即将实施 | 涉及工业信息安全诸多方面，2023年这些新标准即将实施

2023年1月1日起，一批2022年发布的新标准即将实施，涉及工业信息安全诸多方面，现将这些标准进行汇编整理，供参考。

GB/T 39204-2022《信息安全技术 关键信息基础设施安全保护要求》

为落实《网络安全法》《关键信息基础设施安全保护条例》关于保护关键信息基础设施运行安全的要求，在国家网络安全等级保护制度基础上，借鉴我国相关部门在重要行业和领域开展网络安全保护工作的成熟经验，吸纳国内外在关键信息基础设施安全保护方面的举措，结合我国现有网络安全保障体系等成果，从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置等方面，提出关键信息基础设施安全保护要求，采取必要措施保护关键信息基础设施业务连续运行，及其重要数据不受破坏，切实加强关键信息基础设施安全保护。

《信息安全技术 关键信息基础设施安全保护要求》是关键信息基础设施安全保护标准体系的构建基础。这项标准提出了以关键业务为核心的整体防控、以风险管理为导向的动态防护、以信息共享为基础的协同联防的关键信息基础设施安全保护3项基本原则，从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置6个方面提出了111条安全要求，为运营者开展关键信息基础设施保护工作提供了强有力的标准保障。

GB/T 25068.4-2022《信息技术 安全技术 网络安全 第4部分：使用安全网关的网间通信安全保护》

为了能同国际标准相接轨，参考国际标准的修订情况，相应的对国家标准《信息技术 安全技术 IT网络安全》系列标准进行修订，以适应近十年产业发展的形势。

该标准等同采用国际标准《ISO/IEC 27033-4:2015 信息技术 安全技术 网络安全 使用安全网关的网间通信安全保护》，适用于参与安全网关的详细规划、设计和实现的所有人员(例如网络架构师和设计人员、网络管理员和网络安全管理者)，使用安全网关（防火墙，应用防火墙，入侵防护系统等）的网络间的通信安全。

本标准给出了使用安全网关（防火墙，应用防火墙，入侵防护系统等）的网络间通信安全指南，这些安全网关按照文档化的信息安全策略进行通信。修订的主要内容：1.修改了标题，删除了“IT网络安全”中的“IT”两字母，改为“网络安全”；2.目次进行大幅度的增加和修改，其中“术语和定义”增加了二级标题目录、“缩略语”改为“缩写”；3.对标准正文的结构进行了大幅度的调整，由原来的9章调整为现在的10章。对第5-8章标题及内容进行了重新书写，增加了第5章“概述”、第6章“安全威胁”、第7章“安全需求”、第8章“安全控制”、第9章“设计技术”、第10章“产品选择指南”等章节，删除了“安全要求”、“安全网关技术”、“安全网关组件”、“安全网关体系结构”、“选择和配置指南”等章节。

GB 42250-2022《信息安全技术 网络安全专用产品安全技术要求》

本标准规定了网络安全专用产品在标识与鉴别、通信安全、用户信息安全等通用安全功能，针对边界防护类、安全审计本类等网络安全专用产品的特殊安全功能，以及开发、生命周期支持等安全保障等方面应满足的安全要求。本标准适用于在我国境内销售或提供的防火墙、网络入侵防御、病毒防治、安全审计等网络安全专用产品，也可为网络运营者采购网络安全专用产品时提供依据，还适用于指导网络安全专用产品的研发、测试和生产、以及指导第三方测评机构对网络安全专用产品进行安全测评等工作。

为贯彻落实《网络安全法》有关规定，更好地指导网络安全专用产品开展检测工作，制定本标准。

本标准可以给开发厂商进行指导，研发出安全性高的网络安全专用产品，防范或降低网络安全专用产品安全风险，提升我国网络和关键信息基础设施的安全保障水平。

GB/T 25068.3-2022《信息技术 安全技术 网络安全 第3部分：面向网络接入场景的威胁、设计技术和控制》

本文件描述了与网络接入场景相关的威胁、设计技术和控制问题，为每一个网络接入场景提供了能够降低相关风险的安全威胁、安全设计技术以及控制三个要素的详细指南。

本文件适用于按照GB/T25068.2来评审技术性安全体系的结构和设计，以及选择和记录首选技术安全架构、设计和相关控制的选项。被评审的网络环境的特征决定了特定信息的选择（包括从GB/T25068.4、GB/T25068.5及IS0/IEC 27033-6中选择的信息)，即特定信息的选择与特定网络接入场景和“技术”主题有关。

GB/T 41871-2022《信息安全技术 汽车数据处理安全要求》

随着汽车智能化、网联化的快速发展，汽车数据的价值日益显现、收集汽车数据规模持续增长，数据安全问题突出。国家对于数据安全高度重视，2021年，《数据安全法》《个人信息保护法》等数据安全和个人信息保护方面的重要法律的颁布实施，对数据安全和个人信息保护工作提出明确要求。网信办等五部门联发《汽车数据安全管理若干规定（试行)》，提出汽车数据安全保护要求，为有序开展汽车领域重要数据和个人信息保护工作指明了方向。

本文件规定了汽车数据处理者对汽车数据进行收集、传输等处理活动的通用安全要求、车外数据安全要求、座舱数据安全要求和管理安全要求。

本文件适用于汽车数据处理者开展汽车数据处理活动，适用于汽车的设计、生产、销售、使用和运维，也适用于主管监管部门和第三方评估机构等对汽车数据处理活动进行监督、管理和评估。