从图1中可以看出，信息评估标准是经历了TCSEC 、ITSEC、 CPCPEC、 CC、 ISO15408这5个 发展 阶段，最初的TCSEC是针对孤立 计算 机系统提出的，该标准适用于军队，开始时 应用 在OS的评估上，TCSEC与ITSEC均是不涉及开放系统的安全标准，仅针对产品的安全保证要求来划分等级并进行评测，并均为静态模型，仅能反应静态安全状况，CPCPEC虽在两者的基础上有一定的发展，但也未能突破上述的局限性，FC对TCSEC做了补充和修改，但因其自身的缺陷一直没有正式投入使用。CC与早期的评估标准相比，其优势体现在其结构的开放性、表达方式的通用性以及结构和表达方式的内在完备性和实用性等方面。总体来说，各标准适用范围略有不同，各有优劣。

 

    CC（即GB/T 18336:2001 idt ISO/IEC 15408:1999）和BS 7799标准的共同点表现在以下四个方面：

   ☆    两个标准所涉及的范围从大的角度来说都是信息安全领域；

   ☆    两个标准对信息安全的定义相同，都是指对信息保密性、完整性和可用性的保护；

   ☆    两个标准对信息安全风险的定义基本相同，都是从资产、威胁、薄弱点和 影响 来考察风险；

   ☆    两个标准都针对不同的风险提出了相应的控制目标和控制措施。

    两个标准之间最主要的区别在于着眼点的不同，简单地说，这两个标准之间没有任何紧密联系，它们没有相同或类似的主题。 CC侧重于对系统和产品的技术指标，旨在支持产品（最终是指已经在系统中安装了的产品，虽然 目前 指的是一般产品）中IT安全特征的技术性评估。ISO/IEC15408标准还有一个重要作用，即它可以用于描述用户对安全性的技术需求。 BS 7799则偏重于安全管理方面的要求。它不是一篇技术标准，而是管理标准。它处理的是对IT系统中非技术 内容 的检查。这些内容与人员、流程、物理安全以及一般意义上的安全管理有关。ISO/IEC17799的目的是"为信息安全管理提供建议，供那些在其机构中负有安全责任的人使用。它旨在为一个机构提供用来制定安全标准、实施有效的安全管理时的通用要素，并得以使跨机构的交易得到互信"。

    CC中虽对信息安全管理方面提出了一定的要求，但这些管理要求是孤立、相对静止的、不成体系的。同样，BS 7799也涉及极小部分的技术指标，但仅限于管理上必须的技术指标。因此在这一方面两个标准对其重点强调部分可互相补充和借鉴，例如在按照BS 7799建立体系时候，可以制定组织的信息产品和系统的采购策略，要求采购通过CC认证的产品。

    安全评估标准从一开始就偏重于仅对系统拥有者和操作者的保护，用户的安全，特别是通信系统用户的安全则没有被考虑，因此提供双边或多边安全的各种技术，就不能用当前标准来正确的描述。

    目前的信息安全评估标准只是制定了一个框架，明确了标准的主体，但是可操作性不强，具体的步骤需要大量文档进行补充，而且评估结果最终是一个客观 参考 性的结构，对 企业 的实际指导意义不强。

    从沟通交流的角度说，最好全世界只有一个标准，从国家安全的角度说，最好所有的标准都和国外的不同，就像中国和俄罗斯之间的铁路一样，轨距是不同的。标准意味着开放，互通，弱点公开，如果你自豪的宣称你的系统达到了CC EAL4安全级别，那就意味着你同时也具有EAL4级缺陷，采用EAL5 分析 方法就可以解决。

    目前国外的标准基本是由政府出资由有关的职能团队开发而来的，从2006年在西班牙召开的ISO/IECJTC1/SC27工作组会议上来看，我国目前在信息标准化的组织结构、工作程序等基本运作机制上于国际标准化组织保持了一致，但是目前我国在标准的制定及参与方面都有待于进一步的加强，我们的很多单位却在盲目地摘抄7799/17799。只有积极参与国际标准制定，建立稳定的国际标准跟踪，研究队伍，才能对国际信息安全发展形成全面的认识、而踏踏实实做好基础性 理论 研究，形成我们自己的看法，拿出我们自己的东西，才是我们更应该做的。

    本文从侧重产品的技术指标和侧重安全管理这二方面介绍了国内外现有的信息安全评估标准，并对这些标准的特点、应用方式、适用范围和实用价值进行了详细的比较、讨论；最后研究了安全评估标准中面临的问题及进一步完善方法。

1 陈星 胡啸 国际信息安全标准热点问题与发展趋势 《信息技术与标准化》 2003年12期

2 李守鹏 吴希唐 信息安全评估中的重要概念 《计算机安全》2000年

3 中国信息安全产品测试认证中心 国家标准GB/T 18336-2001介绍 http://www.itsec.gov.cn

4 ISO17799(BS7799)

5 ITSEC (the information technology security evaluation criteria version 1.2)1991