1 范圍

本標準規定了計算機信息系統安全專用產品分類原則。

本標準適用于保護計算機信息系統安全專用產品，涉及實體安全、 運行安全和信息安全三個方面。

實體安全包括環境安全，設備安全和媒體安全三個方面。

運行安全包括風險分析,審計跟蹤，備份與恢復，應急四個方面。

信息安全包括操作系統安全，數據庫安全，網絡安全，病毒防護，訪問控制，加密與鑒別七個方面。

2 分類原則

為了保證分類體系的科學性，遵循如下原則：

1． 適度的前瞻性；

2． 標準的可操作性；

3． 分類體系的完整性；

4． 與傳統的兼容性；

5． 按產品功能分類。

3 術語定義

3.1 計算機信息系統 Computer Information System

是指由計算機及其相關的和配套的設備、設施（含網絡）構成的，按照一定的應用目標和規則對信息進行采集、加工、存儲、傳輸、檢索等處理的人機系統。

3.2 計算機信息系統安全專用產品 Security Products for Computer Information Systems

是指用于保護計算機信息系統安全的專用硬件和軟件產品。

3.3 實體安全 Physical Security

保護計算機設備、設施（含網絡）以及其它媒體免遭地震、水災、火災、有害氣體和其它環境事故（如電磁污染等）破壞的措施、過程。

3.4 運行安全 Operation Security

為保障系統功能的安全實現，提供一套安全措施（如風險分析，審計跟蹤，備份與恢復，應急等）來保護信息處理過程的安全。

3.5 信息安全 Information Security

防止信息財產被故意的或偶然的非授權泄露、更改、破壞或使信息被非法的系統辨識，控制。即確保信息的完整性、保密性，可用性和可控性。

3.6 黑客 Hacker

對計算機信息系統進行非授權訪問的人員。

3.7 應急計劃 Contingency Plan

在緊急狀態下，使系統能夠盡量完成原定任務的計劃。

3.8 證書授權 Certificate Authority

通過證書的形式證明實體（如用戶身份，用戶的公開密鑰等）的真實性。

3.9 安全操作系統 Secure Operation System

為所管理的數據和資源提供相應的安全保護，而有效控制硬件和軟件功能的操作系統。

3.10 訪問控制 Access Control

指對主體訪問客體的權限或能力的限制，以及限制進入物理區域（出入控制）和限制使用計算機系統和計算機存儲數據的過程（存取控制）。

3.11 防火墻 Fire Wall

設置在兩個或多個網絡之間的安全阻隔，用于保證本地網絡資源的安全，通常是包含軟件部分和硬件部分的一個系統或多個系統的組合。

3.12 計算機病毒 Computer Virus

是指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數據、影響計算機使用、并能自我復制的一組計算機指令或程序代碼。

4 類別體系

4.1 類別（A）實體安全

4.1.1 類別（A10）環境安全

本類產品提供對計算機信息系統所在環境的安全保護，主要包括受災防護和區域防護。

4.1.1.1 類別（A11）受災防護

本類產品提供受災報警，受災保護和受災恢復等功能，目的是保護計算機信息系統免受水、火、有害氣體、地震、雷擊和靜電的危害。

本類產品的安全功能可歸納為三個方面：

(1) 災難發生前，對災難的檢測和報警；

(2) 災難發生時，對正遭受破壞的計算機信息系統，采取緊急措施，進行現場實時保護；

(3) 災難發生后，對已經遭受某種破壞的計算機信息系統進行災后恢復。

任何提供以上一種或數種功能的產品均可歸入本類。

4.1.1.2 類別（A12）受災恢復計劃輔助軟件

本類產品為制訂受災難恢復計劃提供計算機輔助，它主要是以受災恢復計劃輔助軟件的形式提供。

本類產品的安全功能可歸納為三個方面：

(1) 災難發生時的影響分析；

(2) 受災恢復計劃的概要設計或詳細制訂；

(3) 受災恢復計劃的測試與完善。

任何提供以上一種或數種功能的產品均可歸入本類。

4.1.1.3 類別（A13）區域防護

本類產品對特定區域提供某種形式的保護和隔離。

本類產品的安全功能可歸納為兩個方面：

(1) 靜止區域保護，如通過電子手段（如紅外掃描等）或其它手段對特定區域(如機房等)進行某種形式的保護（如監測和控制等）；

(2) 活動區域保護，對活動區域(如活動機房等)進行某種形式的保護。

任何提供以上一種或兩種功能的產品均可歸入本類。

4.1.2 類別（A20）設備安全

本類產品提供對計算機信息系統設備的安全保護。它主要包括設備的防盜和防毀，防止電磁信息泄漏，防止線路截獲，抗電磁干擾以及電源保護等六個方面。

4.1.2.1 類別（A21）設備防盜

本類產品提供對計算機信息系統設備的防盜保護。

本類產品所提供的安全功能可歸納為:

使用一定的防盜手段（如移動報警器、數字探測報警和部件上鎖）用于計算機信息系統設備和部件，以提高計算機信息系統設備和部件的安全性。

任何提供以上功能的產品均可歸入本類。

4.1.2.2 類別（A22）設備防毀

本類產品提供對計算機信息系統設備的防毀保護。

本類產品所提供的安全功能可歸納為兩個方面:

（1） 對抗自然力的破壞，使用一定的防毀措施（如接地保護等）保護計算機信息系統設備和部件；

（2） 對抗人為的破壞，使用一定的防毀措施(如防砸外殼)保護計算機信息系統設備和部件。

任何提供以上一種或兩種功能的產品均可歸入本類。

4.1.2.3 類別（A23）防止電磁信息泄漏

本類產品用于防止計算機信息系統中的電磁信息的泄漏，從而提高系統內敏感信息的安全性。如防止電磁信息泄漏的各種涂料、材料和設備等都屬于本類。

本類產品所提供的安全功能可歸納為三個方面：

(1) 防止電磁信息的泄漏(如屏蔽室等防止電磁輻射引起的信息泄漏)；

(2) 干擾泄漏的電磁信息(如利用電磁干擾對泄漏的電磁信息進行置亂)；

(3) 吸收泄漏的電磁信息(如通過特殊材料/涂料等吸收泄漏的電磁信息)。

任何提供以上一種或數種功能的產品均可歸入本類。

4.1.2.4 類別（A24）防止線路截獲

本類產品用于防止對計算機信息系統通信線路的截獲和外界對計算機信息系統的通信線路的干擾。

本類產品的安全功能可歸納為四個方面：

(1) 預防線路截獲，使線路截獲設備無法正常工作；

(2) 探測線路截獲，發現線路截獲并報警；

(3) 定位線路截獲，發現線路截獲設備工作的位置；

(4) 對抗線路截獲，阻止線路截獲設備的有效使用。

任何提供以上一種或數種功能的產品可歸入本類。

4.1.2.5 類別（A25）抗電磁干擾

本類產品用于防止對計算機信息系統的電磁干擾，從而保護系統內部的信息。

本類產品的安全功能可歸納為兩個方面：

(1) 對抗外界對系統的電磁干擾；

(2) 消除來自系統內部的電磁干擾。

任何提供以上一種或兩種功能的產品可歸入本類。

4.1.2.6 類別（A26）電源保護

本類產品為計算機信息系統設備的可靠運行提供能源保障，例如不間斷電源、紋波抑制器、電源調節軟件等都屬于本類。

本類產品的安全功能可歸納為兩個方面：

(1) 對工作電源的工作連續性的保護，如不間斷電源；

(2) 對工作電源的工作穩定性的保護，如紋波抑制器。

任何提供以上一種或兩種功能的產品均可歸入本類。

4.1.3 類別（A30）媒體安全

本類產品提供對媒體數據和媒體本身的安全保護。

4.1.3.1 類別（A31）媒體的安全

本類產品提供對媒體的安全保管，目的是保護存儲在媒體上的信息。

本類產品的安全功能可歸納為兩個方面：`

（1） 媒體的防盜；

（2） 媒體的防毀，如防霉和防砸等。

任何提供以上一種或二種功能的產品均可歸入本類。

4.1.3.2 類別（A32）媒體數據的安全

本類產品提供對媒體數據的保護。媒體數據的安全刪除和媒體的安全銷毀是為了防止被刪除的或者被銷毀的敏感數據被他人恢復。

本類產品的安全功能可歸納為三個方面：

（1） 媒體數據的防盜，如防止媒體數據被非法拷貝；

（2） 媒體數據的銷毀，包括媒體的物理銷毀（如媒體粉碎等）和媒體數據的徹底銷毀（如消磁等），防止媒體數據刪除或銷毀后被他人恢復而泄露信息；

（3） 媒體數據的防毀，防止意外或故意的破壞使媒體數據的丟失。

任何提供以上一種或數種功能的產品均可歸入本類。

4.2 類別（B）運行安全

4.2.1 類別（B10）風險分析

　　本類產品提供對計算機信息系統進行人工或自動的風險分析。它首先是對系統進行靜態的分析（尤指系統設計前和系統運行前的風險分析），旨在發現系統的潛在安全隱患；其次是對系統進行動態的分析，即在系統運行過程中測試，跟蹤并記錄其活動，旨在發現系統運行期的安全漏洞；最后是系統運行后的分析，并提供相應的系統脆弱性分析報告。

　　本類產品的安全功能可歸納為四個方面：

(1) 系統設計前的風險分析。通過分析系統固有的脆弱性，旨在發現系統設計前潛在的安全隱患；

(2) 系統試運行前的風險分析。根據系統試運行期的運行狀態和結果，分析系統的潛在安全隱患，旨在發現系統設計的安全漏洞；

(3) 系統運行期的風險分析。提供系統運行記錄，跟蹤系統狀態的變化，分析系統運行期的安全隱患，旨在發現系統運行期的安全漏洞，并及時通告安全管理員；

(4) 系統運行后的風險分析。分析系統運行記錄，旨在發現系統的安全隱患，為改進系統的安全性提供分析報告。

任何提供以上一種或數種功能的產品均可歸入本類。

4.2.2 類別（B20）審計跟蹤

　　本類產品對計算機信息系統進行人工或自動的審計跟蹤、保存審計記錄和維護詳盡的審計日志。

本類產品的安全功能可歸納為三個方面：

(1) 記錄和跟蹤各種系統狀態的變化，如提供對系統故意入侵行為的記錄和對系統安全功能違反的記錄；

(2)實現對各種安全事故的定位，如監控和捕捉各種安全事件；

(3)保存、維護和管理審計日志。

任何提供以上一種或數種功能的產品均可歸入本類。

4.2.3 類別（B30）備份與恢復

本類產品提供對系統設備和系統數據的備份與恢復，對系統數據的備份和恢復可以使用多種介質（如磁介質、紙介質、光碟、縮微載體等）。

本類產品的安全功能可歸納為三個方面：

(1) 提供場點內高速度、大容量自動的數據存儲，備份和恢復；

(2) 提供場點外的數據存儲，備份和恢復，如通過專用安全記錄存儲設施對系統內的主要數據進行備份；

(3) 提供對系統設備的備份。

任何提供以上一種或數種功能的產品均可歸入本類。

4.2.4 類別（B40）應急

本類產品提供緊急事件或安全事故發生時，保障計算機信息系統繼續運行或緊急恢復所需要的一類產品，如應急計劃輔助軟件和應急設施兩個方面。

4.2.4.1 類別（B41）應急計劃輔助軟件

本類產品為制訂應急計劃提供計算機輔助，它主要是以應急計劃輔助軟件的形式提供。

本類產品的安全功能可歸納為三個方面：

(1) 緊急事件或安全事故發生時的影響分析；

(2) 應急計劃的概要設計或詳細制訂；

(3) 應急計劃的測試與完善。

任何提供以上一種或數種功能的產品均可歸入本類。

4.2.4.2 類別（B42）應急設施

本類產品提供緊急事件或安全事故發生時，計算機信息系統實施應急計劃所需要的一類產品，它包括實時應急設施、非實時應急設施等。這些設施一般由專門廠商提供。實時應急設施、非實時應急設施的區別主要表現在對緊急事件發生時的響應時間長短上。

　 本類產品的安全功能可歸納為二個方面：

(1) 提供實時應急設施，實現應急計劃，保障計算機信息系統的正常安全運行；

(2) 提供非實時應急設施，實現應急計劃。

任何提供以上一種或兩種功能的產品均可歸入本類。

4.3 類別（C）信息安全

4.3.1 類別（C10）操作系統安全

本類產品提供對計算機信息系統的硬件和軟件資源的有效控制，能夠為所管理的資源提供相應的安全保護。它們或是以底層操作系統所提供的安全機制為基礎構作安全模塊，或者完全取代底層操作系統，目的是為建立安全信息系統提供一個可信的安全平臺。

4.3.1.1 類別（C11）安全操作系統

本類產品是安全操作系統，是指從系統設計、實現和使用等各個階段都遵循了一套完整的安全策略的操作系統。

任何具有不同安全級別的安全操作系統產品均可歸入本類。

4.3.1.2 類別（C12）操作系統安全部件

本類產品是操作系統安全部件，目的是增強現有操作系統的安全性。

本類產品的安全功能可歸納為兩個方面：

（1） 通過構作安全模塊，增強現有操作系統的安全性；

（2） 通過構作安全外罩，增強現有操作系統的安全性。

任何提供以上一種或兩種功能的產品均可歸入本類。

4.3.2 類別（C20）數據庫安全

本類產品對數據庫系統所管理的數據和資源提供安全保護。它一般采用多種安全機制與操作系統相結合，實現數據庫的安全保護。

4.3.2.1 類別（C21）安全數據庫系統

本類產品是安全數據庫系統，即從系統設計、實現、使用和管理等各個階段都遵循一套完整的系統安全策略的安全數據庫系統。

任何具有不同安全級別的安全數據庫系統均可歸入本類。

4.3.2.2 類別（C22）數據庫系統安全部件

本類產品是數據庫系統安全部件，是以現有數據庫系統所提供的功能為基礎構作安全模塊，旨在增強現有數據庫系統的安全性。

本類產品的安全功能可歸納為兩個方面：

（1） 通過構作安全模塊，增強現有數據庫系統的安全性；

（2） 通過構作安全外罩，增強現有數據庫系統的安全性。

任何提供以上一種或兩種功能的產品均可歸入本類。

4.3.3 類別（C30）網絡安全

本類產品提供訪問網絡資源或使用網絡服務的安全保護。

4.3.3.1 類別（C31）網絡安全管理

本類產品為網絡的使用提供安全管理。

本類產品的安全功能可歸納為四個方面：

(1) 幫助協調網絡的使用，預防安全事故的發生；

(2) 跟蹤并記錄網絡的使用，監測系統狀態的變化。如提供對網絡系統故意入侵行為的記錄和對違反網絡系統安全管理行為的記錄；

(3) 實現對各種網絡安全事故的定位，探測網絡安全事件發生的確切位置；

(4) 提供某種程度的對緊急事件或安全事故的故障排除能力.

任何提供以上一種或數種功能的產品均可歸入本類。

4.3.3.2 類別（C32）安全網絡系統

本類產品對網絡資源的訪問和網絡服務的使用提供一套完整的安全保護。

本類產品是安全網絡系統，即從網絡系統的設計、實現、使用和管理各個階段遵循一套完整的安全策略的網絡系統。

任何具有不同安全級別的安全網絡系統均可歸入本類。

4.3.3.3 類別（C33）網絡系統安全部件

本類產品是網絡系統安全部件，是對網絡系統的某個過程、部分或服務提供安全保護，旨在增強整個網絡系統的安全性。

本類產品的安全功能可歸納為三個方面：

(1) 對網絡資源訪問的某一過程提供安全保護，例如身份認證是對登錄過程的保護，旨在防止黑客對網絡資源的訪問；

(2) 對網絡資源的某一部分提供安全保護，例如防火墻是對網絡資源的某個部分（本地網絡資源）的保護；

(3) 對網絡系統提供的某種服務提供安全保護，例如安全電子郵件服務是對網絡系統提供的電子郵件服務的保護。

任何提供以上一種或數種功能的產品均可歸入本類。

4.3.4 類別（C40）計算機病毒防護

本類產品提供對計算機病毒的防護。病毒防護包括單機系統的防護和網絡系統的防護。

單機系統的防護側重于防護本地計算機資源，而網絡系統的防護側重于防護網絡系統資源。計算機病毒防護產品是通過建立系統保護機制，預防、檢測和消除病毒。

4.3.4.1 類別（C41）單機系統病毒防護

本類產品提供對單機系統的病毒防護，既可以是軟件產品，也可以是硬件產品。

本類產品的安全功能可歸納為以下五個方面：

(1) 預防計算機病毒侵入系統；

(2) 檢測已侵入系統的計算機病毒；

(3) 定位已侵入系統的病毒；

(4) 防止病毒在系統中的傳染；

(5) 清除系統中已發現的計算機病毒。

任何提供以上一種或數種功能的產品均可歸入本類。

4.3.4.2 類別（C42）網絡系統病毒防護

本類產品提供對網絡系統的病毒防護。

本類產品的安全功能可歸納為以下五個方面：

(1) 預防計算機病毒侵入網絡系統；

(2) 檢測已侵入網絡系統的病毒；

(3) 定位已侵入網絡系統的病毒；

(4) 防止網絡系統中病毒的傳染；

(5) 清除網絡系統中已發現的病毒。

任何提供以上一種或數種功能的產品均可歸入本類。

4.3.5 類別（C50）訪問控制

本類產品保證系統的外部用戶或內部用戶對系統資源的訪問以及對敏感信息的訪問方式符合組織安全策略。本類產品主要包括：出入控制和存取控制。

4.3.5.1 類別（C51）出入控制

本類產品主要用于阻止非授權用戶進入機構或組織。一般是以電子技術、生物技術或者電子技術與生物技術結合阻止非授權用戶進入。

本類產品包括：

（1） 物理通道的控制，例如利用重量檢查控制通過通道的人數；

（2） 門的控制，例如雙重門，陷阱門等；

凡是采用電子技術、生物特征技術以及與其他技術相結合以實現出入控制的安全產品均可歸入本類。

4.3.5.2 類別（C52）存取控制

本類產品提供主體訪問客體時的存取控制，如通過對授權用戶存取系統敏感信息時進行安全性檢查，以實現對授權用戶的存取權限的控制。

本類產品提供的安全功能可歸納為以下四個方面：

（1） 提供對口令字的管理和控制功能。例如提供一個弱口令字庫，禁止用戶使用弱口令字，強制用戶更換口令字等；

（2） 防止入侵者對口令字的探測；

（3） 監測用戶對某一分區或域的存取；

（4） 提供系統中主體對客體訪問權限的控制。

任何提供以上一種或數種功能的產品均可歸入本類。

4.3.6 類別（C60）加密

本類產品提供數據加密和密鑰管理。

4.3.6.1 類別（C61）加密設備

本類產品提供對數據的加密。

本類產品提供的安全功能可歸納為以下三個方面：

（1） 對文字的加密；

（2） 對語音的加密；

（3） 對圖象、圖形的加密。

任何提供以上一種或數種功能的產品均可歸入本類。

4.3.6.2 類別（C62）密鑰管理

本類產品提供對密鑰的管理。例如證書授權中心（提供對用戶的公開密鑰的管理）和密鑰恢復，都屬于本類。

本類產品的安全功能可歸納為六個方面：

(1) 密鑰分發或注入；

(2) 密鑰更新；

(3) 密鑰回收；

(4) 密鑰歸檔；

(5) 密鑰恢復；

(6) 密鑰審計。

任何提供以上一種或數種功能的產品均可歸入本類。

4.3.7 類別（C70）鑒別

本類產品提供身份鑒別和信息鑒別。身份鑒別是提供對信息收發方（包括用戶，設備和進程）真實身份的鑒別；信息鑒別是提供對信息的正確性，完整性和不可否認性的鑒別。本類產品亦提供防偽性。

4.3.7.1 類別（C71）身份鑒別

本類產品提供對用戶的身份鑒別，主要用于阻止非授權用戶對系統資源的訪問。一般是以電子技術、生物技術或者電子技術與生物技術結合鑒別授權用戶身份的真實性。

本類產品的安全功能可歸納為三個方面：

（1） 根據用戶的生物特性來鑒別其真偽；

（2） 根據用戶所持物品來鑒別其真偽；

（3） 根據用戶所知來鑒別其真偽。

任何提供以上一種或多種功能的產品均可歸入本類。

4.3.7.2 類別（C72）完整性鑒別

本類產品提供信息完整性鑒別，使得用戶，設備，進程可以證實接收到的信息的完整性。

本類產品的安全功能可歸納為：

證實信息內容未被非法修改或遺漏，如完整性校驗設備。

任何提供以上功能的產品均可歸入本類。

4.3.7.3 類別（C73）不可否認性鑒別

本類產品提供不可否認性鑒別，使得信息發送者不可否認對信息的發送和信息接收者不可否認對信息的接收。

本類產品的安全功能可歸納為兩個方面：

（1） 證實發方發送的信息確實為收方接收，收方不可否認；

（2） 證實收方接收到的信息為發方發送，發方不可否認。

任何提供以上一種或兩種功能的產品均可歸入本類。