Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
PD ISO IEC TR 15443——信息技术安全保证框架技术报告系列（导论概念与分析）
Information Technology — Security Techniques — Security Assurance Framework: Introduction and Concepts / Analysis（2012 版）
🔐 PD ISO/IEC TR 15443 是 BSI 发布的 ISO/IEC TR 15443 技术报告系列，主题为信息技术——安全技术——安全保证框架（Security Assurance Framework）。本批次包含两份文件：第 1 部分给出导论与概念，第 2 部分给出分析（Analysis）。两份文件均由 BSI 技术委员会 IST/33（IT 安全技术）对口，均为第二版（2012-11-15），并分别取代了已废止的 PD ISO/IEC TR 15443-1:2005 与 PD ISO/IEC TR 15443-2:2005，2013 年 10 月还发布了针对国家前言的技术勘误。该技术报告为理解信息安全保证（security assurance）的概念、方法及其相互关系提供了权威框架，是选择评估方法、解读评估结果与建立组织保证体系的重要参考。无论是采购信息安全产品、规划产品评估路径，还是向管理层与监管方说明安全状态，本系列都能提供统一的概念语言与决策逻辑。
💡 “保证（assurance）”与”信心（confidence）”不同：保证是可检验、可论证的证据与活动，信心则是一种主观判断。本系列帮助信息安全从业者把”我感觉安全”转化为”有证据支持的安全”。
一、系列构成与内容概览 📌
本系列以”框架—分析”两段式结构组织：第 1 部分建立概念基础与术语体系，第 2 部分提供分析框架与选择准则。两份文件既可在概念层单独阅读，也可组合用于具体的保证方案决策。下表给出两份文件的对应关系。
| 标准编号 | 中文主题 | 对应 ISO/IEC 版本 | 核心内容 |
|---|---|---|---|
| PD ISO/IEC TR 15443-1:2012 | 信息技术——安全技术——安全保证框架——第1部分：导论与概念 | ISO/IEC TR 15443-1 (Ed.2.0, 2012-11) | 安全保证概念、保证与信心的区分、保证需要、方法与关系 |
| PD ISO/IEC TR 15443-2:2012 | 信息技术——安全技术——安全保证框架——第2部分：分析 | ISO/IEC TR 15443-2 (Ed.2.0, 2012-11) | IT安全保证分析方法、SACA范式与选择准则 |
⚠️ 本系列是技术报告（TR），提供指南与背景而非强制要求；具体评估标准（如 ISO/IEC 15408 通用准则、ISO/IEC 27001 管理体系）仍是合规与认证的直接依据，本系列帮助理解其保证逻辑。
二、第1部分：导论与概念 🧠
第 1 部分建立了安全保证的概念基础，其内容组织对应标准的术语与概念条款，核心内容包括：
- 安全保证（Security assurance）的定义：指通过证据与论证使利益相关方相信产品、系统或服务满足特定安全属性的过程与结果，强调”证据驱动”而非”主观宣称”。
- 保证区别于信心：保证是基于客观证据的可检验论证，而信心是主观状态；有了可靠的保证过程，才可能形成并维持合理的信心。
- 对安全保证的需求：说明在信息安全治理、采购决策、合规监管与风险管理中为什么需要保证，以及缺乏保证时组织可能承受的风险（如选型失误、监管处罚、安全事件责任）。
- 保证方法与关系：介绍设计评估、形式化方法验证、渗透测试、开发过程评估、测试与审查等保证方法的定位，说明它们适用的对象、证据类型与相互关系，帮助读者理解不同方法之间的互补性。
该部分为读者提供了统一的术语与思维框架，将散见于各类评估标准中的概念收敛到同一参照系中，为在第 2 部分中对不同保证方法进行比较奠定基础。对初次接触安全保证的读者而言，第 1 部分是进入该领域的首选入口。
三、第2部分：分析框架与准则 🔍
第 2 部分提供分析安全保证的框架与准则，帮助实践者在多种保证方法之间做出理性选择：
- IT 安全保证分析框架：建立分析各类保证方法（SACA——Security Assurance Consistency/Comparison 相关的范式分析）的执行框架，把”选择保证方法”这一复杂决策结构化为可操作的步骤。
- SACA 范式分析准则：给出比较不同保证范式的准则，核心包括承认协议与安排的可用性、地理与政治因素等，具体包括：
- 承认协议与安排的可用性（recognition agreements）：不同国家/机构之间对评估结果互认的程度，直接影响评估结果能否跨国通用。
- 地理与政治因素：评估机构的分布、管辖范围、政治敏感性及合规环境差异。
- 选择与决策支持：依据准则对不同保证方法进行取舍，结合成本、周期、市场准入与合规要求，为组织选择评估路径提供依据。
第 2 部分的实践价值在于”选择方法论”。当组织需要在通用准则（CC）评估、安全管理体系认证（如 ISO/IEC 27001）、开发过程评估（如安全开发生命周期）等方法之间抉择时，单一的”哪个更严格”式比较往往失真，因为不同方法的证据类型、评估主体、互认范围与成本结构各不相同。第 2 部分的准则把这种比较显式化，帮助组织按自身业务场景权衡。
✅ 本系列的实用价值在于”选择方法论”：当组织需要在通用准则（CC）评估、安全管理体系认证、开发过程评估等方法之间抉择时，第 2 部分的准则帮助权衡成本、互认与合规要求，避免”为了认证而认证”。
四、与相关安全标准的关系 🧩
理解本系列，还需要把它放到更广的标准生态中定位。下表梳理了本系列与其他主要安全标准的关系：
| 主题 | 关键内容 | 相关标准/文件 |
|---|---|---|
| 保证概念 | 证据驱动的论证、保证与信心的区分 | 15443-1 |
| 保证需求 | 治理、采购、监管对保证的需要 | 15443-1 |
| 保证方法 | 评估、验证、测试、过程评估等方法定位 | 15443-1 |
| 分析框架 | IT 安全保证分析执行框架 | 15443-2 |
| 范式准则 | 互认安排、地理与政治因素 | 15443-2 |
| 产品安全评估 | 通用准则（CC）评估保证等级（EAL）与保障组件 | ISO/IEC 15408 |
| 管理体系 | 信息安全管理体系（ISMS）认证与持续改进 | ISO/IEC 27001 |
| 安全控制 | 安全管理体系控制措施与实施指南 | ISO/IEC 27002 |
需要明确的是：ISO/IEC 15408（通用准则，CC）是具体的产品安全评估标准，定义评估保证等级（EAL）与保障组件要求；ISO/IEC 27001 提供组织级安全管理体系的认证框架。本系列作为”框架级”技术报告，站在更上层帮助读者理解各类保证方法与 CC、ISMS 的具体评估之间的定位、关系与选择逻辑，并不替代任何具体评估标准。
五、工程实践应用 🛠️
- 🔍 采购决策：采购信息安全产品时，依据保证框架理解 CC 评估等级（EAL）等技术报告与证书的含义，识别”经过独立评估”与”仅厂商自述”之间的证据差异，选择满足业务需要的保证级别。
- 🔧 评估路径规划：依据第 2 部分准则在 CC 评估、体系认证（27001）、过程评估等方法间取舍，综合评估成本、周期、目标市场互认与合规要求。
- 📊 保证体系建立：在组织内建立保证证据的收集、评审与归档机制，形成可复用的证据库，支持内审、外审与监管检查。
- 📋 合规沟通：用统一术语向管理层、监管方与客户说明保证结论的证据基础与局限，避免把”已评估”夸大为”绝对安全”。
六、常见问题解答 ❓
❓ 问：什么是”安全保证”？
答：安全保证是通过收集与分析证据、进行论证，使利益相关方相信系统或产品满足既定安全属性的过程与结果。它强调客观、可检验，区别于单纯的主观信心，是采购、合规与治理的基础。
答：安全保证是通过收集与分析证据、进行论证，使利益相关方相信系统或产品满足既定安全属性的过程与结果。它强调客观、可检验，区别于单纯的主观信心，是采购、合规与治理的基础。
❓ 问：本系列与 ISO/IEC 15408（通用准则）是什么关系？
答：通用准则（CC）是具体的产品安全评估标准，定义评估保证等级（EAL）与保障组件；本系列是”框架级”技术报告，帮助理解各类保证方法与 CC 等具体评估的定位、关系与选择逻辑，不替代 CC 本身。
答：通用准则（CC）是具体的产品安全评估标准，定义评估保证等级（EAL）与保障组件；本系列是”框架级”技术报告，帮助理解各类保证方法与 CC 等具体评估的定位、关系与选择逻辑，不替代 CC 本身。
❓ 问：SACA 是什么？
答：SACA 指安全保证方法的一致性/比较分析（具体缩写术语以标准原文为准），第 2 部分围绕其建立分析框架与选择准则，用于在不同保证范式之间进行结构化比较与决策。
答：SACA 指安全保证方法的一致性/比较分析（具体缩写术语以标准原文为准），第 2 部分围绕其建立分析框架与选择准则，用于在不同保证范式之间进行结构化比较与决策。
🔍 问：为什么选择保证方法时要考虑”互认协议”？
答：在跨国采购与出口场景中，评估结果能否被目标国承认直接影响市场准入。互认协议与安排越完善，一次评估越可在多国通用，从而降低重复评估成本与周期。
答：在跨国采购与出口场景中，评估结果能否被目标国承认直接影响市场准入。互认协议与安排越完善，一次评估越可在多国通用，从而降低重复评估成本与周期。
