21、联邦认证与认可流程及相关标准概述

联邦认证与认可流程及相关标准概述

联邦认证与认可（C&A）流程的演变

联邦机构一直在改进其信息系统的互联方式。近年来，为了跟上快速发展的技术架构，联邦机构开始采用更敏捷的开发方法，这也让联邦政府更具适应性，能更好地支持任务和业务需求的变化。早在20世纪70年代，联邦政府使用的C&A流程就已开始演变，其发展通过一系列不同的标准和指南得以确立，但这些流程和实践在联邦不同社区以及同一社区内的不同联邦机构之间的应用存在差异。

下面简要概述联邦政府使用过的不同C&A流程，以了解其演变和变革过程。这并非是对联邦C&A流程的全面教程，而是总结信息安全和风险管理实践在不同联邦社区的独立演变和实施情况。

各部门C&A流程发展

1. 民用机构

   • 1983年，美国国家标准局（现美国国家标准与技术研究院，NIST）发布了《联邦信息处理标准（FIPS）PUB 102：计算机认证与认可指南》，为联邦机构建立和实施计算机安全C&A计划及技术流程提供了指导，其主要目的有两个：
     • 建立认证与认可计划（如政策、程序、角色和职责）。
     • 执行认证与认可（如规划、数据收集、评估和报告结果）。
   • FIPS PUB 102 C&A流程一直是民用联邦机构的实践标准，直到2004年NIST发布了第一版《特别出版物（SP）800 - 37：联邦信息系统安全认证与认可指南》。
   • 在FIPS PUB 102和NIS