4.CC

信息技術(shù)安全評(píng)估通用標(biāo)準(zhǔn)( Common Criteria for Information Technology Sec,urity Evaluation，簡(jiǎn)稱通用標(biāo)準(zhǔn)或CC)是計(jì)算機(jī)安全認(rèn)證的國(guó)際標(biāo)準(zhǔn)(IS0／IEC 15408)。為了適應(yīng)經(jīng)濟(jì)全球化的形勢(shì)要求，在CC標(biāo)準(zhǔn)制定出不久，六國(guó)七方即推動(dòng)國(guó)際標(biāo)準(zhǔn)化組織(ISO)將CC標(biāo)準(zhǔn)納入國(guó)際標(biāo)準(zhǔn)體系。經(jīng)過(guò)多年協(xié)商和磋切，國(guó)際標(biāo)準(zhǔn)組織于1999年批準(zhǔn)CC標(biāo)準(zhǔn)以“ISO/IECl5408-1999”編號(hào)正式列入國(guó)際標(biāo)準(zhǔn)系列，標(biāo)準(zhǔn)名稱為：Information technology - Security techniques - Evaluation criteria for IT securit)，。2005年IS0對(duì)CC進(jìn)行了改版，發(fā)布了ISO/IEC 15408:2005。其后又不斷修訂，最新版本為：IS015408-1:2009、IS015408-2:2008、 IS015408-3:2008。

GB/T18336國(guó)家標(biāo)準(zhǔn)等同采用國(guó)際標(biāo)準(zhǔn)IS015408，因此CC也是我國(guó)信息安全評(píng)估的匡l家標(biāo)準(zhǔn)。

通用標(biāo)準(zhǔn)作為評(píng)估框架，計(jì)算機(jī)系統(tǒng)用戶可以通過(guò)使用保護(hù)配置文件( PP)來(lái)指定其安全功能和保證要求（分別為SFR和SAR），供應(yīng)商可以實(shí)施和／或?qū)ζ洚a(chǎn)品的安全屬性進(jìn)行聲明測(cè)試實(shí)驗(yàn)室可以對(duì)產(chǎn)品進(jìn)行評(píng)估，以確定其是否符合要求。換句話說(shuō)，通用標(biāo)準(zhǔn)規(guī)定， 計(jì)算機(jī)安全產(chǎn)品的規(guī)范，實(shí)施和評(píng)估過(guò)程以嚴(yán)格，標(biāo)準(zhǔn)和可重復(fù)的方式進(jìn)行與目標(biāo)使用環(huán)境相稱。

CC標(biāo)準(zhǔn)有一定的局限性：

◇CC標(biāo)準(zhǔn)采用半形式化語(yǔ)言，比較難以理解；

◇CC不包括那些與IT安全措施沒(méi)有直接關(guān)聯(lián)的、屬于行政性管理安全措施的評(píng)估準(zhǔn)則，即該標(biāo)準(zhǔn)并不關(guān)注于組織、人員、環(huán)境、設(shè)備、網(wǎng)絡(luò)等方面的具體的安全措施；

◇CC重點(diǎn)關(guān)注人為的威脅，對(duì)于其他威脅源并沒(méi)有考慮；

◇CC并不針對(duì)IT安全性的物理方面的評(píng)估（如電磁干擾）；

◇CC并不涉及評(píng)估方法學(xué)；

◇CC不包括密碼算法固有質(zhì)量的評(píng)估。