ISOIEC 24760-22025 信息安全、网络安全和隐私保护 身份管理框架 第2部分参考体系结构和要求标准立项发展报告

信息安全、网络安全和隐私保护身份管理框架第2部分：参考体系结构和要求标准立项发展报告StandardizationDevelopmentReport:InformationSecurity,CybersecurityandPrivacyProtection-AFrameworkforIdentityManagement-Part2:ReferenceArchitectureandRequirements摘要随着数字化转型的深入推进，身份管理已成为信息安全的基石性技术。ISO/IEC24760-2:2025《信息安全、网络安全和隐私保护身份管理框架第2部分：参考体系结构和要求》由国际电工委员会（IEC）于2025年9月16日正式发布，是身份管理领域国际标准体系的重要组成部分。本报告全面梳理了该标准的立项背景、技术内容、修订进展及应用前景，系统阐述了其在身份生命周期管理、身份认证与授权、跨域身份互操作以及隐私保护等方面的核心技术要求，深入分析了该标准对各国身份管理体系建设、数字政务服务和企业安全架构的指导意义。报告指出，该标准的发布标志着国际身份管理标准化工作进入了一个新的发展阶段，其提出的参考体系结构为各类组织构建安全、可信、互操作的身份管理体系提供了权威的技术框架和实施指南，对促进全球数字经济安全健康发展具有深远影响。关键词：身份管理；参考体系结构；信息安全；网络安全；隐私保护；国际标准；ISO/IEC24760Keywords:IdentityManagement;ReferenceArchitecture;InformationSecurity;Cybersecurity;PrivacyProtection;InternationalStandard;ISO/IEC24760一、引言在数字化、网络化、智能化深度融合的时代背景下，身份管理（IdentityManagement,IdM）已成为保障信息系统安全、支撑数字业务发展的关键基础设施。无论是政务服务的"一网通办"、金融业务的远程开户，还是物联网设备的可信接入、人工智能应用的用户授权，都离不开可靠的身份管理体系作为安全底座。然而，随着应用场景的不断拓展和网络环境的日益复杂，各类组织在身份管理实践中面临着体系架构不统一、技术实现差异大、跨域互操作困难、隐私保护要求难以落地等多重挑战。ISO/IEC24760系列标准作为身份管理领域最权威的国际标准，为各类组织提供了系统性的身份管理框架。其中，ISO/IEC24760-1:2019确立了身份管理的基础概念和通用框架，ISO/IEC24760-2:2025则在第一部分的基础上，进一步细化为可操作、可实施的参考体系结构和具体技术要求。2025年9月16日，国际电工委员会（IEC）正式发布ISO/IEC24760-2:2025版本，取代原有的ISO/IEC24760-2:2015，标志着该标准在技术内容和适用范围上实现了全面升级。本报告旨在对该标准的立项背景、核心技术内容、修订变化及行业发展意义进行系统分析，为相关组织和从业人员理解和应用该标准提供参考。二、标准立项背景与发展历程2.1身份管理标准化的现实需求随着云计算、大数据、物联网、移动互联网等新技术的广泛部署，组织面临的身份管理对象已从传统的人员身份扩展到设备身份、应用身份、服务身份等多种类型。根据国际知名网络安全研究机构的相关统计，身份相关的安全事件占全部数据泄露事件的比重持续攀升，身份认证薄弱、权限管理失控已成为网络安全的最大风险点之一。在此背景下，建立一套系统、完善、可操作的身份管理国际标准，成为各国标准化组织和产业界的共同呼声。ISO/IEC24760系列标准由国际标准化组织（ISO）和国际电工委员会（IEC）下属的联合技术委员会ISO/IECJTC1（信息技术委员会）SC27（信息安全、网络安全和隐私保护分技术委员会）负责制定。该系列标准的制定旨在为身份管理提供统一的概念模型、框架体系和技术要求，帮助各类组织建立可信、安全、可互操作的身份管理体系。2.2标准制定与修订历程ISO/IEC24760系列标准的制定工作始于21世纪初。2011年，ISO/IEC24760-1首次发布，确立了身份管理的基础框架和术语体系。2015年，ISO/IEC24760-2首次发布，提供了身份管理的参考体系结构和要求。2019年，ISO/IEC24760-1完成修订，扩展了适用范围并完善了核心概念。进入21世纪20年代，数字身份技术发展日新月异，去中心化身份（DecentralizedIdentity）、可验证凭证（VerifiableCredentials）、零信任架构（ZeroTrustArchitecture）等新理念、新技术不断涌现。原有ISO/IEC24760-2:2015中的部分技术内容已难以适应新的安全需求和业务场景。为此，ISO/IECJTC1/SC27于2022年启动了ISO/IEC24760-2的修订工作，经过多轮国际研讨和草案审议，最终于2025年形成发布版本。修订过程充分吸收了各国在身份管理领域的最佳实践，融合了近年来身份管理技术发展的最新成果，确保了标准的先进性和适用性。2.3与相关标准的关系ISO/IEC24760-2:2025在身份管理标准体系中处于承上启下的核心位置。向上，它与ISO/IEC24760-1（框架和概念）相衔接，将概念性框架落实为具体的体系结构和技术要求；向下，它与ISO/IEC24760-3（实践指南）相配合，为身份管理实践提供高层次要求。在横向层面，该标准与ISO/IEC27001（信息安全管理体系）、ISO/IEC29100（隐私保护框架）、ISO/IEC29003（身份验证）等标准形成互补关系，共同构建了信息安全与隐私保护的完整标准体系。此外，该标准还与国际电信联盟电信标准化部门（ITU-T）发布的X.1250系列建议书在身份管理框架方面保持了技术一致性。三、标准核心技术内容ISO/IEC24760-2:2025规定了身份管理参考体系结构和要求，其主要技术内容包括以下几个层面：3.1身份管理参考体系结构标准构建了一个多层次的身份管理参考体系结构，将身份管理系统划分为身份信息管理层、身份服务提供层、身份服务消费层和治理与管理层四个核心层次。其中，身份信息管理层负责身份数据的存储、维护和保护，包括身份注册、身份解析、身份属性管理等核心功能；身份服务提供层提供身份认证、授权、身份联合等关键服务能力；身份服务消费层面向各类应用场景，通过标准化的接口和协议消费身份服务；治理与管理层则从政策、风险、审计等维度对身份管理全过程进行统筹治理。各层次之间通过明确的接口和交互协议实现协同运作，确保身份管理体系的完整性、一致性和可扩展性。3.2身份生命周期管理要求标准对身份全生命周期管理提出了明确要求，覆盖身份注册、身份激活、身份使用、身份暂停、身份恢复和身份注销等各个阶段。在身份注册阶段，标准强调了身份证明（IdentityProofing）的重要性，要求依据风险评估结果确定不同的身份保证等级；在身份使用阶段，要求根据最小权限原则和职责分离原则合理配置访问权限；在身份注销阶段，要求确保身份信息的完整删除并妥善处理审计记录。这种全生命周期的管理视角确保身份信息在业务的任何阶段都能得到一致、有效的管理和保护。3.3身份认证与授权技术要求3.4身份信息保护与隐私要求标准充分体现了隐私保护理念在身份管理领域的深入应用。在身份信息保护方面，标准要求采取加密存储、安全传输、访问控制等技术措施，确保身份信息的保密性、完整性和可用性。在隐私保护方面，标准要求遵循数据最小化原则，仅收集和处理业务所必需的身份属性信息；支持用户对其身份信息的自主控制，包括知情同意、查询、更正和删除等权利。这些要求与ISO/IEC29100隐私保护框架、ISO/IEC27701隐私信息管理体系以及《通用数据保护条例》（GDPR）等法规的要求保持了高度衔接。3.5安全审计与合规要求四、标准修订要点分析与ISO/IEC24760-2:2015相比，2025版标准在多个方面实现了重要技术更新和内容完善：4.1适应新型数字身份技术发展2025版标准充分吸纳了近十年来数字身份领域的技术创新成果。在体系结构中增加了对去中心化身份模型的支持——传统的集中式身份管理和联盟式身份管理侧重于由单一或少数受信任的权威机构来颁发和验证身份，而去中心化身份允许用户自主掌控其身份标识符和身份数据，标准在架构设计中考虑了如何将这种新型模型嵌入经典的分层框架，使其仍能纳入统一的治理与安全管理之下。与此同时，标准对可验证凭证、分布式账本技术等新型技术组件的运用场景进行了架构层面的适配，为基于新型技术的身份管理系统的设计提供了方向性指引。4.2强化零信任安全理念的融入2025版标准将零信任安全理念深度融入身份管理要求之中。标准强调了"永不信任，始终验证"的安全原则，要求建立持续验证和最小权限的动态访问控制机制。在身份管理架构设计中，标准要求将身份验证从传统的边界防护模式转变为基于风险的持续评估模式，以有效应对内部威胁和高级持续性威胁。具体来说，标准对身份验证不再是简单的"一次认证、全程有效"，而是要求结合用户行为、设备状态、网络环境等上下文信息进行持续性信任评估，并根据信任等级动态调整访问权限。4.3加强隐私保护要求在隐私保护方面，2025版标准较2015版提出了更为严格和具体的要求。标准引入了隐私影响评估（PIA）、隐私设计（PrivacybyDesign）等核心理念在身份管理中的应用要求，要求在身份管理系统设计和运维的全过程中嵌入隐私保护机制。同时，标准加强了对个人身份信息跨境传输的安全要求，要求组织在开展跨境身份信息服务时进行充分的合规评估并提供适当的安全保障措施。4.4扩展适用场景和提升互操作性2025版标准扩展了适用范围，从传统的企业IT身份管理扩展到物联网、云计算、移动应用、电子政务等多种应用场景。标准对不同场景下的身份管理需求提供了差异化的架构指导，增强了标准的普适性和灵活性。此外，标准加强了对身份管理互操作性的要求，明确了与主流身份管理协议（如OAuth2.0、OpenIDConnect、SAML等）的衔接关系，并增加了对跨域身份互操作场景下相关要求的细化定义。4.5完善术语体系和概念一致性2025版标准对身份管理领域的术语定义进行了更新和完善，使其与ISO/IEC24760-1:2019中的术语定义保持了高度一致，同时增加了对零信任、去中心化身份、可验证凭证等新概念的术语界定。这有助于减少不同标准之间因术语定义不一致而导致的理解偏差和实施困难。五、参与制定单位介绍5.1ISO/IECJTC1/SC27概况ISO/IEC24760-2:2025由ISO/IECJTC1/SC27（信息安全、网络安全和隐私保护分技术委员会）负责制定和修订。SC27是国际标准化组织在信息安全领域最重要的技术委员会之一，负责制定信息安全、网络安全和隐私保护领域的国际标准，其工作范围覆盖信息安全管理系统（ISMS）、密码学与安全机制、安全评估测试与规范、安全服务与应用、隐私保护技术等广泛领域。SC27下设多个工作组（WG），其中WG5（身份管理与隐私技术）具体负责身份管理相关标准的制修订工作。SC27汇集了来自全球数十个国家的标准化专家，通过严谨的标准化程序制定具有广泛共识的国际标准，其发布的标准在全球范围内具有权威性和广泛的影响力。5.2主要参与单位：中国电子技术标准化研究院在ISO/IEC24760-2:2025的修订过程中，中国电子技术标准化研究院作为中国在ISO/IECJTC1/SC27的归口管理单位和技术核心支撑单位，深度参与了标准的修订工作。该研究院是工业和信息化部直属的事业单位，是中国电子信息领域标准化工作的国家级核心科研机构，长期从事信息安全、信息技术等领域的标准研究、制修订和应用推广工作。在身份管理标准化领域，中国电子技术标准化研究院积累了深厚的技术基础和丰富的工作经验。研究院的专家团队系统跟踪和研究了ISO/IEC24760系列标准的制定和修订动态，积极参与了标准各阶段草案的讨论和意见反馈工作。在修订过程中，该院专家围绕去中心化身份信任模型、身份信息隐私保护精细化要求、跨域身份互操作安全机制等关键议题提出了多项具有建设性的技术建议，多方面的意见被标准修订组采纳，为提升标准的科学性和适用性作出了积极贡献。此外，中国电子技术标准化研究院还积极推动身份管理国家标准与国际标准的衔接。该院牵头制定了GB/T29246《信息技术安全技术身份管理框架》等一系列身份管理领域的国家标准，有效促进了ISO/IEC24760系列标准在我国的转化应用。该院还承担了多项身份管理相关的科研项目和示范工程，在电子政务身份管理、网络可信身份体系建设等领域积累了丰富的实践经验，为标准的应用实施提供了重要的技术支撑，是中国身份管理标准化事业发展的核心力量。六、标准实施意义与行业影响6.1对组织身份管理体系建设的指导作用ISO/IEC24760-2:2025为各类组织构建科学、完善的身份管理体系提供了权威的技术依据。通过参考该标准定义的参考体系结构，组织可以系统化地规划和设计身份管理系统，避免碎片化建设导致的重复投资和安全短板。该标准的实施有助于组织建立健全身份管理治理机制，明确各相关方的角色和责任，实现身份管理的规范化、制度化和持续改进，提高组织整体信息安全水平。6.2促进身份互操作和生态系统协同该标准的发布将有力促进不同组织、不同行业之间身份管理的互操作性。通过遵循统一的参考体系结构和接口要求，各组织可以实现跨域身份认证和授权协作，降低系统集成的技术门槛和运维成本。对于构建数字经济时代的信任基础设施、推动数字身份生态的健康发展，该标准提供了不可或缺的技术支撑。6.3提升身份管理技术和服务水平该标准汇聚了全球身份管理领域的最佳实践和最新技术成果，为身份管理产品和服务提供商提供了明确的技术指引。通过遵循该标准的要求，相关企业可以提升产品的安全性、可靠性和合规性，增强产品和服务的市场竞争力。同时，该标准也有助于引导身份管理技术服务的规范化发展，促进形成多层次的身份管理服务体系。6.4支撑法规遵从与合规治理随着全球各主要经济体纷纷加强网络安全和数据保护的立法和监管，例如我国的《网络安全法》《数据安全法》《个人信息保护法》以及欧盟的《通用数据保护条例》，各类组织在身份管理方面面临日益严峻的合规压力。ISO/IEC24760-2:2025为组织有效满足法律法规的合规要求提供了系统的技术实施框架。通过参照该标准建立身份管理体系，组织可以更系统化地落实法律规定的安全保护义务和用户权利保障要求，降低合规风险。七、结论与展望ISO/IEC24760-2:2025《信息安全、网络安全和隐私保护身份管理框架第2部分：参考体系结构和要求》的正式发布，是国际身份管理标准化历程中的一个重要里程碑。该标准充分吸收了近年来身份管理领域的最新理论成果和技术进展，系统构建了覆盖身份全生命周期、适应多元应用场景、融合先进安全理念的参考体系结构和要求体系，为全球各类组织建立安全可信的身份管理体系提供了统一的技术基准。展望未来，随着数字经济和数字社会的深入发展，身份管理的战略重要性将进一步凸显。一方面，标准化工作将持续深化细化，云计算身份管理、物联网身份管理、人工智能系统身份管理等新方向的标准需求将持续涌现。另一方面，该标准的实施应用将不断拓展，需要各国标准化机构和行业组织合力推进标准宣贯、实施评估和实践经验共享，确保标准價值得到充分释放。可以预见，在ISO/IEC24760系列标准的持续引领下，身份管理技术将朝着更加安全、更加智能、更加互操作、更加隐私友好的方向持续演进，为全球数字经济的繁荣发展和网络空间的治理完善奠定坚实的信任基础。对于中国而言，应积极推动该标准与我国网络可信身份体系建设的深度融合，加快推进相关国家标准制修订工作，紧密结合我国在数字身份、数据安全等领域的立法要求和实践经验，形成具有中国特色的身份管理标准实施路径，不断提升我国在国际身份管理标准化领域的话语权和影响力。参考文献[1]ISO/IEC24760-2:2025,Informationsecurity,cybersecurityandprivacyprotection-Aframeworkforidentitymanagement-Part2:Referencearchitectureandrequirement