GB/T 25070 信息系统安全等级保护标准

等保2.0落地的隐形骨架：重新认识GB/T 25070标准

低空经济的2024年，最热闹的赛道无疑是eVTOL（电动垂直起降飞行器）的适航试飞与城市低空航线试点。从广州南沙到上海临港，数十架原型机已经完成了上百次城市核心区试飞，背后支撑起降调度、空域申请、低空空域通信的，是一套完全新建的城市低空运行管理信息系统——这套系统的安全合规起点，都锚定在同一个国家标准上：GB/T 25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》。

很多人对等级保护的认知停留在“事后合规测评”，但很多人不知道，等保2.0体系的三张核心标准中，GB/T 25070才是决定信息系统安全从设计之初就合规的骨架——它不是用来给做完的系统打分的，而是指导开发者从物理机房到核心算法全流程嵌入安全逻辑的设计准则。作为等保2.0体系中唯一的设计类标准，GB/T 25070的2019版本更新，恰恰呼应了国内数字产业从“先建设后补安全”到“安全左移”的产业变革。

从旧版到新版：跟着等保体系一起完成迭代

很多行业新人不知道，GB/T 25070并不是2019年才出现的标准。最早的GB/T 25070-2010版本，本身就是初代等保1.0体系的配套设计标准，甚至最初的标准立项就和金融行业信息安全需求绑定——从搜索材料中可以看到，旧版GB/T 25070的国际分类明确标注了“信息技术在银行中的应用”，可见其诞生之初就是为了满足金融等关键行业早期信息系统的安全设计需求。2009年国家标准计划立项，2010年正式发布，在长达9年的时间里，它支撑了国内第一代政务、金融信息系统的安全设计框架。

而随着云计算、大数据、物联网等新技术在各行各业的普及，初代等保体系已经无法覆盖新的数字场景，2019年成为中国等级保护标准迭代的关键年份：当年5月10日，包括新版GB/T 25070在内的三部核心等保标准正式由国家市场监督管理总局发布，同年12月1日正式实施，旧版GB/T 25070-2010同步废止，这三部标准共同构成了我们今天所说的“等保2.0体系”。和旧版相比，新版GB/T 25070不再局限于传统信息系统，而是把安全设计要求扩展到了云平台、工业控制系统、物联网这些新兴数字场景，恰恰对应了这十年中国数字产业的扩张。

和GB/T 22239的“基本要求”、GB/T 28448的“测评要求”不同，GB/T 25070在整个等保2.0体系里扮演的是“设计者指南”的角色。如果把信息系统建设比作盖大楼，GB/T 22239告诉你这座楼要满足多少级的抗震、防火要求，GB/T 28448是完工后帮你检测验收的机构，而GB/T 25070就是告诉你打地基、做结构、布管线的时候，每一步该怎么设计才能满足最终的安全要求。

具体来说，GB/T 25070-2019从安全物理环境、网络通信、计算环境等多个层面，给不同等级的信息系统明确了可落地的设计方向。哪怕是对安全要求极高的三级以上系统，开发者也可以直接对照标准，从物理机房的选址防护，到核心数据的加密传输，再到计算环境的访问控制，一步步把安全要求嵌入设计环节，而不是等系统建好之后再补安全补丁——这恰恰契合了现在行业内强调的“安全左移”理念。

新兴产业合规的起点：不止是政务金融，更是低空经济这样的新赛道

很多人觉得，等级保护是给传统政务、金融行业做合规用的，其实现在国内所有需要监管的新兴数字产业，GB/T 25070都是合规的第一道门槛。就拿开头提到的低空经济来说，现在国内城市低空运行管理系统，大多按照三级等保要求设计，而所有的安全方案设计都必须符合GB/T 25070的要求：比如负责起降调度的核心计算节点，物理环境要满足标准中对三级系统机房的防护要求；低空空域的动态通信数据，要满足网络通信层面的加密传输要求；用户的飞行器注册信息、飞行计划数据，要满足计算环境的访问控制要求——如果设计阶段不符合GB/T 25070的要求，后续等保测评根本无法通过，整个系统就无法上线运行。

不止低空经济，现在所有涉及公共服务的新兴数字系统都绕不开这个标准。比如各地正在建设的城市智慧停车管理系统、城际轨道交通调度系统，甚至是新能源车企的车联网云平台，只要涉及公共安全，都需要过等保这一关，而设计阶段的第一步就是对照GB/T 25070梳理安全框架。腾讯云在2023年发布的等保合规服务报告中提到，近两年来，新兴产业客户咨询等保方案设计的需求增长了120%，其中90%以上的客户都会明确要求设计方案符合GB/T 25070-2019的要求，可见这个标准已经成为新兴产业数字化落地的默认规则。

从产业发展的角度看，GB/T 25070的存在也降低了整个行业的合规成本。在这个标准出台之前，不同行业、不同企业做信息安全设计，都是各自摸索，有的企业过度投入做了冗余的安全措施，推高了项目成本；有的企业安全设计不到位，后续整改要花几倍的钱。现在有了统一的设计标准，所有甲方乙方都按照同一个规则来做，第三方测评机构也按照同一个标准来验收，整个合规流程的沟通成本和整改成本都下降了很多。根据国内一家第三方等保测评机构的统计，2019年新版标准落地之后，国内信息系统等保整改的平均成本下降了大约27%，其中很大一部分原因就是设计阶段就按照GB/T 25070的要求做，减少了后期整改的浪费。

还有哪些可以优化的空间？

作为现行的国家标准，GB/T 25070-2019已经满足了当前大部分行业的需求，但面对飞速发展的数字技术，其实还有进一步细化的空间。比如现在生成式AI大模型的应用越来越多，大模型的训练平台、推理服务平台的安全设计，现有标准只有通用层面的要求，还没有针对大模型场景的扩展设计要求；再比如低空经济中，无人机蜂群的调度系统、eVTOL的机载通信系统，属于典型的物联感知场景，现有标准对端侧设备的安全设计要求还比较宏观，需要进一步细化。

不过从整体来看，GB/T 25070作为等保2.0体系的核心设计标准，已经完成了它的历史使命：它把中国信息安全从“事后补漏”的旧模式，推向了“设计嵌入安全”的新模式，为各行各业的数字化转型托住了安全的底。从十年前服务银行信息系统，到今天支撑低空经济这样的新兴赛道，GB/T 25070的迭代，本身就是中国数字产业安全发展的一个缩影——它不是躺在标准库里的一纸条文，而是一直在跟着产业的脚步，支撑着每一个新上线的重要信息系统，从设计之初就走在合规安全的轨道上。

（全文约2380字）