《信息安全技术 数据安全交换产品安全技术要求》（征求意见稿）编制说明

1《信息安全技术数据安全交换产品安全技术要求》一、工作简况（一）任务来源本标准2023年由公安部第一研究所向中国基本建设优化研究会（简称：中基会）提出立项，中基会于2023年5月31日正式下达立项计划，计划编号为：P2023-03。本标准由中国基本建设优化研究会提出并归口。本标准由公安部第一研究所为牵头单位的起草小组组织起草。（二）标准制订的背景随着信息技术和人类生产生活交汇融合，各类数据迅猛增长、海量聚集，对经济发展、社会治理、人民生活都产生了重大而深刻的影响。数据安全已成为事关国家安全与经济社会发展的重大问题。党中央对此高度重视，习近平总书记多次作出重要指示批示，提出加快法规制度建设、切实保障国家数据安全等明确要求。2021年9月1日《中华人民共和国数据安全法》正式施行，数据安全法第七条明确规定“国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字经济发展。”第十一条明确规定“国家积极开展数据安全治理、数据开发利用等领域的国际交流与合作，参与数据安全相关国际规则和标准的制定，促进数据跨境安全、自由流动”。目前，国内公安行业已研发公安信息网边界接入平台，公安信息网与相关专有网络间的数据交换、授权访问等。但是目前国内外尚无相关标准对数据安全交换产品的功能、安全等方面提出要求和规范，对数据安全交换产品使用方在选择相关产品造成了困惑，对数据安全交换产品生产和研发单位在产品设计、开发以及测试等方面造成了困难，相关检测和监管部门在政策制定和监管方面缺乏技术支撑。因此，亟需制定相关标准对数据安全交换产品进行规范。（三）主要工作过程（1）项目预研项目前期，主编单位、中国基本建设优化研究会、北京蓝象标准咨询服务有限公司对信息安全技术进行了系统的研究，针对数据安全交换产品的市场情况、需求情况等进行了资料查证和企业走访调研，并结合专家意见形成了立项建议书和标准草案框架。2023年5月29日召开了立项评估会，经专家论证，同意该标准立项。中国基本建设优化研究会于2023年5月31日下达了标准制定计划。（2）项目立项2023年5月31日上午，中国基本建设优化研究会下达了《信息安全技术数据安全交换产品技术规范》等7项“信息安全技术”系列团体标准立项通知，要求标准主要起草单位抓紧落实和实施计划，在标准起草过程中加强与有关方面的协调，广泛听取意见，保证标准质量和水平，按时完成团体标准制订任务。（3）项目启动及首次研讨会22023年6月27日，由中国基本建设优化研究会主办、北京蓝象标准咨询服务有限公司承办的《信息安全技术数据安全交换产品技术规范》等7项“信息安全技术”系列团体标准启动会在北京召开。中国基本建设优化研究会党委书记（会长）孙晓洲、中国标准化委员会委员（博士生导师）强毅出席会议并致辞，中国基本建设优化研究会秘书长宫然、中国基本建设优化研究会标准化技术委员会主任委员段小莉出席会议并总结发言，公安部科技信息化局原局长厉剑、中国科学院计算机网络信息中心大数据部副主任（国家基础学科公共科学数据中心主任）胡良霖、中国标准化研究院高新技术与信息标准化研究所副所长王志强、国家信息技术安全研究中心原副总工程师宫亚峰等领导和专家出席会议。会议由中国基本建设优化研究会标准化技术委员会副主任委员（北京蓝象标准咨询服务有限公司首席技术官）张德保主持。《信息安全技术数据安全交换产品技术规范》等7项“信息安全技术”系列团体标准首次研讨会由中国基本建设优化研究会标准化技术委员会副主任委员（中国科学院计算机网络信息中心大数据部副主任、国家基础学科公共科学数据中心主任）胡良霖主持，公安部第一研究所代表标准起草组，对《信息安全技术数数据安全交换产品技术规范》标准的主笔单位、研制背景、标准主要内容和标准编制情况进行了介绍，并汇报了会议前收到的修改意见预处理情况。随后，参会代表结合意见预处理情况，围绕标准的名称、技术框架、条款的陈述方式等方面展开了热烈的讨论，主编单位代表对各参会代表所提建议和意见进行了详细的记录和解答。会后，标准起草组针对启动会会前和会上，和专家提出的59条建议和意见进行分析和研究，对标准草案进行相应修改与完善，形成新一版的标准文本。综合专家意见，经编制组讨论修改标准名称为《信息安全技术数据安全交换产品安全技术要求》（4）第二次研讨会2023年10月20日，由中国基本建设优化研究会主办，北京蓝象标准咨询服务有限公司、中国工业互联网研究院联合承办的《信息安全技术数据安全交换产品安全技术要求》等7项信息安全技术系列团体标准第二次研讨会在京成功召开。中国基本建设优化研究会标准化技术委员会主任委员、北京蓝象标准咨询服务有限公司总经理段小莉，中国工业互联网研究院主任薛强出席会议并致辞，公安部科技信息化局原党委书记、局长（研究员）厉剑作为特邀专家出席会议并做点评。自59家企事业单位60余名代表参加了会议，会议由中国基本建设优化研究会标准化技术委员会标准化工程师吴建全主持。主编单位公安部第一研究所代表标准起草组介绍标准讨论稿和意见处理情况，参会领导、专家和企业代表重点围绕标准的范围和定位、技术框架、性能指标、条款内容等方面展开了热烈的讨论，并对标准文本的修改和完善提出了很多宝贵的建议和意见。同时，特邀专家公安部科技信息化局原党委书记、局长（研究员）厉剑从专业技术角度对标准进行了专业点评。主编单位代表对各参编单位代表所提建议和意见进行了详细的记录和解答，会后，标准起草组针对各单位和专家提出的58条修改建议进行了处理，并对相应的标准文本进行修改。（四）主要参加起草单位和工作组成员所做的工作本标准起草工作组由公安部第一研究所为牵头单位组成。起草组承担了标准起草的组织、标准文本的编制、重点企业意见征求、标准编制说明的撰写和内审等工作。3二、标准编制原则和确定标准主要内容的依据（一）标准编写原则本标准按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。起草过程，充分考虑现有相关标准的统一和协调；标准的要求充分考虑了国内当前的行业技术水平，对草案内容进行多次征求意见和充分讨论。（二）确定标准主要技术指标的基本原则（1）适用性：既不要让标准所涵盖的领域过宽，使编制的标准没有实际技术内容；也不要让标准所涵盖的领域过窄，造成对标准的肢解，无谓地增加标准项目。（2）先进性：编写标准草案时在充分调查研究的基础上，认真分析国内外同类技术标准的技术水平，在预期可达到的条件下，积极把先进技术纳入标准，提高产品技术水平。（3）协调性；编制过程中注意符合法律法规的规定以及与相关标准协调，避免与法律法规、相关标准之间出现矛盾，给标准的实施造成困难。（三）主要内容本标准规定了数据安全交换产品的总体架构、功能要求、系统配置要求及安全要求。1）总体架构：定义和描述数据安全交换产品的总体架构2）功能要求：规定了数据安全交换产品主要功能包括请求汇聚服务、单向导入系统、响应汇聚服务和单向导出系统。核心功能：数据安全交换产品由请求汇聚服务、单向导入模块和单向导出模块、响应汇聚服务模块组成，单向导入模块和单向导出模块内部由主机加专用单向传输部件构成，用于实现请求端（安全域A）和响应端（安全域B）的请求数据安全交换。3）系统配置要求：规定了数据安全交换产品需要满足国产化、最低配置、支持协议和最低性能要求。1标准中要求请求汇聚服务利用APIkey、可信认证、数字证书等技术手段验证请求端用户和应用的真实性和合法性，缩小数据跨网、跨域请求交换的请求端暴露面；2标准中要求产品必须实现数据的单向导入和单向导出，隔离交换核心部件必须使用单向传输部件，无任何信号反馈，在物理上始终保持网络物理断开状态；43标准中要求产品内部必须使用私有协议加密传输、数据安全检查和安全完整性保证能力，以保证数据传输过程的保密性、完整性和可靠性。4标准中要求产品必须具有敏感数据识别能力，支持对接单位或者部门数据分类分级接口。5标准中要求产品必须具有可视化能力和审计画像能力，可以形成数据交换合规基线，形成数据交换业务画像和数据画像，发现违规行为，对违规行为进行阻断。4）安全要求：规定了数据安全交换产品在身份验证、传输安全、安全策略管理等维度相应安全要求。三、数据验证本标准通过收集、整理当前信息安全技术数据安全交换产品安全技术相关国内外文献5篇，查阅信息安全技术数据安全交换产品安全技术相关现行国家、行业标准10项，并调研涉及信息安全技术数据安全交换产品安全技术要求应用的企业7家，包括北京国御网络安全技术有限公司、北京卓讯科信技术有限公司、国网思极网安科技（北京）有限公司、杭州领信数科信息技术有限公司、视联动力技术股份有限公司、拓尔思天行网安信息技术有限责任公司、北京安盟信息技术股份有限公司等。四、预期的社会经济效果本标准的制定和应用主要有以下几个方面的作用：（1）保障数据依法有序自由流动、促进数据跨境安全、自由流动等，从而保障行业健康发展。（2）为数据安全交换产品开发方在产品的设计、开发及测试等方面提供技术指导，从而引导技术和产品的快速发展。（3）为数据安全交换产品使用者在相关产品选择、评价等方面提供参考，从而避免社会资源浪费。（4）为相关政府部门和检测认证机构在政策制定、市场监管等方面提供技术支撑。五、与有关法律、行政法规及相关标准关系的说明（一）国际有关法律、法规和相关标准的说明目前国际上没有明确的关于网络隔离产品和数据安全交换产品的标准规范（二）与我国有关现行法律、法规和相关标准的关系1、国内关于终端和网络隔离产品现行的主要标准如下：①.《GB/T20279-2015信息安全技术网络和终端隔离产品安全技术要求》②.《GB/T20277-2015信息安全技术网络和终端隔离产品测试评价方法》2、本标准在起草过程中重点参考的标准如下：①.《GB/T20279-2015②.《GB/T22239-2019③.《GB/T37988-2019④.《GB/T39204-2019信息安全技术信息安全技术信息安全技术信息安全技术网络和终端隔离产品安全技术要求》网络安全等级保护基本要求》数据安全能力成熟度模型》关键信息基础设施安全保护要求》5⑤.《GB/T42250-2022⑥.《GB/T25069-2022⑦.《GB/T35295-2017信息安全技术网络安全专用产品安全技术