网络身份服务基于风险的保障等级确定方法、鉴别器类型和要求、身份联合模式和要求.pdfVIP

GB/T XXXXX—XXXX 附 录 A （资料性附录） 基于风险的保障等级确定方法 A.1 等级划分 根据网络身份服务安全无法保障时，产生的不良影响 （或可能面临的风险），可将网络身份服务分 为4个保障等级。网络身份服务安全无法保障时，所面临的风险越大 （即表明可能带来的损失越大）， 则需采取越高的保障等级的网络身份服务。 a) 第1级：网络身份服务安全无法保障时，会对个人声誉和个人生活带来不便、困扰或损坏，且 影响程度低。不会对个人或组织带来财务损失。不会对社会秩序、经济秩序或公共利益带来危 害，不会造成个人或组织的敏感信息泄露。不会威胁人身安全。 b) 第2级：网络身份服务安全无法保障时，会对个人声誉和个人生活带来不便、困扰或损坏，且 影响程度低。或对个人或组织带来小额财务损失。或对社会秩序、经济秩序或公共利益带来危 害，影响程度低。或造成个人或组织的低敏感信息泄露。不会威胁人身安全。 c) 第3级：网络身份服务安全无法保障时，会对个人声誉和个人生活带来不便、困扰或损坏，且 影响程度中等。或对个人或组织带来中等额度财务损失。或对社会秩序、经济秩序或公共利益 带来危害，影响程度中等。或造成个人或组织的中等敏感信息泄露。不会威胁人身安全。 d) 第4级：网络身份服务安全无法保障时，会对个人声誉和个人生活带来不便、困扰或损坏，且 影响程度高。或对个人或组织带来大额财务损失。或对社会秩序、经济秩序或公共利益带来危 害，影响程度高。或造成个人或组织的高敏感信息泄露。或可能威胁人身安全。 A.2 定级要素 网络身份服务保障等级由两个定级要素决定：网络身份服务安全无法保障时可能面临的风险和风险 可能带来的影响程度。 可能面临的风险包括： ——对个人声誉和个人生活带来不便、困扰或损坏； ——对个人或组织带来财务损失； ——对社会秩序、经济秩序或公共利益带来危害； ——造成个人或组织的敏感信息泄露； ——威胁人身安全。 风险可能带来的影响或损失程度包括： ——无：没有影响和损失，或影响和损失极小； ——低：影响时间短，影响范围小，带来的损失小，或涉及金额很小； ——中：影响时间控制在一定范围内，影响范围控制在一定范围内，带来的损失控制在一定范围内， 或涉及中等额度金融交易； ——高：影响时间很长，影响范围很大，带来的损失很大，或涉及大额金融交易。 A.3 定级要素和保障等级关系 定级要素与网络身份服务保障等级的关系如表1所示。 35 GB/T XXXXX—XXXX 表 A.1 定级要素和保障等级的关系 影响程度 可能的风险 第1级 第2级 第3级 第4级 对个人声誉和个人生活带来不便、困扰或损坏 低 低 中 高 对个人或组织带来财务损失 无 低 中 高 对社会秩序、经济秩序或公共利益带来危害 无 低 中 高 造成个人或组织的敏感信息泄露 无 低 中 高