GB/T 36630.1-2018信息安全技术信息技术产品安全可控评价指标第1部分：总则

ICS35040

L80.

中华人民共和国国家标准

GB/T366301—2018

.

信息安全技术

信息技术产品安全可控评价指标

第1部分总则

:

Informationsecuritytechnology—Controllabilityevaluationindexfor

securitofinformationtechnoloroducts—Part1Generalrinciles

ygyp:pp

2018-09-17发布2019-04-01实施

国家市场监督管理总局发布

中国国家标准化管理委员会

GB/T366301—2018

.

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

安全可控概述

4……………2

风险分析

4.1……………2

安全可控保障

4.2………………………2

保障目标

4.2.1………………………2

保障要求

4.2.2………………………2

安全可控评价

5……………3

评价原则

5.1……………3

科学合理

5.1.1………………………3

客观公正

5.1.2………………………3

知识产权保护

5.1.3…………………3

评价指标体系

5.2………………………3

体系框架

5.2.1………………………3

研发生产评价类

5.2.2………………4

供应链评价类

5.2.3…………………5

运维服务评价类

5.2.4………………5

评价实施

5.3……………5

评价流程

5.3.1………………………5

评价方法

5.3.2………………………5

评价结果

5.3.3………………………6

参考文献

………………………7

GB/T366301—2018

.

前言

信息安全技术信息技术产品安全可控评价指标包括以下部分

GB/T36630《》:

第部分总则

———1:;

第部分中央处理器

———2:;

第部分操作系统

———3:;

第部分办公套件

———4:;

第部分通用计算机

———5:。

本部分为的第部分

GB/T366301。

本部分按照给出的规则起草

GB/T1.1—2009。

本部分由全国信息安全标准化技术委员会提出并归口

(SAC/TC260)。

本部分起草单位中国电子信息产业发展研究院公安部第一研究所中国电子技术标准化研究院

:、、、

中国信息安全研究院有限公司中国电子科技集团公司国家信息技术安全研究中心工业和信息化部

、、、

软件与集成电路促进中心中国软件评测中心公安部第三研究所中国信息安全测评中心中国信息通

、、、、

信研究院等

。

本部分主要起草人刘权王闯韩煜李海涛叶润国刘贤刚左晓栋张建军李冰方进社刘龙庚

:、、、、、、、、、、、

顾健张宝峰宁华翟艳芬冯伟许亚倩杨永生李英的陈妍赵爽王超马士民荣志刚韦安垒

、、、、、、、、、、、、、。

Ⅰ

GB/T366301—2018

.

引言

随着信息技术应用的日益深入信息技术产品设计实现的复杂度不断提升涉及的生命周期环节越

,,

来越多人为设置的后门不可控的产品供应链不能持续的产品服务未经授权的数据收集和使用等潜

,、、、

在的不可控因素不断增多严重损害应用方的权益甚至可能危害国家安全和公共利益

,,。

依据中华人民共和国网络安全法网络产品和服务安全审查办法试行等要求为提高信息技

《》《()》,

术产品安全可控水平防范网络安全风险维护国家和公共安全进而满足信息技术产品应用方安全可

,,,

控需求增强应用方信心推动信息技术产业健康快速发展特制定

,,、,GB/T36630。

提出信息技术产品安全可控评价指标和评价方法不包含对产品本身安全功能和安

GB/T36630,

全性能的评价安全可控只是信息技术产品的一个属性如需评价信息技术产品的安全功能和安全性

。,

能等其他属性可参照相关国家标准

,。

本部分明确了信息技术产品安全可控评价指标总体要求为开展信息技术产品安全可控评价工作

,

提供指导

。

Ⅱ

GB/T366301—2018

.

信息安全技术

信息技术产品安全可控评价指标

第1部分总则

:

1范围

的本部分规定了信息技术产品安全可控的概念保障目标给出了信息技术产品安全

GB/T36630、,

可控的评价原则评价指标体系和实施流程

、。

本部分适用于评价实施方对信息技术产品的安全可控程度进行评价也可供信息技术产品供应方

,

和应用方在产品供应和应用过程中保障产品安全可控进行参照

。

2规范性引用文件

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

。,()。

信息安全技术术语

GB/T25069—2010

3术语和定义

界定的以及下列术语和定义适用于本文件

GB/T25069—2010。

31

.

信息技术产品informationtechnologyproduct

具有采集存储处理传输控制交换显示数据或信息功能的硬件软件系统和服务

、、、、、、、、。

注信息技术产品包括计算机及其辅助设备通信设备网络设备自动控制设备操作系统数据库应用软件与服

:、、、、、