5.3 信息系統安全保障評估

5.3.1　概述

信息系統安全保障評估，就是在信息系統所處的運行環境中對信息系統安全保障的具體工作和活動進行客觀的評估，通過信息系統安全保障評估所搜集的客觀證據，向信息系統的所有相關方提供信息系統的安全保障工作能夠實現其安全保障策略、能夠將其所面臨的風險降低到其可接受的程度的主觀信心。信息系統安全保障評估的評估對象是信息系統，信息系統是用于采集、處理、存儲、傳輸、分發和部署信息的整個基礎設施、組織結構、人員和組件的總和，因此信息系統不僅包含了僅討論技術的信息技術系統，還包括同信息系統所處的運行環境相關的人和管理等領域。信息系統安全保障是一個動態持續的概念，是涉及信息系統整個生命周期的概念，因此信息系統安全保障的評估也應該提供一種動態持續的信心。

5.3.2　信息系統安全保障評估概念和關系

評估是信息系統安全保障的一個重要概念，資產所有者可以根據評估所得到的客觀評估結果建立其主觀的信心。圖5描述了信息系統安全保障評估的概念和關系。

5.3.3　信息系統安全保障評估內容

5.3.3.1　概述

信息系統安全保障的評估，是從信息系統安全保障的概念出發，在信息系統的生命周期內，根據組織機構的要求，對信息系統的安全技術、安全管理和安全工程領域內對信息系統的安全技術體系結構和架構能力、安全管理控制和管理能力以及安全工程實施和工程實施能力進行評估綜合，從而最終得出信息系統在其運行環境中安全保障措施滿足其安全保障要求的符合性以及得出其信息系統安全保障能力的評估。圖6給出信息系統安全保障評估的描述。

因此，信息系統安全保障評估主要包括兩方面的評估：信息系統在其運行環境中其具體的安全保障控制相對于安全保障要求的符合性評估以及信息系統安全保障級的評估。
a) 信息系統在其運行環境中其安全保障控制對安全保障要求的符合性，即信息系統的技術體系結構、管理控制和工程實施相對于信息系統在其運行環境下的符合性，是同信息系統保護輪廓（ISPP）和信息系統安全目標（ISST）相關的內容。信息系統保護輪廓（ISPP）是從信息系統的所有者角度來描述的信息系統安全保障的規范化需求描述，對信息系統保護輪廓（ISPP）的評估就是評估所編制的信息系統保護輪廓（ISPP）是否符合ISPP規范化描述的要求以及評估它是否真正反應了信息系統所有者的真實的安全保障要求。信息系統安全目標（ISST）是從信息系統安全保障的建設方角度來描述的信息系統安全保障方案，信息系統安全目標（ISST）的評估就是評估所編制的信息系統安全目標（ISST）是否符合ISST規范化描述的要求以及它是否能夠真正解決和滿足信息系統保護輪廓（ISPP）的信息系統安全保障要求。

5.3.4　信息安全整體和應用

本標準是建立在GB/T 18336信息技術安全性評估準則的基礎之上的綜合安全技術、安全管理、安全工程等要求的綜合評估。圖7描述了包含信息技術安全性評估準則和本標準的信息系統安全保障評估的整體和應用。

在信息系統安全保障評估的整體中，信息技術安全性評估準則是本標準的基礎，本標準是信息技術安全性評估準則的擴展和補充。信息系統安全保障評估整體和應用的含義如下：

a) GB/T 18336是本標準的基石，它為本標準提供了本質的信息技術安全性評估的準則，為信息系統安全保障評估引入了科學、嚴格的方法論。在信息技術安全性評估準則之上，是相應的功能/保證類擴展，這些功能/保證類擴展的標準化，方便了進一步建立相關產品保護輪廓等；

b) 本標準是基于信息技術安全性評估準則的擴展，它在吸取了信息技術安全性評估準則的方法和原則之上，根據信息系統的特點，分別建立了安全技術、安全管理和安全工程的建設和評估框架，完善了信息技術安全性評估準則在信息系統領域的應用；

c) 其他相關輔助資料包括信息技術安全性評估方法、信息系統安全保障評估方法等資料；

d) 信息技術安全性評估準則和本標準等相結合構建了信息系統安全保障評估的整體框架，并建立了包括產品、工程、方案、管理和系統評估等綜合完整的評估保證體系；

e) 特定領域信息系統安全保障評估框架是本標準在特定領域和行業的深化；

f) 信息系統保護輪廓（ISPP）是根據組織機構使命和所處的運行環境，從組織機構的策略和風險的實際情況出發對具體信息系統安全保障的具體描述；

g) 信息系統安全目標（ISST）是針對信息系統保護輪廓（ISPP）所編制的滿足信息系統所處的運行環境中的信息系統安全保障方案；

h) 通過以上各個層次的標準、準則和相關資料，完成了對信息系統進行安全性評估的整體體系建設和應用。

本標準的應用主要是建立基于此準則的國際互認的相應保護輪廓（PP），通過這些保護輪廓進一步對信息安全產品和產品系統進行評估；本標準主要是對信息系統的安全工程、安全管理和安全技術分別或信息系統整體進行評估。