1、網(wǎng)絡(luò)與信息安全標(biāo)準(zhǔn)組織簡(jiǎn)介
1.1 國(guó)際組織
國(guó)際上信息安全標(biāo)準(zhǔn)化工作興起于20世紀(jì)70年代中期，80年代有了較快的發(fā)展，90年代引起了世界各國(guó)的普遍關(guān)注。目前世界上有近300個(gè)國(guó)際和區(qū)域性組織制定標(biāo)準(zhǔn)或技術(shù)規(guī)則，與信息安全標(biāo)準(zhǔn)化有關(guān)的組織主要有以下4個(gè):
●ISO(國(guó)際標(biāo)準(zhǔn)化組織)。ISO/IEC JTC1(信息技術(shù)標(biāo)準(zhǔn)化委員會(huì))所屬SC27(安全技術(shù)分委員會(huì))的前身是SC20(數(shù)據(jù)加密技術(shù)分委員會(huì))，主要從事信息技術(shù)安全的一般方法和技術(shù)的標(biāo)準(zhǔn)化工作。而ISO/TC68負(fù)責(zé)銀行業(yè)務(wù)應(yīng)用范圍內(nèi)有關(guān)信息安全標(biāo)準(zhǔn)的制定，主要制定行業(yè)應(yīng)用標(biāo)準(zhǔn)，與SC27有著密切的聯(lián)系。ISO/IEC JTC1負(fù)責(zé)制定的標(biāo)準(zhǔn)主要是開(kāi)放系統(tǒng)互連、密鑰管理、數(shù)字簽名、安全評(píng)估等方面的內(nèi)容。
●IEC(國(guó)際電工委員會(huì))。IEC在信息安全標(biāo)準(zhǔn)化方面除了與ISO聯(lián)合成立了JTC1下分委員會(huì)外，還在電信、電子系統(tǒng)、信息技術(shù)和電磁兼容等方面成立技術(shù)委員會(huì)(如TC56可靠性、TC74 IT設(shè)備安全和功效、TC77電磁兼容、TC 108音頻/視頻、信息技術(shù)和通信技術(shù)電子設(shè)備的安全等)，并且制定相關(guān)國(guó)際標(biāo)準(zhǔn)(如信息技術(shù)設(shè)備安全I(xiàn)EC60950等)。
●ITU(國(guó)際電信聯(lián)盟)。ITU SG17組負(fù)責(zé)研究網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，包括通信安全項(xiàng)目、安全架構(gòu)和框架、計(jì)算安全、安全管理、用于安全的生物測(cè)定、安全通信服務(wù)。此外SG16和下一代網(wǎng)絡(luò)核心組也在通信安全、H.323網(wǎng)絡(luò)安全、下一代網(wǎng)絡(luò)安全等標(biāo)準(zhǔn)方面進(jìn)行研究。
●IETF(Internet工程任務(wù)組)等。IETF標(biāo)準(zhǔn)制定的具體工作由各個(gè)工作組承擔(dān)。Internet工程任務(wù)組分成8個(gè)工作組，分別負(fù)責(zé)Internet路由、傳輸、應(yīng)用等8個(gè)領(lǐng)域，其著名的IKE和IPSec都在RFC系列之中，還有電子郵件、網(wǎng)絡(luò)認(rèn)證和密碼及其他安全協(xié)議標(biāo)準(zhǔn)。
1.2 國(guó)內(nèi)組織
國(guó)內(nèi)的安全標(biāo)準(zhǔn)組織主要有信息技術(shù)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)(CITS)以及中國(guó)通信標(biāo)準(zhǔn)化協(xié)會(huì)(CCSA)下轄的網(wǎng)絡(luò)與信息安全技術(shù)工作委員會(huì)。
CITS成立于1984年，在國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)和信息產(chǎn)業(yè)部的共同領(lǐng)導(dǎo)下負(fù)責(zé)全國(guó)信息技術(shù)領(lǐng)域以及與ISO/IEC JTC1相對(duì)應(yīng)的標(biāo)準(zhǔn)化工作，目前下設(shè)24個(gè)分技術(shù)委員會(huì)和特別工作組，是國(guó)內(nèi)最大的標(biāo)準(zhǔn)化技術(shù)委員會(huì)，也是具有廣泛代表性、權(quán)威性和軍民結(jié)合的信息安全標(biāo)準(zhǔn)化組織。CITS主要負(fù)責(zé)信息安全的通用框架、方法、技術(shù)和機(jī)制的標(biāo)準(zhǔn)化及歸口國(guó)內(nèi)外對(duì)應(yīng)的標(biāo)準(zhǔn)化工作，其中技術(shù)安全包括開(kāi)放式安全體系結(jié)構(gòu)、各種安全信息交換的語(yǔ)義規(guī)則、有關(guān)的應(yīng)用程序接口和協(xié)議引用安全功能的接口等。
CCSA成立于2002年12月18日，是國(guó)內(nèi)企事業(yè)單位自愿聯(lián)合組織起來(lái)經(jīng)業(yè)務(wù)主管部門(mén)批準(zhǔn)的開(kāi)展通信技術(shù)領(lǐng)域標(biāo)準(zhǔn)化活動(dòng)的組織。CCSA下設(shè)了有線網(wǎng)絡(luò)信息安全、無(wú)線網(wǎng)絡(luò)信息安全、安全管理和安全基礎(chǔ)設(shè)施4個(gè)工作組負(fù)責(zé)研究:有線網(wǎng)絡(luò)中電話網(wǎng)、互聯(lián)網(wǎng)、傳輸網(wǎng)、接入網(wǎng)等在內(nèi)所有電信網(wǎng)絡(luò)相關(guān)的安全標(biāo)準(zhǔn);無(wú)線網(wǎng)絡(luò)中接入、核心網(wǎng)、業(yè)務(wù)等相關(guān)的安全標(biāo)準(zhǔn)以及安全管理工作組;安全基礎(chǔ)設(shè)施工作組中網(wǎng)管安全以及安全基礎(chǔ)設(shè)施相關(guān)的標(biāo)準(zhǔn)。
2、標(biāo)準(zhǔn)組研究現(xiàn)狀
上述國(guó)內(nèi)外安全標(biāo)準(zhǔn)組織對(duì)于安全方面的研究各有側(cè)重，主要是關(guān)注信息系統(tǒng)安全以及網(wǎng)絡(luò)安全。從對(duì)各組織的介紹可以看出，ITU以及CCSA研究工作側(cè)重于通信網(wǎng)絡(luò)，因此下文對(duì)網(wǎng)絡(luò)與信息安全的標(biāo)準(zhǔn)研究介紹主要集中在ITU-T 17組研究?jī)?nèi)容以及CCSA TC8組研究?jī)?nèi)容。
2.1 ITU-T17組當(dāng)前研究?jī)?nèi)容
ITU按照Question為單位組織研究，當(dāng)前共有17個(gè)Question正在開(kāi)展活動(dòng)，其中與安全有關(guān)的研究?jī)?nèi)容見(jiàn)表1。
表1 TU-T17 組當(dāng)前開(kāi)展的涉及安全的研究?jī)?nèi)容
Question 1使用QoS管理機(jī)制的端到端多媒體通信 現(xiàn)有標(biāo)準(zhǔn)如何修訂或增補(bǔ)來(lái)滿足新的市場(chǎng)需求
如何增補(bǔ)或者提出新標(biāo)準(zhǔn)，在ECTP中提供雙向N-plex組播能力
如何增補(bǔ)或者提出新標(biāo)準(zhǔn)，為點(diǎn)到多點(diǎn)、多點(diǎn)到多點(diǎn)應(yīng)用提供端到端組播服務(wù)
如何增補(bǔ)或者提出新標(biāo)準(zhǔn)，滿足無(wú)線網(wǎng)絡(luò)新需求
如何增補(bǔ)或者提出新標(biāo)準(zhǔn)，在組播協(xié)議中支持端到端QOS管理能力
Question 2目錄服務(wù)、目錄系統(tǒng)以及公鑰/屬性證書(shū) 目錄服務(wù):為應(yīng)用廣泛支持的目錄服務(wù)如x.500、LDAP優(yōu)勢(shì)，需要什么新服務(wù)定義或者輪廓;為在現(xiàn)有服務(wù)定義和輪廓基礎(chǔ)上增強(qiáng)優(yōu)勢(shì)、修正缺陷，需要在現(xiàn)有E和F系列標(biāo)準(zhǔn)中修訂或者提出什么新標(biāo)準(zhǔn)
目錄系統(tǒng):為更好支持目錄系統(tǒng)現(xiàn)有和潛在用戶，如通過(guò)復(fù)制站點(diǎn)提供增強(qiáng)一致性的目錄信息等，需要對(duì)目錄提供什么樣的增強(qiáng);為在不同的環(huán)境如資源有限環(huán)境(無(wú)線網(wǎng)絡(luò)、多媒體網(wǎng)絡(luò))中使用，需要如何進(jìn)一步增強(qiáng)目錄;為增強(qiáng)支持例如智能網(wǎng)絡(luò)、通信網(wǎng)絡(luò)和公共目錄服務(wù)等領(lǐng)域，需要如何進(jìn)一步修訂目錄;為目錄增強(qiáng)優(yōu)勢(shì)修正缺陷，需要在現(xiàn)有X.500系列標(biāo)準(zhǔn)中修訂或者提出什么新標(biāo)準(zhǔn)
公鑰/屬性證書(shū):為在不同的環(huán)境如資源有限環(huán)境中使用，需要如何增強(qiáng)公鑰和屬性證書(shū);為在如生物測(cè)定、認(rèn)證、接入控制和電子商務(wù)等領(lǐng)域中增強(qiáng)實(shí)用性，需要如何對(duì)公鑰和屬性證書(shū)作增強(qiáng);為X.509增強(qiáng)優(yōu)勢(shì)修正缺陷，需要在X.509基礎(chǔ)上做什么變化
Question 3開(kāi)放系統(tǒng)互聯(lián) 為提供增強(qiáng)需求修正缺陷，繼續(xù)維護(hù)OSI架構(gòu)以及分層建議
為提供增強(qiáng)需求修正缺陷，繼續(xù)維護(hù)消息處理和服務(wù)系統(tǒng)、可靠傳輸、遠(yuǎn)程操作、CCR和事務(wù)處理
Question 4通信系統(tǒng)安全工程 對(duì)通信系統(tǒng)安全工程來(lái)說(shuō)，什么是可交付使用的
為工程可交付使用的過(guò)程、工作條款、方法以及時(shí)限
需要ITU發(fā)布和維護(hù)的安全概述和手冊(cè)
需要什么安全工場(chǎng)
為推進(jìn)安全工作，需要如何與其他SDO建立有效的關(guān)系
什么是重要里程碑和成果標(biāo)準(zhǔn)
如何在安全工作中使部門(mén)成員和管理者利益相互激勵(lì)并動(dòng)力持續(xù)
如何使安全特性在市場(chǎng)中更有吸引力
如何明確表述政府的關(guān)鍵利益和保護(hù)全球經(jīng)濟(jì)的緊急需求依賴于健壯和安全的通信設(shè)施
Question 5安全架構(gòu)和框架 一個(gè)完整一致的通信安全解決方案如何定義
完整一致的通信安全解決方案的架構(gòu)
為建立安全解決方案的安全架構(gòu)所應(yīng)用的框架
為評(píng)估安全解決方案的安全架構(gòu)所應(yīng)用的框架
支撐安全的架構(gòu):新興技術(shù)的安全架構(gòu);端到端安全的架構(gòu);移動(dòng)環(huán)境下的安全架構(gòu);技術(shù)安全架構(gòu)例如開(kāi)放系統(tǒng)安全架構(gòu)、IP網(wǎng)絡(luò)安全架構(gòu)、NGN安全架構(gòu)
為適應(yīng)變化的環(huán)境，如何改變標(biāo)準(zhǔn)中安全模型的上下層或者提出新標(biāo)準(zhǔn)
架構(gòu)標(biāo)準(zhǔn)如何組織成適應(yīng)現(xiàn)有安全建議
安全模型的上下層應(yīng)該怎樣
如何修訂安全框架建議來(lái)適應(yīng)新興技術(shù)或者提出新建議
如何應(yīng)用安全服務(wù)提供安全解決方案
Question 6 Cyber安全 為分發(fā)共享所發(fā)現(xiàn)脆弱信息的處理
Cyber空間中事件處理操作的標(biāo)準(zhǔn)過(guò)程
保護(hù)關(guān)鍵網(wǎng)絡(luò)基礎(chǔ)設(shè)施的策略
Question 7安全管理 通信系統(tǒng)安全風(fēng)險(xiǎn)如何被識(shí)別和管理
通信系統(tǒng)信息資產(chǎn)如何識(shí)別和管理
通信運(yùn)營(yíng)商特定管理事務(wù)如何識(shí)別
通信運(yùn)營(yíng)商信息安全管理系統(tǒng)(ISMS)如何在現(xiàn)有ISMS標(biāo)準(zhǔn)下構(gòu)建
通信安全事件發(fā)生后如何處理和管理
Question 8電信生物鑒定學(xué) 如何使用安全可靠的電信生物鑒定方法改進(jìn)認(rèn)證和授權(quán)
ITU-T如何應(yīng)用IEC60027新增的生物學(xué)子集為安全可靠的生物鑒定設(shè)備分類(lèi)提供合適的模型基礎(chǔ)
安全可靠的電信生物鑒定解決方案登記順序應(yīng)當(dāng)使用的安全等級(jí)參考系統(tǒng)
如何發(fā)布生物認(rèn)證技術(shù)用作通信識(shí)別
電信基于例如PKI密碼技術(shù)的生物學(xué)認(rèn)證技術(shù)需求如何識(shí)別
電信基于例如PKI密碼技術(shù)的生物學(xué)認(rèn)證技術(shù)模型和程序如何識(shí)別
Question 9安全通信服務(wù) 在移動(dòng)環(huán)境以及Web服務(wù)中如何識(shí)別和定義安全可靠的通信服務(wù)
通信服務(wù)背后隱藏的安全威脅如何識(shí)別和處理
支持安全可靠通信服務(wù)的安全技術(shù)
通信服務(wù)的安全互聯(lián)如何保持和維護(hù)
安全體系服務(wù)所需要的安全技術(shù)
新興的安全Web服務(wù)需要的安全技術(shù)和協(xié)議
安全通信需要應(yīng)用的安全應(yīng)用層協(xié)議
安全體系服務(wù)和相應(yīng)應(yīng)用需要的全球安全解決方案
Question 17 研究防治和治理垃圾信息方面的標(biāo)準(zhǔn)
2.2 CCSA TC8當(dāng)前研究?jī)?nèi)容
CCSA TC8分有線網(wǎng)絡(luò)安全、無(wú)線網(wǎng)絡(luò)安全、安全管理以及安全基礎(chǔ)設(shè)施4個(gè)工作組展開(kāi)研究。下面簡(jiǎn)要說(shuō)明4個(gè)工作組的研究現(xiàn)狀。
(1)WG1有線網(wǎng)絡(luò)安全
有線網(wǎng)絡(luò)安全工作組(WG1)自成立以來(lái)共召開(kāi)了11次會(huì)議。WG1在這些工作組會(huì)議中主要討論了按項(xiàng)目進(jìn)度安排的通信行業(yè)標(biāo)準(zhǔn)項(xiàng)目或研究課題項(xiàng)目，各標(biāo)準(zhǔn)的進(jìn)展情況見(jiàn)表2。
表2 WG1組標(biāo)準(zhǔn)進(jìn)展情況
增值電信業(yè)務(wù)網(wǎng)絡(luò)信息安全保障基本要求 已發(fā)布
數(shù)字程控交換機(jī)安全技術(shù)要求 報(bào)批稿階段
高端路由器安全技術(shù)要求/測(cè)試方法 報(bào)批稿階段
中低端路由器安全技術(shù)要求/測(cè)試方法 報(bào)批稿階段
公眾IP網(wǎng)絡(luò)安全框架 報(bào)批稿階段
IPv6網(wǎng)絡(luò)安全技術(shù)要求 報(bào)批稿階段
基于網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的技術(shù)要求 報(bào)批稿階段
軟交換網(wǎng)絡(luò)安全框架 送審稿階段
電信網(wǎng)絡(luò)級(jí)網(wǎng)管安全技術(shù) 送審稿階段
電信級(jí)IP承載網(wǎng)安全框架 送審稿階段
H.323網(wǎng)絡(luò)安全技術(shù)要求 征求意見(jiàn)稿階段
軟交換網(wǎng)絡(luò)通信安全/管理和運(yùn)維安全/設(shè)備安全 征求意見(jiàn)稿階段
遠(yuǎn)程視頻監(jiān)控系統(tǒng)的安全技術(shù)要求 送審稿階段
以太網(wǎng)交換機(jī)設(shè)備安全技術(shù)要求/測(cè)試方法 起草階段
具有路由功能的以太網(wǎng)交換機(jī)設(shè)備安全技術(shù)要求/測(cè)試方法 起草階段
短信網(wǎng)絡(luò)安全技術(shù)要求 起草階段
信令網(wǎng)關(guān)設(shè)備安全技術(shù)要求和測(cè)試方法 起草階段
基于軟交換的媒體服務(wù)器設(shè)備安全技術(shù)要求和測(cè)試方法 起草階段
基于軟交換的應(yīng)用服務(wù)器設(shè)備安全技術(shù)要求和測(cè)試方法 起草階段
媒體網(wǎng)關(guān)設(shè)備安全技術(shù)要求和測(cè)試方法 起草階段
IP智能終端設(shè)備安全技術(shù)要求和測(cè)試方法 起草階段
電信網(wǎng)絡(luò)開(kāi)放第三方業(yè)務(wù)的安全要求 起草階段
綜合接入設(shè)備(IAD)安全技術(shù)要求和測(cè)試方法 起草階段
軟交換業(yè)務(wù)接入控制設(shè)備安全技術(shù)要求和測(cè)試方法 起草階段
軟交換設(shè)備安全技術(shù)要求和測(cè)試方法 起草階段
IMS(固定網(wǎng)中)的安全技術(shù)研究(預(yù)研) 起草階段
NGN網(wǎng)絡(luò)安全技術(shù)研究 起草階段
寬帶遠(yuǎn)程接入服務(wù)器安全技術(shù)要求/測(cè)試方法 起草階段
寬帶接入服務(wù)器(IPv6)安全技術(shù)要求/測(cè)試方法 起草階段
具有路由功能的交換機(jī)(IPv6)安全技術(shù)要求/測(cè)試方法 起草階段
邊緣路由器(IPv6)安全技術(shù)要求/測(cè)試方法 起草階段
核心路由器(IPv6)安全技術(shù)要求/測(cè)試方法 起草階段
xDSL用戶端設(shè)備安全技術(shù)要求/測(cè)試方法 起草階段
DSLAM設(shè)備安全技術(shù)要求/測(cè)試方法 起草階段
PON設(shè)備安全技術(shù)要求/測(cè)試方法 起草階段
綜合接入系統(tǒng)安全技術(shù)要求/測(cè)試方法 起草階段
(2)無(wú)線網(wǎng)絡(luò)安全工作組
無(wú)線網(wǎng)絡(luò)安全工作組(WG2)共召開(kāi)了4次工作組會(huì)議。在這4次工作組會(huì)議中主要討論了按項(xiàng)目進(jìn)度安排的通信行業(yè)標(biāo)準(zhǔn)項(xiàng)目或研究課題項(xiàng)目，完成了《電信智能卡安全技術(shù)要求》送審稿。此外，在第4次工作組會(huì)議期間還與WG1召開(kāi)了一次聯(lián)合會(huì)議，主要探討移動(dòng)網(wǎng)與固網(wǎng)融合后如何開(kāi)展網(wǎng)絡(luò)與信息安全標(biāo)準(zhǔn)工作，決定今后兩個(gè)工作組首先在IMS安全方向加強(qiáng)合作。
(3)安全管理工作組
安全管理工作組(WG3)召開(kāi)了4次工作組會(huì)議，主要討論完成了《信息安全服務(wù)資質(zhì)評(píng)估準(zhǔn)則》的征求意見(jiàn)稿，《網(wǎng)絡(luò)安全運(yùn)行管理技術(shù)平臺(tái)(SOC)體系結(jié)構(gòu)》、《網(wǎng)絡(luò)安全應(yīng)急響應(yīng)小組結(jié)構(gòu)和服務(wù)定義指南》、《互聯(lián)網(wǎng)網(wǎng)絡(luò)安全事件描述與交換格式規(guī)范》三篇征求意見(jiàn)稿還需要再次征求意見(jiàn)。此外，陽(yáng)光綠色上網(wǎng)工程相關(guān)的技術(shù)標(biāo)準(zhǔn)和測(cè)試標(biāo)準(zhǔn)也由安全管理工作組討論制定。
(4)安全基礎(chǔ)設(shè)施工作組
安全基礎(chǔ)設(shè)施工作組相對(duì)不是很活躍，除了全會(huì)以外2005年以來(lái)一直沒(méi)有組織活動(dòng)。
3、小結(jié)
可以預(yù)見(jiàn)，網(wǎng)絡(luò)與信息安全方面的標(biāo)準(zhǔn)將越來(lái)越受重視。我國(guó)網(wǎng)絡(luò)與信息安全的主要標(biāo)準(zhǔn)化組織CCSA相對(duì)而言比較年輕，研究工作才剛剛起步，在包括安全基礎(chǔ)設(shè)施在內(nèi)的很多方面還有待進(jìn)一步開(kāi)展研究。從總體情況來(lái)看，我國(guó)網(wǎng)絡(luò)與信息安全研究將呈現(xiàn)下列特點(diǎn):
●基于信息內(nèi)容的過(guò)慮和管制技術(shù)將越來(lái)越受關(guān)注;
●防范和治理垃圾信息將成為網(wǎng)絡(luò)安全研究重要內(nèi)容;
●網(wǎng)絡(luò)與信息安全研究重點(diǎn)將逐漸從設(shè)備層面向網(wǎng)絡(luò)層面轉(zhuǎn)移;
●業(yè)務(wù)安全越來(lái)越成為運(yùn)營(yíng)商研究重點(diǎn);
●認(rèn)證技術(shù)將研究和梳理，生物鑒別將成為重要內(nèi)容;
●網(wǎng)絡(luò)建設(shè)將重視信任體系的建設(shè);
●互聯(lián)網(wǎng)安全將進(jìn)一步研究，其成果將適用于下一代網(wǎng)以及3G核心網(wǎng);
●網(wǎng)絡(luò)上信息安全將劃分責(zé)權(quán)，網(wǎng)絡(luò)側(cè)負(fù)責(zé)部分私密性(隔離)和完整性，機(jī)密性和不可否認(rèn)性由端到端保障;
●安全管理中的安全風(fēng)險(xiǎn)評(píng)估將成為安全研究重要內(nèi)容。
