《信息安全技术 数据泄漏防护产品技术要求》（征求意见稿）编制说明

1一、工作简况（一）任务来源本标准2023年由广电计量检测集团股份有限公司向中国基本建设优化研究会（简称：中基会）提出立项，中基会于2023年5月31日正式下达立项计划，计划编号为：P2023-07。本标准由中国基本建设优化研究会提出并归口。本标准由广电计量检测集团股份有限公司为牵头单位的起草小组组织起草。（二）标准制订的目的和意义随着信息化建设的加速发展，数据泄露防护产品已经被广泛应用于大型企业和政府部门，这些企业和政府部门保存有大量需要保密的数据。近些年频频发生的数据泄露事件，给相关企业信誉、政府部门形象和经济等方面带来了巨大的损失；而棱镜门事件的发生，则威胁到了国家的安全。这使得国家在政策层面、企业在意识层面，对敏感数据泄露的防护提出了前所未有的严格要求。国外，自2011年以来，赛门铁克、麦咖啡、趋势科技等跨国信息安全巨头，纷纷收购数据泄露防护（DLP）公司、技术和产品，涉足推动数据泄露防护（DLP）领域，在全球推出以内容检测为核心技术、辅以身份认证和访问控制、日志审计等技术的DLP产品。目前国外没有数据泄露防护产品的国际标准，仅有一些与其相关的其他产品的PP（ProtectionProfile）可供参考。近年来，数据泄露造成的损失与日俱增，数据泄露防护产品备受关注，国内数据泄露防护行业的发展处于深度困扰和迷茫状态中。因此，开展数据泄露防护产品安全评价研究就显得尤为迫切，制定《数据泄露防护产品安全技术要求和测试评价方法》能够填补相关标准空白，健全国家网络安全产品标准体系，对于数据泄露防护行业的发展具备至关重要的作用。目前国内数据泄露防护产品的实现水平不一，安全性参差不齐，与国外水平也存在一定的差距，在未来的应用中必将存在很大的安全隐患。因此，建立一套数据泄露防护产品的安全技术评价标准，规范数据泄露防护产品功能及安全性,本标准的制定和实施主要有以下几个方面的作用：（1）可为数据泄露防护产品用户选择数据泄露防护产品提供合理依据，避免社会资源浪费；（2）可为数据泄露防护产品的研制、生产、测试、评估和认证提供指导，为数据泄露防护产品在未来的应用中能够提供更安全的服务奠定更坚实的基础，对于保障信息系统安全运行和数据安全具有重要的意义；（3）为相关政府部门和检测认证机构在政策制定、市场监管等方面提供技术支撑。（三）主要工作过程（1）项目预研项目前期，主编单位、中国基本建设优化研究会、北京蓝象标准咨询服务有限公司对信息安全技术进2行了系统的研究，针对数据泄漏防护产品的市场情况、需求情况等进行了资料查证和企业走访调研，并结合专家意见形成了立项建议书和标准草案框架。2023年5月29日召开了立项评估会，经专家论证，同意该标准立项。中国基本建设优化研究会于2023年5月31日下达了标准制定计划。（2）项目预研2023年5月31日上午，中国基本建设优化研究会下达了《信息安全技术数据防泄漏产品技术规范》等7项“信息安全技术”系列团体标准立项通知，要求标准主要起草单位抓紧落实和实施计划，在标准起草过程中加强与有关方面的协调，广泛听取意见，保证标准质量和水平，按时完成团体标准制订任务。（3）项目启动及首次研讨会2023年6月27日，由中国基本建设优化研究会主办、北京蓝象标准咨询服务有限公司承办的《信息安全技术数据防泄漏产品技术规范》等7项“信息安全技术”系列团体标准启动会在北京召开。中国基本建设优化研究会党委书记（会长）孙晓洲、中国标准化委员会委员（博士生导师）强毅出席会议并致辞，中国基本建设优化研究会秘书长宫然、中国基本建设优化研究会标准化技术委员会主任委员段小莉出席会议并总结发言，公安部科技信息化局原局长厉剑、中国科学院计算机网络信息中心大数据部副主任（国家基础学科公共科学数据中心主任）胡良霖、中国标准化研究院高新技术与信息标准化研究所副所长王志强、国家信息技术安全研究中心原副总工程师宫亚峰等领导和专家出席会议。会议由中国基本建设优化研究会标准化技术委员会副主任委员（北京蓝象标准咨询服务有限公司首席技术官）张德保主持。《信息安全技术数据防泄漏产品技术规范》等7项“信息安全技术”系列团体标准首次研讨会由中国基本建设优化研究会标准化技术委员会副主任委员（中国科学院计算机网络信息中心大数据部副主任、国家基础学科公共科学数据中心主任）胡良霖主持，广电计量检测集团股份有限公司代表标准起草组，对《信息安全技术数据泄露防护产品技术要求》标准的主笔单位、研制背景、标准主要内容和标准编制情况进行了介绍，并汇报了会议前收到的修改意见预处理情况。随后，参会代表结合意见预处理情况，围绕标准的名称、技术框架、条款的陈述方式等方面展开了热烈的讨论，主编单位代表对各参会代表所提建议和意见进行了详细的记录和解答。会后，标准起草组针对启动会会前和会上，和专家提出的36条建议和意见进行分析和研究，对标准草案进行相应修改与完善，形成新一版的标准文本。并根据会议意见研究更改标准名称为《信息安全技术数据泄漏防护产品技术要求》。（4）第二次研讨会2023年10月20日，由中国基本建设优化研究会主办，北京蓝象标准咨询服务有限公司、中国工业互联网研究院联合承办的《信息安全技术数据泄露防护产品技术要求》等7项信息安全技术系列团体标准第二次研讨会在京成功召开。中国基本建设优化研究会标准化技术委员会主任委员、北京蓝象标准咨询服务有限公司总经理段小莉，中国工业互联网研究院主任薛强出席会议并致辞，公安部科技信息化局原党委书记、局长（研究员）厉剑作为特邀专家出席会议并做点评。自59家企事业单位60余名代表参加了会议，会议由中国基本建设优化研究会标准化技术委员会标准化工程师吴建全主持。主编单位广电计量检测集团股份有限公司代表标准起草组介绍标准讨论稿和意见处理情况，参会领导、专家和企业代表重点围绕标准3的范围和定位、技术框架、性能指标、条款内容等方面展开了热烈的讨论，并对标准文本的修改和完善提出了很多宝贵的建议和意见。同时，特邀专家公安部科技信息化局原党委书记、局长（研究员）厉剑从专业技术角度对标准进行了专业点评。主编单位代表对各参编单位代表所提建议和意见进行了详细的记录和解答，会后，标准起草组针对各单位和专家提出的26条修改建议进行了处理，并对相应的标准文本进行修改。（四）主要参加起草单位和工作组成员所做的工作本标准起草工作组由广电计量检测集团股份有限公司为牵头单位组成。起草组承担了标准起草的组织、标准文本的编制、重点企业意见征求、标准编制说明的撰写和内审等工作。二、标准编制原则和确定标准主要内容的依据（一）标准编写原则本标准按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。起草过程，充分考虑现有相关标准的统一和协调；标准的要求充分考虑了国内当前的行业技术水平，对草案内容进行多次征求意见和充分讨论。（二）确定标准主要技术指标的基本原则数据泄露防护产品通过对运行、存储于主机内或者网络中传输的文件、数据进行内容识别，对数据的操作和传输过程进行监视和控制，实现对数据以非授权的形式流出安全域进行防护的功能；同时该类产品还应具有基本的身份鉴别、安全管理、审计和报警功能。该类产品的部署和实现方式可分为主机型（移动终端）、网络型或综合型（包含主机客户端、移动终端及网络设备）。编制过程遵循下列原则：以技术为核心：关注技术发展方向及法律法规要求；以市场为基础：关注产品市场占比与用户需求；以应用为目标：关注应用需求。（三）主要内容本标准规定了数据泄露防护产品的概况、技术要求、安全技术要求和等级划分要求。（1）编制思路——覆盖主要的数据访问的应用场景；——覆盖产品的主要功能；——覆盖产品的安全功能；——基于产品的水平，划分等级；——参考新的数据识别技术。（2）总体概况数据泄露防护产品通过对运行、存储于主机内或者网络中传输的文件、数据进行内容识别，对数据的操作和传输过程进行监视和控制，实现对数据以非授权的形式流出安全域进行防护的功能；同时该类产品还应具有基本的身份鉴别、安全管理、审计和报警功能。该类产品的部署和实现方式可分为主机型移4动终端）、网络型或综合型（包含主机客户端、移动终端及网络设备）。（3）技术要求数据输出方式监测、数据内容识别、策略管理等数据防泄露产品的功能。（4）安全功能要求——标识与鉴别：机密性；唯一性标识、身份鉴别；鉴别数据保护、鉴别失败处理。——安全管理功能：赋予安全管理员的功能。——区分安全管理角色：责权分立，操作、审批、审计、管理。——远程管理——数据保密：审计日志数据机密性、完整性；强制性：保护程序不被用户恶意终止；防止非授权监控、远程保密传输、集中分组管理、审计数据续传。——审计功能——审批功能——报警功能（5）等级划分要求按照数据防泄露的技术能力要求强度，将数据防泄露安全功能要求划分成基本级和增强级。5（四）主要依据本标准在贯彻落实我国网络安全、信息安全相关国家政策基础上，通过研究分析相关国家标准、行业标准提出本项目的研制思路，主要参考以下标准：GB/T18336.3—2015信息技术安全技术信息技术安全评估准则第3部分：安全保障组件GB/T25069—2010信息安全技术术语三、与国际、国外同类标准技术内容的对比情况目前，国外在数据防泄露领域已涌现出一批优秀企业，从不同的角度提出了各自的数据泄露防护解决方案。由于数据防泄露是个比较新的领域，国外在这方面虽然起步较早，很多公司宣称自己是该领域领先者。实际上就目前来看，尚没有任何一家公司具有显而易见的优势。一方面是因为该领域仍存在大量需要解决的技术问题，另一方面则是由于敏感数据防泄露涉及政策和管理等方方面面的问题，且各行各业情况不尽相同，这也增加了数据防泄露的难度。目前国外没有数据泄露防护产品的国际标准，仅有一些与其相关的其他产品的PP可供参考。四、与有关法律、行政法规及相关标准关系的说明自2013年以来，国内大力推动国产DLP产品的生产和应用，在金融行业和运营商行业更是掀起了一个潮流。但国内产品还处于萌芽阶段，产品的不成熟和不稳定为DLP国产化的道路带来了阻力，很多终端、加密和审计厂商开始转型。国内相关产品虽然具备了一些数据泄露防护功能，但其主要采用单一加密方式对数据进行保护，不能对传输中的数据进行保护，且加密文件的外发需要经过文件审批流程，增加人工管理工作量，缺乏对数据全生命周期的管控。因此，为适应数据泄露防护产品发展的需求，相关企业已对当前实施的DLP行业标准进行修改，但数据泄露防护产品安全技术规范相关标准尚属空白，亟待出台相关标准。五、重大分歧意见的处理经过和依据本文件在起草过程中，对标准中的技术内容没有发生重大分歧。六、涉及专利的有关说明本文件不涉及专利。七、数据验证本标准研制过程中参考了《GA/T912-2018信息安全技术数据泄露防护产品安全技术要求》、《YD/T3735-2020电信网数据泄露防护系统（DLP）技术要求》、《数据大泄露-隐私保护危机与数据安全》、《隐私数据泄露行为分析》等书籍。本标准对天空卫士、美创、北信源、天融信等产品做了调研。核心内容和技术要求基于当前市场主流产品的技术能力与安全功能，同时依据GB/T618336分析了产品的安全威胁，完善了安全功能要求的内容。标准内容能够覆盖市场主流产品的能力，符合市场和行业的需求。八、预期社会经济效益目前国内数据泄露防护产品的实现水平不一，安全性参差不齐，与国外水平也存在一定的差距，在未来的应用中必将存在很大的安全隐患。因此，建立一套数据泄露防护产品的安全技术评价标准，规范数据泄露防护产品功能及安全性,本标准的制定和实施主要有以下几个方面的作用：（1）可为数据泄露防护产品用户选择数据泄露防护产品提供合理依据，避免社会资源浪费；（2）可为数据泄露防