GB/T 20274.4-2008信息安全技術信息系統(tǒng)安全保障評估框架第4部分：工程保障

犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜２０２７４．４—２００８

信息安全技術

信息系統(tǒng)安全保障評估框架

第４部分：工程保障

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犈狏犪犾狌犪狋犻狅狀犳狉犪犿犲狑狅狉犽犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊狊犲犮狌狉犻狋狔犪狊狊狌狉犪狀犮犲—

犘犪狉狋４：犈狀犵犻狀犲犲狉犻狀犵犪狊狊狌狉犪狀犮犲

２００８０７１８發(fā)布２００８１２０１實施

中華人民共和國國家質量監(jiān)督檢驗檢疫總局

發(fā)布

中國國家標準化管理委員會

書

犌犅／犜２０２７４．４—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４本部分的結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５信息系統(tǒng)安全工程保障框架!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１信息系統(tǒng)安全工程保障概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．２信息系統(tǒng)安全工程保障控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．３信息系統(tǒng)安全工程能力成熟度級別!!!!!!!!!!!!!!!!!!!!!!!!!４

６信息安全工程保障控制類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２安全工程保障控制類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．３安全工程保障控制子類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．４安全工程保障控制組件結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

７ＰＲＭ安全工程保障控制類：風險過程!!!!!!!!!!!!!!!!!!!!!!!!!６

７．１風險過程安全工程保障控制類介紹!!!!!!!!!!!!!!!!!!!!!!!!!６

７．２系統(tǒng)定義（ＰＲＭ＿ＳＤＦ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．３評估威脅（ＰＲＭ＿ＡＴＴ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．４評估脆弱性（ＰＲＭ＿ＡＶＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

７．５評估影響（ＰＲＭ＿ＡＩＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．６評估安全風險（ＰＲＭ＿ＡＳＲ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

８ＰＥＮ安全工程保障控制類：工程過程!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．１工程過程安全工程保障控制類介紹!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．２確定安全要求（ＰＥＮ＿ＩＳＲ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

８．３高層安全設計（ＰＥＮ＿ＨＳＤ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

８．４詳細安全設計（ＰＥＮ＿ＤＳＤ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

８．５安全工程實施（ＰＥＮ＿ＳＥＥ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

８．６提供安全輸入（ＰＥＮ＿ＰＳＩ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．７監(jiān)視安全態(tài)勢（ＰＥＮ＿ＭＳＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

８．８管理安全控制（ＰＥＮ＿ＭＳＣ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

８．９協(xié)調安全（ＰＥＮ＿ＣＯＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

９ＰＡＳ安全工程保障控制類：保障過程!!!!!!!!!!!!!!!!!!!!!!!!!３６

９．１保障過程安全工程保障控制類介紹!!!!!!!!!!!!!!!!!!!!!!!!!３６

９．２驗證和確認安全（ＰＡＳ＿ＶＶＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

９．３建立保證證據(jù)（ＰＡＳ＿ＥＡＥ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

１０安全工程保障控制類能力級!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

１０．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

１０．２安全工程能力級別說明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

Ⅰ

書

犌犅／犜２０２７４．４—２００８

１０．３信息系統(tǒng)安全工程能力級別要求!!!!!!!!!!!!!!!!!!!!!!!!!４４

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４５

圖１安全工程過程生命周期!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

圖２安全工程保障控制類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

圖３安全工程保障控制子類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

圖４安全工程保障控制組件結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

圖５風險過程說明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

圖６系統(tǒng)定義（ＰＲＭ＿ＳＤＦ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!!!７

圖７評估威脅（ＰＲＭ＿ＡＴＴ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!!!８

圖８評估脆弱性（ＰＲＭ＿ＡＶＬ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!１０

圖９評估影響（ＰＲＭ＿ＡＩＭ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!!１３

圖１０評估安全風險（ＰＲＭ＿ＡＳＲ）安全工程保障控制子類分解!!!!!!!!!!!!!!!１５

圖１１工程過程安全工程保障控制類介紹!!!!!!!!!!!!!!!!!!!!!!!!１８

圖１２確定安全要求（ＰＥＮ＿ＩＳＲ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!１８

圖１３高層安全設計（ＰＥＮ＿ＨＳＤ）安全工程保障控制子類分解!!!!!!!!!!!!!!!２１

圖１４詳細安全設計（ＰＥＮ＿ＤＳＤ）安全工程保障控制子類分解!!!!!!!!!!!!!!!２２

圖１５安全工程實施（ＰＥＮ＿ＳＥＥ）安全工程保障控制子類分解!!!!!!!!!!!!!!!２４

圖１６提供安全輸入（ＰＥＮ＿ＰＳＩ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!２６

圖１７監(jiān)視安全態(tài)勢（ＰＥＮ＿ＭＳＰ）安全工程保障控制子類分解!!!!!!!!!!!!!!!２９

圖１８管理安全控制（ＰＥＮ＿ＭＳＣ）安全工程保障控制子類分解!!!!!!!!!!!!!!!３２

圖１９協(xié)調安全（ＰＥＮ＿ＣＯＳ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!!３５

圖２０保障過程安全工程保障控制類說明!!!!!!!!!!!!!!!!!!!!!!!!３７

圖２１驗證和確認安全（ＰＡＳ＿ＶＶＳ）安全工程保障控制子類分解!!!!!!!!!!!!!!３７

圖２２建立保證證據(jù)（ＰＡＳ＿ＥＡＥ）安全工程保障控制子類分解!!!!!!!!!!!!!!!３９

圖２３信息系統(tǒng)安全工程能力要求級別圖!!!!!!!!!!!!!!!!!!!!!!!!４４

表１安全工程生命周期和過程域對應表!!!!!!!!!!!!!!!!!!!!!!!!!３

Ⅱ

犌犅／犜２０２７４．４—２００８

前言

ＧＢ／Ｔ２０２７４《信息安全技術信息系統(tǒng)安全保障評估框架》分為以下四個部分：

———第１部分：簡介和一般模型

———第２部分：技術保障

———第３部分：管理保障

———第４部分：工程保障

本部分是ＧＢ／Ｔ２０２７４的第４部分。

本部分由全國信息安全標準化技術委員會提出并歸口。

本部分起草單位：中國信息安全產(chǎn)品測評認證中心。

本部分主要起草人：吳世忠、王海生、陳曉樺、王貴駟、李守鵬、江常青、彭勇、張利、姚軼嶄、班曉芳、

李靜、王慶、鄒琪、錢偉明、江典盛、陸麗、孫成昊、門雪松、杜宇鴿、楊再山。

Ⅲ

犌犅／犜２０２７４．４—２００８

信息安全技術

信息系統(tǒng)安全保障評估框架

第４部分：工程保障

１范圍

ＧＢ／Ｔ２０２７４的本部分建立了信息系統(tǒng)安全工程保障的框