01 · 为什么需要对齐标准与合规
情报质量框架如果自创一套不可互通的语言，就会在跨组织共享时重新陷入"噪音"——这正是第1页要解决的同一类问题。对齐主流标准与法规，带来三重收益：互操作（STIX/TAXII 让 confidence、TLP、valid_until 可被机器交换）、可信（ISO/IEC 27001 等认证为情报能力提供外部背书）、合规（数据出境、个人信息、重要数据等有法定义务）。
对齐不等于照搬：标准是"最低共识"，组织仍需在第2–6页框架下沉淀自己的评级细则、阈值与评分卡；对齐解决"对外怎么说"，细则解决"对内怎么评"。
02 · 国际标准与框架
| 标准 / 框架 | 性质 | 与情报质量的关联 |
|---|---|---|
| ISO/IEC 27001:2022 A.5.7 | 国际管理体系标准（控制项） | 2022 版新增"Threat intelligence"控制项，要求收集并分析安全威胁信息以产出情报，并驱动防护动作；其配套 ISO/IEC 27002 将情报分为战略/战术/运营三层 |
| NIST SP 800-150 | 美国国家标准指引 | 《Guide to Cyber Threat Information Sharing》，系统阐述威胁信息的安全共享与协同机制（第3页闭环的治理参照） |
| STIX 2.1 / TAXII 2.1 | 机器可读交换标准 | confidence、Sighting、valid_until、TLP 等字段的载体，是本框架的机器交换底座（第2–4页） |
| FIRST TLP 2.0 | 共享分级协议 | RED/AMBER+STRICT/AMBER/GREEN/CLEAR 五级，定义"能传给谁"，与置信度正交（第4页） |
| ENISA（欧盟网络安全局） | 欧盟机构指引 | 发布威胁数据交换、CERT 协作相关指南（如 "Detect, SHARE, Protect" 系列），依《网络安全法》(EU) 2019/881 获得授权并支撑 EU-CyCLONe 网络与跨境协作 |
| CISA AIS（美国） | 政府共享计划 | Automated Indicator Sharing：免费、基于 STIX/TAXII 的实时机器可读指标共享，提供可选匿名与隐私/责任保护，自 2016 年起运行 |
| MITRE ATT&CK | 战术技术知识库 | 为 TTP 归因与证据提供统一语言，是第3页交叉验证、第5页特征工程的参照 |
注：上述标准的版本与条款以发布机构最新公开文本为准；本页仅作衔接性说明，落地时须核对原文。
03 · 国内标准与法规
| 文件 | 层级 | 与情报质量/共享的关联 |
|---|---|---|
| GB/T 36643-2018 | 国家标准 | 《信息安全技术 网络安全威胁信息格式规范》，威胁信息模型要求标注"可信度"，是国内共享平台对接的直接依据（第1–4页） |
| 网络安全法 | 法律 | 要求关键信息基础设施运营者境内运营中收集产生的个人信息与重要数据境内存储；因业务确需向境外提供的，应进行安全评估 |
| 数据安全法 | 法律 | 确立数据分类分级保护；重要数据处理者的重要数据出境安全管理义务，出境应依法开展安全评估 |
| 个人信息保护法 | 法律 | 个人信息出境须具备安全评估、标准合同或保护认证等条件之一；向境外提供敏感个人信息有更严格要求 |
| 促进和规范数据跨境流动规定 | 部门规章 | 细化数据出境制度：明确重要数据与个人信息出境的安全评估阈值、标准合同/认证路径及若干豁免情形（详见第4节） |
| 关键信息基础设施安全保护条例 | 行政法规 | 界定 CII 范围与保护要求，是"出境安全评估""境内存储"等义务的适用前提 |
| 网络数据安全管理条例 | 行政法规（2024年公布，2025年1月1日施行） | 细化网络数据处理者义务：数据分类分级、重要数据识别申报、风险监测与安全审计记录等，是情报平台数据治理的合规底座之一 |
04 · 跨境数据共享的合规要点
威胁情报一旦涉及跨境共享（如与海外伙伴、母公司或国际 ISAC 交换），首先应做数据分类：情报包中是否包含个人信息、是否涉及重要数据。依据我国数据出境相关规则，一般框架如下（以最新公布文本为准）：
- 应当申报安全评估的情形：关键信息基础设施运营者向境外提供个人信息或重要数据；其他数据处理者向境外提供重要数据，或累计向境外提供 100 万人以上个人信息（不含敏感）/1 万人以上敏感个人信息。
- 可走标准合同或认证路径的情形：未达上述规模且不涉及重要数据的个人信息出境，可依法订立个人信息出境标准合同或通过个人信息保护认证。
- 豁免与负面清单：若干场景（如履行个人作为一方合同所必需、自贸区负面清单外数据等）可免予申报；具体以现行规定与属地负面清单为准。
- 最小化与去标识：无论哪条路径，回传与共享都应遵循最小必要（第3页 6.2），对个人信息进行去标识/匿名化处理，避免把"溯源需要"变成"合规风险"。
合规红线：跨境情报共享不能"先共享、后补手续"。共享协议（MOU）中必须预先写明数据类别、出境路径、脱敏要求与争议处理；合规/法务须在第4页治理环节前置参与，而非事后救火。
在欧盟语境下，情报中的个人数据同样受 GDPR 约束，需满足合法性基础与数据最小化；NIS2 指令（Directive (EU) 2022/2555，自 2024 年 10 月起适用）则强化了关键与重要实体的事件报告与供应链/信息共享义务。跨国共享应"就高"满足双方法域要求。
05 · 情报分级与合规的映射
| 场景 | 最低分级/字段要求 | 合规附加动作 |
|---|---|---|
| 对外共享（含跨境） | confidence + TLP 双标注（第4页） | 数据分类 + 出境路径 + 最小化脱敏 + 法务审定 |
| 含个人信息指标 | 低/中即可进入狩猎，高需佐证 | 评估是否触发个人信息出境义务；优先去标识 |
| 含重要数据指标 | 严格分级与留存 | 境内存储优先；出境须安全评估 |
| 自动阻断/封禁 | 高 + 双高来源 + 独立佐证 | 留痕可审计，防止误封引发责任（第2、4页） |
| 参与 ISO 27001 体系 | 可证明的评级与动作链路 | 维护来源清单、分析记录、情报→动作证据（A.5.7 审计证据） |
06 · 情报质量成熟度模型（本课题建议）
下列 5 级模型为本课题提出的评估框架，用于组织自评与路线规划，并非既有标准；各级描述仅作能力阶梯示意。
| 等级 | 名称 | 关键能力 | 可度量信号 |
|---|---|---|---|
| L1 | 临时 / 无评级 | 情报靠人工经验，无统一评级与证据链 | 无 confidence、回传率≈0 |
| L2 | 人工评级 + 文档 | 引入 Admiralty/STIX 评级，关键情报附证据（第2、3页） | 核心情报评级覆盖率上升 |
| L3 | 标准化框架 | 双维度评级 + 证据链 + TLP + 时效纳入规范（第4页） | 合规双标注率、过期处理率 |
| L4 | 自动化 + 闭环 | 自动化评分引擎 + Sighting 反馈闭环 + 源信誉（第5、6页） | 回传率、校准偏差、误报率下降 |
| L5 | 协同 + 预测 | 跨组织协同、预测性质量、隐私计算评分（第8页展望） | 跨域互操作、预测误报命中率 |
07 · 治理与组织职责（深化）
在第4页治理基础上，将合规职能显式纳入：
- 合规 / 法务：出境路径审定、回传最小化审查、跨境与隐私合规把关、共享协议（MOU）条款；
- 数据保护职责：对个人信息的处理与出境做影响评估，落实去标识与同意/告知义务；
- 安全管理层：规范与阈值审批、重大误封/泄露问责（与第4页一致）；
- 平台工程：把合规规则（如"含个人信息指标禁止未评估出境"）固化为质量闸门（第4页 架构）；
- 第三方共享协议：明确回传义务、TLP 约束、争议处理与退出机制，作为对外共享的前置契约。
08 · ISO/IEC 27001 A.5.7 审计证据要点
ISO/IEC 27001:2022 控制项 A.5.7 要求组织建立信息收集与分析过程，收集并分析与信息安全相关的威胁要素、产出情报，以支撑防护决策与动作。认证审核中与本课题直接相关的证据类型：
- 来源清单与评级记录：情报源目录、源可靠性评级及其依据（第2页框架天然产出）；
- 分析过程记录：评级、证据链、复评与版本历史（第3页机制）；
- 情报 → 动作映射：高置信情报驱动的告警、狩猎或处置实例及其结果——呼应第8页"只看产出不看动作"的反模式，审核方关注的不只是"有情报"，而是"情报是否改变了行为"；
- 反馈与改进证据：回传统计、误报复盘、规则库变更记录（第3、4页闭环）；
- 人员能力证据：分析师培训与校准训练记录（第2页结构化分析技术培训的落地材料）。
结论：本课题的评分卡（第6页）与质量 KPI（第4页）在字段层面已覆盖上述证据要求；落地 ISO 27001 时可将评分卡与 KPI 看板直接映射为审核材料索引，避免"为认证而补文档"的双重维护。
本节参考来源（第7页）
以下均为真实、公开可查的权威来源；国内法规表述依据公开文本概括，具体适用以最新有效版本与主管部门解释为准，本页未虚构任何条款或数据。
ISO/IEC 27001:2022 附录 A 控制项 A.5.7 "Threat intelligence" 及 ISO/IEC 27002 三层情报说明：iso.org/standard/27001
NIST SP 800-150《Guide to Cyber Threat Information Sharing》（2016）：csrc.nist.gov/pubs/sp/800/150/final
OASIS STIX 2.1 / TAXII 2.1：docs.oasis-open.org/cti/stix/v2.1；docs.oasis-open.org/cti/taxii/v2.1
FIRST TLP 2.0：first.org/tlp；CISA Automated Indicator Sharing (AIS)：cisa.gov/ais（AIS 官方专页；2022 年 3 月起升级为 AIS 2.0）
ENISA（欧盟网络安全局）与《Cybersecurity Act》(EU) 2019/881：enisa.europa.eu；威胁数据交换指南 "Detect, SHARE, Protect"
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》：openstd.samr.gov.cn/bzgk/gb/
我国数据出境相关法规（网络安全法 / 数据安全法 / 个人信息保护法 / 促进和规范数据跨境流动规定）：国家网信办 cac.gov.cn；欧盟 GDPR (EU) 2016/679、NIS2 指令 (EU) 2022/2555 公开文本
10 · 引用标准的版本演进与复核追踪
第1页"版本时效"声明要求落地前核对最新有效版本。本节建立引用标准台账，作为半年度复核（第8页维护计划）的工作底稿：
| 标准 / 法规 | 本课题引用版本 | 演进动态（撰写时点公开信息） | 复核重点 |
|---|---|---|---|
| FIRST TLP | 2.0（2022-08 发布） | 2.0 版取代 1.0，CLEAR 取代 WHITE；FIRST 持续发布使用指南更新 | 级别定义微调 |
| ISO/IEC 27001 | 2022 版（A.5.7） | 2022 版为现行有效版；2022 版新增/合并控制项的过渡转换期已过 | 改版计划 |
| STIX / TAXII | 2.1（2021-06 OASIS Standard） | 2.2 版开发在 OASIS TC 持续进行，关注向后兼容承诺 | 新字段与废弃项 |
| GB/T 36643-2018 | 2018 版（现行有效） | 已列入修订计划，修订版（威胁情报系列标准之一）公开征求意见中；落地时应同时核对修订版进展 | 换版时间表 |
| 网络数据安全管理条例 | 2024 年公布（国务院令第790号），2025-01-01 施行 | 配套细则与标准（如数据分类分级规则）陆续出台 | 配套细则 |
| 数据出境规则 | 现行《促进和规范数据跨境流动规定》 | 申报门槛与豁免清单近年多次调整，各地负面清单持续更新 | 阈值与清单 |
复核动作：每半年对照台账逐项核对官方发布渠道（FIRST/ISO/OASIS/全国标准信息公共服务平台/国家网信办），更新"演进动态"列并评估是否触发本课题文本修订；复核记录写入版本维护日志（第8页第10节）。