隨著信息技術(shù)的廣泛應(yīng)用，網(wǎng)絡(luò)攻擊事件頻發(fā)，給社會穩(wěn)定和經(jīng)濟發(fā)展帶來了巨大挑戰(zhàn)。為了應(yīng)對這一問題，新加坡于2015年成立了網(wǎng)絡(luò)安全局（Cyber Security Agency of Singapore, CSA），負責(zé)統(tǒng)籌協(xié)調(diào)全國范圍內(nèi)的網(wǎng)絡(luò)安全事務(wù)。在此背景下，CSA逐步構(gòu)建和完善了CCC體系，作為一項重要的制度安排，為各類組織提供了明確的指導(dǎo)方針和技術(shù)標(biāo)準(zhǔn)。新加坡作為一個高度信息化且經(jīng)濟發(fā)達的城市國家，早在多年前便意識到網(wǎng)絡(luò)安全的重要性，并積極采取措施以確保其關(guān)鍵信息基礎(chǔ)設(shè)施的安全。為此，新加坡推出了網(wǎng)絡(luò)安全認證（Cybersecurity Certification Criteria, CCC）體系，旨在為本地企業(yè)和機構(gòu)提供一套標(biāo)準(zhǔn)化的安全評估框架，促進網(wǎng)絡(luò)安全水平的整體提升，增強公眾對數(shù)字服務(wù)的信任。
新加坡通過建立雙邊或多邊的合作關(guān)系，尋求與澳大利亞、法國、德國、卡塔爾、西班牙、挪威等32個國家和地區(qū)在網(wǎng)絡(luò)安全認證方面的互認，CCC認證體系積極借鑒國際上先進的網(wǎng)絡(luò)安全框架，如ISO 27001等國際標(biāo)準(zhǔn)。
在認證標(biāo)準(zhǔn)的制定上，吸收了國際標(biāo)準(zhǔn)中的合理成分，如信息安全管理體系的構(gòu)建原則等，確保新加坡的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)與國際接軌，便于新加坡企業(yè)在國際市場上的競爭與合作，降低企業(yè)在跨國業(yè)務(wù)中的網(wǎng)絡(luò)安全認證成本，同時也提升新加坡在國際網(wǎng)絡(luò)安全領(lǐng)域的影響力。
CCC認證體系包括一系列標(biāo)準(zhǔn)計劃和成認證程序，以下列舉其中的幾個主要重要內(nèi)容：
1.2 網(wǎng)絡(luò)安全標(biāo)簽計劃（CLS）：
CLS是新加坡網(wǎng)絡(luò)安全局（CSA）推出的一項針對消費者智能設(shè)備的網(wǎng)絡(luò)安全標(biāo)簽計劃，旨在提高物聯(lián)網(wǎng)設(shè)備的安全性，幫助消費者識別具有更好網(wǎng)絡(luò)安全能力的產(chǎn)品，并做出購買決策。 CLS計劃是亞太區(qū)首個安全標(biāo)簽計劃項目，按照該計劃要求，智能消費品級物聯(lián)網(wǎng)設(shè)備將根據(jù)其網(wǎng)絡(luò)安全規(guī)定的等級進行評級。此外，新加坡與芬蘭在2021年簽署互認備忘錄（MOU），新加坡內(nèi)通過CLS第3級以上的物聯(lián)網(wǎng)設(shè)備即可與芬蘭運輸通信局（Traficom）的網(wǎng)絡(luò)安全標(biāo)簽互認。同時2022年與德國聯(lián)邦信息安全辦BSI簽署互認安排（MRA），只需要符合CLS2級以上即可互認。
評估等級：CLS計劃對物聯(lián)網(wǎng)設(shè)備安全形成4個不同等級，同時有4個不同的評估等級，每個評估等級按順序完成，反映了產(chǎn)品對可能遭受的網(wǎng)絡(luò)安全攻擊抵抗力不斷增強。這些評估等級包括安全基線要求、生命周期要求、軟件二進制分析和滲透測試。
1.3 IT評估計劃（NITES）：NITES（National IT Evaluation Scheme）是新加坡的一個IT評估計劃，旨在確保信息技術(shù)產(chǎn)品和系統(tǒng)的安全性和可靠性。NITES評估計劃基于國際標(biāo)準(zhǔn)和最佳實踐，為新加坡的企業(yè)和組織提供了一個統(tǒng)一的評估框架，以確保其IT系統(tǒng)和產(chǎn)品的安全性和合規(guī)性。
1.4 認證流程
申請階段：企業(yè)或組織首先要向認證機構(gòu)提交CCC認證申請，包括自身網(wǎng)絡(luò)安全概況、相關(guān)技術(shù)和管理文檔等資料。例如，提供網(wǎng)絡(luò)拓撲結(jié)構(gòu)、安全設(shè)備配置清單以及網(wǎng)絡(luò)安全人員的資質(zhì)證明等。
評估階段：認證機構(gòu)會對申請方進行全面的評估。這包括技術(shù)評估，如對網(wǎng)絡(luò)安全防護設(shè)備的檢測，檢查防火墻規(guī)則設(shè)置是否合理、入侵檢測系統(tǒng)是否有效等；同時也包括管理評估，審查網(wǎng)絡(luò)安全政策是否得到有效執(zhí)行，員工是否接受過相關(guān)的網(wǎng)絡(luò)安全培訓(xùn)等。
決策階段：根據(jù)評估結(jié)果，認證機構(gòu)做出是否給予認證的決定。如果申請方通過認證，會頒發(fā)相應(yīng)的CCC認證證書，并規(guī)定認證的有效期。在有效期內(nèi)，認證機構(gòu)還會進行定期或不定期的復(fù)查，以確保認證對象持續(xù)符合認證標(biāo)準(zhǔn)。
CCC體系的應(yīng)用案例
1.1 政府部門
新加坡政府積極推行“智慧國”愿景，將CCC認證納入到公共部門的信息安全管理流程中。所有涉及公民個人信息處理的政府部門都必須達到一定的CCC等級，以此確保數(shù)據(jù)的安全性和保密性。此外，政府采購也優(yōu)先考慮已獲得CCC認證的產(chǎn)品和服務(wù)供應(yīng)商，從而推動整個行業(yè)向更高水平邁進。
1.2 金融機構(gòu)
金融行業(yè)是新加坡經(jīng)濟的重要支柱之一，因此也是CCC體系重點關(guān)注的對象。銀行、保險公司以及其他金融機構(gòu)不僅需要遵守嚴格的安全規(guī)定，還需要定期接受外部審計，以驗證其是否符合最新的CCC標(biāo)準(zhǔn)。這有助于維護金融市場穩(wěn)定，防止?jié)撛诘慕?jīng)濟損失。
1.3 科技公司
對于從事信息技術(shù)研發(fā)和服務(wù)提供的科技公司來說，取得CCC認證不僅是對其技術(shù)水平的認可，更是贏得客戶信任的關(guān)鍵因素。許多跨國企業(yè)在選擇合作伙伴時會優(yōu)先考慮那些已經(jīng)獲得了CCC認證的企業(yè)，因為這意味著它們擁有可靠的安全保障措施。
信息提交成功