资质的周全性和级别是权衡产品综合竞争力最为要害的指标之一。。。。 。。国家标准 GB/T 18336《信息清静手艺 信息手艺清静评估准则》已有 20 多年的历史，，，， ，，，该标准等同接纳国际标准 ISO/IEC 15408《信息清静 网络清静和隐私保�；；；；；；；� 信息手艺清静评估准则》（以下简称“CC 标准”），，，， ，，，是目今国际信息手艺产品领域接受度最高、应用最广的清静测评标准。。。。 。。
中国信息清静测评中心（以下简称“测评中心”）依据该标准举行产品测试评估，，，， ，，，揭晓的信息手艺产品清静测评证书也是海内较具权威性和含金量的产品资质，，，， ，，，获得政府、主要行业领域的普遍认可。。。。 。。
一、测试标准，，，， ，，，磨练产品的最好“试金石”
意昂体育-科技赋能场景,让娱乐更有趣!科技集团股份有限公司（以下简称“意昂体育-科技赋能场景,让娱乐更有趣!”）高度重视网络清静产品竞争力的一连提升，，，， ，，，起劲将 GB/T 18336 标准 EAL 品级的清静理念渗透到各个产品线，，，， ，，，落实质量系统建设。。。。 。。在此基础上，，，， ，，，公司起劲申请相关国标测评，，，， ，，，将标准测试作为产品的“磨刀石”和“试金石”。。。。 。。自 2009 年以来，，，， ，，，公司防火墙、入侵检测、网闸、终端清静、数据清静、威胁检测与态势感知等多款主力产品均申请并取得基于 GB/T 18336 标准的信息手艺产品清静测评证书资质。。。。 。。
GB/T 18336 标准划定的测评历程助力公司的研发治理、质量系统走向越发规范的轨道，，，， ，，，有力提升了产品的清静稳固性和市场竞争力，，，， ，，，主要体现在以下三个方面。。。。 。。
首先是系统清静性的周全提升。。。。 。。产品自身的清静性是客户采购产品的要害因素之一。。。。 。。网络清静产品自己也是软、硬件一体的系统，，，， ，，，不可阻止会保存缺陷或误差。。。。 。。GB/T 18336 测试标准对网络清静产品的系统清静性提出了较为严酷的要求，，，， ，，，例如高危误差必需修复，，，， ，，，系统必需更新到最新版本。。。。 。。这一要求推动公司将包管产品自身清静性作为主要使命，，，， ，，，一直提升产品的清静能力，，，， ，，，从而给用户提供更为清静的效劳。。。。 。。
其次是稳固性和可靠性方面的提升。。。。 。。GB/T18336 测试标准对装备的可靠性、稳固性、可运输性等提出周全要求。。。。 。。例如在稳固性可靠性的测试中，，，， ，，，要求整个历程实现零丢包，，，， ，，，装备稳固，，，， ，，，并在可治理的状态下运行，，，， ，，，这些都为产品的稳固可靠运行施展了主要的增进作用。。。。 。。
最后是标准化和工程化的提升。。。。 。。GB/T 18336 测试标准关于整个产品从标识唯一性到研发治理的全生命周期可控性等都有明确要求。。。。 。。例如对产品配套的文档系统、初始的需求文档、研发设计文档、测试、bug、版本治理，，，， ，，，交付等配套文档，，，， ，，，都有系统化的要求。。。。 。。同时，，，， ，，，关于产品、文档标识的命名、界说等，，，， ，，，也提出了标准化要求。。。。 。。这些步伐推动意昂体育-科技赋能场景,让娱乐更有趣!产品系统更快走向系统化和工程化，，，， ，，，显著提升市场竞争力。。。。 。。
二、网关产品的 EAL4+ 测评实践
2022 年，，，， ，，，意昂体育-科技赋能场景,让娱乐更有趣!清静网关产品申请了基于国家标准 GB/T 18336 标准的 EAL4+ 品级测评事情。。。。 。。测评的清静功效包括数据过滤、攻击防护（包括攻击防护和 IPS 功效）、地点转换、系统治理、用户治理、用户身份认证和清静审计七个子系统，，，， ，，，这七个子系统就是评估工具（TOE）的逻辑功效规模。。。。 。。EAL4+ 品级测评对 TOE 举行了充分的评估测试，，，， ，，，整个评估历程包括证据评估、性能测试、自力性测试、穿透性测试、现场核查、回归测试等阶段。。。。 。。
在 EAL4+ 的评估历程中，，，， ，，，公司清静网关团队发明了包括用户治理、数据过滤方面的一些懦弱性问题以及 IPS 误差防护等问题。。。。 。。针对这些问题，，，， ，，，公司对清静网关设计不对理的逻辑举行了梳理，，，， ，，，实时对产品举行了刷新。。。。 。。
除了功效测试的问题，，，， ，，，产研团队的清静目的文档、功效规范文档、高层设计文档、实现体现文档等也被测评专家指出了一些问题，，，， ，，，包括缺少 GB/T 18336 要求的内容，，，， ，，，或内容不敷详实，，，， ，，，或缺少参数，，，， ，，，或明确有误导致内容不切合标准要求等。。。。 。。反应生产研团队对 GB/T 18336 标准的明确还不敷深入，，，， ，，，需要在研发设计历程中将标准要求越发贯彻到位。。。。 。。
别的，，，， ，，，在整个测评历程中，，，， ，，，团队也愈发意识到清静目的文档、功效规范文档、设计文档、实现体现文档之间层层深入的关系。。。。 。。只有清静目的文档的清静功效要谴责面准确，，，， ，，，才华包管后面的文档不会遗漏和走偏。。。。 。。功效规范要实现对清静功效要求的追溯，，，， ，，，并表述所有清静功效接口，，，， ，，，设计文档中行为映射必需能够挪用所有清静功效接口，，，， ，，，实现体现进一步详细化并用代码语言形貌 TSF。。。。 。。这些清静包管要求笼罩了产品需求到产品设计、产品开发的全历程，，，， ，，，对提升意昂体育-科技赋能场景,让娱乐更有趣!产品的质量有很是好的实践意义。。。。 。。
三、全周期笼罩，，，， ，，，严控质量推动开发系统刷新
意昂体育-科技赋能场景,让娱乐更有趣!一直严把质量关，，，， ，，，关注研发历程质量不松懈。。。。 。。通过清静网关产品 EAL4+ 品级的测评历程，，，， ，，，探索出一条推动开发系统刷新、质量严酷管控的建设路径。。。。 。。
（一）专项小组，，，， ，，，一连刷新
得益于 EAL4+ 品级测评历程中与测评中心的深刻相同和培训，，，， ，，，公司逐渐意识到围绕开发系统的清静性刷新势在必行。。。。 。。为此，，，， ，，，质量部分召集了质量、手艺、营业等多方专家，，，， ，，，以及加入过 EAL4+ 测评的产线认真人配合钻研，，，， ，，，团结目今意昂体育-科技赋能场景,让娱乐更有趣!开发系统与标准要求的差别，，，， ，，，从清静开发明实落地要害点工具引入等方面举行了合规性剖析，，，， ，，，识别后续系统刷新的偏向，，，， ，，，组成多个专项刷新小组，，，， ，，，在软件开发流程中的各个环节，，，， ，，，举行清静合规化刷新，，，， ，，，增添清静性要求。。。。 。。
（二）阶段实验，，，， ，，，一连刷新
从需求阶段最先，，，， ，，，产研团队完善了需求清单的编写要求，，，， ，，，要求以后阶段就举行有用的清静性剖析，，，， ，，，并引入了威胁建模。。。。 。。在设计阶段，，，， ，，，产研团队刷新了架构设计模板，，，， ，，，推进清静架构设计落地，，，， ，，，并要求设计阶段举行攻击面剖析。。。。 。。在开发阶段，，，， ，，，产研团队通过宣布代码清静规范，，，， ，，，引入代码清静测试工具，，，， ，，，构建清静开发库，，，， ，，，整合各治理平台流程以知足清静性要求。。。。 。。在测试阶段，，，， ，，，产研团队开发了应用清静测试用例库，，，， ，，，引入了软件组件清静测试工具，，，， ，，，规范化清静性测试流程。。。。 。。在装置安排阶段，，，， ，，，产研团队宣布应用清静安排规范，，，， ，，，完善清静基础设施治理。。。。 。。
与此同时，，，， ，，，质量专项小组全程加入针对开发流程各环节的刷新，，，， ，，，并在需求评审、手艺架构评审、开发验收评审，，，， ，，，TR 评审等要害质量运动中增强对刷新落地的检查，，，， ，，，一连对研发历程数据和产品质量数据举行运营治理，，，， ，，，并对在检查和运营历程中发明的问题举行剖析总结，，，， ，，，凭证剖析效果开展有针对性地刷新运动，，，， ，，，增进清静性要求的合理化落地。。。。 。。各专项刷新带来的效果显著，，，， ，，，后续多款产品都顺遂通过了 EAL3 级和 EAL4+ 级测评。。。。 。。
（三）沉淀履历，，，， ，，，构建系统
在一连刷新和实践积累的历程中，，，， ，，，我们也从业内先进的系统中一直吸收履历。。。。 。。最终参考清静开爆发命周期（SDLC）、开源软件清静成熟度模子（OpenSAMM）、开发清静运维一体化（DevSecOps）等软件清静开发实践，，，， ，，，构建了意昂体育-科技赋能场景,让娱乐更有趣!的软件清静开发系统，，，， ，，，该舷笼罩了清静需求、清静设计、清静开发、清静测试和清静安排运维等各阶段事情（如下图所示）。。。。 。。
图 意昂体育-科技赋能场景,让娱乐更有趣! SDLC 流程图
其中，，，， ，，，SDLC 是一套完整的清静工程要领，，，， ，，，其焦点理念是将清静思量集成在软件开发的每一个阶段，，，， ，，，以镌汰软件中误差数目并将清静缺陷降低到最低水平。。。。 。。软件包管成熟度模子（SAMM）是一个开放框架，，，， ，，，可资助组织制订和实验针对组织面临的特定危害量身定制的软件清静战略。。。。 。。DevSecOps 是一种集开发、清静和运维于一体的新型软件开发和运营模式，，，， ，，，它强调在快速迭代和一连交付的配景下，，，， ，，，将清静性融入整个软件开发历程中，，，， ，，，实现开发、清静和运维的协同和一体化。。。。 。。
在全新的意昂体育-科技赋能场景,让娱乐更有趣!软件清静开发系统的指引下，，，， ，，，产品研发从营业需求到产品交付实验实现全链路、端到端的清静检查，，，， ，，，整个流程确保产品清静防护能力一直提升，，，， ，，，为软件植入清静“基因”。。。。 。。
四、落实新标准新要求，，，， ，，，迈向质量新阶段
GB/T 18336 标准实验多年来，，，， ，，，已经在行业内实现了较周全的笼罩，，，， ，，，关于推动全行业产品开发系统刷新、质量严酷管控、标准化和工程化提升等起到主要作用，，，， ，，，受到了网安企业以及宽大客户的高度认可。。。。 。。
相比前版标准，，，， ，，，新的国家标准 GB/T 18336 不但聚焦于产品自己，，，， ，，，还针对会影响产品清静性、一致性等种种相关因素，，，， ，，，响应的测评内容越发周全，，，， ，，，从而对产品质量举行了全流程、全维度的包管。。。。 。。
首先，，，， ，，，新标准强调了流程的规范性提升。。。。 。。GB/T 18336 新标准驻足全链条的历程治理，，，， ，，，涵盖了需求、设计、开发、测试、宣布、上市、评审等全研发历程，，，， ，，，在各个环节都提出了更高的规范性要求。。。。 。。
其次，，，， ，，，新标准更强调相关配套的质量把控。。。。 。。产品的清静性不是一个伶仃因素，，，， ，，，新国标不但聚焦产品主机，，，， ，，，还将光盘、手册、文档系统，，，， ，，，以及其他配套的相关产品纳入到强要求之中，，，， ，，，对产品清静性给予越发立体周全的包管。。。。 。。
再次，，，， ，，，强调了产品开发情形的清静性和质量。。。。 。。新国标对情形的清静性提出了更周全要求，，，， ，，，例如 GB/T 18336 标准第 1 部分中，，，， ，，，提出“检查 TOE 开发情形的物理清静性”，，，， ，，，要求所有研发网络，，，， ，，，都需要和办公网络相隔离，，，， ，，，在权限治理方面越发严酷。。。。 。。
最后是产品构件清静的一致性。。。。 。。例如，，，， ，，，GB/T 18336 标准第 3 部分中，，，， ，，，清静包管组件中增添了复合产品包（COMP）内容，，，， ，，，明确划定了复合产品 TOE 评估所需的一系列清静包管组件包。。。。 。。COMP 的制订，，，， ，，，指导并要求了产品的基础部件和依赖部件等需要全方位系统级的思量，，，， ，，，避免爆发各部件组合后清静的纷歧致性问题，，，， ，，，导致交付客户产品保存差别而影响使用效果和清静性。。。。 。。
总体来看，，，， ，，，GB/T 18336 标准站在了产品研发的全流程、全要素、全链条的更高视角，，，， ，，，去落实各项包管步伐，，，， ，，，由此来推动产品的清静性和一致性迈向更高的水平，，，， ，，，对推动整个网络清静行业的产品质量一连提升，，，， ，，，具有起劲而深远的意义。。。。 。。
本文刊登于《中国信息清静》杂志2023年第11期
文 | 意昂体育-科技赋能场景,让娱乐更有趣!科技集团股份有限公司 王起立 蔡欣桐
连忙拨打
京公网安备11000002002064号