一、信息安全通用標準CC是什麼？
http://1.CC是什麼?
CC:Common Criteria for Information Technology Security Evaluation 信息技術安全性評估準則。
1993年6月，美國政府同加拿大及歐共體共同起草單一的通用準則（CC標準）並將其推到國際標準。最初由美國的TCSEC、歐洲的ITSEC、加拿大的CTCPEC、美國的FC等信息安全準則的基礎上，由6個國傢7方（美國國傢安全局和國傢技術標準研究所、加、英、法、德、荷）共同提出瞭“信息技術安全評價通用準則（The Common Criteria for Information Technology security Evaluation，CC）”，簡稱CC標準，它綜合瞭已有的信息安全的準則和標準，形成瞭一個更全面的框架。
為瞭推進信息技術產品的安全性評估結果在國際間互認，減少重復檢測認證，還成立瞭CC互認組織CCRA（Common Criteria Recognition Arrangement）。截止2019年，CCRA成員國已發展到31個。根據協議要求，各CCRA成員國之間對CCEAL的評估結果相互承認。
CC標準的發展歷程
http://2.CC適用范圍
CC定義瞭評估信息技術產品和系統安全性所需的基礎準則，是度量信息技術安全性的基準。首先，CC適用於所有IT產品的檢測，不管是硬件、軟件還是固件，都能在同一個框架下評估，還可用於指導產品或系統開發；其次，CC融合瞭TCSEC、ITSEC、CTCPEC等標準，站在巨人肩膀上又超越瞭這些標準，更能適應信息技術的發展，這就為CC標準通用性提供瞭技術支撐。
http://3.CC的內容組織
目前的CC3.1版本包含三個內容，第一部分簡介和一般模型，描述瞭CC體系中所使用的基本概念以及對PP（保護輪廓）和ST（產品的安全目標）的評估要求。第二部分是安全功能要求（SFR），用標準化方式描述IT產品可以提供的安全功能的特征。第三部分是安全保障要求（SAR），定義瞭為保證IT產品安全功能實現的正確性，開發者和評估者所需要活動。
4.CC定義瞭兩類安全需求
5.CC總體結構及關鍵概念
CC總體結構
TOE:評估對象（Target of Evaluation），用於安全評估的信息技術產品、系統或子系統（如防火墻、計算機網絡、密碼模塊等），包括相關的管理員指南、用戶指南、設計方案等文檔。
PP：保護輪廓（Protection Profile），為既定的一系列安全對象提出功能和保證要求的完備集合，表達瞭一類產品或系統的用戶需求。PP與某個具體的TOE無關，它定義的是用戶對這類TOE的安全需求。PP主要內容包括：需保護的對象、確定安全環境、TOE的安全目的、IT安全要求、基本原理等。
對於一類產品的評估方法，CC的解決辦法是由業界專傢共同對某個類型產品定制一個PP。由PP定義此類產品需要保護的資產，所面臨的安全問題，以及與實現無關的安全需求。因PP由業界專傢共同編制，所以定義的內容具有普適性。
ST：安全目標（Security Target），ST針對具體TOE而言，它包括該TOE的安全要求和用於滿足安全要求的特定安全功能和保證措施。ST包括的技術要求和保證措施可以直接引用該TOE所屬產品或系統類的PP。ST是開發者、評估者、用戶在TOE安全性和評估范圍之間達成一致的基礎。
二、評估保障級EAL是什麼？
華為鴻蒙V1.2通過瞭國際CC EAL5+的認證。該系統使用瞭微內核技術，通過形式化方法（Formal Method）完成瞭TEE設計。那到底什麼是評估保障級EAL？
EAL（Evaluation Assurance Level）是評估保障等級，是IT產品或系統在CC安全評估下的數字等級。CC預定義瞭7個保障級，從EAL1到EAL7。每個保障級由一些安全保障要求組成。滿足瞭保障級相應的安全保障要求，就達到瞭相應的保障級。等級越高，表示通過認證需要滿足的安全保證要求越多，系統的安全特性越可靠。
舉個例子，EAL5+在EAL4+基礎上提高瞭要求，開發者需要用半形式化描述設計文檔。而到EAL7，則需要用形式化驗證的設計和測試。其中EAL5+是EAL5增強級（augmented），表示其ST中包含瞭EAL5的所有安全保證需求並且包含瞭EAL5以外的安全保證需求。
評估保證等級（EAL1-EAL7）
1.EAL1-EAL7保障等級
EAL1：functionally tested，功能測試級。適用於對正確運行需要一定信任的場合，對該場合的安全威脅認為並不嚴重。個人信息保護就是其中一例。
EAL2：structurally tested，結構測試級。要求開發者遞交設計信息和測試結果，但不需要開發者增加過多費用或時間投入。適用於在缺乏現成可用的完整的的開發記錄時，開發者或用戶需要一種低等到中等級別的獨立保證的安全性。
EAL3：methodically tested and checked，系統測試和檢查級。適用於開發者或用戶需要一個中等級別的獨立保證的安全性，且在不帶大量重建費用的情況下。對TOE及其開發過程進行徹底審查。
EAL4：methodically designed，tested and reviewed，系統設計、測試和復查級。適用於開發者或用戶對傳統的商品化的TOE需要一個中等到高等級的獨立保證的安全性。EAL4級需要分析TOE模塊的低層設計和實現的子集。
EAL5：semiformally designed and tested半形式化設計和測試級。開發者能從安全工程中獲得最大限度的安全保證，該安全工程是基於嚴格的商業開發實踐，靠適度應用專業安全工程技術來支持的。需要分析所有的實現，還需要額外分析功能規范和高層設計的形式化模型和半形式化表示和論證。
EAL6：semiformally verified design and tested半形式化驗證設計和測試級。開發者通過安全工程技術的應用和嚴格的開發環境獲得高度的認證，保護高價值的資產能夠對抗重大風險。適用於在高風險環境下的特定安全產品或系統的開發。
EAL7：formally verified design and tested形式化驗證設計和測試級。適用於一些安全性要求很高的TOE開發。這些TOE將應用在風險非常高的地方，或者所保護資產的價值很高的地方。
2.EAL等級小結
實現特定的EAL等級，產品或系統需要滿足特定的安全保證要求。大多數要求包括設計文檔、設計分析、功能測試、穿透測試。等級越高，需要越詳細的文檔、分析和測試。一般實現更高的EAL認證，需要耗費更多的時間和金錢。通過特定級別的EAL認證，表示產品或系統滿足該級別的所有安全保證要求。
每個產品都要建立適合自己的ST文檔，文檔中包括瞭產品的安全特性要求。高EAL等級的產品並不一定比低EAL等級的產品更安全，因為它們在各自的ST文檔中可能有完全不同的安全特性要求。產品符合某種安全應用依賴於ST文檔中的安全特性要求滿足該安全應用，如果2種產品的ST都包含需要的安全特性要求，則等級較高的產品更為可信。
http://3.CC的EAL與其他標準等級的比較
三、望安科技CC（對應國際）認證實施服務
1.望安科技在CC認證中能做什麼？
望安科技可提供CC（對標國際）的認證全等級實施服務，包括：CC EAL5/6/7級高等級的評估形式化驗證服務。可以按照EAL高等級評估的要求，提供形式化/半形式化的設計與測試。包括：對驗證產品提供完整的安全策略、安全需求、功能規范和模塊設計的形式化/半形式化模型，並進行模型的安全性驗證。按照EAL評估要求，編寫相應文檔。對驗證產品提供安全需求、功能規約及設計等。
公司可為廠商（送檢企業）提供相應服務和工具產品，使其順利實現CC（對應國際）或國內信息安全產品認證。
（1）高安全產品的國際CC認證：望安科技提供檢測前按照EAL高等級評估的要求，提供形式化/半形式化的設計與測試。且與國外合作的檢測機構良好合作，可進行全流程的產品送檢、檢測和認證的全流程服務。
（2）高安全產品的國內信息安全認證：望安科技是國內可實現CC EAL5+及以上高等級評估的本土服務企業。並與國內多傢檢測機構合作，可快速實現EAL全等級評估。認證實現完全符合國內國際標準。
（3）EAL1/2/3/4級的系統、軟件安全保障測評前驗證服務。望安科技與國內多傢檢測機構合作，能有效配合評估機構的評估實施，快速實現相關安全認證。
2.望安科技可實現的價值和服務優勢：
- 更高效： 評估和設計溝通更通暢；
- 更快捷： 大大縮短整體認證時間；
- 費用低： 評估和認證費用總支出降低超50%以上。
