ISOIEC 19896-12025 信息安全、网络安全和隐私保护 IT安全合格评定机构人员能力要求 第1部分概述和概念标准立项发展报告

信息安全、网络安全和隐私保护IT安全合格评定机构人员能力要求第1部分：概述和概念标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection-RequirementsforthecompetenceofITsecurityconformanceassessmentbodypersonnel-Part1:Overviewandconcepts摘要随着全球数字化转型的持续深入，信息安全、网络安全和隐私保护已成为各国政府、企业和公众关注的焦点。IT安全合格评定机构作为保障信息产品和服务安全性的重要力量，其人员的专业能力直接关系到评定结果的可靠性与公信力。在此背景下，国际电工委员会（IEC）于2025年11月19日正式发布ISO/IEC19896-1:2025标准，该标准作为信息安全领域人员能力要求系列标准的第1部分，系统界定了IT安全合格评定机构人员能力的总体框架、核心概念和基础要求，构建了涵盖知识、技能、经验等多维度的人员能力评价体系，为后续各专项能力标准的制定提供了统一的基础性框架。本报告对该标准的研制背景、主要内容、技术要素、应用价值和未来趋势进行系统分析，旨在为相关机构、从业人员及标准化工作者提供全面、权威的参考。关键词：信息安全；网络安全；隐私保护；合格评定；人员能力；ISO/IEC19896；国际标准Keywords:InformationSecurity;Cybersecurity;PrivacyProtection;ConformanceAssessment;PersonnelCompetence;ISO/IEC19896;InternationalStandard一、引言1.1研究背景近年来，全球网络安全形势日益严峻。根据国际电信联盟（ITU）发布的《2024年全球网络安全指数》报告，虽然各国在网络安全建设方面持续加大投入，但高级持续性威胁（APT）、勒索软件、供应链攻击等安全事件的频率和破坏力仍在不断攀升。在此背景下，信息安全产品和服务的安全性评估成为保障数字经济发展的重要基础设施。IT安全合格评定机构（ITSecurityConformanceAssessmentBody）承担着对信息安全产品、系统、服务和人员进行评估、认证和审核的关键职能。这些机构的评定结论直接影响着政府采信、市场准入和用户信任。因此，评定机构内部人员的专业素质和技术能力，成为确保评定质量的核心要素。然而，长期以来，不同国家和地区对IT安全合格评定人员的能力要求存在较大差异，缺乏统一、国际公认的评价标准，这在一定程度上制约了评定结果的国际互认和技术人才的跨国流动。1.2标准研制必要性1.国际互认的需求：随着全球信息安全产品贸易的日益频繁，各国间评定结果的互认需求愈发迫切。统一的人员能力标准是建立国际互认机制的基础前提。3.法规合规的需求：欧盟《网络安全法案》（CybersecurityAct）、《通用数据保护条例》（GDPR）以及各国的网络安全法律法规，对合格评定活动提出了更加规范化的要求，其中人员资质是重要组成部分。4.技术演进的需求：云计算、人工智能、量子计算、物联网等新技术的广泛应用，对安全评定人员提出了新的知识要求和技能挑战。二、标准概况2.1标准基本信息ISO/IEC19896-1:2025《信息安全、网络安全和隐私保护IT安全合格评定机构人员能力要求第1部分：概述和概念》由国际电工委员会（IEC）归口发布，是ISO/IEC19896系列标准的组成部分。该标准属于国际标准，工作语言为英语，于2025年11月19日正式发布，目前为现行有效状态。2.2标准定位与作用作为ISO/IEC19896系列标准的第1部分，本标准的定位在于提供基础性、框架性和概念性的规范内容。具体而言，该标准的作用体现在以下层面：-奠定术语基础：统一界定了IT安全合格评定机构人员能力相关的核心术语和定义，为系列标准各部分的使用提供了共同的语言基础。-构建概念框架：系统阐述了人员能力的构成要素、评价维度和相互之间的关系，建立了理解和评价人员能力的总体概念模型。-明确通用要求：规定了适用于各类IT安全合格评定领域的人员能力通用要求，为后续专项领域能力标准的制定提供了依据。-指导标准应用：为标准的实际使用者（如合格评定机构、认可机构、培训机构、从业人员）提供了标准应用的总体指导。2.3标准适用范围本标准适用于以下对象和场景：-IT安全合格评定机构在招聘、选拔、培训、考核和授权人员时的能力要求制定；-认可机构对IT安全合格评定机构人员能力的评审与认可；-信息安全产品、系统和服务的评估人员、审核人员、认证人员的培养和资格认定；-IT安全合格评定相关培训课程的开发和教学；-从业人员职业发展和能力评价的自我评估。三、标准主要内容3.1标准框架结构ISO/IEC19896-1:2025标准的整体框架设计遵循了ISO/IEC17000系列合格评定标准的编制逻辑，同时充分考虑了信息安全领域的专业技术特征。标准框架主要包含以下几个关键模块：-范围：明确了标准的适用边界，指出本标准适用于IT安全合格评定机构各类人员的能力要求，但具体的专项技术要求由系列标准的其他部分予以规定。-规范性引用文件：列出了本标准制定过程中引用的其他国际标准和文件，主要包括ISO/IEC17000《合格评定词汇和通用原则》、ISO/IEC17065《合格评定对产品、过程和服务认证机构的要求》、ISO/IEC17025《检测和校准实验室能力的通用要求》等合格评定领域的基础标准，以及ISO/IEC15408（CommonCriteria）系列、ISO/IEC19790等信息技术安全评估技术标准。-术语和定义：对涉及的核心术语进行了规范化定义，包括“合格评定”“合格评定机构”“人员能力”“知识”“技能”“资质”等基础性概念。-能力概念模型：构建了IT安全合格评定人员能力的总体概念模型，明确了能力的构成要素及其相互关系。能力被分解为知识、技能和经验三个核心维度，同时考虑了行为特征和职业素养等因素。-能力等级框架：提出了人员能力的分级体系，根据工作的复杂程度、独立性和责任范围，将人员能力划分为不同等级，为后续各专项标准的细化提供框架。-通用能力要求：规定了IT安全合格评定人员应具备的通用能力要求，包括基础知识要求（如信息安全基础理论、网络与系统安全知识、密码学基础、相关法律法规等）、专业技能要求（如安全评估方法论、测试技术、风险分析方法等）、行为素养要求（如职业道德、客观公正、保密意识、沟通协调能力等）。-能力评价原则：规定了人员能力评价的基本原则和方法框架，包括评价的公正性、有效性、可靠性和可追溯性等原则要求。3.2关键技术要素分析3.2.1能力构成的多维度界定本标准将IT安全合格评定人员的能力界定为多维度的综合概念，主要包括以下构成要素：-知识维度：指人员掌握的信息安全及相关领域的理论知识和专业知识，包括基础理论知识、技术标准和规范知识、法律法规知识等。-技能维度：指人员运用知识解决实际问题的能力，包括评估策划能力、测试执行能力、数据分析能力、报告编制能力等。-经验维度：指人员在实践中积累的、能够有效支撑工作开展的实务经历，包括参与评估项目的数量、复杂度和覆盖范围等。-行为维度：指人员的职业行为特征和综合素养，包括职业道德、团队协作、沟通表达、持续学习能力等。3.2.2分级能力体系标准提出了IT安全合格评定人员的分级框架，根据人员在评定活动中的角色定位和职责要求，建立了能力分级体系。每个等级对应不同的知识深度、技能广度和经验要求，各级之间呈现递进关系，为人员的职业发展提供了清晰的路径指引。3.2.3知识体系覆盖标准要求IT安全合格评定人员应掌握的知识体系涵盖以下核心领域：-信息安全基础理论，包括信息安全模型、安全架构、安全协议等基础理论；-网络安全技术，包括网络协议安全、网络防护技术、入侵检测与防御等；-系统安全技术，包括操作系统安全、数据库安全、应用系统安全等；-密码学理论与应用，包括对称密码、公钥密码、哈希函数、数字签名等；-安全评估技术与方法，包括漏洞分析、渗透测试、安全审计、风险评估等方法论；-信息安全管理体系标准，包括ISO/IEC27001、ISO/IEC27002等管理标准；-相关法律法规与伦理规范，包括数据保护法规、网络安全法、知识产权法及职业伦理等。3.2.4能力评价要求标准对人员能力评价提出了系统性要求，涵盖了评价方案的制定、评价方法的选择与实施以及评价结果的应用等关键环节。在评价方案方面，要求综合考虑评价目标、评价对象、所需资源和时间安排，确保方案的科学性和可操作性。在评价方法方面，标准推荐根据能力维度类型灵活采用不同的评价工具，具体包括用于考察知识掌握程度的笔试和口试、用于验证实际操作能力的实际操作考核、用于评估综合表现的工作产品审查和同行评价，以及用于了解职业经历和诚信状况的档案审查与背景调查等。所有评价过程和结果均应形成完整记录，确保评价的客观性和可追溯性。四、标准的意义与价值4.1对行业发展的促进作用4.2对技术进步的推动作用标准的发布将进一步推动信息安全评估技术的规范化和创新发展。本标准对人员能力提出系统化要求的同时，也为新技术在安全评估领域的应用提供了能力保障和人才支撑。对于人工智能安全评估、量子密码分析、零信任安全架构评估、云安全评估等新兴交叉领域，本标准所建立的通用能力框架为后续制定专项能力要求提供了重要的基础性指引。五、标准实施建议5.1对合格评定机构的建议相关合格评定机构应尽早启动本标准的宣贯和实施工作。具体而言，应积极开展标准培训和解读，使管理层和关键岗位人员全面理解标准要求；对照标准梳理现有的人员管理制度和能力评价体系，找出差距并制定改进措施；按照标准的能力维度框架和分级体系，完善人员的招聘、培训、考核和授权管理制度；建立与标准要求相适应的人员能力档案和持续监控机制。5.2对从业人员和培训机构的建议从业人员应主动学习掌握本标准的内容要求，对照标准进行自我评估，明确自身能力的优势与不足，有针对性地制定个人发展计划。在条件允许的情况下，积极参与符合标准要求的能力评价活动，获取相应资质。对于培训机构而言，应根据本标准的能力框架和知识领域要求设计和完善培训课程体系；注重知识传授、技能实训和案例教学相结合，提升培训的实效性；根据技术发展和行业需求的变化持续更新培训内容，确保培训的前瞻性。5.3对认可机构和监管部门的建议建议相关认可机构和行业监管部门在本标准基础上，研究制定相应的认可方案或监管要求，在认可评审和监督活动中纳入人员能力评价维度，促进本标准的落地实施。同时，密切关注国际合格评定领域的发展和动态，推动国际互认机制的建立和完善。六、主要参与单位介绍ISO/IEC19896-1:2025的制定由国际标准化组织（ISO）与国际电工委员会（IEC）下设的联合技术委员会JTC1（信息技术）负责组织，具体由SC27（信息安全、网络安全和隐私保护分技术委员会）牵头实施。SC27是国际信息技术安全标准化领域最权威的技术委员会之一，其工作范围涵盖信息安全、网络安全和隐私保护的整体标准化工作。JTC1/SC27下设多个工作组，其中WG3（安全评估、测试与规范）具体负责ISO/IEC19896系列标准的研制工作。WG3汇集了来自全球各成员国在安全评估领域的权威专家，包括国家标准化机构代表、合格评定机构技术专家、学术研究人员和产业界代表等。中国作为SC27的积极成员和WG3的重要参与方，在该标准的制定过程中贡献了中国在信息安全合格评定领域的最佳实践和经验成果。七、未来发展与展望7.1系列标准的完善与扩展ISO/IEC19896-1:2025作为系列标准的基础部分，为后续各专项标准提供了概念框架和通用要求。预计在后续工作中，国际标准化组织将陆续制定和完善以下相关标准：-针对特定评估领域的专项人员能力要求标准（如渗透测试人员、安全审计人员、密码模块检测人员等）；-针对特定技术领域的能力要求标准（如云安全评估人员、工业控制系统安全评估人员、人工智能安全评估人员等）；-与人员能力评价相关的操作指南和实施细则。7.2国际互认机制的建立以ISO/IEC19896-1:2025为基础的人员能力国际互认机制有望在以下层面逐步建立和推进：在区域层面，依托欧盟网络安全认证框架（EUCC）等区域互认安排率先开展试点；在全球层面，依托国际认可论坛（IAF）和国际实验室认可合作组织（ILAC）的现有互认体系逐步拓展；在产业层面，推动跨国企业在全球供应链安全评估中采信国际互认的人员资质。随着互认机制的建立和完善，合格评定人员的国际流动性和评定结果的国际采信度将显著提高。7.3与新兴技术的融合发展随着人工智能、大数据、区块链、量子计算等新兴技术的快速发展和广泛应用，IT安全合格评定人员的能力要求也将面临新的挑战和机遇。未来，标准体系将可能需要逐步纳入以下新兴能力维度：人工智能安全评估的专业知识、数据安全与隐私保护的前沿理念方法、新兴技术风险的识别与分析能力以及新形态安全威胁的检测与应对能力等。八、结论ISO/IEC19896-1:2025《信息安全、网络安全和隐私保护IT安全合格评定机构人员能力要求第1部分：概述和概念》是国际信息安全标准化领域的一项重要成果。该标准的发布填补了IT安全合格评定人员能力国际标准的框架空白，为全球范围内信息安全合格评定人员的能力建设提供了统一、权威的技术依据。我们有理由相信，随着ISO/IEC19896系列标准的持续完善和广泛应用，全球信息安全合格评定人才队伍建设将迈上新的台阶，信息安全保障体系的整体效能也将得到显著提升，从而为数字经济的健康发展和网络空间的安全稳定提供更加坚实的人才保障和技术支撑。参考文献[1]ISO/IEC19896-1:2025,Informationsecurity,cybersecurityandprivacyprotection-RequirementsforthecompetenceofITsecurityconformanceassessmentbodypersonnel-Part1:Overviewandconcepts[S].Geneva:ISO/IEC,2025.[2]ISO/IEC17000:2020,Conformityassessment-Vocabu