信息技术 安全技术 网络安全 第6部分：无线网络访问安全 编制说明

一、工作简况1、总体情况根据黑龙江省网络空间研究中心的申请，全国网络安全标准化技术委员会于2024年2月下达了《信息技术安全技术网络安全第6部分：无线网络访问安全》的标准制定任务。国家标准化管理委员会于2024年7月下达了《信息技术安全技术网络安全第6部分：无线网络访问安全》国家标准制定计划（计划号：20241941-T-469由黑龙江省网络空间研究中心牵头承担标准制定工作，起草单位包括：西安西电捷通无线网络通信股份有限公司、哈尔滨理工大学、中国移动通信集团有限公司、中国信息通信研究院、国家工业信息安全发展研究中心、哈尔滨金融学院、陕西省信息化工程研究院、国家计算机病毒应急处理中心、中国网络安全审查认证和市场监管大数据中心、国家计算机网络应急技术处理协调中心、南方电网数字电网集团信息通信科技有限公司等。2、标准制定的主要工作过程如下系列国际标准的研制情况，翻译了国际标准ISO/IEC27033-6的中文文本，且多次在专家、成员单位、管理部门等范围内进行讨论和征求意见，并根据这些意见形成无线网络安全、网络安全管理相关文档、资料、学术文献和法律法规，形成本标准第一阶段草稿；3)2023年7月6日，根据专家评审会与会专家意见，标准编制组将转标策略改为修改采用国际标准；进一步深入调研、搜集资料、分类整理，并对第一阶段草稿完善、规范语言、统一格式、细化校对，修改形成第二阶段标准草案稿；评审会上汇报标准制定相关工作，收集与会专家意见；上，从翻译的准确性、规范性、流畅性、符合国人用语习惯等方面对标准草案稿进行完善，并书面征询参编单位专家意见；7)2024年6月，在全国网络安全标准化技术委员会2024年第一次会议周上汇报标准编制进展情况，对标准草案征集意见；8)2024年6月-2024年8月，标准编制组根据标准周会议各单位专家意见，修改标准草案文本，并做了2次内部版本的变更；9)2024年9月，参加全国网络网络安全标准化委员会组织的国家标准专家评审会，根据与会专家意见，修改完善标准草案文本，形成征求意见版。3、各阶段稿件意见的处理情况标准草案阶段，参与了1次全国网络安全标准化委员会会议周，共收到反馈意见27条，采纳25条，未采纳2条。参与了1次全国网络网络安全标准化委员会组织的国家标准专家评审会，共收到专家意见20条，采纳19条，未采纳2条，详见《意见汇二、标准编制原则和确定主要内容的论据及解决的主要问题1、标准编制的主要原则1）遵循现行国家标准为基础，修改采用国际新标准。本标准编写格式符合国家标准GB/T1.1-2009的规定。2）贯彻国家有关政策与法规本标准中，凡涉及在此网络中传递涉密信息，均按国家有关可核查性需求的，均遵循密码相关政策法规和国家标准。3）认真记录、反复衡量、综合分析各方意见，多方征集行业企业的意见和反馈在《信息技术安全技术网络安全第6部分：无线网络访问安全》国家标准制定过程中，各起草单位齐心协力，在充分沟通和交流的基础上，形成了标准编制组内统一的标准文本，在此基础上，编制组邀请省内外无线网络安全领域高校和企事业单位的专家学者，围绕文本的规范性、实用性、技术性等内容进行探讨，并根据收集到的专家意见对标准文本进行修改和完善。2、本标准的主要内容本标准给出了与无线网络相关的威胁、安全要求、安全控制和设计技术，提供了选择、实施和监测无线网络安全通信的技术控制指导。本标准适用于评审或选择涉及使用无线网络技术安全架构及设计选项，在满足GB/T25068.2的基础上，为负责实施和维护安全无线网络的用户和实施者提供技术控制指导。本标准的主要框架如下：2规范性引用文件3术语和定义10安全设计技术和注意事项3、本标准在确定主要内容时的论据Informationtechnology—Securitytechniques—Networksecurity—Part6:SecuringwirelessIPnetworkaccess》（《信息技术安全技术网络安全第6部分：无线网络访问安全》同时结合我国信息技术、安全技术和网络安全的实际情况进行编制。三、主要试验[或验证]情况分析安全和信息化委员会办公室、中国移动通信集团设计院有限公司、陕西省信息化工程研究院、哈尔滨工业大学网络安全学院、西安西电捷通无线网络通信股份有限公司、黑龙江安信与诚科技开发有限公司6家有代表性的政府部门、行业组织、高校和企业，成立《信息技术安全技术网络安全第6部分：无线网络访问安全》国家标准试点工作组，选取典型无线网络访问相关业务场景对标准核心条款进行逐项验证。四、知识产权情况说明本标准不涉及知识产权问题。五、产业化情况、推广应用论证和预期达到的经济效果Informationtechnology—Securitytechniques—Networksecurity—Part6:SecuringwirelessIPnetworkaccess》（《信息技术安全技术网络安全第6部分：无线网络访问安全》依托专业技术人员对国际标准进行翻译，在此基础上，适当增加符合国内技术发展现状及实际应用场景需求的相关内容，形成国家标准草案。本标准适用于参与无线网络安全详细规划、设计和实现的所有人员，以及使用不同类型的无线设备的政府部门、行业组织、企事业单位、个人和家庭等。本标准给出了与无线网络相关的漏洞、安全要求、安全控制和设计技术。本标准的实施将对技术安全架构或设计选项进行审查和选择发挥重要指导性作用，同时也将有助于全面定义组织的无线网络环境并实现安全性。六、采用国际标准和国外先进标准情况本标准修改采用《ISO/IEC27033-6:2016Informationtechnology—Securitytechniques—Networksecurity—本文件与ISO/IEC27033-6:2016相比做了下述结构调整：——第6章对应ISO/IEC27033-6:2016中的第6章6.1和6.2由ISO/IEC27033-6:2016中的第6章内容拆分梳理得到；——删除ISO/IEC27033-6:2016附录A。本文件与ISO/IEC27033-6:2016的技术差异及原因如下：适应我国的国情；——修改6.1列项WPAN中对蓝牙、UWB、ZigBee的陈述，删除列项WLAN中表述HiperLAN段落，修改列项WLAN中对Wi-Fi、首段表述，增加列项WMAN下关于4G、5G的陈述，以适应我国的国情；替换为“10.2.4WLAN设备安全配置”，以适应已发布的强制国家标准和我国的国情；本文件做了下列编辑性改动：——增加全文中的Wi-Fi作为商品表述时的商标角注，增加注中引导句“给出这一信息是为了方便本文件使用者，并不表示对该产品的认可。如果其他产品具有相同的效果，那么可使用这些等效产品”；——修改3.9无线自组织网的定义；——删除8.5倒数第2、3段；——修改第9章，包括：修改9.1标题，由“概述”修改为删除9.5.2首段第一句“IEEE802首段最后一句“这些技术也用于所有ICT网络；——增加参考文献GB15629.11。七、与现行相关法律、法规、规章及相关标准的协调性1、贯彻国家有关政策与法规本标准中涉及无线网络安全设计原则等符合国家网络安全相关法律、法规、规章。2、与国内相关标准的关系本标准与我国现行的法律、法规及国家标准、行业标准不存在冲突问题。本标准作为《GB/T25068》系列标准的一部分，与已实施的前五部分标准保持较好的一致性和关联性，这些标准可以为无线网络访问安全提供参考。具体情况如下：ISO/IEC27033-1:Informationtechnology—Securitytechniques—Networksecurity—Part1:Overviewandconcepts定义网络安全相关的概念，提供管理指南，包括提供网络安全的概述、相关的定义、识别和分析网络安全风险的指南以及定义网络安全需求。ISO/IEC27033-2：Informationtechnology—Securitytechniques—Networksecurity—Part2:Guidelinesforthedesignandimplementationofnetworksecurity定义组织如何实现高质量的网络安全架构、设计和执行，以确保网络安全适合于其业务环境，并使用一直的方法来规划、设计和实现网络安全。ISO/IEC27033-3：Informationtechnology—Securitytechniques—Networksecurity—Part3:Referencenetworkingscenarios-Threats,designtechniquesandcontrolissues定义与典型网络场景相关的特定风险、设计技术和控制问题。它与所有参与规划、设计和实现网络安全架构方面的人员有关(例如网络架构师和设计人员、网络管理人员和网络安全人员)。ISO/IEC27033-4：Informationtechnology—Securitytechniques—Networksecurity—Part4:Securingcommunicationsbetweennetworksusingsecuritygateways根据安全网关的文件化信息安全政策，给出了使用安全网关（防火墙、应用防火墙、入侵保护系统等）保护网络间通信的指南。 ISO/IEC27033-5：Informationtechnology—Securitytechniques—Networksecurity—Part5:SecuringcommunicationsacrossnetworksusingVirtualPrivateNetworks(VPNs)给出了使用虚拟专用网络（VPN）连接来互连网络并将远程用户连接到网络以提供网络安全所需的技术控制的选择、实施和监控指南。可核查性需求的，遵循密码相关强制性国家标准。八、重大分歧意见的