T/CITIF 004-2023 人脸识别应用安全评估指南

ICS35.240

CCSL80

团体标准

T/CITIF004—2023

人脸识别应用安全评估指南

Guidetosecurityevaluationforfacerecognition

application

2023-08–21发布2023-08–21实施

中国电子信息行业联合会发布

目次

前言................................................................................II

引言...............................................................................III

1范围.................................................................................1

2规范性引用文件.......................................................................1

3术语和定义...........................................................................1

4人脸识别数据处理流程.................................................................2

5人脸识别应用安全评估内容.............................................................2

5.1概述..............................................................................2

5.2应用单位..........................................................................2

5.3人员安全..........................................................................3

5.4数据安全..........................................................................3

5.5系统安全..........................................................................3

5.6服务安全..........................................................................4

附录A（资料性）人脸识别应用安全评估表格.............................................5

I

前言

本标准按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起

草。

本标准由中国电子信息行业联合会提出并归口。

请注意本标准的某些内容可能涉及专利，本标准的发布机构不承担识别专利的责任。

本标准起草单位：国家工业信息安全发展研究中心、国家语音及图像识别产品质量检验检测中心、

小视科技（江苏）股份有限公司、杭州海康威视数字技术股份有限公司、上海依图网络科技有限公司、

上海商汤智能科技有限公司、深信服科技股份有限公司、北京智游网安科技有限公司、蚂蚁科技集团股

份有限公司、北京百度网讯科技有限公司、罗克佳华科技集团股份有限公司、大同市数字政府服务中心、

北京信源电子信息技术有限公司大同分公司、北京信源电子信息技术有限公司吉安分公司。

本标准主要起草人：朱倩倩、汪慕峰、刘永东、李美桃、杨帆、李双、王晶晶、王升国、种国双、

高云龙、倪邦杰、乔思渊、赵春昊、成瑾、鲍旭华、马红丽、韩云、林冠辰、郭建领、李世勇、薛学琴、

周永修、韩杰、马国斌。

II

引言

人脸识别是一种基于人的面部特征信息进行身份识别的生物识别技术。在应用人脸识别技术后，

采集到的人脸图像经过算法的处理得到人脸识别数据，进而实现更加准确高效的身份识别，提升应用

单位的管理能力和业务水平。人脸识别应用场景广泛，但人脸识别应用安全制度还不完善，使应用单

位人员的人脸识别数据和可能关联单位业务的系统面临安全风险。当政府部门、高新企业、科研院所

等重点单位应用人脸识别技术时，建议特别关注安全问题。

政府部门、高新企业、科研院所等重点单位可参考本文件对人脸识别应用采取相应的安全技术和

管理措施，保障人脸识别应用安全。

III

人脸识别应用安全评估指南

1范围

本文件给出了评估人脸识别应用安全时涉及应用单位、人员安全、数据安全、系统安全和服务安

全方面的建议。

本文件适用于人脸识别应用单位对人脸识别应用进行安全评估，也适用于人脸识别系统的规划、

设计、建设和使用。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适

用于本文件。

GB/T25069—2022信息安全技术术语

GB/T38671—2020信息安全技术远程人脸识别系统技术要求

GB/T41772—2022信息技术生物特征识别人脸识别系统技术要求

GB/T41819—2022信息安全技术人脸识别数据安全要求

3术语和定义

GB/T25069—2022、GB/T41772—2022、GB/T41819—2022界定的以及下列术语和定义适用于本

文件。

3.1

人脸图像faceimage

自然人脸部信息的模拟表示或数字表示，也称人脸样本。

[来源:GB/T41819—2022，3.1，有修改]

3.2

人脸特征facefeature

从人脸图像提取的反映对应数据主体特征，用于比对的数值或标记。

[来源:GB/T41819—2022，3.2，有修改]

3.3

人脸识别数据facerecognitiondata

可识别自然人身份的人脸图像或人脸特征。

[来源:GB/T41819—2022，3.3]

3.4

人脸识别数据控制者datacontroller

有能力决定人脸识别数据处理目的、方式等的组织或个人。

3.5

人脸识别应用facerecognitionapplication

使用人脸识别技术来确认特定自然人或特定自然人身份的过程。

3.6

应用单位applicationunit

使用、控制人脸识别系统的组织。

3.7

1

用户user

使用人脸识别产品或服务不具备特殊权限的个体，特指人脸识别数据主体。

3.8

系统用户systemuser

能够对人脸识别系统进行特定操作，实现特定功能的人员。

注：系统用户指系统管理员、数据操作员和审计员等。

3.9

服务商serviceprovider

直接为应用单位提供或维护人脸识别产品/服务的组织。

注：服务商指供应商或集成商等。

4人脸识别数据处理流程

人脸识别系统通常要经过采集人脸图像、提取人脸特征和存储人脸识别数据，人脸识别数据处理

流程见图1。最终，通过人脸识别数据的比对实现人脸识别功能。

图1人脸识别数据处理流程

5人脸识别应用安全评估内容

5.1概述

人脸识别应用场景广泛，其安全风险主要源自人员、数据、系统和服务四个方面，应用单位需根

据自身单位性质和业务特点，配备相应管理措施和技术手段。本文件主要为政府部门、高新企业、科

研院所等应用单位的人脸识别应用开展安全评估提供指导，具体评估要点见参考附录A。

5.2应用单位

5.2.1单位情况

明确应用单位的类型，可分为政府部门、高新企业、科研院所等。

设立安全管理部门，并明确组织架构、岗位和岗位人员数量，以用于防范和响应安全事件。

5.2.2应用系统

记录应用单位范围内已部