ISO 19650-52020 建筑物和土木工程信息的组织和数字化 包括建筑物信息模型（BIM）.使用建筑物信息模型的信息管理.第5部分信息管理的安全方法标准立项发展报告

建筑物和土木工程信息的组织和数字化包括建筑物信息模型（BIM）使用建筑物信息模型的信息管理第5部分：信息管理的安全方法标准立项发展报告StandardizationDevelopmentReport:Organizationanddigitizationofinformationaboutbuildingsandcivilengineeringworks,includingbuildinginformationmodelling(BIM)—Informationmanagementusingbuildinginformationmodelling—Part5:Security-mindedapproachtoinformationmanagement摘要关键词：建筑信息模型；信息管理；信息安全；安全导向；ISO19650-5；建筑物；土木工程Keywords:BuildingInformationModelling(BIM);InformationManagement;InformationSecurity;Security-mindedApproach;ISO19650-5;Buildings;CivilEngineeringWorks1.引言：数字化转型下的安全挑战与标准立项背景在工业4.0与数字孪生技术浪潮的推动下，全球建筑业正经历着以建筑信息模型（BIM）技术为核心的数字化转型。BIM技术通过创建和利用数字化模型，实现了对建筑项目规划、设计、施工和运维全生命周期的协同管理，极大地提升了信息传递的效率和准确性。然而，这种高度数字化的协作模式也带来了前所未有的信息安全挑战。传统的信息安全威胁，如数据泄露、篡改、恶意软件攻击，在高度互联的BIM环境中被放大。更重要的是，BIM数据涉及从功能需求、结构设计、材料规格到设备供应商、运维参数等极为敏感的商业和技术信息。这些信息一旦被未经授权的人员访问或利用，不仅可能导致经济损失，更可能对关键基础设施的安全、国防安全乃至公共安全构成直接威胁。例如，一份详细的城市地下管线BIM模型，可能同时包含了其脆弱性和补救措施的细节，其敏感性不言而喻。然而，在ISO19650-5:2020发布之前，全球范围内尚缺乏一个针对建筑行业BIM信息管理的通用安全标准框架。现有的信息安全标准，如ISO/IEC27000系列，虽具有普适性，但其技术实现和管控流程未能充分考虑建筑行业项目管理的独特性，如项目参与方动态变化、信息权责划分复杂、数据生命周期长等特点。为此，国际标准化组织（ISO）技术委员会ISO/TC59/SC13（建筑物和土木工程信息组织与数字化）敏锐地捕捉到这一需求，牵头制定了ISO19650-5:2020。该标准的立项，旨在填补这一领域的安全管理空白，为全球建筑行业提供一套统一、可操作的信息安全方法论。2.标准核心内容与技术框架解析ISO19650-5:2020的核心目标并非定义具体的安全技术工具，而是建立一种“安全导向”的信息管理文化和方法。其技术框架可归纳为以下四大支柱：1.核心概念的界定标准首先明确了几个关键概念，为后续的安全管理活动奠定基础：*敏感信息(SensitiveInformation):指其泄露、篡改、丢失或滥用可能对组织、个人或国家利益造成负面影响的任何信息。这是安全管理的核心对象。*信息安全管理能力(InformationSecurityManagementCapability):指组织或个人成功执行安全任务所需的知识、技能、经验、流程和资源的组合。*信息保障(InformationAssurance):对信息及其处理、存储和传输系统的机密性、完整性、可用性、不可否认性和真实性所采取的管理和技术措施。*安全事件(SecurityIncident):对信息资产安全造成威胁或破坏的事件。2.安全导向的信息管理原则标准提出了五项核心原则，贯穿整个信息管理过程：*威胁意识(ThreatAwareness):始终识别并理解组织及其项目所面临的内外部安全威胁。*风险驱动(Risk-based):根据经评估的特定风险等级，确定安全措施的强度与优先级，避免过度或不足。*全生命周期(Lifecycle-wide):安全考量应贯穿信息从创建、使用、共享、存储到归档或销毁的整个生命周期。*协同合作(Collaborative):所有参与方（业主、设计方、承包商、供应商等）应共同分担安全责任，共享安全信息。*适应性(Adaptive):安全策略和措施应随着威胁环境、技术和业务需求的变化而动态调整。3.信息安全管理流程标准详细阐述了一个闭环的管理流程：1.识别与分类(Identify&Classify):对项目所有信息资产进行盘点，根据其敏感性进行分级分类（如公开、内部、敏感、机密）。2.评估与处理(Assess&Treat):对已识别的敏感信息进行风险评估，确定其面临的威胁、潜在的薄弱环节以及可能造成的影响。随后，依据评估结果选择并实施适当的处理措施，如避免、转移、缓解或接受风险。3.选择与实施控制(Select&ImplementControls):根据风险评估结果，选择并实施必要的管理和技术控制措施。这些控制措施覆盖组织策略、物理安全、人员安全、网络安全、数据安全等多个维度。4.监控与改进(Monitor&Improve):持续监控安全控制的运行效果，定期进行审计和演练，并根据变化的环境和反馈进行持续改进。4.对利益相关方的要求标准对不同角色提出了明确的安全责任与能力要求。尤其是对“任命方”（通常是项目业主或发起方），要求其建立并维护一个强有力的“信息安全管理体系”，并在项目招标、合同阶段明确各参与方的安全角色、职责和能力要求。所有参与方都必须证明其具备相应的信息安全管理能力。3.标准的核心价值与行业影响ISO19650-5:2020的发布，不仅是技术标准的一次重要更新，更是对建筑行业信息管理理念的重塑，其核心价值体现在以下几个方面：1.建立全球统一的“安全语言”该标准为全球建筑行业提供了一个共同的信息安全术语、原则和流程框架。无论项目参与者位于哪个国家，使用何种软件平台，都能基于这套统一的标准进行有效沟通与协作，消除了因安全认知差异导致的合作障碍。这对于跨国、跨区域的复杂工程项目尤为重要。2.从“被动应对”到“主动防御”不同于以往项目在出现安全事件后才采取补救措施，该标准强制要求将安全考量前置到信息管理的策划阶段。通过风险驱动的方法，标准鼓励项目团队主动识别和管理潜在威胁，将安全嵌入整个业务流程，实现了从被动式防火墙思维向主动式风险管理思维的飞跃。3.提升项目韧性与投资回报通过系统化的信息安全管理，可以显著降低因数据泄露、系统中断或关键信息破坏所导致的项目延期、成本超支和法律诉讼风险。有效的安全管理不仅保护了项目的核心资产，也增强了项目应对各种突发事件（如网络攻击）的韧性。从长远来看，这有助于提升投资者的信心和项目的最终投资回报率。4.为更复杂的数字应用奠定安全基础随着BIM与物联网（IoT）、人工智能（AI）、数字孪生、云计算等新技术的深度融合，未来的建筑信息环境将更加复杂和开放。ISO19650-5:2020所倡导的安全导向方法，为这些高级应用提供了一个安全、可信的基础框架，确保在追求效率与创新的同时，不会牺牲信息的安全性。4.主要参与单位介绍：ISO/TC59/SC13建筑物和土木工程信息组织与数字化分委员会ISO19650系列标准，包括本报告的第五部分，均由国际标准化组织（ISO）下设的“建筑物和土木工程信息组织与数字化”分委员会（ISO/TC59/SC13）负责制定。该分委员会是在全球建筑信息化领域最具权威性的标准制定机构之一。组织使命与架构ISO/TC59/SC13的前身是专注于BIM标准制定的工作组。随着BIM技术的全球普及和标准化需求的日益迫切，该工作组于2017年升级为分委员会，直接对ISO/TC59（建筑物和土木工程）技术委员会负责。其核心使命是制定和协调关于建筑物和土木工程信息在整个生命周期中进行组织、分类、交换、管理和数字化的国际标准。委员会成员囊括了来自全球数十个国家的标准化机构代表、行业领先企业、顶尖科研院所和资深专家。主要贡献与成果ISO/TC59/SC13最著名的成果是ISO19650系列标准，该系列包括：*ISO19650-1:概念和原则*ISO19650-2:资产交付阶段*ISO19650-3:资产运营阶段*ISO19650-4:2022信息交换*ISO19650-5:2020信息管理的安全方法这一系列标准共同构成了一个完整的BIM信息管理国际标准体系，被英国BSI标准、欧盟标准以及多个国家的国家标准广泛采纳或引用。委员会还积极参与与其他ISO技术委员会（如ISO/IECJTC1/SC27信息安全管理）的协作，确保建筑行业信息安全标准与通用信息安全标准的衔接与互补。工作模式与权威性ISO/TC59/SC13的工作遵循ISO的严格流程，包括提案、起草、征求意见（DIS）、最终草案（FDIS）等多个阶段，确保标准的科学性、严谨性和全球共识。委员会定期召开全体会议和小组会议，就关键议题进行深入研讨。所有最终发布的国际标准都代表着国际专家群体的集体智慧，具有极高的技术权威和全球通用性，其发布不仅是技术进步的标志，也引导着全球建筑行业数字化转型的正确方向。5.结论与展望ISO19650-5:2020《建筑物和土木工程信息的组织和数字化包括建筑物信息模型（BIM）使用建筑物信息模型的信息管理第5部分：信息管理的安全方法》的正式发布，是国际建筑行业在数字化进程中一座重要的里程碑。它不仅为行业提供了一套科学、系统、可操作的信息安全方法论，更从根本上推动了整个行业从关注信息“如何高效流动”到“如何安全流动”的思维转变。展望未来，该标准的影响力将持续深化，并向以下几个方向发展：1.区域与国家标准的本地化采纳：预计未来几年，越来越多的国家和地区将参照ISO19650-5:2020，结合自身法律法规和行业实践，制定或修订本地的BIM信息安全管理标准，形成从国际到国家再到企业的多层次标准体系。2.与新兴技术的深度融合：随着数字孪生、人工智能、边缘计算、区块链等技术的成熟，未来的标准修订将需要考虑如何在确保安全的前提下，最大化这些新技术的效能。例如，利用区块链技术实现BIM信息变更的不可篡改与可追溯性。3.认证与资格认定体系的构建：基于该标准，全球可能出现专门针对建筑行业信息安全管理人员或组织的认证体系。这将推动市场形成对“信息安全管理能力”的第三方评估和认可机制，提升行业整体的安全水平。4.从“安全导向”到“安全设计