ISOIEC 25389-2025 信息技术 安全框架 标准立项发展报告.docxVIP

信息技术安全框架标准立项发展报告

StandardizationDevelopmentReport:Informationtechnology—Thesafeframework

摘要：随着云计算、物联网、人工智能、大数据和工业互联网的快速发展，信息技术系统的边界持续扩展，安全风险呈现跨域化、链条化和动态化特征。组织在开展信息安全管理时，既需要统一的概念模型和治理框架，也需要可审计、可互操作、可扩展的技术与管理要求。ISO/IEC25389-2025《信息技术安全框架》（Informationtechnology—Thesafeframework）于2025-06-25实施，标准状态为现行，为信息技术领域安全框架的规划、建设、运行、评估和改进提供了重要依据。本文围绕该标准的立项背景、定位原则、主要内容、标准协同、实施要点和参与标委会进行系统分析。认为该标准的价值在于以风险为导向，整合安全治理、风险管理、控制措施、生命周期管理和合规评估，推动组织从分散控制转向体系化安全能力建设。未来，应加强与ISO/IEC27000族、国内网络安全等级保护、数据安全和个人信息保护标准的衔接，在政务、金融、能源、医疗、云服务、供应链等重点场景开展试点和评估，提升标准的实用性、权威性和国际互认水平。

关键词：信息技术；安全框架；ISO/IEC25389-2025；信息