本文件定义了ISO/IEC 15408的保障要求，包括组成ISO/IEC 15408-5中包含的评估保障级和其他包的各个保障包，以及PP、PP-配置、PP-模块和ST的评估准则。

ICS35.030
CCS L 80
中华人民共和国国家标准　
GB/T18336.3—2024/ISO/IEC15408-3:2022部分代替GB/T18336.3—2015
网络安全技术
信息技术安全评估准则
第3部分：安全保障组件
Cybersecurity technology-Evaluation criteria for IT security-Part3：Securityassurancecomponents(ISO/IEC 15408-3 :2022,Information security,cybersecurity and privacyprotection-Evaluation criteria for IT security-Part 3:Security assurance components,IDT)2024-04-25发布
国家市场监督管理总局
国家标准化管理委员会
2024-11-01实施
规范性引用文件
术语和定义
保障范式
ISO/IEC15408基本方法
保障方法
ISO/IEC15408评估保障尺度
安全保障组件
保障类结构
保障族结构
保障组件结构
保障元素·
组件分类
APE类：保护轮廓评估
PP介绍（APE_INT）
符合性声明（APE_CCL）
安全问题定义（APESPD）
安全目的（APE_OBJ）
扩展组件定义（APE_ECD）
安全要求（APE_REQ）
8ACE类：保护轮廓配置评估：
PP-模块介绍（ACE_INT）
8.3PP-模块符合性声明（ACE_CCLPP-模块安全问题定义（ACE_SPD）8.41
PP-模块安全目的（ACE_OBJ）
8.6PP-模块扩展组件定义（ACE_ECD)目
GB/T18336.3—2024/ISO/IEC15408-3:2022次
GB/T18336.3—2024/ISO/IEC15408-3:20228.7PP-模块安全要求（ACE_REQ）8.8PP-模块一致性（ACE_MCO)
PP-配置一致性（ACECCO)
9ASE类：安全目标评估
概述·
ST介绍（ASE_INT）
符合性声明（ASE_CCL)
安全问题定义（ASE_SPD）
安全目的（ASE_OBJ）
扩展组件定义（ASE_ECD）
安全要求（ASE_REQ）
TOE概要规范（ASETSS)
复合产品安全目标一致性（ASE_COMP）ADV类：开发
安全架构（ADV_ARC)
功能规范（ADV_FSP）
实现表示（ADV_IMP）…
TSF内部（ADV_INT）
安全策略模型（ADV_SPM）
TOE设计(ADV_TDS)www.bzxz.net
复合设计符合性（ADV_COMP）
AGD类：指导性文档
操作用户指南（AGD_OPE)
准备程序（AGD_PRE).
12ALC类：生命周期支持
CM能力（ALC_CMC)
CM范围（ALC_CMS）
交付（ALC_DEL）
开发者环境安全（ALC_DVS)
缺陷纠正（ALC_FLR）·
开发生命周期定义（ALC_LCD）
开发构件（ALC_TDA）
工具和技术（ALC_TAT）
复合部分集成和交付程序一致性核查（ALC_COMP）23
ATE类：测试
覆盖（ATE_COV）
深度（ATE_DPT)·
功能测试（ATE_FUN）
独立测试(ATE_IND)
复合功能测试（ATE_COMP）·
AVA类：脆弱性评定
应用注释
脆弱性分析（AVA_VAN)…
复合脆弱性评定（AVA_COMP）
ACO类：组合
规则·
组合基本原理（ACO_COR）
开发证据（ACO_DEV）
依赖部件的依赖性（ACO_REL)
组合TOE测试（ACO_CTT）
组合脆弱性分析（ACO_VUL）·
附录A（资料性）开发（ADV）
ADV_ARC：安全架构的补充材料·ADV_FSP：功能规范的补充材料
ADVINT：TSF内部补充材料
ADV_TDS：子系统和模块
形式化方法补充材料
附录B（资料性）
组合（ACO)
组合TOE评估的必要性
执行组合TOE的安全目标评估
B.4组合IT实体间的交互关系
附录C（资料性）
保障组件依赖关系的交叉引用
附录NA（资料性）
参考文献
缩略语
GB/T18336.3—2024/ISO/IEC15408-3:202290
GB/T18336.3—2024/IS0/IEC15408-3:2022前言
本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
本文件是GB/T18336《网络安全技术信息技术安全评估准则》的第3部分。GB/T18336已经发布以下部分：
第1部分：简介和一般模型；
第2部分：安全功能组件；
一第3部分：安全保障组件；
一第4部分：评估方法和活动的规范框架；第5部分：预定义的安全要求包。本文件和GB/T18336.4一2024《网络安全技术信息技术安全评估准则第4部分：评估方法和活动的规范框架》、GB/T18336.5一2024《网络安全技术信息技术安全评估准则第5部分：预定义的安全要求包》共同代替GB/T18336.3一2015《信息技术安全技术信息技术安全评估准则第3部分：安全保障组件》。
本文件部分代替GB/T18336.3一2015《信息技术安全技术信息技术安全评估准则第3部分：安全保障组件》。与GB/T18336.3一2015相比，除结构调整和编辑性改动外，主要技术变化如下：更改了术语（见第3章，2015年版的第3章）；增加了精确符合性类型（见7.3.2，8.3.2，8.9.2和9.3.2)；删除了评估保障级和组合保障包（见2015年版的第7章和第8章）；增加了直接基本原理的保护轮廊（见7.7.3和9.7.3)；增加了用于模块化评估的PP-模块和PP-配置（见第8章）；—-—增加了多重保障级评估（见8.9.2,9.2.2和9.7.3)；增加了复合产品评估安全保障组件（见9.9，10.8，12.10，13.6和14.4）。本文件等同采用ISO/IEC15408-3：2022《信息安全、网络安全和隐私保护信息技术安全评估准则第3部分：安全保障组件》
本文件做了下列最小限度的编辑性改动：为与现有标准协调，将标准名称改为《网络安全技术信息技术安全评估准则第3部分：安全保障组件》；
增加了资料性附录NA“缩略语”。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由全国网络安全标准化技术委员会（SAC/TC260)提出和归口。本文件起草单位：中国信息安全测评中心、中国合格评定国家认可中心、公安部第三研究所、中国电子科技集团公司第十五研究所、清华大学、华为技术有限公司、北京天融信网络安全技术有限公司、中国科学院信息工程研究所、复旦大学、武汉大学、吉首大学、浙江大华技术股份有限公司、中科信息安全共性技术国家工程研究中心有限公司、吉林信息安全测评中心、陕西省网络与信息安全测评中心、成都虚谷伟业科技有限公司、安徽中科国创高可信软件有限公司、北京中测安华科技有限公司、荣耀终端有限公司、科来网络技术股份有限公司、医渡云（北京)技术有限公司、北京中电华大电子设计有限责任公司、合肥天雌信息安全技术有限公司、北京数安行科技有限公司、金篆信科有限责任公司。本文件主要起草人：张宝峰、毕海英、邓辉、高金萍、杨永生、石松、谢仕华、贾炜、许源、李凤娟、V
GB/T18336.3—2024/IS0/IEC15408-3:2022牛兴荣、李洪、孟亚豪、武腾、董晶晶、叶晓俊、姚俊宁、王奠、刘奇旭、冯云、徐志鹏、程军军、余荣威、李宗寿、应天元、郭昊、刘占丰、胡建勋、闫育芸、明玉琢、苏德财、纪金龙、黄海军、陈泓金、左坚、朱克雷、朱瑞瑾、骆扬、毛军捷、主宇航、陈佳哲、魏伟、梁文韬、刘截、武建双、刘玉红、薛智慧、伊鹏达、孙蕊刚、吴雅笛、朱业。
本文件于2001年首次发布GB/T18336.3一20012008年第一次修订，2015年第二次修订，本次为第三次修订。
GB/T18336.3—2024/IS0/IEC15408-3:2022引言
本文件定义的安全保障组件是在安全保障包、保护轮廓（PP）、PP-模块、PP-配置或安全目标（ST）中描述安全保障要求的基础。
这些要求建立了描述评估对象（TOE)保障要求的标准方法。本文件列出了一组保障组件、族和类，还定义了评估PP、PP-配置、PP-模块和ST的准则。GB/T18336拟由五部分构成
第1部分：简介和一般模型。旨在对GB/T18336进行整体概述，定义信息技术安全评估的一般概念和原则，并给出评估的一般模型。第2部分：安全功能组件。旨在建立一套可用于描述安全功能要求的功能组件标准化模板这些功能组件按类和族的方式进行结构化组织，通过组件选择、细化、裁剪等方式构造出具体的安全功能要求。
第3部分：安全保障组件。旨在建立一套可用于描述安全保障要求的保障组件标准化模板这些安全保障组件按类和族的方式进行结构化组织，定义针对PP、ST和TOE进行评估的准则，通过组件选择、细化、裁剪等方式构造出具体的安全保障要求。一第4部分：评估方法和活动的规范框架。旨在为规范评估方法和活动提供一个标准化框架。这些评估方法和活动包含在PP、ST及任意支持这些方法和活动的文档中，供评估者基于GB/T18336其他部分中描述的模型开展评估工作。第5部分：预定义的安全要求包。旨在提供利益相关者通常使用的安全保障要求和安全功能要求的包，提供的包示例包括评估保障级（EAL)和组合保障包（CAP）。本文件的目标读者主要包括安全IT产品的消费者、开发者、技术工作组、评估者等。GB/T18336.1-2024的第5章提供了关于GB/T18336的目标读者，以及目标读者群体如何使用GBT18336的补充信息。这些读者群体按如下方式使用本文件：a)
消费者，选取组件描述保障要求，以满足PP或ST中提出的安全目的，从而确定所需的安全保障级别时都可使用本文件；
开发者，在构造TOE以响应实际的或预想的消费者安全要求时，可参考本文件，以解释保障b)
要求陈述并确定TOE的保障方法；c）
评估者，在确定TOE的保障级别以及评估PP和ST时，使用本文件所定义的保障要求作为评估准则的强制性陈述
注：本文件在某些情况下使用粗体字和斜体字来区分术语和其余部分文本。族内组件之间的关系约定使用粗体突出显示，对所有新的要求也约定使用粗体字。对于分层的组件，当要求被增强或修改，且超出了前一个组件的要求时，以粗体显示。此外，除了前面的组件之外，任何新的或增强的允许操作也使用粗体突出显示。约定使用斜体来表示具有精确含义的文本。对于安全保障要求，该约定也适用于与评估相关的特殊动词。1范围
GB/T18336.3—2024/ISO/IEC15408-3：2022网络安全技术信息技术安全评估准则第3部分：安全保障组件
本文件定义了ISO/IEC15408的保障要求，包括组成ISO/IEC15408-5中包含的评估保障级和其他包的各个保障包，以及PP、PP-配置、PP-模块和ST的评估准则。规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T30270—2024网络安全技术信息技术安全评估方法（ISO/IEC18045：2022，IDT）ISO/IEC15408-1信息安全、网络安全和隐私保护信息技术安全评估准则第1部分：简介与一般模型（Informationsecurity，cybersecurityandprivacyprotectionEvaluationcriteriaforITsecurity-Part1:Introductionandgeneralmodel)注：GB/T18336.1一2024网络安全技术信息技术安全评估准则第1部分：简介与一般模型（ISO/IEC15408-1:2022,IDT)
ISO/IEC15408-2信息安全、网络安全和隐私保护信息技术安全评估准则第2部分：安全功能组件（Information security，cybersecurityand privacy protection-Evaluation criteria forIT security—Part 2:Security functional components)注：GB/T18336.2一2024网络安全技术信息技术安全评估准则第2部分：安全功能组件（ISO/IEC15408-2:2022,IDT)
ISO/IEC15408-4信息安全、网络安全和隐私保护信息技术安全评估准则第4部分：评估方法和活动的规范框架（Informationsecurity，cybersecurityandpricvacyprotectionEvaluationcriteriafor IT securityPart 4:Framework for specification of evaluation methods and activities)注：GB/T18336.4一2024网络安全技术信息技术安全评估准则第4部分：评估方法和活动的规范框架(ISO/IEC15408-4:2022,IDT)
ISO/IEC15408-5信息安全、网络安全和隐私保护信息技术安全评估准则第5部分：预定义的安全要求包（Information security，cybersecurityand privacyprotection一Evaluation criteria forIT security—Part 5:Pre-defined packages of security requirements)注：GB/T18336.5一2024网络安全技术信息技术安全评估准则第5部分：预定义的安全要求包（ISO/IEC1540-5:2022，IDT
ISO/IECIEEE24765系统和软件工程词汇（Systemsandsoftwareengineering—Vocabulary）3术语和定义
ISO/IEC15408-1、ISO/IEC15408-2、ISO/IEC15408-4、ISO/IEC15408-5、ISO/IEC18045和ISO/IECIEEE24765界定的以及下列术语和定义适用于本文件。1
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。