企业新闻

安全需求的分类

2018-04-08 17:03:41 | 来源:中培企业IT培训网

1.安全需求的分类

用户对安全方面的需求有很多,涉及待开发系统的功能、性能和约束等各个方面的内容。 “信息技术安全性认证通用标准”(Commo,,Criteria for Inform!ation Technology Security Evaluation,CC)中将安全需求划分为安全功能需求(Security functional requirements)和安全保障需求(Security assurai,ce requirements)两个独立的范畴来定义,前者描述的是安全系统应该提供的安全功能;后者描述的是安全可信度及为获取一定的可信度而应该采取的措施。 为了规范化安全需求,CC标准中定义了1 1种安全功能需求类和7种安全保障类,并给出了一套评价系统安全可信度的指标一安全保障级别( EVL)。EVL通过安全系统在构造管理、发行与操作、开发、指南文档、生命周期支持、测试和脆弱性评估等方面所采取的措施来确定系统的安全可信度。

CC标准提供安全保障的原则是基于对系统安全可信度的评价。然而.除了EAL这一定性的评价指标外,可以用于评价系统安全保障程度的指标还有很多,尤其是其中的一些定量化指标(例如系统的病毒感染率和平均失效时间MTTF等),对用户来说更加直观,更加易于理解。CC标准中并没有排斥也没有评论这些指标,当这些指标的计算和评价方法进一步成熟之后,用户对这些定量指标的要求将被纳入到对系统的安全保障需求中去。

在现有的这些评价安全保障程度的定量化指标中,安全风险值是当前较为流行,也是比较成熟的一种指标。用户对系统安全风险值的要求也应该是安全保障需求中的一部分。此外,在CC标准和信息保障技术框架(IATF)中,信息系统的安全风险也是确定安全需求的一个重要依据,所以安全风险分析是安全需求分析过程中的一个重要步骤。

标签: 安全需求

猜你喜欢