解 艳

（宝鸡职业技术学院 陕西 宝鸡 721013）

网络安全评估又叫安全评价。一个组织的信息系统经常会面临内部和外部威胁的风险。安全评估利用大量安全性行业经验和漏洞扫描的最先进技术，从内部和外部两个角度，对系统进行全面的评估。

1 网络安全评估标准

网络安全评估标准简介：

1.1 TCSEC

TCSEC标准是计算机系统安全评估的第一个正式标准，具有划时代的意义。该准则于1970年由美国国防科学委员会提出，并于1985年12月由美国国防部公布。TCSEC安全要求由策略(Policy)、保障(Assuerance)类和可追究性(Accountability)类构成。TCSEC将计算机系统按照安全要从由低到高分为四个等级。四个等级包括D、C、B和A，每个等级下面又分为七个级别：D1、C1、C2、B1、B2、B3 和 A1 七个类别，每一级别要求涵盖安全策略、责任、保证、文档四个方面。

TCSEC安全概念仅仅涉及防护，而缺乏对安全功能检查和如何应对安全漏洞方面问题的研究和探讨，因此TCSEC有很大的局限性。它运用的主要安全策略是访问控制机制。

1.2 ITSEC

ITSEC在1990年由德国信息安全局发起，该标准的制定，有利于欧共体标准一体化，也有利于各国在评估结果上的互认。该标准在TCSEC的基础上，首次提出了信息安全CIA概念（保密性、完整性、可用性）。ITSEC的安全功能要求从F1～F10共分为10级，其中1～5级分别于TCSEC的D-A对应，6～10级的定义为：F6：数据和程序的完整性；F7：系统可用性；F8：数据通信完整性；F9：数据通信保密性；F10：包括机密性和完整性。

1.3 CC

CC标准是由美国发起的，英国、法国、德国等国共同参与制定的，是当前信息系统安全认证方面最权威的标准。……