信息安全標準是確保信息安全的產(chǎn)品和系統(tǒng)在設(shè)計、研發(fā)、生產(chǎn)、建設(shè)、使用、測評中解決其一致性、可靠性、可控性、先進性和符合性的技術(shù)規(guī)范、技術(shù)依據(jù)。信息安全標準是我國信息安全保障體系的重要組成部分，是政府進行宏觀管理的重要手段。信息安全保障體系的建設(shè)、應(yīng)用，是一個極其龐大的復(fù)雜系統(tǒng)，沒有配套的安全標準，就不能構(gòu)造出一個可用的信息安全保障體系。

信息安全標準化工作對于解決信息安全問題具有重要的技術(shù)支撐作用。信息安全標準化不僅關(guān)系到國家安全，同時也是保護國家利益、促進產(chǎn)業(yè)發(fā)展的一種重要手段。在互聯(lián)網(wǎng)飛速發(fā)展的今天，網(wǎng)絡(luò)和信息安全問題不容忽視，積極推動信息安全標準化，牢牢掌握在信息時代全球化競爭中主動權(quán)是非常重要的。由此可以看出，信息安全標準化工作是一項艱巨、長期的基礎(chǔ)性工作。

一、國際信息安全標準化工作的情況

國際上，信息安全標準化工作，興起于二十世紀70年代中期，80年代有了較快的發(fā)展，90年代引起了世界各國的普遍關(guān)注目前。目前世界上約有近300個國際和區(qū)域性組織，制定標準或技術(shù)規(guī)則，與信息安全標準化有關(guān)的主要的組織有：國際標準化組織(ISO)、國際電工委員會（IEC）、國際電信聯(lián)盟（ITU）、Internet工程任務(wù)組（IETF）等。

國際標準化組織(ISO) 于1947年2月23日正式開始工作，ISO/IEC JTC1（信息技術(shù)標準化委員會）所屬SC 27（安全技術(shù)分委員會）其前身是SC20（數(shù)據(jù)加密分技術(shù)委員會），主要從事信息技術(shù)安全的一般方法和技術(shù)的標準化工作。而ISO/TC68負責銀行業(yè)務(wù)應(yīng)用范圍內(nèi)有關(guān)信息安全標準的制定，它主要制定行業(yè)應(yīng)用標準，在組織上和標準之間與SC27有著密切的聯(lián)系。ISO/IEC JTC1負責制定標準主要是開放系統(tǒng)互連、密鑰管理、數(shù)字簽名、安全的評估等方面的內(nèi)容。

國際電工委員會（IEC）正式成立于1906年十月，是世界上成立最早的專門國際標準化機構(gòu)。在信息安全標準化方面，主要與ISO聯(lián)合成立了JTC1下分委員會外，還在電信、電子系統(tǒng)、信息技術(shù)和電磁兼容等方面成立技術(shù)委員會，如TC56 可靠性、TC74 IT設(shè)備安全和功效、TC77 電磁兼容、TC 108 音頻/視頻、信息技術(shù)和通訊技術(shù)電子設(shè)備的安全等，并制定相關(guān)國際標準，如信息技術(shù)設(shè)備安全（IEC 60950）等。

國際電信聯(lián)盟（ITU）成立于1865年5月17日，所屬的SG17組，主要負責研究通信系統(tǒng)安全標準。SG17組主要研究的有：通信安全項目、安全架構(gòu)和框架、計算安全、安全管理、用于安全的生物測定、安全通信服務(wù)。此外SG16和下一代網(wǎng)絡(luò)核心組也在通信安全、H323網(wǎng)絡(luò)安全、下一代網(wǎng)絡(luò)安全等標準方面進行了研究。目前ITU-T建議書中大約有40多個都是與通信安全有關(guān)的標準。

Internet工程任務(wù)組（IETF）史創(chuàng)于1986年，其主要任務(wù)是負責互聯(lián)網(wǎng)相關(guān)技術(shù)規(guī)范的研發(fā)和制定。目前，IETF已成為全球互聯(lián)網(wǎng)界最具權(quán)威的大型技術(shù)研究組織。IETF標準制定的具體工作由各個工作組承擔，工作組分成八個領(lǐng)域，分別是Internet路由、傳輸、應(yīng)用領(lǐng)域等等，著名的IKE和IPsec都在RFC系列之中，還有電子郵件，網(wǎng)絡(luò)認證和密碼標準，也包括了TLS標準和其它的安全協(xié)議標準。

二、我國信息安全標準化的現(xiàn)狀

信息安全標準是我國信息安全保障體系的重要組成部分，是政府進行宏觀管理的重要依據(jù)。雖然國際上有很多標準化組織在信息安全方面制定了許多的標準，但是信息安全標準事關(guān)國家安全利益，任何國家都不會輕易相信和過分依賴別人，總要通過自己國家的組織和專家制定出自己可以信任的標準來保護民族的利益。因此，各個國家在充分借鑒國際標準的前提下，制訂和擴展自己國家對信息安全的管理領(lǐng)域，這樣，就出現(xiàn)許多國家建立了自己的信息安全標準化組織和制定本國的信息安全標準。

目前，我國按照國務(wù)院授權(quán)，在國家質(zhì)量監(jiān)督撿驗撿疫總局管理下，由國家標準化管理委員會統(tǒng)一管理全國標準化工作，下設(shè)有255個專業(yè)技術(shù)委員會。中國標準化工作實行統(tǒng)一管理與分工負責相結(jié)合的管理體制，有88個國務(wù)院有關(guān)行政主管部門和國務(wù)院授權(quán)的有關(guān)行業(yè)協(xié)會分工管理本部門、本行業(yè)的標準化工作，有31個省、自治區(qū)、直轄市政府有關(guān)行政主管部門分工管理本行政區(qū)域內(nèi)本部門、本行業(yè)的標準化工作。成立于1984年的全國信息技術(shù)安全標準化技術(shù)委員會（CITS）,在國家標準化管理委員會和信息產(chǎn)業(yè)部的共同領(lǐng)導(dǎo)下負責全國信息技術(shù)領(lǐng)域以及與ISO/IEC JTC1相對應(yīng)的標準化工作，目前下設(shè)24個分技術(shù)委員會和特別工作組,是目前國內(nèi)最大的標準化技術(shù)委員會。它是一個具有廣泛代表性、權(quán)威性和軍民結(jié)合的信息安全標準化組織。全國信息技術(shù)安全標準化技術(shù)委員會的工作范圍是負責信息和通信安全的通用框架、方法、技術(shù)和機制的標準化，歸口國內(nèi)外對應(yīng)的標準化工作。其技術(shù)安全包括：開放式安全體系結(jié)構(gòu)、各種安全信息交換的語義規(guī)則、有關(guān)的應(yīng)用程序接口和協(xié)議引用安全功能的接口等。

我國信息安全標準化工作，雖然起步較晚，但是近年來發(fā)展較快，入世后標準化工作在公開性、透明度等方面更加取得實質(zhì)性進展。我國從20世紀80年代開始，本著積極采用國際標準的原則，轉(zhuǎn)化了一批國際信息安全基礎(chǔ)技術(shù)標準，制定了一批符合中國國情的信息安全標準，同時一些重點行業(yè)還頒布了一批信息安全的行業(yè)標準，為我國信息安全技術(shù)的發(fā)展做出了很大的貢獻。據(jù)統(tǒng)計，我國從1985年發(fā)布了第一個有關(guān)信息安全方面的標準以來到2004年底共制定、報批和發(fā)布有關(guān)信息安全技術(shù)、產(chǎn)品、測評和管理的國家標準76個，正在制定中的標準51個，為信息安全的開展奠定了基礎(chǔ)。

三、信息安全標準化工作的發(fā)展趨勢

隨著網(wǎng)絡(luò)的延伸和發(fā)展，信息安全問題受到了全社會前所未有的普遍關(guān)注，人們對信息安全的理解和認識更加深入全面，信息安全標準化的工作也在各級組織中得到了重視。信息技術(shù)安全標準化是一項基礎(chǔ)性工作，必須統(tǒng)一領(lǐng)導(dǎo)、統(tǒng)籌規(guī)劃、各方參與、分工合作，以保證其順利和協(xié)調(diào)發(fā)展。

1、走國際化的合作發(fā)展之路

信息安全的國際標準大多數(shù)是在歐洲、美國等工業(yè)發(fā)達國家標準的基礎(chǔ)上協(xié)調(diào)產(chǎn)生的，基本上代表了當今世界現(xiàn)代信息技術(shù)的發(fā)展水平。我國的信息化工作起步較晚，但是互聯(lián)網(wǎng)是沒有國界的，在互聯(lián)網(wǎng)上使用的產(chǎn)品是可以互聯(lián)互通的，在我國接入互聯(lián)的那一天起，在互聯(lián)上產(chǎn)生的信息安全問題就同樣開始威脅我國的網(wǎng)絡(luò)，所以借鑒國外的成熟的先進的經(jīng)驗發(fā)展我國的信息化建設(shè)事業(yè)是十分必要的。信息安全標準化工作是一個國際性的工作，共性的問題多于個性，本著積極采用國際標準的原則，適時地轉(zhuǎn)化了一些國際信息安全基礎(chǔ)技術(shù)標準為我國信息化建設(shè)服務(wù)，會對中國的信息安全技術(shù)起到一個快速發(fā)展的作用。

目前，我國的標準化工作者積極參與國際標準化和區(qū)域性標準化活動，不僅參加了國際標準化組織(ISO)和國際電工委員會(IEC)每年召開的各類高層次的工作會議和技術(shù)會議，同時每年派出100多個代表團參加ISO、IEC的TC和SC會議。我們不僅主動地采用國際標準，轉(zhuǎn)化國際標準，更重要的我們還應(yīng)有計劃、有重點地參與國際標準的起草和主動承擔國際標準的起草工作，包括標準試驗驗證和討論的全過程。逐步使我國的信息安全標準化工作與國際標準化工作的計劃、速度以及試驗驗證工作接軌。我們應(yīng)該采取積極的態(tài)度，對國際標準要花大力氣，認真分析、研究。凡是符合我國國情，有利于提高信息化工作質(zhì)量，保護國家利益的標準都應(yīng)該加速采用為我國信息安全標準化工作服務(wù)。

2、商業(yè)化為信息安全標準化發(fā)展提供了動力

多年來，國家標準的制修訂經(jīng)費主要來源于政府財政撥款，一直作為補助經(jīng)費維持工作，靠行政命令，如果經(jīng)費不足，由項目承擔單位自行解決。隨著改革開放的深入和信息化工作的開展，對信息安全標準化工作的要求越來越高，企業(yè)生產(chǎn)產(chǎn)品需要標準、政府管理工作需要標準，用戶和消費者來保護自己合法權(quán)益也需要標準。形勢變化了，標準的需求增加了，但標準化工作的經(jīng)費一直沒有增加，對于政府、市場、企業(yè)和社會急需的標準和應(yīng)該開展的工作，對于大量應(yīng)該修訂的標準無力進行正常的修訂，對于參與國際標準化活動和采用國際標準工作，因為不可能有足夠的經(jīng)費支持，而使信息安全標準化的工作受到了不同程度的影響。今后采取國家的更多投入，企業(yè)的大力支持，標準出版物在發(fā)行工作中的改革，提高標準文本的出售價格等方法，使信息安全標準化工作逐步進入商業(yè)化運作模式，使標準工作進入到一個良性發(fā)展的新局面。

3、明確信息安全標準化的研究方向

信息技術(shù)的安全技術(shù)是比較新的和復(fù)雜的技術(shù)，也是在近年來才得到較快的發(fā)展的技術(shù)，重視新技術(shù)的研究與規(guī)范是十分重要的。為了全面認識和了解信息技術(shù)的安全標準，需要對國內(nèi)外信息技術(shù)標準化的情況和發(fā)展趨勢進行深入的跟蹤和研究。今后在信息安全標準化方面需要實施的工作有，扎扎實實地抓好基礎(chǔ)性工作和基礎(chǔ)設(shè)施建設(shè)，繼續(xù)推進信息安全等級保護、信息安全風險評估、信息安全產(chǎn)品認證認可等基礎(chǔ)性工作；繼續(xù)加快以密碼技術(shù)為基礎(chǔ)的信息保護和網(wǎng)絡(luò)信任體系建設(shè)，進一步完善應(yīng)急協(xié)調(diào)機制與災(zāi)難備份工作；進一步加強互聯(lián)網(wǎng)管理，創(chuàng)建安全、健康、有序的網(wǎng)絡(luò)環(huán)境；進一步創(chuàng)建產(chǎn)業(yè)發(fā)展環(huán)境支持信息安全產(chǎn)業(yè)發(fā)展，加快信息安全學科建設(shè)和人才培養(yǎng)，加強國際合作與交流，完善信息安全的管理體制和機制。