认证小知识——CC认证的内容及特点

大家好，欢迎来到IT知识分享网。

· CC与CEMCC

CC标准定义了评价信息技术产品和系统安全性的基本准则，提出了目前国际上公认的表述信息技术安全性的结构，即把安全要求分为规范产品和系统安全行为的功能要求以及解决如何正确有效地实施这些功能的保证要求。通用评估方法CEM(CommonEvaluationMethod—ology)是与CC配套的另一个标准，它是依照CC对信息技术产品或系统的安全性进行评估的方法。依据CC采用CEM对信息技术产品或系统进行评估而产生的评估结果，是国际上不同国家的评估机构间达成互认的重要基础。

· CC内容结构

CC标准本身由3部分文档组成：

第1部分“简介和一般模型”，是CC的简介，定义了信息技术安全性评估的一些基本概念和原理，并提出评估的一般模型。

第2部分“安全功能要求”，列举了一系列较易理解和比较完备的安全功能要求目录，这些目录将被用于表示一个信息技术产品或系统的安全功能要求。

第3部分“安全保证要求”，列举了一系列比较完备的安全保证要求目录，这些目录将被用于表示一个信息技术产品或系统的安全保证要求，同时还提出了评估保证等级等概念。

CC中定义了7个评估保证等级(EAL)，每一等级对安全保证功能的要求各不相同，随着评估保证等级的提高，对产品或系统的安全要求将提高。

· 适用范围和侧重点

CC的使用对象有信息技术产品或系统的消费者、开发者或集成商、评估者以及审核员、认证人员及授权人员等。

CC是面向所有信息技术产品的，不论其实现方式是硬件还是软件，还可用于产品和系统的开发、生产、集成、运行、维护等。CC标准可以支持产品中安全特征的技术性要求评估，然而CC没有包括对物理安全、行政管理措施、密码机制等方面的评估，因此CC标准主要还是一套技术性标准，侧重于对系统和产品的技术指标的评估。