GBT 47685-2026 网络安全技术 存储安全指南标准立项发展报告

网络安全技术存储安全指南标准立项发展报告StandardizationDevelopmentReport:CybersecurityTechnology–StorageSecurityGuide摘要随着数字经济与新型基础设施建设的纵深推进，数据已成为国家基础性战略资源，数据存储安全亦从传统的技术保障问题上升为关乎国家安全、社会稳定与公民权益的战略议题。为应对云存储、大数据、人工智能及物联网场景下复杂数据安全挑战，并为各行业开展数据分类分级保护提供底层安全技术保障，国家市场监督管理总局与国家标准化管理委员会联合发布了国家标准GB/T47685-2026《网络安全技术存储安全指南》。本报告系统梳理了该标准的立项背景、编制过程、主要内容及行业应用价值，重点分析了标准涵盖的存储安全总体框架、数据生命周期各阶段安全要求、典型存储架构安全能力以及安全管理规范等核心条款。报告指出，该标准全面对接《中华人民共和国数据安全法》《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》等法律法规在存储层面的落地要求，填补了我国在存储安全领域国家标准的空白，对指导各行业构建安全可靠的存储体系、提升数据安全治理能力具有里程碑式意义。报告还围绕标准的主要起草单位之一——中国电子技术标准化研究院的技术贡献进行了专题介绍，并对标准的未来实施路径与后续修订方向作了展望。关键词：网络安全；数据存储安全；信息安全技术；国家标准；数据分类分级；存储安全指南Keywords:Cybersecurity;DataStorageSecurity;InformationSecurityTechnology;NationalStandard;DataClassificationandGrading;StorageSecurityGuide一、引言1.1编制背景当前，全球范围内数据泄露、勒索软件攻击、内部人员违规操作等安全事件频发，针对存储系统的攻击已成为网络攻击的主要目标之一。2023年全球数据泄露平均成本已达到445万美元，勒索软件攻击中约92%涉及对存储数据的加密与窃取。与此同时，我国《数据安全法》于2021年正式实施，确立了数据分类分级保护制度，明确要求各行业针对不同级别数据实施差异化的安全防护策略。存储系统作为数据的最终承载者，其安全性直接决定数据安全保护措施的最终成效，然而长期以来我国在存储安全领域缺乏专门的国家标准，现有标准多侧重于网络安全或数据安全的某一侧面，未能系统覆盖存储安全的完整技术域。1.2编制目的与意义GB/T47685-2026的制定旨在为各类组织在规划、建设、运维存储系统时提供全面的安全技术参考框架，统一存储安全的技术要求和管理规范。该标准的发布实施具有以下重要意义：其一，填补了存储安全领域国家标准空白，完善了我国网络安全国家标准体系；其二，为《数据安全法》《网络安全法》等法律法规在数据存储环节的落地实施提供了可操作的技术依据；其三，为各行业开展数据分类分级保护工作提供了存储层面的技术支撑；其四，为存储产品的研发、测试、选型及安全评估提供了统一基准。1.3适用范围说明本标准适用于指导各类组织（包括政府机构、企事业单位、云服务提供商等）开展存储系统的安全规划、安全建设、安全运维和安全评估工作，也适用于存储产品研发企业开展安全功能设计与验证，以及第三方测评机构开展存储安全检测与评估工作。二、标准编制过程2.1立项阶段本标准的编制工作依据《中华人民共和国标准化法》及相关规定，由全国网络安全标准化技术委员会归口管理。在立项前期，编制组面向金融、电信、能源、政务、医疗等重点行业及存储设备制造商、云服务商、安全厂商等开展了广泛的需求调研。调研结果显示，超过85%的受访单位认为有必要制定专门的存储安全国家推荐性标准，以解决当前存储系统安全防护能力参差不齐、安全管理要求不明确、安全检测缺乏依据等突出问题。经过充分论证，国家标准化管理委员会于2023年正式下达标准修订计划。2.2起草阶段标准起草组由国内存储安全领域的优势单位组成，涵盖权威标准化机构、科研院所、高校、行业用户及头部企业。起草组在系统梳理ISO/IEC27040:2015《信息技术安全技术存储安全》等国际标准的基础上，充分结合我国网络安全等级保护制度、数据分类分级管理制度及关键信息基础设施安全保护制度的实际要求，先后召开十余次工作组会议和多次专题研讨会，形成标准草案。2.3征求意见与审查阶段标准草案通过全国网络安全标准化技术委员会渠道向全社会广泛征求意见，共收到来自行业协会、科研机构、企业等各方面的反馈意见数百条。起草组逐条研究处理意见，对标准文本进行了多轮修改完善。2025年底，标准通过全国网络安全标准化技术委员会组织的专家审查。2026年5月25日，国家市场监督管理总局（国家标准化管理委员会）正式批准发布该标准，编号为GB/T47685-2026，计划于2026年12月1日起正式实施。三、标准主要内容3.1标准框架总览GB/T47685-2026在充分考虑我国当前主流存储技术路线和实际业务场景的基础上，提出了一套覆盖存储安全全要素的框架体系。标准整体采用“总体要求+分类指导”的结构，主体内容涵盖存储安全模型与框架、存储安全总体要求、存储安全技术能力要求、存储安全管理要求、典型存储场景安全实施指南及存储安全评估方法等核心章节，各章之间相互关联、逐层递进，共同构建起一套完整的存储安全知识体系。3.2存储安全模型与框架标准提出了“数据为中心、多层次防护”的存储安全总体模型。该模型以数据分类分级为起点，将存储安全划分为物理与环境安全、网络与传输安全、存储设备与介质安全、数据安全与管理安全、应用与访问安全五个层次，并贯穿数据全生命周期中采集、传输、存储、使用、共享、销毁等各个阶段的安全要求。标准采用的“分层+全生命周期”双维框架，为后续各章技术和管理要求的展开奠定了基础，也为组织内部构建存储安全防护体系提供了结构化的方法论指导。值得强调的是，该框架在结构上兼容了我国网络安全等级保护2.0标准体系中的“一个中心、三重防护”总体架构思路，同时在具体内容上充分衔接了《数据安全法》所确立的分类分级保护制度。标准明确要求组织应当基于数据的敏感程度、重要程度及损害影响程度，将数据划分为不同安全级别，结合分级结果确定存储安全策略——例如，对于核心数据和重要数据，应在存储层面实现加密保护、访问控制、操作审计等高级别防护措施，而对于一般数据则可实施与风险相适应的基础性防护。这一设计确保了标准与国家数据安全监管制度之间的有机衔接，使存储安全措施能够精准匹配数据安全级别要求，避免出现“一刀切”式安全投入造成的资源浪费或防护不足并存的问题。3.3存储安全总体要求标准从存储安全策略与组织保障方面提出了总体要求，规定组织应建立统一的存储安全管理制度，明确存储安全责任主体和岗位职责。标准对存储系统的安全规划提出了明确要求，强调新建存储系统应执行安全同步规划、同步建设、同步投入运行，并将数据分类分级结果作为制定差异化存储安全策略的基础依据。对于存储系统的供应链安全问题，标准同样作了专门规定，要求对存储产品和服务实施供应链安全管理，确保从源头保障存储系统的安全性。此外，标准明确存储系统的安全运维应纳入组织整体安全运营体系，确保存储安全监测信息能够与上层安全分析平台实现有效对接与联动。3.4存储安全技术能力要求（重点内容详解）存储安全技术能力要求是标准的核心技术内容，涵盖以下几个关键技术域：3.4.1存储访问控制标准要求存储系统应实施基于最小权限原则的访问控制策略。在自主访问控制层面，存储系统应支持对文件、对象、块等不同存储对象设置细粒度的访问权限。在高安全等级场景下，宜采用强制访问控制机制，结合数据的密级和操作主体的安全属性实施严格的读写控制。标准还要求对存储系统的管理接口实施独立于数据通道的访问控制，并对管理员操作实施双人复核等约束机制。3.4.2存储数据加密数据加密是存储安全的核心技术手段。标准要求根据数据分类分级结果选择适宜的加密策略。对于高安全等级数据，应采用经国家密码管理部门认可的商用密码算法实施加密保护。标准区分了存储层加密、文件系统层加密和应用层加密三种实现方式，并从密钥的全生命周期管理角度，对密钥生成、存储、分发、轮换、吊销和销毁等环节提出了相应要求。对于云存储场景，标准特别提及了客户管理的加密密钥模式（CMK）和托管密钥模式（SSE-KMS）等不同实现方式的适用条件和安全管理要求。3.4.3存储数据备份与灾难恢复标准要求组织应建立与数据安全级别相匹配的数据备份和灾难恢复机制。备份策略应综合考虑RPO（恢复点目标）和RTO（恢复时间目标）指标要求。标准要求对备份数据实施与生产数据同等级别的安全保护措施，定期开展备份数据的可用性验证，确保在发生数据损坏、勒索攻击或灾难事件时能够有效恢复数据。针对近年来日益猖獗的勒索软件攻击，标准特别提出了备份数据应实现逻辑隔离或物理隔离的要求，防止备份数据被一并加密或删除。3.4.4存储完整性监测与审计标准要求存储系统应具备数据完整性校验能力，采用校验和技术、区块链技术或数字签名等手段，对存储数据的完整性进行定期校验和实时监测。同时，存储系统应全面记录用户和管理员的操作日志，日志内容应涵盖操作时间、操作主体、操作类型、操作对象及操作结果等关键要素，日志的保存期限不应少于法律、行政法规规定的最短期限。标准还明确了存储安全审计的具体实施要求，组织应定期对存储系统的安全状况开展审计。3.4.5存储介质安全与数据销毁标准对存储介质的选择、使用、报废和销毁提出了全流程管控要求。存储介质在报废或重用前应执行安全擦除或物理销毁，防止数据被非授权恢复。标准参照国际成熟的数据擦除标准要求，规定了对不同安全等级数据的存储介质应采用差异化的清除、净化或销毁处理方式，并保存相应的处理记录。3.5典型存储架构场景安全要求标准针对当前主流的集中式存储、分布式存储、云存储、软件定义存储及对象存储等架构类型，分别阐述了其安全风险特征和安全实施要点。在云存储场景中，标准尤其强调了多租户环境下的隔离机制、服务商与租户之间的安全责任共担模型、以及云存储安全配置的基线管理。在数据备份与容灾场景中，提出了针对勒索软件攻击的新一代不可变存储和空气间隙（AirGap）技术的应用建议。3.6存储安全管理要求与评估方法在管理层面，标准详细规定了存储系统全生命周期各阶段的安全管理要求。在规划阶段，应完成存储系统安全需求分析和安全架构设计；在建设阶段，应执行安全功能和性能验证测试；在运维阶段，应持续开展安全监测、漏洞管理、配置管理和容量管理。标准要求建立存储系统的安全配置基线，并对配置变更实施审批和记录制度。此外，标准还规定了存储安全评估的内容和方法，包括安全功能符合性测试、安全配置核查、渗透测试及安全风险分析等，为组织定期开展自查和第三方评估提供了方法论支持。四、主要起草单位介绍4.1中国电子技术标准化研究院中国电子技术标准化研究院（工业和信息化部电子工业标准化研究院，简称CESI）是GB/T47685-2026的主要起草单位之一，也是我国电子信息领域标准化工作的权威技术核心机构。该院始建于1963年，是工业和信息化部直属事业单位，长期承担电子信息技术领域国家标准、行业标准的研制、归口管理和国际标准化对口工作，业务范围覆盖网络安全、数据安全、信息技术服务、存储技术等多个专业方向。在网络安全与数据安全标准化领域，中国电子技术标准化研究院具有深厚的技术积累和丰富的实践经验。作为全国网络安全标准化技术委员会（TC260）的秘书处单位，该院牵头或参与研制了数百项网络安全领域的国家标准，在数据安全、个人信息保护、云计算安全、关键信息基础设施安全保护等方面产出了一系列具有重要影响力的标准成果。在存储安全领域，该研究院联合国内头部存储企业和科研机构，围绕存储加密、数据备份恢复、存储介质安全等方向持续开展技术研究和标准预研工作。在本标准的研制过程中，中国电子技术标准化研究院牵头组建了跨行业的起草工作组，负责标准框架设计、核心技术内容编写和意见汇总处理等关键工作。该院组织开展了面向重点行业和典型应用场景的实地调研，系统梳理了存储安全的技术需求和管理痛点；牵头起草了存储安全模型、存储安全技术能力要求等标准核心章节的初稿；依托TC260平台组织了多轮专家研讨和意见征集，有效保障了标准的科学性、适用性和协调一致性。此外，该院还积极推进标准的试验验证工作，组织多家存储产品厂商和安全测评机构开展标准条款的可行性验证，为标准技术指标的合理性提供实证支撑。4.2其他参与单位GB/T47685-2026的编制还汇聚了国内存储领域产学研用的代表性力量。起草组主要成员单位还包括中国信息安全测评中心、国家信息技术安全研究中心等权威测评机构，以及华为技术有限公司、浪潮电子信息产业股份有限公司等主流存储设备制造商，同时还吸纳了阿里云计算有限公司、腾讯云计算有限责任公司等头部云服务商和中国科学院信息工程研究所等科研机构。产学研用的深度融合确保了标准既具备前瞻性和引领性，又具有可行性和实用性。五、结论与展望GB/T47685-2026《网络安全技术存储安全指南》的发布实施是我国网络安全标准化建设的一项重要成果，标志着我国在数据存储安全领域实现了国家标准“从无到有”的历史性突破。该标准以其系统性、专业性和实用性，为各行业组织构建与数据分类分级制度相适应的存储安全防护体系提供了科学依据和技术指引。展望未来，随着数据要素市场化配置改革的深入推进和“数据要素×”行动的全面实施，存储安全的重要性将进一步凸显。标准的正式实施将为各行业存储安全建设提供统一的规范性指引，切实降低因存储安全防护不当引发数据泄露和丢失的风险。与此同时，存储技术本身也在快速演进——存储级内存（SCM）、存算一体化芯片、量子安全存储加密等技术方兴未艾，生成式人工智能的大规模部署也对存储系统的数据安全管理提出了新的挑战。建议相关标准化技术机构密切跟踪前沿技术发展和威胁态势变化，适时启动标准的修订或补充条款研制工作。同时，还