GB/T 20984 信息安全风险评估标准

低空经济数字化潮起，信息安全风险评估国标筑牢产业底座

2024年上半年，国内eVTOL（电动垂直起降飞行器）示范运行试点落地深圳、上海等6座城市，低空出行商业化落地进入倒计时；多地低空飞行服务平台陆续上线，截至9月全国已有超过1200架民用无人机完成低空数字化备案——当低空经济从零散的作业服务转向系统化的数字协同产业，信息安全的隐形风险正在成为悬在产业头顶的达摩克利斯之剑：飞控数据泄露可能导致飞行器被劫持篡改航线，低空服务平台的用户信息、空域调配数据一旦被攻破，甚至可能引发大面积低空运行混乱。2022年11月正式实施的新版GB/T 20984-2022《信息安全技术 信息安全风险评估方法》，正在成为低空经济数字化转型过程中，填补安全规范空白、统一风险评估口径的核心国家标准。

很多人对GB/T 20984的第一印象是“老牌通用安全标准”，但不少业内人士容易忽略，现行版本是2022年4月15日由国家标准化管理委员会正式发布、同年11月1日实施的更新版本，由全国网络安全标准化技术委员会（TC260）归口执行，也是当前国内信息安全风险评估领域唯一的现行通用国标。相较于2007年的旧版，新版标准适应了近年来数字经济、新产业新业态的安全需求，也为低空经济这类跨界新兴产业提供了可落地的风险评估方法论框架。

不同于互联网行业早已建立成熟的信息安全评估体系，低空经济的信息安全风险有极强的产业特殊性：它横跨了航空运行、物联网、云计算、移动通信多个领域，风险点既有飞行器终端的感知传输风险，也有低空运行服务平台的数据存储与调配风险，甚至牵扯到与民航、空管部门的信息交互安全。在此之前，行业内的风险评估大多参照通用互联网安全要求，或是航空业的既有规范，没有统一的评估方法与口径，不同第三方机构给出的评估结果往往差距较大，给企业的安全整改带来了不小困扰。

广州某低空无人机物流企业的安全负责人透露，2022年标准实施前，企业曾经先后找两家第三方机构做平台信息安全风险评估，一家将“飞控数据传输加密不足”评定为中等风险，另一家则因为该风险可能引发坠机、航线偏离，直接评定为重大风险，两次评估结果的差异让企业在安全投入上左右为难：如果按照重大风险整改，仅加密升级就要投入近200万元，占企业当年研发预算的15%；如果按照中等风险整改，又担心留下安全隐患。而新版GB/T 20984实施后，统一了资产识别、威胁识别、脆弱性识别到风险分析的全流程方法，企业第三次做评估时，两家机构得出的风险等级结论完全一致，最终企业按照标准给出的风险处置建议，针对性完成了分级整改，投入控制在80万元，也满足了监管要求。

这个案例恰恰印证了GB/T 20984对于新兴产业的核心价值：它不是一个强制准入门槛，而是给全行业提供了统一的“风险标尺”。按照标准的规范，任何信息系统的风险评估都要遵循“资产识别-威胁分析-脆弱性梳理-风险赋值-风险处置”的完整流程，对于低空经济这类新兴产业来说，这个框架可以直接适配不同场景的安全需求：针对工业无人机植保作业场景，评估核心放在飞行作业数据和农田测绘信息的泄露风险；针对城市低空物流场景，核心放在用户地址信息、配送航线数据的完整性保护；针对eVTOL载人出行场景，则将飞控系统入侵、乘客生物信息泄露列为最高等级的评估对象。

从产业监管的角度看，GB/T 20984也解决了当前低空经济开放过程中，监管部门对安全合规性核查的标准依据问题。今年7月，交通运输部印发《低空经济发展行动计划（2024—2026年）》，明确要求“完善低空领域网络安全保障体系，提升关键信息基础设施防护能力”，而落地风险防护的第一步，就是要完成合规的风险评估。目前深圳、重庆等低空经济示范省市，已经明确要求新建低空飞行服务平台上线前，必须按照GB/T 20984完成第三方信息安全风险评估，出具合格评估报告后方可投入运营。截至2024年10月，深圳已经有11个新建低空服务项目按照该标准完成评估，其中2个项目因为被识别出“未对空管交互接口做权限分级”的中高危风险，完成整改后才获准试运行，提前规避了可能影响空域运行秩序的安全隐患。

值得注意的是，GB/T 20984作为推荐性国家标准，其行业影响力正在从合规要求转向产业竞争力的塑造。今年9月，国内头部eVTOL企业亿航智能在申请中国民航局型号合格证的过程中，主动按照GB/T 20984完成了全系统信息安全风险评估，针对评估发现的3项中风险问题完成了固件升级，这一举措也成为其通过安全审核的重要加分项。亿航智能负责信息安全的相关负责人表示，对于载人低空飞行器来说，信息安全的信任背书直接影响市场对产品的接受度，通过符合国标的风险评估，本质是向市场和监管证明自身的安全能力，这在产业发展初期是非常重要的竞争力。

当然，作为通用型标准，GB/T 20984在低空经济领域的落地也还存在细化空间。目前标准只给出了通用的评估方法框架，还没有针对低空飞行器终端、低空服务平台等具体场景的细化评估指标，部分中小无人机企业反映，在对照标准做自我评估的时候，还是存在“尺度不好把握”的问题。业内已经有不少声音呼吁，尽快出台针对低空经济领域的GB/T 20984应用指南，结合低空产业的风险特点细化风险赋值标准，让中小企业也能低成本完成合规评估。

从整个数字经济的发展脉络看，GB/T 20984的更新与推广，本质是国内信息安全标准体系跟随产业创新迭代的一个缩影：当新产业从萌芽走向规模化，统一的安全标准一定是产业成熟的前置条件。对于正在起飞的低空经济来说，GB/T 20984提供的不仅仅是一套风险评估方法，更是产业数字化发展的安全底座——只有把信息安全风险讲清楚、管到位，低空经济才能放开手脚商业化，真正成长为国民经济的新增长点。据业内机构预测，到2025年，国内低空经济核心产业规模将超过1万亿元，其中超过60%的产值将来自数字化相关服务，依托GB/T 20984建立统一的信息安全评估秩序，其带来的产业价值，远不止于安全本身。