一、 CEPT简介

　　欧洲邮电通信管理协会（Conference Europeene des Administrations des Postes，简称CEPT）于1959年成立。CEPT着重商业合作、法规制订和技术标准颁布。1988年CEPT决定成立欧洲电信标准协会，即ETSI。CETP目前有来自欧洲的43个成员。

　　二、 ETSI简介
　　欧洲电信标准协会（European Telecommunications Sdandards Institute，简称ETSI）是由欧盟委员会1988年批准建立的一个非赢利性的欧洲地区性电信标准化组织，总部设在法国南部的尼斯。其宗旨是为贯彻欧洲邮电管理委员会(CEPT)和欧盟委员会（CEC）确定的电信政策，满足市场各方面及管制部门的标准化需求，实现开放、统一、竞争的欧洲电信市场而及时制订高质量的电信标准，以促进欧洲电信基础设施的融合；确保欧洲各电信网间互通；确保未来电信业务的统一；实现终端设备的相互兼容；实现电信产品的竞争和自由流通；为开放和建立新的泛欧电信网络和业务提供技术基础；并为世界电信标准的制订作出贡献。
　　ETSI与CENELEC工作上有交叉，为此两机构作了分工。CENELEC主管下列方面的标准：安全；环境条件；电磁兼容；设备工程；无线电保护；电子元器件；无线电广播接收系统及接收机。ETSI的标准化领域主要是电信业，并涉及与其他组织合作的信息及广播技术领域，具体包括：无线电领域的电磁兼容；私人用远距离通信系统；整体宽频带网络（包括有线电视）。 ETSI作为一个被CEN（欧洲标准化协会）和CEPT认可的电信标准协会，其制定的推荐性标准常被欧盟作为欧洲法规的技术基础而采用并被要求执行。
　
　　1. 组织情况
　　ETSI目前有来自47个国家的457名成员，涉及电信行政管理机构、国家标准化组织、网络运营商、设备制造商、专用网业务提供者、用户研究机构等。ETSI成员可分为正式成员、候补成员、观察员和顾问四类。
　　（1） 正式成员只允许CEPT成员国范围的组织参加。凡自愿申请入会、按年收入比例向ETSI交纳年费者，经全会批准均可成为正式成员。在ETSI标准的制订活动中，全权会员享有发言权、投票权和各项标准、技术报告等的使用权。为了平衡各国在ETSI的利益，ETSI采取对各成员国投票采取加权计票方式。
　　（2） ETSI候补成员是为非欧洲国家电信组织或公司寻求与ETSI合作而设的一种特殊身份。要成为ETSI的候补成员，需与ETSI签署正式协议，经全会批准。候补成员可自由参加会议，有发言权但无表决权，享有与正式成员同样的文件；准会员支持ETSI标准作为世界电信标准的基础并尽可能采用ETSI标准，缴纳年费。
　　（3） ETSI观察员一般只授予被邀请的电信组织的代表，目前有来自17个国际组织的84位观察员。。
　　（4） ETSI授予欧盟和EFTA（欧洲自由贸易协会）的代表以顾问的地位，顾问有权参加全会、参与常务委员会、技术委员会、特别委员会的工作，但没有投票表决的权利。


　　ETSI组织由全体大会、常务委员会、技术机构、特别委员会和秘书处组成。
　　全体大会是ETSI的最高权力机构，每年至少召开两次会议，决定ETSI的所有政策和管理决策，产生主席、副主席及大会秘书长、代理秘书长人选通过决议和章程，讨论接纳新成员，决定预算、决算，通过每年的工作报告等。
　　常务委员会是在全会闭幕期间开展日常辅助工作的机构。主要职能是决定成立技术委员会、选举技术委员会主席、协调各技术委员会之间的关系、研究分类计划及进度、鉴定成果、通过新标准及确定新旧标准的过渡期等。
　　ETSI技术机构可分为三种：技术委员会及其分委会、ETSI项目组和ETSI合作项目组。ETSI还有特别委员会包括财经委员会、欧洲电信标准观察组、工作协调组、专家安全算法组、全球移动多媒体合作组、用户组、新观点以及ETSI和ECMA协调组等8个委员会。

　　要特别提出的是ETSI有一类工作组称专家工作组，这是ETSI对于一些重要且紧急的课题采取成立专门课题组，聘请专家集中进行研究的一种方式，使得标准的制定程序加快。专家工作组须由欧洲标准化委员会和欧洲自由贸易协会提出建议，经技术委员会通过，方能成立，由ETSI秘书处按照规定的程序进行管理。专家工作组的成员是从ETSI成员组织中招聘的。

　　2. ITSI技术委员会及项目组的分工
　　ETSI目前下设13个技术委员会，他们的代号、名称、及分工如下：
　　TC EE ( Environmental Engineering) 环境工程技术委员会 定义那些（包含安装在用户端的）电信设备的关于环境和基础方面的标准。主要包括环境条件和环境测试、 供电问题和机械结构三个领域。
　　TC ERM (EMC and Radio)无线及电磁兼容技术委员会 直接负责ETSI关于无线频谱和电磁兼容方面的技术工作，包括研究EMC参数及测试方法，协调无线频谱的利用和分配，为相关无线及电磁设备的标准提供关于EMC和无线频率方面的专家意见。
　　JTC Broadcasting ( EBU/CENELEC/ETSI Joint Technical Commission) 播送联合技术委员会 为电视、无线电、数据及其他小卫星提供的新业务、有线电视、交互型传输的播送系统提供标准，为实现统一技术模型框架而与DVD、EBU、CENELEC组织进行合作。
　　ECMA TC32 (Communication , Networks & Systems Interconnection) 通信网络和系统的交互型连接技术委员会 是一个ETSI和ECMC合作的机构，为专业电信网领域提供全面观点，并在该领域起草ECMA标准和技术报告。该领域包括专业电信网的结构、业务、管理、窄带或宽带专用综合业务网的协议、用于通信的计算机等。
　　TC HF （Human Factors）人机因素技术委员会 为电信设备及电信业务提供关于人机接口方面的标准和规范，包括人的特殊需求（例如年长者和残疾人）。
　　TC MTS (Methods for Testing & Specification)测试方法和指标技术委员会 为测试方法和测试参数的准确一致性制定标准，为评价性能指标的提供可实现的方法和手段，支持ETSI关于实验一致性所做的研究。
　　TC NA （Network Aspects）网络总体技术委员会 为所有现存网及新网提供通用的网络特性，包括定义网络模型、网络结构，定义网络功能和用户网络接口的基本结构。
　　TC SEC (SECuiry) 安全技术委员会 为使ETSI的技术工作能考虑到安全问题，ETSI设立安全技术委员会，负责提供关于安全方面的ETSI技术报告和标准，向其他技术委员会提供关于安全方面的建议和援助。
　　TC SES （Satellites Earth Stations & System） 卫星地面站及系统技术委员会 负责所有与卫星通信相关的技术工作，包含各类卫星通信系统（移动的和广播式的）、地面站及设备的无线频率接口和网络用户接口，卫星及地面系统的协议。
　　TC SPS (Signalling Protocol & Switching) 信令协议及交换技术委员会 负责定义信息流、公众网的呼叫处理序列和信令，包括传送用户到用户信息的技术、用户到节点以及节点间的通信。
　　TC STQ (Speech Processing , Transmission & Quality) 语音处理传输质量技术委员会 确保协调相关设备的端到端语音质量的生产和维护，促进开发适时且经济的设备为网络运营商利用现有的和将来的固定或移动网提供通信业务。
　　TC TM (Telecommunication Multiplexing) 传输和复用技术委员会 负责传送网及其组成部分（包含无线中继不包括卫星系统）的全方面标准化工作以及传送网接口的传输特性，定义传送网组成部分的功能及实现规范，例如传送路由、路由器、分段、系统、功能命名、天线、电缆光纤等。
　　TC TMN (Telecommunication Management Networks) 电信管理网技术委员会 TMN技术委员会的目的是使得分散在很多技术委员会和技术委员会工作组关于电信网络管理的工作更有组织化，能更快地进行关于电信管理网的要求和规范的交流和统一。

　　3. 标准制定：
　　ETSE与ITU（国际电信联盟）相比，具有许多特点。首先，具有很大的公众性和开放性，不论主管部门、用户、运营者、研究单位都可以平等地发表意见。另外，对市场敏感按市场和用户的需求制定标准，用标准来定义产品，指导生产。针对性和时效性强，也是ETSI与ITU的不同之处。ITU为了协调各国，在制定标准时，常常留有许多任选项，以便不同国家和地区进行选择，但给设备的统一和互通造成麻烦。而ETSI针对欧洲市场和世界市场的情况，将一些指标深入细化。
　　ETSI的标准制定工作是开放式的。标准的立题是由ETSI的成员通过技术委员会提出的，经技术大会批准后列入ETSI的工作计划，由各技术委员会承担标准的研究工作。技术委员会提出的标准草案，经秘书处汇总发往成员国的标准化组织征询意见，返回意见后，再修改汇总，在成员国单位进行投票。赞成票超过70%以上的可以 成为正式ETSI标准，否则可成为临时标准或其他技术文件。
　　由于ETSI对一些重要课题采取聘请专家集中进行研究的方式，使得标准的制定程序加快。如：GSM就是采用专家组的方式进行研究的，因此比ITU超前，并对TIU标准的制定工作产生促进作用。
目前正在活动的特殊任务组（STF）：

所属技术部门	STF编码	研究方向
BRAN	150	宽带无线电接入网（Hiperlan/2和Hiperaccess）一致性测试指标
DECT	111	DECT数据接入轮廓（DAP）测试指标
	159	为产品的互可操作而开发DECT数据标准和报告，及DECT通用接口（CI）相关的标准
ERM	148	工作于VDL模式2和4的VHF无线电设备
HF	157	会聚网络中的用户识别方案
MTS	141	开发标准制订过程中利用面向对象设计的分类法
	156	信息流图表/UML格式（Chart/UML）的标准，包括TTCN－3的确认
OCG TG6	149	R&TTE指令下调谐标准
SEC	103	航空移动地球站的EN
SPAN	134	企业电信网：VPN业务进入点、补充业务和附加网络特性（阶段1）的一致性测试标准
	152	ISDN、B－ISDN、VPN（STF101、104、122、125）的测试维护
	154	ETSI核心INAP CS－3.2的一致性测试标准
	158	制导机（Control Plane）NNI SPAI和业务提供者接入接口开放标准的项目管理
	163	B－ISDN增加功能的一致性测试标准
	164	N/B－ISDN（包括辅助业务）维护的一致性测试标准
TIPHON	114	VoIP应用和PSTN/ISDN/GSM（阶段2和3）之间的互可操作能力

　　三、 ECMA简介
　　欧洲计算机制造协会（European Computer Manufacturing Association，简称ECMA）主要建立信息及通信系统方面的标准，已经有30年的历史，集中在基于交换机一端提供业务方面的CSTA标准（Computer Supported Telecommunications Applications），确立的是交换机与计算机接口方面的内容。目前已经推出了Phase 版本，其中由Novell和AT ＆T公司提出的TSAPI（Telephony Services Application Programming Interface）为CSTA协议提供了C语言的接口。

　　上海市标准化研究院经上海市政府批准，馆藏有CEPT/ETSI/ECMA现行有效标准，并保持每两月与标准制订机构更新一次，为广大用户参考、使用提供了便捷。


　　四、 使用CEPT/ETSI/ECMA欧洲计算机与通讯文档的用户可能需要了解的——信息技术产品和信息系统的安全测评与认证（资料来源：中国国家信息安全测评认证中心）

　　1、前言
　　随着全球信息化的发展，信息技术已经成为应用面最广、渗透性最强的战略性技术。政治、经济、军事和社会发展对信息技术的依赖越来越大，信息技术的"可信"、"可靠"等问题越来越尖锐；信息安全问题日益突出，信息安全产业应运而生。 政府部门、民间用户、生产厂商和执法机关对信息技术的"安全"、"可信"的要求十分迫切，安全性测评与认证成为信息化时代的客观需求。
　　信息安全产品和信息系统固有的敏感性和特殊性，直接影响着国家的安全利益和经济利益。由于我国信息基础设施中的大部分设备依赖进口，信息安全产业刚刚起步，对各种安全产品的测试和对信息系统的安全评估尚是空白，致使国外信息安全产品未经检验就进入我国，直接威胁我国经济安全和信息安全，严重制约了我国信息安全产业的发展，与我国政治经济发展极不相称。
　　各国政府纷纷采取颁布标准，实行测评和认证制度等方式，对信息技术和安全产品的研制、生产、销售、使用和进出口实行严格、有效的管理与控制。对信息安全产品的测评要比其他产品更为严格；各国政府对信息安全认证十分重视，建立了与自身的信息化发展相适应的测评认证体系。如美国、英国、德国、法国、加拿大、澳大利亚及荷兰，都由国家安全主管机构与标准化部门实施国家认证。
　　传统的安全测评方法主要有：攻击性（分析、对抗性）检测、商业性测试、政府内部的安全测试与检测、厂商自测、软件工程质量保障方法、用户使用评价。但是，传统测评方法存在以下不足：缺乏标准的安全需求规范、缺乏通用的安全测评准则、缺乏客观的安全测评工具、缺乏专业的安全测评人员、缺乏公正的第三方测评机制、缺乏独立的测评认证体系。

　　2、我国信息安全管理体系
　　我国长期以来一直十分重视信息安全保密工作，并从敏感性、特殊性和战略性的高度，至始至终置于国家的绝对领导之下。国家密码管理部门、国家安全机关、公安机关和国家保密主管部门等分工协作，各司其职，形成了维护国家信息安全的管理体系。
　　建立独立的认证机构是为了满足：（1）产业发展的需要，对信息安全产品的开发、使用和管理实行统一的规范；（2）质量技术监督的需要，对安全性、可靠性、可用性进行依据标准的检测与认证；（3）国际接轨的需要，应提供符合国际惯例的标准的测试、评估与认证的框架；（4）国际竞争的需要，以及加入WTO 、ITA的客观要求；（5）国家管理的需要，对安全检查、许可证管理、行业管理提供技术支持；（6）国家安全的需要，在信息化时代保障国家主权和安全。
　　为此，在1999年2月9日，中国国家信息安全测评认证中心正式成立，并挂牌运行。

　　3、测评认证中心的功能
　　根据国信办 [1998]018号文和国质技监局认发[1998]138号文的精神，测评认证中心是依据《中华人民共和国产品质量法》、《中华人民共和国产品质量认证管理条例》和国家有关信息安全管理的政策、法律、法规，按照国际通用准则建立的国家级认证机构，是国家信息安全基础设施之一 。测评认证中心按照国家质量技术监督局批准发布的认证产品目录和有关国家信息安全主管部门的授权，依据有关标准和规范开展信息安全测评认证，并发布国家对信息安全产品质量的最高认可：国家信息安全认证。
　　从中心的运行体制来看， "国家信息安全测评认证管理委员会"是认证中心的监管机构；认证中心是代表国家具体实施信息安全测评认证的实体机构，根据业务发展和管理需要对具有测试能力的独立机构进行业务授权，作为"认可测试实验室"或测评中心。
　　管理委员会由与信息安全相关的管理部门、使用部门、学术界和生产厂商四方面的代表组成，其主要职责是确定测评认证中心的发展策略，推动中心检测认证的标准研究和准则使用，对测评认证工作的公正性、科学性进行监督。管理委员会下设专家委员会和投诉、申诉委员会。 中国国家信息安全测评认证中心由若干个信息安全测评分支机构作为技术支撑而形成完整的工作体系。所有信息安全检验测评分支机构须经认证中心授权并通过中国实验室国家认可委员会（CNACL）和中国产品质量认证机构国家认可委员会认可，方能建立。根据国家信息安全测评认证工作的发展，将在不同的地区和部门、行业，由认证中心授权建立若干国家信息安全测评分支机构，形成布局合理，资源优化的国家信息安全测评认证的技术体系。
　　认证中心对外开展四种认证业务：

　　1）产品型式认证
　　产品型式认证属于产品质量认证的一种，其特点是仅包括质量认证基本要素中的"型式试验"和"监督检验"两个要素。产品型式认证的基本要求是：对认证申请者送达的样品进行型式试验（测试评估），若符合标准要求，即予认证。获取证书后，认证中心再从市场和/或工厂（车间）抽样，对其进行核查试验即监督检验，若检验合格即维持认证，否则取消认证。

　　2）产品认证
　　产品认证属于典型完整的产品质量认证，其特点是包括了质量认证的全部基本要素，即包括了"型式试验"、"质量体系检查"、"监督检验"和"监督检查"。产品认证的基本要求是：对认证申请者送达的样品进行型式试验（测试评估），同时对申请者的质量体系（即质量保证能力）进行检查、评审。这两方面都符合有关标准要求，则予以认证。获取证书后，认证中心再从市场和/或工厂（车间）抽样进行核查试验，即监督检验，同时对其质量体系进行监督性复查，若两方面都合格，即维持认证，否则取消认证。

　　3）信息系统安全认证
　　信息系统安全认证属于产品质量认证的综合型式，包括了构成信息系统的物理网络及其有关产品的质量（安全）认证和信息系统的运行过程、信息系统提供的服务以及这种过程与服务中的管理、保证能力（相当于信息系统本身的质量体系）的安全认证。信息系统安全认证的基本要求是：对认证申请者的信息系统设计方案和安全设计方案进行静态评估，对构成信息系统的物理网络及其有关产品进行认证（由产品生产商另行申请）、对信息系统的运行和服务进行实际测试评估，对信息系统的管理和保障体系进行评估验证。上述四方面若均符合有关标准和规范要求，则予以认证。获得证书后，对上述四方面进行监督检验、监督检查，若监督检验、检查合格，则维持认证，否则取消认证。

　　4）信息安全服务认证
　　信息安全服务认证属于产品质量认证的特殊形式，其对象是向社会提供信息安全服务的企事业机构，其实质是对这些机构的能力与资源进行认证。信息安全服务的内容包括信息安全产品的研制，生产和/或信息安全产品经营、信息安全技术和管理咨询培训、信息安全系统（网络）集成以及其他信息安全的中介性服务。信息安全服务认证的基本要求是：对认证申请者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，对其质量体系进行评审，若符合有关标准、规范，则予以认证，获取证书后，对上述各方面进行监督性核查、验证，核查、验证合格，即维持认证，否则取消认证。

　　上述四种类型认证的通用程序为： 申请认证--产品形式试验--质量体系评定--颁发证书--证后监督--纠纷和申诉。
　　经国家质量技术监督局1999年第2号公告，授权首批认证项目如下：

　　1) 访问控制产品
　　2) 鉴别产品
　　3) 安全审计产品
　　4) 安全管理产品
　　5) 数据完整性产品
　　6) 数字签名产品
　　7) 抗抵赖产品
　　8) 商用密码产品（由国家商用密码管理办公室授权）
　　9) 防信息干扰、泄漏产品
　　10) 信息系统
　　11) 信息安全服务

　　4、测评认证的标准
　　认证中心开展的信息安全测评认证活动严格依据有关标准进行。依据的标准为：有关国家标准、行业标准和认证管理委员会确认的国际标准和其他补充技术要求、技术规范。
　　4.1、国际上与信息安全标准有关的组织及标准
　　 国际：ISO（国际标准化组织）第27分委会有三个工作组。WG1：信息安全有关的需求、服务和指南；WG2：信息安全技术和机制；WG3：信息安全评估标准。另有TC68：信息安全分技术委员会。
　　美国：ANSI：X9，NIST（FIPS），DOD（DODI）
　　欧洲：ECMA（欧洲计算机制造商协会）TC36：IT安全；ECBS（银行）和CEN（欧洲银行标准化组织）
其他国际组织：IETF（RFC、Internet Draft）；ETSI（电信） (A5-A8、UMTS)；ITU-T （X400）
行业：IEEE-1363，PGP，PKCS等
俄罗斯：GOST
　　4.2、美国的安全评测标准(TCSEC)
　　1970年由美国国防科学委员会提出，1985年公布。主要作为军用标准，延用至民用。安全级别从高到低分为A、B、C、D四级，级下再分小类，即：A，B3，B2，B1，C2，C1，D。分级分类主要依据四个准则：安全政策、可控性、保证能力、文档。
　　4.3、欧洲的安全评测标准(ITSEC)
　　它是欧洲多国安全评价方法的综合产物，供军用，政府用和商用，并以超越TCSEC为目的，将安全概念分为功能与功能评估两部分。其功能准则在测评方面分F1-F10共10级。1－5级对应于TCSEC的D到A。6－10级加上了以下概念：
　　F6：数据和程序的完整性 F7：系统可用性
　　F8：数据通信完整性 F9：数据通信保密性
　　F10 包括机密性和完整性的网络安全
评估准则分为6级。
　　4.4、加拿大的评测标准(CTCPEC)
　　1989年公布，专为政府需求而设计，与ITSEC类似，将安全分为功能性需求和保证性需要两部分。其功能性要求分为四个大类：机密性，完整性，可用性，可控性。在每种安全需求下又分成很多小类，表示安全性上的差别，分级数为0－5级。
　　4.5、美国联邦准则(FC)与FIPS 140-1
　　对TCSEC的升级，1992年12月公布，引入了"保护轮廓（PP）"这一重要概念，每个轮廓都包括功能部分、开发保证部分和评测部分。分级方式与TCSEC不同，吸取了ITSEC、CTCPEC中的优点，供美国政府用，民用和商用。FIPS 140-1对密码模块的安全性作了严格的要求和规定。
　　4.6、国际通用准则(CC)
　　国际标准化组织统一现有多种准则的努力，有六个国家的七个标准组织参加。自1993年开始，1996年推出1.0版，1998年出2.0版，到1999年正式成为国际标准 ISO 15408。CC充分突出"保护轮廓"，将评估过程分为"功能"和"保证"两部分，是目前最全面的评价准则。CC的几个基本概念有：
　　功能要求：信息技术的安全机制所要达到的功能和目的。
　　保证要求：确保安全功能有效并正确实现的措施与手段。
保护轮廓（PP）：用户的需求及满足需求的技术实现方法与途径。
安全目标（ST）：厂商对产品提供的安全功能的声明和特定的技术实现。
CC的评估等级共分7级，每一级均需评估7个功能类。
　　4.7、我国的信息安全标准化工作
　　我国的信息安全标准化工作主要由国家质量技术监督局、全国信息化标准委员会、全国信息化标准委员会信息安全分技术委员会、中国电子技术标准研究所承担，我国于1978年加入国际标准化组织（ISO），1989年实施"标准化法"。1997年以来国家信息安全测评认证中心参与制订的国家标准主要有：
　　 1) 防火墙系统安全技术要求
　　 2) 网关安全技术要求
　　 3) 代理服务器安全技术要求
　　 4) 路由器安全技术要求
　　5) 数字签名机制标准
　　6) 鉴别机制标准
　　 7) 安全电子交易的抗抵赖机制标准
　　 8) 电子商务的密钥管理框架
　　9) 安全电子数据交换标准
　　10) 信息系统安全评价准则及测试规范
认证中心目前正在试行或参与制订中的标准主要有：
　　1) 信息安全服务评价准则
　　2) 信息安全工程质量管理要求
　　 3) 电子商务CA中心安全技术要求
　　4) 智能IC卡的安全技术要求
　　5) 电信交换设备的安全技术要求
　　 6) 网络入侵检测系统的安全技术要求
　　7) 首都信息化安全标准指南
　　5、信息安全测评认证过程

　　5.1、产品测评认证的要点与程序
　　1) 申请测评认证单位如实填写中心《信息安全产品测试申请表》，该申请表包括申请单位的联络数据、产品的功能说明及技术细节。
　　2) 该产品必须在中心经过分类、定量的技术性测试。中心已经开发了系统安全的测试套，用来分类、评估、认证安全产品。测试包括性能测试、功能测试和安全性测试，技术测试的结果以图形或文字描述的方式表示出来。
　　3) 该产品如果采用了加密算法，该加密算法必须经过国家密码管理委员会的审定和认可。中心对密码算法的认证依据由国家密码管理委员会提供。
　　4) 产品对密码算法的实现不能出现致命的、导致安全性急剧下降的现象。如果必要，中心将对算法的实现作安全性验证。
　　5) 对于那些不得不采用国外密码算法的安全产品，要求提供算法的源代码和技术实现细节，以便验证算法的实现能够达到国家密码管理委员会对加密强度的要求。中心将在认证公告中特别说明该类产品的特殊用途及使用限制。
　　产品安全性测试包括性能、功能和安全性三方面测试。安全性测试含系统安全性分析、硬件安全性测试、软件安全性测试及管理控制的安全性测试。
　　5.2、信息安全系统测评认证要点
　　1) 申请评估的单位须如实填报《信息系统安全评估申请表》。该申请表包括申请单位的联络数据、信息系统的安全考虑和拟使用的关键安全设备等，并提交信息系统设计的详细方案
　　2) 由中心组织专家对该系统的设计方案进行静态安全评估。
　　3) 由中心组织专家对该系统的安全体系进行实地检查和动态评估。
　　4) 由中心对该系统中拟使用的安全设备实行安全性测试。
　　5) 由中心对该系统的信息安全管理人员进行资格培训、考核和认证。
　　安全方案评估要经过外围专家函评（对评审的方案作适当的脱敏处理）、内部专家函评、核心专家现场评审、主管部门验收等步骤。
　　安全评估的主要内容包括系统运行的安全、系统内信息的安全和系统管理控制的安全，并有三方面基本要求：1）管理性要求（基础设施要求、管理机构要求和安全制度要求）；2）技术性要求（物理安全、访问控制、数据保护、通信保密、安全备份、安全管理、病毒防范、安全审计）；3）保障性要求（设备来源的安全性保障要求、系统运行的安全性保障要求、系统安全的应急性保障要求）。

　　目前，中心涉及的信息系统安全评估领域主要有党政机关信息系统和网络、金融信息网络和大型企事业单位专用网络。
　　5.3、认证的主要益处
　　认证将增强用户对已认证产品的信任度，从而推动信息安全产品的市场接受程度；能降低信息系统或网络的安全风险，并增强信息安全产品的市场优势。认证不仅可为信息安全产品研制开发单位提供参考，引导它们开发满足国家实际需要和安全标准的产品，还可为政府及商业部门的用户提供安全程度的指标，指导他们选择正确的产品。此外，认证为以前没有安全保障的系统或网络提供改进服务，降低网络的安全风险。
　　 国家信息安全测评认证中心承诺对所有的测评认证工作均秉承科学、公正和客观的原则，确保申请单位的知识产权和商业秘密，并将围绕信息安全产品的测评认证工作而开展一系列的宣传活动，包括新闻发布会、专刊、简报、展览会和发表宣传性文章等。而且，通过认证的单位在围绕其认证产品而开展的市场、广告及其他促销活动时，可以使用中心的认证标志、徽章和"通过国家信息安全认证"的用语。
　　 中心的认证准则和认证程序经过了专家委员会和管理委员会审查批准，但认证程序是一个动态的过程。中心将根据信息安全产品的技术发展和最终用户的使用要求，增加认证测试的难度。应当说明的是，中心的认证程序能确保产品安全的风险降低到国家标准规定和公众可接受的水平，达到中心认证标准的产品或系统只是达到了国家规定的管理安全风险的能力，并不表明该产品完全消除了安全风险。

　　6、我国信息安全测评认证体系建设与展望

　　我国信息安全测评认证体系的建设，至少包括六个方面的内容：
　　1）组织体系建设
　　即在全国七大区建立测评中心，形成区域测评分支机构；在敏感要害部门、行业（如民航、证券、银行等）建立测评中心，形成行业测评分支机构；并根据特定需要（如对计算机操作系统、电磁辐射测评），建立专业技术测评分支机构。
　　区域分支机构由地方信息化领导机构组建，行业分支机构由行业职能部门组建，专业分支机构由专业技术单位承建。所有分支机构均需通过国家认可和认证中心授权。目前，已建成上海测评中心（华东地区）和计算机测评中心（与华北计算所合建）。西南测评中心、华北测评中心正在建立当中，并已开始筹备建立其他区域测评分支机构。
　　2）技术体系建设
即完善和提高验证技术、测评技术、安全技术和通用技术。
　　3）标准体系建设
　　主要包括基础标准、应用标准和管理标准的研究与制订。
　　4）政策法规体系建设
必须依靠国家政策和立法以及地方性法规，保障我国信息安全测评认证体系的建设。
　　5）学科体系建设
　　6）人才培养教育体系建设
　　我国信息安全测评认证的发展方向是：完善认证体系、推行标准规范、制定安全轮廓、培育测评机构、加强研究开发、推进国际互认。