ISOIEC 24760-12025 信息安全、网络安全和隐私保护 身份管理框架 第1部分核心概念和术语标准立项发展报告

信息安全、网络安全和隐私保护身份管理框架第1部分：核心概念和术语标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection-Aframeworkforidentitymanagement-Part1:Coreconceptsandterminology摘要随着数字化转型的深入推进，身份管理已成为信息安全、网络安全和隐私保护领域的核心基础性议题。各类信息系统、云服务平台、物联网设备以及跨组织业务协同场景均依赖于可靠的身份管理机制，以确保实体识别的准确性、访问控制的有效性和隐私保护的可追溯性。然而，由于身份管理领域长期存在概念不一致、术语口径不统一、框架模型各异等问题，跨系统互操作、安全评估和合规审计面临严重障碍。在此背景下，ISO/IEC24760-1:2025《信息安全、网络安全和隐私保护身份管理框架第1部分：核心概念和术语》正式发布，该标准由国际电工委员会（IEC）归口管理，系统定义了身份管理领域的核心概念、术语体系和基本框架，为各行业构建和实施身份管理体系提供了统一、权威的术语基础和概念模型。本报告围绕该标准的立项背景、编制过程、主要内容、技术特点和应用价值展开系统阐述，并介绍主要起草单位的相关情况，旨在为标准使用者提供全面的解读和参考，同时展望身份管理标准化工作的未来发展方向。关键词：身份管理；信息安全；术语标准化；ISO/IEC24760；数字身份；隐私保护；访问控制Keywords:IdentityManagement;InformationSecurity;TerminologyStandardization;ISO/IEC24760;DigitalIdentity;PrivacyProtection;AccessControl一、引言1.1研究背景数字经济时代，身份管理（IdentityManagement,IdM）作为信息安全基础设施的关键组成部分，其重要性日益凸显。从企业内部的人员身份管理到面向公众的数字身份认证，从物联网设备的身份标识到跨机构联邦身份互认，身份管理技术已渗透至信息化的方方面面。据相关行业报告显示，身份管理与访问控制（IAM）市场持续快速增长，全球市场规模已突破百亿美元，且在各行业中保持两位数的年增长率。然而，与身份管理技术快速演进形成鲜明对比的是，该领域的基础性标准化工作长期存在缺口。不同厂商、不同行业、不同国家在身份管理的概念理解、术语定义和框架构建上各成体系，导致身份互操作困难、安全责任界定模糊、合规审计成本居高不下。以“身份”（Identity）、“属性”（Attribute）、“凭证”（Credential）、“认证”（Authentication）等核心术语为例，不同文献中的定义差异显著，严重制约了技术交流和标准落地。ISO/IEC24760系列标准正是在此背景下应运而生。该系列标准旨在为身份管理提供统一的框架性规范，其中第1部分聚焦于核心概念和术语的标准化定义，是整个系列标准的基础性文件。1.2标准立项意义ISO/IEC24760-1:2025的发布具有深远的意义。首先，该标准为身份管理领域提供了"通用语言"，统一了核心概念的内涵与外延，降低了跨系统、跨组织沟通的认知成本。其次，标准所确立的概念模型为身份管理系统的设计、实施和评估提供了参考架构，有助于提升系统的安全性、互操作性和可审计性。再次，该标准的出台是信息安全标准化体系建设的重要里程碑，与ISO/IEC27000系列信息安全管理标准、ISO/IEC29100隐私框架等标准形成了有效衔接。二、标准编制概况2.1标准基本信息-标准编号：ISO/IEC24760-1:2025-标准全称：信息安全、网络安全和隐私保护身份管理框架第1部分：核心概念和术语-英文名称：Informationsecurity,cybersecurityandprivacyprotection-Aframeworkforidentitymanagement-Part1:Coreconceptsandterminology-标准状态：现行（Published）-发布机构：国际电工委员会（IEC）-发布日期：2025年9月16日-国别：国际组织-语言：英语2.2编制背景与历程ISO/IEC24760系列标准的发展历程可追溯至2008年，其首版ISO/IEC24760-1:2011发布，首次在国际层面提出了身份管理的核心概念框架。随着信息技术发展进入新阶段——云计算大规模普及、移动互联网深度渗透、物联网设备爆炸式增长、人工智能技术日新月异——身份管理所面临的环境和挑战已发生根本性变化。在此背景下，ISO/IECJTC1/SC27（信息安全、网络安全和隐私保护分技术委员会）启动了该标准的修订工作。修订工作历时多年，汇集了来自全球数十个国家的信息安全专家、标准化工作者和行业代表的智慧与经验。2025年版在继承原版核心架构的基础上，充分吸收了近年来身份管理领域的最新理论成果和实践经验，对术语定义进行了精细化修订，对概念模型进行了适应性更新，并强化了与相关标准的协调一致性。2.3标准定位ISO/IEC24760-1:2025属于ISO/IEC24760系列标准的基础性文件。该系列标准还包括：-ISO/IEC24760-2：身份管理框架——参考架构和需求-ISO/IEC24760-3：身份管理框架——实践指南第1部分作为整个系列的基础，为第2部分和第3部分提供了概念基础和术语支撑，三者共同构成完整的身份管理标准体系。三、标准主要内容分析3.1标准适用范围ISO/IEC24760-1:2025规定了身份管理领域使用的核心概念和术语，适用于任何规模、任何类型的组织——无论其处于公共部门还是私营领域，无论其身份管理系统的技术实现方式如何。标准所定义的概念框架可用于：-身份管理系统的规划、设计和实施-身份管理过程和技术的评估与改进-身份相关信息的交换与共享-安全审计和合规评估-学术研究和工程实践该标准定义的术语涵盖身份管理领域的基础概念，包括但不限于：身份（identity）、身份信息（identityinformation）、实体（entity）、属性（attribute）、凭证（credential）、认证（authentication）、授权（authorization）、身份提供方（identityprovider,IdP）、依赖方（relyingparty,RP）等。3.2关键概念解读身份（Identity）：标准将身份定义为实体在特定上下文中的一组属性子集。该定义强调了三层含义：其一，身份依附于实体而存在，每一个实体可能拥有多个身份，分别对应不同的应用场景和上下文；其二，身份本质上是属性信息的集合，而非实体本身；其三，身份的边界由上下文决定，不同上下文中同一实体的身份表现可能不同。身份信息（IdentityInformation）：指用于表示身份的信息，包括标识符（identifier）、属性值、凭证等。标准对身份信息的分类、特性和管理要求进行了系统界定。实体（Entity）：指具有独立存在性的对象，可以是人、组织、设备、软件组件或服务。实体的概念涵盖了数字世界中所有需要被识别和管理的对象。身份提供方（IdentityProvider,IdP）：负责创建、维护和管理身份信息的可信实体。身份提供方的角色定位、职责边界和信任要求是标准的重点内容之一。依赖方（RelyingParty,RP）：依赖身份提供方提供的身份信息来完成自身业务决策的实体。依赖方与身份提供方之间的信任关系和数据交换机制是身份管理框架的核心议题。认证（Authentication）：验证实体所声称身份的过程。标准区分了实体认证与消息认证、单因素认证与多因素认证等不同层次和类型的认证概念。3.3概念模型ISO/IEC24760-1:2025构建了身份管理的通用概念模型，该模型概括了身份管理的核心参与者和基本流程。模型中包含的关键要素包括：身份信息生命周期管理——涵盖身份信息的创建、存储、使用、更新和归档等环节；身份操作——包括身份登记、身份验证、身份供给、身份撤销等操作行为；信任框架——定义了各参与方之间的信任关系和信任传递机制。3.4与其他标准的关系该标准与一系列国际标准保持协调一致：-ISO/IEC27000系列：身份管理与信息安全管理体系的整合-ISO/IEC29100：隐私框架中身份信息的隐私保护要求衔接-ISO/IEC29115：实体认证保障级别的概念引用-ISO/IEC30107：生物特征识别信息的安全性交互参照-ITU-TX.1250系列：与全球身份管理框架建议的协调四、标准技术特点4.1术语体系的系统性ISO/IEC24760-1:2025的突出特点在于术语体系的系统性。标准不是简单罗列术语，而是通过概念模型将所有术语有机组织起来，构建了层次清晰、逻辑严密的概念网络。每个术语的定义都兼顾了形式化表达和应用可理解性。4.2概念框架的普适性标准的另一突出特点是概念框架的普适性。无论是传统的企业身份管理系统，还是基于区块链的去中心化身份（DID）方案，抑或是新兴的自主权身份（SSI）模式，都能够在标准的概念框架中找到对应的定位和描述方式。4.3安全与隐私的平衡该标准在概念定义层面充分体现了安全与隐私的平衡考量。安全方面强调身份信息的机密性、完整性和可用性保护；隐私方面则强调身份信息的收集最小化、使用目的限制和个人权利保障。4.4与最新技术发展的衔接2025版本充分回应了技术发展的新趋势，对以下新兴领域的相关概念进行了界定和更新：零信任架构中的身份动态验证、云环境中的身份联邦与工作负载身份、物联网设备身份的规模化管理和信任模型、人工智能驱动下的身份分析与风险判定以及去中心化身份技术。五、主要参与编制单位介绍5.1国际电工委员会（IEC）国际电工委员会（InternationalElectrotechnicalCommission，IEC）成立于1906年，是世界上成立最早的国际性电工标准化机构，总部位于瑞士日内瓦，负责有关电气工程和电子工程领域的国际标准化工作。IEC的成员包括全球170多个国家和地区，其标准覆盖电力、电子、电信、信息技术等广泛领域。在信息安全标准化领域，IEC与国际标准化组织（ISO）联合成立了ISO/IECJTC1（联合技术委员会），其中SC27分技术委员会专门负责信息安全、网络安全和隐私保护领域的国际标准化工作。ISO/IEC24760-1:2025正是由ISO/IECJTC1/SC27/WG5（身份管理与隐私技术工作组）负责制定的。SC27/WG5的工作范围涵盖身份管理、隐私保护、生物特征识别安全等方向，其成员包括来自各成员国的信息安全专家、学术研究者、产业代表和政府机构人员。该工作组通过持续的协作研究和技术讨论，推动身份管理领域国际标准的不断发展和完善。ISO/IEC24760-1:2025的成功修订发布，是SC27/WG5各参与方共同努力的成果，体现了国际标准制定过程中的协商一致和集体智慧。六、标准应用与影响6.1应用场景ISO/IEC24760-1:2025的应用场景覆盖多个层面：在组织身份管理体系建设方面，作为统一术语基础和概念框架，指导组织内部身份管理制度建设和流程设计；在跨组织身份互操作方面，为联邦身份认证、跨域访问控制提供共同语言，促进不同组织间身份体系的互联互通；在产品研发与测试方面，为身份管理产品供应商提供术语一致性依据和功能定位参考，改善产品间的兼容性；在安全合规审计方面，为第三方审计和监管评估提供术语基准和概念框架，提高审计的准确性和一致性；在标准化文件编写方面，为行业标准和团体标准的编制提供术语引用来源，增强各层级标准间的协调性。6.2社会经济效益从宏观视角审视，该标准的贯彻实施将产生多方面的积极效益。在降低交易成本方面，统一术语体系减少系统集成与对接过程中的沟通成本和技术适配成本。在促进产业生态方面，推动身份管理产业链各方基于共同概念框架开展合作和竞争，优化产业分工和协同效率。在保障用户权益方面，有助于提升身份信息处理的透明度和规范性，增强个人对自身身份信息的控制能力。在支撑数字经济发展方面，可信身份是数字经济的基础要素，统一的身份管理概念框架为电子政务、电子商务、远程金融等场景提供了基础性支撑。七、结论与展望7.1总结ISO/IEC24760-1:2025的发布是身份管理领域标准化工作的重要里程碑。该标准以系统性、普适性和前瞻性的视角，构建了身份管理的核心概念体系和术语框架，为全球身份管理实践提供了统一的"通用语言"。这一基础性标准的完善，为相关标准体系的整体演进和身份管理产业的健康发展奠定了坚实基础。展望未来，身份管理标准化工作将面临新的挑战与机遇。随着新一代信息技术的持续演进，身份管理概念框架需要不断扩展和深化。数字化、智能化、全球化趋势的叠加使得身份管理的内涵和外延不断拓展，标准化工作需要在保持概念稳定性与适应技术演进之间找到平衡。与此同时，ISO/IEC24760系列标准的协同推进、身份管理与隐私保护标准之间的深度融合以及跨行业、跨领域的标准化协调将持续深化。标准实施与产业实践的良性互动，将助推身份管理工作在技术深度和治理广度上不断取得新的突破，为构建安全、可信的数字世界持续作出基础性贡献。参考文献[1]ISO/IEC24760-1:2025,Informationsecurity,cybersecurityandprivacyprotection-Aframeworkforidentitymanagement-Part1:Coreconceptsandterminology[S].Geneva:ISO/IEC,2025.[2]ISO/IEC24760-2,Informationtechnology-Securitytechniques-Aframeworkforidentitymanagement-Part2:Referencearchite