YD/T 3645-2020 标准解读

一、核心指标体系梳理

• 账号生命周期管理：新建账号审批响应时间≤5秒；账号禁用/注销操作执行时延≤3秒；账号信息同步延迟≤2秒（跨系统）。
• 认证强度要求：密码策略须支持至少8位含大小写字母、数字、特殊字符四类组合；静态密码有效期≤90天；动态口令OTP生成周期严格为30秒±1秒；生物特征模板存储须采用FAR≤0.001%、FRR≤1.5%的算法（依据GB/T 37035-2018）。
• 授权控制精度：最小权限粒度达API级（HTTP Method+URI Path），RBAC角色数上限≥1000，ABAC策略规则数上限≥5000，策略生效延迟≤1秒。
• 审计日志完整性：关键操作（登录、权限变更、敏感数据访问）日志采集率100%；日志字段完备性≥28项（含事件ID、源IP、目标资源、操作结果、时间戳、用户ID、会话ID、设备指纹等）；日志存储保留期≥180天，异地备份RPO≤5分钟、RTO≤15分钟。
• 系统性能基准：并发用户数≥5000时，平均事务响应时间≤1.5秒（P95）；日志写入吞吐量≥20000条/秒；策略决策引擎QPS≥10000次/秒；单节点故障恢复时间≤30秒。
• 安全合规阈值：连续5次认证失败触发账户锁定（锁定时长≥15分钟）；异常登录行为检测覆盖IP地理跳变、非工作时段、高频失败等6类模式，误报率≤0.5%，漏报率≤0.1%。

二、关键参数精准释义

1. 账号同步延迟：以主账号库变更事务提交时刻为起点，至所有从属业务系统完成状态同步并返回ACK确认的时间差，以NTP校准时钟为统一基准，单位为毫秒，测量采样间隔≤100ms。
2. FAR/FRR数值：FAR（False Acceptance Rate）指合法用户被拒绝后，非法用户冒用成功概率；FRR（False Rejection Rate）指合法用户在1000次尝试中被错误拒绝次数占比；测试样本集须覆盖不同光照、姿态、年龄、性别维度，符合ISO/IEC 19795-1:2018抽样规范。
3. 策略生效延迟：授权策略发布至策略引擎完成加载、编译、缓存刷新并对外提供决策服务的时间，不含网络传输耗时，通过注入探针标记策略版本号与生效时间戳比对计算。
4. 日志字段完备性：按YD/T 3645-2020表3定义的28个强制字段逐项校验，缺失任一字段即计为不完备；其中“操作结果”字段须精确区分SUCCESS、FAILED、PARTIAL_SUCCESS三态，不得使用模糊值如“error”或“unknown”。
5. RPO/RTO指标：RPO（Recovery Point Objective）以最近一次成功日志块同步完成时刻为断点；RTO（Recovery Time Objective）自故障告警触发起，至审计服务恢复全量查询与实时分析能力止，以自动化监控脚本持续探测HTTP 200响应及ES集群health status=green为判定依据。

三、参数合格区间界定

四、参数管控实操建议

• 日常管控：部署嵌入式探针采集各模块时序指标，每5秒上报至时序数据库；密码策略、OTP周期、日志保留期等配置项须通过CMDB统一纳管，禁止手工修改，变更须经双人复核并触发自动合规扫描。
• 数据统计：响应时间类指标采用滑动窗口（15分钟）聚合P95值；日志完备性按每日0点启动批处理校验，输出缺失字段TOP5清单；FAR/FRR每季度执行第三方实验室认证测试，原始样本留存≥3年。
• 偏差修正：同步延迟超限立即触发链路诊断（DNS解析耗时、DB主从延迟、消息队列积压量）；OTP周期偏差＞0.5秒则强制重启认证服务容器并校准系统时钟；日志字段缺失由ETL作业自动补全（基于关联会话ID反查上下文），补全失败记录需人工介入，2小时内闭环。