国家标准《信息安全技术 反垃圾邮件产品技术要求和测试评价方法》（报批稿）编制说明

一、任务来源《信息安全技术反垃圾邮件产品技术要求和测试评价方法》是全国信息安全标准化技术委员会2009年下达的信息安全国家标准制定项目，国标计划号为20111624-T-469，由中国信息安全认证中心和上海市信息安全测评认证中心负责起草。二、编制原则《信息安全技术反垃圾邮件产品技术要求和测试评价方法》是信息安全技术标准族中的标准之一。目前，垃圾邮件对社会安全的危害呈现上升趋势，反垃圾邮件产品从技术上对阻止垃圾邮件传播提供了有效的手段，国内外市场已形成一定规模，针对该产品的测评活动也已逐步开展，但国内尚未有合适的反垃圾邮件产品的国家标准。本标准在以GB/T18336-2008《信息技术安全技术信息技术安全性评估准则》为指南，分析反垃圾邮件产品的具体特点，提出了具体的安全技术要求、性能要求及保证要求，形成有针对性的安全技术要求和测试评价方法，本标准还参考了公安部提出的检验规范MSTL-JGF-04-013《信息安全技术反垃圾邮件产品检验规范》中的部分内容，并对性能要求进行了补充。本标准编制过程中，研究、分析了市场上主要的反垃圾邮件产品的技术特点、发展趋势，以及应用案例，在此基础上，对提出的安全技术要求进行了验证、细化和补充。根据产品功能要求和安全保证要求的不同，以及反垃圾邮件产品适用应用环境的不同，将反垃圾邮件产品分为两个等级：基本级和增强级。基本级评估保障要求达到EAL2级，可适用家庭、小型企业或机构等反垃圾邮件需求比较简单的环境。增强级评估保障要求达到EAL3级，可适用中、大型企业或机构等等反垃圾邮件需求比较综合的环境。三、主要工作过程1、2008年10月，《信息安全技术反垃圾邮件产品技术要求和测试评价方法》的编制项目在全国信安标委信息安全专项立项。2、2009年1月，中国信息安全认证中心和上海市信息安全测评认证中心共同组成标准编制组，召开该标准编制启动工作会议。会上，对标准编制的组织形式及任务分工进行了安排。3、2009年2月至8月，标准编制组完成了国家标准《信息安全技术反垃圾邮件产品技术要求和测试评价方法》（草案）。4、2009年11月，标准编制组完成《征求意见稿》，在上海地区召开相关邮件运营网站、测试机构和研究所、反垃圾邮件厂商等单位的评审专家，征求专家意见。编制组根据专家意见对草案文本进行了修改完善。5、2010年4月，标准编制组向业内相关机构和公司通过函评等方式征求意见，并根据专家反馈意见，进一步完善了标准文本，形成了第二版《征求意见稿》文本。6、2011年5月12日，标准编制组通过了安标委WG7组的草案专家审查会。会后按照专家意见，对文本进行了修改完善，形成了最终草案文本。7、2011年8月5日，通过WG7组全体成员单位投票，投票通过率100%。会后根据各成员单位意见对标准草案文本进行了修改完善，形成标准征求意见稿文本。8、2012年8月至10月，安标委秘书处就本标准征求意见稿在各相关主管部门范围内征求意见，收到公安部十一局、中国信息安全测评中心、工信部信息安全协调司的意见，并召开了专家组标准协调会，标准编制组反馈意见做出了处理，对文本修改完善后形成送审稿。四、标准的主要内容本标准提供了反垃圾邮件产品的术语和定义；介绍了反垃圾邮件产品的等级划分依据和要求。本标准适用于对反垃圾邮件产品的研制、生产、测试和评价。本标准主要框架如下：前言 引言 1范围2规范性引用文件 3术语和定义 4反垃圾邮件等级划分5技术要求 5.1功能要求5.1.1垃圾邮件识别5.1.2垃圾邮件处理5.1.3管理控制功能5.1.4报表统计5.2自身安全要求5.2.1安全审计5.2.2身份鉴别5.2.3用户角色5.2.4安全功能数据传输保护5.3安全保证要求5.3.1配置管理5.3.2交付与运行5.3.3开发5.3.4指导性文档5.3.5测试5.3.6脆弱性评定6测试评价方法6.1测试环境6.2功能测试6.3自身安全测试6.4安全保证要求评估附录A性能测试 参考文献 五、与相关法律法规及国家有关规定、国内相关标准的关系针对反垃圾邮件产品，目前我国存在原邮电部制定的行标：YD/T1310-2004《互联网广告电子邮件格式要求》和YD/T1311-2004《防范互联网垃圾电子邮件技术要求》及公安部的检验规范MSTL-JGF-04-013《信息安全技术反垃圾邮件产品检验规范》。本技术规范参考了国家标准GB/T18336-2008《信息技术安全技术信息技术安全性评估准则》中部分术语与定义以及安全功能要求和安全保障要求内容。本标准参考了YD/T1310-2004《互联网广告电子邮件格式要求》和YD/T1311-2004《防范互联网垃圾电子邮件技术要求》中的部分内容，根据目前产品的技术情况提出了更为合理和详细的技术要求。本标准参考了公安部提出的检验规范MSTL-JGF-04-013《信息安全技术反垃圾邮件产品检验规范》中的部分内容，并对性能要求进行了补充。六、有关专利的说明本标准不涉及专利。国家标准《信息安全技术反垃圾邮件产品技术要求和测试评价方法》（报批稿）编制说明国家标准《信息安全技术反垃圾邮件产品技术要求和测试评价方法》（报批稿）编制说明国家标准