GB-T 46079-2025 中文版 信息安全技术 零信任管理体系要求

GB/T46079-2025中文版信息安全技术零信任管理体系要求前言GB/T46079-2025《信息安全技术零信任管理体系要求》是由国家标准化管理委员会批准发布，全国网络安全标准化技术委员会归口统筹编制的国家级推荐性信息安全国家标准。本标准立足数字化转型背景下传统网络边界防护模式失效、远程办公常态化、多云混合架构普及、业务灵活互通互联的新时期网络安全防护痛点，彻底打破传统内网可信、外网不可信的边界安全思维，全面践行零信任安全核心理念，构建适配全场景数字化业务运营的系统化、体系化、长效化零信任安全管理治理框架。本标准紧密衔接《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及网络安全等级保护制度关键要求，同步适配政企单位数字化转型、云网融合建设、数据安全治理、远程移动办公、跨域业务协同等各类实际应用需求，统筹规范零信任管理体系建设的组织架构、管理制度、全流程管控规则、技术防护配套、人员权限管理、运维应急处置、内审持续改进等核心刚性要求。本标准不以单纯零信任技术设备部署为核心导向，重点聚焦管理体系规范化建设，明确零信任安全建设不是单一技术项目改造，而是组织全域安全管理模式的系统性升级，指导各类党政机关、企事业单位、行业运营机构建立“永不信任、始终验证、动态授权、最小权限、持续评估、全程可溯”的零信任闭环管理体系，有效防范网络横向渗透、账号权限滥用、内部数据泄露、远程接入风险、越权违规访问、供应链安全隐患等各类高频安全风险，夯实数字化业务安全运行底座，保障网络设施、业务系统、核心数据、用户信息全维度安全可控，推动网络安全防护从边界固守向内生主动防护、静态管控向动态自适应治理全面转型升级。第一章范围1.1标准核心规范内容本GB/T46079-2025国家标准全面规定了零信任管理体系建设的总体核心要求、组织安全治理管理要求、制度流程与文件管控要求、零信任身份全生命周期管理要求、网络与基础设施零信任管控要求、应用负载与业务访问安全管理要求、数据资源零信任防护管理要求、持续安全监测与动态评估管理要求、安全运维与事件处置应急管理要求、供应链零信任协同管理要求、体系内审评审与持续改进管理要求等全维度基础性、强制性、规范性管理内容。本标准聚焦零信任管理体系顶层设计与长效运行管控，明确零信任管理体系建设的基本原则、核心架构、责任划分、管控边界与落地实施基准，细化零信任各类核心安全能力对应的管理履职规范、流程操作标准、台账留存要求、合规核查依据，既兼顾零信任安全管理通用性适配需求，又针对不同行业、不同规模组织的差异化应用场景预留适配调整空间，确保标准合规要求既能统一规范，又能贴合实操落地。1.2适用主体与覆盖场景本标准适用主体覆盖全国范围内所有需要开展零信任安全体系建设、数字化安全转型、网络边界安全升级的党政机关、事业单位、国有企业、民营企业、互联网运营企业、金融能源通信等关键信息基础设施运营者以及各类提供数字化信息服务的相关组织机构，无行业类型、组织规模、网络架构大小限制，所有开展内网互联、远程办公、多云部署、跨域协同、数据共享、业务互通的组织均可参照并严格遵照本标准建设运行零信任管理体系。本标准适配覆盖传统本地机房部署、公有云私有云混合部署、异地多分支机构互联、远程移动办公接入、第三方外包运维访问、跨单位业务数据协同、工业互联网业务互通等各类网络业务应用场景，可直接作为组织零信任管理体系规划建设、日常运维管控、内部合规自查、等级保护测评整改、第三方安全评估认证、监管部门合规核查的核心权威依据，是国内零信任安全管理体系建设唯一国家级通用合规基准规范。1.3标准适用排除说明本标准仅规范零信任安全管理体系层面的治理管理、流程管控、组织履职、制度建设长效运行相关要求，不单独规定零信任专属软硬件产品技术参数、设备性能指标、产品检测认证细则等纯技术设备类内容，相关零信任技术产品选型、设备技术参数、技术防护部署细则可参照国家配套零信任技术类专项标准协同执行。本标准不替代现有网络安全、数据安全、个人信息保护相关法律法规及强制性国家标准要求，组织建设零信任管理体系过程中，需同步遵守现有法定合规底线要求，本标准为零信任专项管理体系补强规范，与现有安全合规体系互补协同、一体适用，不存在相互替代、相互豁免的情形。第二章规范性引用文件本零信任管理体系要求标准编制与实施落地，同步引用国家现行网络安全、数据安全、人工智能安全、等级保护、风险管理、安全管理体系相关国家级标准及法定规范，所有引用文件均为后续零信任管理体系建设、运行、内审、整改、改进工作必备协同依据，组织落实本标准各项管理要求时，需同步对标引用对应标准最新有效版本协同执行。核心引用涵盖信息安全管理体系基础通用国家标准、网络安全等级保护定级备案与测评相关标准、数据分类分级与数据安全防护相关国家标准、个人信息保护合规管理相关规范、网络安全风险评估与应急处置相关标准、云计算及混合云安全管理相关规范、生成式人工智能及数字化业务配套安全管理标准等相关合规文件。所有引用标准构成零信任管理体系合规建设完整标准体系，为本标准各项管理条款细化落地、风险管控实操、合规判定核查提供统一基准支撑，引用文件后续如有版本更新修订，组织需按照最新修订版本同步适配调整零信任管理体系相关管控措施，确保体系合规性持续有效适配最新国家规范要求。第三章术语、定义与缩略语3.1零信任指摒弃传统网络物理边界可信防护逻辑，遵循永不信任、始终验证、动态授权、最小权限的核心安全理念，默认组织内外所有网络环境、访问主体、网络设备、业务系统、数据资源均不可信，任何主体针对任何资源的每一次访问请求，无论身处内网还是外网，均需经过实时身份核验、风险动态评估、权限精准匹配、行为持续监测、事后全程审计的新一代网络安全防护治理模式，是本管理体系核心建设基础与根本遵循理念。3.2零信任管理体系指组织为落实零信任安全治理理念，实现全域资源安全可控访问管控，围绕组织治理架构、安全管理制度、人员权限管控、技术防护运维、风险评估处置、应急响应复盘、内审持续改进搭建的一体化、闭环化、常态化长效安全管理总和，涵盖管理机制、流程规范、人员履职、技术支撑、台账审计全维度内容，是零信任安全建设从技术部署到长效运营的核心管理保障。3.3访问主体指发起网络业务访问请求的各类对象，包含内部在岗工作人员、远程移动办公人员、外包运维人员、第三方合作机构人员、各类终端设备、服务器负载节点、自动化业务程序、智能应用服务等所有需要接入网络、访问系统、调取数据的实体及虚拟访问对象，是零信任动态授权与身份核验的核心管控对象。3.4访问资源指零信任架构下被访问主体请求接入与调用的各类核心资产，包含网络基础设施、服务器硬件设备、云计算资源、业务应用系统、核心业务数据、数据库存储资源、办公运维平台、工业控制设备等所有需要实施安全访问管控的信息化核心资产，是零信任安全防护与权限管控的核心保护客体。3.5动态持续信任评估指零信任管理体系运行过程中，组织依托常态化安全监测、行为日志分析、风险态势研判、合规履职核查，对访问主体身份真实性、终端安全状态、访问行为合规性、资源访问风险等级开展的实时动态研判工作，根据评估结果实时调整访问授权权限、管控策略及防护强度，实现风险高低与管控力度精准匹配的自适应安全管控机制。第四章零信任管理体系总体要求4.1核心建设基本原则组织建设与运行零信任管理体系，必须严格遵循六大核心刚性基本原则，贯穿体系规划、建设、运行、运维、整改、改进全生命周期全过程。一是无边界全域防护原则，彻底弱化物理网络内外网边界，以身份为核心重构安全信任边界，实现全域统一安全管控；二是永不信任始终验证原则，任何访问不分内外网，每一次访问行为均需独立核验、持续校验，无默认可信权限；三是最小权限精准授权原则，按需分配业务工作必需的最低访问权限，杜绝超权限赋权、通用账号权限、永久固定权限；四是动态自适应管控原则，基于实时风险评估结果动态调整授权策略与防护强度，风险升高收紧权限，风险降低适度适配业务需求；五是全程可审计可追溯原则，所有访问操作、权限变更、策略调整、安全处置全程留痕归档，满足审计核查与责任追溯要求；六是安全与业务协同适配原则，零信任安全管控不阻碍正常数字化业务开展，平衡安全防护刚性要求与业务高效运营需求，实现安全可控与业务畅通双向兼顾。4.2管理体系整体架构要求零信任管理体系整体架构必须构建三层一体化闭环治理架构，分别为顶层组织治理决策层、中层制度流程执行层、底层技术运维支撑层，三层架构上下联动、协同运行、缺一不可，杜绝重技术轻管理、重建设轻运维、重部署轻整改的片面建设模式。顶层组织治理决策层由组织最高管理者及安全分管负责人组成，负责零信任安全战略规划、资源足额配置、重大策略审批、重大风险决策；中层制度流程执行层由专职安全管理部门及各业务管理部门组成，负责制度落地、权限管控、风险排查、合规自查、整改闭环；底层技术运维支撑层由技术运维团队及零信任技术防护系统组成，负责技术策略配置、实时监测防护、日志留存运维、异常风险处置。整体架构需贴合组织业务规模与网络架构实际，形成决策有据、执行有力、技术支撑、运维到位、整改闭环、持续优化的全链条零信任管理运行格局。4.3管理体系建设实施总目标零信任管理体系建设运行核心总目标，是全面消除传统边界防护带来的内网过度信任、横向渗透风险、权限粗放管理、远程接入失控、数据泄露高发等安全短板，建立以身份为核心、以权限为抓手、以动态评估为支撑、以全程审计为保障的新型安全治理模式。通过体系常态化运行，实现所有访问主体身份可信、所有访问权限最小合规、所有访问行为全程可控、所有安全风险动态可防、所有安全事件可溯可查、所有管理工作闭环可改，全面提升组织数字化业务安全抗风险能力、合规适配能力、应急处置能力，保障关键信息基础设施、核心业务系统、重要敏感数据长期安全稳定运行，满足国家网络安全等级保护、数据安全合规及相关监管核查硬性要求。第五章零信任安全组织与人员管理要求5.1组织治理架构与责任落实组织必须设立零信任安全专项治理工作组织架构，明确最高管理者为零信任安全管理第一责任人，全面统筹零信任管理体系建设资金投入、人员配置、战略规划、重大决策等核心工作，定期召开零信任安全专项工作会议，审议体系运行现状、风险评估结论、整改优化方案。设置独立专职零信任安全管理牵头部门，不得由技术运维部门或业务部门兼职代管，专门负责零信任制度落地、权限审核、风险排查、台账管理、内审对接、整改督办等日常管理工作。各业务部门设立零信任安全岗位联络员，负责本部门人员权限申请、业务访问合规、风险自查整改等一线落实工作，形成一级抓一级、层层压实责任、全员履职尽责的三级零信任安全责任体系，杜绝责任悬空、履职缺位、管理无人落实等问题。5.2岗位人员安全履职与能力管理针对零信任管理、权限审核、运维操作、策略配置、安全审计、应急处置各类岗位，制定专属岗位安全履职清单，明确各岗位工作职责、操作规范、禁止行为、考核标准，所有岗位人员上岗前必须完成零信任安全专项培训及上岗考核，考核合格后方可履职。定期组织零信任安全常态化培训、合规宣贯、实操演练工作，更新培训内容适配零信任管控新规及安全风险变化，留存培训课件、培训记录、考核台账全套资料。严禁无培训上岗、无考核履职、人员能力不达标从事零信任策略配置、权限审批、运维操作等核心工作，定期开展岗位履职抽查考核，对违规操作、履职不到位人员及时追责整改，确保所有岗位人员具备适配岗位要求的零信任安全管理实操能力。5.3人员账号权限全周期管控管理严格落实账号权限最小化、实名制、全生命周期管控要求，所有访问主体实行一人一号、专人专号、实名绑定，严禁共用账号、通用账号、匿名账号、临时无管控账号。按照岗位工作必需按需分配访问权限，严禁超岗位、超业务、超范围赋权，建立权限定期复核机制，每季度全面清查所有账号访问权限，及时清理闲置账号、冗余权限、过期授权、离岗未注销账号。员工岗位调岗、离职、离岗、外包合作到期时，必须第一时间启动权限变更及账号注销流程，人事部门与零信任安全管理部门联动对接，同步回收所有系统访问、资源操作、策略配置权限，注销相关登录账号，留存权限变更及注销审批记录，严防离岗离职人员留存访问权限引发越权访问、数据泄露等安全风险。第六章零信任安全管理制度与文件管控要求6.1全系列专项管理制度编制发布组织需依据本GB/T46079-2025标准及国家相关法律法规，编制完整配套的零信任专项安全管理制度体系，涵盖零信任组织人员管理、身份认证管理、访问权限管理、网络策略管理、应用访问管理、数据防护管理、运维操作管理、风险评估管理、应急处置管理、内审评审管理、供应链安全管理等全维度专项制度。所有制度内容贴合组织网络架构、业务模式、零信任建设实际，条款细化可落地、可执行、可核查，杜绝制度照搬模板、内容笼统、与实操脱节。所有制度经最高管理者审批签发后正式生效实施，明确制度生效日期、修订规则、废止要求，制度发布后全员宣贯培训到位，确保各部门各岗位严格遵照制度开展零信任安全管理工作。6.2体系文件动态修订与版本管控建立零信任管理体系文件动态修订机制，当国家合规新规出台、零信任架构调整、业务系统新增迭代、安全风险等级变动、内审外审发现问题、监管核查提出整改要求时，及时对应修订完善相关制度及流程文件，确保体系文件始终适配最新合规要求及运营实际。所有体系文件实行唯一版本编号管控，历次修订留存修订记录、修订原因及内容调整说明，新旧版本分类归档管理，新版生效旧版自动废止，严禁版本混用、制度过期失效、修订无记录等管理问题，保障制度体系持续合规有效。6.3安全管理台账与记录归档留存建立零信任全流程安全管理台账记录机制，针对账号权限申请审批记录、身份认证核验记录、访问策略调整记录、安全风险排查记录、运维操作管控记录、应急处置演练记录、内审整改记录、第三方合作安全记录等所有零信任管理工作，留存真实完整的电子及纸质台账记录。所有台账明确记录人、审核人、记录时间、工作内容、处置结论，不得事后补造、虚假填报、缺项漏填，台账资料按永久及定期分类归档留存，满足监管抽查、等级保护测评、第三方评估长期备查要求，确保零信任管理全流程工作可审计、可追溯、可核验。第七章零信任身份与访问主体安全管理要求7.1全类型访问主体统一身份治理组织需对所有人员、终端设备、业务系统、自动化程序等各类访问主体实施统一身份归集治理，建立全域身份管理台账，实现每一个访问主体对应唯一可信身份标识，杜绝身份混杂、身份缺失、身份冒用问题。针对人员主体完善实名信息备案、岗位信息绑定、身份资质核验；针对终端设备主体完善设备入网登记、安全状态检测、设备唯一标识绑定；针对业务程序主体完善程序备案、权限专属绑定、运行行为监测，所有身份信息动态更新、定期复核，确保身份真实可信、权属清晰可溯，筑牢零信任安全第一道身份核验防线。7.2多因素强身份认证刚性管控摒弃单一密码认证模式，所有访问主体接入网络、访问核心业务系统、调取敏感数据资源必须实施多因素强身份认证，结合账号密码、设备证书、动态令牌、生物特征认证等多种认证方式组合校验。针对远程办公访问、核心数据运维访问、系统权限配置操作等高风险场景，升级强化认证等级，增加二次复核认证环节，严防账号密码泄露、身份伪造、账号冒用非法访问风险。身份认证全过程留存认证日志，记录认证主体、认证时间、认证结果、终端信息，对认证失败、异常频繁认证行为自动预警核查，及时处置身份异常访问风险。7.3访问主体行为常态化基线管控建立访问主体正常访问行为安全基线，基于历史访问数据自动生成用户常规访问时间、访问终端、访问范围、操作行为基准线，实时监测访问主体行为是否偏离正常基线。对异地异常登录、非工作时间访问、越范围系统访问、批量数据导出等异常行为，自动触发风险预警、访问限流、临时拦截管控措施，同步开展人工核查处置，及时发现并阻断账号盗用、违规操作、恶意访问等风险，持续优化行为基线规则，提升异常行为识别精准度。第八章零信任网络与基础设施安全管理要求8.1网络微分段与边界重构管控按照零信任理念实施网络全域微分段改造，打破传统大范围局域网划分模式，按照业务系统、数据等级、岗位权限、安全风险划分精细化网络微隔离区域，不同区域之间默认禁止互通，仅开放业务必需的最小互通权限。重构以身份为核心的逻辑安全边界，替代传统物理网络边界，无论访问主体处于内网还是外网，均需遵循统一访问管控策略，实现内网横向移动风险有效阻断，即使单一区域被突破，也无法横向扩散渗透至其他核心业务区域，从网络架构层面筑牢安全防护屏障。8.2网络基础设施运维安全管控针对路由器、交换机、防火墙、零信任网关、服务器、云计算节点等所有网络基础设施，实施零信任专属运维管控，运维操作必须经过身份强认证、运维权限专属匹配、运维行为全程审计，严禁匿名运维、远程无管控运维、通用运维账号操作。运维操作实行申请审批制度，临时运维权限限时开通、用完即销，运维全过程留存操作日志、配置变更记录、运维审批台账，定期核查基础设施配置安全状态，及时修复设备安全漏洞、更新安全策略，保障网络基础设施安全稳定运行。8.3网络访问策略动态自适应调整建立网络访问策略动态调整机制，结合安全风险评估结果、业务运行变化、安全事件处置情况、合规管控要求，实时优化网络微隔离策略、访问放行规则、权限管控范围。策略调整必须履行审批流程，留存策略调整原因、调整内容、审批记录、生效时间，严禁私自修改策略、随意开放互通权限、策略长期不更新。定期开展网络策略合规清查，清理无效策略、冗余策略、高风险宽松策略，确保网络访问策略始终符合最小权限、安全可控核心要求。第九章零信任应用负载与业务访问安全管理要求9.1业务应用系统统一接入管控组织所有内部业务系统、办公应用、运维平台、外部协同应用必须统一纳入零信任访问网关集中接入管理，严禁业务系统绕开零信任管控直接对外或对内开放访问通道。每一个应用系统单独配置专属访问授权策略，明确允许访问的主体范围、访问操作权限、访问时间限制、终端安全要求，未授权主体一律禁止访问应用系统核心功能及业务数据。应用系统新增、下线、变更时，同步配套调整零信任访问策略，确保应用访问管控与业务系统迭代同步适配。9.2应用访问精细化权限分级管控按照业务岗位工作职责实施应用系统精细化分级授权管理，区分普通查询权限、业务操作权限、数据修改权限、系统配置权限、运维管理权限不同等级，按需分配最低必要权限，严禁一次性赋予全功能最高权限。针对核心业务配置、敏感数据操作等高权限功能，增设访问二次审批、操作全程录像、事后专项审计管控措施，严防越权操作、违规篡改、恶意删除等风险。定期复核应用访问权限，及时回收离职、调岗人员应用操作权限，杜绝权限遗留滥用问题。9.3应用访问行为审计与异常处置所有应用系统访问操作行为全程日志留存、行为审计，记录访问主体、访问时间、操作内容、操作结果、终端地址等核心信息，日志留存时长满足等级保护及监管核查最低要求。实时监测应用访问异常操作行为，包括高频违规操作、批量数据导出、核心配置篡改、异常账号登录访问等，发现异常立即预警拦截、人工核查、风险处置，同步优化应用访问管控策略，杜绝违规访问行为持续发生。第十章零信任数据资源安全防护管理要求10.1数据分类分级与差异化零信任防护组织按照国家数据分类分级要求，对所有业务数据、敏感个人信息、核心涉密数据划分安全等级，针对不同等级数据匹配差异化零信任防护管控措施。一般业务数据落实常规访问授权与基础审计防护；重要数据强化访问身份核验、操作行为审计；核心涉密数据及敏感个人信息实行最高等级防护，严格限制访问主体范围、禁止外部远程直接访问、操作全程复核审批，严防核心数据泄露、篡改、滥用风险，确保数据防护等级与数据安全风险等级精准匹配。10.2数据访问最小权限与脱敏管控严格落实数据访问最小权限原则，仅赋予岗位履职必需的数据查询、使用权限，禁止超范围批量调取、下载、导出敏感数据。敏感数据展示、传输、调用过程中落实数据脱敏管控要求，隐藏核心敏感字段，仅展示业务必需脱敏信息，防止数据明文泄露。数据批量导出、对外共享、跨单位传输必须履行专项审批流程，留存数据操作审批及操作记录，严控数据外传及批量泄露风险。10.3数据安全风险监测与泄露预警处置部署零信任数据安全实时监测预警机制，全天候监测数据访问、导出、传输、共享等各类操作行为，及时预警数据异常批量导出、违规外传、未授权访问等泄露风险。建立数据泄露专项应急处置流程，发现数据安全风险立即启动应急响应，采取风险拦截、权限封堵、漏洞修复、溯源核查等处置措施，复盘风险原因优化数据防护策略，杜绝同类数据安全问题重复发生。第十一章零信任持续监测与动态风险评估管理要求11.1全域安全态势常态化持续监测组织搭建零信任全域安全态势监测体系，整合身份认证、网络访问、应用操作、数据调用、运维管理全维度安全日志数据，实现安全风险集中监测、态势统一研判、异常实时预警。常态化监测账号异常登录、权限违规使用、网络异常互通、数据异常操作、策略违规变更等各类风险隐患，监测数据长期留存归档，为风险评估、内审核查、事件追溯提供数据支撑。11.2零信任动态风险分级评估定期开展零信任安全动态分级风险评估工作，按照月度常规评估、季度专项评估、年度全面评估频次要求，全面排查零信任管理体系运行、技术防护落实、权限管控合规、人员履职到位等各类风险隐患。根据风险影响程度、发生概率划分高、中、低三级风险等级，针对高风险隐患优先整改、重点管控，制定风险整改台账，逐项闭环整改销号，实现风险动态可控、隐患清零处置。11.3风险评估结果联动策略优化将动态风险评估结果与零信任访问授权策略、防护管控强度直接联动，高风险状态下自动收紧访问权限、强化认证核验、加密审计管控；低风险状态下适度适配业务正常访问需求，动态平衡安全与业务协同关系。风险评估完成后形成专项评估报告，明确体系运行短板、风险薄弱环节、优化改进方向，为零信任管理体系持续改进提供核心依据。第十二章零信任应急处置、演练与业务连续性管理要求12.1零信任专项应急处置预案编制组织编制零信任安全专项应急处置预案，覆盖账号大规模被盗用、零信任策略失效、网络横向渗透攻击、核心数据泄露、业务访问中断、零信任系统故障停运等各类安全突发事件。预案明确应急组织架构、风险事件等级划分、分级响应流程、止损处置措施、内部分工、外部上报要求、事后复盘改进规则，贴合组织零信任建设实际，细化实操处置步骤，确保突发事件快速响应处置。12.2零信任安全实战化应急演练常态化开展定期组织零信任安全专项应急实战演练，围绕高频高发安全风险场景开展常态化演练工作，检验应急预案可行性、应急人员处置能力、跨部门协同效率、技术防护响应速度。每次演练编制专项方案、留存演练记录、影像资料及实操台账，演练结束后专项复盘总结，梳理处置短板与流程漏洞，优化应急预案与协同机制，杜绝应急演练流于形式。12.3安全事件分级处置上报与复盘整改发生零信任安全突发事件后，严格按照事件等级启动对应应急响应，第一时间采取止损、隔离、封堵、修复等处置措施，快速控制风险扩散。重大安全事件按照监管规定及时上报主管部门，杜绝瞒报迟报漏报。事件处置完成后深度复盘根本原因，制定长效整改及预防措施，优化零信任管理体系与技术防护策略，留存事件处置、上报、复盘全套台账，严防同类事件重复发生。第十三章第三方供应链零信任协同安全管理要求13.1第三方合作前置零信任安全准入组织与外包运维、技术支撑、业务合作、数据协同等第三方机构开展合作接入前，必须开展零信任专项安全准入评估，核查合作方安全管理能力、零信任适配管控水平、过往安全记录、合规资质情况，严禁与安全管控薄弱、风险隐患突出的第三方合作接入。准入评估合格后方可签订合作协议及安全保密条款，从供应链源头防范外部接入安全风险。13.2第三方访问专属零信任权限管控第三方人员及设备接入访问严格实行专属临时最