1、ICS35.020 CCS L 70 31上海市地方标准 DB 31/T 16102025数据资源可信访问 总体技术要求 Trusted access to data resourceGeneral technical requirements 2025-09-19 发布 2026-01-01 实施上海市市场监督管理局 发 布DB 31/T 16102025 I 目次 前言.II 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 缩略语.2 5 体系架构.2 5.1 体系架构.2 5.2 可信访问流程.3 6 核心组件.3 6.1 可信访问代理.3 6.2 可信访问平台.4 6.3
2、 可信访问网关.4 7 支撑组件.5 7.1 PKI.5 7.2 身份管理.5 7.3 区块链.5 8 安全要求.5 8.1 可信访问终端安全.5 8.2 身份认证.6 8.3 访问授权.6 8.4 数据安全.6 8.5 网络通信安全.6 8.6 个人信息安全.6 8.7 密码管理.6 8.8 安全审计.7 参考文献.8 DB 31/T 16102025 II 前言 本文件按照GB/T 1.12020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由上海市数据局和上海市互联网信息办公室提出并组织实施
3、本文件由上海市数据标准化技术委员会和上海市信息安全标准化技术委员会共同归口。本文件起草单位：上海市数字证书认证中心有限公司、上海市大数据中心、上海信投智能科技股份有限公司、上海浦江数链数字科技有限公司、长三角数链（上海）网络基础设施有限公司、上海市信息安全测评认证中心、万达信息股份有限公司、上海市大数据股份有限公司、上海市联合征信有限公司、上海市质量和标准化研究院、中移动信息技术有限公司、上海第二工业大学、复旦大学、星环信息科技（上海）股份有限公司、蚂蚁区块链科技（上海）有限公司、杭州趣链科技有限公司。本文件主要起草人：王天华、崔久强、章玉宇、王虎、刘迎风、朱俊伟、傅行晓、贝聿运、储昭武、陈
4、祺、郑宁、杨晶、吴农、方海宾、虞越、都坤、陈云翔、顾敏、姚震、陈良贵、黎伟、焦天宇、王娜、马慧颖、余慧敏、叶雅珍、王慧洁、张晓蒙、郑佩玉。DB 31/T 16102025 1 数据资源可信访问 总体技术要求 1 范围 本文件规定了数据资源可信访问的体系架构，描述了体系层次结构和组件逻辑关系，给出了各组件的功能要求和安全要求。本文件适用于本市采用数据资源可信访问技术的信息系统建设。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 25
5、056 信息安全技术 证书认证系统密码及其相关安全技术规范 GB/T 25069 信息安全技术 术语 GB/T 35273 信息安全技术 个人信息安全规范 GM/T 01282023 数据报传输层密码协议规范 3 术语和定义 GB/T 25069 界定的以及下列术语和定义适用于本文件。3.1 数据资源 data resource 以电子化形式记录和保存、可机器读取、可供社会化再利用的，具有价值创造潜力的数据集合。3.2 访问主体 access subject 能够授权访问数据资源的实体。注：本文件所指的访问主体包括自然人、法人、其它。3.3 可信访问 trusted access 访问主体安全
6、获取数据资源的过程。3.4 可信访问平台 trusted access platform 管理和控制可信访问过程的决策系统。3.5 可信访问代理 trusted access proxy 与可信访问平台交互，帮助可信访问终端发起可信访问的代理软件。3.6 可信访问终端 trusted access terminal 在可信访问平台登记、配置可信访问代理、具备终端证书及密钥，能基于密码运算能力发起可信访问的设备、软件应用、系统等。DB 31/T 16102025 2 3.7 可信访问网关 trusted access gateway 在可信访问平台管理下，采用密码技术建立、维持或阻断数据访问信道
7、的数据网关。3.8 终端可信访问凭证 terminal trusted access credential 已认证身份的主体同意向终端授权访问其数据资源的受信任访问凭据。3.9 可信访问令牌 trusted access token 由可信访问平台向可信访问终端颁发的包含主体身份认证事件声明和访问授权事件声明的可信凭证。4 缩略语 下列缩略语适用于本文件。PKI：公钥基础设施（Public Key Infrastructure）5 体系架构 5.1 体系架构 数据资源可信访问体系架构由访问主体、数据资源、核心组件和支撑组件组成，如图1所示。图1 可信访问体系架构 DB 31/T 1610202
8、5 3 核心组件包括可信访问代理、可信访问平台和可信访问网关，执行访问主体对数据资源的可信访问。支撑组件包括但不限于PKI、身份管理、区块链，向核心组件提供数字证书、密码计算、身份管理、分布式账本支撑服务。核心组件涉及数据平面和控制平面,在数据平面安全共享或交换数据，在控制平面处理访问控制信息。数据平面在控制平面的管理和控制下，采用密码技术建立、维持或阻断访问主体到数据资源的数据访问连接。5.2 可信访问流程 数据资源可信访问流程如图2所示。图2 可信访问流程 数据资源可信访问流程包括以下主要环节：a)访问主体访问可信访问终端开始可信访问；b)可信访问终端将访问主体重定向至可信访问平台，主体在
9、平台进行身份认证；c)访问主体在可信访问平台进行访问授权，平台将主体重定向至可信访问终端；d)可信访问终端对敏感信息进行数据加密后，对本次可信访问会话信息进行数字签名，生成终端可信访问凭证；e)可信访问终端使用终端可信访问凭证向可信访问平台申请可信访问令牌，平台验证通过后向终端颁发访问令牌；f)可信访问终端使用可信访问令牌通过可信访问网关访问数据资源；g)可信访问网关向可信访问平台请求验证可信访问令牌，平台验证访问令牌有效性；h)可信访问平台进行身份认证，验证访问令牌关联的访问主体身份凭证和身份认证策略；i)可信访问平台进行访问鉴权，验证访问令牌关联的访问授权信息和访问授权策略；j)若全部验证
10、通过，可信访问网关通过网络安全信道访问数据资源；k)可信访问网关将数据资源访问结果加密签名后返回可信访问终端；l)可信访问终端验证签名，解密数据资源访问结果。6 核心组件 6.1 可信访问代理 DB 31/T 16102025 4 可信访问代理部署于可信访问终端，负责终端信息注册和更新，管理终端证书及密钥，能基于非对称密码机制将安全能力触达到每个终端。可信访问代理主要功能如下：a)可信访问终端注册：收集终端信息、生成终端唯一标识码、注册可信访问终端；b)可信访问终端检测：检测终端环境是否安全、有效；c)终端证书管理：申请终端数字证书、自动更新终端数字证书；d)平台证书管理：自动获取最新可信访问
11、平台数字证书；e)身份认证代理：进行访问主体身份认证；f)访问授权代理：进行访问主体主动授权；g)用户身份敏感信息加密：使用平台数字证书对敏感信息进行数字信封加密；h)终端可信访问凭证生成：使用终端数字证书私钥对当前可信访问会话信息进行数字签名，生成受信任的终端可信访问凭证；i)可信访问令牌申领：使用终端可信访问凭证向可信访问平台申请可信访问令牌；j)终端密码服务提供：提供数字签名、验证签名、数字信封加密、数据信封解密、数字证书解析等服务；k)安全信道提供：建立加密访问连接；l)安全准入管理：允许仅满足安全基线的终端入网，对不满足安全基线的终端进行自动隔离。6.2 可信访问平台 可信访问平台是
12、可信访问过程中的访问控制策略决策点，管理和控制可信访问过程。可信访问平台主要功能如下：a)可信访问令牌颁发：验证终端可信访问凭证，解析其中的身份认证和访问授权会话信息，结合平台的身份认证和访问授权策略，使用平台证书私钥签发包含当前可信访问会话信息的可信访问令牌；b)可信访问令牌验证：验证令牌签名，解析令牌，逐项验证当前可信访问会话声明；c)可信访问令牌管理：提供令牌缓存、读取、注销管理；d)身份核验：通过比对用户提供的身份信息与权威数据源，确认其真实性和一致性；e)身份管理：提供数字身份生命周期管理服务；f)身份认证：通过验证访问主体提供的身份凭证，确认其声称身份的真实性；g)访问授权：允许主
13、体主动对数据资源进行访问授权；h)访问鉴权：验证可信访问令牌关联的访问授权会话信息和策略，遵循资源访问最小权限原则；i)设备管理：提供设备唯一标识、设备绑定关系、设备软硬件配置、设备运行状态等管理；j)资源管理：提供资源分类分级属性、资源访问属性、资源存储属性、资源环境属性等管理；k)应用管理：提供应用接入、应用配置、应用访问授权、应用访问鉴权分类等管理；l)策略管理：提供身份认证、访问授权、环境感知、信任评估等策略管理和决策；m)审计管理：提供可信访问过程关键环节日志记录、管理和审计；n)系统管理：提供系统配置、业务查询、数据统计等管理。6.3 可信访问网关 可信访问网关是可信访问过程中的访
14、问控制策略执行点，代理对数据资源的安全访问，验证可信访问令牌，并对访问主体进行身份验证和访问鉴权。可信访问网关主要功能如下：a)安全代理：代理对数据资源的访问，与数据资源建立加密访问连接，实现访问数据资源统一走网关访问，收敛攻击面；DB 31/T 16102025 5 b)访问控制：与可信访问平台交互，基于访问控制策略对已认证身份的访问主体提供授权范围内的访问服务；c)流量解密：确保连接合法性后，将加密流量还原并进行转发，数据资源的宿主应用无需改造；d)拦截转发：对未经授权的访问进行拦截，防止对数据资源进行攻击，仅授权用户才可以被转发访问；e)网络隐身：为数据资源提供统一访问入口，只有通过身份
15、认证的访问主体才可以与可信访问网关建立访问通路，并根据访问控制策略对数据资源发起访问。数据资源避免被暴露在终端所在的任意风险等级的网络，防御效果直接，即使被入侵也只能扫到网关入口，扫描不到数据资源。7 支撑组件 7.1 PKI PKI组件为可信访问体系提供数字证书和密码服务，主要功能如下：a)为访问主体、可信访问终端、可信访问平台等实体颁发符合 GB/T 25056 要求的数字证书；b)实施数字证书全生命周期管理，包括但不限于证书签发、更新、撤销；c)提供基于国密算法的数据加密、数据解密、数字签名、验证签名等密码服务；d)支持在线证书状态协议，实时验证证书有效性状态；e)提供密钥托管服务，支持
16、密钥的安全备份与恢复。7.2 身份管理 身份管理组件为可信访问体系提供身份管理服务，主要功能如下：a)实现自然人、法人、设备等多类型实体的身份标识管理，包括但不限于唯一标识生成、标识绑定验证；b)提供身份生命周期管理，包括但不限于身份创建、属性更新、身份注销；c)对接公安、工商、运营商、银行等权威数据源，提供自然人实名核验、自然人实人核验、法人资质核验等身份核验服务；d)提供身份认证能力，包括但不限于静态密码认证、动态令牌认证、生物特征认证、数字证书认证、多因素认证；e)提供身份联邦服务，支持跨域身份信息的可信传递与验证。7.3 区块链 区块链组件为可信访问体系提供信任支撑服务，主要功能如下：
17、a)固化可信访问关键事件，包括身份认证记录、访问授权凭证、令牌颁发日志等；b)记录数据资源访问轨迹，提供不可篡改的全程溯源能力；c)通过智能合约自动执行预置的访问控制规则和合规策略；d)构建多方共治机制，实现跨机构访问事件的透明化存证与验证；e)提供存证验证接口，支撑访问争议场景下的举证与仲裁。8 安全要求 8.1 可信访问终端安全 DB 31/T 16102025 6 可信访问终端安全应符合如下要求：a)保证终端安装、注册并运行可信访问代理软件；b)接受可信访问平台的生命周期管理和远程控制；c)保证可信访问过程中跨边界的访问和数据流通过可信访问代理提供的受控接口进行通信；d)具备对合法连接终
18、端进行标识和鉴别的能力；e)具备检查和限制非法终端和伪造终端私自连接可信访问平台的能力；f)授权用户应能够在终端使用过程中对终端证书密钥进行在线更新；g)授权用户应能够在终端使用过程中对关键配置参数进行在线更新；h)可基于可信根对终端进行可信验证，并在检测到其可信性受到破坏后进行报警。8.2 身份认证 身份认证符合如下要求：a)每次访问受保护数据资源，在终端侧都要经过身份认证；b)应在可信访问终端、可信访问平台、可信访问网关之间建立双向身份认证机制；c)应对访问主体进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；d)应具有认证失败处理功能，可启用结束会话、限制失败
19、次数和连接超时自动退出等相关措施；e)应采用口令、密码技术、生物技术等两种或两种以上组合的认证技术对用户进行身份认证，且其中应至少有一种认证技术使用密码技术来实现。8.3 访问授权 访问授权符合如下要求：a)每次访问受保护数据资源，在终端侧都要经过访问授权；b)宜在可信访问平台配置访问控制策略，访问控制策略规定主体对客体的访问规则；c)访问控制主体应精确到用户级或进程级，访问控制客体应为系统、服务、应用、接口和数据等；d)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。8.4 数据安全 数据安全应符合如下要求：a)采用密码技术保证数据在传输和存储过程中的完整性，包括但不限
20、于身份认证数据、重要业务数据和重要个人信息；b)采用密码技术保证数据在传输和存储过程中的保密性，包括但不限于身份认证数据、重要业务数据和重要个人信息。8.5 网络通信安全 应采用密码技术保证通信过程中数据的完整性和保密性。8.6 个人信息安全 个人信息的收集、存储、使用、交换应遵守GB/T 35273相关规定。8.7 密码管理 密码管理符合如下要求：DB 31/T 16102025 7 a)应遵守 GM/T 01282023 相关规定；b)应使用国家密码管理主管部门认证核准的密码技术和产品。8.8 安全审计 安全审计符合如下要求：a)应启用安全审计功能，审计覆盖到每个访问主体，对重要用户行为和重要安全事件进行审计；b)审计记录中应包括访问事件的日期和时间、主体、是否成功及其他与审计相关的信息；c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等影响；d)应对审计进程进行保护，防止未经授权的中断。DB 31/T 16102025 8 A A 参考文献 1 GB/T 18794.3 信息技术 开放系统互连 开放系统安全框架 第3部分：访问控制框架 2 GB/T 22239 信息安全技术 网络安全等级保护基本要求 3 GB/T 43696 网络安全技术 零信任参考体系架构 4 NIST SP800207：Zero Trust Architecture
