GBT 37002-2026 网络安全技术 电子邮件系统安全技术规范标准立项发展报告

网络安全技术电子邮件系统安全技术规范标准立项发展报告StandardizationDevelopmentReport:CybersecurityTechnology–SecurityTechnicalSpecificationsforEmailSystems摘要电子邮件系统作为互联网基础设施中最关键的应用服务之一，承载着政务办公、商务沟通、个人信息传输等海量业务，其安全性直接关系国家安全、公共利益和公民合法权益。近年来，以钓鱼攻击、商业邮件欺诈（BEC）、勒索软件投递、账号接管为代表的新型邮件安全威胁持续演变，传统安全防护手段面临严峻挑战，相关国家标准亟需修订升级。本报告围绕GB/T37002-2026《网络安全技术电子邮件系统安全技术规范》的立项背景、编制必要性、技术内容及实施价值展开系统论述。该标准由中国国家标准化管理委员会发布，于2026年7月2日正式发布，并将于2027年2月1日实施，全面替代和升级既有电子邮件安全相关技术规范。标准在继承原有框架基础上，充分吸收《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规要求，对接网络安全等级保护2.0体系，融合了零信任架构、商用密码应用、人工智能安全检测等前沿技术理念。本报告指出，该标准的发布实施将有效填补当前电子邮件系统安全国家标准在新型威胁应对和新技术应用方面的空白，为各行业企事业单位邮件系统安全规划、建设、运维和测评提供权威技术依据，对提升我国电子邮件系统整体安全防护水平具有深远的战略意义和现实价值。关键词：网络安全；电子邮件系统；安全技术规范；等级保护；零信任；商用密码；标准立项一、引言1.1立项背景电子邮件作为互联网诞生以来最悠久、最基础的信息通信工具，至今仍是政务、金融、能源、教育、医疗等关键信息基础设施领域最主要的正式沟通渠道。据相关统计，全球每日电子邮件发送量已超过3,500亿封，而其中超过55%为垃圾邮件或恶意邮件。由国家互联网应急中心（CNCERT）发布的监测数据表明，针对我国邮件系统的钓鱼攻击、暴力破解、漏洞利用等安全事件数量呈逐年上升趋势。随着数字化转型的深入推进，电子邮件系统的安全边界日趋模糊：云化部署改变了传统IT架构的信任模型；移动办公普及催生了多样化的接入方式；供应链攻击和身份伪造技术不断翻新。与此同时，2023年以来生成式人工智能技术的爆发式发展，使得钓鱼邮件的内容仿真度大幅提升，攻击成本显著下降，传统的基于规则和特征库的检测技术已难以应对。在上述复杂安全形势下，电子邮件系统的安全保障不再仅是单一技术问题，而是涉及管理、技术、运营、合规等多维度的系统性工程。1.2原标准执行情况及修订必要性分析GB/T37002-2018《信息安全技术电子邮件系统安全技术要求》自实施以来，为电子邮件系统安全建设提供了重要的规范性指导。然而，该标准制定迄今已历时多年，部分技术指标与当前网络安全形势和新技术发展已不完全匹配，其修订必要性主要体现在以下方面：第一，合规性要求显著提升。《中华人民共和国数据安全法》确立了数据分类分级保护制度，对重要数据的传输和存储提出更为严格的安全要求；《中华人民共和国个人信息保护法》对电子邮件中涉及的个人信息处理活动设置了合规红线；网络安全等级保护2.0系列标准（GB/T22239-2019）进一步细化了各级别系统的安全保护要求。原标准在对接上述新型法律法规体系方面存在明显滞后。第二，新技术形态亟需覆盖。当前，电子邮件系统广泛采用云化部署模式，软件即服务（SaaS）形态的邮件服务已成为市场主流；移动终端邮件客户端的安全管理需求持续凸显；国密算法（SM2、SM3、SM4）在邮件加密和身份认证中的规模化应用已成为国家商用密码推广战略的重要组成部分。原标准的技术框架在应对上述新型技术形态时支撑力明显不足。第三，新型威胁应对需求迫切。商业邮件欺诈（BEC）已成为全球范围内造成经济损失最大的网络犯罪类型之一。根据美国联邦调查局互联网犯罪投诉中心（IC3）数据，BEC攻击造成的全球累计损失已超过500亿美元。基于人工智能的深度伪造（Deepfake）音频和视频技术也被逐步应用于高级钓鱼攻击中，用于伪造高管指令实施转账欺诈。此外，供应链攻击通过劫持邮件服务商的第三方组件或API接口实施批量投毒，邮件安全威胁的形态和传播链路日趋复杂化。第四，标准协调配套有待完善。随着网络安全领域的标准化工作不断推进，与邮件安全相关的配套标准陆续出台，术语定义、安全等级划分和技术指标表述需要与相关标准保持一致。在上述背景下，对原有标准进行全面修订、发布GB/T37002-2026，是完善网络安全国家标准体系、适应新形势下网络安全保障需求的必要举措。二、标准编制目的与原则2.1编制目的本标准旨在建立一套完整、科学、可操作、可验证的电子邮件系统安全技术规范，为电子邮件系统的制造商、服务提供商、运营者和安全测评机构提供统一的技术依据和行为准则。具体目标包括：明确电子邮件系统在不同安全保护等级下应具备的安全技术能力；覆盖电子邮件系统全生命周期的安全要求，包括系统架构安全、身份鉴别与访问控制、数据传输与存储安全、内容安全检测、日志与审计以及安全运维等关键环节；强化对新型邮件攻击威胁的检测与防护能力要求；深化邮件系统密码应用合规性要求。2.2编制原则标准的编制遵循了以下基本原则：适用性原则。标准充分考虑了不同类型和规模组织在邮件系统建设方面的差异性，采用分级分类的安全能力要求，便于各类主体根据自身安全需求和资源条件合理选用。协调性原则。在术语定义、安全等级划分、技术要求表述等方面与已发布的网络安全国家标准保持协调一致，确保标准体系内部逻辑自洽。先进性原则。充分吸收了可信身份认证、零信任安全架构、供应链安全、商用密码算法、人工智能内容安全检测等前沿安全技术理念。可操作性原则。在技术要求中尽量采用可量化、可检测的明确指标，避免模糊表述，以促进标准在检测评估和认证认可活动中的有效落地。三、标准主要技术内容概述GB/T37002-2026围绕电子邮件系统的全生命周期安全需求，构建了从物理环境到应用数据、从基础防护到智能检测的多层次技术规范框架。与旧版相比，新标准在体系结构上进行了大的调整和优化，由传统的信息安全等级保护思路扩展为覆盖识别、防护、检测、响应、恢复全过程的系统安全能力框架，并针对每一安全环节提出了具有可操作性的技术指标与测试评价方法，主要技术内容涵盖以下方面：系统架构与部署安全。明确了邮件系统业务架构的安全分区要求，对邮件服务、Webmail服务、防垃圾邮件网关、防病毒网关等核心组件的安全部署提供规范性指引。针对云化部署场景，提出了多租户隔离、虚拟化安全、容器安全、安全配置基线等管理原则。身份鉴别与访问控制。细化了用户身份鉴别的方式和强度要求。除传统的口令鉴别策略外，标准重点引入了双因子认证和基于商密算法（SM2/SM3/SM4）的数字证书认证体系，对管理员特权账号实施更为严格的管控措施。同时，要求邮件系统支持基于属性的细粒度访问控制机制，防止越权访问。数据传输与存储安全。在链路安全方面，明确要求邮件传输启用TLS/SSL加密并推荐采用国密算法套件；在存储安全方面，规定了邮件数据的加密存储要求，并对邮件数据的备份与容灾机制提出了分级配置要求。针对邮件网关与其他网络安全设备之间、邮件系统与身份认证系统之间的API接口通信，设置了身份验证与传输加密等技术要求。内容安全检测与过滤。针对鱼叉式钓鱼、商业邮件欺诈、勒索软件投递等高危威胁类型设置专项检测能力指标，要求邮件系统具备恶意URL检测、恶意附件检测、异常登录行为识别、发件人身份伪造识别等功能模块。值得关注的是，标准明确鼓励在内容安全检测中适度引入基于行为分析和大数据分析的智能检测引擎，以应对利用人工智能生成的复杂攻击载荷。日志审计与追溯。明确了邮件系统全量日志记录范围，涵盖登录日志、操作日志、邮件收发日志、管理日志等类别，规定了日志保存时限要求（通常不少于法律规定的六个月），并对日志数据的防篡改保护和审计追溯能力提出明确指标。核心日志功能在极端故障条件下应具备独立的存储空间和运行环境。四、主要修订与创新点（一）全面对接法律法规新要求。新版标准将《数据安全法》中关于数据分类分级保护的要求融入邮件数据安全条款，对涉及重要数据和个人信息的邮件数据处理提出专门的安全要求；将《个人信息保护法》中的最小必要原则嵌入邮件系统的数据采集与留存设计理念中。（二）引入零信任安全架构理念。改变传统基于边界防护的安全模型假设，强调"永不信任，始终验证"的安全理念。标准要求邮件系统在可能条件下支持基于设备健康状态、用户行为特征、地理位置等多维度的持续信任评估机制，不因用户已通过初始认证而放松访问控制。（三）强化商用密码应用要求。在身份鉴别、传输加密、存储加密、数字签名和时间戳等密码应用环节全部引入国密算法（SM2、SM3、SM4）支持指标，明确要求邮件系统在国家级政务、关键信息基础设施等重要场景下的密码应用应满足国家商用密码应用安全性评估要求。（四）增加供应链安全管理条款。针对邮件系统开发方和运维方可能引入的供应链安全风险，标准新增了对邮件系统软硬件组件来源管控、第三方组件安全扫描、安全开发全流程管理、开发者身份验证及软件物料清单（SBOM）留存等制度要求。特别是要求邮件系统建设运维单位建立邮件相关的软件物料清单管理机制，对第三方开源或商业组件进行持续漏洞跟踪。（五）强化云化部署和移动接入场景要求。就多租户数据隔离策略、虚拟化平台安全基线与租户侧安全责任共担模型提出了安全原则；要求移动端邮件应用支持远程数据擦除等功能能力。五、标准主要起草单位及介绍5.1中国电子技术标准化研究院中国电子技术标准化研究院（电子标准院，英文简称CESI）创建于1963年，是工业和信息化部直属事业单位，也是国家从事电子信息技术领域标准化工作的核心科研机构，同时承担工业和信息化部网络安全产业创新任务。作为全国网络安全标准化技术委员会（TC260）的秘书处单位，电子标准院长期承担网络安全领域国家标准的研究制定、宣贯推广、国际合作和合格评定等职能。在电子邮件安全标准化工作中，电子标准院牵头组织产学研用各方力量，系统梳理国内外邮件安全技术发展和标准化现状，牵头起草了GB/T37002标准各版本的框架设计与核心条款编制任务。电子标准院在网络安全标准化领域拥有深厚的技术积累和丰富实践经验。院内设有多个专业实验室，具备网络安全技术测试、信息安全风险评估和商用密码产品检测等综合技术能力。该院牵头制定了数百项网络安全领域国家标准和行业标准，涵盖了基础通用、关键技术、安全管理、测评认证等多个专业方向。在电子邮件安全技术研究方面，电子标准院组织技术团队持续跟踪国内外邮件安全威胁态势，深入分析IETF相关邮件安全技术规范。在GB/T37002-2026的修订过程中，电子标准院联合多家科研院所和安全厂商组建了专项编制组，历时两年完成了需求调研、框架论证、草案编制、试验验证、征求意见和送审报批等全部阶段工作。编制组基于广泛的行业调研征集意见，对标准的技术指标进行了严谨论证和试验验证，力求使标准既具有前瞻性又具备良好的可实施性。作为TC260秘书处单位，电子标准院将继续发挥标准化技术归口的统筹协调作用，在该标准正式实施后组织开展宣贯培训、应用试点和效果评估工作，持续推动电子邮件安全技术的规范化发展。六、标准实施预期效益与推广应用建议6.1预期效益分析在宏观战略层面，本标准的发布与实施将促进我国电子邮件系统安全防护能力实现整体跃升。通过建立统一的、与当前威胁态势相匹配的技术规范，可以有效消除各行业邮件系统安全建设水平参差不齐的现状，促进安全防护的均衡化发展，有助于在政务、金融、能源等关键行业形成示范效应，带动邮件安全产品和服务的整体质量提升，从而增强我国网络空间在邮件通信这一关键环节的韧性和抗打击能力。此外，全面采用自主可控的商用密码算法，有利于推动国家密码应用合规战略在电子邮件这一关键基础设施领域的落地，进一步降低对国外密码算法的依赖，增强网络安全关键技术的自主可控能力。在具体应用层面，标准的实施将产生以下多方面的直接效益：一是降低安全事件风险——通过强化身份鉴别、内容安全检测和防欺诈技术指标要求，可有效降低邮件系统因弱口令、钓鱼攻击和身份伪造导致的安全事件发生率，从而减少因商业邮件欺诈和勒索软件造成的直接和间接经济损失；二是规范市场秩序——为电子邮件相关安全产品和服务提供了统一的技术评价依据，有助于规范产品市场，引导厂商按照统一标准开展产品研发和质量控制，减少低水平重复建设；三是提升测评效率——为第三方安全测评机构提供了明确的测评依据和可量化的指标体系，有助于提升邮件系统安全检测评估的标准化和自动化水平，缩短测评周期、降低测评成本。6.2推广应用建议为促进标准的有效落地实施，建议如下：第一，重点行业率先示范，在政务、金融、能源、通信等重要行业率先推动标准实施，形成示范案例和最佳实践，带动其他行业跟进；第二，结合等级保护工作协同推进，将标准的技术指标纳入网络安全等级保护测评和商用密码应用安全性评估的具体实施依据中，形成合力，提升标准实施刚性和效果；第三，产学研用协同完善配套检测工具，鼓励标准化研究机构、安全厂商和测评机构基于本标准开发自动化检测评估工具，提升标准执行的效率和准确性；第四，持续跟踪国际邮件安全技术发展动态，建立标准实施反馈机制，为后续标准的持续更新完善储备技术依据。七、结论与展望GB/T37002-2026《网络安全技术电子邮件系统安全技术规范》的发布与实施，是我国网络安全标准化工作的重要阶段性成果。该标准立足新时期电子邮件系统面临的安全挑战，服务于网络强国和数字中国建设的战略需求，以系统性、前瞻性和可操作性的技术规范引领电子邮件安全技术的规范化发展。标准的实施将有效提升我国电子邮件系统整体安全防护能力，降低网络犯罪和数据泄露风险，为国家关键信息基础设施的安全稳定运行提供有力支撑，同时也将推动邮件安全产品和服务的质量提升与技术创新，促进形成良性发展的产业生态。展望未来，随着人工智能技术的持续演进和量子计算等颠覆性技术的逐步成熟，电子邮件安全技术将面临更为深刻的变革。建议相关标准化工作持续关注以下方向：人工智能驱动的安全检测技术标准化的纵深推进、抗量子密码算法在邮件加密和数字签名中的前瞻性应用研究，以及结合信创环境的邮件系统安全适配与优化。期望相关部门和行业主体以本标准的实施为契机，持续加强邮件安全技术研究、加大安全投入，协力共筑安全可信的数字通信环境。参考文献[1]全国人民代表大会常务委员会.中华人民共和国网