您的位置: 首页 » 法律资料网 » 法律法规 »

卫生部关于进一步规范保健食品原料管理的通知

时间:2024-05-22 00:19:22 来源: 法律资料网 作者:法律资料网 阅读:9578
下载地址: 点击此处下载

卫生部关于进一步规范保健食品原料管理的通知

卫生部


卫生部关于进一步规范保健食品原料管理的通知


卫法监发[2002]51号



各省、自治区、直辖市卫生厅局、卫生部卫生监督中心:

为进一步规范保健食品原料管理,根据《中华人民共和国食品卫生法》,现印发《既是食品又是药品的物品名单》、《可用于保健食品的物品名单》和《保健食品禁用物品名单》(见附件),并规定如下:

一、申报保健食品中涉及的物品(或原料)是我国新研制、新发现、新引进的无食用习惯或仅在个别地区有食用习惯的,按照《新资源食品卫生管理办法》的有关规定执行。

二、申报保健食品中涉及食品添加剂的,按照《食品添加剂卫生管理办法》的有关规定执行。

三、申报保健食品中涉及真菌、益生菌等物品(或原料)的,按照我部印发的《卫生部关于印发真菌类和益生菌类保健食品评审规定的通知》(卫法监发[2001]84号)执行。

四、申报保健食品中涉及国家保护动植物等物品(或原料)的,按照我部印发的《卫生部关于限制以野生动植物及其产品为原料生产保健食品的通知》(卫法监发[2001]160号)、《卫生部关于限制以甘草、麻黄草、苁蓉和雪莲及其产品为原料生产保健食品的通知》(卫法监发[2001]188号)、《卫生部关于不再审批以熊胆粉和肌酸为原料生产的保健食品的通告》(卫法监发[2001]267号)等文件执行。

五、申报保健食品中含有动植物物品(或原料)的,动植物物品(或原料)总个数不得超过14个。如使用附件1之外的动植物物品(或原料),个数不得超过4个;使用附件1和附件2之外的动植物物品(或原料),个数不得超过1个,且该物品(或原料)应参照《食品安全性毒理学评价程序》(GB15193.1-1994)中对食品新资源和新资源食品的有关要求进行安全性毒理学评价。

以普通食品作为原料生产保健食品的,不受本条规定的限制。

六、以往公布的与本通知规定不一致的,以本通知为准。



附件:1、既是食品又是药品的物品名单

2、可用于保健食品的物品名单

3、保健食品禁用物品名单


二OO二年二月二十八日



抄送:国家经贸委、国家农业部、国家林业局、国家环境保护总局、国家海洋局、国家药监局、海关总署、有关新闻单位



附件1 既是食品又是药品的物品名单

(按笔划顺序排列)



丁香、八角茴香、刀豆、小茴香、小蓟、山药、山楂、马齿苋、乌梢蛇、乌梅、木瓜、火麻仁、代代花、玉竹、甘草、白芷、白果、白扁豆、白扁豆花、龙眼肉(桂圆)、决明子、百合、肉豆蔻、肉桂、余甘子、佛手、杏仁(甜、苦)、沙棘、牡蛎、芡实、花椒、赤小豆、阿胶、鸡内金、麦芽、昆布、枣(大枣、酸枣、黑枣)、罗汉果、郁李仁、金银花、青果、鱼腥草、姜(生姜、干姜)、枳椇子、枸杞子、栀子、砂仁、胖大海、茯苓、香橼、香薷、桃仁、桑叶、桑椹、桔红、桔梗、益智仁、荷叶、莱菔子、莲子、高良姜、淡竹叶、淡豆豉、菊花、菊苣、黄芥子、黄精、紫苏、紫苏籽、葛根、黑芝麻、黑胡椒、槐米、槐花、蒲公英、蜂蜜、榧子、酸枣仁、鲜白茅根、鲜芦根、蝮蛇、橘皮、薄荷、薏苡仁、薤白、覆盆子、藿香。





附件2 可用于保健食品的物品名单

(按笔划顺序排列)



人参、人参叶、人参果、三七、土茯苓、大蓟、女贞子、山茱萸、川牛膝、川贝母、川芎、马鹿胎、马鹿茸、马鹿骨、丹参、五加皮、五味子、升麻、天门冬、天麻、太子参、巴戟天、木香、木贼、牛蒡子、牛蒡根、车前子、车前草、北沙参、平贝母、玄参、生地黄、生何首乌、白及、白术、白芍、白豆蔻、石决明、石斛(需提供可使用证明)、地骨皮、当归、竹茹、红花、红景天、西洋参、吴茱萸、怀牛膝、杜仲、杜仲叶、沙苑子、牡丹皮、芦荟、苍术、补骨脂、诃子、赤芍、远志、麦门冬、龟甲、佩兰、侧柏叶、制大黄、制何首乌、刺五加、刺玫果、泽兰、泽泻、玫瑰花、玫瑰茄、知母、罗布麻、苦丁茶、金荞麦、金樱子、青皮、厚朴、厚朴花、姜黄、枳壳、枳实、柏子仁、珍珠、绞股蓝、胡芦巴、茜草、荜茇、韭菜子、首乌藤、香附、骨碎补、党参、桑白皮、桑枝、浙贝母、益母草、积雪草、淫羊藿、菟丝子、野菊花、银杏叶、黄芪、湖北贝母、番泻叶、蛤蚧、越橘、槐实、蒲黄、蒺藜、蜂胶、酸角、墨旱莲、熟大黄、熟地黄、鳖甲。



附件3 保健食品禁用物品名单

(按笔划顺序排列)



八角莲、八里麻、千金子、土青木香、山莨菪、川乌、广防己、马桑叶、马钱子、六角莲、天仙子、巴豆、水银、长春花、甘遂、生天南星、生半夏、生白附子、生狼毒、白降丹、石蒜、关木通、农吉痢、夹竹桃、朱砂、米壳(罂粟壳)、红升丹、红豆杉、红茴香、红粉、羊角拗、羊踯躅、丽江山慈姑、京大戟、昆明山海棠、河豚、闹羊花、青娘虫、鱼藤、洋地黄、洋金花、牵牛子、砒石(白砒、红砒、砒霜)、草乌、香加皮(杠柳皮)、骆驼蓬、鬼臼、莽草、铁棒槌、铃兰、雪上一枝蒿、黄花夹竹桃、斑蝥、硫磺、雄黄、雷公藤、颠茄、藜芦、蟾酥。

辽宁省行政复议听证程序规定

辽宁省人民政府


第246号
  《辽宁省行政复议听证程序规定》业经2010年1月6日辽宁省第十一届人民政府第33次常务会议审议通过,现予公布,自2010年2月22日起施行。



省 长 陈政高

二○一○年一月二十一日



辽宁省行政复议听证程序规定


  第一条 为规范行政复议听证程序,依法公正办理行政复议案件,保护公民、法人和其他组织的合法权益,根据《中华人民共和国行政复议法》、《中华人民共和国行政复议法实施条例》等法律、法规,结合我省实际,制定本规定。
  第二条 本规定所称行政复议听证是指行政复议机关或者行政复议机构为查清案件事实,直接听取听证参加人对案件事实、证据、依据等问题所作的陈述、辩论等的审理方式。
  第三条 本规定适用于我省行政区域内行政复议机关或者行政复议机构(以下统称听证机关)依法组织的听证。
  第四条 听证参加人包括当事人及其代理人和其他参加人。
  当事人包括行政复议申请人、被申请人、第三人。
  其他参加人是指证人、勘验人、鉴定人、翻译人员等有关人员。
  第五条 听证应当坚持公平、公正、公开原则。除涉及国家秘密、商业秘密或者个人隐私外,听证应当公开举行。
  第六条 行政复议案件具有下列情形之一的,可以举行听证:
  (一)对具体行政行为认定的事实存在重大争议;
  (二)对具体行政行为依据的理解和适用存在重大争议;
  (三)符合《辽宁省行政复议规定》第二十三条第一款规定;
  (四)听证机关认为必要的。
  第七条 听证可以依当事人申请或者由听证机关决定举行。听证应当由听证机关实施,不得委托其他机构组织。
  当事人要求听证的,应当向听证机关提出书面申请。当事人口头申请听证的,听证机关应当当场记录。
  第八条 听证机关决定举行听证的,应当在举行听证的7日前,通知听证参加人。
  第九条 听证通知书应当载明下列事项:
  (一)听证参加人姓名或者名称;
  (二)案由;
  (三)举行听证的时间、地点;
  (四)首席听证员、听证员、书记员的姓名;
  (五)告知其他有关事项。
  第十条 听证应当在被申请人依法答复后,行政复议决定作出前举行。
  第十一条 听证在1名首席听证员和2名听证员组织下进行。首席听证员由听证机关负责人指定,并主持听证活动。听证设书记员1名,负责制作听证笔录和其他事务工作。
  根据案件审理需要,听证机关可以邀请有关专家或者其他人员作为听证员参加听证。
  第十二条 首席听证员履行下列职责:
  (一)决定听证的时间、地点和方式;
  (二)决定有关的听证参加人参加听证;
  (三)主持听证活动,维持听证秩序;
  (四)根据案件需要询问听证参加人;
  (五)决定证人当场作证;
  (六)决定听证的延期或中止。
  第十三条 首席听证员、听证员或者书记员有下列情形之一的,应当回避:
  (一)与本案当事人、代理人是近亲属;
  (二)与本案有利害关系;
  (三)与本案当事人之间存在其他关系,可能影响案件公正处理。
  前款规定,适用于勘验人、鉴定人和翻译人员。
  首席听证员的回避,由听证机关负责人决定;听证员、书记员的回避,由首席听证员决定。
  第十四条 当事人在听证活动中享有下列权利:
  (一)申请首席听证员、听证员或者书记员回避;
  (二)可以自己参加听证,也可以委托1至2名代理人参加听证;
  (三)查阅提交的材料;
  (四)陈述案件事实和理由;
  (五)就案件争议焦点进行质证、辩论;
  (六)听证结束前作最后陈述;
  (七)阅读听证笔录;
  (八)依法享有的其他权利。
  同一案件申请人超过5人的,推选1至3名代表参加听证。
  第十五条 当事人在听证活动中履行下列义务:
  (一)按时到指定地点参加听证;
  (二)遵守听证纪律;
  (三)如实回答听证员的询问,如实陈述、举证;
  (四)委托代理人的,应当出具授权委托书,明确委托事项和权限;
  (五)未经首席听证员批准不得中途退出听证会。
  第十六条 有下列情形之一的,申请人应当提供证明材料:
  (一)申请行政复议时一并提出行政赔偿请求的,提供由具体行政行为造成损害的证明;
  (二)认为被申请人不履行法定职责的,提供曾经要求被申请人履行法定职责而被申请人未履行的证明。
  第十七条 首席听证员、听证员应当在举行听证前,分析案件争议焦点,确定听证重点内容,拟订听证提纲。
  第十八条 听证开始前,书记员应当查明当事人和其他参加人是否到场,宣布听证纪律。
  听证开始时,首席听证员应当核对听证参加人的身份,宣布首席听证员、听证员、书记员名单,宣布案由,告知当事人有关的权利义务,询问当事人是否申请回避。
  第十九条 听证会按下列程序进行:
  (一)申请人陈述行政复议请求、事实和理由,出示相关证据;
  (二)被申请人答辩,陈述作出具体行政行为的事实、理由和依据,出示相关证据;
  (三)第三人陈述,出示相关证据;
  (四)当事人对证据进行质证;
  (五)当事人进行辩论;
  (六)当事人作最后陈述;
  (七)首席听证员征求当事人意见,是否同意调解。
  第二十条 书记员应当将听证的全部活动记入听证笔录。
  听证笔录应当载明下列事项:
  (一)听证参加人姓名或者名称、住所;
  (二)首席听证员、听证员和书记员的姓名;
  (三)举行听证的时间、地点;
  (四)案由;
  (五)行政复议请求,申请人陈述的事实、理由和证据;
  (六)被申请人答辩的事实和理由,出示的依据、证据及其他材料;
  (七)第三人陈述的事实和理由;
  (八)证人证言;
  (九)质证、辩论的内容;
  (十)当事人的最后陈述;
  (十一)当事人是否同意调解。
  第二十一条 听证结束后,听证笔录应当交当事人核对无误后签名或者盖章;拒绝签名或者盖章的,由首席听证员在听证笔录上注明情况。首席听证员、听证员和书记员应当在听证笔录上签字。
  听证笔录中有关证人证言部分,应当交证人核对无误后签名或者盖章。听证笔录应当附卷。
  第二十二条 听证认定的事实,应当作为审理行政复议案件的依据。
  第二十三条 有下列情形之一的,应当决定延期听证:
  (一)申请人(自然人)死亡或者法人、组织解散,须等待权利义务继承人或者法定代表人参加听证;
  (二)申请人、被申请人因不可抗力不能参加听证;
  (三)申请人(自然人)丧失行为能力,尚未确定法定代理人;
  (四)听证机关认为应当延期听证的。
  第二十四条 当事人违反听证纪律或者未经批准中途退场,致使听证会无法进行的,中止听证。
  被申请人无正当理由不参加听证会,且在依法答复中未提供有关证据、依据的,应当视为具体行政行为没有证据、依据。
  第二十五条 行政复议机关和行政复议机构应当设置专门场所用于举行听证。听证所需费用应当从行政复议经费中列支。
  第二十六条 本规定自2010年2月22日起施行。


基于DOS的信息安全产品评级准则

公安部


基于DOS的信息安全产品评级准则

公安部

1998/06/01



  【题注】(GA174-1998 Evaluation Criteria for DOS-based Information Security Products)

  前言

  为了贯彻《中华人民共和国计算机信息系统安全保护条例》的精神,并配合计算机信息系统安全专用产品的销售许可证制度的实施,公安部计算机管理监察司委托天津市公安局计算机管理监察处和海军计算技术研究所共同编写《基于DOS的信息安全产品评级准则》。

  本标准在技术上参照了美国DOD5200.28-STD可信计算机系统评估准则。

  本标准由公安部计算机管理监察司提出;

  本标准由公安部信息标准化技术委员会归口;

  本标准起草单位:天津市公安局计算机管理监察处

  海军计算技术研究所

  本标准主要起草人:张健,周瑞平,王学海,张双桥,高新宇

  1.范围

  本标准的适用对象为基于DOS操作系统的信息安全产品。基于DOS的信息安全产品是指保护DOS操作系统环境下的信息免受故意的或偶然的非授权的泄漏、篡改和破坏的软件、硬件或软硬件结合产品,以及用于产品安装、执行、恢复的相关设施。在本标准中,对安全产品的评级等同于对加装了该安全产品的DOS操作系统的安全性能的评级。

  标准根据安全产品的性能将其分为三个等级。从最低级d到最高级b,其安全保护性能逐级增加。

  2.引用标准

  美国DOD5200.28-STD可信计算机系统评估准则。

  3.术语

  3.1 客体 Object

  含有或接收信息的被动实体。客体的例子如:文件、记录、显示器、键盘等。

  3.2 主体 Subject

  引起信息在客体之间流动的人、进程或装置等。

  3.3 安全策略 Security policy

  有关管理、保护和发布敏感信息的法律、规章和技术标准。

  3.4 可信计算基 Trusted ComPuting Base-TCB

  操作系统中用于实现安全策略的一个集合体(包含软件、固件和硬件),该集合体根据安全策略来处理主体对客体的访问,并满足以下特征:

  a.TCB实施主体对客体的安全访问;

  b.TCB是抗篡改的;

  C.TCB的结构易于分析和测试。

  3.5 安全策略模型 Security Policy Model

  用于实施系统安全策略的模型,它表明信息的访问控制方式,以及信息的流程。

  3.6 敏感标记 Sensitivity Label

  表明一个客体的安全级并描述该客体中数据的敏感度(例如:密级)的一条信息。TCB依据敏感标记进行强制性访问控制。

  3.7 用户访问级 User's Clearance

  用户访问敏感信息的级别。

  3.8 最小特权原理 Least Provilege Theorem

  系统中的每个主体执行授权任务时,仅被授予完成任务所必需的最小访问权。

  3.9 关键保护元素 Protection Critical Element

  有TCB中,用来处理主体和客体间的访问控制的关键元素。

  3.10 审计踪迹 Audit Trail

  能提供客观证明的一组记录,用于从原始事务追踪到有关的记录,或从记录追踪到其原始事务。

  3.11 信道 Channel

  系统内的信息传输路径。

  3.12 可信信道 Trusted Channel

  符合系统安全策略的信道。

  3.13 隐蔽信道 Covert Channel

  违反系统安全策略的信道。

  3.14 自主访问控制 Discretionary Access Control

  根据主体身份或者主体所属组的身份或者二者的结合,对客体访问进行限制的一种方法。具有某种访问权的主体能够自行决定将其访问权直接或间接地转授给其它主体。

  3.15 强制访问控制 Mandatory Access Control

  根据客体中信息的敏感标记和访问敏感信息的主体的访问级对客体访问实行限制的一种方法。

  4.评级等级

  本标准将安全产品分为局部保护级、自主保护级、强制保护级三个等级。为便于和可信计算机系统评估准则互为参照,又表示有别于该标准,用d,c,b表示。

  4.1 局部保护级(d)

  提供一种或几种安全功能,但又未能达到c级标准的产品。

  4.1.1 安全功能

  必须明确定义每项安全功能预期达到的目标,描述为达到此目标而采用的TCB的安全机制及实现技术。

  4.1.2 安全测试

  必须对产品文档所述的安全功能进行测试,以确认其功能与文档描述相一致。

  4.1.3 文档

  安全特征用户指南文档要清楚地描述产品的保护原理、使用方法、使用限制及适用范围。

  要提供一个测试文档,描述该产品的测试计划、安全机制的测试过程及安全功能测试的结果。

  4.2 自主保护级(c)

  c级主要提供自主访问控制功能,并通过审计手段,能对主体行为进行审查。

  4.2.1 安全策略

  4.2.1.1 自主访问控制

  TCB需定义并控制系统中主体对客体的访问机制,所采用的机制(如访问控制表)要明确规定特定主体对其它主体控制下的信息的访问类型。系统和用户设定的自主访问控制机制,能保证受保护的客体不会被未经授权的用户访问。对客体没有访问权限的用户,只有对该客体有授权能力的用户才能为其指定访问权限。

  4.2.1.2 客体再用

  在将TCB的空闲存储客体池中客体初始指定、分配或再分配给一个主体之前,所有对于存储客体所含信息的授权都必须被撤销。当主体获得对一个已被释放的存储客体的访问权时,由原主体活动所产生的任何信息对当前主体都是不可获得的。

  4.2.2 责任核查

  4.2.2.1 身份鉴别

  用户在要求TCB执行任何动作之前,必须首先向TCB表明自己的身份;TCB要使用保护机制(如:口令)来鉴别用户身份。为了防止任何未经授权的用户对鉴别数据进行访问,TCB要对鉴别数据进行保护。TCB需提供唯一标识每个系统用户的机制,并将用户的所有可审计行为与用户的标识联系起来。

  4.2.2.2 审计

  TCB必须能创建、维护由主体实施的操作(例如:读、删和改等)的审计记录。TCB要记录下列类型的事件:使用身份鉴别机制;客体的引用;客体的删除;以及其它与安全有关的事件。对于每一个记录事件,审计记录需标识:事件发生的日期和时间、用户、事件类型及事件的成功和失败。由可信软件执行的单个操作,如果对用户是完全透明的,则不必进行审计。TCB要保护审计数据,使得只有授权用户才能访问。

  4.2.3 保证

  4.2.3.1 操作保证

  4.2.3.1.1 系统体系结构

  TCB要在封闭的域中运行,使其不受外部干扰或篡改(例如:代码或数据结构的修改)。TCB要隔离受保护资源,以满足访问控制和审计的需求。

  4.2.3.1.2 系统完整性

  要提供相应的硬件或软件,用于定期确认TCB中硬件或固件元素的正常运行。

  4.2.3.1.3 数据完整性

  TCB要提供控制机制,以保证多个主体对同一客体访问时客体中数据的正确性和完整性,并且不影响系统的正常运行。

  4.2.3.2 生命周期保证

  4.2.3.2.1 安全测试

  必须对产品文档所述的安全功能进行测试,以确认其功能与文档描述相一致。测试要证实未经授权的用户没有明显的办法可以绕过或攻破TCB的安全保护机制。测试还要搜索TCB中明显的缺陷,这些缺陷可能导致TCB中的外部主体能够违背资源隔离原则,或者对审计数据或鉴别数据进行未经授权的访问。

  4.2.4 文档

  4.2.4.1 安全特征用户指南

  安全特征用户指南要描述TCB提供的保护机制、使用指南、以及保护机制之间的配合方法,必须清楚地描述TCB中安全机制之间的交互作用。

  4.2.4.2 可信设施手册

  在可信设施手册中,要明确描述TCB所支持的任何预定义用户或主体(例如:系统管理员),要对运行安全功能时必须受到控制的功能和特权提出警告,并清楚地描述上述受控功能和特权之间的关系。如果存在TCB的安全操作的配置选项,应该予以标识。

  要提供用于检查和维护审计文件的规程。对每类审计事件,还要提供详细的审计记录结构。

  4.2.4.3 测试文档

  测试文档要描述安全保护机制的测试计划、测试步骤及其功能测试结果。

  4.2.4.4 设计文档

  设计文档要描述产品的保护原理,并解释该原理在TCB中的实现,如果TCB由多个不同的模块组成,还应描述各模块间的接口。

  4.3 强制保护级(b)

  b级的主要要求是:TCB能维护敏感标记及其完整性,并利用敏感标记来实施强制访问控制规则,b级的系统必须使系统中的主要数据结构带有敏感标记。系统开发者必须提供作为TCB基础的安全策略实现模型以及TCB的规约。

  4.3.1 安全策略

  4.3.1.1 自主访问控制

  TCB需定义并控制系统中主体对客体的访问控制,所采用的机制(如访问控制表)要明确规定特定主体对其它主体控制下的信息的访问类型。自主访问控制机制应限制访问权限的扩展。系统和用户设定的自主访问控制机制,能保证受保护的客体不会被未经授权的用户访问。对客体没有访问权限的用户,只有对客体有授权能力的用户才能为其指定访问权限。

  4.3.1.2 客体再用

  在将TCB的空闲存储客体池中客体初始指定、分配或再分配给一个主体之前,所有对于存储客体所含信息的授权都必须被撤销。当主体获得对一个已被释放的存储客体的访问权时,由原主体活动所产生的任何信息对当前主体都是不可获得的。

  4.3.1.3 标记

  TCB要维护与每一主体及其可能访问的系统资源相关的敏感标记,以此作为强制访问控制决策的基础。系统必须明确规定需要标记的客体(如文件、外部设备等)与不需要标记的客体(如:用户不可见的内部资源)。对于需要标记的客体,系统要明确定义客体标记的粒度。除了不需要标记的客体外,所有其它客体从TCB外部观点看都要有明显标记。在输入未标记数据时,必须由授权用户向TCB提供这些数据的安全级别,而且所有这些行为都可以由TCB进行审计。

  4.3.1.3.1 标记完整性

  敏感标记必须准确地表示出与其相关的具体主体或客体的安全级别。当TCB输出敏感标记时,输出标记的外部表示要与其内部标记一致,并与输出的信息相关联。

  4.3.1.3.2 标记信息的输出

  TCB要能维护并审计与通信信道或I/O设备相关联的安全级别的任何变动。

  4.3.1.3.3 主体标记

  在TCB与用户交互期间,如果与用户有关的安全级发生任何变化,TCB应立刻通知用户。

  4.3.1.3.4 设备标记

  TCB应能对所辖的物理设备指定最小和最大安全级。TCB要使用这些安全级,在设备所处的物理环境中对设备的使用施加约束。

  4.3.1.4 强制访问控制

  TCB必须对所有可被TCB外部主体直接或间接访问的资源(例如:主体、存储客体、物理设备等)实施强制访问控制策略。必须为这些主体和资源指定敏感标记(它们是级别和类别的组合),这些标记将作为强制访问控制决策的基础。所有由TCB所控制的主体对客体的访问必须遵循以下规则:仅当主体的级别高于或等于客体的级别,且主体安全等级中的类别包含客体安全等级中的所有类别时,主体才能读客体;仅当主体的级别低于或等于客体的级别,且主体安全等级中的所有类别包含于客体安全等级中的类别时,主体才能写客体。TCB要使用标识和鉴别数据来鉴别用户的身份,并确保用户的访问级和授权高于或等于代表该用户的TCB外部主体的安全等级和授权。

  4.3.2 责任核查

  4.3.2.1 身份鉴别

  用户在要求TCB执行任何动作之前,必须首先向TCB表明自己的身份。TCB要使用保护机制(如:口令)来鉴别用户身份。TCB必须保护鉴别数据,该数据不仅包含验证用户身份的信息(例如:口令),也包含确定用户访问级与授权的信息。TCB要使用这些数据来鉴别用户的身份,并确保用户的访问级和授权高于或等于代表该用户的TCB外部主体的安全等级和授权。为了防止任何未经授权的用户对鉴别数据进行访问,TCB必须对鉴别数据进行保护。TCB需提供唯一标识每个操作系统用户的机制,并将用户的所有可审计行为与用户的标识联系起来。

  4.3.2.2 可信路径

  在对初始登录的用户进行鉴别时,TCB要在它和用户之间维持一条可信信道。经由该路径的通信必须由专门用户或TCB进行初始化。

  4.3.2.3 审计

  TCB必须能创建、维护由主体实施的操作(例如:读、删和改等)的审计记录。TCB要记录下列类型的事件:使用身份鉴别机制;客体的引用;客体的删除;安全管理员的操作;以及其它与安全有关的事件。对于每一个记录事件,审计记录要标识:事件发生的日期和时间、主体、事件类型及事件的成功和失败。对于客体的引用及删除事件,审计记录还要包含客体名称。安全管理员应能够根据个体身份或个体安全等级有选择地审计一个或多个用户的行为。由可信软件执行的单个操作,如果对用户是完全透明的,则不必进行审计。TCB必须保护审计数据,使得只有授权用户才能对它进行读访问。当发生与安全有关的事件时,TCB要做到:(1)检测事件的发生;(2)记录审计踪迹条目;(3)通知安全管理员。

  4.3.3 保证

  4.3.3.1 操作保证

  4.3.3.1.1 系统体系结构

  TCB要在封闭的域中运行,使其不受外部干扰或篡改(例如:代码或数据结构的修改)。由TCB控制的资源可以是系统中主体和客体的一个子集。TCB要隔离受保护资源,以满足访问控制和审计的需求。TCB要通过不同的地址空间来维护进程隔离。TCB的内部要构造成定义良好的独立模块。TCB的模块设计要保证使最小特权原理得以实现。TCB需完整定义其用户接口,并且标识TCB的所有元素。TCB要有效地利用相关硬件把关键保护元素和非关键保护元素分隔开。

  4.3.3.1.2 系统完整性

  要提供相应的硬件或软件,用于定期确认TCB中硬件或固件元素的正常运行。

  4.3.3.1.3 可信设施管理

  TCB能支持独立的操作员和管理员功能。

  4.3.3.1.4 可信恢复

  TCB要提供诸如转贮和日志文件等机制,以保证在系统失效或其它中断发生后的数据恢复过程中不会导致任何安全泄漏。

  4.3.3.1.5 数据完整性

  TCB要定义及验证完整性约束条件的功能,以维护客体及敏感标记的完整性。

  4.3.3.2 生命周期保证

  4.3.3.2.1 安全测试

  必须对产品文档所述的安全功能进行测试,以确认其功能与文档描述相一致。测试组应充分了解TCB的安全功能的实现,并彻底分析其测试设计文档、源码和目标码,其目标是:发现设计和实现中的所有缺陷,这些缺陷会引起TCB的外部主体能够实施违背强制或自主安全策略的某种操作;同时保证没有任何未授权主体能使TCB进入一种不能响应其它主体发起的通讯的状态。TCB应具有一定的抗渗透能力。必须消除所有被发现的缺陷,重新测试TCB要证实这些缺陷已不再存在且没有引入新的错误。

  4.3.3.2.2 设计规约和验证

  要证实TCB所支持的安全策略模型符合其安全策略,并在产品运行的整个生命周期中维护这一模型。

  4.3.3.2.3 配置管理

  在TCB的整个生命周期期间,即TCB的设计、开发和维护期间,要使用配置管理系统来控制对设计数据、实现文档、源代码、目标代码的运行版本、测试装置以及文档的任何更改。配置管理系统要保证与TCB当前版本相关联的所有文档和代码之间的一致映射。要提供从源代码生成TCB新版本的工具。要提供比较新版TCB和原版TCB的工具,只有在确定已按预期方案完成了修改后,才能启用新的TCB版本。

  4.3.4 文档

  4.3.4.1 安全特征用户指南

  安全特征用户指南要描述TCB提供的保护机制、使用指南、以及保护机制之间的配合方法,必须清楚地描述TCB中完全机制之间的交互作用。

  4.3.4.2 可信设施手册

  在可信设施手册中,必须明确描述TCB所支持的任何预定义用户或主体(例如:系统管理员),要对运行安全功能时必须受到控制的功能和特权提出警告,并清楚地描述上述受控功能和特权之间的关系。如果存在TCB的安全操作的配置选项,应该予以标识。

  要提供用于检查和维护审计文件的规程。对每类审计事件,还要提供详细的审计记录结构。

  手册必须描述与操作员和管理员有关的安全功能,包括修改用户安全特征的方法。手册还要提供以下信息:如何一致地、有效地使用产品安全功能,安全功能之间的相互作用,以及操作规程、警告和特权。

  4.3.4.3 测试文档

  测试文档要描述安全保护机制的测试计划、测试步骤及其功能测试结果。

  4.3.4.4 设计文档

  设计文档要描述产品的保护原理,并解释该原理在TCB中的实现方法,如果TCB由多个不同的模块组成,还应描述各模块间的接口。应该具有TCB所实施的安全策略模型的非形式化或形式化描述,并给出它足以实施该安全策略的理由。要标识特定的TCB保护机制,并给出一个解释以证明它们满足模型。