《信息技術(shù) 安全技術(shù) 網(wǎng)絡(luò)安全 第3部分：面向網(wǎng)絡(luò)接入場景的威脅、設(shè)計技術(shù)和控制-編制說明》

一、工作簡況

1、總體情況

根據(jù)黑龍江省網(wǎng)絡(luò)空間研究中心的申請，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會于

2019年9月下達(dá)了《信息技術(shù)安全技術(shù)網(wǎng)絡(luò)安全第3部分：參考網(wǎng)絡(luò)場景—風(fēng)

險、設(shè)計技術(shù)和控制要素》的標(biāo)準(zhǔn)制定任務(wù)。國家標(biāo)準(zhǔn)化管理委員會于2020年第

一批推薦性國家標(biāo)準(zhǔn)制修訂計劃下達(dá)了《信息技術(shù)安全技術(shù)網(wǎng)絡(luò)安全第3部

分：參考網(wǎng)絡(luò)場景—風(fēng)險、設(shè)計技術(shù)和控制要素》國家標(biāo)準(zhǔn)計劃（計劃號：20201688

—T—469），由黑龍江省網(wǎng)絡(luò)空間研究中心牽頭承擔(dān)標(biāo)準(zhǔn)制定工作，起草單位包

括：中國電子技術(shù)標(biāo)準(zhǔn)化研究院、哈爾濱安天科技集團(tuán)股份有限公司、黑龍江安

信與誠科技開發(fā)有限公司等。

2、標(biāo)準(zhǔn)制定的主要工作過程如下：

1)2017－2018年12月，跟蹤研究ISO/IEC27033系列國際標(biāo)準(zhǔn)的研制情況，

翻譯了國際標(biāo)準(zhǔn)ISO/IEC27033-3多個版本的中文文本，且多次在專家、

成員單位、管理部門等范圍內(nèi)進(jìn)行討論和征求意見，并根據(jù)這些意見形

成了標(biāo)準(zhǔn)草稿；

2)2019年1月—2019年9月，對標(biāo)準(zhǔn)草稿細(xì)化、校對翻譯稿，重新整理語序，

形成本標(biāo)準(zhǔn)草案；

3)2019年10月27日—30日在全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會2019年第二次

會議周上匯報標(biāo)準(zhǔn)修訂進(jìn)展情況，對標(biāo)準(zhǔn)草案征集意見；

4)2020年8月—2017年10月，標(biāo)準(zhǔn)編制組經(jīng)過多次討論和修訂，對搜集到的

資料分類整理、規(guī)范語言，統(tǒng)一格式，并對翻譯稿進(jìn)行再次細(xì)化校對，

形成標(biāo)準(zhǔn)草案稿。

5)2020年5月12-15日，在全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會2020年第一次會

議周上匯報標(biāo)準(zhǔn)修訂進(jìn)展情況，對標(biāo)準(zhǔn)草案征集意見。

6)2020年6月，根據(jù)2020年第一次會議周意見對標(biāo)準(zhǔn)文本進(jìn)行了修改，即將

提交TC260/WG6工作組，進(jìn)入征求意見階段。

3、各階段稿件意見的處理情況

1)工作組草案及征求意見稿（初稿）階段，共參與了2次全國信息安全標(biāo)準(zhǔn)

化委員會會議周，共收到反饋意見7條，采納5條，未采納2條，具體參見

意見匯總處理表。

二、標(biāo)準(zhǔn)編制原則和確定主要內(nèi)容的論據(jù)及解決的主要問題

1、標(biāo)準(zhǔn)編制的主要原則

1）遵循現(xiàn)行國家標(biāo)準(zhǔn)為基礎(chǔ)，等同采用國際新標(biāo)準(zhǔn)。

本標(biāo)準(zhǔn)編寫格式符合國家標(biāo)準(zhǔn)GB/T1.1-2020的規(guī)定。

2）貫徹國家有關(guān)政策與法規(guī)

本部分凡涉及網(wǎng)絡(luò)安全的相關(guān)法律法規(guī)，按國家有關(guān)法規(guī)實施；

3）認(rèn)真記錄、反復(fù)衡量、綜合分析各方意見，多方征集行業(yè)企業(yè)的意見和

反饋

在《信息技術(shù)安全技術(shù)網(wǎng)絡(luò)安全第3部分：參考網(wǎng)絡(luò)場景—風(fēng)險、設(shè)計技

術(shù)和控制要素》國家標(biāo)準(zhǔn)修訂過程中，各起草單位齊心協(xié)力，在充分溝通和交流

的基礎(chǔ)上，形成了標(biāo)準(zhǔn)編制組內(nèi)統(tǒng)一的標(biāo)準(zhǔn)文本。

2、本標(biāo)準(zhǔn)的主要內(nèi)容

本標(biāo)準(zhǔn)規(guī)定了與網(wǎng)絡(luò)場景相關(guān)的威脅、設(shè)計技術(shù)和控制要素，為每一個網(wǎng)絡(luò)

場景提供了能夠降低相關(guān)風(fēng)險的安全威脅、安全設(shè)計技術(shù)以及控制要素的詳細(xì)指

南，旨在全面地定義和實施任何組織網(wǎng)絡(luò)環(huán)境的安全。

本標(biāo)準(zhǔn)適用于所有擁有、運(yùn)行或使用網(wǎng)絡(luò)的組織和個人；本標(biāo)準(zhǔn)適用于評估

安全體系結(jié)構(gòu)及安全體系設(shè)計，選擇和記錄符合要求的首選網(wǎng)絡(luò)安全架構(gòu)、網(wǎng)絡(luò)

安全設(shè)計和相關(guān)的選項。

本標(biāo)準(zhǔn)的主要框架如下：

前言

1范圍

2規(guī)范性引用文件

3術(shù)語和定義

4縮略語

5文檔結(jié)構(gòu)

6概述

7員工的互聯(lián)網(wǎng)接入服務(wù)

8企業(yè)對企業(yè)的服務(wù)

9企業(yè)對客戶的服務(wù)

10增強(qiáng)協(xié)作服務(wù)

11網(wǎng)絡(luò)分段

12為家庭和小型企業(yè)辦公提供網(wǎng)絡(luò)支持

13移動通信

14為傳輸用戶提供網(wǎng)絡(luò)支持

15外包服務(wù)

附錄A

附錄B

3、本標(biāo)準(zhǔn)在確定主要內(nèi)容時主要基于如下幾個方面：

1)《信息技術(shù)安全技術(shù)IT網(wǎng)絡(luò)安全第4部分：遠(yuǎn)程接入的安全保護(hù)》

是黑龍江省網(wǎng)絡(luò)空間研究中心在2010年承擔(dān)編制的國家標(biāo)準(zhǔn)，中心多年

來一直跟蹤該標(biāo)準(zhǔn)所采用的國際標(biāo)準(zhǔn)修訂情況，該標(biāo)準(zhǔn)所對應(yīng)的國際標(biāo)

準(zhǔn)《信息技術(shù)安全技術(shù)網(wǎng)絡(luò)安全第3部分：參考網(wǎng)絡(luò)場景—風(fēng)險、設(shè)

計技術(shù)和控制要素》是整個ISO/IEC27033系列標(biāo)準(zhǔn)的第三部分，按照

國際標(biāo)準(zhǔn)對現(xiàn)行國家標(biāo)準(zhǔn)的修訂具有重要的意義。

2)等同采用國際標(biāo)準(zhǔn)《信息技術(shù)安全技術(shù)網(wǎng)絡(luò)安全第3部分：參考網(wǎng)絡(luò)

場景—風(fēng)險，設(shè)計技術(shù)和控制要素》（《Informationtechnology—Security

techniques—NetworksecurityPart3:Referencenetworkingscenarios—

Threats,designtechniquesandcontrolissues》），對國家標(biāo)準(zhǔn)《信息技術(shù)安

全技術(shù)IT網(wǎng)絡(luò)安全第4部分：遠(yuǎn)程接入的安全保護(hù)》進(jìn)行修訂。

三、主要試驗[或驗證]情況分析

標(biāo)準(zhǔn)各項要求在部分起草單位設(shè)備上進(jìn)行了驗證，效果良好。

四、知識產(chǎn)權(quán)情況說明

本標(biāo)準(zhǔn)不涉及知識產(chǎn)權(quán)問題。

五、產(chǎn)業(yè)化情況、推廣應(yīng)用論證和預(yù)期達(dá)到的經(jīng)濟(jì)效果

本標(biāo)準(zhǔn)等同采用《Informationtechnology—Securitytechniques—Network

securityPart3:Referencenetworkingscenarios—Threats,designtechniquesand

controlissues》（《信息技術(shù)安全技術(shù)網(wǎng)絡(luò)安全第3部分:參考網(wǎng)絡(luò)場景—風(fēng)險，

設(shè)計技術(shù)和控制要素》）標(biāo)準(zhǔn)，利用專業(yè)技術(shù)人員對相關(guān)標(biāo)準(zhǔn)進(jìn)行翻譯，同時結(jié)

合我國信息技術(shù)、安全技術(shù)和網(wǎng)絡(luò)安全的實際情況進(jìn)行編制，從而形成國家標(biāo)準(zhǔn)

草案。本校準(zhǔn)適用于任何計劃設(shè)計、實施網(wǎng)絡(luò)安全的組織機(jī)構(gòu)。本標(biāo)準(zhǔn)提供了網(wǎng)

絡(luò)安全和相關(guān)定義的概述，定義和描述與網(wǎng)絡(luò)安全相關(guān)的概念，并提供有關(guān)網(wǎng)絡(luò)

安全的管理指導(dǎo)。此外，該標(biāo)準(zhǔn)還提供了基于如何識別和分析網(wǎng)絡(luò)安全風(fēng)險以及

網(wǎng)絡(luò)安全要求定義的指導(dǎo)、持網(wǎng)絡(luò)技術(shù)安全架構(gòu)和相關(guān)技術(shù)控制的概述和介紹如

何實現(xiàn)良好質(zhì)量的網(wǎng)絡(luò)技術(shù)安全架構(gòu)，以及與典型網(wǎng)絡(luò)場景和網(wǎng)絡(luò)“技術(shù)”領(lǐng)域。

六、采用國際標(biāo)準(zhǔn)和國外先進(jìn)標(biāo)準(zhǔn)情況

本標(biāo)準(zhǔn)等同采用《Informationtechnology—Securitytechniques—Network

securityPart3:Referencenetworkingscenarios—Threats,designtechniquesand

controlissues》（《信息技術(shù)安全技術(shù)網(wǎng)絡(luò)安全第3部分:參考網(wǎng)絡(luò)場景—風(fēng)險，

設(shè)計技術(shù)和控制要素》）標(biāo)準(zhǔn)，基于翻譯法，通過對語序的調(diào)整，以便符合中文

閱讀習(xí)慣。

七、與現(xiàn)行相關(guān)法律、法規(guī)、規(guī)章及相關(guān)標(biāo)準(zhǔn)的協(xié)調(diào)性

1、貫徹國家有關(guān)政策與法規(guī)

本標(biāo)準(zhǔn)中涉及網(wǎng)絡(luò)安全設(shè)計原則與實施指南符合國家網(wǎng)絡(luò)安全有關(guān)規(guī)定。

2、與相關(guān)國內(nèi)相關(guān)標(biāo)準(zhǔn)的關(guān)系

本標(biāo)準(zhǔn)與我國現(xiàn)行的法律、法規(guī)及國家標(biāo)準(zhǔn)、國家軍用標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)不存

在沖突問題。本標(biāo)準(zhǔn)發(fā)布后，將替代原有標(biāo)準(zhǔn)《信息技術(shù)安全技術(shù)IT網(wǎng)絡(luò)安

全第4部分：遠(yuǎn)程接入的安全保護(hù)》。

為了能同國際標(biāo)準(zhǔn)相接軌，應(yīng)將按照國際標(biāo)準(zhǔn)的修訂情況相應(yīng)對《信息技術(shù)

安全技術(shù)IT網(wǎng)絡(luò)安全第4部分：遠(yuǎn)程接入的安全保護(hù)》進(jìn)行修訂。

八、重大分歧意見的處理經(jīng)過和依據(jù)

本標(biāo)準(zhǔn)起草過程中未出現(xiàn)重大分歧，妥善處理了各階段收到的專家意見和建

議。

九、標(biāo)準(zhǔn)性質(zhì)的建議

本標(biāo)準(zhǔn)應(yīng)作為一項推薦性國家標(biāo)準(zhǔn)。

十、貫徹標(biāo)準(zhǔn)的要求和措施建議

本標(biāo)準(zhǔn)的技術(shù)已較為成熟，實施難度不大，建議本標(biāo)準(zhǔn)的發(fā)布日期與實施日

期相隔六個月的時間。

為了使標(biāo)準(zhǔn)的規(guī)定得到有效貫徹，建議全國信安標(biāo)委及時通知行業(yè)內(nèi)各單位

本標(biāo)準(zhǔn)的發(fā)布信息，在過渡期內(nèi)組織編寫標(biāo)準(zhǔn)宣貫材料及宣貫活動。

十一、替代或廢止現(xiàn)行相關(guān)標(biāo)準(zhǔn)的建議

本標(biāo)準(zhǔn)代替GB/T25068.4-2010《信息技術(shù)安全技術(shù)IT網(wǎng)絡(luò)安全