中華人民共和國公共安全行業標準
1 範圍
本標準規定了計算機信息系統安全專用產品分類原則。
本標準適用於保護計算機信息系統安全專用產品，涉及實體安全、 運行安全和信息安全三個方面。
實體安全包括環境安全，設備安全和媒體安全三個方面。
運行安全包括風險分析,審計跟蹤，備份與恢復，應急四個方面。
信息安全包括作業系統安全，資料庫安全，網路安全，病毒防護，訪問控制，加密與鑑別七個方面。
2 分類原則
為了保證分類體系的科學性，遵循如下原則：
1． 適度的前瞻性；
2． 標準的可操作性；
3． 分類體系的完整性；
4． 與傳統的兼容性；
5． 按產品功能分類。
3 術語定義
3.1 計算機信息系統 Computer Information System
是指由計算機及其相關的和配套的設備、設施（含網路）構成的，按照一定的套用目標和規則對信息進行採集、加工、存儲、傳輸、檢索等處理的人機系統。
3.2 計算機信息系統安全專用產品 Security Products for Computer Information Systems
是指用於保護計算機信息系統安全的專用硬體和軟體產品。
3.3 實體安全 Physical Security
保護計算機設備、設施（含網路）以及其它媒體免遭地震、水災、火災、有害氣體和其它 環境事故（如電磁污染等）破壞的措施、過程。
3.4 運行安全 Operation Security
為保障系統功能的安全實現，提供一套安全措施（如風險分析，審計跟蹤，備份與恢復，應急等）來保護信息處理過程的安全。
3.5 信息安全 Information Security
防止信息財產被故意的或偶然的非授權泄露、更改、破壞或使信息被非法的系統辨識，控制。即確保信息的完整性、保密性，可用性和可控性。
3.6 黑客 Hacker
對計算機信息系統進行非授權訪問的人員。
3.7 應急計畫 Contingency Plan
在緊急狀態下，使系統能夠儘量完成原定任務的計畫。
3.8 證書授權 Certificate Authority
通過證書的形式證明實體（如用戶身份，用戶的公開密鑰等）的真實性。
3.9 安全作業系統 Secure Operation System
為所管理的數據和資源提供相應的安全保護，而有效控制硬體和軟體功能的作業系統。
3.10 訪問控制 Access Control
指對主體訪問客體的許可權或能力的限制，以及限制進入物理區域（出入控制）和限制使用計算機系統和計算機存儲數據的過程（存取控制）。
3.11 防火牆 Fire Wall
設定在兩個或多個網路之間的安全阻隔，用於保證本地網路資源的安全，通常是包含軟體部分和硬體部分的一個系統或多個系統的組合。
3.12 計算機病毒 Computer Virus
是指編制或者在電腦程式中插入的破壞計算機功能或者毀壞數據、影響計算機使用、並能自我複製的一組計算機指令或程式代碼。
4 類別體系
4.1 類別（A）實體安全
4.1.1 類別（A10）環境安全
本類產品提供對計算機信息系統所在環境的安全保護，主要包括受災防護和區域防護。
4.1.1.1 類別（A11）受災防護
本類產品提供受災報警，受災保護和受災恢復等功能，目的是保護計算機信息系統免受水、火、有害氣體、地震、雷擊和靜電的危害。
本類產品的安全功能可歸納為三個方面：
（1） 災難發生前，對災難的檢測和報警；
（2） 災難發生時，對正遭受破壞的計算機信息系統，採取緊急措施，進行現場實時保護；
（3） 災難發生後，對已經遭受某種破壞的計算機信息系統進行災後恢復。
任何提供以上一種或數種功能的產品均可歸入本類。
4.1.1.2 類別（A12）受災恢復計畫輔助軟體
本類產品為制訂受災難恢復計畫提供計算機輔助，它主要是以受災恢復計畫輔助軟體的形式提供。
本類產品的安全功能可歸納為三個方面：
（1） 災難發生時的影響分析；
（2） 受災恢復計畫的概要設計或詳細制訂；
（3） 受災恢復計畫的測試與完善。
任何提供以上一種或數種功能的產品均可歸入本類。
4.1.1.3 類別（A13）區域防護
本類產品對特定區域提供某種形式的保護和隔離。
本類產品的安全功能可歸納為兩個方面：
（1）靜止區域保護，如通過電子手段（如紅外掃描等）或其它手段對特定區域(如機房等)進行某種形式的保護（如監測和控制等）；
（2）活動區域保護，對活動區域(如活動機房等)進行某種形式的保護。
任何提供以上一種或兩種功能的產品均可歸入本類。
4.1.2 類別（A20）設備安全
本類產品提供對計算機信息系統設備的安全保護。它主要包括設備的防盜和防毀，防止電磁信息泄漏，防止線路截獲，抗電磁干擾以及電源保護等六個方面。
4.1.2.1 類別（A21）設備防盜
本類產品提供對計算機信息系統設備的防盜保護。
本類產品所提供的安全功能可歸納為:
使用一定的防盜手段（如移動報警器、數字探測報警和部件上鎖）用於計算機信息系統設備和部件，以提高計算機信息系統設備和部件的安全性。
任何提供以上功能的產品均可歸入本類。
4.1.2.2 類別（A22）設備防毀
本類產品提供對計算機信息系統設備的防毀保護。
本類產品所提供的安全功能可歸納為兩個方面:
（1） 對抗自然力的破壞，使用一定的防毀措施（如接地保護等）保護計算機信息系統設備和部件；
（2） 對抗人為的破壞，使用一定的防毀措施(如防砸外殼)保護計算機信息系統設備和部件。
任何提供以上一種或兩種功能的產品均可歸入本類。
4.1.2.3 類別（A23）防止電磁信息泄漏
本類產品用於防止計算機信息系統中的電磁信息的泄漏，從而提高系統內敏感信息的安全性。如防止電磁信息泄漏的各種塗料、材料和設備等都屬於本類。
本類產品所提供的安全功能可歸納為三個方面：
（1）防止電磁信息的泄漏（如禁止室等防止電磁輻射引起的信息泄漏）；
（2）干擾泄漏的電磁信息（如利用電磁干擾對泄漏的電磁信息進行置亂）；
（3）吸收泄漏的電磁信息（如通過特殊材料/塗料等吸收泄漏的電磁信息）。
任何提供以上一種或數種功能的產品均可歸入本類。
4.1.2.4 類別（A24）防止線路截獲
本類產品用於防止對計算機信息系統通信線路的截獲和外界對計算機信息系統的通信線路的干擾。
本類產品的安全功能可歸納為四個方面：
（1）預防線路截獲，使線路截獲設備無法正常工作；
（2）探測線路截獲，發現線路截獲並報警；
（3）定位線路截獲，發現線路截獲設備工作的位置；
（4）對抗線路截獲，阻止線路截獲設備的有效使用。
任何提供以上一種或數種功能的產品可歸入本類。
4.1.2.5 類別（A25）抗電磁干擾
本類產品用於防止對計算機信息系統的電磁干擾，從而保護系統內部的信息。
本類產品的安全功能可歸納為兩個方面：
（1）對抗外界對系統的電磁干擾；
（2）消除來自系統內部的電磁干擾。
任何提供以上一種或兩種功能的產品可歸入本類。
4.1.2.6 類別（A26）電源保護
本類產品為計算機信息系統設備的可靠運行提供能源保障，例如不間斷電源、紋波抑制器、電源調節軟體等都屬於本類。
本類產品的安全功能可歸納為兩個方面：
（1）對工作電源的工作連續性的保護，如不間斷電源；
（2）對工作電源的工作穩定性的保護，如紋波抑制器。
任何提供以上一種或兩種功能的產品均可歸入本類。
4.1.3 類別（A30）媒體安全
本類產品提供對媒體數據和媒體本身的安全保護。
4.1.3.1 類別（A31）媒體的安全
本類產品提供對媒體的安全保管，目的是保護存儲在媒體上的信息。
本類產品的安全功能可歸納為兩個方面：`
（1） 媒體的防盜；
（2） 媒體的防毀，如防霉和防砸等。
任何提供以上一種或二種功能的產品均可歸入本類。
4.1.3.2 類別（A32）媒體數據的安全
本類產品提供對媒體數據的保護。媒體數據的安全刪除和媒體的安全銷毀是為了防止被刪除的或者被銷毀的敏感數據被他人恢復。
本類產品的安全功能可歸納為三個方面：
（1） 媒體數據的防盜，如防止媒體數據被非法拷貝；
（2） 媒體數據的銷毀，包括媒體的物理銷毀（如媒體粉碎等）和媒體數據的徹底銷毀（如消磁等），防止媒體數據刪除或銷毀後被他人恢復而泄露信息；
（3） 媒體數據的防毀，防止意外或故意的破壞使媒體數據的丟失。
任何提供以上一種或數種功能的產品均可歸入本類。
4.2 類別（B）運行安全
4.2.1 類別（B10）風險分析
本類產品提供對計算機信息系統進行人工或自動的風險分析。它首先是對系統進行靜態的分析（尤指系統設計前和系統運行前的風險分析），旨在發現系統的潛在安全隱患；其次是對系統進行動態的分析，即在系統運行過程中測試，跟蹤並記錄其活動，旨在發現系統運行期的安全漏洞；最後是系統運行後的分析，並提供相應的系統脆弱性分析報告。
本類產品的安全功能可歸納為四個方面：
（1）系統設計前的風險分析。通過分析系統固有的脆弱性，旨在發現系統設計前潛在的安全隱患；
（2）系統試運行前的風險分析。根據系統試運行期的運行狀態和結果，分析系統的潛在安全隱患，旨在發現系統設計的安全漏洞；
（3）系統運行期的風險分析。提供系統運行記錄，跟蹤系統狀態的變化，分析系統運行期的安全隱患，旨在發現系統運行期的安全漏洞，並及時通告安全管理員；
（4）系統運行後的風險分析。分析系統運行記錄，旨在發現系統的安全隱患，為改進系統的安全性提供分析報告。
任何提供以上一種或數種功能的產品均可歸入本類。
4.2.2 類別（B20）審計跟蹤
本類產品對計算機信息系統進行人工或自動的審計跟蹤、保存審計記錄和維護詳盡的審計日誌。
本類產品的安全功能可歸納為三個方面：
（1）記錄和跟蹤各種系統狀態的變化，如提供對系統故意入侵行為的記錄和對系統安全功能違反的記錄；
（2）實現對各種安全事故的定位，如監控和捕捉各種安全事件；
（3）保存、維護和管理審計日誌。
任何提供以上一種或數種功能的產品均可歸入本類。
4.2.3 類別（B30）備份與恢復
本類產品提供對系統設備和系統數據的備份與恢復，對系統數據的備份和恢復可以使用多種介質（如磁介質、紙介質、光碟、縮微載體等）。
本類產品的安全功能可歸納為三個方面：
（1）提供場點內高速度、大容量自動的數據存儲，備份和恢復；
（2）提供場點外的數據存儲，備份和恢復，如通過專用安全記錄存儲設施對系統內的主要數據進行備份；
（3）提供對系統設備的備份。
任何提供以上一種或數種功能的產品均可歸入本類。
4.2.4 類別（B40）應急
本類產品提供緊急事件或安全事故發生時，保障計算機信息系統繼續運行或緊急恢復所需要的一類產品，如應急計畫輔助軟體和應急設施兩個方面。
4.2.4.1 類別（B41）應急計畫輔助軟體
本類產品為制訂應急計畫提供計算機輔助，它主要是以應急計畫輔助軟體的形式提供。
本類產品的安全功能可歸納為三個方面：
（1）緊急事件或安全事故發生時的影響分析；
（2）應急計畫的概要設計或詳細制訂；
（3）應急計畫的測試與完善。
任何提供以上一種或數種功能的產品均可歸入本類。
4.2.4.2 類別（B42）應急設施
本類產品提供緊急事件或安全事故發生時，計算機信息系統實施應急計畫所需要的一類產品，它包括實時應急設施、非實時應急設施等。這些設施一般由專門廠商提供。實時應急設施、非實時應急設施的區別主要表現在對緊急事件發生時的回響時間長短上。
本類產品的安全功能可歸納為二個方面：
（1）提供實時應急設施，實現應急計畫，保障計算機信息系統的正常安全運行；
（2）提供非實時應急設施，實現應急計畫。
任何提供以上一種或兩種功能的產品均可歸入本類。
4.3 類別（C）信息安全
4.3.1 類別（C10）作業系統安全
本類產品提供對計算機信息系統的硬體和軟體資源的有效控制，能夠為所管理的資源提供相應的安全保護。它們或是以底層作業系統所提供的安全機制為基礎構作安全模組，或者完全取代底層作業系統，目的是為建立安全信息系統提供一個可信的安全平台。
4.3.1.1 類別（C11）安全作業系統
本類產品是安全作業系統，是指從系統設計、實現和使用等各個階段都遵循了一套完整的安全策略的作業系統。
任何具有不同安全級別的安全作業系統產品均可歸入本類。
4.3.1.2 類別（C12）作業系統安全部件
本類產品是作業系統安全部件，目的是增強現有作業系統的安全性。
本類產品的安全功能可歸納為兩個方面：
（1） 通過構作安全模組，增強現有作業系統的安全性；
（2） 通過構作安全外罩，增強現有作業系統的安全性。
任何提供以上一種或兩種功能的產品均可歸入本類。
4.3.2 類別（C20）資料庫安全
本類產品對資料庫系統所管理的數據和資源提供安全保護。它一般採用多種安全機制與作業系統相結合，實現資料庫的安全保護。
4.3.2.1 類別（c21）安全資料庫系統
本類產品是安全資料庫系統，即從系統設計、實現、使用和管理等各個階段都遵循一套完整的系統安全策略的安全資料庫系統。
任何具有不同安全級別的安全資料庫系統均可歸入本類。
4.3.2.2 類別（C22）資料庫系統安全部件
本類產品是資料庫系統安全部件，是以現有資料庫系統所提供的功能為基礎構作安全模組，旨在增強現有資料庫系統的安全性。
本類產品的安全功能可歸納為兩個方面：
（1） 通過構作安全模組，增強現有資料庫系統的安全性；
（2） 通過構作安全外罩，增強現有資料庫系統的安全性。
任何提供以上一種或兩種功能的產品均可歸入本類。
4.3.3 類別（C30）網路安全
本類產品提供訪問網路資源或使用網路服務的安全保護。
4.3.3.1 類別（C31）網路安全管理
本類產品為網路的使用提供安全管理。
本類產品的安全功能可歸納為四個方面：
（1）幫助協調網路的使用，預防安全事故的發生；
（2）跟蹤並記錄網路的使用，監測系統狀態的變化。如提供對網路系統故意入侵行為的記錄和對違反網路系統安全管理行為的記錄；
（3）實現對各種網路安全事故的定位，探測網路安全事件發生的確切位置；
（4）提供某種程度的對緊急事件或安全事故的故障排除能力。
任何提供以上一種或數種功能的產品均可歸入本類。
4.3.3.2 類別（C32）安全網路系統
本類產品對網路資源的訪問和網路服務的使用提供一套完整的安全保護。本類產品是安全網路系統，即從網路系統的設計、實現、使用和管理各個階段遵循一套完整的安全策略的網路系統。
任何具有不同安全級別的安全網路系統均可歸入本類。
4.3.3.3 類別（C33）網路系統安全部件
本類產品是網路系統安全部件，是對網路系統的某個過程、部分或服務提供安全保護，旨在增強整個網路系統的安全性。
本類產品的安全功能可歸納為三個方面：
（1）對網路資源訪問的某一過程提供安全保護，例如身份認證是對登錄過程的保護，旨在防止黑客對網路資源的訪問；
（2）對網路資源的某一部分提供安全保護，例如防火牆是對網路資源的某個部分（本地網路資源）的保護；
（3）對網路系統提供的某種服務提供安全保護，例如安全電子郵件服務是對網路系統提供的電子郵件服務的保護。
任何提供以上一種或數種功能的產品均可歸入本類。
4.3.4 類別（C40）計算機病毒防護
本類產品提供對計算機病毒的防護。病毒防護包括單機系統的防護和網路系統的防護。
單機系統的防護側重於防護本地計算機資源，而網路系統的防護側重於防護網路系統資源。計算機病毒防護產品是通過建立系統保護機制，預防、檢測和消除病毒。
4.3.4.1 類別（C41）單機系統病毒防護
本類產品提供對單機系統的病毒防護，既可以是軟體產品，也可以是硬體產品。
本類產品的安全功能可歸納為以下五個方面：
（1）預防計算機病毒侵入系統；
（2）檢測已侵入系統的計算機病毒；
（3）定位已侵入系統的病毒；
（4）防止病毒在系統中的傳染；
（5）清除系統中已發現的計算機病毒。
任何提供以上一種或數種功能的產品均可歸入本類。
4.3.4.2 類別（C42）網路系統病毒防護
本類產品提供對網路系統的病毒防護。
本類產品的安全功能可歸納為以下五個方面：
（1）預防計算機病毒侵入網路系統；
（2）檢測已侵入網路系統的病毒；
（3）定位已侵入網路系統的病毒；
（4）防止網路系統中病毒的傳染；
（5）清除網路系統中已發現的病毒。
任何提供以上一種或數種功能的產品均可歸入本類。
4.3.5 類別（C50）訪問控制
本類產品保證系統的外部用戶或內部用戶對系統資源的訪問以及對敏感信息的訪問方式符合組織安全策略。本類產品主要包括：出入控制和存取控制。
4.3.5.1 類別（C51）出入控制
本類產品主要用於阻止非授權用戶進入機構或組織。一般是以電子技術、生物技術或者電子技術與生物技術結合阻止非授權用戶進入。
本類產品包括：
（1） 物理通道的控制，例如利用重量檢查控制通過通道的人數；
（2） 門的控制，例如雙重門，陷阱門等；
凡是採用電子技術、生物特徵技術以及與其他技術相結合以實現出入控制的安全產品均可歸入本類。
4.3.5.2 類別（C52）存取控制
本類產品提供主體訪問客體時的存取控制，如通過對授權用戶存取系統敏感信息時進行安全性檢查，以實現對授權用戶的存取許可權的控制。
本類產品提供的安全功能可歸納為以下四個方面：
（1） 提供對口令字的管理和控制功能。例如提供一個弱口令字型檔，禁止用戶使用弱口令字，強制用戶更換口令字等；
（2） 防止入侵者對口令字的探測；
（3） 監測用戶對某一分區或域的存取；
（4） 提供系統中主體對客體訪問許可權的控制。
任何提供以上一種或數種功能的產品均可歸入本類。
4.3.6 類別（C60）加密
本類產品提供數據加密和密鑰管理。
4.3.6.1 類別（C61）加密設備
本類產品提供對數據的加密。
本類產品提供的安全功能可歸納為以下三個方面：
（1） 對文字的加密；
（2） 對語音的加密；
（3） 對圖象、圖形的加密。
任何提供以上一種或數種功能的產品均可歸入本類。
4.3.6.2 類別（C62）密鑰管理
本類產品提供對密鑰的管理。例如證書授權中心（提供對用戶的公開密鑰的管理）和密鑰恢復，都屬於本類。
本類產品的安全功能可歸納為六個方面：
（1）密鑰分發或注入；
（2）密鑰更新；
（3）密鑰回收；
（4）密鑰歸檔；
（5）密鑰恢復；
（6）密鑰審計。
任何提供以上一種或數種功能的產品均可歸入本類。
4.3.7 類別（C70）鑑別
本類產品提供身份鑑別和信息鑑別。身份鑑別是提供對信息收發方（包括用戶，設備和進程）真實身份的鑑別；信息鑑別是提供對信息的正確性，完整性和不可否認性的鑑別。本類產品亦提供防偽性。
4.3.7.1 類別（c71）身份鑑別
本類產品提供對用戶的身份鑑別，主要用於阻止非授權用戶對系統資源的訪問。一般是以電子技術、生物技術或者電子技術與生物技術結合鑑別授權用戶身份的真實性。
本類產品的安全功能可歸納為三個方面：
（1） 根據用戶的生物特性來鑑別其真偽；
（2） 根據用戶所持物品來鑑別其真偽；
（3） 根據用戶所知來鑑別其真偽。
任何提供以上一種或多種功能的產品均可歸入本類。
本類產品提供信息完整性鑑別，使得用戶，設備，進程可以證實接收到的信息的完整性。
本類產品的安全功能可歸納為：
證實信息內容未被非法修改或遺漏，如完整性校驗設備。
任何提供以上功能的產品均可歸入本類。
4.3.7.3 類別（C73）不可否認性鑑別
本類產品提供不可否認性鑑別，使得信息傳送者不可否認對信息的傳送和信息接收者不可
否認對信息的接收。
本類產品的安全功能可歸納為兩個方面：
（1） 證實發方傳送的信息確實為收方接收，收方不可否認；
（2） 證實收方接收到的信息為發方傳送，發方不可否認。
任何提供以上一種或兩種功能的產品均可歸入本類。
