寫在智慧卡即將執行3C強制認證檢測的前夜

鄒德強發表於2012-07-20


 

去年有關部門出臺了有關資訊產品強制檢測的名錄，從企業的角度來看，這無疑是一塊不得不扛的枷鎖。從資訊保安的角度來看，國際上公認的評測是CC的EAL認證，一般的智慧卡晶片都達到EAL5+以上。從這個角度來看，其安全性自不待言。不過我們的有關機構並不承認國際上的這個認證，而是自己搞出一套所謂的安全評測，俗稱中國的EAL4+，可惜的是這個中國的EAL4+也不被國際機構認可。不知道這其中究竟摻雜多少的政治因素，又牽涉多少經濟利益格局。總之，現在在資訊保安領域，中國並沒有完全融入到國際的大家庭。所以屢屢推出各式各樣的中國標準，即使這些所謂的中國標準基本上是國際標準的翻版，也津津樂道其自主的屬性。但是感到困惑和迷茫的是那些相關的產業鏈各個環節，外國企業想要進入中國覺得有壁壘，中國企業想要走出去又不被認可。

下面是關於資訊產品強制檢測的發文公告，明天就是2009年5月1日了，我們看看這些產品究竟有多少能夠按期貼上3C的標籤。

=======================================================================================================================

國家質檢總局 國家認監委2008年第7號公告
《關於部分資訊保安產品實施強制性認證的公告》
 
根據《中華人民共和國產品質量法》、《中華人民共和國標準化法》、《中華人民共和國進出口商品檢驗法》、《中華人民共和國認證認可條例》、《強制性產品認證管理規定》和《關於建立國家資訊保安產品認證認可體系的通知》，現決定對部分資訊保安產品實施強制性認證。《第一批資訊保安產品強制性認證目錄》見附件。

　　自2009年5月1日起，凡列入本強制性認證目錄內的資訊保安產品，未獲得強制性產品認證證書和未加施中國強制性認證標誌的，不得出廠、銷售、進口或在其他經營活動中使用。

　　特此公告。

　　附件：第一批資訊保安產品強制性認證目錄

　　二〇〇八年一月二十八日

國家認監委2008年第3號公告
《關於公佈資訊保安產品強制性認證指定認證機構及首批實驗室名單的公告》
 
根據《中華人民共和國認證認可條例》、《強制性產品認證管理規定》、《強制性產品認證機構、檢查機構和實驗室管理辦法》和《關於建立國家資訊保安產品認證認可體系的通知》的規定，現做如下指定：

　　一、資訊保安產品強制性認證指定認證機構：

　　中國資訊保安認證中心

　　二、資訊保安產品強制性認證第一批指定實驗室：

　　1.資訊產業部電腦保安技術檢測中心

　　2.國家保密局涉密資訊系統安全保密測評中心

　　3.公安部計算機資訊系統安全產品質量監督檢驗中心

　　4.國家密碼管理局商用密碼檢測中心

　　5.中國資訊保安測評中心資訊保安實驗室

　　6.北京資訊保安測評中心

　　7.上海市資訊保安測評認證中心

　　特此公告。

 

附件：
第一批資訊保安產品強制性認證目錄
 
產品類別
產品名稱
產品的定義和適用範圍
1、邊界安全
1）防火牆
防火牆產品是指一個或一組在不同安全策略的網路或安全域之間實施網路訪問控制的系統。
適用的產品範圍為：（1）以防火牆功能為主體的軟體或軟硬體組合；（2）其它網路產品中的防火牆模組；不適用個人防火牆產品。
2）網路安全隔離卡與線路選擇器
網路安全隔離卡是指安裝在計算機內部，能夠使連線該計算機的多個獨立的網路之間仍然保持物理隔離的裝置。安全隔離線路選擇器是與配套的安全隔離卡一起使用，適用於單網布線環境下，使同一計算機能夠訪問多個獨立的網路，並且各網路仍然保持物理隔離的裝置。
適用的產品範圍為：（1）安全隔離計算機；（2）安全隔離卡；（3）安全隔離線路選擇器。
3）安全隔離與資訊交換產品
安全隔離與資訊交換產品是指能夠保證不同網路之間在網路協議終止的基礎上，通過安全通道在實現網路隔離的同時進行安全資料交換的軟硬體組合。
適用的產品範圍為：（1）安全隔離與資訊交換產品；（2）安全隔離與檔案單向傳輸產品。
2、 通訊安全
4）安全路由器                    
安全路由器是指為保障所傳輸資料完整性、機密性、可用性，應用於重要資訊系統的，具備IKE金鑰協商能力，埠IPSec硬體線速加密能力的路由器。 
適用的產品範圍為分：整合了IPSec/SSL，以及防火牆、入侵檢測、安全審計等一種或多種安全模組的路由器，僅接入公用電信網的路由器除外。
3、身份鑑別與訪問控制
5）智慧卡COS
智慧卡晶片作業系統(COS-Chip Operating System)是指在智慧卡晶片中儲存和執行的、以保護儲存在非易失性儲存器中的應用資料或程式的機密性和完整性、控制智慧卡晶片與外界資訊交換為目的的嵌入式軟體。
適用的產品範圍為：（1）採用接觸或/和非接觸工作方式的智慧卡的COS；（2）其它被整合或內建了的COS。
4、資料安全
6）資料備份與恢復產品
資料備份與恢復產品是指實現和管理資訊系統資料的備份和恢復過程的軟體。
適用的產品範圍為：獨立的資料備份與恢復管理軟體產品，不包括資料複製產品和持續資料保護產品。
 
 
 
5、基礎平臺
 
7）安全作業系統
安全作業系統是指從系統設計、實現、使用和管理等各個階段都遵循一套完整的系統安全策略，並實現了GB 17859-1999 《計算機資訊系統等級保護劃分準則》所確定的安全等級三級（含）以上的作業系統。
適用的產品範圍為：（1）獨立的安全作業系統軟體產品；（2）整合或內建了安全作業系統的產品。
8）安全資料庫系統
安全資料庫系統是指從系統設計、實現、使用和管理等各個階段都遵循一套完整的系統安全策略，並實現GB 17859-1999 《計算機資訊系統等級保護劃分準則》所確定的安全等級三級（含）以上的資料庫系統。
適用的產品範圍為：（1）獨立的安全資料庫系統軟體產品；（2）整合或內建了安全資料庫系統的產品。
6、內容安全
9）反垃圾郵件產品
反垃圾郵件產品是指對按照電子郵件標準協議實現的電子郵件系統中傳遞的垃圾郵件進行識別、過濾的軟體或軟硬體組合。
適用的產品範圍為：（1）透明的反垃圾郵件閘道器；（2）基於轉發的反垃圾郵件系統；（3）與郵件伺服器一體的反垃圾郵件的郵件伺服器；(4) 安裝於已有郵件伺服器上反垃圾郵件軟體。
7、評估審計與監控
10）入侵檢測系統（IDS）           
入侵檢測系統指通過對計算機網路或計算機系統中的若干關鍵點收集資訊並對其進行分析，發現違反安全策略的行為和被攻擊跡象的軟體或軟硬體組合。
適用的產品範圍為：（1）網路型入侵檢測系統；（2）主機型入侵檢測系統。
11）網路脆弱性掃描產品               
網路脆弱性掃描產品指利用掃描手段檢測目標網路系統中可能被入侵者利用的脆弱性的軟體或軟硬體組合。
適用的產品範圍為：網路型脆弱性掃描產品；不適用：主機型脆弱性掃描產品；資料庫的脆弱性掃描產品；WEB應用的脆弱性掃描產品。
12）安全審計產品                   
安全審計產品指能夠對網路應用行為或資訊系統的各種日誌實行採集、分析，形成審計記錄的軟體或軟硬體組合。
適用的產品範圍為：將主機、伺服器、網路、資料庫及其它應用系統等一類或多類作為審計物件的產品。
8、應用安全
13）網站恢復產品
網站恢復產品是對受保護的靜態網頁檔案、動態指令碼檔案及目錄的未授權更改及時地進行自動恢復的軟體或軟硬體組合。
適用的產品範圍為：針對靜態網頁檔案、動態指令碼檔案及目錄進行自動恢復的產品。

相關文章