摘要：EUCC，即 “基于欧洲通用标准的网络安全认证计划”（The European Cybersecurity Scheme on Common Criteria） ，是欧盟首个用于认证信息与通信技术（ICT）产品的网络安全计划，于 2024 年 1 月 31 日

EUCC 是什么？

EUCC，即 “基于欧洲通用标准的网络安全认证计划”（The European Cybersecurity Scheme on Common Criteria） ，是欧盟首个用于认证信息与通信技术（ICT）产品的网络安全计划，于 2024 年 1 月 31 日由欧洲委员会正式通过，符合欧盟网络安全法的目标。

在数字化时代，信息与通信技术产品广泛应用于各个领域，从个人使用的智能手机、电脑，到企业运营的服务器、网络设备，再到关乎社会运转的关键基础设施中的技术组件，如芯片、智能卡等，这些 ICT 产品在为人们生活和社会发展带来便利的同时，也面临着严峻的网络安全挑战。黑客攻击、数据泄露等安全事件频发，不仅给个人隐私和财产造成损失，也对企业的正常运营和国家的安全稳定构成威胁 。

EUCC 的诞生旨在应对这些挑战，为确保 ICT 产品在其整个生命周期内的可信度提供一整套规则。这里的 ICT 产品，指的是以数字形式电子访问、处理、存储、传输或获取信息的商品。其范围十分广泛，涵盖了无线和智能设备，像我们日常使用的智能手表、智能家居设备；同时也包括各类技术组件，如芯片、智能卡、硬件和软件等。举例来说，我们手机中的芯片，其安全性关乎手机存储信息的安全；智能门锁中的软件系统，若存在安全漏洞，可能导致家庭安全受到威胁。EUCC 就是要对这些产品进行严格的评估认证，保障其安全性。

EUCC 诞生背景

在当今数字化时代，网络安全已成为全球关注的焦点。随着信息技术的飞速发展，信息与通信技术（ICT）产品在各个领域的应用日益广泛，它们在为人们带来便利和效率的同时，也面临着前所未有的安全挑战。

从个人层面来看，我们日常生活中使用的智能手机、平板电脑等设备，存储了大量的个人信息，如通讯录、照片、银行账户信息等。一旦这些设备遭受网络攻击，个人隐私和财产安全将受到严重威胁。比如，黑客可能通过恶意软件窃取手机中的银行账户密码，导致用户的资金被盗取；或者通过网络钓鱼手段，诱使用户泄露个人敏感信息。

在企业领域，ICT 产品更是支撑企业运营的关键。企业的服务器存储着大量的商业机密、客户数据和财务信息，网络设备连接着企业内部各个部门以及外部合作伙伴。一旦企业的 ICT 系统遭受攻击，可能导致业务中断、数据泄露，给企业带来巨大的经济损失和声誉损害。据统计，一次严重的数据泄露事件可能使企业面临数百万甚至数千万美元的损失，包括数据恢复成本、赔偿客户损失、法律诉讼费用以及因声誉受损导致的业务流失等。例如，2017 年美国 Equifax 信用评级机构遭遇数据泄露事件，约 1.47 亿客户的个人信息被泄露，该公司为此付出了高达数十亿美元的赔偿和损失，同时其声誉也受到了极大的打击。

而对于国家层面，关键基础设施中的 ICT 产品安全至关重要。能源、交通、通信、金融等领域的关键基础设施依赖于大量的 ICT 产品来实现其正常运行。如果这些关键基础设施的 ICT 系统遭到攻击，可能引发连锁反应，对整个国家的经济、社会稳定和国家安全造成严重影响。例如，2015 年乌克兰发生的大规模停电事件，就是由于黑客对电力系统的 ICT 设备进行攻击，导致多个地区停电数小时，给民众生活和国家经济带来了巨大困扰。

在这样严峻的网络安全形势下，欧盟各国意识到，需要一个统一的认证计划来提升 ICT 产品的安全性。此前，欧盟部分成员国加入了CCRA，共同承认通用CC认证的有效性。据称，60%以上的CC认证实验室位于欧洲地区，承担了一半以上的认证。但是，CC认证计划与欧盟市场实际需求存在差异，也给企业在欧盟内部市场的运营带来了不便。为了改变这种状况，欧盟推出了 EUCC 计划。它不仅能协调各国的认证计划，使认证流程更加统一和规范，还有助于提高整个欧盟市场上 ICT 产品的安全水平。同时，EUCC 计划也与欧盟的网络安全法目标相契合，为实现欧盟网络空间的安全和稳定提供了重要支持 。

EUCC 认证全解析

适用产品范围

EUCC 认证的适用产品范围极为广泛，几乎涵盖了所有以数字形式电子访问、处理、存储、传输或获取信息的信息与通信技术（ICT）产品。在日常生活中，常见的无线和智能设备，如智能手机、平板电脑、智能手表、智能家居设备等都在其认证范围内。这些设备与我们的生活息息相关，存储着大量个人隐私数据，如通话记录、短信、照片、家庭住址等 ，其安全性至关重要。以智能家居设备为例，智能摄像头若存在安全漏洞，黑客可能入侵并实时监控家庭内部情况，侵犯用户隐私。

在技术组件方面，芯片、智能卡、硬件和软件等同样需要进行 EUCC 认证。芯片作为各类电子设备的核心部件，其安全性影响着整个设备的运行安全。比如手机芯片，若存在安全隐患，可能导致手机被恶意软件攻击，造成数据泄露、系统瘫痪等问题。智能卡常用于身份识别、支付等重要领域，像银行的 IC 卡、门禁卡等，一旦智能卡的安全机制被攻破，用户的财产安全和身份信息都将面临巨大风险。而硬件和软件更是构成了 ICT 产品的基础架构，操作系统软件、应用软件等，若软件存在安全漏洞，可能被黑客利用，进行数据窃取、恶意操控等非法活动。例如，一些办公软件若未通过严格的安全认证，黑客可能通过软件漏洞获取企业的商业机密文件 。

认证流程步骤

选择保证级别：企业首先要根据产品的预期使用风险水平，参考 EUCC 计划规定，确定产品需要达到的 “实质性” 或 “高” 保证级别。一般来说，像网络设备、操作系统这类对安全性要求较高、一旦遭受攻击可能造成严重后果的产品，通常需满足较高的保证级别；而一些风险相对较低的消费类电子产品，可能达到 “实质性” 保证级别即可。

提交认证申请：挑选经欧盟认可的具备资质的认证机构。企业可通过欧盟官方网站查询认可的认证机构名单，也可参考行业口碑和评价，选择在 ICT 产品网络安全认证方面经验丰富、信誉良好的机构。例如，一些国际知名的认证机构，在网络安全认证领域拥有专业的技术团队和丰富的实践经验，能够为企业提供高质量的认证服务 。向选定的认证机构提交正式的认证申请，同时提交准备好的各项文档，并缴纳相应的认证费用。认证费用的多少通常根据产品的类型、保证级别以及认证机构的收费标准而定。

撰写安全目标ST：基于保护配置文件撰写产品的安全目标，明确产品在网络安全方面需要达到的具体目标和要求。这一步骤需要企业深入分析产品的功能、使用场景以及可能面临的安全威胁，从而制定出针对性的安全目标。比如一款网络防火墙产品，其安全目标可能包括有效抵御各类网络攻击，如 DDoS 攻击、SQL 注入攻击等，确保网络通信的安全性和稳定性 。

准备相关文档：包括产品描述、设计文档、安全策略、测试报告等。产品描述需详细说明产品的功能、特性、用途等；设计文档要展示产品的技术架构、硬件设计、软件设计等方面的内容；安全策略阐述产品为保障安全所采取的措施和机制；测试报告则记录产品在各项安全测试中的结果，以此详细说明产品的技术架构、功能特性以及如何满足网络安全标准。提供产品的漏洞监测和处理流程，以及补丁管理相关信息，展示产品在发现和修复安全漏洞方面的能力和机制。企业需要说明如何实时监测产品是否存在安全漏洞，一旦发现漏洞后的处理流程，包括如何快速响应、制定修复方案以及及时发布补丁等。

产品评估与测试：认证机构对产品进行评估和测试，包括技术文件审核、实验室测试以及可能的现场审核。实验室测试会依据相关标准对产品的安全性、性能等进行测试，如检测产品的加密强度是否符合标准要求，对常见网络攻击的抵御能力如何等；现场审核则主要针对生产现场的管理流程、质量控制体系等进行检查，确保企业在生产过程中能够有效保障产品的安全性 。

认证决定与获证：认证机构根据评估和测试结果做出认证决定。若产品满足所有要求，将颁发欧盟网络安全认证证书；若存在不符合项，申请人需进行整改，整改后重新提交审核或测试。获得认证后，企业可在产品上使用相应的认证标志，并在欧盟市场宣传其产品符合网络安全标准，提升产品的市场竞争力和消费者信任度 。

持续监督与维护：认证机构会对获证企业进行持续监督，定期或不定期检查产品的合规性。企业需及时关注法规和标准的更新，对产品进行相应调整，以保持认证的有效性。例如，当出现新的网络安全威胁或标准更新时，企业需要及时升级产品的安全措施，确保产品始终符合 EUCC 认证的要求 。

保证级别划分

EUCC 计划提出了 “实质性” 和 “高” 两个保证级别。“实质性” 保证级别主要针对那些风险相对较低的 ICT 产品，其安全要求相对较低，但也必须满足一定的网络安全标准，以确保产品在正常使用情况下的安全性。例如一些简单的消费类电子产品，如普通的 MP3 播放器，虽然功能相对单一，但其数据存储和传输也需要一定的安全保障，达到 “实质性” 保证级别即可满足基本的安全需求 。其对应的是 AVA_VAN 级别 1 或 2（对应CC认证的EAL1-3），在这一级别下，产品需要具备基本的安全功能，如简单的数据加密、用户身份验证等机制，能够抵御一些常见的、较为简单的网络攻击 。

“高” 保证级别则针对风险较高的产品，这些产品一旦遭受网络攻击，可能会对个人、企业或国家造成严重的损失和影响。像关键基础设施中的网络设备、金融行业的核心系统等，就需要达到 “高” 保证级别。对应的是 AVA_VAN 级别 3、4 或 5（对应CC认证的EAL4-7），在这个级别下，产品需要具备更高级别的安全防护能力，包括复杂的加密算法、严格的访问控制策略、完善的安全审计机制等，能够抵御复杂的、高强度的网络攻击，确保产品在极端情况下的安全性和稳定性 。这种根据产品风险水平划分保证级别的方式，既能确保不同风险的产品都能得到适当的安全评估和认证，又能合理分配认证资源，提高认证的效率和针对性 。

EUCC 带来的深远影响

对企业而言

获得 EUCC 认证意味着企业的产品在网络安全方面达到了欧盟认可的标准，这为企业带来诸多优势。以华为为例，其部分网络设备在获得相关网络安全认证后，在国际市场上的竞争力显著提升。在欧盟市场，经过 EUCC 认证的产品更容易获得客户的信任，因为客户相信这些产品在抵御网络攻击、保护数据安全等方面具备可靠的能力。这使得企业在参与项目投标、与客户洽谈合作时，能够凭借认证优势脱颖而出，从而获得更多的市场份额。据市场研究机构的数据显示，在获得类似网络安全认证后，企业在欧盟市场的销售额平均增长了 [X]%。同时，随着全球对网络安全重视程度的不断提高，获得 EUCC 认证的企业更容易与国际合作伙伴开展业务，拓展海外市场，进一步提升企业的国际影响力和市场竞争力 。

对消费者来说

在日常生活中，消费者越来越依赖各种信息与通信技术（ICT）产品，如智能手机、智能家居设备等。这些产品一旦存在安全漏洞，消费者的隐私和财产安全将受到严重威胁。而 EUCC 认证为消费者提供了重要的保障，它帮助消费者识别那些经过严格评估、符合网络安全要求的产品。例如，当消费者购买智能摄像头时，如果该产品获得了 EUCC 认证，就意味着它在数据加密、访问控制等方面符合标准，能够有效防止黑客入侵，保护家庭隐私不被泄露。这降低了消费者在使用 ICT 产品过程中遭受网络攻击的风险，为消费者提供了更安全、可靠的产品选择，让消费者能够放心地享受数字化生活带来的便利 。

从行业角度出发

EUCC 认证的实施促使整个网络安全行业朝着更加规范化、标准化的方向发展。一方面，它为行业树立了统一的安全标准和规范，促使企业在产品研发、生产和服务过程中严格遵循这些标准，从而提高整个行业的产品质量和安全水平。另一方面，为了满足 EUCC 认证的要求，企业需要不断加大在网络安全技术研发方面的投入，这将推动网络安全技术的创新和发展。例如，为了达到更高的保证级别，企业可能会研发更先进的加密算法、更智能的入侵检测系统等。随着越来越多的企业参与到网络安全技术的研发和创新中，整个行业将形成良好的技术创新氛围，推动网络安全技术不断进步，为应对日益复杂的网络安全威胁提供更有力的技术支持 。

国内 EUCC 的解决方案

对于中国企业而言，要应对 EUCC 认证，需要从多个方面着手。在技术研发上，加大投入，提升产品的网络安全性能。例如，深入研究加密算法，采用更先进的加密技术，确保产品数据在传输和存储过程中的安全性；加强对漏洞检测和修复技术的研发，建立高效的漏洞监测机制，及时发现并修复产品中的安全漏洞 。同时，企业要建立完善的安全管理体系，从产品设计、生产、测试到销售和售后的整个生命周期，都要严格遵循网络安全标准和规范，确保每个环节的安全性。

在认证准备方面，企业应充分了解 EUCC 认证的具体要求和流程。组织专业团队对认证相关的法规、标准进行深入研究，制定详细的认证计划。提前准备好各类认证所需的文档，如技术文档、安全策略文档等，并确保文档的准确性和完整性 。在选择认证机构时，要谨慎评估，选择在 EUCC 认证领域经验丰富、资质可靠的机构，以提高认证的成功率和效率 。

从国家层面来看，政府可以加强与欧盟的沟通与合作，推动双方在网络安全认证领域的互认。通过外交途径、行业协会交流等方式，积极与欧盟探讨认证互认的可能性，为中国企业降低认证成本和时间成本。同时，政府可以加大对网络安全产业的支持力度，出台相关政策，鼓励企业开展网络安全技术研发和创新，提升中国网络安全产业的整体水平 。

EUCC 未来展望

从全球网络安全格局来看，EUCC 的实施将对其产生深远的潜在影响。一方面，EUCC 为全球网络安全认证提供了一个可参考的标准和模式，有助于推动全球网络安全认证体系的统一和协调发展。其他国家和地区可能会借鉴 EUCC 的经验，制定或完善自己的网络安全认证标准，从而促进全球网络安全认证的规范化和标准化进程 。另一方面，EUCC 的实施将促使全球企业更加重视网络安全，加大在网络安全技术研发和产品创新方面的投入。这将推动全球网络安全技术的不断进步，提升全球网络安全防护水平，共同应对日益复杂的网络安全威胁 。同时，EUCC 也可能引发全球网络安全市场的竞争格局变化，获得 EUCC 认证的企业和产品将在国际市场上更具竞争力，从而推动网络安全产业的优化升级 。

来源：望安科技