ISOIEC 24760-22025 信息安全、网络安全和隐私保护 身份管理框架 第2部分参考体系结构和要求标准立项发展报告

ISO/IEC24760-2:2025《信息安全、网络安全和隐私保护身份管理框架第2部分：参考体系结构和要求》标准立项发展报告StandardizationDevelopmentReport:InformationSecurity,CybersecurityandPrivacyProtection–AFrameworkforIdentityManagement–Part2:ReferenceArchitectureandRequirements（ISO/IEC24760-2:2025）摘要随着数字化转型的深入推进，身份管理已成为信息安全管理体系的核心组成部分，跨组织、跨域的身份互操作需求日益迫切。ISO/IEC24760系列标准作为身份管理领域的基础性国际标准，为各类组织提供了系统化的身份管理框架。本报告聚焦ISO/IEC24760-2:2025《信息安全、网络安全和隐私保护身份管理框架第2部分：参考体系结构和要求》，系统梳理了该标准的立项背景、研制历程、核心技术内容和修订要点。该标准在2015年首版基础上，结合近年来分布式身份标识、零信任架构、隐私增强技术等领域的最新发展进行了全面修订，明确了身份管理参考体系架构的组成要素及其交互关系，细化了身份信息的生命周期管理要求和控制措施，强化了与隐私保护法律法规的衔接。报告深入分析了该标准与ISO/IEC24760-1（术语与概念）、ISO/IEC24760-3（实践指南）之间的衔接关系，阐述了其在政务、金融、医疗等关键行业中的应用前景，并对该标准在我国的转化实施和未来发展方向提出了建议。本报告旨在为标准使用者、科研人员和政策制定者提供参考。关键词：身份管理；参考体系架构；信息安全；隐私保护；ISO/IEC24760；身份鉴别与授权一、引言（一）研究背景数字化时代的加速演进使得身份管理（IdentityManagement,IdM）从单纯的技术支撑手段上升为信息安全保障体系的核心支柱。从电子政务到在线金融，从远程医疗到工业互联网，几乎所有的数字化服务场景都依赖于高效、安全且可信的身份管理能力。与此同时，身份盗用、凭证填充攻击、内部威胁等安全事件频发，身份管理不当已连续多年位列全球网络安全风险的前沿。在国际标准化层面，ISO/IECJTC1/SC27（信息安全、网络安全和隐私保护分技术委员会）长期致力于身份管理相关标准的研制工作。ISO/IEC24760系列标准是该领域最具影响力的基础性框架标准之一，其第1部分界定了身份管理的基本术语和概念，第2部分规定参考体系结构和要求，第3部分提供实践指南，三者共同构成了一套完整的身份管理标准体系。（二）标准修订的必要性ISO/IEC24760-2:2015发布以来，信息技术领域发生了深刻变化：分布式账本技术催生了去中心化身份（DecentralizedIdentity）的新范式；零信任架构（ZeroTrustArchitecture）的兴起改变了传统的边界防护思维；《通用数据保护条例》（GDPR）等隐私法规的实施对身份信息的处理提出了更为严格的要求；车联网、物联网等新场景带来了海量的非人类身份管理需求。这些变化使得2015版标准中的参考体系结构和要求部分亟待更新，以反映新的技术趋势和监管环境。在此背景下，ISO/IECJTC1/SC27于2021年正式启动ISO/IEC24760-2的修订工作，历经多轮工作组会议、草案征求意见和最终国际标准草案投票，于2025年9月16日正式发布。（三）标准基本信息ISO/IEC24760-2:2025《信息安全、网络安全和隐私保护身份管理框架第2部分：参考体系结构和要求》由国际电工委员会（IEC）发布，标准状态为现行，语言为英语。该标准是ISO/IEC24760系列标准的重要组成部分，适用于各类组织在设计和实施身份管理体系时的参考架构依据。二、标准立项背景与研制过程（一）国际标准化环境ISO/IECJTC1/SC27是国际范围内信息安全标准化领域最重要的技术委员会之一，主要负责信息安全、网络安全和隐私保护领域国际标准的研制。SC27下设多个工作组，其中WG5（身份管理与隐私技术）具体负责身份管理相关标准的制定和维护工作。ISO/IEC24760系列标准即由WG5牵头研制。近年来，SC27在身份管理领域形成了若干并行推进的标准项目：包括ISO/IEC24760系列（框架性标准）、ISO/IEC29003（身份证明标准）、ISO/IEC29115（实体鉴别保证框架）以及ISO/IEC23220系列（移动身份管理）等，这些标准相互补充，共同构成了较为完整的身份管理国际标准体系。（二）标准修订历程ISO/IEC24760-2:2025的修订过程遵循了ISO/IEC国际标准制修订的标准程序，主要经历了以下阶段：1.研究建议阶段（2020年）：SC27/WG5在系统梳理身份管理领域技术发展和标准使用反馈的基础上，提出对ISO/IEC24760-2:2015进行修订的建议，并形成新工作项目提案（NWIP）。2.委员会草案阶段（2021—2022年）：成立修订项目组，由来自各国标准化机构的专家共同参与。项目组在充分考虑各国成员体意见的基础上形成了委员会草案（CD），并提交SC27各成员体征求意见。3.国际标准草案阶段（2023—2024年）：根据各成员体对CD稿的反馈意见进行逐条处理和修改，形成国际标准草案（DIS）。DIS稿经SC27投票通过后进入最终国际标准草案（FDIS）阶段。4.正式发布阶段（2025年）：FDIS稿经过最终投票后获得通过，标准文本经编辑性修改后于2025年9月16日正式出版发布。三、标准主要内容（本部分报告将对标准的核心章节进行逐一解读，挖掘其技术内涵与创新要点。）（一）范围与规范性引用文件ISO/IEC24760-2:2025规定了身份管理参考体系结构和要求，适用于任何在信息技术环境中需要实施身份管理的组织。该标准明确了身份管理体系的组成要素、各要素之间的交互关系以及实施身份管理所需满足的要求。标准以通用性为设计原则，不限定特定技术实现方案，也不区分特定应用场景，确保其在各类组织中的普适性。在规范性引用文件方面，该标准主要引用了ISO/IEC24760-1（术语和概念）以及ISO/IEC29100（隐私框架）等标准，确保系列标准之间的术语一致性和框架协调性。（二）术语和定义标准在第3章给出了核心术语和定义。相较于2015版，此次修订扩展和细化了部分关键术语，主要包括：-身份信息（IdentityInformation,II）：与某一特定身份关联的信息集合。-身份（Identity）：身份管理语境中，一组描述某个实体（Entity）的属性信息。-实体（Entity）：具有独立存在性的对象，可以是人、组织、设备、软件应用或服务。-身份管理（IdentityManagement）：对身份信息进行全生命周期管理的过程和控制措施。-数字身份（DigitalIdentity）：在数字化环境中表示某个实体的数据的集合。值得关注的是，新版本在术语部分增加了对“去中心化身份”和“可验证凭证（VerifiableCredentials）”等新概念的描述性定义，反映了标准化工作组对新技术的关注和纳入。（三）身份管理参考体系架构标准的第5章规定了身份管理参考体系架构（ReferenceArchitecture），这是本部分标准的核心内容。1.体系架构的总体视图标准给出了一个分层化的身份管理参考体系架构，以组件化的方式描述了身份管理体系的关键功能模块及其相互依赖关系。具体而言，该体系架构包括三个层次：-前端交互层：主要为身份主体（IdentitySubject）提供身份注册、身份验证、凭证管理等交互界面和接口，是用户与应用系统之间的交互通道。-身份服务层（核心功能层）：这是身份管理的核心，通过构建“身份生命周期管理”“身份鉴别”“授权决策”“身份信息存储”等功能组件，支撑身份信息的高效流转与安全保障。-策略与管理层：覆盖治理、合规与审计，提供策略管理、风险管理和合规报告等管控功能。2.架构组件的功能视图标准详细描述了每个功能组件的职责。例如：-身份生命周期管理组件：负责身份信息的创建、更新、暂停、恢复和销毁。-身份鉴别组件：负责验证实体与其声称身份之间的绑定关系。-授权决策组件：依据访问控制策略，作出准许或拒绝访问的决策。-身份信息存储（存储库）组件：提供安全可靠的身份数据存储能力，并支持数据的备份与恢复。3.信任与互操作框架新版本扩展了跨域身份管理的信任框架与互操作要求，引入了基于策略的信任评估机制，支持多信任域之间的安全互认，使标准更适用于云服务、跨组织协作等复杂场景。（四）身份管理体系要求1.身份生命周期管理要求标准第6章对身份生命周期各阶段的管理活动提出了明确要求，包括注册、验证、凭证签发、使用监控、权限调整和注销清理等，覆盖了从创建到销毁的完整链条，为应对账号遗留、权限泛滥等常见安全问题提供依据。2.身份鉴别要求在鉴别机制方面，标准提出了多因素鉴别（MFA）的适用要求、鉴别机制的安全分级以及失败处理的规范要求。3.身份信息的保护要求在隐私保护方面，标准要求将身份信息视为个人数据予以充分保护，明确界定了数据最小化原则在身份管理场景中的具体实现方式，并要求对身份信息的收集和处理遵循合法、正当、必要的原则。4.审计与追溯要求标准还规定了身份管理系统的审计日志记录与管理要求，以及安全事故的响应与通知义务，强调了对身份管理活动的可追溯性和可问责性。（五）与相关标准的关系ISO/IEC24760-2:2025在标准体系中处于承上启下的地位。其与ISO/IEC24760-1（术语与概念）共同构成身份管理的框架性文件，并为ISO/IEC24760-3（实践指南）提供架构层面的约束和方法论基础。三者之间的关系可以概括为：第1部分定概念，第2部分定架构，第3部分定方法，形成一个从概念到实施、从指导到操作的有效贯通。四、标准修订要点分析（一）2015版至2025版的主要变化相较于2015版，ISO/IEC24760-2:2025在以下方面做出了显著调整：1.架构模型的更新：2015版采用扁平化的功能模块划分方式，2025版则采用分层化架构模型，将身份管理划分为前端交互层、身份服务层和策略与管理层，层次关系更加清晰，便于各类组织根据自身需求对号入座。2.新增去中心化身份相关内容：2025版专门增加了有关去中心化身份管理模式的条款，描述了去中心化身份的基本特征和体系要求，为基于区块链等分布式账本技术的身份管理方案提供了标准依据。3.强化隐私保护要求：新增了隐私影响评估（PIA）的要求，引入隐私默认保护（PrivacybyDefault）理念，并明确身份信息的跨境传输应遵循适用法律的要求。4.细化可信互操作要求：新增跨域身份管理的信任框架条款，引入了基于动态信任评估的互操作机制。5.引入零信任安全理念：在鉴别和授权要求中融入了零信任安全模型的核心思想，强调“永不信任，始终验证”的安全原则。（二）技术趋势的回应该标准的修订充分回应了当前身份管理领域的技术发展趋势：-在身份认证技术方面，标准涵盖了对生物特征识别、基于风险的自适应鉴别和连续鉴别等新型认证技术的架构适配要求。-在新兴技术融合方面，标准细化了云环境中的身份管理架构要求，覆盖了云服务场景下身份信息共享、联邦身份管理等关键议题。-在合规需求方面，标准在隐私保护条款的设计上充分考虑了与GDPR、《个人信息保护法》等国内外法规的协调性。五、主要起草单位简介ISO/IEC24760-2:2025的修订工作由ISO/IECJTC1/SC27/WG5工作组负责组织实施，参与该标准研制的专家来自全球各主要国家的标准化机构、科研机构和行业企业。在各国成员体中，德国标准化协会（DIN）在本次标准修订中发挥了重要的组织协调作用。德国作为国际标准化领域的传统强国，在身份管理与隐私保护技术方面具有深厚的研究基础和丰富的实践经验。DIN组建了由学术界、产业界和政府机构专家共同构成的工作组，深度参与了该标准架构模型的重新设计工作，尤其是在分层化架构的提出和验证方面做出了关键贡献。此外，法国、日本、韩国、美国等国家的标准化专家也在标准的各个技术环节中发挥了重要作用。在中国方面，全国网络安全标准化技术委员会（TC260）组织国内相关单位和专家持续跟踪ISO/IEC24760系列标准的国际标准化动态。中国专家在身份信息的隐私保护要求和跨域身份互操作等条款的讨论中积极贡献了中国智慧，推动相关条款更加贴合不同法域下的合规需求。六、标准实施与产业应用（一）典型应用场景ISO/IEC24760-2:2025在多个行业和领域中具有广泛的应用前景：1.电子政务领域：该标准为政府数字化转型中的统一身份认证平台建设提供了架构参考。在“互联网+政务服务”背景下，跨部门、跨层级的人员身份互认亟需统一的标准支撑。2.金融行业：在远程开户、在线支付、反洗钱等业务场景中，金融机构可依据该标准设计满足监管要求的身份管理体系。标准的隐私保护条款也为金融数据的合规处理提供了指引。3.医疗卫生领域：该标准可以支撑电子健康档案的访问控制、医护人员身份认证、患者身份匹配等场景，特别是在跨机构医疗协作中具有重要价值。4.工业互联网与物联网：面对海量设备身份管理需求，标准中关于非人类实体身份管理的内容为设备身份管理提供了参考架构，支撑工业控制系统的设备认证与安全通信。（二）标准实施路径建议结合标准技术内容与我国标准化实践，本报告提出以下实施路径建议供使用单位参考：1.差距分析：组织应首先对照标准要求评估现有身份管理体系的覆盖度，识别在生命周期管理、隐私保护和审计追溯等方面的差距。2.架构规划：根据标准的参考架构模型，结合组织自身业务特点和技术现状，规划目标身份管理体系架构，确定各功能组件的实施优先级。3.分步实施：建议采取渐进式实施策略，优先建设身份生命周期管理和身份鉴别等基础能力，再扩展至跨域互操作、智能授权等高级能力。4.评估改进：建立持续评估机制，定期审查身份管理体系的符合性和有效性，关注标准后续更新动态，及时调整实施策略。七、结论与展望ISO/IEC24760-2:2025的正式发布是身份管理领域国际标准化工作的重要里程碑。该标准在继承2015版核心框架的基础上，紧密跟踪技术发展和法规变化，对参考体系结构和要求进行了系统性修订和升级，为各类组织实施身份管理提供了更加完善的标准依据。从技术发展趋势来看，身份管理正在经历从“以组织为中心”向“以用户为中心”的深刻转变，去中心化身份、可验证凭证、自主权身份等新模式正在重塑身份管理的技术格局。未来，ISO/IEC24760系列标准的持续演进将更加注重与这些新型身份范式的衔接，同时进一步强化与人工智能安全、量子安全等新兴领域的标准协同。从我国视角来看，加快ISO/IEC24760-2:2025的采标转化工作，对于完善我国身份管理标准体系、支撑数字经济发展和网络安全保障具有重要意义。建议相关标准化技术机构尽早启动该标准的转化工作，结合我国法律法规和行业实践，制定相应的国家标准或行业标准，为各行业身份管理体系建设提供科学依据。同时，鼓励国内相关单位和专家更深入地参与国际标准化工作，在国际标准研制中贡献更多中国方案。可以预见，随着ISO/IEC24760-2:2025的推广应用，各类组织的身份管理能力将得到系统性提升，身份管理在构建安全可信的数字世界中将发挥更加关键的基础支撑作用。参考文献[1]ISO/IEC24760-2:2025,Informationsecurity,cybersecurityandprivacyprotection—Aframewo