ICS35.030 CCSL80 中华人民共和国国家标准 GB/T37939—2026 代替GB/T37939—2019 网络安全技术 网络存储安全技术要求 Cybersecuritytechnology—Technicalrequirementsfornetworkstoragesecurity 2026-05-25发布 2026-12-01实施 国家市场监督管理总局 国家标准化管理委员会发布目 次 前言 Ⅲ ………………………………………………………………………………………………………… 1 范围 1 ……………………………………………………………………………………………………… 2 规范性引用文件 1 ………………………………………………………………………………………… 3 术语和定义 1 ……………………………………………………………………………………………… 4 缩略语 1 …………………………………………………………………………………………………… 5 概述 2 ……………………………………………………………………………………………………… 6 安全功能要求 2 …………………………………………………………………………………………… 6.1 总则 2 ………………………………………………………………………………………………… 6.2 通用要求 2 …………………………………………………………………………………………… 6.3 访问安全 3 …………………………………………………………………………………………… 6.4 系统安全 3 …………………………………………………………………………………………… 6.5 数据安全 4 …………………………………………………………………………………………… 6.6 管理安全 7 …………………………………………………………………………………………… 7 安全保障要求 13 …………………………………………………………………………………………… 7.1 总则 13 ………………………………………………………………………………………………… 7.2 通用要求 13 …………………………………………………………………………………………… 7.3 开发 13 ………………………………………………………………………………………………… 7.4 指导性文档 15 ………………………………………………………………………………………… 7.5 生存周期管理 15 ……………………………………………………………………………………… 7.6 测试 17 ………………………………………………………………………………………………… 7.7 脆弱性评定 17 ………………………………………………………………………………………… 附录A(资料性) 安全功能要求能力说明 19 ……………………………………………………………… 附录B(资料性) 安全功能要求与安全保障要求对应章条 20 …………………………………………… 参考文献 22 …………………………………………………………………………………………………… ⅠGB/T37939—2026前 言 本文件按照GB/T1.1—2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定 起草。 本文件代替GB/T37939—2019《信息安全技术 网络存储安全技术要求》,与GB/T37939—2019 相比,除结构调整和编辑性改动外,主要技术变化如下: a) 删除了“产品描述”一章(见2019年版的第5章); b) 在“通用要求”中增加了符合GB42250—2022的具体要求(见6.2、7.2); c) 更改了“访问控制”第一级、第二级、第三级的安全功能要求(见6.3.2,2019年版的6.1.2.2、 6.2.2.2、6.3.2.2); d) 删除了“概述”(见2019年版的6.1.1、6.2.1、6.3.1); e) 更改了“设备可靠运行支持”第二级、第三级的安全功能要求(见6.4.1.2、6.4.1.3,2019年版的 6.2.3.1、6.3.3.1); f) 更改了“软件及软件运行安全”第一级、第二级、第三级的安全功能要求(见6.4.3,2019年版的 6.1.3.3、6.2.3.4、6.3.3.4); g) 更改了“安全加固”第二级、第三级的安全功能要求(见6.4.5,2019年版的6.2.3.5、6.3.3.5); h) 增加了“资源隔离”第二、三级的安全功能要求(见6.4.7); i) 增加了“硬件可靠性”第三级的安全功能要求(见6.4.9); j) 更改了“存储数据的完整性”第二级、第三级的安全功能要求(见6.5.1.1.2、6.5.1.1.3,2019年版 的6.2.4.1.1、6.3.4.1.1); k) 更改了“数据保密性”第二级、第三级的安全功能要求(见6.5.2.1.2、6.5.2.1.3,2019年版的 6.2.4.2、6.3.4.2.1); l) 更改了“剩余信息保护”第三级的安全功能要求(见6.5.2.2,2019年版的6.3.4.2.2); m) 更改了“数据冗余”第一级、第二级、第三级的安全功能要求(见6.5.3.3,2019年版的6.1.4.3.3、 6.2.4.3.3、6.3.4.3.3); n) 增加了“链路断开”第三级的安全功能要求(见6.5.3.4); o) 更改了“高可用”第三级的安全功能要求(见6.5.3.5,2019年版的6.3.4.3.4); p) 更改了“口令安全管理”第一级、第二级、第三级的安全功能要求(见6.6.2.2,2019年版的 6.1.5.2.2、6.2.5.2.2、6.3.5.2.2); q) 删除了“密码算法”第一级、第二级的安全功能要求,更改了第三级的安全功能要求(见 6.6.4,2019年版的6.1.5.4、6.2.5.4、6.3.5.4); r) 更改了“审计数据产生”第二级、第三级的安全功能要求(见6.6.5.1.2,2019年版的6.2.5.5.1、 6.3.5.5.1); s) 更改了“审计数据存储”第一级、第二级、第三级的安全功能要求(见6.6.5.3,2019年版的 6.1.5.5.3、6.2.5.5.3、6.3.5.5.3); t) 更改了“配置管理范围”第一级、第二级、第三级的安全保障要求(见7.5.2,2019年版的7.1.3.2、 7.2.3.2、7.3.3.2); u) 删除了“开发安全”(见2019年版的7.2.3.4、7.3.3.4); v) 增加了“开发者环境安全”(见7.5.4); w) 删除了“生命周期定义”(见2019年版的7.2.3.5、7.3.3.5); ⅢGB/T37939—2026x) 增加了“开发生存周期”(见7.5.5); y) 更改了“工具和技术”第三级的安全保障要求(见7.5.6,2019年版的7.3.3.6); z) 更改了“深度”第二级、第三级的安全保障要求(见7.6.2,2019年版的7.2.4.2、7.3.4.2); aa) 删除了“代码测试”(见2019年版的7.1.4.4、7.2.4.5、7.3.4.5); ab) 更改了“脆弱性评定”第一级、第二级、第三级的安全保障要求(见7.7,2019年版的7.1.5、 7.2.5、7.3.5)。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国网络安全标准化技术委员会(SAC/TC260)提出并归口。 本文件起草单位:中国电子技术标准化研究院、华为技术有限公司、公安部第三研究所、华中科技大 学、桂林电子科技大学、中国移动信息技术有限公司、浪潮电子信息产业股份有限公司、深信服科技股份 有限公司、南方电网数字电网集团信息通信科技有限公司、新华三技术有限公司、中国科学院信息工程 研究所、中国科学院软件研究所、陕西省网络与信息安全测评中心、上海市信息安全测评认证中心、中国 软件评测中心、长扬科技(北京)股份有限公司、郑州信大捷安信息技术股份有限公司、联想(北京)有限 公司、兴唐通信科技有限公司、北京时代新威信息技术有限公司、上海观安信息技术股份有限公司、浙江 大华技术股份有限公司、山东商业职业技术学院、大唐高鸿信安(浙江)信息科技有限公司、天津天复检 测技术有限公司、山东中网云安智能科技有限公司、北京数安行科技有限公司。 本文件主要起草人:李琳、孟凡辉、陈妍、李彦峰、章倩、王孝丰、冯轶、邢希双、蒋涛涛、黄国栋、 张天洁、刘清林、赵新强、王惠莅、王芳、李春海、曹雅琴、吴敬征、刘玉岭、朱雪峰、李霂琦、靳倩、徐佟海、 刘心宇、凌祥、秦巍、熊娇、陈新军、张璐、赵华、刘为华、杨利锋、蔡子凡、黄国强、王文君、张浩、卢国庆、 刘海洁、张宇、刘俊、杨亚楠、苏昭宇、李鹏、陈强、安健、刘玉红。 本文件及其所代替文件的历次版本发布情况为: ———2019年首次发布为GB/T37939—2019; ———本次为第一次修订。 ⅣGB/T37939—2026网络安全技术 网络存储安全技术要求 1 范围 本文件规定了网络存储的安全功能要求、安全保障要求。 本文件适用于网络存储的设计、开发、测试与评估。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文 件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于 本文件。 GB/T25069—2022 信息安全技术 术语