网络数据安全风险评估
网络数据安全风险评估相关的法规
法律
数据安全法
我国数据安全领域的基础性法律，建立数据分类分级保护制度、数据安全审查制度、数据安全风险评估报告与信息共享机制、数据安全应急处置机制、数据出口管制制度、对等反制措施。明确核心数据、重要数据和国家核心数据的保护要求，规定数据处理者开展数据活动应建立健全全流程数据安全管理制度，组织开展数据安全教育培训。对数据出境实行安全评估管理，对违反数据安全保护义务的行为设置严厉的法律责任（最高可达一千万元罚款）。
行政法规
网络数据安全管理条例
本条例细化网络数据处理活动的安全管理要求，明确网络数据处理者主体责任，规范个人信息保护、重要数据安全、网络数据跨境传输与网络平台服务提供者义务，要求建立安全管理制度、事件应急预案、风险评估与合规审计机制，强化大型平台特殊义务、算法公平与网络身份认证，对违法行为设定警告、罚款、停业整顿、吊销许可等处罚。
部门规章
网络数据安全风险评估办法
国家网信办、工信部、公安部联合公布，自2026年8月20日起施行。办法规范境内网络数据安全风险评估活动，建立多部门协同监管机制。要求重要数据处理者每年开展风险评估，数据安全状态发生重大变化时即时评估；一般数据处理者建议每3年评估一次。可自行或委托第三方机构开展，对评估机构资质、连续评估回避及保密义务作出规定。
标准
网络安全标准实践指南 - 网络数据安全风险评估实施指引
本指南依据网络安全法、数据安全法、个人信息保护法及相关国家标准，提出网络数据安全风险评估的思路、流程与内容，围绕数据安全管理、数据处理活动、数据安全技术和个人信息保护等方面识别风险隐患，适用于数据处理者自评估、第三方机构评估及监管部门检查评估，旨在发现数据安全问题、防范安全风险、提升整体数据安全保护水平。
GB/T 20984-2007 信息安全技术 信息安全风险评估规范
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该标准是国内首项信息安全风险评估国家标准，规定风险评估的基本概念、要素关系、实施流程与评估方法，明确资产、威胁、脆弱性与安全措施的关联分析框架，是后续各类风险评估与检查工作的总纲性依据。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。
GB/Z 24364-2009 信息安全技术 信息安全风险管理指南
国家质量监督检验检疫总局、国家标准化管理委员会2009年10月9日发布国家标准公告，2009年12月1日实施。该指导性技术文件给出信息安全风险管理指南，规定风险管理的组织架构、实施过程与评价改进要求，指导组织建立常态化的信息安全风险管理工作机制。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。，可与相关管理制度与技术措施配套使用
GB/T 31509-2015 信息安全技术 信息安全风险评估实施指南
国家质量监督检验检疫总局、国家标准化管理委员会2015年5月15日经国家标准公告2015年第15号发布，2016年1月1日实施。该标准规定信息安全风险评估实施指南，细化风险评估的准备、识别、分析与结论各环节操作要求，与风险评估规范配套使用，是开展自评估与检查评估的实施依据。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。
GB/T 31722-2015 信息技术 安全技术 信息安全风险管理
国家质量监督检验检疫总局、国家标准化管理委员会2015年6月2日经国家标准公告2015年第19号发布，2016年2月1日实施。该标准等同采用 ISO/IEC 27005，规定信息安全风险管理的过程与要求，明确风险识别、估计、评价与处置的闭环方法，是组织建立风险管理体系的国际接轨依据。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。
GB/T 33132-2016 信息安全技术 信息安全风险处理实施指南
国家质量监督检验检疫总局、国家标准化管理委员会2016年10月13日经国家标准公告2016年第17号发布，2017年5月1日实施。该标准规定信息安全风险处理实施指南，明确风险处置策略选择、措施实施与残余风险评价要求，是风险管理闭环中风险处置环节的实施依据。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。，可与相关管理制度与技术措施配套使用
GB/T 36959-2026 网络安全技术 网络安全等级保护测评机构能力要求和评估规范
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 36959-2026《网络安全技术 网络安全等级保护测评机构能力要求和评估规范》，自2026-12-01起实施，代替GB/T 36959-2018。该标准规定了网络安全等级保护测评机构在人员、设备、管理与质量体系方面的能力要求及评估方法，适用于测评机构的遴选与监督管理。
GB/T 18336.1-2024 网络安全技术 信息技术安全评估准则 第1部分：简介和一般模型
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-1，规定信息技术产品安全评估的一般模型与概念框架，明确保护轮廓、安全目标与评估保障级的构成关系，是CC评估体系的基础性标准，为网络安全产品认证与安全能力等级划分提供方法论依据。
GB/T 18336.2-2024 网络安全技术 信息技术安全评估准则 第2部分：安全功能组件
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-2，规定信息技术产品安全功能要求的标准化组件库，涵盖身份鉴别、访问控制、审计、密码支持与数据保护等族类，供保护轮廓与安全目标编制时选取组合，是安全功能需求工程化表达的核心依据。
GB/T 18336.3-2024 网络安全技术 信息技术安全评估准则 第3部分：安全保障组件
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-3，规定安全保障要求的标准化组件与评估保障级划分，覆盖开发、指导性文档、生命周期支持、测试与脆弱性评定等保障族，为评估机构判定产品安全保障强度提供分级依据。
GB/T 18336.4-2024 网络安全技术 信息技术安全评估准则 第4部分：评估方法和活动的规范框架
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-4，规定信息技术安全评估的方法与活动规范框架，明确评估输入、评估证据、评估结论与评估监督的要求，统一评估实施流程与交付物形式，提升安全评估结论的一致性与可比性。
GB/T 18336.5-2024 网络安全技术 信息技术安全评估准则 第5部分：预定义的安全要求包
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-5，给出若干预定义的安全要求包，将常用安全功能组件与保障组件按典型应用场景组合封装，供保护轮廓与安全目标编制直接引用，降低安全需求编制门槛并减少重复论证成本。
GB/T 30270-2024 网络安全技术 信息技术安全评估方法
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定信息技术产品与系统安全评估的实施方法，涵盖评估准备、证据收集、脆弱性分析、渗透测试与结果判定各环节，明确评估人员能力与环境要求，为第三方安全评估、等保测评与产品认证提供可操作的流程规范。
GB/T 43696-2024 网络安全技术 零信任参考体系架构
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准给出零信任安全参考体系架构，明确主体、资源、策略引擎、策略管理器与策略执行点等核心组件及其交互关系，规定持续信任评估与动态访问控制机制，是国内零信任领域的基础性标准，指导企业从边界防护转向身份与数据为中心的防护。
GB/T 43698-2024 网络安全技术 软件供应链安全要求
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定软件供应链各环节的安全要求，覆盖需求、开发、构建、交付、运维与停用全生命周期，明确第三方组件管理、开源代码治理、构建环境防护与软件物料清单要求，是应对软件供应链投毒与开源漏洞风险的重要合规依据。
GB/T 43741-2024 网络安全技术 网络安全众测服务要求
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定网络安全众测服务的组织与实施要求，明确平台、测试人员、被测方三方责任边界，规范授权范围、漏洞提交、复现验证、信息披露与奖励结算流程，防范众测过程中的越权测试与数据泄露风险，促进漏洞众测活动合规有序开展。
GB/T 43848-2024 网络安全技术 软件产品开源代码安全评价方法
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定软件产品所使用开源代码的安全评价方法，涵盖成分识别、许可证合规分析、已知漏洞匹配与风险等级评定，明确评价流程与结果表达方式，为企业开展开源治理、履行软件供应链安全义务提供可量化的评价工具。
GB/T 20279-2024 网络安全技术 网络和终端隔离产品技术规范
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准规定网络与终端隔离产品的安全功能与性能要求，明确数据摆渡、协议剥离、内容审计与单向导入等机制的技术指标，适用于涉密网与互联网之间的安全隔离与数据交换场景，是分级防护体系的关键产品标准。
GB/T 22081-2024 网络安全技术 信息安全控制
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准等同采用ISO/IEC 27002，给出组织建立信息安全管理体系可选取的控制措施集合，涵盖组织、人员、物理、技术四大类控制及其实施指南，是GB/T 22080认证落地与信息安全风险处置的核心参考文件。
GB/T 44462.1-2024 工业互联网企业网络安全 第1部分：应用工业互联网的工业企业防护要求
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年1月1日实施。该标准规定应用工业互联网的工业企业在网络、设备、控制、应用与数据方面的安全防护要求，明确边界隔离、身份认证、安全监测与应急处置措施，是工业企业落实工业互联网安全分类分级管理的配套技术标准。
GB/Z 174.3-2026 工业过程测量控制和自动化 智能制造 第3部分：网络安全面临的挑战
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第19号发布并同步实施。该文件识别智能制造场景下工业控制系统面临的网络安全挑战，分析IT与OT融合、远程运维、供应链接入带来的攻击面扩展，梳理纵深防护、资产可见性与安全监测等应对方向，为制造企业规划安全建设提供参考。
GB/T 42453-2023 信息安全技术 网络安全态势感知通用技术要求
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定网络安全态势感知系统的通用技术要求，覆盖数据采集、态势理解、态势评估与态势预测等能力域，明确系统架构、数据接口、性能指标与安全自管要求，是各单位建设态势感知平台并开展监测预警的核心依据。
GB/T 20274.1-2023 信息安全技术 信息系统安全保障评估框架 第1部分：简介和一般模型
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定信息系统安全保障评估的一般模型与概念框架，明确保障目标、保障要素与保障证据之间的对应关系，给出评估等级划分思路与实施路径，为信息系统安全评估体系建设与评估结果互认提供顶层方法论。
GB/T 20986-2023 信息安全技术 网络安全事件分类分级指南
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定网络安全事件的分类方法与分级规则，按事件性质、影响范围、危害程度与业务关联性划分等级，明确各类事件的判定要素与典型示例，是网络安全事件报告、应急响应与信息通报制度运行的基础性标准。
GB/T 32916-2023 信息安全技术 信息安全控制评估指南
国家市场监督管理总局、国家标准化管理委员会2023年9月7日经国家标准公告2023年第9号发布，2024年4月1日实施。该标准提供信息安全控制措施有效性的评估指南，规定评估准备、控制设计合理性测试与运行有效性测试的方法，帮助组织判断已有安全措施是否达到预期目标，为合规自评、内部审计与第三方评估提供方法论。
GB/T 43557-2023 信息安全技术 网络安全信息报送指南
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年7月1日实施。该标准给出网络安全信息报送的指南，明确报送主体、报送内容、时限要求与信息格式，规范事件、威胁、漏洞与风险等信息的报送流程，为网络安全信息共享与通报机制运行、监管态势掌握提供可操作依据。
GB/Z 42885-2023 信息安全技术 网络安全信息共享指南
国家市场监督管理总局、国家标准化管理委员会2023年8月6日经国家标准公告2023年第7号发布，2024年3月1日实施。该指导性技术文件给出网络安全信息共享的指南，规定共享参与方角色、共享内容分级、共享流程与保护措施，明确敏感信息脱敏、共享边界控制与责任划分要求，为行业与跨部门威胁情报共享提供规范。
GB/T 43577.1-2023 信息安全技术 电子发现 第1部分：概述和概念
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年7月1日实施。该标准等同采用ISO/IEC 27050-1，规定电子发现的概述与基本概念，明确电子证据识别、保全、收集与出示的流程框架，为组织在诉讼与调查中合规处理电子数据提供基础概念体系。
GB/T 42926-2023 金融信息系统网络安全风险评估规范
国家市场监督管理总局、国家标准化管理委员会2023年8月6日经国家标准公告2023年第7号发布，2023年12月1日实施。该标准规定金融信息系统网络安全风险评估的规范，明确评估准备、资产识别、威胁与脆弱性分析、风险计算与处置建议的完整流程，为金融机构开展年度风险评估、监管报送与整改闭环提供统一方法。
GB 42250-2022 信息安全技术 网络安全专用产品安全技术要求
国家市场监督管理总局、国家标准化管理委员会2022年12月29日经国家标准公告2022年第19号发布，2023年7月1日实施。该标准为强制性国家标准，规定网络安全专用产品在安全功能、安全保障与安全管理三方面应达到的最低要求，覆盖访问控制、入侵防范、安全审计与数据保护等能力域，适用于产品研制、检测认证与销售准入，是网络安全专用产品强制认证的核心技术依据。
GB/T 33561-2017 信息安全技术 安全漏洞分类
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该标准规定信息安全漏洞的分类方法与类别描述，覆盖代码缺陷、配置错误与设计缺陷等类型，为漏洞库建设、风险评估与通报处置提供统一的分类语言，支撑漏洞信息共享与协同处置。，为网络运营者落实安全保护义务提供技术参照。
GB/T 31497-2024 信息技术 安全技术 信息安全管理 监视、测量、分析和评价
国家市场监督管理总局、国家标准化管理委员会2024年3月15日经国家标准公告2024年第1号发布，2024年10月1日实施。该标准规定信息安全管理体系监视、测量、分析和评价的要求与实施指南，明确指标设计、数据收集与结果评价方法，帮助组织量化评估安全控制有效性并持续改进，支撑合规审计。，为网络运营者落实安全保护义务提供技术参照。
GB/T 44585.1-2024 风险管理在接入IT网络的医疗器械中的应用 第1部分：联网医疗器械或健康软件在其实施和使用中的安全、有效性和网络安全
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2026年4月1日实施。该标准规定接入IT网络的医疗器械与健康软件在实施和使用中的风险管理要求，明确网络安全、数据安全与有效性评价方法，为医疗健康设备联网场景的合规与风险处置提供指南。，为网络运营者落实安全保护义务提供技术参照。
GB/T 20269-2006 信息安全技术 信息系统安全管理要求
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准规定信息系统安全管理的安全管理要求，覆盖安全策略、组织机构、人员管理、资产管理、访问控制与应急管理等管理要素，是等保体系下信息系统安全管理建设与监督检查的基础性依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 20274.1-2006 信息安全技术 信息系统安全保障评估框架 第一部分：简介和一般模型
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准为信息系统安全保障评估框架的第一部分，给出简介和一般模型，提出以安全概念、安全属性与安全目标为核心的信息系统安全保障评估模型，为后续技术、管理、工程保障各部分提供统一框架。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 20261-2006 信息技术 系统安全工程 能力成熟度模型
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年7月1日实施。该标准等同采用系统安全工程能力成熟度模型（SSE-CMM），规定系统安全工程过程的能力成熟度等级与评估方法，为组织衡量和改进安全工程能力提供模型化工具。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/Z 20283-2006 信息安全技术 保护轮廓和安全目标的产生指南
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该指导性技术文件给出保护轮廓和安全目标的产生指南，规定二者编写的结构、内容要素与表述要求，是开展信息技术产品与系统安全评估时编制评估依据文档的方法指导。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该指导性技术文件给出信息安全事件分类分级指南，按事件来源与危害程度划分事件类别与级别，为信息安全事件报告、研判与响应处置提供统一口径。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/Z 20985-2007 信息技术 安全技术 信息安全事件管理指南
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该指导性技术文件给出信息安全事件管理指南，规定事件管理的规划准备、检测报告、评估处置与总结改进流程，指导组织建立健全信息安全事件管理体系。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 20945-2007 信息安全技术 信息系统安全审计产品技术要求和测试评价方法
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年12月1日实施。该标准规定信息系统安全审计产品的技术要求和测试评价方法，明确审计数据采集、事件分析与报表输出等功能，是安全审计产品检测与部署应用的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 22081-2008 信息技术 安全技术 信息安全管理实用规则
国家质量监督检验检疫总局、国家标准化管理委员会2008年7月29日发布国家标准公告，2008年11月1日实施。该标准等同采用 ISO/IEC 27002，给出信息安全管理实用规则，涵盖安全方针、资产管理、访问控制、密码学、物理与环境安全、事件管理等控制项，是组织建立信息安全管理体系的控制措施集。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 20274.2-2008 信息安全技术 信息系统安全保障评估框架 第2部分：技术保障
国家质量监督检验检疫总局、国家标准化管理委员会2008年10月31日发布国家标准公告，2008年12月1日实施。该标准为信息系统安全保障评估框架第二部分，规定技术保障要求，从安全技术功能与技术实现层面提出保障要求，与管理和工程保障共同构成完整评估框架。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 24363-2009 信息安全技术 信息安全应急响应计划规范
国家质量监督检验检疫总局、国家标准化管理委员会2009年10月9日发布国家标准公告，2009年12月1日实施。该标准规定信息安全应急响应计划规范，明确应急响应的组织、预案编制、演练与处置流程要求，是组织提升安全事件应急处置能力的重要依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 25058-2010 信息安全技术 信息系统安全等级保护实施指南
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定信息系统安全等级保护实施指南，明确等保定级、备案、建设整改、等级测评与监督检查各环节要求，是网络安全等级保护制度落地实施的核心操作依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 25070-2010 信息安全技术 信息系统等级保护安全设计技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定信息系统等级保护安全设计技术要求，从总体设计、区域边界、通信网络与计算环境等方面提出分等级的安全设计技术要求，是等保建设整改的设计依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 28448-2012 信息安全技术 信息系统安全等级保护测评要求
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定信息系统安全等级保护测评要求，明确各安全保护等级在技术要求与管理要求方面的测评指标，是等级测评机构开展等保测评工作的核心技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28449-2012 信息安全技术 信息系统安全等级保护测评过程指南
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定信息系统安全等级保护测评过程指南，明确测评准备、方案编制、现场测评与报告编制各阶段任务，规范等级测评实施过程与成果输出。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28453-2012 信息安全技术 信息系统安全管理评估要求
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定信息系统安全管理评估要求，从安全管理机构、制度、人员与建设运维等方面提出评估指标，是开展信息系统安全管理状况评估的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28458-2012 信息安全技术 安全漏洞标识与描述规范
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定安全漏洞标识与描述规范，统一漏洞编号、属性描述与严重性分级要求，为漏洞信息共享、风险评估与应急通报提供统一数据格式。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28517-2012 网络安全事件描述和交换格式
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定网络安全事件描述和交换格式，统一安全事件的属性要素、描述结构与交换格式，为跨组织安全事件信息共享与协同处置提供基础。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 30276-2013 信息安全技术 信息安全漏洞管理规范
国家质量监督检验检疫总局、国家标准化管理委员会2013年12月31日经国家标准公告2013年第27号发布，2014年7月15日实施。该标准规定信息安全漏洞管理规范，明确组织内部漏洞发现、评估、处置与披露的管理流程，是建立漏洞全生命周期管理机制的通用依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 30279-2013 信息安全技术 安全漏洞等级划分指南
国家质量监督检验检疫总局、国家标准化管理委员会2013年12月31日经国家标准公告2013年第27号发布，2014年7月15日实施。该标准规定安全漏洞等级划分指南，按漏洞利用条件与危害程度划分严重性等级，为漏洞定级、风险排序与修复时限确定提供统一尺度。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 30273-2013 信息安全技术 信息系统安全保障通用评估指南
国家质量监督检验检疫总局、国家标准化管理委员会2013年12月31日经国家标准公告2013年第27号发布，2014年7月15日实施。该标准规定信息系统安全保障通用评估指南，明确评估原则、评估内容与评估实施方法，为信息系统安全保障能力评估提供通用框架。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 18336.1-2015 信息技术 安全技术 信息技术安全评估准则 第1部分：简介和一般模型
国家质量监督检验检疫总局、国家标准化管理委员会2015年5月15日经国家标准公告2015年第15号发布，2016年1月1日实施。该标准等同采用 ISO/IEC 15408 第一部分，规定信息技术安全评估准则的简介和一般模型，确立安全功能与安全保证组件的评估框架，是信息技术产品安全测评的基础准则。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 32923-2016 信息技术 安全技术 信息安全治理
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定信息安全治理要求，明确组织信息安全治理的原则、责任分配与绩效评价机制，指导决策层建立信息安全治理架构。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 32924-2016 信息安全技术 网络安全预警指南
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定网络安全预警指南，明确预警分级、信息发布与响应联动要求，为网络安全威胁预警与通报处置提供工作依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 45940-2025 网络安全技术 网络安全运维实施指南
国家市场监督管理总局、国家标准化管理委员会2025年8月1日经国家标准公告2025年第19号发布，2026年2月1日实施。该标准规定网络安全运维实施指南，明确安全运维的组织、流程、工具与考核要求，指导组织建立规范化、可度量的网络安全运维体系。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/T 46933.2-2025 智能工厂安全一体化 第2部分：风险评估要求
国家市场监督管理总局、国家标准化管理委员会2025年12月31日经国家标准公告2025年第38号发布，2026年7月1日实施。该标准为智能工厂安全一体化第二部分，规定风险评估要求，明确智能工厂功能安全与信息安全融合风险评估的方法与判定准则。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 34942-2017 信息安全技术 云计算服务安全能力评估方法
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年5月1日实施。该标准规定云计算服务安全能力评估方法，从系统开发与供应链、系统与通信保护、访问控制、配置管理、维护与应急响应等方面给出评估指标与实施方法。是党政部门云计算服务安全审查的配套评估方法标准。为云服务采购方开展第三方安全评估提供可操作工具。
GB/T 36466-2018 信息安全技术 工业控制系统风险评估实施指南
国家市场监督管理总局、国家标准化管理委员会2018年6月7日经国家标准公告2018年第9号发布，2019年1月1日实施。该标准给出工业控制系统风险评估实施指南，规定风险评估的准备、识别、分析、评价与处置流程，覆盖工控系统资产、威胁、脆弱性与已有措施分析。是工控系统运营单位开展年度风险评估的方法学依据。与关键信息基础设施安全保护要求形成配套。
GB/T 36627-2018 信息安全技术 网络安全等级保护测试评估技术指南
国家市场监督管理总局、国家标准化管理委员会2018年9月17日经国家标准公告2018年第11号发布，2019年4月1日实施。该标准给出网络安全等级保护测试评估技术指南，规定等级测评的测试内容、测试方法与技术要求，覆盖物理环境、网络、主机、应用与数据安全。是等级保护测评实施与测评报告编制的技术依据。对第三级以上系统年度测评具有直接指导意义。
GB/T 36637-2018 信息安全技术 ICT供应链安全风险管理指南
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准给出ICT供应链安全风险管理指南，明确ICT供应链各环节的安全风险识别、评估与处置方法，覆盖采购、开发、交付与运维全过程。是关键信息基础设施供应链安全管理的指导性标准。为信息技术产品安全可控评价与采购审查提供参考。
GB/T 28449-2018 信息安全技术 网络安全等级保护测评过程指南
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准规定网络安全等级保护测评过程指南，明确测评准备、方案编制、现场测评与报告编制四个阶段的测评活动与工作要求。是等级保护测评机构规范开展测评的过程性依据。与测评要求、测评机构能力要求标准配套使用。
GB/T 36959-2018 信息安全技术 网络安全等级保护测评机构能力要求和评估规范
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准规定网络安全等级保护测评机构的能力要求和评估规范，明确测评机构的组织、人员、设备、管理与质量保证要求及评估方法。是等级保护测评机构遴选与监督管理的重要依据。对规范测评市场、保证测评质量具有制度性作用。
GB/T 25070-2019 信息安全技术 网络安全等级保护安全设计技术要求
国家市场监督管理总局、国家标准化管理委员会2019年5月10日经国家标准公告2019年第6号发布，2019年12月1日实施。该标准规定网络安全等级保护安全设计技术要求，明确不同等级系统在安全物理环境、通信网络、区域边界与计算环境方面的设计技术要求。是等级保护对象建设整改与安全方案设计的核心依据。为第三级以上系统的安全设计提供分等级技术指导。
GB/T 28448-2019 信息安全技术 网络安全等级保护测评要求
国家市场监督管理总局、国家标准化管理委员会2019年5月10日经国家标准公告2019年第6号发布，2019年12月1日实施。该标准规定网络安全等级保护测评要求，明确各等级系统在技术与管理层面的测评指标、测评方法与结果判定规则，是等级测评的核心技术标准。与测评过程指南、安全设计技术要求共同构成等保标准体系。是监管部门开展等级保护监督检查的主要技术依据。
GB/T 25058-2019 信息安全技术 网络安全等级保护实施指南
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准给出网络安全等级保护实施指南，明确等级保护实施的定级、备案、建设整改、等级测评与监督检查五个阶段的工作要求与方法。是运营使用单位组织开展等级保护工作的方法学依据。覆盖系统全生命周期的等保实施流程与关键活动。
GB/T 37962-2019 信息安全技术 工业控制系统产品信息安全通用评估准则
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定工业控制系统产品的信息安全通用评估准则，明确评估对象、安全功能要求与保障要求及评估方法，支撑工控产品安全测评。是工控产品安全认证与采购选型的重要评估依据。对关键信息基础设施供应链安全审查具有参考价值。
GB/T 37980-2019 信息安全技术 工业控制系统安全检查指南
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准给出工业控制系统安全检查指南，规定检查内容、检查方法与结果处置要求，覆盖工控系统的安全管理、技术防护与应急能力。是工控系统运营单位与监管部门开展安全检查的依据。对关键信息基础设施年度检查具有直接适用价值。
GB/T 38318-2019 电力监控系统网络安全评估指南
国家市场监督管理总局、国家标准化管理委员会2019年12月10日经国家标准公告2019年第14号发布，2020年7月1日实施。该标准给出电力监控系统网络安全评估指南，明确评估内容、评估方法与风险判定准则，覆盖电力监控系统的结构安全与本体安全。是电力行业关键信息基础设施安全评估的重要依据。为电力监控系统年度安全评估提供标准化方法。
GB/T 22240-2020 信息安全技术 网络安全等级保护定级指南
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准规定网络安全等级保护的定级指南，明确等级保护对象的定级要素、定级流程与等级确定方法，是等级保护工作的首要环节依据。定级结果直接决定后续建设整改与测评的等级要求。对运营者准确识别重要系统与重要数据具有基础作用。
GB/T 38645-2020 信息安全技术 网络安全事件应急演练指南
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准给出网络安全事件应急演练指南，明确演练的组织、准备、实施与总结改进要求，覆盖事件发现、研判、处置与恢复。是运营者检验与提升网络安全应急响应能力的依据。对应急预案有效性验证与演练常态化具有指导意义。
GB/T 20261-2020 信息安全技术 系统安全工程 能力成熟度模型
国家市场监督管理总局、国家标准化管理委员会2020年11月19日经国家标准公告2020年第26号发布，2021年6月1日实施。该标准规定系统安全工程能力成熟度模型，明确安全工程过程的能力等级与评估方法，支持组织衡量和改进安全工程能力。是安全工程能力建设与第三方评估的模型化工具。与数据安全能力成熟度模型方法论互为补充。
GB/T 40813-2021 信息安全技术 工业控制系统安全防护技术要求和测试评价方法
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定工业控制系统的安全防护技术要求及测试评价方法，明确边界防护、身份认证、访问控制、安全监测与审计要求。是工控系统安全防护建设与检测评估的核心标准。与工控系统风险评估、检查指南形成完整配套。
GB/T 41400-2022 信息安全技术 工业控制系统信息安全防护能力成熟度模型
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准给出工业控制系统信息安全防护能力成熟度模型，按等级描述工控系统安全防护能力，明确各级别的能力特征与评价方法。是工控系统运营单位衡量安全防护水平的模型化工具。与关键信息基础设施安全保护要求形成配套。
GB/T 24364-2023 信息安全技术 信息安全风险管理实施指南
本标准于2023年11月发布、2024年7月1日实施，规定信息安全风险管理的实施流程与方法，为组织建立风险识别、分析、评价与处置闭环提供指引。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 47683-2026 工业互联网 危险分析和风险评估规范
本标准于2026年5月发布、同年12月1日实施，规定工业互联网危险分析与风险评估的流程和方法，为工控系统安全风险的识别与分级提供依据。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 44861-2024 工业自动化和控制系统安全 系统设计的安全风险评估
本标准于2024年10月发布、2025年5月1日实施，规定工业自动化与控制系统在系统设计阶段开展安全风险评估的要求与方法。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
T/CCSA 884-2026 电信和互联网生成式人工智能服务安全分级指南
中国通信标准化协会2026年第6号公告发布，标准号T/CCSA 884-2026，2026年7月6日发布、2026年10月8日实施，由中国信息通信研究院牵头编制。作为电信和互联网行业首部专门面向生成式人工智能服务安全分级的标准，该指南形成覆盖定级要素、等级判定、安全要求的完整框架，依据服务风险程度划分等级并匹配差异化安全要求，推动人工智能安全治理从原则倡导走向可操作的分级管理。
GB/Z 201-2026 人工智能 大模型选型和应用指南
本标准于2026年7月30日发布并实施，面向大模型应用方给出选型与落地的方法指引，覆盖场景适配、能力评估、部署方式、成本控制与运行维护等关键环节的考量要素。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 37988-2019 信息安全技术 数据安全能力成熟度模型
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准给出数据安全能力成熟度模型，从组织建设、制度流程、技术工具与人员能力四个维度，按数据采集、传输、存储、处理、交换、销毁六个环节划分五级成熟度。是国内数据安全治理最权威的能力评价模型，即DSMM。为企业开展数据安全能力自评与第三方评估提供标尺。
数据安全技术 数据安全风险评估方法
该标准描述数据安全风险评估的基本概念、要素关系、分析原理和实施流程，适用于数据处理者、第三方评估机构及主管部门开展数据安全风险评估。评估围绕数据和数据处理活动，通过信息调研、风险识别、风险分析与评价等阶段，从管理、处理活动、技术、个人信息保护等方面识别风险，形成风险清单、评估报告和整改建议。
信息安全技术 网络数据分类分级指引
本实践指南依据数据安全法要求，给出网络数据分类分级的原则、框架和方法。数据分类采用面分类法，从公民个人、公共管理、信息传播、行业领域、组织经营等维度进行识别划分。数据分级按照危害程度将数据分为一般数据、重要数据、核心数据三个级别，并遵循合法合规、分类多维、分级明确、就高从严、动态调整等原则。指南适用于指导数据处理者开展分类分级工作，也可为主管监管部门提供参考。
网络安全标准实践指南 - 网络数据分类分级指引
本实践指南依据数据安全法要求，给出网络数据分类分级的原则、框架和方法。数据分类采用面分类法，从公民个人、公共管理、信息传播、行业领域、组织经营等维度进行识别划分。数据分级按照危害程度将数据分为一般数据、重要数据、核心数据三个级别，遵循合法合规、分类多维、分级明确、就高从严、动态调整等原则，适用于指导数据处理者开展分类分级工作，也可为主管监管部门提供参考。
数据安全技术 数据分类分级规则
该标准规定了数据分类分级的原则、框架、方法和流程，适用于行业主管部门、各地区各部门及数据处理者。数据分类按行业领域和业务属性逐级细化，数据分级依据重要程度和危害程度将数据分为核心数据、重要数据和一般数据，给出了重要数据识别指南，并要求遵循科学实用、边界清晰、就高从严、点面结合和动态更新原则。
科学数据安全分类分级指南
该指南规定科学数据安全分类分级的方法、原则和流程，适用于科学数据生产、管理、使用和共享单位开展数据安全分类分级工作。文件明确科学数据的分类框架、分级要素、级别判定规则、重要数据和核心数据识别方法及动态管理要求，旨在指导科学数据所有者识别重要科学数据，并采取与其级别相适应的安全保护措施。
地理信息数据分类分级工作指南
为地理信息数据的分类分级提供工作指引，明确地理信息数据的分类维度（按内容、按精度、按用途等）和分级标准（核心数据、重要数据、一般数据），规定各类各级地理信息数据的标识方法、安全管理要求和共享开放规则，是地理信息数据合规管理的基础性指导文件。
证券期货业数据分类分级指引
为证券期货业机构提供数据分类分级的标准化指引，分为数据分类分级概述、数据分类分级方法、数据分类分级标识和各级数据保护要求等章节。适用于证券期货业机构开展数据分类分级工作，指导机构识别和划分不同类别和级别的数据，并按照级别制定相应的安全保障措施，是金融行业数据合规的基础性行业标准。
金融信息服务数据分类分级指南
六部门联合发布的行业合规文件，统一金融信息领域数据分类分级标准，划分业务、用户、企业三大类数据，设置四级数据防护等级，明确金融机构数据梳理、重要数据识别的实操规范，是金融行业开展数据安全合规治理的核心依据
GA/T 2380-2026 信息安全技术 网络安全等级保护数据安全基本要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准以GB/T 22239-2019为基础，首次在等级保护框架下设立独立的数据安全专项要求，将数据分为一般数据、重要数据、核心数据三级，按等保一至四级差异化规定采集、传输、存储、处理、交换、销毁全生命周期要求，新增"安全数据处理"大类，与GB/T 35273、GB/T 45574衔接，是企业数据安全合规的刚性依据。
GA/T 2381-2026 信息安全技术 网络安全等级保护数据安全测评机构能力要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准规范承担等保数据安全测评的第三方机构，从人员能力、工具技术能力、管理质量要求三个维度明确准入门槛：每个项目至少配备两名专职数据安全测评师，项目负责人须具等保高级测评师资历与三年以上数据安全经验；须配备分类分级、脱敏效果检测、泄露扫描等工具；测评记录与原始数据留存不少于三年且不可篡改，测评数据不得出境。
GA/T 2391-2026 信息安全技术 数据安全检测评估系统安全技术要求
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准规定了数据安全检测评估系统的安全功能要求、自身安全要求和安全保障要求，覆盖数据资产自动发现、分类分级标注、数据流转测绘与违规访问检测、风险量化评估与报告输出等能力项，适用于该系统的设计、开发与检测，为企业开展数据安全风险评估与合规自查提供技术支撑。
GA/T 2394-2026 信息安全技术 网络安全等级保护数据安全测评要求
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准与GA/T 2380-2026配套，规定等级保护对象数据安全测评的测评项、测评方法与结果判定规则，覆盖数据分类分级、全生命周期防护、安全计算环境与管理制度等方面，明确数据安全在等保测评中单独计分并纳入整体测评结论，为测评机构开展数据安全专项测评提供统一尺度。
GA/T 2395-2026 信息安全技术 网络安全等级保护数据安全测评过程指南
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准规定网络安全等级保护数据安全测评的全流程步骤、文档要求与质量控制要求，覆盖测评准备、方案编制、现场实施、结果分析与报告编制各环节，明确测评证据留存与可追溯要求，与GB/T 28449-2019衔接配套，确保数据安全测评过程规范、结论可核查。
GB/T 48271-2026 船舶与海上技术 船载网络安全风险评估方法
国家标准化管理委员会 2026 年第 43 号公告发布的推荐性国家标准，2026 年 9 月 28 日发布，2027 年 4 月 1 日实施。该标准规定船舶与海上技术领域船载网络的安全风险评估方法，明确船载信息系统的资产识别、威胁建模、脆弱性分析与风险等级判定流程，覆盖导航、通信、动力控制等关键系统，为航运企业开展船载网络安全自查与合规整改提供方法依据。
YD/T 7353-2026 电信网和互联网数据安全评估服务机构能力认定准则
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准规定电信网和互联网数据安全评估服务机构的能力衡量与评价标准，对基础资格、规模与资产、组织管理、人员素质和资质、经验业绩能力、技术能力、服务能力、项目管理、质量保证、教育培训等方面作出基线统筹，适用于数据安全评估服务机构的能力评价认定。
规范性文件
国家网络安全事件报告管理办法
国家互联网信息办公室于2025年9月11日发布《国家网络安全事件报告管理办法》，共十四条，自2025年11月1日起施行，附《网络安全事件分级指南》。办法按主体分类设定报告时限：涉及关键信息基础设施的须在一小时内报保护工作部门与公安机关，重大及以上事件半小时上报国家网信部门。办法明确报告内容要素、12387热线等六类报告渠道，对迟报、漏报、谎报、瞒报造成重大危害后果的从重处罚。
浙江省医疗卫生机构对外数据合作管理办法（试行）
浙江省卫生健康委员会等三部门2026年9月印发《浙江省医疗卫生机构对外数据合作管理办法（试行）》，自2026年10月25日起施行。办法要求合作方落实安全保护、定期审计，禁止超范围使用、泄露、二次转授；省级卫生健康行政部门建设全省统一的卫生健康网络安全协调指挥平台，实现项目报备、数据出境、应急上报等事项一网通办、全程留痕。对未经审批报备或违规开展合作的单位及个人，依法依规严肃处理。
最高人民法院关于依法审理涉人工智能纠纷案件的意见
最高人民法院2026年9月7日发布《关于依法审理涉人工智能纠纷案件的意见》（法发〔2026〕10号），为首部涉人工智能司法裁判规则文件，共5部分24条。确立以人为本、支持创新发展、筑牢安全防线三项原则；为模型训练在合理范围内处理已合法公开的个人信息且个人未明确拒绝的，一般不认定侵害个人信息权益；明确“AI换脸拟声”“网络开盒”“大数据杀熟”等人格权、隐私权、消费者权益侵权认定规则。
云计算服务安全评估办法
由国家网信办等四部门2019年第2号公告发布、2019年9月1日起施行，旨在提高党政机关和关基运营者采购使用云计算服务的安全可控水平。建立四部门协调机制，重点评估云服务商征信经营状况、可接触客户数据人员背景与稳定性、供应链安全、数据可迁移性和业务连续性。结果有效期三年，届满前六个月申请复评，实控人变更须重新评估，主管部门通过抽查、举报持续监督并可撤销结论。
