GAT 1390.9-2025 信息安全技术　网络安全等级保护基本要求　第9部分：区块链安全扩展要求标准立项发展报告

标准立项发展报告标准名称：信息安全技术网络安全等级保护基本要求第9部分：区块链安全扩展要求标准立项发展报告EnglishTitle:StandardizationDevelopmentReport:InformationSecurityTechnology–BaselineforClassifiedProtectionofCybersecurity–Part9:ExtendedRequirementsforBlockchainSecurity摘要本报告系统阐述了GA/T1390.9-2025《信息安全技术网络安全等级保护基本要求第9部分：区块链安全扩展要求》标准的立项背景、核心内容、技术要点及产业发展意义。随着区块链技术在金融、政务、供应链等关键信息基础设施领域的深度应用，其特有的分布式账本、智能合约、共识机制等新型技术架构带来了区别于传统信息系统的安全挑战。为应对这一趋势，落实国家网络安全等级保护制度，本标准应运而生，旨在为区块链系统的安全建设、等级测评与安全运营提供标准依据。报告详细分析了标准的技术框架，涵盖基础网络安全、数据安全、应用安全及智能合约安全等核心环节，并深入探讨了标准对推动区块链产业合规化、促进技术可信应用的现实指导价值。结论指出，该标准的发布标志着我国网络安全等级保护制度在新技术领域的实质性拓展，为构建安全可控的区块链应用生态奠定了坚实基础，未来发展将聚焦于动态风险评估、跨链安全及数据全生命周期防护等方向的深化研究。关键词：网络安全等级保护；区块链安全；GA/T1390.9-2025；扩展要求；智能合约安全；数据安全防护Keywords:ClassifiedProtectionofCybersecurity;BlockchainSecurity;GA/T1390.9-2025;ExtendedRequirements;SmartContractSecurity;DataSecurityProtection1.引言当前，区块链作为数字经济时代的关键底层技术，凭借其去中心化、不可篡改和可追溯的特性，正加速渗透至金融创新、政务服务、供应链管理、版权保护等国民经济与社会治理的核心领域。然而，技术的高速迭代也伴随着新型安全风险的凸显。与传统信息系统不同，区块链系统面临私钥泄露、共识机制攻击、智能合约漏洞、51%算力攻击、跨链数据隐私泄露等独特威胁。这些风险若不加以规范，将严重影响国家关键信息基础设施的安全稳定运行。自2017年以来，我国《网络安全法》、《密码法》以及《网络安全等级保护条例》（2.0版）等法律法规体系日益完善，明确要求对网络和信息系统实行安全等级保护。尽管《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）已对通用信息系统、云计算、移动互联、物联网和工业控制等进行了安全扩展要求，但针对区块链这一新兴技术架构的专项安全要求尚属空白。在此背景下，公安部第三研究所等单位牵头，基于对区块链技术安全特性的深入研究，结合国家网络安全等级保护制度的实施经验，制定了GA/T1390.9-2025标准。该标准作为GA/T1390系列的重要组成部分，旨在为区块链系统的运营、使用单位提供明确的、可落地的安全建设与管理指导，填补了等级保护制度在区块链安全领域的标准空白，具有里程碑式的意义。2.标准概述GA/T1390.9-2025《信息安全技术网络安全等级保护基本要求第9部分：区块链安全扩展要求》是一项由中国公共安全行业发布的推荐性行业标准。该标准于2025年10月13日正式发布，并将于2026年2月1日起正式实施。标准的发布机构为行业标准-公共安全标准，标志着其对维护网络空间安全、公共安全秩序的重要支撑作用。本标准并非独立于原有等级保护体系之外的全新标准，而是作为《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）在区块链场景下的补充和扩展。它适用于指导实施网络安全等级保护第二级及以上区块链系统的规划、设计、建设、运维和测评工作。标准的核心逻辑在于，在遵循通用基本要求的基础上，针对区块链特有的安全风险，提出差异化的增强性技术和管理措施。标准全文共分为若干章节，核心内容聚焦于以下几个方面：2.区块链平台安全：涵盖节点身份认证、共识机制安全（防篡改、防双花）、账本数据完整性保护、智能合约开发与部署安全、密钥管理系统安全等。3.数据安全与隐私保护：重点针对链上数据防泄漏、敏感数据加密存储、访问控制机制、审计日志留存等提出扩展要求。4.运营管理安全：包括安全策略制定、加解密密钥的生命周期管理、安全事件应急响应、安全审计机制、供应商安全管理等。5.安全测评：明确了区块链安全等级测评的流程、方法、判定准则，确保测评工作的规范性和一致性。3.关键技术内容与创新点GA/T1390.9-2025的技术核心在于将等级保护2.0的“一个中心、三重防护”原则（即安全管理中心与安全计算环境、安全区域边界、安全通信网络）与区块链技术特性深度融合，形成了独具特色的安全防护框架。3.1共识机制安全扩展*防51%攻击：对共识节点数量和算力/权益分布提出监控与预警要求。*拜占庭容错：对支持拜占庭容错的共识算法，需验证其容错阈值（如n≥3f+1）的合规性。*共识超时与双花检测：建立共识超时回滚机制，并记录所有双花攻击尝试的日志。3.2智能合约安全扩展智能合约作为区块链上的可编程代码，其安全性直接决定系统的安全边界。标准创新性地引入了智能合约全生命周期安全管理要求：*安全开发：要求使用形式化验证工具对关键合约代码进行严谨的逻辑正确性与安全漏洞检测（如重入攻击、整型溢出、访问控制缺失等）。*上线审计：规定所有智能合约在上线前必须通过第三方的安全审计，并出具审计报告。*运行监控：要求对已部署合约的异常调用（如短时间内大量函数调用、异常资金转移）进行实时监控和告警。*升级与停用：规范智能合约的升级机制（如代理模式、数据迁移），确保升级过程中数据不丢失、逻辑不中断。3.3密钥与身份管理安全区块链安全的基石在于私钥管理。标准对此提出了极高的安全等级要求：*密钥生成：私钥的生成必须符合国家密码管理法律法规，使用国家密码管理局认可的随机数发生器。*密钥存储：要求私钥应有硬件安全模块（HSM）或安全加密存储芯片进行保护，禁止明文存储。*身份认证与权限分离：对区块链上的参与角色（如管理员、普通用户、开发者、审计员）进行严格的权限分离，并采用多因素认证策略。*多重签名与门限签名：对于关键操作（如链上治理投票、巨额转账），鼓励采用多重签名或门限签名技术，降低单点风险。3.4网络与节点安全扩展针对区块链特有的P2P网络结构，标准提出了针对性的防护要求：*节点准入与控制：要求联盟链或私有链必须实现节点身份认证，杜绝未授权节点接入。*网络隔离：要求将区块链网络（P2P）与业务网络（API）进行逻辑或物理隔离，降低攻击面。*DDoS防护：针对P2P网络可能面临的分布式拒绝服务（DDoS）攻击，标准要求部署专门的清洗设备和流量监控策略。4.主要起草单位介绍：公安部第三研究所GA/T1390.9-2025标准的制定凝聚了行业内多家顶尖机构与专家的智慧。其中，公安部第三研究所作为核心起草单位，在标准的研制过程中发挥了至关重要的引领作用。单位概况公安部第三研究所（简称“公安部三所”），始建于1978年，是公安部直属的综合性科研机构，同时也是国家级网络安全等级保护主管部门的重要技术支撑单位。研究所总部位于上海，在北京设有分部，拥有“国家网络与信息系统安全产品质量监督检验中心”、“信息网络安全公安部重点实验室”等一批国家级、部级高水平科研与检测平台。在标准研制中的角色与贡献1.技术主导：作为我国网络安全等级保护制度的核心技术支撑者，三所长期从事信息安全等级保护标准体系的研究与制定工作。在GT/T22239-2019（等保2.0）的修订过程中，其团队便主导了多项关键技术的论证。本次针对区块链安全的扩展要求，正是其将等保理念向新技术领域延伸的杰作。研究团队深入剖析了以太坊、Fabric、FISCOBCOS等多种主流区块链技术栈的安全特性，提炼出共性安全需求，并转化为可操作的技术要求。2.实践经验转化：依托其下属的“国家网络与信息系统安全产品质量监督检验中心”，三所承担了全国范围内大量区块链系统的安全测评实践。这些一手的数据和海量的案例，为标准的量化指标和测评方法提供了真实、客观的依据。例如，标准中关于智能合约审计的深度要求，正是基于三所实际测评中发现的诸多真实漏洞而提出的。3.合规性保障：三所在参与标准制定时，始终紧密对标国家《网络安全法》、《数据安全法》、《关键信息基础设施安全保护条例》等法律法规的精神，确保标准内容与国家法律框架的严密契合。标准中关于数据分类分级、重要数据出境、日志留存时长等要求，均体现了这一特点。4.标准推广与培训：标准发布后，三所将承担起主要的推广与培训职责，通过组织技术研讨会、编写解读材料、开展测评工程师专项培训等方式，帮助行业用户准确理解标准内涵，提升整体网络安全防护意识。5.标准实施的价值与影响GA/T1390.9-2025标准的实施，将对区块链产业的发展产生深远且积极的影响：1.合规化发展的风向标：标准的出台标志着一个新技术必须纳入国家等级保护体系。它为各级监管机构提供了明确的检查、审计依据；为企业提供了清晰的建设蓝图和测评标准，有助于规避法律风险，提升企业信誉。3.自主可控的技术支撑：标准引导企业使用符合国家密码标准的密码技术，以及基于国产芯片、操作系统的硬件安全方案。这有助于推动我国区块链技术及核心设备的自主可控进程，降低对国外技术的依赖，保障产业链安全。4.技术创新的催化剂：标准的建立并非限制创新，而是为创新划定了安全底线。例如，标准对隐私计算（如零知识证明、同态加密）在区块链中的应用提出了鼓励性要求，这将激励更多面向数据隐私保护的技术创新。6.挑战与展望尽管GA/T1390.9-2025的发布标志着我国区块链安全标准化工作取得了重大突破，但在实际应用与未来演进中仍面临一些挑战：1.技术迭代的速度：区块链技术（如Layer2、分片、跨链互操作）仍在快速演进。标准如何保持适度的前瞻性，既能指导当前，又能无缝衔接未来新技术形态，是一个持续性课题。3.国际标准的协调：我国区块链安全标准与国际上如ISO/TC307（区块链和分布式记账技术）的标准体系如何互认、互操作，是一个需要持