—PAGE—《GB/T3663.5-2018信息安全技術(shù)信息技術(shù)產(chǎn)品安全可控評價指標第5部分：通用計算機》實施指南目錄一、為何說《GB/T3663.5-2018》是通用計算機安全可控的“導航圖”？專家視角剖析標準核心定位與行業(yè)價值二、通用計算機安全可控評價的“維度密碼”是什么？深度拆解標準中評價指標的核心構(gòu)成與邏輯關(guān)聯(lián)三、如何精準判定通用計算機的“安全可控等級”？依據(jù)標準詳解等級劃分依據(jù)、判定流程及關(guān)鍵閾值四、標準實施中通用計算機硬件安全可控如何落地？從芯片到外設逐一解析合規(guī)要求與驗證方法五、通用計算機軟件層面安全可控有哪些“硬指標”？專家解讀操作系統(tǒng)、應用軟件等評價要點與實操方案六、未來3年通用計算機安全可控趨勢如何？結(jié)合標準預測技術(shù)方向、合規(guī)重點及行業(yè)應用新場景七、標準實施常見疑點如何破解？針對評價邊界、特殊場景等問題提供權(quán)威解答與案例參考八、不同行業(yè)應用通用計算機如何適配標準？金融、政務等領域差異化合規(guī)策略與實踐經(jīng)驗分享九、標準與國際通用計算機安全標準有何差異與銜接？深度對比分析助力企業(yè)兼顧國內(nèi)合規(guī)與國際合作十、如何建立通用計算機安全可控長效管理機制？基于標準提出全生命周期管控方案與持續(xù)改進路徑一、為何說《GB/T3663.5-2018》是通用計算機安全可控的“導航圖”？專家視角剖析標準核心定位與行業(yè)價值（一）標準出臺的背景與行業(yè)痛點有何關(guān)聯(lián)？在數(shù)字化浪潮下，通用計算機作為各行業(yè)信息系統(tǒng)的核心設備，其安全可控性直接關(guān)系到數(shù)據(jù)安全與業(yè)務穩(wěn)定。此前，行業(yè)內(nèi)缺乏針對通用計算機安全可控的統(tǒng)一評價標準，企業(yè)在設備選型、安全檢測時無據(jù)可依，面臨“評價維度混亂”“安全風險難量化”等痛點。該標準的出臺，正是為解決這些問題，為通用計算機安全可控評價提供統(tǒng)一“標尺”，填補了行業(yè)空白，讓企業(yè)在保障設備安全時有明確方向，有效降低因設備安全隱患引發(fā)的信息泄露、系統(tǒng)癱瘓等風險。（二）標準在信息安全技術(shù)體系中處于什么核心地位？從信息安全技術(shù)體系來看，《GB/T3663.5-2018》屬于信息技術(shù)產(chǎn)品安全可控評價指標體系的關(guān)鍵組成部分。它聚焦通用計算機這一核心終端設備，與體系內(nèi)其他部分（如服務器、移動終端等評價指標）相互補充、協(xié)同發(fā)力，構(gòu)建起覆蓋主要信息技術(shù)產(chǎn)品的安全可控評價框架。在整個體系中，該標準是終端設備安全評價的“基石”，只有通用計算機達到安全可控要求，才能為上層信息系統(tǒng)的安全運行筑牢第一道防線，對保障整個信息安全技術(shù)體系的完整性和有效性具有不可替代的作用。（三）專家如何看待標準對行業(yè)發(fā)展的長遠價值？業(yè)內(nèi)專家普遍認為，該標準對行業(yè)發(fā)展具有多方面長遠價值。從企業(yè)層面，它為企業(yè)提供了通用計算機安全可控的清晰評價路徑，幫助企業(yè)精準識別設備安全短板，優(yōu)化設備采購與管理策略，降低安全運營成本。從產(chǎn)業(yè)層面，標準明確了通用計算機安全可控的技術(shù)方向，將引導硬件制造商、軟件開發(fā)商加大技術(shù)研發(fā)投入，推動國產(chǎn)通用計算機產(chǎn)業(yè)向更高安全級別發(fā)展。從國家信息安全層面，標準的實施能提升關(guān)鍵領域通用計算機的自主可控水平，減少對國外產(chǎn)品的依賴，增強國家信息安全保障能力，為數(shù)字經(jīng)濟健康發(fā)展保駕護航。二、通用計算機安全可控評價的“維度密碼”是什么？深度拆解標準中評價指標的核心構(gòu)成與邏輯關(guān)聯(lián)（一）標準中評價指標的核心維度包含哪些內(nèi)容？《GB/T3663.5-2018》將通用計算機安全可控評價指標劃分為四大核心維度，分別是硬件安全可控、軟件安全可控、供應鏈安全可控以及運維安全可控。硬件維度聚焦芯片、主板、存儲設備等硬件組件的安全性能與可控性；軟件維度涵蓋操作系統(tǒng)、應用軟件、固件等軟件層面的安全要求；供應鏈維度關(guān)注設備從研發(fā)、生產(chǎn)到交付各環(huán)節(jié)的供應鏈風險管控；運維維度則涉及設備使用過程中的運維管理、漏洞修復、應急響應等方面，四大維度全面覆蓋通用計算機安全可控的關(guān)鍵環(huán)節(jié)。（二）各評價維度之間存在怎樣的邏輯關(guān)聯(lián)？各評價維度并非相互獨立，而是形成緊密的邏輯關(guān)聯(lián)，共同構(gòu)成通用計算機安全可控的完整評價體系。硬件安全可控是基礎，若硬件存在安全漏洞或不可控風險，軟件層面的安全措施將難以發(fā)揮作用；軟件安全可控是核心，硬件的安全功能需通過軟件實現(xiàn)，軟件的安全性直接影響設備整體安全水平；供應鏈安全可控是保障，只有供應鏈各環(huán)節(jié)可控，才能確保硬件與軟件在研發(fā)、生產(chǎn)過程中不被植入惡意組件或存在安全隱患；運維安全可控是延伸，設備投用后，需通過規(guī)范的運維管理持續(xù)維持安全狀態(tài)，及時應對新的安全威脅，四個維度環(huán)環(huán)相扣，缺一不可。（三）如何理解評價指標設置的科學性與合理性？該標準評價指標的設置充分體現(xiàn)了科學性與合理性，主要體現(xiàn)在三個方面。一是全面性，指標覆蓋通用計算機從硬件到軟件、從供應鏈到運維的全生命周期關(guān)鍵環(huán)節(jié)，避免因評價盲區(qū)導致安全風險遺漏；二是可操作性，指標內(nèi)容具體、明確，如硬件維度明確芯片的安全認證要求、軟件維度規(guī)定操作系統(tǒng)的漏洞修復周期等，便于企業(yè)與評價機構(gòu)開展實際評價工作；三是動態(tài)適應性，指標設置預留了一定的擴展空間，能適應通用計算機技術(shù)的發(fā)展變化，當出現(xiàn)新的硬件架構(gòu)、軟件形態(tài)時，可在現(xiàn)有框架下補充完善相關(guān)評價要求，確保標準長期具有指導意義。三、如何精準判定通用計算機的“安全可控等級”？依據(jù)標準詳解等級劃分依據(jù)、判定流程及關(guān)鍵閾值（一）標準將通用計算機安全可控等級劃分為哪幾類？根據(jù)《GB/T3663.5-2018》規(guī)定，通用計算機安全可控等級分為三級，分別是基本安全可控級、增強安全可控級和高級安全可控級?；景踩煽丶壥亲畹偷燃?，要求設備滿足基礎的安全可控要求，能抵御常見的低級別安全威脅；增強安全可控級在基本級基礎上，進一步提升硬件、軟件、供應鏈及運維的安全要求，可抵御中等程度的安全威脅；高級安全可控級是最高等級，對設備各環(huán)節(jié)的安全可控性提出最嚴格要求，能有效抵御高級、復雜的安全威脅，適用于對信息安全要求極高的關(guān)鍵領域。（二）不同等級的判定依據(jù)包含哪些關(guān)鍵要素？不同等級的判定依據(jù)圍繞四大核心評價維度設定差異化關(guān)鍵要素?；景踩煽丶壟卸〞r，硬件需滿足核心組件的基本安全認證，軟件需具備基礎的安全防護功能，供應鏈有基本的風險管控措施，運維能開展常規(guī)的安全管理；增強安全可控級判定，要求硬件核心組件實現(xiàn)較高比例的國產(chǎn)化，軟件具備完善的訪問控制與數(shù)據(jù)加密功能，供應鏈建立全流程追溯機制，運維能及時進行漏洞修復與應急響應；高級安全可控級判定，需硬件核心組件100%國產(chǎn)化且通過最高級別安全認證，軟件實現(xiàn)自主研發(fā)并具備主動防御能力，供應鏈實現(xiàn)全環(huán)節(jié)可控可追溯，運維建立實時監(jiān)控與快速處置的安全管理體系。（三）通用計算機安全可控等級判定的具體流程是什么？等級判定需遵循規(guī)范的流程，共分為五個步驟。第一步是準備階段，企業(yè)收集通用計算機的硬件配置、軟件版本、供應鏈信息、運維管理制度等相關(guān)資料，明確評價范圍與目標；第二步是指標對照，評價機構(gòu)依據(jù)標準，將收集的資料與對應等級的評價指標逐一對照，檢查是否滿足要求；第三步是現(xiàn)場驗證，評價人員到企業(yè)現(xiàn)場，對通用計算機的硬件運行狀態(tài)、軟件安全功能、供應鏈追溯情況、運維操作流程等進行實地驗證；第四步是綜合評分，根據(jù)指標對照與現(xiàn)場驗證結(jié)果，對各評價維度進行打分，計算總分；第五步是等級判定，依據(jù)總分確定通用計算機所屬的安全可控等級，并出具評價報告，若不滿足某一等級要求，需提出整改建議，待企業(yè)整改后重新評價。（四）等級判定中的關(guān)鍵閾值如何設定與應用？標準中等級判定的關(guān)鍵閾值圍繞各評價維度的核心指標設定，且不同等級閾值存在差異。例如，在硬件國產(chǎn)化率指標上，基本安全可控級設定閾值為30%，增強級為70%，高級為100%；軟件漏洞修復周期閾值，基本級要求不超過90天，增強級不超過30天，高級不超過7天。這些閾值的設定基于行業(yè)技術(shù)發(fā)展水平、安全風險評估結(jié)果及實際應用需求，在等級判定中，需嚴格依據(jù)閾值進行判定，若某一核心指標未達到對應等級閾值，即使其他指標滿足要求，也無法判定為該等級，確保等級判定的客觀性與公正性，避免因指標“達標率不足”導致安全風險。四、標準實施中通用計算機硬件安全可控如何落地？從芯片到外設逐一解析合規(guī)要求與驗證方法（一）通用計算機芯片的安全可控合規(guī)要求有哪些？在通用計算機硬件安全可控中，芯片作為核心組件，合規(guī)要求較為嚴格。首先，芯片需通過國家認可的安全認證機構(gòu)的安全認證，認證等級需符合對應安全可控等級要求，如高級安全可控級芯片需通過EAL4+以上等級認證；其次，芯片的設計、生產(chǎn)環(huán)節(jié)需具備可追溯性，芯片制造商需提供完整的設計文檔與生產(chǎn)流程報告，確保芯片無惡意后門或隱藏功能；最后，對于涉及國家關(guān)鍵領域的通用計算機，芯片需實現(xiàn)國產(chǎn)化，且國產(chǎn)化芯片的性能需滿足設備運行的基本需求，不得因國產(chǎn)化而導致設備性能大幅下降，影響業(yè)務正常開展。（二）如何驗證芯片是否符合標準中的安全可控要求？驗證芯片是否合規(guī)可通過三步開展。第一步是文檔審查，評價人員審查芯片制造商提供的安全認證證書、設計文檔、生產(chǎn)流程報告等資料，確認證書有效性、設計是否符合安全規(guī)范、生產(chǎn)流程是否具備可追溯性；第二步是技術(shù)檢測，借助專業(yè)的芯片檢測設備，對芯片的功能進行測試，檢查是否存在未聲明的功能模塊（可能為惡意后門），同時測試芯片的加密性能、抗攻擊能力等安全指標，判斷是否達到標準要求；第三步是實際運行驗證，將芯片安裝在通用計算機中，模擬正常運行與遭受攻擊的場景，觀察芯片在不同場景下的穩(wěn)定性與安全性，若在攻擊場景下能有效抵御攻擊且不影響正常功能，則判定芯片符合安全可控要求。（三）主板、存儲設備等硬件組件的合規(guī)要求與驗證思路是什么？主板的合規(guī)要求包括：主板設計需符合國家相關(guān)硬件設計標準，具備硬件級的訪問控制功能，能防止未授權(quán)人員對主板硬件參數(shù)進行修改；主板上的關(guān)鍵部件（如BIOS芯片）需具備安全防護功能，防止被惡意篡改。驗證時，先審查主板設計圖紙與檢測報告，再通過專業(yè)工具檢測主板的訪問控制功能與BIOS芯片的安全性。存儲設備的合規(guī)要求為：具備數(shù)據(jù)加密功能，支持對存儲的數(shù)據(jù)進行加密存儲與解密訪問，且加密算法需符合國家密碼管理局認可的算法標準；具備數(shù)據(jù)銷毀功能，能徹底銷毀存儲的數(shù)據(jù)，防止數(shù)據(jù)泄露。驗證時，測試存儲設備的加密功能是否正常，使用數(shù)據(jù)恢復工具嘗試恢復已銷毀數(shù)據(jù)，若無法恢復則滿足要求。（四）通用計算機外設（如鍵盤、打印機）的安全可控要求與驗證方法是什么？通用計算機外設雖非核心計算組件，但也存在安全風險，其合規(guī)要求主要包括：外設需具備基本的安全防護功能，如鍵盤需防止按鍵記錄器等惡意設備的接入，打印機需具備身份認證功能，防止未授權(quán)打??；外設的固件不得含有惡意代碼，且固件更新需通過安全通道進行，防止被篡改。驗證方法如下：對于鍵盤，使用專業(yè)檢測工具檢測是否存在按鍵記錄功能，模擬惡意設備接入，觀察是否能被有效識別與阻斷；對于打印機，測試身份認證功能是否正常，嘗試未授權(quán)打印，查看是否被拒絕，同時審查打印機固件的來源與更新記錄，檢測固件是否存在惡意代碼，確保外設符合安全可控要求。五、通用計算機軟件層面安全可控有哪些“硬指標”？專家解讀操作系統(tǒng)、應用軟件等評價要點與實操方案（一）操作系統(tǒng)的安全可控“硬指標”包含哪些內(nèi)容？操作系統(tǒng)作為通用計算機軟件的核心，其安全可控“硬指標”涵蓋多個方面。一是身份認證與訪問控制，要求操作系統(tǒng)支持多因素認證（如密碼+Ukey），能對用戶賬戶進行權(quán)限細分，防止越權(quán)操作；二是數(shù)據(jù)安全，需具備文件加密、數(shù)據(jù)備份與恢復功能，加密算法需符合國家密碼標準，備份數(shù)據(jù)需存儲在安全位置且定期檢測備份有效性；三是漏洞管理，操作系統(tǒng)開發(fā)商需建立漏洞響應機制，及時發(fā)布漏洞補丁，補丁更新周期需符合對應安全可控等級要求，同時操作系統(tǒng)需具備漏洞掃描功能，能主動發(fā)現(xiàn)系統(tǒng)中的安全漏洞；四是審計日志，需詳細記錄用戶登錄、操作行為、系統(tǒng)事件等日志信息，日志保存時間不少于6個月，且支持日志查詢與分析，便于追溯安全事件。（二）如何依據(jù)標準對操作系統(tǒng)安全可控性進行評價？評價操作系統(tǒng)安全可控性可按照“指標拆解-證據(jù)收集-技術(shù)測試-綜合評價”的思路開展。首先，將操作系統(tǒng)的安全可控指標拆解為身份認證、數(shù)據(jù)安全、漏洞管理、審計日志等具體子指標；其次，收集操作系統(tǒng)開發(fā)商提供的安全認證報告、漏洞響應機制文件、補丁更新記錄、日志管理規(guī)范等資料，作為評價依據(jù)；然后，通過技術(shù)測試驗證各項指標的落實情況，如測試多因素認證是否有效、文件加密功能是否正常、漏洞掃描是否能發(fā)現(xiàn)模擬漏洞、審計日志是否完整記錄操作行為；最后，結(jié)合資料審查與技術(shù)測試結(jié)果，對操作系統(tǒng)的安全可控性進行綜合評分，若評分達到對應等級要求，則判定為合規(guī)，否則需提出整改建議，督促開發(fā)商完善操作系統(tǒng)安全功能。（三）應用軟件的安全可控評價要點與實操方案是什么？應用軟件的安全可控評價要點主要包括：一是軟件來源，需從正規(guī)、可信的渠道獲取應用軟件，軟件開發(fā)商需具備相應的資質(zhì)，且軟件需通過安全檢測；二是功能安全，應用軟件不得含有惡意功能（如竊取用戶數(shù)據(jù)、遠程控制設備等），核心業(yè)務功能需具備安全防護措施，如金融類應用軟件需具備交易加密功能；三是兼容性與穩(wěn)定性，應用軟件需與操作系統(tǒng)兼容，運行過程中不得出現(xiàn)崩潰、卡頓等問題，避免因軟件故障引發(fā)安全風險；四是更新與維護，軟件開發(fā)商需提供持續(xù)的更新服務，及時修復軟件中的安全漏洞，同時提供技術(shù)支持，解決用戶使用過程中遇到的安全問題。實操方案方面，首先審查應用軟件的來源渠道證明、開發(fā)商資質(zhì)證書、安全檢測報告；其次，通過靜態(tài)代碼分析工具檢查軟件代碼是否存在惡意代碼或安全漏洞，通過動態(tài)測試模擬軟件運行場景，測試功能安全性、兼容性與穩(wěn)定性；最后，檢查軟件的更新記錄，確認開發(fā)商是否及時發(fā)布漏洞補丁，同時咨詢用戶使用反饋，了解軟件的維護與技術(shù)支持情況，綜合判斷應用軟件是否符合安全可控要求。（四）固件的安全可控要求與評價方法有何特殊之處？固件作為連接硬件與軟件的橋梁，其安全可控要求具有一定特殊性，主要包括：固件需由可信的開發(fā)商提供，且固件的研發(fā)過程需建立安全管理體系，防止固件被植入惡意代碼；固件需具備完整性校驗功能，在固件加載或更新時，能自動校驗固件的完整性，若發(fā)現(xiàn)固件被篡改，需拒絕加載或更新；固件需支持安全更新，更新過程需通過加密通道傳輸更新文件，且需進行身份認證，防止未授權(quán)更新。評價方法上，由于固件直接與硬件交互，評價過程需結(jié)