GAT 1390.7-2025 信息安全技术　网络安全等级保护基本要求　第7部分：大数据系统安全扩展要求标准立项发展报告

*信息安全技术网络安全等级保护基本要求第7部分：大数据系统安全扩展要求标准立项发展报告EnglishTitle:StandardizationDevelopmentReport:InformationSecurityTechnology-BaselineforClassifiedProtectionofCybersecurity-Part7:ExtendedRequirementsforBigDataSystemSecurity摘要随着大数据技术的广泛应用，其面临的病毒攻击、数据泄露、权限滥用等安全风险日益突出。为满足大数据环境下的网络安全等级保护需求，GA/T1390.7-2025《信息安全技术网络安全等级保护基本要求第7部分：大数据系统安全扩展要求》应运而生。本报告旨在全面阐述该项行业标准的立项背景、编制过程、核心内容及行业价值。研究指出，该标准在现有网络安全等级保护通用要求的基础上，针对大数据系统的数据采集、存储、处理、交换及销毁等全生命周期环节，提出了具体的、可操作的安全扩展要求。标准明确了大数据平台在安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等方面的特殊技术与管理措施，尤其强化了对数据脱敏、安全审计、隐私保护及分布式计算环境的安全控制。该标准的发布实施，不仅完善了我国网络安全等级保护标准体系在大数据领域的覆盖，也为政府、金融、电信等各行业的大数据系统建设、测评与合规提供了权威依据。展望未来，该标准将与人工智能安全等新兴领域标准联动，持续推动我国网络安全生态的健康发展。关键词网络安全等级保护；大数据系统安全；安全扩展要求；数据安全；合规测评；GA/T1390；信息安全Keywords:ClassifiedProtectionofCybersecurity;BigDataSystemSecurity;ExtendedSecurityRequirements;DataSecurity;ComplianceAssessment;GA/T1390;InformationSecurity1.引言随着信息技术与数字经济的深度融合，大数据已成为国家基础性战略资源和关键生产要素。从电子商务与金融风控的实时决策，到智慧城市与公共安全领域的态势感知，大数据平台凭借其高效的数据处理与洞察能力，支撑着各行各业的核心业务运转。然而，大数据环境的开放性、复杂性和动态性，使得传统的边界防御和单点安全技术难以有效应对新型安全威胁，如高级持续性威胁（APT）、数据爬取、分布式拒绝服务攻击等。基于此，我国网络安全等级保护制度作为国家信息安全保障的基本制度，亟需向大数据领域延伸和细化。在此背景下，公安部网络安全保卫局联合相关标准化技术委员会，组织行业内权威机构与专家，开展GA/T1390系列标准的研究与编制工作。GA/T1390-2025《信息安全技术网络安全等级保护基本要求第7部分：大数据系统安全扩展要求》（以下简称“本部分”）正式立项并发布实施。本部分旨在对GB/T22239-2019《信息安全技术网络安全等级保护基本要求》在通用要求之外，针对大数据系统特有的安全风险进行专项扩展，形成一套兼容通用、突出特色的安全控制体系。2.标准立项背景与政策依据（1）政策法规驱动《中华人民共和国网络安全法》明确要求国家实行网络安全等级保护制度。随后，《中华人民共和国数据安全法》及《中华人民共和国个人信息保护法》相继出台，对数据分类分级管理、数据安全风险评估及个人信息处理活动提出了更高层级的要求。2020年，公安部发布的《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》进一步强调，要“全面开展网络设施、信息系统、数据资源等定级备案工作，落实安全保护要求”。GA/T1390.7-2025正是落实上述法律和政策的直接技术产出，确保大数据系统在建设与运维过程中满足法定的安全义务。（2）行业标准体系完善作为公共安全行业标准，GA/T1390系列标准是网络安全等级保护制度技术落地的重要载体。在现有标准体系中，GB/T22239-2019构建了通用的安全基本要求框架，但面对大数据系统典型的“分布式架构、多维租户、跨域数据流转”等特征，通用要求显得不足。本部分的制定，是对该标准体系的横向补充。它沿用了等级保护第二级至第四级的设计思路，聚焦于大数据组件（如Hadoop/Spark生态、分布式消息队列、分布式数据库）的安全配置与运维，填补了大数据环境下等级保护测评的空白，使等级保护标准体系更具完整性和针对性。（3）技术发展趋势应对当前，大数据技术正朝着实时化、智能化和多模态方向发展。流处理框架（如Flink）、图数据库、数据湖仓一体（Lakehouse）等新型技术的应用普及，自带了新的攻击面。例如，Spark端点的未授权访问可能导致计算任务被劫持，或者数据源API接口的弱认证可能引发大规模数据窃取。本标准通过明确“安全计算环境”中对于数据计算作业的隔离要求、“安全通信网络”中对节点间数据传输的加密及完整性校验要求，直击大数据技术演进中的核心安全难题，体现了标准的前瞻性和实用性。3.标准主要内容与技术要求解析本部分共分为若干章节，其核心内容围绕“一个中心、三重防护”的等级保护基本理念，结合大数据系统特点进行扩展。（1）安全物理环境针对大数据集群通常部署在高密度数据中心、依赖于大量服务器节点协同工作的特点，标准提出了更严格的物理访问控制和设备容错要求。例如，要求实现集群内不同安全等级节点之间的物理隔离或强逻辑隔离，并明确要求机架级、机房级的冗余供电及制冷设施，确保集群在物理层面的高可用性和抗物理破坏能力。（2）安全通信网络本部分要求大数据系统内部网络节点间（如数据库节点、计算节点、管理节点）的数据传输必须采用加密或校验机制。区别于传统网络边界防护，标准特别强调内部南北向和东西向流量安全。例如，要求对HDFS中的数据块存储、节点间心跳信号进行完整性保护；在Spark任务调度中，要求采用Kerberos或类似机制进行任务提交者和执行器的双向身份验证，防止内部横向移动攻击。同时，标准要求对网络流量进行审计，覆盖大数据平台特有的元数据操作、数据导入导出等接口。（3）安全区域边界大数据平台边界不再仅指与传统网络交汇的防火墙。本部分扩展了“边界”概念，包括数据采集层、数据处理层、数据对外服务接口（如RestAPI、JDBC/ODBC连接）的边界。标准要求对这些入口实施严格的访问控制，包括API鉴权协议（如OAuth2.0）、接口频率限制、基于IP白名单或细粒度属性（ABAC）的访问策略。此外，标准明确要求边界应具备恶意代码防护机制，尤其是针对自动化爬虫、数据注入攻击（如HiveQL注入）进行检测与阻断。（4）安全计算环境这是本部分技术要求的重中之重。标准从以下几个维度进行了详细说明：-数据生命周期安全：明确要求大数据系统应具备数据脱敏能力，特别是非生产环境下的测试数据；支持数据加密存储，且密钥管理系统安全可控；对数据的迁移、归档与销毁流程提出安全性要求。-用户与应用安全：针对多租户场景，标准要求实现用户权限的最小化与职责分离。例如，要求DBA（数据库管理员）权限不得覆盖到用户敏感数据，需通过数据脱敏或行级安全策略限制。要求对数据处理作业（Job）进行安全校验，防止恶意代码（如UDF函数）的执行。-分布式计算安全：强调整台及作业间隔离，通过容器或虚拟化技术实现。要求审计日志中记录作业的启动时间、DAG（有向无环图）执行的完整链路，以便于事后追溯。-备份与恢复：要求大数据系统具备分布式备份能力，确保关键数据副本完整性，并定期进行恢复演练。（5）安全管理中心本部分要求在传统的日志聚合与监控平台基础上，建立大数据安全管理中心。该中心应具备以下功能：-统一监控：对集群资源、节点状态、数据流健康度进行实时监控。-风险分析：结合AI+大数据分析，识别异常数据访问模式（如瞬间大量导出、非工作时段访问）。-策略管控：集中下发加密、脱敏、访问控制策略。-协同响应：能够对安全事件（如勒索病毒加密数据、未授权删除操作）进行快速的自动化或半自动化处置。4.主要参与单位介绍：公安部计算机信息系统安全产品质量监督检验中心作为GA/T1390.7-2025标准编制的核心起草单位之一，公安部计算机信息系统安全产品质量监督检验中心（以下简称“检测中心”）在标准的制定过程中发挥了不可替代的专业引领作用。（1）机构背景与权威地位检测中心是经公安部批准，隶属于公安部第三研究所的国家级专业技术机构。它不仅是我国计算机信息系统安全产品质量监督检验领域的权威机构，也是网络安全等级保护制度的重要技术支撑单位。长期以来，检测中心承担着全国网络安全专用产品的质量监督抽查、等级保护安全建设与测评技术验证、网络安全标准研制等核心任务。其资质在业内具有极高的公信力。（2）在大数据安全领域的深厚积淀面对大数据技术的迅猛发展，检测中心提前布局，成立了专门的大数据安全测评实验室。实验室配备了完整的Hadoop生态（Hadoop、Hive、HBase等）、Spark、Flink等主流大数据平台以及分布式消息系统，模拟了真实的“万亿级数据量”的测试环境。通过对大量实际项目（如公安大数据平台、政务云大数据中心）的测评实践，检测中心积累了海量的第一手数据，深刻理解了“分布式存储节点失陷”、“数据倾斜攻击”等现实中的痛点，这为其参与《第7部分：大数据系统安全扩展要求》的编制提供了坚实的实践基础。（3）标准编制中的主要贡献在标准起草过程中，检测中心牵头负责“安全计算环境”和“安全审计”两个核心章节的草案撰写。面对行业争议，例如“是否要求所有数据都必须加密存储”等问题，检测中心组织了多轮专家研讨会，最终建议采用“分级加密”原则——即要求高敏感度的关键数据（如生物识别信息、金融账户信息）必须加密，而一般类数据则在管理可控前提下可采取其他强校验措施。这一方案既保障了安全底线，又平衡了高性能场景下的算力开销，最终被标准编写组采纳。同时，检测中心基于其已有的GA/T1390系列积累，将通用部分与大数据扩展要求进行桥梁化梳理，绘制了详细的“通用要求映射表”，确保本部分不与GB/T22239冲突，且无缝融入现有的等保2.0框架。这种维护标准体系完整性、兼容性的做法，大大提升了标准的可用性。5.标准应用价值与行业影响（1）政府与关键信息基础设施行业对于公安、税务、海关等部门建设的大数据平台，本标准提供了直接的合规指导。例如，在建设“雪亮工程”或“智慧警务”相关大数据平台时，建设单位可直接将本部分的“安全审计要求”纳入招投标文档，要求供应商提供符合等级保护第三级的作业级审计能力。对于金融、能源、交通等关键信息基础设施运营者，本标准可作为其内部数据安全治理的基准和外部测评的依据，有效规避因大数据平台不合规导致的行政处罚或数据安全事件。（2）云计算与大数据服务提供商阿里云、华为云、腾讯云等云服务商在向政企客户提供大数据SaaS/PaaS服务时，需要确保底层大数据组件（如弹性MapReduce、数据湖）默认启用本标准所要求的加密、审计与访问控制。本标准的出台将促使云服务商在产品出厂配置中增加对安全控件的内置，减少用户二次开发的成本。此外，第三方安全厂商可以基于本标准开发自动化的大数据安全评估与加固工具，从而催生新的安全服务市场。（3）等级保护测评机构测评机构在执行对大数据系统（等级保护对象）的常规测评时，必须使用本部分作为技术判定依据。这将规范测评行为，避免因标准模糊而出现的测评偏差。标准明确了具体的检测项和测评流程，如“如何验证Spark作业隔离性”、“如何测试HBase列簇级访问控制”，大大提升了测评工作的客观性与准确性。6.结论GA/T1390.7-2025的发布标志着我国在大数据环境下的网络安全等级保护进入了一个精细化、体系化、强制化的新阶段。它将成熟的大数据安全实践经验与技术发展趋势相结合，以具体、可量化的要求，为大数据系统的安全建设与测评提供了明确的技术标尺。展望未来，随着生成式AI、图计算、联