GBT 47957-2026 安全与韧性 防护安全 为组织建立安全计划指南标准立项发展报告

安全与韧性防护安全为组织建立安全计划指南标准立项发展报告StandardizationDevelopmentReport:SecurityandResilience—ProtectiveSecurity—GuidelinesforOrganizationstoEstablishSecurityPlans摘要随着全球化进程加速与不确定性风险日益增多，各类组织面临的安全威胁呈现出多元化、复杂化和叠加化的显著特征。从物理攻击、内部人员威胁到网络入侵与供应链中断，安全事件对组织运营的冲击已从局部影响演变为系统性风险。为帮助组织有效应对这一挑战，国家市场监督管理总局（国家标准化管理委员会）于2026年7月30日发布了国家标准GB/T47957-2026《安全与韧性防护安全为组织建立安全计划指南》，并将于2026年11月1日正式实施。本标准修改采用ISO31000风险管理框架下的国际标准ISO/TS22391:2023《Securityandresilience—Protectivesecurity—Guidelinesforanorganizationtoestablishasecurityprogramme》，填补了我国在防护安全计划领域国家标准的空白。标准确立了以风险迭代评估为核心、以分层防护策略为支撑、以持续改进为保障的安全计划建立方法论，提供了涵盖安全计划全景规划、设计实施、绩效评估和改进全过程的系统指南。本报告系统梳理了该标准的编制背景、技术框架和主要内容，详细介绍了主要起草单位中国标准化研究院在标准研制中的核心贡献，并对该标准的实施应用前景进行了展望。本标准的发布实施，将为我国各类组织建立科学有效的安全防护体系提供权威指引，对提升全社会安全韧性水平、推动安全治理体系现代化具有重要的支撑意义。关键词：安全与韧性；防护安全；安全计划；风险管理；组织韧性；标准化AbstractAsglobalizationacceleratesanduncertainrisksproliferate,organizationsofalltypesfaceincreasinglydiversified,complexandoverlappingsecuritythreats—rangingfromphysicalattacksandinsiderthreatstocyberintrusionsandsupplychaindisruptions.Theimpactofsecurityincidentshasevolvedfromlocalizedeffectstosystemicrisks.Tohelporganizationsaddressthischallengeeffectively,theStandardizationAdministrationofChinaundertheStateAdministrationforMarketRegulationreleasedthenationalstandardGB/T47957-2026"SecurityandResilience—ProtectiveSecurity—GuidelinesforOrganizationstoEstablishSecurityPlans"onJuly30,2026,withimplementationscheduledforNovember1,2026.ThisstandardmodifiesandadoptstheinternationalstandardISO/TS22391:2023establishedundertheISO31000riskmanagementframework,fillingagapinChina'snationalstandardssystemforprotectivesecurityplanning.Thestandardestablishesasystematicmethodologyforsecurityplandevelopmentcenteredoniterativeriskassessment,supportedbylayeredprotectionstrategies,andsafeguardedbycontinuousimprovementmechanisms,providingcomprehensiveguidelinescoveringthefullprocessofsecurityplanning,designandimplementation,performanceevaluation,andimprovement.Thisreportsystematicallyreviewsthedevelopmentbackground,technicalframeworkandmaincontentofthestandard,introducesindetailthecorecontributionsoftheChinaNationalInstituteofStandardizationastheprimarydraftingunit,andprovidesprospectsforthestandard'simplementationandapplication.Keywords:SecurityandResilience;ProtectiveSecurity;SecurityPlan;RiskManagement;OrganizationalResilience;Standardization一、引言1.1编制背景进入21世纪第三个十年，全球安全形势发生了深刻而复杂的变化。传统的安全威胁与非传统安全威胁相互交织，物理安全与网络安全边界日趋模糊，各类组织面临的安全风险呈现出前所未有的复杂态势。近年来，全球范围内针对关键基础设施、大型企业、政府机构和公共组织的安全事件频发——从2021年美国科洛尼尔管道勒索软件攻击导致东海岸燃油供应中断，到2023年某跨国企业因内部人员泄露敏感数据造成重大经济损失，再到各类极端暴力事件对社会秩序造成的冲击，无不凸显出一个严峻事实：传统的、单点式的安全管理模式已难以应对日趋复杂的现代安全威胁环境。在此背景下，“韧性”（Resilience）理念逐步成为安全治理领域的核心范式。国际标准化组织（ISO）在风险管理技术委员会（ISO/TC262）框架下系统推进安全与韧性标准体系的构建，其中ISO/TS22391:2023《Securityandresilience—Protectivesecurity—Guidelinesforanorganizationtoestablishasecurityprogramme》作为防护安全领域的重要技术规范，为组织建立系统化、结构化的安全计划提供了国际共识的技术框架。该标准突破了传统安全标准侧重单一威胁应对的局限，强调组织应建立覆盖“预防—保护—响应—恢复”全链条的安全防护能力。我国在安全标准化领域虽然已建立了较为完善的标准体系——涵盖安防工程技术（GB50348系列）、信息安全等级保护（GB/T22239系列）、应急管理体系等多个维度——但长期以来缺乏一部系统指导组织从全局视角构建防护安全计划的综合性国家标准。已发布的标准或偏重于特定领域的技术要求（如视频监控、入侵报警等），或侧重事后应急管理，在安全计划的顶层设计、组织安全治理架构的建立以及全风险类型的统筹防护方面存在明显的标准空白。GB/T47957-2026正是在这一背景下应运而生，旨在为各类组织提供一套科学、系统、可操作的安全计划建立方法论。1.2编制目的与意义本标准（GB/T47957-2026）的制定旨在实现以下目标：一是确立以风险为驱动、以韧性为导向的安全计划设计理念；二是提供一套适用于各类组织（无论规模、类型和行业）的安全计划通用框架；三是建立从安全方针制定、风险评估、防护措施选择到计划评审改进的全流程闭环管理机制；四是推动我国防护安全实践与国际先进理念接轨。本标准的发布具有以下重要意义：其一，填补了我国在“安全与韧性”标准化领域防护安全总体性指南标准的空白，完善了我国安全标准化体系的顶层架构；其二，为组织应对不确定环境下的安全威胁提供了科学方法论，有助于提升各类组织的安全韧性和可持续发展能力；其三，为安全咨询服务机构、安全评估机构和监管部门提供了统一的技术依据和工作语言；其四，推动了中国安全标准与国际安全标准的深度融合与互认。1.3编制原则本标准的编制严格遵循了以下原则：一致性原则：标准技术内容与修改采用的国际标准ISO/TS22391:2023保持高度一致，同时充分考虑了我国的法律法规要求、标准体系现状和组织管理实践；适用性原则：标准定位为通用性指南，适用于不同行业、不同规模和不同所有制类型的组织，标准不对具体防护技术手段和安全产品作出强制性规定，以便各类组织根据自身风险特征和资源状况灵活应用；风险驱动原则：强调安全计划的各项决策应建立在科学的风险评估基础之上，避免脱离风险实际的安全投入冗余或防护缺漏；全周期覆盖原则：涵盖安全计划的策划、设计、实施、检查、改进的PDCA全周期，确保安全计划持续适用和不断完善。1.4标准编制过程概述本标准的研制工作自2023年底正式启动，由中国标准化研究院（CAS）牵头组织起草，汇聚了公共安全领域科研院所、高等院校、安保企业及行业用户等多方力量。起草工作组在全面分析我国安全防护管理现状和国际标准技术内容的基础上，先后经过草案起草、工作组讨论稿形成了征求意见稿，广泛征集社会各方意见并逐条处理，历经多次委员会审查，最终完成标准送审稿和报批稿。整个过程严格遵循GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的要求，确保了标准文本的规范性和技术内容的科学性。本文件修改采用ISO/TS22391:2023《Securityandresilience—Protectivesecurity—Guidelinesforanorganizationtoestablishasecurityprogramme》（英文版）。本文本与ISO/TS22391:2023相比，在结构上做了适当调整，删除了部分不宜在我国直接应用的术语定义，并在资料性附录中增加了与我国现行安全管理法规和标准体系的对照说明，以更好地适应我国的法律环境和管理实践。二、标准主要内容解析2.1范围与适用对象本标准为各类组织建立、实施、维护和持续改进安全计划提供了系统性指南。其适用对象涵盖广泛——无论是大型企业集团、中小微企业、政府机构、事业单位，还是学校、医院、文体场馆等公共服务机构，均可依据本标准的框架建立与其风险状况和资源能力相适应的安全计划。标准同时适用于为组织提供安全咨询、安全设计和安全评估服务的第三方专业机构，为其开展相关工作提供了统一的技术语言和方法论框架。标准明确将“安全计划”界定为组织为实现其安全目标而制定的一套系统化的文件化安排和措施组合，其核心目标在于保护组织的人员、实物资产、信息资产和声誉免受恶意行为和威胁的损害。标准的侧重点聚焦于“防护安全”（ProtectiveSecurity），即针对蓄意威胁（如犯罪、暴力、恐怖袭击、间谍活动、内部破坏等）所采取的预防性和保护性措施，而非针对自然灾害或意外事故的安全管理（这在其他标准中加以规定）。2.2主要核心技术要素通过对标准技术内容的系统梳理，其核心技术要素可归纳为以下六个维度：第一，安全计划的顶层架构设计。标准强调组织应将安全计划视为组织治理体系的有机组成部分，要求安全计划与组织的战略目标、业务需求和风险管理框架深度融合。安全计划应在组织的最高管理层获得明确的政策支持和资源保障，形成自上而下的安全保障合力。第二，风险评估与威胁分析机制。标准确立了以风险评估为安全计划核心决策依据的原则。要求组织系统识别可能面临的威胁类型——包括但不限于物理入侵威胁、内部人员威胁、网络攻击威胁、供应链安全威胁以及社会动荡与恐怖主义威胁——分析和评估这些威胁发生的可能性及可能造成的后果，并以此为基础确定安全防护的优先级和资源配置方案。第三，分层防护策略体系。标准推荐采用分层防护（LayeredSecurity）策略构建纵深防御能力，即通过物理防护、技术防护、人员防护和管理防护等多层措施的有机组合，形成层层递进、相互支撑的防护网络，以确保某一层防护被突破后仍有后续措施有效阻断威胁。分层防护策略以实现安全防护体系的根本性安全（fundamentalsecurity）为目标，以防御的广度换取安全能力的深度。第四，安全计划实施的管理要素。标准详细规定了安全计划实施过程中涉及的管理要素——包括安全组织的架构设计、安全职责任务的分配与授权、安全培训与意识提升计划的制定、安全操作流程与规程的编制、安全事件报告与响应的机制安排等。标准特别强调了组织安全文化培育的重要性，指出安全不应仅被视为安保部门的职责，而应融入组织全体人员的日常行为规范之中。第五，安全绩效的监测与评价方法。标准要求组织建立系统化的安全绩效测量和评价机制，通过设定关键绩效指标（KPI）、开展定期安全审计、组织安全演练与测试等途径，客观评估安全计划的实施效果，识别安全防护体系中的薄弱环节和改进空间。标准同样强调了安全事件调查与经验学习机制的价值，鼓励组织从安全事件中系统汲取教训，将经验反馈转化为安全计划的改进输入。第六，安全计划的持续改进机制。标准将安全计划的维护与改进置于与初始建立同等重要的地位，要求组织建立定期评审制度，根据风险评估结果的变化、安全事件的经验教训、组织内外环境的变迁以及新技术发展的机遇，及时对安全计划进行调整和优化，确保安全计划始终保持动态适用性。2.3标准框架结构概览本标准在整体结构上共包含9个章节、2个附录及参考文献。第1章“范围”界定了标准的适用边界。第2章“规范性引用文件”列出了标准实施所必需的引用文件，主要为GB/T23694《风险管理术语》和GB/T24353《风险管理原则与实施指南》等风险管理基础性国家标准。第3章“术语和定义”明确了安全、韧性、防护安全、安全计划等核心概念。第4章“组织的环境与安全治理”阐述了安全愿景确立、安全方针制定、安全治理结构搭建和岗位责任机制建设。第5章“安全计划全景规划”构建了从确立目标到明确原则再到确定优先次序的整体规划路径。第6章“安全风险评估”提供了威胁源识别、脆弱性分析、风险分析评价到风险处置的完整闭环方法论。第7章“安全计划的设计与实施”涵盖了安全策略确定、防护措施选择到落地运行的核心内容，其中也包含了对安全外包需求与外部安全服务供应商管理的系统性指导。第8章“绩效评估与持续改进”规定了安全绩效监测指标设定、安全审计和事件调查的途径及方法。第9章则明确了管理层评审的输入与输出要求。附录A（资料性）以图示方式展示了标准实施的整体流程图及其与PDCA循环的内在逻辑关系，提供了安全目标与绩效指标设计的参考示例；附录B（资料性）则提供了安全方针声明书的编制模板。两个附录均为组织实际操作提供了便利化的参考工具。三、修订单位与主要起草单位介绍本标准的牵头起草单位为中国标准化研究院。作为国家市场监督管理总局直属的公益性科研机构，中国标准化研究院是我国标准化领域的国家级核心研究基地，也是ISO/TC262（风险管理技术委员会）的国内技术对口单位，长期深度参与安全与韧性领域的国际标准化工作。经过数十年的建设发展，该院已形成覆盖标准化理论方法研究、标准研制开发、标准信息服务、质量研究与评价等多领域的综合性研究能力，汇聚了包括国际标准化组织注册专家、享受国务院政府特殊津贴专家在内的一大批高层次标准化专业人才。围绕安全与韧性这一新兴领域，该院先后主导和参与完成了GB/T24353《风险管理原则与实施指南》、GB/T23694《风险管理术语》、GB/T27921《风险管理风险评估技术》等风险管理系列基础性国家标准的研制工作，构建了较为完整的风险管理标准化体系，为我国风险管理和安全治理标准化工作奠定了坚实基础。在本标准的研制过程中，中国标准化研究院不仅负责标准研制的统筹组织和整体协调，更承担了研究框架设计、核心技术内容起草和国际标准对比分析等关键工作。项目组在对ISO/TS22391:2023进行深入技术分析的基础上，充分考虑了中国现行安全法规体系（如《中华人民共和国安全生产法》《中华人民共和国反恐怖主义法》《企业事业单位内部治安保卫条例》等）的基本要求，以及我国不同行业组织安全管理的实践经验和现实需求，经过多轮专家论证和修改完善，最终形成了既与国际接轨又符合中国国情的标准文本。同时，起草工作组还吸纳了中国安防行业相关科研机构、高等院校、安保龙头企业和行业用户单位的专家参与标准研讨和意见反馈，通过多方协作和充分论证，确保了标准的技术先进性和实施可行性。四、结论与展望GB/T47957-2026《安全与韧性防护安全为组织建立安全计划指南》的发布，是我国安全与韧性标准化领域的一项重要里程碑。该标准首次为我国各类组织提供了系统化建立防护安全计划的权威性、通用性指南，标志着我国安全管理工作从局部应对型向系统预防型的范式转变迈出了重要步伐。标准的实施将有力推动组织安全治理能力的整体提升，促进安全防护理念从“被动应对”向“主动塑造韧性”的转变，为构建更加安全、更具韧性的社会环境提供标准化技术支撑。展望未来，随着本标准于2026年11月1日正式实施，预期将在以下几个层面产生深远影响：一是带动安全与韧性领域标准体系的进一步完善和丰富。以本标准为核心纲领，后续有望围绕安全计划实施的具体技术领域——如物理安防系统的设计与评估、人员安全管理规范、供应链安全保护指南、安全演练与测试方法等——逐步建立配套的标准子体系，形成系