1、網絡與信息安全標準組織簡介
1.1 國際組織
國際上信息安全標準化工作興起于20世紀70年代中期，80年代有了較快的發展，90年代引起了世界各國的普遍關注。目前世界上有近300個國際和區域性組織制定標準或技術規則，與信息安全標準化有關的組織主要有以下4個:
●ISO(國際標準化組織)。ISO/IEC JTC1(信息技術標準化委員會)所屬SC27(安全技術分委員會)的前身是SC20(數據加密技術分委員會)，主要從事信息技術安全的一般方法和技術的標準化工作。而ISO/TC68負責銀行業務應用范圍內有關信息安全標準的制定，主要制定行業應用標準，與SC27有著密切的聯系。ISO/IEC JTC1負責制定的標準主要是開放系統互連、密鑰管理、數字簽名、安全評估等方面的內容。
●IEC(國際電工委員會)。IEC在信息安全標準化方面除了與ISO聯合成立了JTC1下分委員會外，還在電信、電子系統、信息技術和電磁兼容等方面成立技術委員會(如TC56可靠性、TC74 IT設備安全和功效、TC77電磁兼容、TC 108音頻/視頻、信息技術和通信技術電子設備的安全等)，并且制定相關國際標準(如信息技術設備安全IEC60950等)。
●ITU(國際電信聯盟)。ITU SG17組負責研究網絡安全標準，包括通信安全項目、安全架構和框架、計算安全、安全管理、用于安全的生物測定、安全通信服務。此外SG16和下一代網絡核心組也在通信安全、H.323網絡安全、下一代網絡安全等標準方面進行研究。
●IETF(Internet工程任務組)等。IETF標準制定的具體工作由各個工作組承擔。Internet工程任務組分成8個工作組，分別負責Internet路由、傳輸、應用等8個領域，其著名的IKE和IPSec都在RFC系列之中，還有電子郵件、網絡認證和密碼及其他安全協議標準。
1.2 國內組織
國內的安全標準組織主要有信息技術安全標準化技術委員會(CITS)以及中國通信標準化協會(CCSA)下轄的網絡與信息安全技術工作委員會。
CITS成立于1984年，在國家標準化管理委員會和信息產業部的共同領導下負責全國信息技術領域以及與ISO/IEC JTC1相對應的標準化工作，目前下設24個分技術委員會和特別工作組，是國內最大的標準化技術委員會，也是具有廣泛代表性、權威性和軍民結合的信息安全標準化組織。CITS主要負責信息安全的通用框架、方法、技術和機制的標準化及歸口國內外對應的標準化工作，其中技術安全包括開放式安全體系結構、各種安全信息交換的語義規則、有關的應用程序接口和協議引用安全功能的接口等。
CCSA成立于2002年12月18日，是國內企事業單位自愿聯合組織起來經業務主管部門批準的開展通信技術領域標準化活動的組織。CCSA下設了有線網絡信息安全、無線網絡信息安全、安全管理和安全基礎設施4個工作組負責研究:有線網絡中電話網、互聯網、傳輸網、接入網等在內所有電信網絡相關的安全標準;無線網絡中接入、核心網、業務等相關的安全標準以及安全管理工作組;安全基礎設施工作組中網管安全以及安全基礎設施相關的標準。
2、標準組研究現狀
上述國內外安全標準組織對于安全方面的研究各有側重，主要是關注信息系統安全以及網絡安全。從對各組織的介紹可以看出，ITU以及CCSA研究工作側重于通信網絡，因此下文對網絡與信息安全的標準研究介紹主要集中在ITU-T 17組研究內容以及CCSA TC8組研究內容。
2.1 ITU-T17組當前研究內容
ITU按照Question為單位組織研究，當前共有17個Question正在開展活動，其中與安全有關的研究內容見表1。
表1 TU-T17 組當前開展的涉及安全的研究內容
Question 1使用QoS管理機制的端到端多媒體通信 現有標準如何修訂或增補來滿足新的市場需求
如何增補或者提出新標準，在ECTP中提供雙向N-plex組播能力
如何增補或者提出新標準，為點到多點、多點到多點應用提供端到端組播服務
如何增補或者提出新標準，滿足無線網絡新需求
如何增補或者提出新標準，在組播協議中支持端到端QOS管理能力
Question 2目錄服務、目錄系統以及公鑰/屬性證書 目錄服務:為應用廣泛支持的目錄服務如x.500、LDAP優勢，需要什么新服務定義或者輪廓;為在現有服務定義和輪廓基礎上增強優勢、修正缺陷，需要在現有E和F系列標準中修訂或者提出什么新標準
目錄系統:為更好支持目錄系統現有和潛在用戶，如通過復制站點提供增強一致性的目錄信息等，需要對目錄提供什么樣的增強;為在不同的環境如資源有限環境(無線網絡、多媒體網絡)中使用，需要如何進一步增強目錄;為增強支持例如智能網絡、通信網絡和公共目錄服務等領域，需要如何進一步修訂目錄;為目錄增強優勢修正缺陷，需要在現有X.500系列標準中修訂或者提出什么新標準
公鑰/屬性證書:為在不同的環境如資源有限環境中使用，需要如何增強公鑰和屬性證書;為在如生物測定、認證、接入控制和電子商務等領域中增強實用性，需要如何對公鑰和屬性證書作增強;為X.509增強優勢修正缺陷，需要在X.509基礎上做什么變化
Question 3開放系統互聯 為提供增強需求修正缺陷，繼續維護OSI架構以及分層建議
為提供增強需求修正缺陷，繼續維護消息處理和服務系統、可靠傳輸、遠程操作、CCR和事務處理
Question 4通信系統安全工程 對通信系統安全工程來說，什么是可交付使用的
為工程可交付使用的過程、工作條款、方法以及時限
需要ITU發布和維護的安全概述和手冊
需要什么安全工場
為推進安全工作，需要如何與其他SDO建立有效的關系
什么是重要里程碑和成果標準
如何在安全工作中使部門成員和管理者利益相互激勵并動力持續
如何使安全特性在市場中更有吸引力
如何明確表述政府的關鍵利益和保護全球經濟的緊急需求依賴于健壯和安全的通信設施
Question 5安全架構和框架 一個完整一致的通信安全解決方案如何定義
完整一致的通信安全解決方案的架構
為建立安全解決方案的安全架構所應用的框架
為評估安全解決方案的安全架構所應用的框架
支撐安全的架構:新興技術的安全架構;端到端安全的架構;移動環境下的安全架構;技術安全架構例如開放系統安全架構、IP網絡安全架構、NGN安全架構
為適應變化的環境，如何改變標準中安全模型的上下層或者提出新標準
架構標準如何組織成適應現有安全建議
安全模型的上下層應該怎樣
如何修訂安全框架建議來適應新興技術或者提出新建議
如何應用安全服務提供安全解決方案
Question 6 Cyber安全 為分發共享所發現脆弱信息的處理
Cyber空間中事件處理操作的標準過程
保護關鍵網絡基礎設施的策略
Question 7安全管理 通信系統安全風險如何被識別和管理
通信系統信息資產如何識別和管理
通信運營商特定管理事務如何識別
通信運營商信息安全管理系統(ISMS)如何在現有ISMS標準下構建
通信安全事件發生后如何處理和管理
Question 8電信生物鑒定學 如何使用安全可靠的電信生物鑒定方法改進認證和授權
ITU-T如何應用IEC60027新增的生物學子集為安全可靠的生物鑒定設備分類提供合適的模型基礎
安全可靠的電信生物鑒定解決方案登記順序應當使用的安全等級參考系統
如何發布生物認證技術用作通信識別
電信基于例如PKI密碼技術的生物學認證技術需求如何識別
電信基于例如PKI密碼技術的生物學認證技術模型和程序如何識別
Question 9安全通信服務 在移動環境以及Web服務中如何識別和定義安全可靠的通信服務
通信服務背后隱藏的安全威脅如何識別和處理
支持安全可靠通信服務的安全技術
通信服務的安全互聯如何保持和維護
安全體系服務所需要的安全技術
新興的安全Web服務需要的安全技術和協議
安全通信需要應用的安全應用層協議
安全體系服務和相應應用需要的全球安全解決方案
Question 17 研究防治和治理垃圾信息方面的標準
2.2 CCSA TC8當前研究內容
CCSA TC8分有線網絡安全、無線網絡安全、安全管理以及安全基礎設施4個工作組展開研究。下面簡要說明4個工作組的研究現狀。
(1)WG1有線網絡安全
有線網絡安全工作組(WG1)自成立以來共召開了11次會議。WG1在這些工作組會議中主要討論了按項目進度安排的通信行業標準項目或研究課題項目，各標準的進展情況見表2。
表2 WG1組標準進展情況
增值電信業務網絡信息安全保障基本要求 已發布
數字程控交換機安全技術要求 報批稿階段
高端路由器安全技術要求/測試方法 報批稿階段
中低端路由器安全技術要求/測試方法 報批稿階段
公眾IP網絡安全框架 報批稿階段
IPv6網絡安全技術要求 報批稿階段
基于網絡入侵檢測系統的技術要求 報批稿階段
軟交換網絡安全框架 送審稿階段
電信網絡級網管安全技術 送審稿階段
電信級IP承載網安全框架 送審稿階段
H.323網絡安全技術要求 征求意見稿階段
軟交換網絡通信安全/管理和運維安全/設備安全 征求意見稿階段
遠程視頻監控系統的安全技術要求 送審稿階段
以太網交換機設備安全技術要求/測試方法 起草階段
具有路由功能的以太網交換機設備安全技術要求/測試方法 起草階段
短信網絡安全技術要求 起草階段
信令網關設備安全技術要求和測試方法 起草階段
基于軟交換的媒體服務器設備安全技術要求和測試方法 起草階段
基于軟交換的應用服務器設備安全技術要求和測試方法 起草階段
媒體網關設備安全技術要求和測試方法 起草階段
IP智能終端設備安全技術要求和測試方法 起草階段
電信網絡開放第三方業務的安全要求 起草階段
綜合接入設備(IAD)安全技術要求和測試方法 起草階段
軟交換業務接入控制設備安全技術要求和測試方法 起草階段
軟交換設備安全技術要求和測試方法 起草階段
IMS(固定網中)的安全技術研究(預研) 起草階段
NGN網絡安全技術研究 起草階段
寬帶遠程接入服務器安全技術要求/測試方法 起草階段
寬帶接入服務器(IPv6)安全技術要求/測試方法 起草階段
具有路由功能的交換機(IPv6)安全技術要求/測試方法 起草階段
邊緣路由器(IPv6)安全技術要求/測試方法 起草階段
核心路由器(IPv6)安全技術要求/測試方法 起草階段
xDSL用戶端設備安全技術要求/測試方法 起草階段
DSLAM設備安全技術要求/測試方法 起草階段
PON設備安全技術要求/測試方法 起草階段
綜合接入系統安全技術要求/測試方法 起草階段
(2)無線網絡安全工作組
無線網絡安全工作組(WG2)共召開了4次工作組會議。在這4次工作組會議中主要討論了按項目進度安排的通信行業標準項目或研究課題項目，完成了《電信智能卡安全技術要求》送審稿。此外，在第4次工作組會議期間還與WG1召開了一次聯合會議，主要探討移動網與固網融合后如何開展網絡與信息安全標準工作，決定今后兩個工作組首先在IMS安全方向加強合作。
(3)安全管理工作組
安全管理工作組(WG3)召開了4次工作組會議，主要討論完成了《信息安全服務資質評估準則》的征求意見稿，《網絡安全運行管理技術平臺(SOC)體系結構》、《網絡安全應急響應小組結構和服務定義指南》、《互聯網網絡安全事件描述與交換格式規范》三篇征求意見稿還需要再次征求意見。此外，陽光綠色上網工程相關的技術標準和測試標準也由安全管理工作組討論制定。
(4)安全基礎設施工作組
安全基礎設施工作組相對不是很活躍，除了全會以外2005年以來一直沒有組織活動。
3、小結
可以預見，網絡與信息安全方面的標準將越來越受重視。我國網絡與信息安全的主要標準化組織CCSA相對而言比較年輕，研究工作才剛剛起步，在包括安全基礎設施在內的很多方面還有待進一步開展研究。從總體情況來看，我國網絡與信息安全研究將呈現下列特點:
●基于信息內容的過慮和管制技術將越來越受關注;
●防范和治理垃圾信息將成為網絡安全研究重要內容;
●網絡與信息安全研究重點將逐漸從設備層面向網絡層面轉移;
●業務安全越來越成為運營商研究重點;
●認證技術將研究和梳理，生物鑒別將成為重要內容;
●網絡建設將重視信任體系的建設;
●互聯網安全將進一步研究，其成果將適用于下一代網以及3G核心網;
●網絡上信息安全將劃分責權，網絡側負責部分私密性(隔離)和完整性，機密性和不可否認性由端到端保障;
●安全管理中的安全風險評估將成為安全研究重要內容。
