ICS 35.240
L70/84
团
体 标 准
T/ZISIA 01-2024
自主创新型网络安全技术
框架
Autonomous and innovative cybersecurity technology —— Framework
2024-06-05 发布
2024-06-05 实施
中关村网络安全与信息化产业联盟 发布
目
次
前言..............................................................................................................................................................................................................I
引言.............................................................................................................................................................................................................II
1 范围........................................................................................................................................................................................................1
2 规范性引用文件.................................................................................................................................................................................1
3 术语和定义..........................................................................................................................................................................................1
4 缩略语....................................................................................................................................................................................................2
5 概述........................................................................................................................................................................................................3
5.1 安全工作特点.......................................................................................................................................................................3
5.2 安全目标................................................................................................................................................................................ 3
5.3 框架结构................................................................................................................................................................................ 3
6 通用要求...............................................................................................................................................................................................4
7 自身安全防御......................................................................................................................................................................................5
7.1 基础硬件安全.......................................................................................................................................................................5
7.2 基础软件安全.......................................................................................................................................................................5
7.3 应用软件安全.......................................................................................................................................................................6
7.4 云计算平台安全...................................................................................................................................................................6
8 专业安全防护......................................................................................................................................................................................7
8.1 通信网络安全防护..............................................................................................................................................................7
8.2 区域边界安全防护..............................................................................................................................................................7
8.3 计算环境安全防护..............................................................................................................................................................7
8.4 网络安全运营.......................................................................................................................................................................7
9 安全风险管控......................................................................................................................................................................................7
9.1 风险降低................................................................................................................................................................................ 7
9.1.1 备份与恢复............................................................................................................................................................. 7
9.1.2 响应与处置............................................................................................................................................................. 7
9.2 风险转移................................................................................................................................................................................ 8
9.2.1 网络安全保险.........................................................................................................................................................8
9.2.2 其他风险转移方式............................................................................................................................................... 8
10 框架模块间的协同关系.................................................................................................................................................................9
10.1 内置安全机制.....................................................................................................................................................................9
10.2 内生安全机制.................................................................................................................................................................. 10
10.3 网络弹性保障.................................................................................................................................................................. 10
参考文献.................................................................................................................................................................................................11
I
T/ZISIA 01-2024
前 言
本文件按照 GB/T 1.1-2020《标准化工作导则 第 1 部分：标准化文件的结构和起草规则》的规定
起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由中关村网络安全与信息化产业联盟提出并归口。
本文件起草单位：奇安信科技集团股份有限公司、北京源堡科技有限公司、中关村网络安全与信息
化产业联盟、麒麟软件有限公司、飞腾信息技术有限公司、北京可信华泰信息技术有限公司、中电(海
南)联合创新研究院有限公司、北方工业大学、软极网络技术（北京）有限公司、中电云计算技术有限
公司、清华大学网络科学与网络空间研究院。
本文件主要起草人：吴云坤、纪胜龙、郑新华、陈晓峰、常凯翔、王海洋、梁露露、毛庆梅、靳佑
鼎、张大朋、战茅、罗洪毅、杨有桂、杜君、王炎玲、郑世普、程永灵、杨伟萍、杨光灿、魏淑华、刘
立、张海彬、赵志娟、王占群、于晴、邹冬、徐明伟、孙东红、胡伟平。
I
T/ZISIA 01-2024
引 言
为实现科技自立自强，支持我国数字化转型，我国实施了信息技术应用创新工程，布局自主创新型
信息技术产品的研制与应用工作，已经实现了基础硬件、基础软件、应用软件、网络安全、云计算平台
等产品的国产替代。
自主创新型信息技术产品主要应用在政务、金融、能源等关键信息基础设施行业，自主创新型网络
安全保障要求比普通网络高，但是，自主创新型信息技术产品的安全性还没有得到充分考验，而且性能
普遍比国际主流产品低。这就要求我们基于自主创新型信息技术产品构建自主创新型网络时，不能简单
的沿用传统的网络安全建设方法，而是要采用系统工程方法，将安全与计算深度融合，将产品与服务紧
密结合，实现安全能力协同，基于性能并不高的信息技术产品实现更高的安全防护能力。
自主创新型网络安全技术将形成一个标准体系，本标准是标准体系的顶层标准，规定了自主创新型
网络安全技术的框架和各部分基本要求；针对框架的关键部分和重点要求，将制订专项标准。专项标准
将根据技术发展和产业需求，逐项制订并发布，从而不断丰富完善自主创新型网络安全技术标准体系。
II
T/ZISIA 01-2024
自主创新型网络安全技术 框架
1
范围
本文件给出了自主创新型网络安全的框架，包括通用要求、自身安全防御、专业安全防护、安全风
险管控以及框架模块间的协同关系。
本文件适用于指导组织基于自主创新型信息技术产品构建和运营网络安全体系，也可供自主创新型
信息技术产品研制单位、测评单位、管理机构等相关方参考使用。
2
规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文
件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 20272 信息安全技术 操作系统安全技术要求
GB/T 20273 信息安全技术 数据库管理系统安全技术要求
GB/T 20988 信息安全技术 信息系统灾难恢复规范
GB/T 22239 信息安全技术 网络安全等级保护基本要求
GB/T 24363 信息安全技术 信息安全应急响应计划规范
GB/T 25069 信息安全技术 术语
GB/T 29765 信息安全技术 数据备份与恢复产品技术要求与测试评价方法
GB/T 29828-2013 信息安全技术 可信计算规范 可信连接架构
GB/T 30283 信息安全技术 信息安全服务 分类与代码
GB/T 35273 信息安全技术 个人信息安全规范
GB/T 36630.1 信息安全技术 信息技术产品安全可控评价指标 第1部分：总则
GB/T 36957 信息安全技术 灾难恢复服务要求
GB/T 38645 信息安全技术 网络安全事件应急演练指南
GB/T 39786-2021 信息安全技术 信息系统密码应用基本要求
GB/T 43269 信息安全技术 网络安全应急能力评估准则
GB/T 43696 网络安全技术 零信任参考体系架构
GB/T 43698 网络安全技术 软件供应链安全要求
GM/T 0002 SM4 分组密码算法
GM/T 0003 SM2 椭圆曲线公钥密码算法
GM/T 0004 SM3 密码杂凑算法
GM/T 0005 随机性检测规范
T/ ZISIA 02-2024 自主创新型网络安全技术 安全可信启动设计要求
T/ ZISIA 03-2024 自主创新型网络安全技术 计算基础环境安全要求
T/ ZISIA 04-2024 自主创新型网络安全技术 可信计算技术要求
3
术语和定义
GB/T 25069中界定的以及下列术语和定义适用于本文件。
1
T/ZISIA 01-2024
3.1
自主创新型 autonomous and innovative
信息技术产品的核心技术由国内生产厂商自主掌握，供应链不受其他国家实体的控制，且符合信息
技术产品安全可控评价标准的属性。
3.2
安全可控 controllability for security
信息技术产品具备的保证其应用数据支配权、产品控制权、产品选择权等不受损害的属性。
[来源:GB/T 36630.1-2018,3.2]
3.3
攻击面管理 attack surface management
持续发现、分析、监控和评估内部和外部所有资产以发现潜在暴露面、攻击向量和数字风险，并进
行优先排序、响应处置的过程。
3.4
自主创新型网络 autonomous and innovative cyber system
由自主创新型的信息技术产品构成的计算机应用系统，包括终端、服务器、云、工控系统、物联网
系统等计算平台，以及与计算平台关联的基础硬件、基础软件和应用软件等资源。
3.5
网络弹性 cyber resilience
系统能够预测、抵御、恢复、适应对抗条件、压力、攻击或者破坏的能力。
3.6
内置安全 build-in security
自主创新型的信息技术产品通过自身架构、功能模块和运行机制设计而形成的安全防护机制。
3.7
网络安全保险 cybersecurity insurance
财产保险的一种，承保因发生网络安全事件所造成的经济损失以及需承担的法定赔偿责任。
注：网络安全保险属于广义的财产保险范畴，数字资产等无形资产可作为该险种的保险标的。
3.8
内生安全 intrinsic security
自主创新型的网络安全产品与其他自主创新型的信息技术产品通过数据共享、功能协同而形成的安
全防护机制。
3.9
可信计算 trusted computing
一种主动防御技术，计算的同时进行安全防护，计算全程可测可控，不被干扰，使计算结果总是与
预期一致。
4
缩略语
ARP：地址解析协议（Address Resolution Protocol）
CPU：中央处理器(Central Processing Unit)
I/O：输入/输出(Input / Output)
LSM：Linux安全模块(Linux Security Module)
SDK：软件开发工具包(Software Development Kit)
TCM：可信密码模块(Trusted Cryptography Module)
TSB：可信软件基(Trusted Software Base)
2
T/ZISIA 01-2024
TPCM：可信平台控制模块(Trusted Platform Control Module)
5 概述
5.1 安全工作特点
自主创新型网络是基于自主创新型信息技术产品构建，相比于非自主创新型网络，自主创新型网络
安全防护工作具有以下特点：
a)
自主创新型网络一般应用于关键信息基础设施，安全防护要求高；
b)
自主创新型产品还没有经过大范围、长时间的应用验证，潜在的安全漏洞多；
c)
自主创新型网络安全产品的计算性能相对较低，导致自主创新型网络安全产品的防御能力相对
较弱；
d)
自主创新型信息技术产品可以植入更多安全能力，从而提升自主创新型信息技术产品的安全防
护能力；
e)
自主创新型安全产品可以与其他自主创新型信息技术产品进行信息交互，实现安全能力协同；
f)
网络安全运营团队可以了解自主创新型信息技术产品的特点，从而实施针对性的技术服务；
g)
自主创新型网络应用单位可以将网络安全防护情况反馈给自主创新型产品研制单位，从而支持
自主创新型产品进行相应的升级完善。
5.2
安全目标
自主创新型网络安全的目标包括：
a)
基于自主创新型信息技术产品构建，消除产品存在“后门”、供应链不可控等安全风险；
b)
通过计算与安全深度融合、产品与服务结合、安全能力协同等措施，提升网络安全防护能力；
c)
通过安全运营与安全风险管控等措施，保障自主创新型网络安全稳定运行，降低网络安全风险。
5.3
框架结构
自主创新型网络安全框架表示自主创新型网络安全体系的结构及其相互关系，包括自身安全防御、
专业安全防护、安全风险管控三个部分，如下图所示。
a)
自身安全防御表示信息技术产品本身具备的安全防护能力，主要由相关产品提供者在研发生产
阶段实现的安全防御机制构成，包括基础硬件安全、基础软件安全、应用软件安全以及云计
算平台安全等要求；
b)
专业安全防护表示自主创新型网络安全产品和服务所提供的安全保障能力，防范外部的网络威
胁，保障自主创新型网络不被入侵或破坏，主要包括通信网络、区域边界、计算环境三个层
面的安全防护，以及安全运营；
c)
安全风险管控表示在风险无法绝对消除、安全事故不可避免发生的情况下，实施风险降低和风
险转移措施，以保证自主可控网络所承载业务的可用性、连续性。
3
T/ZISIA 01-2024
自主创新型网络安全框架
自主创新型网络安全框架中各安全要素应能够进行协同，在应对网络威胁的实践中发挥整体作用，
实现纵深防御，保障网络弹性。
a)
自身安全防御各要素应实现能力协同，降低或消除网络安全威胁带来的风险，实现内置安全；
b)
专业安全防护机制应与自身安全防御机制相互配合，识别网络安全威胁、阻断网络攻击行为、
消除网络威胁载体等，实现内生安全；
c)
自身安全防御、专业安全防护、安全风险管控三部分互相配合，实现对网络攻击的预测、防护、
抵受、恢复和适应，提高网络弹性。
6
通用要求
对自主创新型网络及其组成部分的通用要求包括：
a）自主创新型网络的安全体系应与业务体系同步规划、同步建设、同步运营；
b）应符合相关国家标准的基本安全要求，在整体上至少应符合GB/T 22239中第三级的要求；
c）应根据T/ ZISIA 03-2024要求，建立安全的计算基础环境；
d）应基于国产化软硬件产品构建；
e）应使用国产密码算法执行加解密功能，在整体上应符合GB/T 39786-2021中第三级的要求；
f）应保障自主创新型网络核心产品的供应链安全，根据GB/T 43698要求开展软件供应链安全监测
和风险评估；
g）宜基于网络靶场对自主创新型信息技术产品进行安全性测试和自主可控能力测试；
4
T/ZISIA 01-2024
h）宜按照GB/T 43696要求建立零信任架构，对自主创新型网络的应用进行身份鉴别和访问控制；
i）宜对每项行为记录日志；
j）各部分安全能力宜对外提供调用接口或其他协同方式；
k）宜进行统一数据采集，然后提供给有相同数据分析需求的各功能模块进行分析，避免重复采集；
l）各部分宜将安全防护结果数据在自主创新型网络内部进行共享。
7 自身安全防御
7.1 基础硬件安全
基础硬件包括但不限于CPU、内存、固件、I/O设备、固态硬盘等产品，它们提供了计算平台运行
所需的基本计算和运行能力。
常见基础硬件的安全能力要求包括但不限于：
a)
CPU安全机制：
1)
支持密码加速引擎，具备专用的硬件密码加速引擎或密码加速指令，支持国产商用密码算
法，并具备专用的物理随机源以产生标准随机数；
2)
支持可信执行环境，支持将硬件资源隔离成安全资源和普通资源，包括但不限于处理器核、
系统总线、存储资源、外围设备等，支持安全内存加密，防止敏感数据泄漏；
3)
支持安全可信启动，启动流程应符合T/ZISIA 02-2024所规定的要求。
b)
内存安全机制：
1)
支持内存划分成安全域和默认域，且非安全请求不能访问安全域内存；
2)
支持内存加密。
c)
固件安全机制：
1)
支持固件内容校验；
2)
支持固件版本检查；
3)
支持固件备份。
d)
I/O设备安全机制：
1)
支持I/O设备安全属性；
2)
I/O设备设置成安全设备时，只有安全访问请求才可以访问该设备。
7.2
基础软件安全
基础软件包括但不限于操作系统、中间件、数据库等产品，为硬件提供管理和控制的功能，同时为
上层系统应用提供运行环境及基础，协调并管理底层计算资源。
常见基础软件的安全能力要求包括但不限于：
a)
操作系统自有安全机制：
1)
应符合安全可靠测评要求；
2)
应满足GB/T 20272第三级以上要求；
3)
应内置国家电子认证根CA的根证书；
4)
在硬件支持的前提下，应支持CPU内置安全功能；
5)
应支持防止ARP欺骗攻击；
6)
应支持GM/T 0002、GM/T 0003和GM/T 0004中规定的密码算法；
7)
应支持随机数生成，随机数质量通过GM/T 0005中的符合性测试；
8)
应提供LSM统一访问控制安全框架；
9)
宜支持静态文件度量和动态内存度量，保障特定文件及内存中运行程序的完整性；
10) 宜支持机密计算框架，提供机密计算SDK，能接入一种以上可信执行环境；
5
T/ZISIA 01-2024
11) 宜支持内核完整性保护，保障内核不被非授权改变；
12) 宜提供内核模块加载黑名单机制；
13) 宜支持系统管理员、安全管理员、审计管理员分权管理。
b)
中间件安全机制：应符合GB/T 22239中第三级的安全通用要求中安全计算环境的基本要求；
c)
数据库安全机制：数据库管理系统及其管理数据库对象应符合GB/T 20273-2019中规定的要求。
7.3
应用软件安全
应用软件是计算平台的最上层功能载体，直接为用户提供功能与服务，使用户能够完成特定的任务
和操作。
应用软件的安全能力要求包括但不限于：
a)
采用安全编码实践，避免常见的安全漏洞，如缓冲区溢出、代码注入等，所有代码应受第三方
权威代码检测机构认证；
b)
应符合GB/T 35273标准规定的个人信息安全的基本要求；
c)
应符合GB/T 22239中第三级的安全通用要求中安全计算环境的基本要求与其他关于应用软件
安全的基本要求；
d)
应用软件应只能访问其需要的资源，并限制对系统关键部分的访问；
e)
对敏感数据进行加密存储，并使用安全的传输协议，保护数据在传输和存储过程中的安全性；
f)
对用户输入进行严格验证和过滤，以防止恶意输入导致的安全漏洞；
g)
记录用户操作、系统事件和安全相关信息，以便进行安全审计和故障排查；
h)
确保应用软件能够及时接收并应用安全更新，以保持应用软件的安全性；
i)
及时修复发现的安全漏洞，通过更新版本或补丁来提高应用软件的安全性。
7.4
云计算平台安全
云计算平台安全能力要求包括但不限于以下内容：
a)
云计算平台符合自主创新型要求，包括但不限于以下内容：
1)
云平台管理软件为自主研发，核心模块具备自主知识产权；
2)
宿主机、虚拟机以及云平台操作系统均运行国产操作系统，或具备自主知识产权；
3)
云平台所使用的服务器和运维终端应为国产化产品。
b)
云平台的宿主机在硬件及固件等方面进行可信安全增强，基于可信根对物理服务器、云服务器、
裸金属等计算设备进行可信验证；
c)
具备容器镜像安全能力，在容器构建和部署阶段，采用密码学、可信计算、容器集群等技术，
实现容器镜像签名验签、容器镜像部署的准入控制、可信容器部署异常告警，防止软件和硬
件的供应链攻击；
d)
具备容器运行时的安全防护能力，对运行时容器的漏洞进行扫描，对容器内运行程序的异常行
为进行检测，对容器系统和容器文件进行访问控制，对恶意入侵的行为进行检测和阻断等；
e)
通过云安全中心对云上安全事件进行统一的管理和处置，同时利用云上大数据和AI的能力进
行高级威胁分析，识别未知攻击和安全风险；
f)
具备数据分类分级、数据加密、数据脱敏、数据水印等保护能力，实现对云平台以及业务数据
的安全防护；对敏感数据进行完整性和保密性的加密保护，并设置访问控制和审计机制，记
录数据的使用和操作，防止数据泄露；
g)
具备数据安全风险检测和风险事件处置能力，对云上数据访问和数据操作的异常行为进行全流
程监控和审计，对数据泄露风险进行及时响应处置；
h)
具备可视化能力展示云平台的全局数据安全风险态势；
6
T/ZISIA 01-2024
i) 云计算平台的基本安全能力，应符合GB/T 22239中第三级的安全通用要求与云计算安全扩展要
求。
8 专业安全防护
8.1 通信网络安全防护
自主创新型网络各部分进行通信时，应合理设计网络架构，通过密码技术保证数据的完整性和保密
性，并对通信设备进行可信验证，应符合GB/T 22239中第三级关于安全通信网络的要求。
8.2
区域边界安全防护
应在自主创新型网络的区域边界采取一定的安全措施实现对边界内部的保护，包括但不限于授权接
入、访问控制、入侵防范等内容，应符合GB/T 22239中第三级关于安全区域边界的要求。
8.3
计算环境安全防护
应对自主创新型网络区域边界内部的计算设备，实施身份鉴别、访问控制、安全审计、入侵防范、
恶意代码防范等控制措施，应符合GB/T 22239中第三级关于安全计算环境的要求。
8.4
网络安全运营
自主创新型网络安全运营的要求包括：
a)
应建立安全管理中心，对自主创新型网络的安全情况进行集中管控，应符合GB/T 22239中第三
级关于安全管理中心的要求；
b)
自主创新型网络安全运维工作应符合GB/T 22239中第三级关于安全运维管理的要求；
c)
在建设安全运营体系过程中无法覆盖所有安全要素时，应根据GB/T 30283中规定的类别，针对
性地引入专业的安全服务；
d)
宜开展攻击面管理（ASM）能力建设，重点关注资产识别、攻击面识别、风险分析、收敛和
验证以及持续监控能力。
9 安全风险管控
9.1 风险降低
9.1.1 备份与恢复
备份与恢复的要求包括：
a)
应对自主创新型网络、业务、业务系统及数据等资产建立完善的备份与恢复机制；
b)
应能够对需要备份的重要业务信息、系统数据及软件等进行识别，并进行相应备份和恢复的规
划和实施，其中：
1)
备份与恢复的规划应根据GB/T 20988-2007进行需求的确定与策略的制定；
2)
备份与恢复的实施应符合GB/T 22239中第三级关于备份和恢复管理的要求；
3)
对于采购的备份与恢复服务，服务提供方应符合GB/T 36957-2018中规定的关于灾难恢复
服务的要求；
4)
对于采购的备份与恢复产品，应符合GB/T 29765-2021中规定的备份与恢复产品技术要求；
5)
宜基于云灾备平台对存储在云计算平台上的业务数据和关键应用系统进行备份和恢复。
9.1.2
响应与处置
响应与处置的要求包括：
7
T/ZISIA 01-2024

a) 应结合自身业务架构，进行风险分析，并针对不同风险场景、风险等级制定安全应急响应计划，
开展网络安全事件应急演练。其中：
1)
安全应急响应计划的制定应符合GB/T 24363-2009中的规范，以及GB/T 22239中第三级关
于应急预案管理的要求；
2)
网络安全事件应急演练应参考GB/T 38645-2020中给出的指南开展。
b)
应根据法律法规、政策监管要求，依据GB/T 43269-2023中的评估准则建立相应等级的网络安
全应急能力；
c)
在响应与处置安全事件过程中应实施的措施包括但不限于：
1)
攻击测绘：对网络威胁和攻击者发起追踪溯源，分析并发现更多威胁情报，为安全防御体
系的迭代充实情报基础；
2)
审计核查：对安全事件开展复盘分析，通过日志分析推演攻击路径，发现攻击遗留痕迹；
3)
防御迭代：基于攻击测绘、审计核查或其他响应处置工作的结果，对现有系统及网络的安
全防御体系进行迭代，包括但不限于升级防护技术、扩充威胁情报库、重构安全防护体
系、修补系统或网络缺陷等。
9.2
风险转移
9.2.1
网络安全保险
自主创新型网络运营单位可购买网络安全保险作为风险转移的手段，用于对无法绝对消除的、无法
预测的网络安全风险进行兜底，通过经济补偿的形式减少安全风险所造成的负面影响。网络安全保险的
应用过程包括以下内容：
a)
开展量化风险评估。由保险人委托第三方服务方对被保险人开展网络安全风险评估，以货币损
失为量化单位，评估出不同威胁场景下的经济损失情况，为保险核保提供直接参考依据。评
估内容包括但不限于：
1)
评估网络资产分布情况；
2)
评估安全脆弱性情况；
3)
评估安全控制措施实施情况；
4)
评估资产及其相关业务的货币化价值；
5)
评估业务的网络安全风险偏好，决策安全风险控制体系的关注点；
6)
处置评估过程中识别的风险，降低风险水平。
b)
开展保险期间风险监测。在投保评估、核保流程结束后，网络安全保险生效。被保险人除正常
开展日常网络安全运营工作外，可采用第三方服务方的保险期间安全服务，加强网络安全风
险管控，包括但不限于以下内容：
1)
定期网络安全风险监测；
2)
钓鱼邮件演练；
3)
远程渗透测试。
c)
开展出险后评估定损。发生网络安全事件后，除应急响应、备份恢复等风险降低措施外，被保
险人应及时向保险人报案，配合开展安全事件鉴定与损失分析工作，为保险理赔提供直接参
考依据，包括但不限于以下内容：
1)
安全事件鉴定。对所发生的网络安全事件进行分析、还原及技术评估；
2)
损失调查分。通过技术手段收集安全事件对组织造成影响的证据，以支持保险人进行损失
评估。
9.2.2
其他风险转移方式
8
T/ZISIA 01-2024
除网络安全保险外，自主创新型网络运营单位可通过以下方式实现网络安全风险转移：
a)
安全服务外包。将网络安全职能和责任外包给专业第三方服务商，包括但不限于安全运营中心、
安全服务提供商等。通过外包，可以将网络安全管理风险的责任转移给转移团队，同时获得
更好的专业安全保障；
b)
合同和条款约束。在与供应商、合作伙伴和客户签订合同时，可通过合同条款将网络安全责任
和风险转移给对方。例如，在合同中约定对方承担数据泄露或供应链安全漏洞造成的损失责
任；
c)
分散和多元化。通过在多个地理位置、多个供应商、多个信息系统之间分散关键业务与数据，