ICS 33.040.50 CCS M 42 D 中华人民共和国通信业标准 YD/TXXXXX-XXXX IPTV智能型机顶盒安全技术要求 SecuritytechnicalrequirementsforIPTVsettopbox （报批稿） 行业标准信息服 中华人民共和国工业和信息化部发布 201X-XX-XX发布 201X-XX-XX实施
行业标准信息服务平台
目次 1范围 2规范性引用文件 3术语和定义 4缩略语 5IPTV智能型机顶盒安全框架 6IPTV智能型机顶盒安全技术要求 6.1硬件安全 6.1.1概述. 6.1.2硬件标识安全.. 6.1.3硬件接口安全， 6.1.4芯片安全. 6.2系统安全. 6.2.1端口与服务安全. 6.2.2漏洞与缺陷管理安全. 6.2.3系统权限控制. 6.2.4系统与固件升级安全. 6.3应用软件安全.. 6.3.1预置应用软件的安全.

6.3.2第三方应用软件的安装安全， 6.3.3应用软件的更新安全.

6.4通信安全..... 6.4.1协议的安全一致性要求. 6.4.2协议的健壮性要求. 6.4.3通信连接的安全.

6.5IPTV内容安全.. 6.6数据安全.

6.6.1数据采集安全. 6.6.2数据传输安全.. 6.6.3数据存储和使用安全 6.6.4数据删除安全. 6.7个人信息安全 信息服务平台
YD/TXXXXX-XXXX 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位中国信息通信科技集团有限公司、中国信息通信研究院、中国电信集团有限公司、 中国联合网络通信集团有限公司、郑州信大捷安信息技术股份有限公司、中兴通讯股份有限公司.

本文件主要起草人吴国燕、张治兵、薄明霞、肖甜、刘为华、曾斌、姜超、谌海峰、李霄鹏、刘 成刚.

行业标准信息服务平台 I
IPTV智能型机顶盒安全技术要求 1范围 本文件规定了IPTV智能型机项盒的硬件安全要求、系统安全要求、应用层安全要求、通信连接安全 要求、数据安全要求、个人信息安全等.

本文件适用于IPTV智能型机项盒，可指导IPTV智能型机顶盒的设计、研发和选型.

其他智能型机顶 盒可参考使用.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.

GB/T35273信息安全技术个人信息安全规范 3术语和定义 下列术语和定义适用于本文件.

3.1 IPTV智能型机顶盒IPTVset topbox 具有智能操作系统的设备，可通过直接连接电视机和音响等播放设备向用户提供页面信息浏览、音 视频播放、应用、可视通信、媒体共享、游戏等交互式应用功能的多媒体终端，属于家庭网络中的一个 应用设备，通过家庭网关访问专用网络.

本文件所述智能机顶盒，如无特殊说明，均指IPTV智能型机顶盒，也可简称为机项盒.

3.2 端口port 本文件特指TCP/IP协议中的端口，是逻辑意义上的端口.

4缩略语 下列缩略语适用于本文件.

APP 安装在系统上的应用程序 Applicaiion 联合测试工作组 Joint Test Action Group CNVD 国家信息安全漏洞共享平台China National VulnerabilityDataibase CNNVD中国国家信息安全漏润库 China National Vulnerability Database of Information DRM 数字管理 Digital Rights Management USB 通用串行总线 Universal Serial Bus

ICS35.040 YD 中华人民共和国通信行业标准 YD/T[xxxxx]-[xxxx] [代替YD/T] 零信任安全技术参考框架 Zerotrustsecuritytechnologyreferenceframework 行业标准信息服务平台 （报批稿） [xxxx]-[xx]-[xx]发布 [xxxx]-[xx]-[xx]实施 中华人民共和国工业和信息化部 发布
YD/TXXXXX-XXXX 目次 前 言 1范.. 2规范性引用文件 3术语和定义 4零信任安全技术参考框架， 4.1基本原则 4.2技术框架 4.3工作过程 5零信任安全系统核心功能， 5.1概述.. 5.2安全控制中心模块 5.3安全代理模块 5.4系统自身安全. 附录A（资料性）零信任安全系统的技术实现参考方案 附录B（资料性）零信任的应用场景 参考文献 10 行业标准信息服务平台
YD/T XXXXX-XXXX 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：深圳市腾讯计算机系统有限公司、国家计算机网络应急技术处理协调中心、北 京奇虎科技有限公司、数据通信科学技术研究所、中国移动通信集团设计院有限公司、奇安信科技集 团股份有限公司、北京天融信网络安全技术有限公司、公安部第三研究所、中兴通讯股份有限公司、 上海观安信息技术股份有限公司、恒安嘉新（北京）科技股份公司、深信服科技股份有限公司、北京 东方通网信科技有限公司、西安邮电大学、广州大学网络空间先进技术研究院、新华三技术有限公 司、杭州安恒信息技术股份有限公司、杭州迪普科技股份有限公司、北京山石网科信息技术有限公 司、北京京东尚科信息技术有限公司、长扬科技（北京）股份有限公司、郑州信大捷安信息技术股份 有限公司、北京神州绿盟科技有限公司、腾讯云计算（北京）有限责任公司、亚信科技（成都）有限 公司.

本文件主要起草人：黄超、蔡东赞、龙凡、张屹、刘治平、王卫东、张勇、张晨、张彬、陈妍、 王文磊、闫兆腾、周继华、谢江、崔婷婷、王、李蓉、叶润国、李然、汪义舟、赵华、李宇、陈霞 、黄铭恺、刘为华、廖正资、皆然、梁伟、仇俊杰、杨洪起、张亚京、吴强、鲁瞳、李凯、刘国平、 林海长、梅宗林、刘海涛、王菲飞、股丽华、姜政委、蔡晨、王宇、代威、李伟、张丽婷、常玲、谢 仪頔、岳炳词、周开字、张睿、张利民、付超、于道森、郝振武.

准信息服务平台 I1
YD/T XXXXX-XXXX 零信任安全技术参考框架 1范围 本文件给出了零信任安全技术参考框架，包括基本原则、技术框架、工作过程、核心功能模块等内 容.

本文件适用于零信任安全系统的设计、开发和使用.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本文 件.

GB/T25069一2010信息安全技术术语 3术语和定义 GB/T25069-2010界定的以及下列术语和定义适用于本文件.

3.1 访间主体access subject 能访间客体的主动实体.

[来源：GB/T29242-2012，3.7] 注：访问主体可以是发起访间的设备、用户、应用等.

3.2 资源resource 可通过网络访间的目标对象.

注：资源例如服务器、数据库、打印服务等.

3.3 零信任zerotrust 一组围绕资源访问控制的安全策略、技术与过程的统称.

从对访间主体的不信任开始，通过持续 的身份鉴别和监测评估、最小权限原则等，动态调整访间策略和权限，实施精细化的访问控制和安全 防护.

3. 4 零信任安全系统zerotrustsecuritysystem 参考零信任安全技术框架，实现了零信任核心能力的系统.

3.5 安全信道securechannel 具备交换消息保密性和真实性的通信信道.

[来源：ISO/IEC24745:2011 2.30]
YD/TXXXXX-XXXX 3.6 终端代理terminalproxy 实现对终端上访问流量的获取和转发等功能.

注：代理形式可以是在终端上部署代理软件或者基于浏览器等.

4零信任安全技术参考框架 4.1基本原则 零信任安全技术参考框架应遵循以下基本原则： a）任何访问主体，在访问任何资源前，都应经过身份认证和授权： b）访问主体对资源的访问权限是动态的： c）的通信传输使用加密等方式保障安全： d）对访问主体的权限分配遵循最小权限原则： e）确保要保护的资源都处在尽可能安全的状态.

4.2技术框架 零信任安全技术框架主要包括访间主体、零信任安全系统（零信任安全控制中心和零信任安全代 理）和资源.

零信任安全技术参考框架如图1所示，零信任安全系统的技术实现参考方案可参考附录A.

其中，控制平面实现授予或拒绝对资源的访问，用于控制访问主体到资源之间的通信路径数据平 面用于访问主体对资源的实际通信，直接处理访问主体到资源的流量.

访问主体通过零信任安全代理与资源通信.

零信任安全控制中心具备对整个访问过程的持续安全监测、信任评估和动态更新访问控制策略等功 能，零信任安全代理具备访问流量的重定向和访问控制策略执行、流量加密等功能.

访问主体能否对资 源进行访问，取决于零信任安全系统的持续安全监测、信任评估和授权决策.

零信任安全技术框架可适用于多种安全防护场景，其应用场景可参考附录B.

零信任安全系统 其 安全模块 他 零信任安全控制中心 控制平面 T 数据平面 访问流 零信任安全代理 访间流 访问主体 资源 注：其他安全模块为零信任安全系统核心模块之外的安全模块，提供如终端设备安全防护、威胁情报等功能.

图1零信任安全技术参考框架

ICS 35. 240 CCS L67 YD 中华人民共和国通信行业标准 [x×××]-[×x×××]1/0 [代替YD/T] 移动互联网不良信息管控系统开放平台 总体技术要求 Total technical requirements for open platform of Internet-oriented harmful information control systems [点击此处添加与国际标准一致性程度的标识] （报批稿） [××××]-[××]-[××]发布 [xxxx]-[××]-[××]实施 中华人民共和国工业和信息化部 发布
YD/Txxxxxxxxx 目次 目 次 前 言.. .2 移动互联网不良信息管控系统开放平台总体技术要求， 1范围 2规范性引用文件， .3 3术语和定义. .3 4缩略语.. ..3 5互联网不良信息类型分类.

.3 5.1概述. .. 5.2不良信息涉及话题 .3 5.2.1涉政类信息， 5.2.2涉黄类信息 5.2.3暴恐类信息 4 5.2.4广告类信息， .4 5.3不良信息内容类型 4 5.3.1文本类 4 5.3.2图片类 ..4 5.3.3音频类 4 5.3.4视频类. ..5 5.3.5文件类， .5 5.3.6URL类 ... 6移动互联网不良信息管控系统构建原则及架构要求 . 6.1构建原则 ..5 6.2系统架构 .. 6.3不良信息管控系统的主要功能划分. ..6 6.3.1消息接入层， 6.3.2算法审核层， 7移动互联网不良信息管控系统信息处理流程要求.

6' 7.1审核算法处理流程的要求 6′ 7.2消息处理流程的要求.. .10
YD/T×xxx×xxxx 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别这些专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国移动通信集团公司，中国电信集团公司，中国联合网络通信集团有限公司.

本文件主要起草人程宝平雷珺谢小燕张彪余红芳盛博文崔鲁光黄敏峰张华费硕成吴楠 王煜炜.

行业标准信息服务平台
YD/Txxxxxxxxx 移动互联网不良信息管控系统开放平台总体技术要求 1范围 本文件规定了互联网不良信息的定义和分类，不良信息管控系统的架构要求、功能要求、技术要求 和信息处理流程要求等.

本文件适用于接入不良信息管控系统开放平台的研发、设计、运维等使用场景.

2规范性引用文件 本文件无规范性引用文件.

3术语和定义 本文件没有需要界定的术语和定义.

4缩略语 URL 统一资源定位符，也被称为网页地址（UniformResourceLocator） OCR 光学字符识别（OpticalCharacter Recognition） 5互联网不良信息类型分类 5.1概述 不良信息的形式多种多样，有多种传输渠道，广泛存在于即时通信、企业OA、邮箱系统、微博、 论坛等应用中，依据涉及方面有涉政、涉黄、暴恐、广告四大类，根据内容类型来分有文本、图片、音 频、视频、文件和URL六大类.

5.2不良信息涉及话题 5.2.1涉政类信息 涉政类信息包括但不限于如下内容： 反对宪法所确定的基本原则的： 危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的； 损害国家荣誉和利益的： 煸动民族仇恨、民族歧视，破坏民族团结的：
YD/Txxxxx-xxxx 破坏国家宗教政策，宣扬邪教和封建迷信的： 散布谣言，扰乱社会秩序，破坏社会稳定的.

5.2.2涉黄类信息 涉黄类信息指直接表现性器官、性行为的互联网内容，包括但不限于以下几类： 直接暴露人体性器官： 表现性行为的动作、姿态等； 暴露低俗、带有性暗示、性挑逗或者隐讳展现性行为、性过程的内容.

5.2.3暴恐类信息 暴恐类信息包括但不限于如下内容： a）展现血醒、惊悚、残忍等致人身心不适的： b）出现持有管制刀具、枪支、火箭炮等枪械人员； c）出现参与作战危险车辆皮卡改装车（车上安装枪支）、坦克、飞机（战斗机）： d）以暴力手段危害公共财产的人员； e）宣扬恐怖主义、极端主义或者煸动实施恐怖活动、极端主义活动的，包括但不限于： 出现恐怖分子头目、政治敏感人物： 出现大量人员游行、斗殴、焚烧车辆及建筑物等： 出现恐怖分子标志、犯罪分子电视台台标、以及国旗等： 含有煸动“圣战”“伊吉拉特”等宗教极端； 5.2.4广告类信息 广告类信息包括但不限于如下内容： 房地产类广告信息，包含对楼盘、商铺、个人住房进行销售、租赁、求租、求购、招商、介绍 宣传的： 金融类广告信息，包含银行、证券、保险、贷款或者相关金融产品的关键字，有经营范围（含 产品介绍、产品名称、公司名称、推广活动等），兼备具有优惠介绍、联系方式、地址、促销 宣传意图其中任一项的信息： 促销推销类广告信息，包含商场促销、商品推销、教育培训宣传、企业咨询的信息，如买卖 商品、商户开业、教育培训、招生招聘、各类讲座等.

5.3不良信息内容类型 5.3.1文本类 文本类信息是指在数据交互过程中以文本形式传输的信息.

文本是最常用的数据交互类型，可以有效快速地传播不良信息，具有占用空间小、传输速度快、传 播成本低、应用场景多等特点，是不良信息管控的重点.

5.3.2图片类 图片类信息是指在数据交互过程中以图片形式传输的信息.

图片类信息提供可视化内容，在极大提高了互联网用户体验的同时，也成了涉政、涉黄、暴恐等不 良信息的有效载体.

5.3.3音频类 音频类信息是指在数据交互过程中以音频或语音形式传输的信息.

ICS 35.100. 05 CCS M16 YD 中华人民共和国通信行业标准 YD/TXXXXX-XXXX 互联网码号资源公钥基础设施（RPKI） 依 赖方技术要求 Technical requirements for resource public key infrastructure (RPKI)Relying parties 点击此处添加与国际标准一致性程度的标识 行业标准信息服务平台 （报批稿） XXXX-XX-XX发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发 布
YD/TXXXXXXXXX 目次 前言 1范围 2规范性引用文件 3术语和定义. 4缩略语. 5RPKI依赖方系统组件 6获取和缓存RPKI资料库对象. 6.1TAL获取和处理 6.2使用权威信息访间和主体信息访问定位RPKI对象 6.3处理密钥更替. 6.4处理算法转变 6.5缓存维护策略... 7证书和CRL处理， 7.1RPKI资源证书扩展. 7.2验证资源证书及其语法.

7.3证书路径验证. 7.4CRL处理. 8处理RPKI资料库签名对象. 8.1基本的签名对象语法检查 8.2每种类型的签名对象的语法和验证 8.3使用资源清单数据 8.4处理联系人信息记录. 9分发经过验证的缓存... 10本地控制.. 参考文献..... 信息服务平台
YD/TXXXXX-XXXX 前 言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位国家计算机网络应急技术处理协调中心，互联网域名系统北京市工程研究中心有 限公司，中国科学院计算机网络信息中心，中兴通讯股份有限公司，华为技术有限公司，中国科学院信 息工程研究所.

本文件主要起草人、严寒冰、李志辉、郭晶、马迪、龙春、李菁菁、林兆骥、陈双龙、庄顺万、王 利明.

行业标准信息服务平台 II
YD/TXXXXXXXXX 互联网码号资源公钥基础设施（RPKI）依赖方技术要求 1范围 本文件针对RPKI依赖方（系统）的必要功能提出了技术要求，包括：RPKI数据同步、RPKI数据 验证、RPKI数据分发以及RPKI数据的本地化管理.

本文件适用于部署了RPKI依赖方系统的网络运营商（ISP）、互联网交换中心（IXP）以及具有BGP 连接能力的互联网内容服务商（ICP）.

2规范性引用文件 下列文件对于本文件的应用是必不可少的.

凡是注日期的引用文件，仅所注日期的版本适用于本文 件.

凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件.

YD/T3500-2019互联网码号资源公钥基础设施安全运行技术要求资源包含关系验证 YD/T3574-2019互联网码号资源公钥基础设施资源证书轮廊 IETF RFC3779X.509证书的IP地址和AS号信息扩展 3术语和定义 下列术语和定义适用于本文件.

3. 1 RPKI资料库 RPKI repository 一个全球分布式数据库，负责存储基于RPKI认证的互联网码号资源（INR）分配信息和授权使用信 息，例如IROA.

RPKI资料库向全球范围的RPKI依赖方系统开放下载接口.

3. 2 RPKI依赖方RPKIrelyingparty 连接RPKI系统和BGP路由系统之间的桥梁.

RPKI依赖方负责暂助BGP边界路由器从资料库中下载原始 的资源证书和签名对象，并完成RPKI信任链的构建、证书验证、缓存管理及分发等.

3. 3 签名对象signedobject 由INR持有者签发的符合CMS语法规范的RPKI签名数据，例如IROA.

3. 4 信任锚点trust anchor
YD/T xXXXXXXXX 一个自签名证书，是RPKI信任链的起点.

RPKI系统中实体都以根CA的公钥作为它们的信任锚点.

4缩略语 下列缩略语适用于本文件.

AS 自治域 Autonomous System BGP 边界网关协议 Border Gateway Protocol CA 认证权威 Certificate Authority CMS 加密消息格式语法 Cryptographic Message Syntax CRL 证书撤销列表 Certificate Revocation List EE 终端实体 End Entity IANA 互联网数字分配机构 The Internet Assigned Numbers Authority INR 互联网码号资源 Internet Number Resource ISP 互联网服务提供商 Internet Service Provider RC 资源证书 Resource Certificate RIR 区域互联网注册管理机构 Regional Internet Registry ROA 路由起源授权 Route Origin Authorization RP RPKI依赖方 RPKI Relying Party RPKI 互联网码号资源公钥基础设施 Resource Public Key Infrastructure TA 信任锚点 Trust Anchor TAL 信任锚点定位符 Trust Anchor Locator 5RPKI依赖方系统组件 网络运营商使用RPKI依赖方软件来下载、验证存储在RPKI资料库系统中的INR分配数据和授权使用 数据，并将这些验证过的数据提供给互联网域间路由系统进行路由决策.

根据各个系统组件功能正交的原则，本文件对RPKI依赖方的技术要求进行了分类和规范.

RPKI依赖方系统功能划分如下： 获取和缓存全球RPKI资料库里存储的证书（以及CRL）和签名对象： -处理RPKI资源证书和CRL； 信息服务平 -处理RPKI资料库中的签名对象： 一向路由系统分发RPKI数据的验证缓存.

6获取和缓存RPKI资料库对象 6.1TAL获取和处理 在RPKI中，每个RP自行选择它信任的TA.

与现有的全球INR分配层次结构一致，五大RIR的自签名证书作为默认TA为RP带外预配置.

RP使用一组TAL来获取和验证每个TA的真实性，步骤如下： a）根据TAL中的URI得到目标对象； b）确定该目标对象是一个当前的、RPKICA自签名证书：

ICS35.240 CCS L70 YD 中华人民共和国通信行业标准 YD/TXXXX-XXXX 政务云安全能力要求 Security capability requirements for government cloud （报批稿） 行业标准信息服务平台 XXXX-XX-XX发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发 布
YD/T 目次 前 言， 1范围. 2规范性引用文件.

3术语和定义. 4缩略语.. 5政务云安全概述 5.1安全角色 5.2政务云安全框架. 6安全规划设计， 7安全保障要求 7.1物理基础设施安全. 7.2主机安全.

7.3网络安全. 7.4容器安全.. 7.5业务支撑安全. 7.6数据安全. 7.7安全管理中心 7.8安全服务. 8安全机制要求. 行业标准信息服务平台
YD/T- 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别这些专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位中国信息通信研究院、腾讯云计算（北京）有限责任公司、阿里云计算有限公司、 华为技术有限公司、浪潮云信息技术股份公司、深信服科技股份有限公司、北京金山云网络技术有限公 司、中兴通讯股份有限公司、新华三技术有限公司.

本文件主要起草人栗蔚、徐恩庆、孙宗哲、张琳琳、罗欧、董恩然、车昕、吴佳兴、吴宁、王永 霞、邱伟、杨广贺、高巍、朱勇、张敏、贺进、饶飞、滕颖志、王萃娟、陶延进、李露、李悦、万晓兰.

行业标准信息服务平台 I1
YD/T - 政务云安全能力要求 1范围 本文件规定了政务云安全能力要求，包括安全规划设计、安全保障要求和安全机制要求.

本文件适用于能够提供政务云安全规划及建设解决方案的服务商.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.

GB/T5271.8-2001信息技术词汇第8部分：安全 GB/T22239-2019信息安全技术网络安全等级保护基本要求 GB/T31168-2014信息安全技术云计算服务安全能力要求 3术语和定义 下列术语和定义适用于本文件.

3. 1 政务云government cloud 用于承载各级政务部门开展公共服务、社会管理的业务信息系统和数据，并满足跨部门业务系统、 数据共享和交换等的需要，提供IaaS、PaaS和SaaS服务的云计算服务.

3. 2 安全审计security audit 对数据处理系统记录与活动的独立的审查和检查，以测试系统控制的充分程度，确保符合已建立的 安全策略和操作过程，并对在控制、安全策略和过程中指示的变化提出建议.

[来源：GB/T5271.8-2001 8.1.5] 4缩略语 下列缩略语适用于本文件.

API：应用程序编程接口（Application ProgrammingInterface） APT：高级持续性威胁（Advanced Persistent Threat） CVE：通用漏润披露（Common Vulnerabilities&Exposures） DDoS：分布式拒绝服务攻击（Distributed Denialof Service）
YD/T IaaS：基础设施即服务（Infrastructure as a Service） IDC：互联网数据中心（InternetData Center） KMIS：密钥管理服务（Key Management Service） NGFW：下-代防火墙（Next Generation Firewal1） PaaS：平台即服务（Platform asaService） RDP：远程桌面协议（Remote Desktop Protocol） SaaS：软件即服务（Software as a Service） SDK：软件开发工具包（Software Development Kit） SIEM：安全信息和事件管理（Security Information and Event Management） SoC：安全运营中心（Security Operations Center） SSH：安全外壳协议（Secure She11） URL：统一资源定位系统（UniformResourceLocator） VPC：虚拟私有云（VirtualPrivate Cloud) 5政务云安全概述 5.1安全角色 政务云安全服务指为各地政府建设政务云时提供相关安全能力，在政务云建设过程中，将会涉及政 府客户及安全服务商两类角色.

5.2政务云安全框架 政务云安全能力要求从安全规划设计、安全保障要求和安全机制要求三个维度对政务云应具备的安 全能力进行规范.

政务云安全框架见图1.

其中，安全规划设计提出政务云建设安全总体要求安全保障要求从物理基础设施安全、主机安全、 网络安全、容器安全、业务支撑安全、数据安全、安全管理中心及安全服务等方面进行要求安全机制 要求从安全管理制度、安全组织机制、安全人员管理、安全建设管理、安全运维管理等方面进行要求.

安全规划设计 安全机制要求 安全保障要求 安全管理制度 安全服务 安全组织机制 业务支安全 安全管理中心 据安 数 安全人员管理 安全建设管理 主机安全 网络安全 容教安全 0 安全运维管理 物理基础设施安全 图1政务云安全框架 6安全规划设计

ICS 35.030 YD CCS L 70 中华人民共和国通信行业标准 YD/TXXXX-20XX 云安全资源池能力开放技术框架 Technologyframework for the open capability of cloud-based securitypool (报批稿) 行业标准信息服务 XXXX-XX-X×发布 X××X-×X-××实施 中华人民共和国工业和信息化部发布
YD/Txxxx-xxxx 目次 言 1范围. 2规范性引用文件 3术语和定义 4缩略语. 5概述... 6云安全资源池能力开放需求 7云安全资源池能力分类框架， 8云安全资源池能力统一模型. 8.1统一模型框架. 8.2业务层.

8.3控制层. 8.4接口层.. 9云安全资源池能力开放要求， 9.1基本要求. 9.2兼容要求. 9.3扩展要求. 9.4安全要求. 行业标准信息服务平台
YD/T xxxxxxxx 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的 规定起草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国电信通信集团有限公司、中国移动通信集团有限公司、中兴通讯 股份有限公司、华为技术有限公司、新华三技术有限公司、北京神州绿盟科技有限公司、北 京天融信网络安全技术有限公司、浙江鹏信信息科技股份有限公司.

本文件主要起草人：樊宁、沈军、何明、薄明霞、任兰芳、林兆骥、王、胡怀茂、张 晓峰、郝辰亮.

行业标准信息服务平台
YD/Txxxx-xxxx 云安全资源池能力开放技术框架 1范围 本文件对云安全资源池能力开放技术进行框架定义，对基于云资源池承载的并可向上层 应用开放的安全能力进行标准化归类，并整合形成统一模型.

本文件适用于运营商、安全设备厂商、云安全服务厂商、云PaaS平台建设方进行云安全 资源池与服务平台的建设运营.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期 的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括 的修改单）适用于本文件.

GB/T 25069 信息安全技术术语 3术语和定义 GB/T25069所界定的以及下列术语和定义适用于本文件.

3. 1 云安全资源池cloud-basedcecuritypool 基于云技术建设部署的安全设备、组件或系统集群，具备资源密集、可弹性伸缩、按需服务 信息服务 等云化特征.

3. 2 零日防护0day protection 突发性攻击的快速响应与防护.

3. 3 原子安全能力atomicsecurity capability
YD/Txxxx-xxxx 对云安全资源池中设备资源的安全功能的抽象与标准化封装，用以实现安全能力的细粒度控 制.

同一安全设备可以抽象出多种原子安全能力.

同一原子安全能力可能对应不同类型安全设备 中的相同安全功能.

3. 4 安全业务链securityservice chain 指引网络流量按照安全业务逻辑所要求的既定顺序，经过一系列安全服务节点（即各种不同 的安全设备或安全设备集群）.

3.5 纵向扩缩scale-up/scale-down 向系统中单节点添加或移除资源，包括向单个计算机添加或移除CPU或内存.

3. 6 横向扩缩scale-out/scale-in 向系统中添加或移除节点.

3.7 安全服务编排security serviceorchestration 通过消息的交互序列来控制不同资源与服务的交互，从而使一系列独立安全服务相互调 用构成工作流（引用微服务体系概念）.

4缩略语 下列缩略语适用于本文件.

2B 面向商业 To Business 2C 面向个人用户 To Client 2G 面向政府 To Government API 应用程序接口 Application Programsing Interface APP 应用程序 Application DNS 域名系统 Domain Name System ID 身份标识号 Identity IP 网际互连协议 Internet Protocol

ICS 35. 240 CCS L67 YD 中华人民共和国通信行业标准 [××××]-[×××××]1/0 [代替YD/T] 云计算风险管理框架 Cloud puting management framework [点击此处添加与国际标准一致性程度的标识] （报批稿） 行业标准信息服务平台 [点击此处添加本稿完成日期] [××××]-[××]-[××]发布 [×xx×]-[××]-[××]实施 中华人民共和国工业和信息化部 发布
YD/TxxxXxxxxx 目次 前 1范围. 2 规范性引用文件. 3术语和定义. 4概述. 5风险管理组织架构 6风险评估. 6.1风险识别. 6.2风险估算.

7风险处置， 7.1风险降低. 7.2风险保持.

7.3风险回避. 7.4风险转移.

8风险接受. 9风险沟通 10风险监测. 附录A（资料性）云计算风险管理能力评估指标及权重.， 行业标准信息服务平台
YD/TxxxXxxxxx 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规则 起草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别这些专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国信息通信研究院、浪潮通信技术有限公司、西安邮电大学、华为技术有限 公司、腾讯云计算（北京）有限责任公司 本文件主要起草人：栗蔚、郭雪、王方、孔松、王佩、张勇、卫斌、吴江伟、吴倩琳、韩非、王 睿宁、宋继达、赵华、符海芳、蒋增增、武献雨、傅帅、张春源、杜建伟、李小庆、宋敬海 行业标准信息服务平台 I1
YD/Txxxxxxxxx 云计算风险管理框架 1范围 本文件规定了云计算风险管理框架，针对云计算运行过程中面临的服务不可用、数据丢失、数据 泄露等风险后果提出管理方法，云计算风险管理过程包括风险评估、风险处置、风险接受、风险沟通 以及风险监视和评审等内容.

本文件适用于云计算企业对云计算涉及的系统、人员、管理制度进行风险管理，帮助云计算 厂商控制云计算对外运营的风险，帮助云服务客户选择风险可控的云计算厂商.

2规范性引用文件 下列文件中的内容通过文中的规范性引用面构成本文件必不可少的条款.

其中，注日期的引用文 件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适 用于本文件.

GB/T 220812008 信息技术安全技术信息安全管理实用规则 GB/T 311682014 信息安全技术云计算服务安全能力要求 GB/T 324002015 信息技术云计算概览与词汇 3术语和定义 3. 1 云计算cloudputing 一种通过网络将可伸缩、弹性的共享物理和虚拟资源池以按需自服务的方式供应和管理的模式.

注：资源实例包括服务器、操作系统、网络、软件、应月和存储设备等.

信息服务平台 [来源：GB/T32400-2015，3.2.5] 3. 2 云计算服务cloudputing service 使用定义的接口，借助云计算提供一种或多种资源的能力.

注：资源实例包括服务器、操作系统、网络、软件、应用和存储设备等.

[来源：GB/T31168-2014，3.2] 3. 3 云计算厂商cloud service provider
YD/Txxxxxxxxx 云计算的供应方.

注：云计算厂商管理、运营、支撑云计算的基础设施及软件，通过网络交付云计算的资源.

[来源：GB/T 31168-2014，3.3] 3. 4 风险risk 事态的概率及其结果的组合.

[来源：GB/T 22081-2008，2.9] 3.5 风险评估riskassessment 风险分析和风险评价的整个过程.

[来源：GB/T 22081-2008 2.11] 3.6 风险管理riskmanagement 指导和控制一个组织相关风险的协调活动.

注：风险管理一般包括风险评估、风险处置、风险接受和风险沟通.

[来源：GB/T 22081-2008 2.13] 3.7 风险处置risktreatment 选择并且执行措施来更改风险的过程.

[来源：GB/T22081-2008，2.14] 3.8 威胁threat 可能导致对系统或组织的损害的不期望事件发生的潜在原因.

信息服务平台 [来源：GB/T 22081-2008，2.16] 3.9 脆弱性vulnerability 可能会被一个或多个威胁所利用的资产或一组资产的弱点.

[来源：GB/T 22081-2008 2.17] 4概述 本文件规定了云计算风险管理框架，云计算风险管理流程包括风险评估、风险处置、风险接受、 风险沟通以及风险监视和评审.

YD/T XXXX ICS33.040.01 CCS M 11 YD 中华人民共和国通信行业标准 YD/T XXXX 电信网和互联网区块链基础设施安全防护 检测要求 Securityprotectiontestrequirementsfor telenetwork andInternet blockchaininfrastructure 行业标准信息服务平 报批稿） 201X-XX-XX发布 201X-XX-XX实施 中华人民共和国工业和信息化部发布
行业标准信息服务平台
YD/T ×xxx- -XXXX 目次 前 1范围 2规范性引用文件 3术语和定义 4缩略语.... 5区块链基础设施安全防护检测概述 5.1区块链基础设施安全防护检测内容. 5.2区块链基础设施安全防护检测对象. 5.3区块链基础设施安全防护检测环境. 6区块链基础设施安全防护检测要求.， 6.1第1级要求. 6.2第2级要求. 6.2.1业务服务安全要求 6.2.2网络安全要求 6.2.3设备安全要求. 6.2.4物理环境安全要求 5 6.2.5管理安全要求. 6.3第3级要求... 6.3.1业务服务安全要求 50 6.3.2网络安全要求. 58 6.3.3设备安全要求. 6.3.4物理环境安全要求 ro 6.3.5管理安全要求 6.4第4级要求. 服务平台 73 6.5第5级要求.
YD/Txxxxxxxx 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草.

本文件与YD/T4055《电信网和互联网区块链基础设施安全防护要求》共同构成“电信网和互联网区 块链基础设施”的安全防护标准体系.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国信息通信研究院、中国移动通信集团有限公司、北京知道创宇信息技术股份 有限公司、北京华顺信安科技有限公司、上海玄猫信息科技有限公司、上海观安信息技术股份有限公司、 厦门慢雾科技有限公司、科大国盾量子技术股份有限公司、存观信息技术（上海）有限公司.

本文件主要起草人：孟楠、戴方芳、查选、王珂、杨波、李伟辰、姚昌林、万耀东、蔡自彬、杨旭、 练晓谦、邓焕、赵武、彭俊珲、罗志翔、袁劲松、陈亮、薛璐、钟晨鸣、郑程、张连锋、启富、张建海、 叶振强、谢江、祝文伟、杨阳.

行业标准信息服务平台 II
YD/T xxxxxxxx 电信网和互联网区块链基础设施安全防护检测要求 1范围 本文件规定了区块链基础设施按安全保护等级的安全防护检测要求，涉及业务服务安全、网络安全、 设备安全、物理环境安全和管理安全.

本文件适用于基础电信业务经营者和增值电信业务经营者开发、运营的区块链基础设施.

2规范性引用文件 下列文件中的内容通过文中的规范性引用面构成本文件必不可少的条款.

其中，注日期的引用文 件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适 用于本文件.

YD/T 1755-2008 电信网和互联网物理环境安全等级保护检测要求 YD/T 1757-2008 电信网和互联网管理安全等级保护检测要求 YD/T 2693-2014 电信和互联网用户个人电子信息保护检测要求 YD/T 2698-2014 电信网和互联网安全防护基线配置要求及检测要求网络设备 YD/T 2699-2014 电信网和互联网安全防护基线配置要求及检测要求安全设备 YD/T 2700-2014 电信网和互联网安全防护基线配置要求及检测要求数据库 YD/T 2701-2014 电信网和互联网安全防护基线配置要求及检测要求操作系统 YD/T 2702-2014 电信网和互联网安全防护基线配置要求及检测要求中间件 YD/T 2703-2014 电信网和互联网安全防护基线配置要求及检测要求WEB应用系统 YD/T 4055-2022 电信网和互联网区块链基础设施安全防护要求 3术语和定义 YD/T4055-2022界定的术语和定义适用于本文件.

ICS 33.030 CCS M.21 YD 中华人民共和国通信行业标准 YD/T[xxxxx][xxxx] [代替YD/T] 基于区块链的物联网设备标识与认证系 统的总体技术要求 General technical requirements of blockchain-based identification and authentication system forIoT device [点击此处添加与国际标准一致性程度的标识] 行业标准信息服务平台 （报批稿） [xxxx]-[×x]-[×x]发布 [xxx×]-[x×]-[x×]实施 中华人民共和国工业和信息化部发布
YD/Txxxxxxxxx 目次 前 言 .VI 1范围.. 2规范性引用文件， .1 3术语和定义. 1 4缩略语.

.3 5基于区块链的物联网设备标识与认证系统概述.

.3 5.1基于区块链的物联网设备标识与认证系统的概念 .4 5.2物联网设备标识和标识对象.

.5 5.3基于区块链的物联网设备标识认证系统融合认证和识别功能. .. 5.3.1创建、认证和注册物联网设备标识和标识对象.

. 5.3.2检索、识别和验证物联网设备标识和标识对象.

6 BIAS的特征与需求， ... 6.1共性特征. 6.1.1支持物联网设备标识和标识对象自解析.. .7 6.1.2在去中心化环境中支持独立的端到端标识和认证 .7 6.1.3支持物联网设备标识和标识对象的可控存储. ..7 6.1.4支持标识的线上线下背书， ..7 6.1.5支持多种标识认证方案， ..7 6.2系统要求... .7 6.2.1标识和标识对象自解析， ..8 6.2.2独立的端到端识别和认证. 6.2.3标识和相应标识对象的可控存储 ..8 6.2.4标识的线上线下背书.. 6.2.5多种标识认证方案 ..8 6.2.6同步和可扩展性. 6.2.7安全保护和隐私保护. ... 6.2.8支持商用密码算法 .8 7基于区块链的物联网设备标识和认证系统的参考架构， 8′ 7.1基于区块链的物联网设备标识和认证系统参考架构概述， .8 7.2标识解析代理（IDRagent） . 7.3标识对象存储代理（IOS agent） 6" 7.4标识解析的功能组件（IR-FC). ..10 7.5认证管理的功能组件（AM-FC） ..10 7.6策略管理的功能组件（PM-FC） ..10 11
YD/Txxxxx 7.7业务代理 ..10 7.8设备代理 ..11 7.9外部系统.. ..11 7.9.1认证系统， ...1 7.9.2去中心化系统 ..11 7.9.3 云.. ..11 7.9.4物联网业务、物联网设备和物联网网关 ..12 7.10参考点.. ..12 8BIAS的主要功能和流程. ..12 8.1创建和背书物联网设备标识和标识对象 ..2 8.2颁发和认证物联网设备标识和相应的标识对象. .... 8.2.1颁发物联网标识和标识对象， ..13 8.2.2启用物联网标识和标识对象 ..15 8.2.3物联网设备和业务之间的识别和认证 ..15 9安全性.. ..16 附录A（资料性）BIAS的用例 ..18 A.1利用BIAS促进一个物联网设备访问由一个业务运营商部署的物联网业务.

..18 A.2促进一个物联网设备访问由多个业务运营商部署的物联网业务.. ..9 附录B（资料性）物联网设备和物联网业务的标识和对应标识对象的抽象模型， ..21 B.1物联网设备标识. ..1 B.2标识包.. ..21 B.3对应的标识对象. ..21 附录C（资料性）BIAS的业务角色和模型 ..3 C.1BIAS的业务角色 ..23 C.1.1设备提供商 ..23 C.1.2应用提供商.. ..23 C.1.3平台提供商. ..23 C.2BIAS的业务模型. ..24 参考文献. 息服务平台 ..26 111
YD/Txxxxxxxxx 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国联合网络通信集团有限公司、中国信息通信研究院、中兴通讯股份有限公 司、中国信息通信科技集团有限公司、北京邮电大学、南京邮电大学、郑州信大捷安信息技术股份有 限公司.

本文件主要起草人：加雄伟、穆晓君、罗松、黄峥、李、桑梓勤、元峰、沈苏斌、刘为华、杨 开敏、孙进芳、赵灿、李志平、张钰雯.

行业标准信息服务平台 IV
YD/Txxxxxxxxx 基于区块链的物联网设备标识与认证系统的总体技术要求 1范围 本文件提出了基于区块链的物联网设备标识与认证系统的概念，描述了基于区块链的物联网设备 标识与认证系统的特征，规定了基于区块链的物联网设备标识与认证系统的系统要求、参考架构和主 要工作流程.

本文件适用于基于区块链的物联网设备标识和相关的认证系统.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文 件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适 用于本文件.

GB/T 25069 信息安全技术术语 YD/T 3905-2021 基于区块链技术的去中心化物联网业务平台框架 ITU-T Y.4811 去中心化环境下的物联网设备身份标识与认证融合服务框架（Reference framework of converged service for identification and authentication for loT devices in decentralized environment) 3术语和定义 GB/T25069界定的以及下列术语和定义适用于本文件.

3. 1 应用 application 一些结构化功能集，提供一个或多个服务支持的增值功能，并可通过提供API接口来支持这些功 能.

[来源：YD/T3905-2021] 3.2 能力capability 在约定的内部条件下满足给定数量特征的服务需求的能力.

[来源：YD/T 3905-2021] 3.3

ICS 35. 240 CCS L 67 YD 中华人民共和国通信行业标准 YD/Txxxx-xxxx 物联网安全态势感知技术要求 Technical requirements of security situational awareness for Internet of things 行业标准信息服务平台 20XX-XX-X×发布 20XX-××-××实施 中华人民共和国工业和信息化部发布
YD/Txxxxxxxxx 目次 前 言. .III 1范围.. 2规范性引用文件.. 3术语和定义.. 4缩略语.. 5物联网安全风险. .2 6总体框架 .3 7功能要... .3 7.1数据采集要求. 7.1.1采集能力.. .4 7.1.2采集方式.. .4 7.1.3数据源类型 4 7.2数据处理要求. .4 7.3数据存储要求. .5 7.4安全态势感知要求 .5 7.4.1数据挖掘. .5 7.4.2态势感知类别 .5 7.4.2.1物联网卡安全态势 .5 7.4.2.2物联网业务安全态势 .5 7.4.2.3物联网终端安全态势. .6 7.4.2.4基础资产安全态势 7.4.3安全态势评估.. 6 7.5安全态势预警及处置要求. .7 7.5.1安全态势预警 .7 7.5.2安全威胁处置 .7 7.6可视化展示要求. .7 7.6.1安全态势展示， .7 7.6.2可选择性展示 8′ 7.7态势感知平台安全管理要求. .8 8安全要求.
YD/Txxxxxxxxx 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国移动通信集团有限公司、中国移动通信集团设计院有限公司、中国信息通信 研究院、中兴通讯股份有限公司、北京东方通网信科技有限公司、恒安嘉新（北京）科技股份公司、华 为技术有限公司、北京天融信网络安全技术有限公司、国家计算机网络应急技术处理协调中心、海信集 团控股股份有限公司、杭州安恒信息技术股份有限公司、新华三技术有限公司.

本文件主要起草人刘利军、张峰、柏洪涛、齐文杰、江为强、文远、张双、谭飞越、蒋文学、万 莉莉、陈欢、余长江、赵蓓、宁华、林兆骥、游世林、崔婷婷、徐昕白、陈璟、王、王晖、孙宗臣、 高雪松、张消易、王辉、杨洪起.

行业标准信息服务平台 I1
YD/Txxxxxxxxx 物联网安全态势感知技术要求 1范围 本文件规定了物联网安全态势感知系统的总体框架、功能要求、安全要求及性能要求.

本文件适用于基础电信运营企业的物联网安全态势感知系统的设计、开发与测试.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本文 件.

GB/T 250692010 信息安全技术术语 GB/T 337452017 物联网术语 3术语和定义 GB/T25069-2010、GB/T33745-2017界定的以及下列术语和定义适用于本文件.

3. 1 物联网Internet of things，loT 通过感知设备，按照约定协议，连接物、人、系统和信息资源，实现对物理和虚拟世界的信息进行 处理并做出反应的智能服务系统.

3. 2 态势感知situationawareness 认知一定时间和空间内的环境要素，理解其意义，并预测它们即将呈现的状态，以实现决策优势.

3.3 物联网终端loTterminal 能对物进行信息采集和/或执行操作，并能联网进行通信的装置.

根据终端对数据的处理能力，可分 为自身不具备数据处理能力的传感终端、具有操作系统的物联网终端和不具有操作系统的物联网终端.

3.4 物联网应用loTapplication 物联网在具体场景中的使用实例，向用户提供物联网服务的集合.

3.5
YD/Txxxxx XXXX 物联网基础资产loTbasicassets 与物联网相关的主机（应用服务器等）、网络设备（路由器、交换机等）、存储设备、安全设备 （扫描器等）等基础资产.

3.6 物联网卡loTcard 基于蜂窝移动通信网络，采用物联网专用号码作为终端业务号码，承载于物联网移动核心网专用网 元上，用于物与物、物与人通信的号码.

3.7 卡挪用cardmisappropriation 本应用于A物联网业务的物联网卡挪为B物联网业务使用.

不同物联网业务功能需求和资费存在差异， 存在被非法使用和套利的风险.

3.8 卡温用cardabuse 将物联网卡应用于非物联网业务.

如有的物联网用户卡具备短信、语音功能，按照业务协议要求只 能应用于物联网业务，不能放入手机等其他设备中使用.

4缩略语 下列缩略语适用于本文件.

APP：移动终端智能应用（Application） DDoS：分布式拒绝服务攻击（Distributed Denialof Service） DPI：深度包检测（Deep PacketInspection） EDP：增强设备协议（Enhanced Device Protocol） FTP：文件传输协议（File Transfer Protocol） GRE：通用路由封装（Generic Routing Encapsulation） HTTPs：超文本传输安全协议（Hyper Text Transfer Protocol Secure） IDS：入侵检测系统（intrusion deteetion system） IP：网际协议（InternetProtocol） IPSec：互联网安全协议（Internet ProtocolSecurity） MQTT：消息队列遥测传输（Message QueuingTelemetry Trensport） SMTP：简单邮件传输协议（Simple Mai1TransferProtocol） SSH：安全外壳协议（Secure Shel1） WAF：网络应用防火墙（WebApplication Firewal1） 5物联网安全风险 物联网从终端设备，物联网卡以及物联网平台都面临各种安全风险： a）物联网卡安全风险物联网业务资费较低，存在挪用或滥用物联网卡进行非法套利及其他非法 2

ICS 35.240 YD 中华人民共和国通信行业标准 YD/TXXXX-202X 区块链智能合约安全技术要求 Security technicalrequirements for blockchain smart contract 行业标准信息服务平台 XXXX-XX-XX发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发布
YD/T XXXX-202X 目次 前言 III 1范围 2规范性引用文件 .1 3术语和定义 .1 4智能合约的安全技术框架 .2 4.1智能合约安全的整体逻辑架构 .2 4.2智能合约的角色定义 .3 4.3智能合约各角色的安全职责 .4 4.3.1智能合约业务提供者的安全职责 .4 4.3.2智能合约技术提供者的安全职责 4.3.3智能合约审计者的安全职责 ..4 5智能合约设计开发的安全技术要求， .4 5.1智能合约功能设计的安全技术要求 .4 5.1.1智能合约设计的安全性. .4 5.1.2智能合约的处理错误能力 .5 5.1.3智能合约的敏感信息规避要求 . 5.1.4智能合约结果一致性的安全设计 .5 5.1.5区块链平台的兼容能力的设计 .5 5.1.6智能合约安全风险规避要求 ... 5.2智能合约编码的安全技术要求... ..5 5.2.1开发环境安全 .. 5.2.2明确变量定义. ..5 5.2.3尽量避免直接嵌入底层语言 5.2.4数学运算的边界条件 ... 5.2.5避免不可靠输入， ..6 5.2.6错误处理 .. 5.2.7合约代码库 ... 5.3智能合约的逻辑安全技术要求， .. 5.3.1身份验证 .. 5.3.2权限管理. .6 5.3.3业务逻辑安全 .6 6智能合约测试验证的安全技术要求 .. 7智能合约编译部署的安全技术要求 .7 7.1智能合约编译的安全技术要求 .7 7.2智能合约部署的安全技术要求 .. 8智能合约触发运行安全技术要求 8.1智能合约触发的安全技术要求
YD/T XXXX-202X 8.1.1直接接口调用安全， 8.1.2合约间调用安全， 8 8.1.3预言机调用安全.

8.2智能合约运行的安全技术要求 8.2.1运行环境本身的安全性 8 8.2.2运行环境依赖性.

8 8.2.3规避恶意合约代码对运行环境底层的影响 8.2.4运行环境中不同合约的交互安全 9 9智能合约的维护治理安全 9.1智能合约的冻结/解冻安全 9.2智能合约的升级安全 9.3智能合约的禁用安全 9.4智能合约的安全审计 行业标准信息服务平台 II
YD/T XXXX-202X 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位深圳市腾讯计算机系统有限公司、腾讯云计算（北京）有限责任公司、成都链安 科技有限公司、郑州信大捷安信息技术股份有限公司、国家计算机网络应急技术处理协调中心、中国移 动通信集团有限公司、北京奇虎科技有限公司、电子科技大学、北京理工大学、西安邮电大学、蚂蚁科 技集团股份有限公司、奇安信科技集团股份有限公司、北京邮电大学、中国信息通信科技集团有限公司、 陕西省信息化工程研究院.

本文件主要起草人李克鹏、武杨、郭铁涛、刘为华、刘献伦、刘颖、李力、苏庆慧、邵兵、郭锐、 蔡庆普、张子剑、杨霞、杨勇、甘祥、张建俊、敖萌、苏蹦蹦、韩天乐、代威、梁军、卢洋、王宗友、 蓝虎、郭文生、孙海泳、岳亮亮、邓岚胺、章书、王剑、彭晋、昌文婷、张屹、鲍旭华、黄亮、韩刚、 张勇、尚进、于乐、程渤、赵帅、张祺琪、刘伟丽.

行业标准信息服务平台 II1
YD/T XXXX-202X 区块链智能合约安全技术要求 1范围 本文件规定了区块链智能合约安全技术要求，包括区块链智能合约的安全技术框架、设计开发安全、 测试验证安全、编译部署安全、触发运行安全、维护治理安全方面的技术要求.

本文件适用于指导区块链智能合约业务提供者、智能合约技术提供者、智能合约审计者等相关角色 在区块链智能合约的设计、开发、测试、部署和运维等过程中进行安全保障，也适用于指导区块链智能 合约系统的安全性评估.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.

GB/T25069-2022信息安全技术术语 ISO 22739:2020区块链和分布式账本技术-术语（Blockchain and distributedledger technologies-Vocabulary) 3术语和定义 GB/T25069-2022和ISO22739：2020界定的以及下列术语和定义适用于本文件.

3. 1 区块block 区块链的基本组成单元，由区块头和区块数据组成.

[来源：ISO22739:2020，3.2，有修改] 难信息服务平台 3. 2 共识 consensus 在共识节点间达成区块数据一致性的认可.

[来源：ISO 22739:2020，3.11，有修改] 3. 3 共识协议consensus protocol 区块链中通过数学算法实现不同节点之间对交易达成一致的方法.

[来源：ISO22739:2020，3.12，有修改] 3. 4

ICS 35. 240. 99 CCS L67 YD 中华人民共和国通信行业标准 YD/TXXXX-XXXX 基于联邦学习的数据流通产品 技术要求与测试方法 Technical requirements and testing methods of data circulation products based on federated learning 行业标准 （报批稿） 意服务平台 [××××]-[××]-[××]发布 [××××]-[××]-[××]实施 中华人民共和国工业和信息化部 发布
前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口， 本文件起草单位中国信息通信研究院、上海光之树科技有限公司、深圳前海微众银行股份有限公 司、华控清交信息科技（北京）有限公司、杭州諾崴信息科技有限公司、北京数读科技有限公司、上海 富数科技有限公司、武汉大学、北京百度网讯科技有限公司、腾讯云计算（北京）有限责任公司、深圳 市洞见智慧科技有限公司、杭州趣链科技有限公司、科大讯飞股份有限公司、普元信息技术股份有限公 司、北京京东尚科信息技术有限公司、中国工商银行股份有限公司、蚂蚊科技集团股份有限公司.

本文件主要起草人闫树、袁博、魏凯、姜春宇、吕艾临、王卓、李雨罪、王思源、贾轩、白玉真、 杨靖世、鲁颖、沈敏均、范力欣、张天豫、刘友智、林冰琅、李斌、王云河、陈琅、王爽、李帜、郑灏、 蔡超超、单进勇、王昊昱、李晓林、李宏宇、孟丹、汪宏、彭宇翔、卞阳、黄翠婷、何德彪、季石磊、 王建奎、洪爵、刘洋、王礼斌、张雄、陶阳宇、程勇、何浩、王湾湾、李博、李伟、陈晓丰、徐静、汪 小益、陈敏军、王慧敏、倪修峰、康明、赵志峰、刘洋、倪壮、刘登涛、任江哲、孟庆余、刘庆会、彭 南博、王虎、张德、袁睿、华志超、强锋、张闯、相妹、彭晋、王磊、李漓春、昌文婷.

行业标准信息服务平台
YD/T XXXX-XXXX 目次 前 1范围. 2规范性引用文件. 3术语、定义和缩略语 3.1术语和定义 3.2缩略语 4参考架构 4.1概述. 4.2联邦学习分类 4.3架构视图. 4.4联邦学习产品分类 5技术要求.. 5.1调度管理能力. 5.2数据处理能力 5.3算法实现. 5.4效果及性能， 5.5安全性、稳定性、可扩展性能力 6参考测试方法. 6.1调度管理能力， 6.2数据处理能力 6.3算法实现， 6.4效果及性能. P 6.5安全性、稳定性、可扩展性测试 附录A（资料性）算法安全性测试要求. 标准信息服务平台
YD/T XXXX-XXXX 基于联邦学习的数据流通产品技术要求与测试方法 1范围 本文件规定了基于联邦学习的数据流通产品在调度管理、数据处理、算法实现、效果及性能、安全 性、稳定性、可扩展性方面必要的技术要求和相应的测试方法.

本文件适用于基于联邦学习的数据流通产品的研发、测试、评估和验收等.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.

GB/T35295-2017信息技术大数据术语 3术语、定义和缩略语 GB/T35295-2017界定的以及下列术语和定义适用于本文件.

3.1术语和定义 3.1.1 联邦学习federated leaming 一种多个参与方在保证各自原始私有数据不出数据方定义的私有边界的前提下，以保护隐私数据的 方式交换中间计算结果，从而协作完成某项机器学习任务的模式.

3.1.2 联邦学习产品federatedleamingproduci 供联邦学习各参与方使用，提供联邦学习所需的计算和通信等功能，并满足联邦学习任务需求的软 件系统或软硬件一体化系统.

3.1.3 联邦学习任务federated learning task 指定参与方根据指定数据使用联邦学习完成特定机器学习任务的完整过程 3.1.4 联邦学习节点federatedlearming node 计算方执行联邦学习协议或算法逻辑的软件、计算机、虚拟计算机或集群.

3.1.5
YD/T XXXX-XXXX 数据集data set 数据记录汇聚的数据形式.

注：它可以具有大数据的体量、速度、多样性和易变性特征.

数据集的特征表征的是数据本身或静态数据，而数据 的特征，当其在网络上传输时或暂时驻留于计算机存储器中以备读出或更新时，表征的是动态数据.

[来源：GB/T 35295-2017.2.1.46] 3.1.6 参与方party 协作完成联邦学习任务的一组设备、数据中心或机构.

注：联邦学习任务的参与方可分为如下几类，同一参与方可以同时担任不同角色： a）数据方（dataprovider）：提供联邦学习所需的私有数据的参与方； b）算法方（algorithmprovider）：提供联邦学习的算法的参与方； c）协调方（coordinator）：管理和协调其他参与方，并参与执行联邦学习任务； d）计算方（putingprovider）：为执行联邦学习任务提供计算能力（算力）的参与方，通常每个数据方 也是计算方； e）结果方（resultobtainer）：接收联邦学习任务结果的参与方： f）任务发起方（taskinitiator）：触发联邦学习任务的参与方，通常是数据方或者结果方.

3.1.7 样本对齐 sample alignment 符对齐交集内样本数据的过程.

3.1.8 贡献评估contribution mcasurement 联邦学习任务执行成功后对各参与方提供的数据进行评价，评估每个参与方单特征或各参与方所持 有的数据对该次联邦建模任务的贡献作用.

3.1.9 中间因子intermedia factor 计算过程中各方所交换的中间数据，该数据不能泄露原始数据.

3.1.10 热升级hot update 程序/服务不停止的前提下，通过增加、修改或删除相关功能模块达到功能升级目的.

3.2缩略语 下列缩略语适用于本文件.

Adadelta:自适应delta（Adaptive delta） AdaGrad：自适应梯度（Adaptive Gradient） Adam:自适应动量（Adaptive momentum） ASIC：特殊应用集成电路（Application SpecificIntegrated Circuit） AUC：接受者操作特征曲线下的面积（Area UnderCurve)

ICS 35.020 CCS L 00 YD YD/TXXXXX-XXXX 电信网和互联网云服务数据安全评估指南 The guidance for telemunication networks and Internet cloud service data security (报批稿) 行业标准信息服务平台 -XX-XX发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部发布
行业标准信息服务平台
YD/T XXXX-XXXX 目次 前 1范围. b 2规范性引用文件.. 6 3术语和定义， 4缩略语， 5概述... 5.1云服务业务数据范围 5.2云服务业务数据安全评估指标 10 5.3云服务业务数据安全原则 10 5.4云服务商的角色与职责 10 6云服务业务数据安全评估总体思路.... 11 7通用性数据安全评估. II 7.1机构与责任人设置 11 7.1.1组织机构. II 7.1.2责任制度.

11 7.1.3合作与沟通.

12 7.1.4定期检查， 12 7.2数据安全管理制度 12 7.2.1管理制度， 12 7.2.2教育培训， 12 7.2.3数据分类分级， 12 7.2.4访问权限， 12 7.2.5用户信息备案 12 7.2.6个人信息保护 13 7.2.7应急保障制度.

13 7.2.8用户管理， 13 8云服务用户数据安全评估 8.1云平台与服务保障用户业务数据安全 13 8.1.1数据迁移上云安全， 13 8.1.2数据传输安全， 14 8.1.3数据存储安全， 14 8.1.4数据使用安全. 8.1.5数据销毁安全. 16 8.2运维活动支撑用户业务数据安全 17 8.2.1运维管理制度. 17 8.2.2高危操作规范. 17 8.2.3运维服务与工具.. 19 8.3云服务用户账户与交互数据安全评估 61 8.3.1数据采集... 19
YD/TXXXXXXXXX 8.3.2数据传输 61 8.3.3数据存储.

20 8.3.4数据使用， 07 8.3.5数据销毁. 20 9云服务商数据全生命周期安全评估 0 9.1数据采集与生成 0 9.1.1数据采集合规性.

07 9.1.2数据采集安全性.

9.2数据传输.... 9.2.1数据传输安全性.

9.2.2传输接口安全性， 9.3数据存储..... 1 9.3.1数据存储安全性.

I2 9.3.2数据备份与容灾安全性 9.4数据使用.... 22 9.4.1数据使用合规性 22 9.4.2数据使用环境安全， 9.4.3数据分析... 9.4.4数据导入导出. 9.5数据共享 4 9.6数据销毁， 附录A（资料性）数据销毁方式分析.. 行业标准信息服务平台
YD/TXXX-XX 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规 定起草.

本文件是“电信网和互联网数据安全”系列标准之一.

该系列标准预计结构及名称如下： a) 《电信网和互联网数据安全通用要求》 b) 《电信网和互联网数据安全评估规范》 c) 《电信网和互联网数据安全风险评估实施方法》 (p 《电信网和互联网云服务数据安全评估指南》（本标准） 请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国信息通信研究院、华为技术有限公司、阿里云计算有限公司.

本文件主要起草人：郭建南、魏薇、张媛媛、严敏瑞、耿涛、莫若.

行业标准信息服务平台

ICS 35.030 CCS L70 YD 中华人民共和国通信行业标准 YD/TXXXX-XXXX 5G移动通信网数据安全监测预警技术要求 5G mobile network technical requirements for data security monitoring and early warning 行业标准信息服务平台 （报批稿） XXXX-XX-X×发布 xXXX-XX-XX实施 中华人民共和国工业和信息化部 发布
行业标准信息服务平台
YD/TXXXX-XXXX 目次 前 范围 2 规范性引用文件 3 术语和定义 4 缩略语 5 数据安全监测预警概述 5.1概述 5.2数据安全监测预警框架 6数据安全监测 6.1监测信息采集 6.2监测信息处理， 7数据安全预警 7.1预警事件. 7.2预警信息推送及管理， 8监测与预警展示 8.1监测信息展示.

8.2预警展示. 9监测预警信息安全防护 附录A（资料性）数据流转监测预警实施 A.1用户通信业务流程中的数据监测预警. A.2网元存储敏感数据的监测预警. 参考文献....... 行业标准信息服务平台
YD/TXXXXXXXX 前言 则》的规定起草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国移动通信集团有限公司、中国信息通信研究院、华为技术有限公 司、中兴通讯股份有限公司、上海诺基亚贝尔股份有限公司、北京东方通网信科技有限公司、 中国联合网络通信集团有限公司、博鼎实华（北京）技术有限公司.

本文件主要起草人杨亭亭、陆黎、吕临颖、粟栗、耿慧拯、齐曼鹏、袁琦、胡力、林 兆骥、游世林、吴荣、崔婷婷、高枫、葛诗新、靳涛、顾希.

行业标准信息服务平台 II
YD/TXXXXXXXX 5G移动通信网数据安全监测预警技术要求 1范围 本文件规定了5G移动通信网中数据安全监测预警技术要求，包括监测信息采集、处理， 预警事件、预警方式，监测预警信息展示与安全保护.

本文件适用于指导安全管理、安全运营人员对5G移动通信网中的数据安全事件进行发 现和处理.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期 的引用文件，仅该日期对应的版本适用于本文件不注日期的引用文件，其最新版本（包括 的修改单）适用于本文件.

GB/T36635-2018信息安全技术网络安全监测基本要求与实施指南 GB/T41479-2022信息安全技术网络数据处理安全要求 3术语和定义 下列术语和定义适用于本文件.

3. 1 数据安全事件datasecurityevents 由单个或一系列意外或有害的数据安全事态所组成，极有可能造成数据泄露、数据丢失、 数据损坏等严重后果的事件.

4缩略语 下列缩略语适用于本文件.

AMF 接入和移动性管理功能（Access andMobility Management Function） gNB 下一代基站（generationnodeB） IP 网际互连协议（IntemetProiocol） MANO管理和编排（Management andOrchestraion） MEC 移动边缘计算（MobileEdge Computing） SMSF 短信服务功能（Short Message ServiceFunction） 5数据安全监测预警概述 5.1概述 数据安全典型事件包括数据泄露、数据丢失、数据纂改、数据损坏等.

造成这些安全事 件的原因通常包括数据非法导出、非法删除，传输过程中被截获，共享数据遭到非法转售等.

为了防止或及时发现数据安全事件的发生，应对用户的数据访问、数据导出、数据传输等重 要操作进行监测，对其中的风险操作进行预警.

ICS 35.020 CCS M 10 中华人民共和国通信行业标准 YD/TXXXX-202X 5G数据安全评估规范 Specificationfor5Gdatasecurityassessment 行业标准信息服务平台 比稿） XXXX-XX-XX发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部发布
YD/T XXXX-202X 目次 1范围 2规范性引用文件.

3术语和定义. 4略缩语. 5概述... 5.1评估总体框架. 5.2评估原则.. 5.3评估启动条件. 5.4评估实施流程， 65G业务数据安全评估， 6.15G业务通用数据安全 6.25G垂直行业数据安全 7MEC数据安全评估. 7.1MEC平台 7.2安全域划分和隔离. 7.3MEC应用环境 7.4边缘云及数据中心 10 8NFV/SDN数据安全评估. 10 8.1安全域划分和隔离. 10 8.2认证... 12 8.3数据存储. 13 8.4数据传输. 13 8.5数据销毁. 13 9网络切片数据安全评估. 9.1切片管理. 14 9.2切片隔离. 14 9.3切片使用. 15 10核心网基础防护能力评估.... 10.1信令保护.. 16 10.2个人敏感信息 16
YD/T XXXX-202X 10.3密钥保护. 16 10.4接口调用. 10.5服务注册发现授权 11终端设备数据安全评估， 11.1接入安全.

11.2通信安全.. 11.3数据存储. 11.4其他. 12无线接入数据安全评估. 12.1机密性保护. 12.2完整性保护和抗重放保护. 18 135G基础设施数据安全评估.

13.1物理安全.. 13.2云平台安全. 13.3网络安全， 145G通用数据安全评估， 行业标准信息服务平台
YD/T XXXX-202X 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草.

请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位中国信息通信研究院、中讯邮电咨询设计院有限公司、华为技术有限公司、中国 移动通信集团有限公司.

本文件主要起草人张琳琳、朱纯超、孙宁宁、贾雪瑞、李臣勋、俞小凡、江为强、叶荣伟、王腾.

行业标准信息服务平台
YD/T XXXX202X 5G数据安全评估规范 1范围 本文件描述了5G数据安全评估的原则、范围对象、评估流程，规定了5G数据安全评估的评估要点 和评估方法.

本文件适用于在通信行业中开展的5G数据安全评估活动，可用于指导5G网络运营者、5G技术业务 提供者和使用者开展5G数据安全自评估，也可用于第三方机构等开展5G数据安全评估.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.

GB/T21052-2007信息安全技术信息系统物理安全技术要求 GB/T25069-2010信息安全技术术语 GB/T31167-2014信息安全技术云计算服务安全指南 GB/T31168-2014信息安全技术云计算服务安全能力要求 GB/T34977-2017信息安全技术移动智能终端数据存储安全技术要求与测试评价方法 服务平 GB/T37092-2018信息安全技术密码模块安全要求 GB/T35273-2020信息安全技术个人信息安全规范 YD/T1729-2008电信网和互联网安全等级保护实施指南 YD/T1734-2009移动通信网安全防护要求

ICS 35.020 CCS L 67 YD 中华人民共和国通信行业标准 YD/TXXXX-XXXX 电信网和互联网结构化数据 数字水印实施指南 Implementation guide for digital watermarking of structured data in tele network and Internet 行业标准 （报批稿） x×××-××-××发布 x×XX-X×-X×实施 中华人民共和国工业和信息化部 发布
行业标准信息服务平台
YD/Txx×xxxxxx 目次 前言 I 1范围 2规范性引用文件 3术语和定义 5实施对象， 6水印类型. 7实施原则. 8实施过程. 8.1实施模型. 8.2水印嵌入过程， 8.3水印提取过程 附录A（资料性）常用水印算法 附录B（资料性）常见水印攻击类型 7.1 附录C（资料性）实施场景分析 14 附录D（资料性）应用场景介绍 15 参考文献. 17 行业标准信息服务平台
YD/TXXXX-XXXX 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位中国移动通信集团有限公司、北京神州绿盟科技有限公司、中国信息通信研究院、 北京东方通网信科技有限公司、中国联合网络通信集团有限公司、上海观安信息技术股份有限公司、中 兴通讯股份有限公司、国家计算机网络应急技术处理协调中心、中国科学院信息工程研究所、北京快手 科技有限公司、北京信安世纪科技股份有限公司.

本文件主要起草人张鑫月、耿慧拯、粟栗、何申、杨亭亭、陆黎、刘颖卿、陈磊、兰凯棋、崔婷 婷、谢江、曹京、游世林、袁曙光、落红卫、赵芸伟、陈驰、汪宗斌.

行业标准信息服务平台 ⅡI
YD/Txxxxx-xxxx 电信网和互联网结构化数据数字水印实施指南 1范围 本文件给出了电信网和互联网结构化数据数字水印实施过程涉及的水印实施对象、水印类型等信息， 规定了结构化数据数字水印实施模型以及实施过程，包括水印嵌入过程和水印提取过程.

本文件适用于电信网和互联网各系统或平台涉及的结构化数据数字水印实施的技术指导.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.

GB/T25069信息安全技术术语 GB/T29246-2017信息技术安全技术信息安全管理体系概述和词汇 GB/T35273-2020信息安全技术个人信息安全规范 GB/T35295-2017信息技术大数据术语 3术语和定义 GB/T25069、GB/T29246-2017、GB/T35273-2020和IGB/T35295-2017界定的以及下列术语和定义 适用于本文件.

3. 1 结构化数据structureddata 一种数据表示形式，按此种形式，由数据元素汇集而成的每个记录的结构都是一致的并且可以使用 关系模型予以有效描述.

[来源：GB/T 35295-2017，2.2.13] 3. 2 水印信息watermarkinformation 标识、信息、测源ID、时间戳等信息.

3.3 数字水印digitalwatermarking 一种将水印信息通过一定的规则与算法隐藏在数字载体（比如数字图像、数字视频和结构化数据集） 中的技术.

注：本文的结构化数据数字水印是数字水印中的一种.

3. 4 原始数据集originaldataset 待嵌入水印信息的结构化数据集.

ICS 35.030 CCS L70 YD 中华人民共和国通信行业标准 YD/TxXXX-2023 数据安全治理能力通用评估方法 General evaluation method of data security governance capability （报批稿） 行业标准信息服务平台 2022年10月8日 [××××]-[××]-[××]发布 [××××]-[××]-[××]实施 中华人民共和国工业和信息化部 发布
前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：中国信息通信研究院、中国移动通信集团有限公司、奇安信科技集团股份有限 公司、杭州安恒信息技术股份有限公司、蚂蚁科技集团股份有限公司、北京百度网讯科技有限公司、 上海观安信息技术股份有限公司、北京数读科技有限公司、杭州美创科技有限公司、郑州信大捷安信 息技术股份有限公司、联通华盛通信有限公司、北京天融信网络安全技术有限公司、0PPO广东移动通 信有限公司、中国移动通信集团有限公司、联通数字科技有限公司、浪潮云信息技术股份公司、北京 数安行科技有限公司、北京国双科技有限公司、北京亿赛通科技发展有限责任公司、恒安嘉新（北京） 科技股份公司、中兴通讯股份有限公司、深圳市和讯华谷信息技术有限公司、上海新炬网络信息技术 股份有限公司.

本文件主要起草人：刘雪花、李雪妮、龚诗然、闫树、魏凯、姜春宇、李天阳、郝志婧、张越、 张亚兰、范东媛、王新华、梁伟、马冰珂、孟小楠、郭建领、孙硕、谢江、裴超、王泽、刘为华、尚 品、陈卓、郑涛、陈洪运、付艳艳、温暖、李文琦、刘飞龙、何晓倩、周庆勇、刘玉红、张柏、李楷、 孟娟、王文娟、马超、张艺伟、黄国标.

行业标准信息服务平台
YD/T xxxx-2022 目次 前言. 1范围 .1 2规范性引|用文件， 1 3术语和定义 1 4概述 .2 4.1评估原则 .2 4.2评估实施方法 .2 4.3评估实施过程， .2 5数据安全治理体系框架 .3 6数据安全治理能力总体要求 7评估等级 5 7.1第一级初始级 5 7.2第二级重点执行级 5 7.3第三级全面治理级 .5 7.4第四级量化评估级 6 7.5第五级持续优化级 6 8数据安全战略. .6 8.1数据安全规划 6 8.2机构人员管理. 6 9数据全生命周期安全 .13 9.1数据采集安全 .13 9.2数据传输安全 ..17 9.3数据存储安全 .21 9.4数据使用安全 .25 9.5数据共享安全 .29 9.6数据销毁安全 ..33 10基础安全. 36 10.1数据分类分级 .36 10.2合规管理 39 10.3合作方管理 42 10.4监控审计 45 10.5身份认证与访问控制 .48 10.6安全风险分析， .52 10.7安全事件应急 54 参考文献 .58
YD/T xxxx-2021 数据安全治理能力通用评估方法 1范围 本文件规定了数据安全治理能力通用评估方法，包括评估实施方法，评估结果等级划分和数据安 全治理能力在各等级的具体要求和评估细则.

本文件适用于企业针对其拥有的数据开展数据安全治理工作，为其数据安全治理能力评估提供参 考和指引.

2规范性引用文件 下列文件中的内容通过文中的规范性引用面构成本文件必不可少的条款.

其中，注日期的引用文 件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适 用于本文件.

GB/T25069信息安全技术术语 GB/T29246一2017信息技术安全技术信息安全管理体系 GB/T37988-2019信息安全技术数据安全能力成熟度模型 GB/T35273信息安全技术个人信息安全规范 3术语和定义 GB/T37988-2019和GB/T35273界定的以及下列术语和定义适用于本文件.

3. 1 数据安全治理data securitygovernance 在组织数据安全战略的指导下，为确保组织数据处于有效保护和合法利用的状态，以及具备保障 持续安全状态的能力，内外部相关方协作实施的一系列活动集合.

注：活动包括建立数据安全治理组织架构，制定数据安全制度规范，构建数据安全技术体系，建设数据安全人才 梯队等.

服务平 3.2 数据使用datausing 在组织内部开展的数据开发利用活动的过程.

3. 3 数据共享data disclosing and sharing 在组织之间、组织与外部个人之间进行数据提供或交换的过程.

YD/T xxxx-2021 3. 4 合规pliance 对数据安全所适用的法律法规的符合程度.

[来源：GB/T 37988-2019 3.16] 3.5 个人信息personalinformation 以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定 自然人活动情况的各种信息.

[来源：GB/T35273 3.1 有修改] 3.6 敏感个人信息personalsensitive information 一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或 歧视性待遇等的个人信息.

[来源：GB/T 35273 3.2] 4概述 4.1评估原则 数据安全治理能力评估应遵守如下原则： a）标准性原则：评估工作应依据本文件展开； b）客观公正原则：评估发现、评估结论和评估报告应真实和准确地反映评估活动，不带评估人 员个人偏见，以确保评估发现和评估结论仅建立在评估证据的基础上： c）保密原则：评估人员应审慎使用和保护在评估过程获得的信息，以保障被评估方数据安全.

可以在评估前与被评估单位就数据安全保密责任义务进行认定与划分，包括不限于保密协议 签署等.

4.2评估实施方法 评估实施方法主要通过文档查验、人员访谈、工具演示等方式对评估对象的实际建设情况进行评 估.

文档查验是指评估人员查阅数据安全相关文件资料，如组织数据安全管理制度、业务技术资料和 其他相关文件，用以评估数据安全治理相关制度文件是否符合标准要求，评估对象需要事先完整准备 上述文档以供评估人员查阅.

人员访谈是指评估人员通过与评估对象相关人员进行交流、讨论、询问等活动，以评估数据安全 保障措施是否有效.

评估对象需要安排熟悉数据流转过程，以及承载数据的应用、系统、规划等情况 的人员参加访谈.

工具演示是指由评估对象相关人员进行展示，评估人员查看承载数据的应用、系统等，以评估数 据安全保障措施是否有效.

评估对象需要安排相关人员进行现场演示，评估人员根据系统演示情况进 行查验.

ICS35.020 CCS M 01 YD 中华人民共和国通信行业标准 [××××]-[×××××]1/0 [代替YD/T] 基础电信企业数据安全管理系统 技术要求 Technical requirements for data security management system of basic telemunication enterprises 行业标准信息服务平台 （报批稿） [××××]-[××]-[××]发布 [×xx×]-[××]-[××]实施 中华人民共和国工业和信息化部 发布
YD/Txxxxxxxxx 目次 前 1范围.. 2规范性引用文件. 3术语和定义. 4缩略语. 5数据安全管理系统架构. .2 6监控管理系统功能要求 6.1指令管理.. .4 6.1.1指令配置 .4 6.1.1.1指令配置概述 .4 6.1.1.2指令创建 4 6.1.1.3指令变更. .4 6.1.1.4指令失效.. 4 6.1.2指令审批 4 6.1.3指令下发 .4 6.2数据展示. .5 6.2.1安全态势展示， .5 6.2.2安全态势分析和预警. .5 6.3事件追踪处置 .5 6.4基础管理.. .5 6.4.1用户管理 .5 6.4.1.1账号管理 .5 6.4.1.2身份认证. .5 6.4.1.3权限管理. .. 6.4.1.4远程管理 .6 6.4.2日志管理. .6 6.4.2.1日志记录. .6 6.4.2.2安全审计.. .6 6.4.3交互接口管理 ..6 6.4.4备份恢复管理. ..6 6.4.5时间同步管理. .6 6.4.6系统数据保护. .6 6.4.6.1数据加密. .6 6.4.6.2数据脱敏. 7基础能力系统功能要求
YD/Txxxxx 7.1数据资产管理 .7 7.1.1数据资产信息采集 .7 7.1.1.1采集方式及范围 .7 7.1.1.2采集策略管理. 7 7.1.1.3采集任务管理. .7 7.1.2数据资产信息存储 .7 7.1.3数据资产识别.. ..8 7.1.3.1数据内容识别 .8 7.1.3.2数据分类分级， ..8 7.1.3.3数据资产清单管理 .. 7.1.4数据资产分析. .. 7.2访问和操作审计... .. 7.2.1审计信息采集.

.8 7.2.2审计信息存储和查询. ..8 7.2.3审计分析... ..9 7.2.3.1协议分析 .. 7.2.3.2审计策略 .9 7.2.3.3会话和轨迹分析 .9 7.2.3.4告警管理 ..10 7.2.3.5审计报表. ..10 7.3数据脱敏.. ..10 7.3.1数据梳理和识别. ..10 7.3.2数据脱敏模式 10 7.3.2.1集中审批模式 ... 7.3.2.2隔离模式 ..10 7.3.2.3实时模式 ..10 7.3.3数据脱敏策略 ..11 7.3.3.1数据源过滤.. ..1 7.3.3.2数据脱敏策略. 7.3.3.3数据脱敏任务管理 ..1 7.3.3.4数据对比 ..1 7.3.3.5集群脱敏 ..1 7.3.4数据源支持能力.. ..1 7.4数据溯源.. ..1 7.4.1数据溯源策略 ..11 7.4.2数据源支持能力. .12 7.5数据加密.. ..12 7.5.1数据加密管理.

..12 7.5.1.1基础加密管理 ..12 7.5.1.2动态表加密. ..12 7.5.1.3增强权限控制 .12 7.5.2加密密钥管理， ..12 11
YD/Txxxxx 7.5.2.1分级密钥管理 ..12 7.5.2.2密钥更新管理. .12 7.5.3数据加密任务管理. .12 7.6应用流量安全. ..1. 7.6.1应用流量数据采集.

...2 7.6.2应用流量数据存储. ..13 7.6.3数据流动分析. ..13 7.6.3.1数据流转分析. 13 7.6.3.2用户行为分析.. .13 7.6.3.3数据泄露风险分析. ..13 7.6.3.4违规操作风险分析. ..1. 7.6.3.5数据流动关联分析与预警推送 ..13 7.7数据接口安全. 13 7.7.1数据开放接口管理 ..14. 7.7.2数据对外开放管理. ..1. 7.8集中管控与数据展示.. ..14 7.8.1策略管控.. ..14 7.8.2安全态势展示 .14 7.8.3安全态势分析和预警. ..14. 7.8.3.1数据资产分析. ..14 7.8.3.2分类分级分析 .15 7.8.3.3数据热度分析. ..5 7.8.3.4数据流向分析 .15 7.8.3.5数据风险分析 ..15 7.8.3.6用户行为分析.. .15 7.8.3.7安全风险模型与告警 ..15 7.9事件追踪处置. ..5 7.10数据上报与指令接收 15 7.10.1数据上报. ..16 7.10.1.1数据上报要求... ..16 7.10.1.2数据资产情况上报. ..16 7.10.1.3数据对外共享情况上报 ..6 7.10.1.4敏感数据脱敏处理情况上报 16 7.10.1.5数据安全事件上报.. ..16 7.10.2指令接收 ..16 7.11基础管理.. 16 7.11.1用户管理 ..6 7.11.2日志管理 ..16 7.11.3交互接口管理 ..6 7.11.3.1一类接口管理 ..16 7.11.3.2二类接口管理. ..6 7.11.4备份恢复管理. ..17 III
YD/Txxxxxxxxx 7.11.5时间同步管理 17 7.11.6系统数据保护. 附录A（资料性）数据安全管理系统部署示例. 8 行业标准信息服务平台

ICS 33.060.20 CCS M37 YD 中华人民共和国通信行业标准 YD/TXXXX-XXXX LTE数字蜂窝移动通信网终端设备测试方 法（第四阶段） Test methods for user equipment of LTE digital cellular mobile telemunication network （Phase 4) 行业标准信息服务平台 （报批稿） XXXX-XX-XX发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发布
行业标准信息服务平台
YD/TXXXXXXXXX 目次 前言.. 1范围.. 2规范性引用文件. 3缩略语、术语和定义， 3.1术语和定义. 3.2缩略语. 4测试概述. 4.1测试环境说明.

4.2终端信息. 4.3测试要求说明. 5业务功能测试. 6一致性测试. 6.1射频性能测试 6.2无线资源管理测试 6.3协议一致性测试.. 7网络互通测试.... 7.1PDCP序列长度拓展测试 7.2RLC序列长度拓展.

7.3仅上行的RoHC头压缩 7.4上行256QAM.. 7.5VoLTE优先接入... 维信息服务平台 31 7.6上行数据压缩. 32
YD/T XXXXXXXXX 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规 定起草.

本文件是LTE数字蜂窝移动通信网终端设备（第四阶段）的系列标准之一，该系列标准的名称及结 构如下： a)YD/TXXXX《LTE数字蜂窝移动通信网终端设备技术要求（第四阶段）》： b）YD/TXXXX《LTE数字蜂窝移动通信网终端设备测试方法（第四阶段）》.

随着技术的发展，还将制定后续的相关标准.

请注意本文件的某些内容可能涉及专利.

本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位中国信息通信研究院、博鼎实华（北京）技术有限公司、中国移动通信集团公司、 中国联合网络通信集团有限公司、中国电信集团公司、中兴通讯股份有限公司、华为技术有限公司、联 发博动科技（北京）有限公司、北京三星通信技术研究有限公司、国家无线电监测中心检测中心、北京 紫光展锐通信技术有限公司、大唐电信科技产业集团（电信科学技术研究院）、北京展讯高科通信技术 有限公司.

本文件主要起草人：吴星、朵灏、刘军、王征、翁玮文、郭姗、丁志东、师瑜、周晶、戴国华、张 宏伟、薛祎凡、王韵淇、吴越、尹玉昂、徐志昆、朱玥、王海燕.

行业标准信息服务平台 11
YD/T XXXXXXXXX LTE数字蜂窝移动通信网终端设备测试方法（第四阶段） 1范围 本文件规定了基于3GPP Release13、Release14和Releasel5的LTE终端设备在业务功能、射频性能、 无线资源管理，协议一致性以及网络兼容性等方面的测试方法.

本文件适用于LTE数字蜂窝移动通信网终端设备的测试验证.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中注日期的引用文件， 仅该日期对应的版本适用于本文件不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.

YD/T2307数字移动通信终端通用功能技术要求和测试方法 性规范射频发送与接收第1部分：一致性测试（Evolved Universal Terrestrial Radio Access (E-UTRA);User Equipment (UE) conformance specification Radio transmission and reception Part 1: Conformance Testing;) 3GPPTS36.521-3V15.5.0（2019-03）演进通用陆地无线接入系统和演进分组核心网用户设备一致 性规范射频发送与接收第3部分：无线资源管理一致性测试（Evolved UniversalTerrestrial RadioAccess (E-UTRA);User Equipment (UE) conformance specification;Radio transmission and reception;Part 3: Radio 性规范第1部分：协议一致性规范（Evolved Universal Terrestrial RadioAccess（E-UTRA）and Evolved Packet Core (EPC);User Equipment (UE) conformance specification;Part 1:Protocol conformance 标准信息服务平 specification) 3缩略语、术语和定义 3.1术语和定义 本文件没有需要界定的术语和定义.

3.2缩略语 下列缩略语适用于本文件.

ACK 确认字符 Acknowledgment ACLR 相邻频道泄漏比 Adjacent Channel Leakage Ratio ACS 邻道选择性 AdjacentChannel Selectivity AM 确认模式 Acknowledged Mode A-MPR 额外最大功率回退 Additional Max Power Reduction

ICS 35.030 CCS L 70 YD 中华人民共和国通信行业标准 YD/TXXXXX-XXXX [代替YD/T] 网络空间安全仿真网络安全试验知识的统 一表示与接口要求 Cybersecurity emulation--Uniform representation specification and interface requirements of cybersecurity experiment knowledge 行业标准信息服务平台 （报批稿） XXXX-XX-XX发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发布
行业标准信息服务平台
YD/TXXXXXXXXX 目次 2规范性引用文件 3术语和定义 4缩略语. 5概述... 6网络安全试验知识的统一 表示 6.1网络安全试验知识的统一表示要求 6.2网络安全试验知识本体模型 7网络安全试验知识的接口功能要求. 7.1网络安全试验知识的接口功能总体要求， 7.2网络安全试验基础攻击知识接口， 7.3网络安全试验复杂攻击知识接口.， 7.4网络安全试验场景知识接口. 附录A（资料性）参考样例. 行业标准信息服务平台
YD/TXXXXX-XXXX 前言 本文件按照GB/T1.1-2020《标准化工作导则第一部分：标准化文件的结构和起草规则》的规定起 草.

请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任.

本文件由中国通信标准化协会提出并归口.

本文件起草单位：湖南星汉数智科技有限公司、鹏城实验室、广州大学网络空间先进技术研究院、 四川亿览态势科技有限公司、哈尔滨工业大学（深圳）、中国电信集团有限公司、中国信息通信研究院、 上海交通大学、北京邮电大学、中汽创智科技有限公司、广东为辰信息科技有限公司、电子科技大学.

本文件主要起草人黄九鸣、贾焰、曾瑛、王志超、李树栋、杜海燕、李润恒、韩伟红、柳扬、 张圣栋、陈晖、邓晓东、谢玮、杨彦召、薛信钊、周志洪、罗蕾、赵焕宇、谷勇浩、崔涛.

行业标准信息服务平台 Ⅱ
YD/TXXXXXXXXX 网络空间安全仿真网络安全试验知识的统一表示与接口要求 1范围 本文件规定了网络安全试验知识本体和统一的知识表示结构，规定了对外提供的数据调用的接口功 能、接口消息与数据描述.

本文件适用于网络靶场中网络安全试验知识的表示与知识调用.

2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.

其中，注日期的引用文件， 仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.

GB/T25069-2022信息安全技术术语 YD/TXXXX网络空间安全仿真术语 3术语和定义 GB/T25069-2022和YD/TXXXX界定的以及下列术语和定义适用于本文件.

3. 1 网络安全试验知识cyber security experiment knowledge 在进行网络安全试验时涉及的网络安全场景、网络安全攻击等方面的知识.

3. 2 网络安全试验知识本体cyber 8ccurity experiment knowledgeontology 对网络安全试验知识涉及的领域概念及概念之间关系的规范化描述.

信息服务平台 4缩略语 下列缩略语适用于本文件.

APT：高级长期威胁（Advanced Persistent Threat） CVE：通用漏润披露（Common Vulnerabilities&Exposures） ID：身份标识号（IdentityDocument） RATS：时间序列的回归分析（RegressionAnalysisof Time Series） 5概述