒別七個方面。 2 分類原則 為了保證分類體系的科學性，遵循如下原則： 1．適度的前瞻性； 2．標準的可操作性； 3．分類體系的完整性； 4．與傳統的相容性； 5．按產品功能分類。 3 術語定義 3.1 電腦資訊系統 Computer Information System 是指由電腦及其相關的和配套的設備、設施（含網路）構成的，按照一定的應用目標和規則對資訊進行採集、加工、存儲、傳輸、檢索等處理的人機系統。 3.2 電腦資訊系統安全專用產品 Security Products for Computer Information Systems 是指用於保護電腦資訊系統安全的專用硬體和軟體產品。 3.3 實體安全 Physical Security 保護電腦設備、設施（含網路）以及其他媒體免遭地震、水災、火災、有害氣體和其他環境事故（如電磁污染等）破壞的措施、過程。 3.4 運行安全 Operation Security 為保障系統功能的安全實現，提供一套安全措施（如風險分析，審計跟蹤，備份與恢復，應急等）來保護資訊處理過程的安全。 3.5 資訊安全 Information Security 防止資訊財產被故意的或偶然的非授權洩露、更改、破壞或使資訊被非法的系統辨識，控制。即確保資訊的完整性、保密性，可用性和可控性。 3.6 駭客 Hacker 對電腦資訊系統進行非授權訪問的人員。 3.7 應急計畫 Contingency Plan 在緊急狀態下，使系統能夠儘量完成原定任務的計畫。 3.8 證書授權 Certificate Authority 通過證書的形式證明實體（如用戶身份，用戶的公開密鑰等）的真實性。 3.9 安全作業系統 Secure Operation System 為所管理的資料和資源提供相應的安全保護，而有效控制硬體和軟體功能的作業系統。 3.10 訪問控制 Access Control 指對主體訪問客體的許可權或能力的限制，以及限制進入物理區域（出入控制）和限制使用電腦系統和電腦存儲資料的過程（存取控制）。 3.11 防火牆 Fire Wall 設置在兩個或多個網路之間的安全阻隔，用於保證本地網路資源的安全，通常是包含軟體部分和硬體部分的一個系統或多個系統的組合。 3.12 電腦病毒 Computer Virus 是指編制或者在電腦程式中插入的破壞電腦功能或者毀壞資料、影響電腦使用、並能自我複製的一組電腦指令或程式碼。 4 類別體系 4.1 類別（A）實體安全 4.1.1 類別（A10）環境安全 本類產品提供對電腦資訊系統所在環境的安全保護，主要包括受災防護和區域防護。 4.1.1.1 類別（A11）受災防護 本類產品提供受災報警，受災保護和受災恢復等功能，目的是保護電腦資訊系統免受水、火、有害氣體、地震、雷擊和靜電的危害。 本類產品的安全功能可歸納為三個方面： (1) 災難發生前，對災難的檢測和報警； (2) 災難發生時，對正遭受破壞的電腦資訊系統，採取緊急措施，進行現場即時保護； (3) 災難發生後，對已經遭受某種破壞的電腦資訊系統進行災後恢復。 任何提供以上一種或數種功能的產品均可歸入本類。 4.1.1.2 類別（A12）受災恢復計畫輔助軟體 本類產品為制訂受災難恢復計畫提供電腦輔助，它主要是以受災恢復計畫輔助軟體的形式提供。 本類產品的安全功能可歸納為三個方面： (1) 災難發生時的影響分析； (2) 受災恢復計畫的概要設計或詳細制訂； (3) 受災恢復計畫的測試與完善。 任何提供以上一種或數種功能的產品均可歸入本類。 4.1.1.3 類別（A13）區域防護 本類產品對特定區域提供某種形式的保護和隔離。 本類產品的安全功能可歸納為兩個方面： (1) 靜止區域保護，如通過電子手段（如紅外掃描等）或其他手段對特定區域(如機房等)進行某種形式的保護（如監測和控制等）； (2) 活動區域保護，對活動區域(如活動機房等)進行某種形式的保護。 任何提供以上一種或兩種功能的產品均可歸入本類。 4.1.2 類別（A20）設備安全 本類產品提供對電腦資訊系統設備的安全保護。它主要包括設備的防盜和防毀，防止電磁資訊洩漏，防止線路截獲，抗電磁干擾以及電源保護等六個方面。 4.1.2.1 類別（A21）設備防盜 本類產品提供對電腦資訊系統設備的防盜保護。 本類產品所提供的安全功能可歸納為: 使用一定的防盜手段（如移動報警器、數位探測報警和部件上鎖）用於電腦資訊系統設備和部件，以提高電腦資訊系統設備和部件的安全性。 任何提供以上功能的產品均可歸入本類。 4.1.2.2 類別（A22）設備防毀 本類產品提供對電腦資訊系統設備的防毀保護。 本類產品所提供的安全功能可歸納為兩個方面: （1）對抗自然力的破壞，使用一定的防毀措施（如接地保護等）保護電腦資訊系統設備和部件； （2）對抗人為的破壞，使用一定的防毀措施(如防砸外殼)保護電腦資訊系統設備和部件。 任何提供以上一種或兩種功能的產品均可歸入本類。 4.1.2.3 類別（A23）防止電磁資訊洩漏 本類產品用於防止電腦資訊系統中的電磁資訊的洩漏，從而提高系統內敏感資訊的安全性。如防止電磁資訊洩漏的各種塗料、材料和設備等都屬於本類。 本類產品所提供的安全功能可歸納為三個方面： (1) 防止電磁資訊的洩漏(如遮罩室等防止電磁輻射引起的資訊洩漏)； (2) 干擾洩漏的電磁資訊(如利用電磁干擾對洩漏的電磁資訊進行置亂)； (3) 吸收洩漏的電磁資訊(如通過特殊材料/塗料等吸收洩漏的電磁資訊)。 任何提供以上一種或數種功能的產品均可歸入本類。 4.1.2.4 類別（A24）防止線路截獲 本類產品用於防止對電腦資訊系統通信線路的截獲和外界對電腦資訊系統的通信線路的干擾。 本類產品的安全功能可歸納為四個方面： (1) 預防線路截獲，使線路截獲設備無法正常工作； (2) 探測線路截獲，發現線路截獲並報警； (3) 定位線路截獲，發現線路截獲設備工作的位置； (4) 對抗線路截獲，阻止線路截獲設備的有效使用。 任何提供以上一種或數種功能的產品可歸入本類。 4.1.2.5 類別（A25）抗電磁干擾 本類產品用於防止對電腦資訊系統的電磁干擾，從而保護系統內部的資訊。 本類產品的安全功能可歸納為兩個方面： (1) 對抗外界對系統的電磁干擾； (2) 消除來自系統內部的電磁干擾。 任何提供以上一種或兩種功能的產品可歸入本類。 4.1.2.6 類別（A26）電源保護 本類產品為電腦資訊系統設備的可靠運行提供能源保障，例如不間斷電源、紋波抑制器、電源調節軟體等都屬於本類。 本類產品的安全功能可歸納為兩個方面： (1) 對工作電源的工作連續性的保護，如不間斷電源； (2) 對工作電源的工作穩定性的保護，如紋波抑制器。 任何提供以上一種或兩種功能的產品均可歸入本類。 4.1.3 類別（A30）媒體安全 本類產品提供對媒體資料和媒體本身的安全保護。 4.1.3.1 類別（A31）媒體的安全 本類產品提供對媒體的安全保管，目的是保護存儲在媒體上的資訊。 本類產品的安全功能可歸納為兩個方面：` （1）媒體的防盜； （2）媒體的防毀，如防黴和防砸等。 任何提供以上一種或二種功能的產品均可歸入本類。 4.1.3.2 類別（A32）媒體資料的安全 本類產品提供對媒體資料的保護。媒體資料的安全刪除和媒體的安全銷毀是為了防止被刪除的或者被銷毀的敏感資料被他人恢復。 本類產品的安全功能可歸納為三個方面： （1）媒體資料的防盜，如防止媒體資料被非法拷貝； （2）媒體資料的銷毀，包括媒體的物理銷毀（如媒體粉碎等）和媒體資料的徹底銷毀（如消磁等），防止媒體資料刪除或銷毀後被他人恢復而洩露資訊； （3）媒體資料的防毀，防止意外或故意的破壞使媒體資料的丟失。 任何提供以上一種或數種功能的產品均可歸入本類。 4.2 類別（B）運行安全 4.2.1 類別（B10）風險分析 本類產品提供對電腦資訊系統進行人工或自動的風險分析。它首先是對系統進行靜態的分析（尤指系統設計前和系統運行前的風險分析），旨在發現 系統的潛在安全隱患；其次是對系統進行動態的分析，即在系統運行過程中測試，跟蹤並記錄其活動，旨在發現系統運行期的安全漏洞；最後是系統運行後的分析，並提供相應的系統脆弱性分析報告。 本類產品的安全功能可歸納為四個方面： (1) 系統設計前的風險分析。通過分析系統固有的脆弱性，旨在發現系統設計前潛在的安全隱患； (2) 系統試運行前的風險分析。根據系統試運行期的運行狀態和結果，分析系統的潛在安全隱患，旨在發現系統設計的安全漏洞； (3) 系統運行期的風險分析。提供系統運行記錄，跟蹤系統狀態的變化，分析系統運行期的安全隱患，旨在發現系統運行期的安全漏洞，並及時通告安全管理員； (4) 系統運行後的風險分析。分析系統運行記錄，旨在發現系統的安全隱患，為改進系統的安全性提供分析報告。 任何提供以上一種或數種功能的產品均可歸入本類。 4.2.2 類別（B20）審計跟蹤 本類產品對電腦資訊系統進行人工或自動的審計跟蹤、保存審計記錄和維護詳盡的審計日誌。 本類產品的安全功能可歸納為三個方面： (1) 記錄和跟蹤各種系統狀態的變化，如提供對系統故意入侵行為的記錄和對系統安全功能違反的記錄； (2)實現對各種安全事故的定位，如監控和捕捉各種安全事件； (3)保存、維護和管理審計日誌。 任何提供以上一種或數種功能的產品均可歸入本類。 4.2.3 類別（B30）備份與恢復 本類產品提供對系統設備和系統資料的備份與恢復，對系統資料的備份和恢復可以使用多種介質（如磁介質、紙介質、光碟、縮微載體等）。 本類產品的安全功能可歸納為三個方面： (1) 提供場點內高速度、大容量自動的資料存儲，備份和恢復； (2) 提供場點外的資料存儲，備份和恢復，如通過專用安全記錄存儲設施對系統內的主要資料進行備份； (3) 提供對系統設備的備份。 任何提供以上一種或數種功能的產品均可歸入本類。 4.2.4 類別（B40）應急 本類產品提供緊急事件或安全事故發生時，保障電腦資訊系統繼續運行或緊急恢復所需要的一類產品，如應急計畫輔助軟體和應急設施兩個方面。 4.2.4.1 類別（B41）應急計畫輔助軟體 本類產品為制訂應急計畫提供電腦輔助，它主要是以應急計畫輔助軟體的形式提供。 本類產品的安全功能可歸納為三個方面： (1) 緊急事件或安全事故發生時的影響分析； (2) 應急計畫的概要設計或詳細制訂； (3) 應急計畫的測試與完善。 任何提供以上一種或數種功能的產品均可歸入本類。 4.2.4.2 類別（B42）應急設施 本類產品提供緊急事件或安全事故發生時，電腦資訊系統實施應急計畫所需要的一類產品，它包括即時應急設施、非即時應急設施等。這些設施一般由專門廠商提供。即時應急設施、非即時應急設施的區別主要表現在對緊急事件發生時的回應時間長短上。 本類產品的安全功能可歸納為二個方面： (1) 提供即時應急設施，實現應急計畫，保障電腦資訊系統的正常安全運行； (2) 提供非即時應急設施，實現應急計畫。 任何提供以上一種或兩種功能的產品均可歸入本類。 4.3 類別（C）資訊安全 4.3.1 類別（C10）作業系統安全 本類產品提供對電腦資訊系統的硬體和軟體資源的有效控制，能夠為所管理的資源提供相應的安全保護。它們或是以底層作業系統所提供的安全機制為基礎構作安全模組，或者完全取代底層作業系統，目的是為建立安全資訊系統提供一個可信的安全平臺。 4.3.1.1 類別（C11）安全作業系統 本類產品是安全作業系統，是指從系統設計、實現和使用等各個階段都遵循了一套完整的安全策略的作業系統。 任何具有不同安全級別的安全作業系統產品均可歸入本類。 4.3.1.2 類別（C12）作業系統安全部件 本類產品是作業系統安全部件，目的是增強現有作業系統的安全性。 本類產品的安全功能可歸納為兩個方面： （1）通過構作安全模組，增強現有作業系統的安全性； （2）通過構作安全外罩，增強現有作業系統的安全性。 任何提供以上一種或兩種功能的產品均可歸入本類。 4.3.2 類別（C20）資料庫安全 本類產品對資料庫系統所管理的資料和資源提供安全保護。它一般採用多種安全機制與作業系統相結合，實現資料庫的安全保護。 4.3.2.1 類別（C21）安全資料庫系統 本類產品是安全資料庫系統，即從系統設計、實現、使用和管理等各個階段都遵循一套完整的系統安全策略的安全資料庫系統。 任何具有不同安全級別的安全資料庫系統均可歸入本類。 4.3.2.2 類別（C22）資料庫系統安全部件 本類產品是資料庫系統安全部件，是以現有資料庫系統所提供的功能為基礎構作安全模組，旨在增強現有資料庫系統的安全性。 本類產品的安全功能可歸納為兩個方面： （1）通過構作安全模組，增強現有資料庫系統的安全性； （2）通過構作安全外罩，增強現有資料庫系統的安全性。 任何提供以上一種或兩種功能的產品均可歸入本類。 4.3.3 類別（C30）網路安全 本類產品提供訪問網路資源或使用網路服務的安全保護。 4.3.3.1 類別（C31）網路安全管理 本類產品為網路的使用提供安全管理。 本類產品的安全功能可歸納為四個方面： (1) 幫助協調網路的使用，預防安全事故的發生； (2) 跟蹤並記錄網路的使用，監測系統狀態的變化。如提供對網路系統故意入侵行為的記錄和對違反網路系統安全管理行為的記錄； (3) 實現對各種網路安全事故的定位，探測網路安全事件發生的確切位置； (4) 提供某種程度的對緊急事件或安全事故的故障排除能力. 任何提供以上一種或數種功能的產品均可歸入本類。 4.3.3.2 類別（C32）安全網路系統 本類產品對網路資源的訪問和網路服務的使用提供一套完整的安全保護。 本類產品是安全網路系統，即從網路系統的設計、實現、使用和管理各個階段遵循一套完整的安全策略的網路系統。 任何具有不同安全級別的安全網路系統均可歸入本類。 4.3.3.3 類別（C33）網路系統安全部件 本類產品是網路系統安全部件，是對網路系統的某個過程、部分或服務提供安全保護，旨在增強整個網路系統的安全性。 本類產品的安全功能可歸納為三個方面： (1) 對網路資源訪問的某一過程提供安全保護，例如身份認證是對登錄過程的保護，旨在防止駭客對網路資源的訪問； (2) 對網路資源的某一部分提供安全保護，例如防火牆是對網路資源的某個部分（本地網路資源）的保護； (3) 對網路系統提供的某種服務提供安全保護，例如安全電子郵件服務是對網路系統提供的電子郵件服務的保護。 任何提供以上一種或數種功能的產品均可歸入本類。 4.3.4 類別（C40）電腦病毒防護 本類產品提供對電腦病毒的防護。病毒防護包括單機系統的防護和網路系統的防護。 單機系統的防護側重於防護本地電腦資源，而網路系統的防護側重于防護網路系統資源。電腦病毒防護產品是通過建立系統保護機制，預防、檢測和消除病毒。 4.3.4.1 類別（C41）單機系統病毒防護 本類產品提供對單機系統的病毒防護，既可以是軟體產品，也可以是硬體產品。 本類產品的安全功能可歸納為以下五個方面： (1) 預防電腦病毒侵入系統； (2) 檢測已侵入系統的電腦病毒； (3) 定位已侵入系統的病毒； (4) 防止病毒在系統中的傳染； (5) 清除系統中已發現的電腦病毒。 任何提供以上一種或數種功能的產品均可歸入本類。 4.3.4.2 類別（C42）網路系統病毒防護 本類產品提供對網路系統的病毒防護。 本類產品的安全功能可歸納為以下五個方面： (1) 預防電腦病毒侵入網路系統； (2) 檢測已侵入網路系統的病毒； (3) 定位已侵入網路系統的病毒； (4) 防止網路系統中病毒的傳染； (5) 清除網路系統中已發現的病毒。 任何提供以上一種或數種功能的產品均可歸入本類。 4.3.5 類別（C50）訪問控制 本類產品保證系統的外部用戶或內部用戶對系統資源的訪問以及對敏感信 息的訪問方式符合組織安全策略。本類產品主要包括：出入控制和存取控制。 4.3.5.1 類別（C51）出入控制 本類產品主要用於阻止非授權用戶進入機構或組織。一般是以電子技術、生物技術或者電子技術與生物技術結合阻止非授權用戶進入。 本類產品包括： （1）物理通道的控制，例如利用重量檢查控制通過通道的人數； （2）門的控制，例如雙重門，陷阱門等； 凡是採用電子技術、生物特徵技術以及與其他技術相結合以實現出入控制的安全產品均可歸入本類。 4.3.5.2 類別（C52）存取控制 本類產品提供主體訪問客體時的存取控制，如通過對授權用戶存取系 統敏感資訊時進行安全性檢查，以實現對授權用戶的存取許可權的控制。 本類產品提供的安全功能可歸納為以下四個方面： （1）提供對口令字的管理和控制功能。例如提供一個弱口令字形檔，禁止用戶使用弱口令字，強制用戶更換口令字等； （2）防止入侵者對口令字的探測； （3）監測用戶對某一分區或域的存取； （4）提供系統中主體對客體訪問許可權的控制。 任何提供以上一種或數種功能的產品均可歸入本類。 4.3.6 類別（C60）加密 本類產品提供資料加密和密鑰管理。 4.3.6.1 類別（C61）加密設備 本類產品提供對資料的加密。 本類產品提供的安全功能可歸納為以下三個方面： （1）對文字的加密； （2）對語音的加密； （3）對圖像、圖形的加密。 任何提供以上一種或數種功能的產品均可歸入本類。 4.3.6.2 類別（C62）密鑰管理 本類產品提供對密鑰的管理。例如證書授權中心（提供對用戶的公開密鑰的管理）和密鑰恢復，都屬於本類。 本類產品的安全功能可歸納為六個方面： (1) 密鑰分發或注入； (2) 密鑰更新； (3) 密鑰回收； (4) 密鑰歸檔； (5) 密鑰恢復； (6) 密鑰審計。 任何提供以上一種或數種功能的產品均可歸入本類。 4.3.7 類別（C70）鑒別 本類產品提供身份鑒別和資訊鑒別。身份鑒別是提供對資訊收發方（ 包括用戶，設備和進程）真實身份的鑒別；資訊鑒別是提供對資訊的正確性，完整性和不可否認性的鑒別。本類產品亦提供防偽性。 4.3.7.1 類別（C71）身份鑒別 本類產品提供對用戶的身份鑒別，主要用於阻止非授權用戶對系統資 源的訪問。一般是以電子技術、生物技術或者電子技術與生物技術結合鑒別授權用戶身份的真實性。 本類產品的安全功能可歸納為三個方面： （1）根據用戶的生物特性來鑒別其真偽； （2）根據用戶所持物品來鑒別其真偽； （3）根據用戶所知來鑒別其真偽。 任何提供以上一種或多種功能的產品均可歸入本類。 4.3.7.2 類別（C72）完整性鑒別 本類產品提供資訊完整性鑒別，使得用戶，設備，進程可以證實接收到的資訊的完整性。 本類產品的安全功能可歸納為： 證實資訊內容未被非法修改或遺漏，如完整性校驗設備。 任何提供以上功能的產品均可歸入本類。 4.3.7.3 類別（C73）不可否認性鑒別 本類產品提供不可否認性鑒別，使得資訊發送者不可否認對資訊的發送和資訊接收者不可否認對資訊的接收。 本類產品的安全功能可歸納為兩個方面： （1）證實發方發送的資訊確實為收方接收，收方不可否認； （2）證實收方接收到的資訊為發方發送，發方不可否認。 任何提供以上一種或兩種功能的產品均可歸入本類。
|
 |
 |
