ISOIEC 24760-12025 信息安全、网络安全和隐私保护 身份管理框架 第1部分核心概念和术语标准立项发展报告

信息安全、网络安全和隐私保护身份管理框架第1部分:核心概念和术语标准立项发展报告StandardizationDevelopmentReport:Informationsecurity,cybersecurityandprivacyprotection-Aframeworkforidentitymanagement-Part1:Coreconceptsandterminology摘要随着数字化转型的深入推进，身份管理已成为信息安全、网络安全和隐私保护领域的核心基础性课题。从企业内部的用户认证到跨机构的联邦身份互认，从物联网设备标识到人工智能系统的实体属性管理，身份管理框架的标准化需求日益迫切。ISO/IEC24760-1:2025《信息安全、网络安全和隐私保护身份管理框架第1部分：核心概念和术语》由国际电工委员会（IEC）归口管理，于2025年9月16日正式发布，替代此前版本，为全球身份管理领域提供了统一的核心概念体系和术语规范。本报告系统梳理了该标准的立项背景、技术内容、修订要点和应用价值。标准明确了身份信息的定义与分类、身份生命周期的管理流程、利益相关方的角色与职责，并建立了与ISO/IEC24760系列其他部分的逻辑关联。该标准的发布对促进跨系统身份互操作、支撑隐私保护法规落地实施具有重要意义，为各类组织构建安全可信、合规高效的身份管理能力提供了权威技术依据。关键词：身份管理；信息安全；隐私保护；ISO/IEC24760；标准化框架；身份生命周期；术语规范Keywords:identitymanagement;informationsecurity;privacyprotection;ISO/IEC24760;standardizationframework;identitylifecycle;terminologyspecification一、引言1.1标准立项背景身份管理（IdentityManagement,IdM）是信息安全领域的基础性技术支撑，其核心任务是确保实体（Entity）的身份信息在采集、存储、使用、流转和销毁的全生命周期中得到妥善管理和有效保护。随着云计算、物联网、大数据和人工智能技术的迅猛发展，数字身份的应用场景不断扩展。根据国际数据公司（IDC）的预测，到2026年全球数字经济规模将占GDP的65%以上，而身份管理则是数字经济的信任基石。在身份管理标准化领域，ISO/IECJTC1/SC27（信息安全、网络安全和隐私保护分技术委员会）长期以来持续推动相关国际标准的研制工作。ISO/IEC24760系列标准作为身份管理领域的基础性框架标准，自2011年首次发布以来，已被全球众多国家和组织采纳，成为身份管理体系建设的重要参考依据。1.2标准修订的必要性随着身份管理技术的发展和隐私保护法规的趋严（如欧盟《通用数据保护条例》GDPR、中国《个人信息保护法》等），原版标准在以下方面需要更新：一是云计算和去中心化身份（DecentralizedIdentity）等新型技术模式对传统身份概念提出了新要求；二是隐私保护理念从“告知-同意”向“数据最小化”和“隐私设计”（PrivacybyDesign）演进，需要纳入身份管理的框架性设计；三是物联网和人工智能系统中非人类实体（Non-humanEntity）的身份管理需求日益凸显，原有的实体概念框架需要进一步扩充。二、标准技术内容概述2.1标准适用范围ISO/IEC24760-1:2025规定了身份管理领域的基础概念和术语，适用于以下场景：-在各类信息系统和网络环境中对实体身份信息进行管理和控制；-支持组织间身份信息的交换与互操作；-为身份管理系统的设计、实施、评估和审计提供术语基础和概念框架；-为隐私保护影响评估（PIA）和合规性验证提供参考依据。2.2核心术语与概念框架该标准建立了一套完整的身份管理概念体系，主要包括以下核心概念：（1）实体（Entity）：指具有独立存在性的对象，可以是自然人、组织、设备、软件应用、服务或数字对象等。标准特别扩展了对非人类实体的定义，以适应物联网和人工智能场景中设备身份、算法身份等新型需求。（2）身份信息（IdentityInformation）：关于实体的信息集合，用于在特定上下文中充分标识一个实体。身份信息包含标识符（Identifier）、属性（Attribute）和凭据（Credential）等子类。新版本进一步细化了身份信息的数据质量要求，包括准确性、完整性和时效性维度。（3）标识符（Identifier）：在特定上下文中用于明确标识实体的信息元素。标准区分了持久标识符与临时标识符、全局标识符与局部标识符，并强调在隐私保护要求下应使用不可关联标识符（UnlinkableIdentifier）以降低追踪风险。（4）身份（Identity）：在特定上下文中与实体相关联的身份信息的集合。标准明确了身份与实体、标识符之间的辩证关系，强调“一个实体可以拥有多个身份，每个身份在特定上下文中被使用”。2.3身份信生命周期管理该标准系统地阐述了身份信息生命周期的各个阶段及其管理要求：（1）登记（Enrollment）：实体身份信息的初始采集与注册阶段。标准详细规定了登记过程的验证要求、授权机制和信息质量保证措施。新版本引入了分级登记（TieredEnrollment）的概念，允许根据风险等级采用不同强度的验证手段。（2）分发（Distribution）：身份信息在授权范围内的传播和共享过程。标准强调了分发过程中的最小化原则，即仅分发完成特定目的所必需的身份信息。（3）使用（Usage）：身份信息在认证、授权和审计等过程中的实际应用。标准提出了身份验证（Verification）和身份鉴别（Authentication）两个不同层级的操作要求，并讨论了多因素鉴别机制在框架中的定位。（4）维护（Maintenance）：身份信息的更新、变更和保持准确性的过程。标准要求建立定期的信息审验机制（PeriodicReview），确保身份信息随实体的状态变化而及时调整。（5）终止（Termination）：身份信息的失效、撤销和删除。标准区分了自然终止、主动撤销和强制注销等不同场景，并强调在终止阶段应考虑保留合规要求的法律义务。2.4利益相关方与角色标准明确划分了身份管理中各利益相关方的角色与职责：-主体（Principal）：身份信息的归属者，其身份信息被管理的实体。-身份服务提供方（IdentityServiceProvider,IdSP）：负责身份信息登记、存储和提供身份服务的机构或组织。-依赖方（RelyingParty,RP）：依赖于身份服务提供方的身份断言来做出访问控制决策的一方。-控制方与处理方（ControllerandProcessor）：在隐私保护语境下，分别指决策身份信息处理目的与方式的一方和代表控制方实际处理信息的一方。新版本在角色划分中进一步纳入了“信任锚”（TrustAnchor）的概念，完善了对联邦身份场景中信任关系的描述能力。三、标准的修订要点与创新3.1与上一版本的差异分析ISO/IEC24760-1:2025相较于此前版本，主要进行了以下修订：（1）术语体系的分层优化。新版本将术语分为基础概念、操作概念和管理概念三个层次，增强了标准的教学适用性和工程实用性。（2）纳入隐私设计理念。根据ISO/IEC29100（隐私保护框架）和ISO/IEC29134（隐私影响评估指南），新版本在身份管理框架中系统性地融入了隐私设计原则，如数据最小化、目的限制、存储限制等。（3）扩展非人类实体身份。针对工业物联网、自动驾驶和智能代理等场景，新版本对非人类实体的身份属性、生命周期和凭据管理提供了更详细的概念支撑。（4）加强与其他标准的协调性。新版标准与ISO/IEC24760-2（身份管理的参考架构）和ISO/IEC24760-3（身份管理的实践指南）的衔接更加紧密，术语定义的一致性得到显著增强。3.2与关联标准的协调ISO/IEC24760-1:2025与其他相关标准形成了有机的标准簇：-与ISO/IEC27001（信息安全管理体系）的关系：本标准为实施ISO/IEC27001中关于访问控制（A.9控制项）和身份管理的相关控制提供了概念基础。组织在建立信息安全管理体系时，可利用本标准作为身份管理过程的术语参考和框架指引。-与ISO/IEC29100（隐私保护框架）的关系：本标准的身份信息概念与ISO/IEC29100中的个人可识别信息（PII）概念形成映射关系，为隐私保护措施的落地实施提供了操作层面的支撑。-与ISO/IEC29003（身份证明）的关系：本标准的登记和验证概念为身份证明流程的控制提供了上游依据。四、标准修订的企事业单位及技术委员会情况4.1归口管理机构本标准由国际电工委员会（IEC）归口管理，具体由ISO/IECJTC1/SC27（信息安全、网络安全和隐私保护分技术委员会）负责研制和维护。SC27是国际标准化领域中信息安全领域最权威的技术委员会，下设多个工作组（WG），其中身份管理与隐私保护技术相关的工作主要由WG5（身份管理与隐私保护技术）承担。4.2主要参与起草单位介绍英国标准协会（BritishStandardsInstitution,BSI）在本标准的修订工作中，英国标准协会作为主要参与单位之一，在标准框架设计、术语定义、概念模型构建以及文本草拟方面发挥了重要作用。机构概况：英国标准协会（BSI）成立于1901年，是世界上首个国家标准化机构，也是全球著名的标准制定组织之一。作为ISO的创始成员之一，BSI长期深度参与国际标准的制订工作，在国际标准化领域具有深远的影响力。BSI在身份管理、隐私保护和网络安全等领域的标准研制方面积累了丰富经验，主导或参与制定了多项ISO/IEC标准和英国国家标准。技术贡献：在本标准的修订过程中，BSI组织来自学术界、产业界和政府部门的专家组成工作组，围绕身份管理领域的前沿技术趋势和最佳实践展开了深入研讨，并向ISO/IECJTC1/SC27提交了多项建设性的技术提案。具体贡献包括：首先，BSI牵头重构了标准的核心概念模型，将原有的线性结构优化为分层架构；其次，BSI主导新增了“信任锚”和“非人类实体”相关术语的界定工作；再次，BSI在大规模身份系统、开放银行身份验证等领域的最佳实践基础上，为标准中的操作概念提供了丰富的实践案例支撑。专家团队：BSI网络安全与隐私保护标准化团队汇集了多位具有国际影响力的标准化专家。团队负责人曾担任ISO/IECJTC1/SC27/WG5的召集人，团队成员长期参与多项身份管理和隐私保护国际标准的研制工作，在身份管理、隐私增强技术和网络安全治理等方面具有深厚的学术造诣和丰富的实践经验。BSI团队在此次修订中亦发挥了连接学术研究与工程实践的桥梁作用，将欧盟《数字身份条例》（eIDAS2.0）等最新政策要求转化为标准的技术语言。其他参与国家与机构：除BSI外，来自德国（DIN/DKE）、日本（JISC）、韩国（KATS）、美国（ANSI）、中国（SAC）等国家的标准化机构和行业组织也积极参与了本标准的修订工作。中国代表团由全国信息安全标准化技术委员会（TC260）组织专家参与，就非人类实体身份、区块链身份管理等议题提出了中国方案和意见。五、标准实施的意义与应用前景5.1对行业发展的推动作用ISO/IEC24760-1:2025的发布将产生以下积极影响：（1）促进跨系统身份互操作。统一的术语体系和概念框架降低了不同身份管理系统之间对接的技术门槛，有助于实现跨组织、跨行业、跨境的身份互认，从而支撑数字贸易和跨境数据流动的发展需求。（2）支撑隐私保护法规落地的技术保障。标准中融入的隐私设计理念为组织在身份管理系统中落实“隐私保护”提供了可操作的技术指引，有助于与《通用数据保护条例》（GDPR）、《个人信息保护法》（PIPL）等法律法规形成技术与法律双层协同机制。（3）为数字身份基础设施建设提供标准支撑。随着各国政府推进数字身份基础设施建设（如欧盟eIDAS2.0、中国可信数字身份体系等），本标准为相关系统设计的顶层架构和技术选型提供了权威的参考依据。（4）助力人工智能与物联网发展。标准扩展的非人类实体身份概念为智能设备、算法模型和自动化代理的身份治理提供了概念基础，有助于构建更为安全和可信的人工智能与物联网生态。5.2应用场景举例-企业身份治理（IGA）：大型企业可依据本标准梳理内部身份管理流程，统一各业务系统的身份术语和概念口径，提升身份治理成熟度。-政务服务平台建设：政府在建设“一网通办”等政务服务平台时，可利用本标准的框架规划身份认证体系的角色和流程，确保各子系统之间概念一致。-联邦身份互操作：在多方协作的联邦身份体系中（如教育联盟、医疗联合体），本标准提供了共同的概念基础，减少对接过程中的歧义和冲突。-数字身份钱包开发：在欧盟数字身份钱包（EUDIWallet）等去中心化身份产品开发中，本标准为身份凭证的数据结构和交互流程提供了框架性参考。六、结论与展望ISO/IEC24760-1:2025《信息安全、网络安全和隐私保护身份管理框架第1部分：核心概念和术语》是身份管理领域一项重要的基础性国际标准。该标准的发布，反映了全球信息安全领域对身份管理基础概念和术语日趋一致的共识，体现了国际标准化组织应对数字时代身份治理挑战的积极行动。本标准的修订实施，为全球各类组织实施身份管理体系建设提供了科学、系统的概念框架，对促进身份管理技术的规范化发展、支撑隐私保护合规要求的落地、推动跨系统身份互操作具有重要意义。展望未来，身份管理标准化工作仍面临诸多新的课题。一方面，去中心化身份（DID）、可验证凭证（VC）等新技术模式对传统身份管理框架提出了新的挑战；另一方面，人工智能大模型时代的实体身份（如AIAgent身份）管理也需要在标准层面予以回应。此外，量子计算对身份凭据安全的潜在影响亦值得持续关注。ISO/IECJTC1/SC27将在充分吸收各方意见的基础上，持续推动与身份管理相关标准的研制和修订工作。我国应密切跟踪ISO/IEC24760系列标准的最新进展，积极组织国内相关单位和专家深度参与国际标准研制工作，同时加快推动身份管理领域国家标准的制定与更新，为网络强国和数字中国建设贡献标准化力量。参考文献[1]ISO/IEC24760-1:2025,Informationsecurity,cybersecurityandprivacyprotection—Aframeworkforidentitymanagement—Part1:Coreconceptsandterminology[S].Geneva:ISO/IEC,2025.[2]ISO/IEC24760-2,Informationtechnology—Securitytechniques—Aframeworkforidentitymanagement—Part2:Referencearchitectureandrequirements[S].Geneva:ISO/IEC,2015.[3]ISO/IEC24760-3,Informationtechnology—Securitytechniques—Aframeworkforidentity