导论

0.1 引言

0.2 客观看待信息安全问题

0.3 信息安全是一个治理问题

0.4 测评认证是信息安全治理的有效手段

0.5 本书的结构

0.6 致谢

1.1.1 物理安全

1.1 信息安全概念的发展历程

第1章 信息安全观的发展

第1篇 信息安全测评认证

1.1.2 通信保密

1.1.3 计算机安全

1.1.4 信息安全

1.1.5 运行安全

1.1.6 系统安全

1.1.7 系统可靠性

1.1.8 信息安全保障

1.2 对信息安全概念的历史评述

2.1 引言

第2章 信息安全测评认证标准的发展

2.2 标准组织机构发展概述

2.2.1 国际信息安全标准组织

2.2.2 我国信息安全标准组织

2.3 信息安全测评认证标准体系

2.3.1 国外信息安全测评标准概述

2.3.2 我国信息安全测评认证标准的发展

第3章 信息安全测评认证的模型与方法

3.1 信息安全原理与模型

3.1.1 多级安全模型

3.1.2 多边安全模型

3.1.3 健壮性模型

3.1.4 基于时间的PDR模型

3.1.5 分布式动态主动模型

3.2 信息安全的测度模型与方法

3.2.1 安全审计

3.2.2 风险分析

3.2.3 能力成熟度模型

3.2.4 安全测评

3.3.1 信息安全评估准则

3.3 信息安全评估准则与方法

3.3.2 信息安全评估方法

3.3.3 信息安全保障体系有效性验证方法

3.3.4 信息安全评估准则的发展趋势

3.4 信息安全认证模式与方法

3.4.1 信息安全认证模式

3.4.2 信息安全认证方法

第4章 现代信息安全测评认证体系

4.1 概述

第2篇 测评认证体系的组织与管理

4.2 组织形式

4.2.1 IT安全评估申请者

4.2.2 国家认证机构

4.2.3 授权测评机构

4.3 测评认证过程

4.3.1 认证申请

4.3.2 测评过程

4.3.3 认证过程

4.3.4 认证维持

4.4.1 美国的信息安全测评认证制度

4.4 国外信息安全测评认证制度

4.4.2 英国的信息安全测评认证制度

4.4.3 澳大利亚的信息安全测评认证制度

4.4.4 加拿大的信息安全测评认证制度

4.4.5 德国的信息安全测评认证制度

4.4.6 法国的信息安全测评认证制度

4.4.7 荷兰的信息安全测评认证制度

4.4.8 西班牙的信息安全测评认证制度

4.4.10 韩国的信息安全测评认证制度

4.4.9 以色列的信息安全测评认证制度

4.4.11 日本的信息安全测评认证制度

4.5 中国信息安全测评认证制度的建立和发展

4.5.1 认证体系与认证机构

4.5.2 测评机构

4.6 信息安全测评认证的国际互认情况

第5章 认证机构的组织与管理

5.1 认证机构概述

5.1.1 认证机构的体制要求

5.1.2 认证机构的主要职责

5.1.3 认证机构的组织管理

5.1.5 信息安全认证管理委员会

5.1.4 认证机构的国际协作

5.2 认证机构的必备条件

5.3 认证机构的质量政策

5.3.1 质量方针

5.3.2 信息保密政策

5.3.3 记录管理制度

5.4 认证机构的管理体系

5.5 认证机构的质量管理

5.5.3 内部审核

5.5.4 管理评审

5.5.2 质量文档

5.5.1 质量主管

5.5.5 投诉和申诉

5.5.6 质量管理记录

5.6 认证机构的资源管理

5.6.1 认证人员

5.6.2 认证培训

5.6.3 认证合同

5.7.2 解释程序

5.7.1 认证程序

5.7 评估监督和认证管理

5.6.4 资源管理记录

5.7.3 评估监督和认证记录

5.8 认证机构的记录管理

5.8.1 记录管理

5.8.2 文档控制

5.8.3 证书管理

5.9 对授权测评机构的管理

5.9.1 对授权测评机构的认可要求

5.9.4 批准／认可的更新

5.9.3 扩大或缩小授权测评机构认可范围

5.9.2 确定并维护测试方法

5.9.5 批准／认可的撤销或暂停

5.9.6 审核

5.9.7 能力测试的制定和维护

5.9.8 对授权测评机构管理的记录

5.10 认证维持管理

5.10.1 认证维持程序

5.10.2 认证维持记录

6.2 授权测评机构的认可

6.1 授权测评机构概述

第6章 授权测评机构的组织与管理

6.2.1 获得认证机构认可

6.2.2 获得国家认可机构认可

6.2.3 认可范围

6.4 授权测评机构的质量体系

6.4.1 质量体系要求

6.4.2 质量体系文件层次图

6.3.2 审核

6.3.1 批准／认可的更新

6.3 授权测评机构的资格维持

6.4.3 授权测评机构质量体系

第3篇 测评认证的规范与指南

第7章 评估监督与认证规范

7.1 认证过程概述

7.1.1 认证目标

7.1.2 认证活动

7.1.3 认证准备阶段

7.1.4 认证监督阶段

7.2 认证员职责

7.2.1 监督评估过程

7.1.5 认证决定阶段

7.2.2 确认评估结果

7.2.3 代表认证机构

7.2.4 协调认证项目

7.2.5 提供技术支持

7.3 认证准备阶段

7.3.1 评审

7.3.2 会议

7.4 认证监督阶段

7.4.1 评估监督

7.3.3 记录

7.4.2 评审

7.4.3 会议

7.4.4 观察与见证

7.4.5 记录

7.5 认证决定阶段

7.5.1 记录

7.5.2 会议

7.6 认证记录系统

7.6.1 认证记录

7.6.3 评估证据

7.6.2 记录标识和索引

7.6.5 硬拷贝记录

7.6.6 停止认证记录

7.7 认证支持机制

7.7.1 技术支持

7.7.2 解释

7.6.4 电子记录

7.7.3 补救行为

7.7.4 评估问题的解决程序

7.7.5 认证机构交流机制

8.1.1 认证维持的目的

8.1.2 认证维持生命周期

第8章 认证维持规范

8.1 认证维持概述

8.2 认证维持程序

8.2.1 CMP接受

8.2.2 CMP维持

8.2.3 CMP各参与方

8.2.4 TOE变化的CMP范围

8.2.5 AMA概念和模型的应用

8.3.1 开发者职责

8.3 产品开发者职责

8.2.6 CMP记录保存

8.2.7 索取解释

8.2.8 其他CMP管理任务

8.3.2 安全分析员职责

8.4 申请者职责

8.4.1 申请者的CMP相关职责

8.4.2 委托多个授权测评机构

8.5.3 CMP评估职责

8.6.1 认证机构职责

8.6 认证机构职责

8.5.2 参加CMP任务的授权测评机构员工

8.5.1 对授权测评机构的认可

8.5 授权测评机构与评估者职责

8.6.2 认证员职责

第9章 认证申请指南

9.1 认证申请者概述

9.2 认证机构的服务支持

9.3 授权测评机构的咨询支持

9.5.1 评估申请过程

9.5 评估前阶段

9.4 信息访问与发布授权

9.4.1 私有或敏感信息

9.4.2 公开信息

9.5.2 申请者的责任

9.5.3 授权测评机构的责任

9.5.4 认证机构的责任

9.6 评估阶段

9.6.1 评估过程

9.6.2 申请者的责任

9.6.5 投诉和申诉

9.7 评估后阶段

9.6.3 授权测评机构的责任

9.6.4 认证员的责任

9.7.1 证书发放

9.7.2 评估记录管理

9.7.3 认证证书维持

10.1.2 体系中各机构的法定地位和职能

10.1 中国信息安全测评认证组织体系

10.1.1 中国信息安全测评认证体系描述

第10章 中国信息安全测评认证体系

第4篇 测评认证的实践与探索

10.1.3 相关文件

10.2 我国信息安全测评认证标准

10.2.1 信息技术安全性评估准则

10.2.2 信息产品安全技术要求

10.2.3 通用评估方法

10.2.4 信息安全管理标准

10.2.6 认证机构的能力要求

10.2.5 系统安全工程能力成熟度模型

10.2.7 检验和校准实验室的能力的要求

10.3 中国信息安全测评认证业务体系

10.3.1 产品认证

10.3.2 系统认证

10.3.3 服务资质认证

10.3.4 人员资质认证

10.4 信息安全测评认证体系在中国信息化建设中的作用

10.4.1 信息安全测评认证的安全保障作用

10.4.2 信息安全测评认证的技术壁垒作用

11.2 信息产品安全测评认证级别

11.1 信息产品安全测评认证概述

第11章 信息产品安全测评认证实践

11.3 信息产品安全测评认证流程

11.3.1 准备阶段

11.3.2 评估阶段

11.3.3 认证阶段

11.3.4 证后监督及维持阶段

12.1.1 信息系统安全认证内涵

12.1.2 信息系统安全测评认证意义

12.1 信息系统安全测评认证概述

第12章 信息系统安全测评认证实践

12.2 信息系统安全测评认证的基础与原则

12.2.1 信息系统安全保障评估

12.2.2 信息系统安全保障评估准则基本组成

12.2.3 信息系统的分级原则

12.2.4 信息系统的安全测评认证方法

12.2.5 信息安全产品的采购原则

12.3 信息系统安全测评认证程序

12.3.1 测评认证流程

12.3.2 安全评估阶段

12.3.4 认证监督阶段

12.3.3 安全认证阶段

第13章 信息安全服务资质认证实践

13.1 信息安全服务资质认证概述

13.1.1 信息安全服务概述

13.1.2 信息安全服务资质评估

13.2 信息安全工程过程及能力级别

13.2.1 信息安全工程过程

13.2.2 信息安全工程过程能力级别

13.2.3 信息安全服务资质等级划分

13.3 信息安全服务资质认证流程

13.3.1 申请

13.3.2 评审

13.3.3 认证与公布

13.3.4 保持认证

13.3.5 认证发展

13.3.6 处置

13.3.7 争议、投诉与申诉

13.3.8 认证企业档案

14.1.2 认证概述

14.1.1 认证背景

第14章 注册信息安全专业人员认证实践

14.1 注册信息安全专业人员认证概述

14.2 注册信息安全专业人员认证体系

14.2.1 知识体系

14.2.2 课程体系

14.3 注册信息安全专业人员认证流程

14.3.1 申请阶段

14.3.3 认证阶段

14.3.4 认证维持阶段

14.3.2 评估阶段

附录A 参考文献

附录B 缩略语及认证体系术语表

1．缩略语

2．认证体系术语表

附录C 国内外测评认证机构联系方式

C.1 中国

C.2 美国

C.3 英国

C.4 澳大利亚

C.6 德国

C.5 加拿大

C.7 法国

C.8 以色列

C.9 韩国

C.10 日本

C.14 挪威

C.15 西班牙

C.16 瑞典

C.13 荷兰

C.12 意大利

C.11 匈牙利

C.17 土耳其

附录D 评估案例——智能卡的安全评估

1．序言

2．参与机构

3．智能卡面临的威胁

4．评估依据

5．评估申请阶段

6．评估实施阶段

7．评估认证阶段

8．结语