ISOIEC 24760-32025 信息安全、网络安全和隐私保护 身份管理框架 第3部分实践标准立项发展报告

信息安全、网络安全和隐私保护身份管理框架第3部分：实践标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection-Aframeworkforidentitymanagement-Part3:Practice摘要随着数字化转型的深入推进，身份管理已成为信息安全、网络安全与隐私保护领域的基础性技术支撑。身份管理框架的国际标准历经十余年演进，从基础架构定义走向实践操作指引，反映了全球产业界对身份治理现实需求的持续深化。本报告围绕国际标准ISO/IEC24760-3:2025《信息安全、网络安全和隐私保护身份管理框架第3部分：实践》的立项背景、编制过程、技术内容及推广应用进行系统阐述。该标准由国际标准化组织与国际电工委员会联合技术委员会JTC1/SC27（信息安全、网络安全与隐私保护分技术委员会）制定，于2025年9月正式发布，取代此前版本。该标准在前期框架性标准的基础上，针对身份信息生命周期管理、身份验证与认证实践、身份联合与互操作等关键环节提供了系统性操作指引，同时对隐私保护、风险管理和审计合规等横向议题做出专门规定。报告认为，该标准的发布标志着国际身份管理标准体系从"框架建构"阶段全面迈入"实践落地"阶段，对于指导各类组织建立合规、高效、可互操作的身份管理体系具有重要参考价值，对全球数字经济的健康发展具有深远影响。关键词：身份管理；信息安全管理；隐私保护；ISO/IEC24760；身份验证；数字身份；标准化实践Keywords:IdentityManagement;InformationSecurityManagement;PrivacyProtection;ISO/IEC24760;IdentityAuthentication;DigitalIdentity;StandardizationPractice一、引言在数字化浪潮席卷全球的当今时代，身份管理已成为保障信息安全、维护用户隐私、支撑数字业务合规运转的基石性环节。无论是企业内部的员工身份治理、跨组织的身份联合，还是面向公众的数字身份服务，身份管理框架的合理设计与有效落地都直接关系到信息系统的整体安全水平。然而，长期以来，业界在身份管理的具体实施中面临诸多共性挑战：身份信息的采集与存储缺少统一样式规范，身份验证机制的选择缺乏清晰的决策依据，跨域身份互操作中信任评估标准不一，隐私保护要求与业务需求之间的平衡难以把握。正是在这一背景下，国际标准化组织（ISO）与国际电工委员会（IEC）下属联合技术委员会JTC1/SC27历经多年研制，于2025年9月正式发布了ISO/IEC24760-3:2025《信息安全、网络安全和隐私保护身份管理框架第3部分：实践》。该标准作为ISO/IEC24760系列标准的重要组成部分，聚焦于身份管理实践层面的操作指引，为各类组织提供了从理论框架走向落地实施的方法论支撑。本报告旨在全面呈现该标准的立项背景、发展脉络、技术要点和应用前景，以期为国内相关技术标准的研究制定、身份管理体系的规划建设以及相关从业人员的专业学习提供有益参考。二、立项背景与研制历程2.1标准体系的演进脉络ISO/IEC24760系列标准是国际上关于身份管理框架最具权威性的标准族之一。该系列标准首次发布始于2011年前后，由ISO/IECJTC1/SC27（信息安全、网络安全与隐私保护分技术委员会）下属工作组负责研制。系列标准从一开始即确立了"框架—术语—实践"三位一体的结构化设计思路：-第1部分规定了身份管理框架的总体概念、核心术语和基础架构，是理解整个系列标准的理论基础；-第2部分聚焦于身份管理参考架构，明确了身份信息的引用与传递机制；-第3部分则着眼于实践操作，为核心框架与架构提供落地指南。这一"框架—架构—实践"的递进式结构，确保了标准体系既有理论高度，又具操作可行性，体现了国际标准研制中"统一规划、分步实施"的编制策略。2.2本次修订的动因ISO/IEC24760-3首次发布后，经历了技术内容的持续迭代。本次2025年版的修订主要基于以下动因：第一，身份管理技术生态的深刻变化。近年来，去中心化身份（DecentralizedIdentity）、可验证凭证（VerifiableCredentials）、零信任架构（ZeroTrustArchitecture）等新理念、新技术不断涌现，传统集中式身份管理模式面临根本性挑战，标准亟需回应这些技术变革对实践操作提出的新要求。第二，全球隐私保护法规体系日趋严格。以欧盟《通用数据保护条例》（GDPR）为代表的一系列隐私保护法律法规的出台与实施，对身份信息的全生命周期管理提出了更高合规要求。标准需要在操作层面为组织提供与法规要求相衔接的实施指引。第三，身份互操作与跨域协同的现实需求日益迫切。数字化转型的深入推动跨组织、跨行业、跨国的身份互操作成为常态，不同身份管理实现之间的互操作性问题亟待通过标准化手段加以解决。2.3研制过程与参与力量本标准的修订工作由ISO/IECJTC1/SC27/WG5（身份管理与隐私技术工作组）负责推进。来自全球各成员体的专家参与了多轮起草、评审与投票工作，包括中国、美国、德国、日本、韩国、英国、法国等主要国家的标准化技术机构均有深度参与。中国专家在标准的修订过程中积极贡献了关于身份治理实践、隐私保护技术实现等方面的经验与建议。三、标准技术内容概述3.1标准定位与适用范围ISO/IEC24760-3:2025在标准体系中定位于实践操作层面，它为各类组织在身份管理生命周期各阶段的具体操作提供了系统化指引。该标准适用于所有需要建立或完善身份管理体系的组织，不论其规模大小、所属行业或所采用的技术方案，具有广泛的适用性和灵活性。3.2核心内容框架本标准的正文内容可归纳为以下几个核心模块：（一）身份信息生命周期管理实践。该部分围绕身份信息的创建、使用、更新、归档和删除等全生命周期阶段，为组织提供了具体的操作指引。内容涵盖：身份信息的采集方式与质量控制方法，身份凭证的签发与分发流程，身份信息的定期复核与更新机制，以及身份信息在业务终止或法律依据消失后的安全销毁与合规处置等方面的系统性指导。标准特别强调了各阶段操作中应当保留的审计痕迹和操作记录要求。（二）身份验证与认证机制实践。该部分对不同安全等级下的身份验证与认证方法选择给出了实用指导。标准根据风险等级和应用场景的不同，系统分析了基于知识的验证、基于持有物的验证、基于生物特征的验证以及多因素组合验证等各类机制的适用条件和实施要点，为组织在具体场景中选择恰当的验证方法提供了决策依据。同时，标准也讨论了认证机制的动态演进和新型认证技术的评估方法，涵盖了对生物识别、行为特征识别等新兴生物特征认证技术的安全性评估考量。（三）身份联合与互操作实践。该部分针对跨组织身份联合与互操作性需求，对信任框架的建立、身份属性的映射与转换、联合身份的安全保障等关键操作环节提供了具体指导。标准着重讨论了在多方协作环境下如何建立和维护信任关系、如何在保护隐私的前提下完成属性共享，以及如何处理联合身份场景中的责任划分与争议解决机制，同时涵盖了组织应如何尽力确保其使用的身份管理产品与服务的互操作性相关内容。（四）隐私保护与合规实践。该部分聚焦于身份管理实践中的隐私保护与合规要求，根据ISO/IEC24760-1中确立的隐私原则，指导组织在身份管理实践中遵循隐私保护的基本原则，包括数据最小化、目的限制、存储限制等。标准还专门讨论了匿名化、假名化等隐私增强技术的应用场景与实施方法，并对如何在身份管理体系中嵌入隐私影响评估、实现隐私默认保护等提出了操作建议，并讨论了针对所使用产品和服务的适当合规评估策略。（五）风险管理与审计实践。该部分引导组织从风险管理视角建立身份管理的治理机制。标准提供了身份管理风险评估的方法论框架，对身份管理操作中的常见风险类别（如身份欺诈、凭证泄露、权限滥用等）进行了系统梳理，并针对每种风险类别给出了对应的控制措施示例。在审计方面，标准就身份管理体系的内部审计与外部审计要点、审计证据的收集与保留、持续监控与改进机制的建立等问题提供了操作指引。标准还特别提及了身份管理审计中常见的管理体系方面的困难，例如身份信息的跨系统一致性核对与完整性问题。3.3与配套标准的关系作为ISO/IEC24760系列标准的重要组成部分，本标准的有效实施需要与系列中其他部分以及相关配套标准协同使用。四、标准的主要技术特点1.坚持技术与治理并重的双重视角。本标准的突出特点在于将技术操作与管理实践进行了有效融合，涵盖了身份验证技术、密码协议等具体技术要素，以及身份治理机制、职责分工、策略制定等管理要素。这种视角确保了标准的实施既能解决实际技术问题，又能兼顾组织的治理需求。2.突出风险驱动的分级实施理念。标准自始至终贯穿了风险驱动的方法论，鼓励组织基于实际风险状况确定身份管理的实施深度与资源投入，避免了"一刀切"式的僵化要求，充分体现了标准的灵活性原则。3.完善隐私保护的操作落地。考虑到现代隐私法规的严格要求，标准对身份管理中的隐私保护提供了从原则到实践的全链条指导，特别是对隐私增强技术的应用提供了技术层面的细致说明，这在此前版本中较为罕见。4.关注互操作性的实践保障。标准专辟章节讨论跨域互操作的实现路径，提供了互操作实现的实用性指引，回应了数字经济时代跨组织协作的紧迫需求。5.提供灵活多样的实施路径。标准以"应"（shall）、"宜"（should）、"可"（may）等规范性用词区分了不同层级的要求和建议，为不同成熟度组织提供了灵活的适配空间。五、主要起草单位介绍5.1标准研制组织架构ISO/IEC24760-3:2025由ISO/IECJTC1/SC27/WG5负责研制。SC27是国际信息安全标准化领域最权威的技术委员会之一，其工作范围涵盖信息安全、网络安全与隐私保护的技术标准化，秘书处承担工作多年来持续稳定运行，确保了标准研制工作的高效推进。WG5作为SC27下属的第七工作组，专门负责身份管理与隐私技术领域的标准研制，汇聚了来自全球的资深专家。5.2核心参与单位本标准的研制汇聚了全球多个国家和地区的标准化机构和行业领先企业。以下重点介绍一个在本标准研制中发挥核心作用的代表性机构——美国国家标准协会（ANSI）及其下属技术咨询小组（TAG）。美国国家标准协会是ISO的创始成员之一，也是美国在ISO/IECJTC1/SC27事务中的官方代表机构。ANSI通过其下属的信息安全与隐私技术咨询小组组织美国国内相关利益方参与本标准的研制工作。在ISO/IEC24760-3:2025的修订过程中，ANSI协调了来自美国国家标准与技术研究院（NIST）、微软、IBM、亚马逊等政府部门和科技企业的众多专家参与各轮评审与编辑工作。美国专家团队凭借其在身份管理技术前沿的深厚积累，特别是在零信任架构、去中心化身份、联邦身份互操作等领域的实践经验，为标准技术内容的完善贡献了大量有价值的输入。特别是在身份验证机制的安全评估方法、跨域身份联合中的信任框架设计等关键技术上，美国专家的技术提案获得了国际同行的广泛认可。六、标准应用前景与影响分析6.1应用场景与受众ISO/IEC24760-3:2025的应用覆盖了广泛的场景与受众群体。在应用场景方面，既适用于企业内部身份治理体系建设、面向客户的身份服务设计等常见业务场景，也可支撑跨组织身份联盟的构建协同、政府主导的国家级身份基础设施建设，以及特定行业（如金融、医疗）的身份管理合规建设等更为复杂和敏感的领域。在受众群体方面，该标准的主要使用者包括：组织内部的信息安全管理与治理人员，身份管理系统的架构设计与技术研发人员，以及信息安全咨询服务机构和独立审计评估人员等。6.2产业影响评估本标准的发布将对全球身份管理产业产生深远影响。首先，在合规指引层面，该标准为各类组织建立了身份管理实践的统一参照基准，有助于降低合规成本、提升合规效率。其次，在技术发展层面，标准对互操作性的强调将推动身份管理产品和服务的接口标准化，促进产业生态的健康竞争与协同发展。再次，在国际贸易层面，符合国际标准的身份管理解决方案将更容易获得跨国市场的准入认可。最后，在用户体验层面，标准倡导的风险驱动、分级实施的验证策略，有助于在安全与便捷之间实现更优平衡。七、结论与展望ISO/IEC24760-3:2025的正式发布，是国际身份管理标准化历程中的重要里程碑。该标准在继承前序版本核心框架的基础上，充分吸收了近年来身份管理领域的技术演进成果和全球隐私保护法规的最新要求，以"实践"为核心定位，为各类组织提供了从规划、实施到运行、审计的全流程操作指引。展望未来，身份管理标准化将继续沿着以下方向深入发展：一是纵深融合，标准化工作将进一步融入人工智能、物联网等新兴技术背景下的身份管理需求；二是协同互认，全球范围内不同标准组织之间在身份管理领域的协调与合作将更加