《信息安全技術(shù) 遠程人臉識別系統(tǒng)技術(shù)要求-編制說明》

國家標準征求意見稿資料

一、工作簡況

本標準的任務來源是國家標準化管理委員會，任務編號為20160783-T-469。

本標準承辦單位為公安部安全與警用電子產(chǎn)品質(zhì)量檢測中心，協(xié)作單位為公

安部第一研究所、北京數(shù)字認證股份有限公司、支付寶（中國）網(wǎng)絡技術(shù)有限

公司、北京曠視科技有限公司、廣州云從信息科技有限公司、中國信息安全測

評中心、中國金融認證中心、中國電子技術(shù)標準化研究院、北京遠鑒科技有限

公司、深圳市亞略特生物識別科技有限公司、廣州廣電運通金融電子股份有限

公司、深圳市騰訊計算機系統(tǒng)有限公司。

2015年3月，公安部安全與警用電子產(chǎn)品質(zhì)量檢測中心作為召集單位，申請

國家信息安全標準編制任務《信息安全技術(shù)人臉識別認證系統(tǒng)技術(shù)要求》，2015

年8月，簽訂國家信息安全標準編制任務合同，啟動標準項目編制工作。

2015年7月，檢測中心組織參編單位召開標準編制單位第一次工作會，對標

準編制的組織形式及任務分工進行了安排，在此基礎上形成標準草案第一稿。

2015年11月，檢測中心組織參編單位召開標準編制單位第二次工作會，討論

應具備的功能要求、性能要求。同時，依據(jù)遠程人臉識別認證系統(tǒng)所面臨的安全

問題分析，將其劃分為基本級和增強級兩個安全級別，分別提出了安全功能要求，

在此基礎上形成標準草案第二稿。

2016年5月，檢測中心組織參編單位召開標準編制單位第三次工作會，討論

系統(tǒng)架構(gòu)、流程，形成標準草稿第三稿。

2016年7月，檢測中心組織參編單位召開標準編制單位第四次工作會，討論

活體檢測技術(shù)，根據(jù)PAD(presentationattackdetection)的通用分類，將原有

的分類改為自發(fā)性、主動性、多因子的活體檢測分類，形成標準草稿第四稿。

2017年3月6日，檢測中心在北京應物會議中心組織召開了《信息安全技術(shù)基

于互聯(lián)網(wǎng)的人臉識別認證系統(tǒng)技術(shù)要求》標準討論會議。會議邀請WG4組專家就

標準草案進行了評審。專家建議標準名稱調(diào)整為《信息安全技術(shù)遠程人臉識別

認證系統(tǒng)技術(shù)要求》，并考慮人臉、指紋、虹膜標準的一致性問題。

2017年3月22日，檢測中心組織召開生物特征識別安全標準討論會。會議召

集《信息安全技術(shù)遠程人臉識別認證系統(tǒng)技術(shù)要求》、《信息安全技術(shù)指紋識

別系統(tǒng)技術(shù)要求》、《信息安全技術(shù)虹膜識別系統(tǒng)技術(shù)要求》三個標準的十二

國家標準征求意見稿資料

家主要編制單位就WG4組專家建議進行研討，并形成新版本的《信息安全技術(shù)遠

程人臉識別認證系統(tǒng)技術(shù)要求》標準草案。

2017年4月，參加TC260WG42017年第一次工作組會議周，32個成員單位現(xiàn)

場投票，WG4組建議2017年4月30日之前形成新一版標準草案。

2017年7月，編制項目組內(nèi)部工作會議，增加活體檢測分級要求。

2017年8月23日，參加TC260WG42017年第二次工作組會議周，WG4組建議2017

年9月23日之前形成新一版標準草案，標準名稱變?yōu)椤缎畔踩夹g(shù)基于可信環(huán)

境的遠程人臉識別認證系統(tǒng)技術(shù)要求》。

2017年10月16日，參加TC2602017年第二次工作組會議周WG4組第三次會議。

經(jīng)28個成員單位現(xiàn)場投票，WG4組的結(jié)論是形成征求意見稿，在2017年11月15日

之前提交。

2017年10月26日，參加TC260秘書處組織的國家標準專家審查會，會議邀請

中科院工信所、解放軍信息安全測評認證中心、中國電子標準化研究院、中科院

軟件所、中國信息通信研究院、北京大學、國家金融IC卡安全檢測中心等7位專

家，對人臉、指紋、虹膜三項生物特征相關(guān)安全標準進行了評審。專家建議調(diào)整

文本框架，從基本功能、性能、安全功能、安全保障4個部分進行描述，保證三

個標準的結(jié)構(gòu)一致。

2017年11月，參加TC260WG4秘書處組織的國家標準專家審查會。按照信安

標委會“關(guān)于46項信安標委標準報批稿專家審查發(fā)現(xiàn)的共性問題”統(tǒng)一要求，補

充完善編制說明。

2018年1月，根據(jù)《信息安全技術(shù)指紋識別系統(tǒng)技術(shù)要求》及《信息安全技

術(shù)虹膜識別系統(tǒng)技術(shù)要求》標準送審稿審查會會議意見修改標準文本結(jié)構(gòu)，保

持人臉、指紋、虹膜三個標準的結(jié)構(gòu)一致性。

2018年4月，參加TC260WG42018年第一次工作組會議周會議。

二、標準編制原則和確定主要內(nèi)容的論據(jù)及解決的主要問題

本標準在編制過程中在遵循以下原則：

1、先進性

本標準在起草過程中，結(jié)合了我國當前的信息安全技術(shù)的發(fā)展水平，深入

分析國際標準劃組織（包括ISO/IEO-第一聯(lián)合技術(shù)委員會、ITU-國際電信聯(lián)盟、

國家標準征求意見稿資料

NIST-美國國家標準與技術(shù)研究院、FIDO-在線快速身份認證聯(lián)盟等）制定的生

物特征識別相關(guān)技術(shù)標準內(nèi)容，吸收并采納了國際上信息安全的先進思想和優(yōu)秀

標準的先進模式，使本標準滿足信息安全技術(shù)進一步發(fā)展的需要。

2、兼容性

在本標準起草過程中，要與現(xiàn)行的國家信息安全方面的相關(guān)標準、條例保

持一致。特別參考了GB17859-1999《計算機信息系統(tǒng)安全保護等級劃分準則》、

GB/T20271-2006《信息安全技術(shù)信息系統(tǒng)安全通用技術(shù)要求》、GB/T

18336.2-2008《信息技術(shù)安全技術(shù)信息技術(shù)安全性評估準則第2部分：安全

功能要求》中的相關(guān)內(nèi)容。

3、可操作性

在充分考慮當前人臉別系統(tǒng)發(fā)展需求、用戶接受度和技術(shù)成熟度現(xiàn)狀的同

時，兼顧行業(yè)發(fā)展創(chuàng)新的趨勢，從滿足客戶服務需求出發(fā)，制定本標準，使利用

人臉識別系統(tǒng)進行身份驗證有標準可循。

本標準主要內(nèi)容包括以下7個章節(jié)：

第一章闡述本標準的目的及適用范圍。

第二章列舉制訂本標準規(guī)范性引用的內(nèi)容。

第三章對本標準中術(shù)語、定義和縮略語進行規(guī)定。

第四章對標準定義的參考模型進行闡述。本標準定義的基于可信環(huán)境的遠程

人臉識別認證系統(tǒng)，由客戶端、服務器端、安全傳輸通道組成。

第五章定義了基于可信環(huán)境的遠程人臉識別認證系統(tǒng)的等級劃分原則。

第六章分別描述了基礎級、增強級的基于可信環(huán)境的遠程人臉識別認證系統(tǒng)

的基本功能要求。

第七章分別描述了基礎級、增強級的基于可信環(huán)境的遠程人臉識別認證系統(tǒng)

的性能要求。

第八章分別描述了基礎級、增強級的基于可信環(huán)境的遠程人臉識別認證系統(tǒng)

的安全功能要求。

第九章分別描述了基礎級、增強級的基于可信環(huán)境的遠程人臉識別認證系統(tǒng)

的安全保障要求。

三、主要試驗[或驗證]情況分析

本標準適用于采用人臉識別技術(shù)進行用戶身份鑒別與認證的各種互聯(lián)網(wǎng)應

國家標準征求意見稿資料

用。本標準通過分析人臉識別認證系統(tǒng)的安全性，規(guī)避人臉識別認證系統(tǒng)的潛在

安全風險，規(guī)范人臉識別認證系統(tǒng)的安全功能，為各類人臉識別認證應用提供了

基礎安全方案參考。

本標準的主要起草單位覆蓋生物特征供應者、臉識別認證服務供應者、人臉

識別認證用戶、信息安全服務供應者等各個環(huán)節(jié)，實現(xiàn)了基于可信環(huán)境的遠程人

臉識別認證系統(tǒng)的解決方案和人臉識別認證產(chǎn)品，并已經(jīng)在金融、電信、社保等

國內(nèi)市場進行大規(guī)模推廣應用，其安全性、可靠性和高擴展性都已得到市場的認

可。

四、知識產(chǎn)權(quán)情況說明

本標準未涉及已知的專利等知識產(chǎn)權(quán)內(nèi)容。

六、采用國際標準和國外先進標準情況

（本章無內(nèi)容）

七、與現(xiàn)行相關(guān)法律、法規(guī)、規(guī)章及相關(guān)標準的協(xié)調(diào)性

本標準在編制過程中，已經(jīng)查閱了《中華人民共和國網(wǎng)絡安全法》、《中華人

民共和國電子簽名法》等相關(guān)法規(guī)，確保本標準內(nèi)容遵守相關(guān)法律規(guī)定。同時查

閱了《GB/T20271-2006信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求》、《GB/T

25070-2010信息安全技術(shù)信息系統(tǒng)等級保護安全設計技術(shù)要求》等信息安全

國家標準以及《GB/T26238-2010信息技術(shù)生物特征識別術(shù)語》等生物特征相關(guān)

標準，確保相關(guān)內(nèi)容和術(shù)語與這些標準的內(nèi)容保持協(xié)調(diào)一致。

八、重大分歧意見的處理經(jīng)過和依據(jù)

在TC260WG42017年第二次工作組會議周，組內(nèi)一致決議標準名稱變?yōu)椤缎?/p>

息安全技術(shù)基于可信環(huán)境的遠程人臉識別認證系統(tǒng)技術(shù)要求》。其他詳見標準

意見匯總處理表。

九、標準性質(zhì)的建議

本標準建議是推薦性國家標準。

十、貫徹標準的要求和措施建議

（本章無內(nèi)容）

十一、替