工信部印发《工业领域数据安全能力提升实施方案 (2024—2026年)》

工业和信息化部近日印发《工业领域数据安全能力提升实施方案（2024—2026年）》，提出到2026年底，我国工业领域数据安全保障体系基本建立。数据安全保护意识普遍提高，重点企业数据安全主体责任落实到位，重点场景数据保护水平大幅提升，重大风险得到有效防控。数据安全政策标准、工作机制、监管队伍和技术手段更加健全。数据安全技术、产品、服务和人才等产业支撑能力稳步提升。关键指标包括：基本实现各工业行业规上企业数据安全要求宣贯全覆盖；开展数据分类分级保护的企业超4.5万家，至少覆盖年营收在各省（区、市）行业排名前10%的规上工业企业；立项研制数据安全国家、行业、团体等标准规范不少于100项；遴选数据安全典型案例不少于200个，覆盖行业不少于10个；数据安全培训覆盖3万人次，培养工业数据安全人才超5000人。

关于印发《工业领域数据安全能力提升实施方案（2024—2026年）》的通知

工信部网安〔2024〕34号

各省、自治区、直辖市、计划单列市及新疆生产建设兵团工业和信息化主管部门，有关行业协会，有关企业，部属有关单位，部属各高校：

现将《工业领域数据安全能力提升实施方案（2024—2026年）》印发给你们，请认真抓好贯彻落实。

工业和信息化部

2024年2月23日

工业领域数据安全能力提升实施方案（2024—2026年）

数据作为新型生产要素，是数字化、网络化、智能化的基础，已快速融入生产、分配、流通等各环节，保障数据安全，事关国家安全大局。为贯彻落实习近平总书记关于数据安全的重要指示精神和党中央、国务院决策部署，推动《中华人民共和国数据安全法》《中华人民共和国网络安全法》《工业和信息化领域数据安全管理办法（试行）》等在工业领域落地实施，加快提升工业领域数据安全保护能力，助力工业高质量发展，夯实新型工业化发展的安全基石，制定本方案。

一、总体要求

（一）指导思想

以习近平新时代中国特色社会主义思想为指导，全面贯彻落实党的二十大精神，坚定不移贯彻总体国家安全观，坚持统筹发展和安全，坚持底线思维和极限思维，坚持目标导向和问题导向，以构建完善工业领域数据安全保障体系为主线，以落实企业主体责任为核心，以保护重要数据、提升监管能力、强化产业支撑等为重点，提高数据安全治理能力，促进数据要素安全有序流动和价值释放，为加快推进新型工业化，建设制造强国、网络强国和数字中国提供坚实支撑。

（二）基本原则

统筹推进，重点突破。加强顶层谋划，系统推进数据安全组织架构、政策制度、管理机制、标准规范、技术手段建设和产业发展工作。以强化重点行业、重点企业、重要系统平台、重要数据保护为切入点，以点带面促进整体保护水平提升。

政府引导，协同共治。综合运用正向激励和反向约束等方式，选树标杆典型，强化监管执法，压实企业主体责任。充分发挥行业协会、龙头企业、专业机构、高等院校等各方力量，形成数据安全协同治理的良好局面。

场景牵引，分业施策。摸清数据处理重点环节风险易发场景的特点规律，紧贴业务场景数据保护需求，强化科学防控。结合行业特色、数据特征等，差异化指导、精准化施策，加速提升行业数据安全管理水平。

创新驱动，技管结合。不断创新管理模式、技术、产品与服务，适应新时期工业领域数据安全保护新形势、新特点和新需求。注重“以技管数”手段建设和运用，与日常监管形成合力。

（三）总体目标

到2026年底，工业领域数据安全保障体系基本建立。数据安全保护意识普遍提高，重点企业数据安全主体责任落实到位，重点场景数据保护水平大幅提升，重大风险得到有效防控。数据安全政策标准、工作机制、监管队伍和技术手段更加健全。数据安全技术、产品、服务和人才等产业支撑能力稳步提升。

——基本实现各工业行业规上企业数据安全要求宣贯全覆盖。

——开展数据分类分级保护的企业超4.5万家，至少覆盖年营收在各省（区、市）行业排名前10%的规上工业企业。

——立项研制数据安全国家、行业、团体等标准规范不少于100项。

——遴选数据安全典型案例不少于200个，覆盖行业不少于10个。

——数据安全培训覆盖3万人次，培养工业数据安全人才超5000人。

二、重点任务

（一）提升工业企业数据保护能力

1.增强数据安全保护意识。加大数据安全法律法规和政策标准宣贯培训力度，提高各行业企业数据安全意识。督促企业依法依规落实数据安全主体责任，压实各单位法定代表人或主要负责人数据安全第一责任，建立健全数据安全管理体系和工作机制，配足数据安全岗位和人员队伍，定期开展数据安全教育培训。引导企业贯彻发展与安全并重原则，将数据安全管理要求融入本单位发展战略和考核机制，加强数据安全工作与业务发展同谋划、同部署、同落实、同考核。

2.开展重要数据安全保护。指导企业建立健全数据分类分级保护等安全管理制度，定期梳理识别重要数据和核心数据，形成目录并及时报备。督促重要数据和核心数据处理者明确数据安全负责人和管理机构，落实数据分级防护要求，每年至少开展一次数据安全风险评估，及时发现整改安全隐患，按要求报送评估报告。指导企业加强重要数据和核心数据安全风险监测与应急处置，及时报告重大风险事件。推动各行业企业加强商用密码应用保护数据安全。

3.强化重点企业数据安全管理。遴选掌握关键核心技术、代表行业发展水平、关系产业链安全稳定或关乎国家安全的企业，滚动编制工业领域数据安全风险防控重点企业名录。将名录内企业作为数据安全监管重点，督促其在落实数据安全要求基础上，着重提升风险监测、态势感知、威胁研判和应急处置等能力。发挥部省两级主管部门作用，统筹各方数据安全监测预警手段和技术力量，加强技术支持，协同做好企业数据安全保护。

4.深化重点场景数据安全保护。指导企业围绕数据汇聚、共享、出境、委托加工等重点数据处理场景，排查数据安全保护薄弱点，实施贴合行业特点的数据保护措施。聚焦供应链上下游协作、服务外包、上云上平台等典型业务场景，厘清多主体数据安全责任界面和衔接模式，建立全链条全方位数据安全保护体系。针对勒索病毒攻击、漏洞后门、人员违规操作、非受控远程运维等易发频发风险场景，加强风险自查自纠，采取精准的管理和防护措施。面向数据要素大规模流通交易典型场景，打造一批安全解决方案。

（二）提升数据安全监管能力

5.完善数据安全政策标准。建立健全工业领域数据安全管理制度，推动出台风险评估实施细则、应急预案、行政处罚裁量指引等政策文件。持续完善重要数据识别、备案、分级防护、风险评估等全流程监管机制，加强监督检查。组建工业领域网络与数据安全行业标准化组织，发布数据安全标准体系建设指南，加快研制重要数据识别、安全防护、风险评估、产品检测、密码应用等亟需标准。鼓励地方参照制定本地区数据安全政策。

6.加强数据安全风险防控。完善工业领域数据安全风险信息报送与共享工作机制，组建数据安全风险分析专家组，动态管理风险直报单位库，协同加强地方力量，常态化开展风险监测、报送、预警、处置等工作。摸排数据安全风险事件特点和规律，建立重大风险事件案例库，加强案例剖析和风险提示。面向重点行业开展“数安护航”专项行动，定期组织“数安铸盾”应急演练，提升事件快速反应、规范处置、协同联动水平。

7.推进数据安全技术手段建设。统筹建设工业和信息化领域数据安全管理平台，建立工业领域数据安全工具库，形成集数据资源管理、态势感知、风险信息报送与共享、技术测试验证、事件应急响应等功能于一体的技术能力，加强与网络安全技术、密码技术手段协同。推动有条件的地方、行业、企业等加快建立数据安全风险监测与应急处置等技术手段，强化“部-省-企业”技术能力三级联动，不断提升技术保障水平。

8.锻造数据安全监管执法能力。规范数据安全事件调查处置程序，丰富取证方法和手段。加快完善数据安全执法流程和工作机制，推动地方工业和信息化主管部门将数据安全纳入本地区行政执法事项清单，指导各行业、各地方依法严格处置违法行为，加强执法案例宣介与警示教育。建立健全数据安全违法违规行为投诉举报机制，多渠道收集违法违规线索。加大监管执法人员培训力度，推动地方工业和信息化主管部门强化数据安全监管力量，打造专业化、规范化监管执法队伍。

（三）提升数据安全产业支撑能力

9.加大技术产品和服务供给。加强工业数据智能分类分级、工业数据库审计、低时延加密传输等共性技术优化升级。加大适配工业业务场景和数据特征的轻量级数据加密、隐私计算、密态计算等关键技术攻关。支持使用商用密码技术保障工业领域数据安全。围绕工业数据泄露、窃取、篡改等风险，推动流量异常监测、攻击行为识别、事件追溯和处置等产品研发。加强面向工业云、工业大数据、工业互联网平台等新兴应用的数据安全架构设计。支持工业领域数据安全“产品+服务”供给模式创新。

10.促进应用推广和供需对接。加大多方安全计算、数据防勒索、数据溯源、商用密码等技术产品在工业领域的试点应用。组织遴选一批在各行业具有广泛应用价值的通用数据安全技术和产品，打造一批面向行业、面向场景、面向中小企业的数据安全解决方案，形成一批工业领域数据安全典型案例，分行业、分地区开展宣传推广。推动各行业利用主题沙龙、路演等渠道开展数据安全技术产品和服务供需对接活动。发挥数据安全产业公共服务平台作用，强化信息共享、资源对接等服务。

11.建立健全人才培养体系。面向不同行业、岗位、层级数据安全工作需求，推动专业化、特色化数据安全教材课程开发，规范化开展职业人才资格认定。支持产学研用各方加强合作，依托培训中心、实训基地、网络学习平台等联合培养复合型管理人才和实战型技能人才，通过技能竞赛、技术交流、学习进修、岗位练兵等形式持续促进人才知识更新和能力提升。鼓励工业企业建立健全数据安全绩效评价机制，加强数据安全人才激励。

三、保障措施

（一）加强组织协调。工业和信息化部加强工作统筹，做好与国家数据安全工作协调机制的衔接。各地工业和信息化主管部门负责组织实施本地区实施方案。鼓励各地结合实际制定细化工作方案，加强与相关部门合作，确保目标任务落实。充分发挥高校、科研院所、第三方机构等在实施方案宣贯、手段建设指导、技术交流合作、成果应用推广等方面的专业作用，引导企业加强数据安全能力建设。

（二）加大资源保障。统筹利用现有资金渠道，加大工业领域数据安全工作投入，支持关键核心技术攻关和公共服务平台建设。深化产融合作，支持数据安全企业参与“科技产业金融一体化”专项，通过国家产融合作平台获得便捷高效的金融服务。鼓励各地将数据安全纳入地方工业领域数字化转型发展相关规划，在支持数字化、网络化、智能化等项目时，同步明确数据安全要求。引导企业在信息化建设中为数据安全防护安排一定比例资金。

（三）强化成效评估。各行业、各地区及时跟踪调度实施方案落实情况，总结经验做法，评估工作成效，加强沟通交流，及时报告重大进展情况或问题。工业和信息化部对工作推动有力、取得明显成效的地区、企业和单位予以表扬，对优秀经验做法加强提炼总结和推广应用。

（四）做好宣传引导。综合利用产业活动、国际合作等方式，宣传普及工业领域数据安全理念和举措，提高地方、企业和公众对工业领域数据安全的认可度。充分调动行业协会、学会、产业联盟等力量，引导企业加强自律、凝聚共识，营造行业数据安全保护良好氛围。

七问+一图，读懂《工业领域数据安全能力提升实施方案（2024—2026年）》

近日，工业和信息化部印发《工业领域数据安全能力提升实施方案（2024—2026年）》（工信部网安〔2024〕34号），（以下简称《实施方案》）。现就重点问题回应如下：

一、《实施方案》出台的背景？

数据是数字经济时代的关键新型生产要素，与国家经济运行、社会治理、公共服务等方面密切相关，保障数据安全已成为事关国家安全与经济社会发展的重大问题。2023年9月，全国新型工业化推进大会召开，推动新型工业化发展迈向新征程，工业领域数字化、网络化、智能化加速提质升级，在促进工业数据流通共享和开发利用的同时，伴随而来的大规模数据泄露、勒索攻击等风险形势日趋严峻，工业企业数据安全意识和能力普遍薄弱、地方主管部门监管工作缺抓手缺队伍、技术产品和服务供给不足等问题亟待研究解决。总体看，加强数据安全保障是新型工业化发展绕不过的坎，是推进新型工业化行稳致远的基础和前提。

党中央、国务院高度重视数据安全和新型工业化工作，习近平总书记多次作出重要指示，强调要“把安全贯穿数据治理全过程”“把必须管住的坚决管到位”“统筹发展和安全，深刻把握新时代新征程推进新型工业化的基本规律”。《数据安全法》《工业和信息化领域数据安全管理办法（试行）》等法律政策陆续出台，为工信领域数据安全监管和保护工作提供了指导和依据。为贯彻落实习近平总书记重要指示精神和党中央、国务院决策部署，将法律政策要求在工业领域再细化、再落实，切实提出符合行业特色、针对突出问题的任务举措，有效促进工业领域数据安全保护水平跃升，我部研究起草了《实施方案》，分步骤、有重点地指导各方扎实推进工业领域数据安全工作。

二、《实施方案》的定位和目标是什么？

《实施方案》是指导未来三年工业领域数据安全工作的纲领性规划文件，以“到2026年底基本建立工业领域数据安全保障体系”为总体目标，分别从企业侧、监管侧、产业侧等方面明确各工作目标，致力于实现企业保护水平大幅提升、监管能力和手段更加健全、产业供给稳步提升：

一是从行业数据安全意识和能力普及覆盖考虑，提出基本实现各工业行业规上企业数据安全要求宣贯全覆盖。

二是紧抓重点企业和规上企业，实现数据分类分级保护的企业超4.5万家，至少覆盖年营收在各省（区、市）行业排名前10%的规上工业企业。

三是标准先行、树立典型。立项研制国家、行业、团体等各类标准规范不少于100项，对企业履行数据安全保护责任义务加强细化标准指导。面向不少于10个重点行业遴选典型案例不少于200个，强化优秀应用实践的引领带动作用。

四是加大人才培养，实现培训覆盖3万人次、培养人才超5000人。

三、《实施意见》的主要内容是什么？

《实施方案》坚持统筹发展和安全，坚持底线思维和极限思维，坚持目标导向和问题导向，以构建完善工业领域数据安全保障体系为主线，以落实企业主体责任为核心，以保护重要数据、提升监管能力、强化产业支撑等为重点，从总体要求、重点任务、保障措施三方面提出主要内容：

一是总体要求方面，明确了指导思想、基本原则和总体目标，在总体目标中细化了各项关键任务指标。

二是重点任务方面，围绕提升工业企业数据保护、数据安全监管、数据安全产业支撑三类能力，明确提出11项任务。其中，关于提升工业企业数据保护能力，提出了增强安全意识、开展重要数据保护、强化重点企业管理、深化重点场景保护4项任务；关于提升数据安全监管能力，提出了完善政策标准、加强风险防控、推进技术手段建设、锻造监管执法能力4项任务；关于提升数据安全产业支撑能力，提出了加大技术产品和服务供给、促进应用推广和供需对接、健全人才培养体系3项任务。

三是保障措施方面，围绕《实施方案》落地实施的保障需求，提出了加强组织协调、加大资源保障、强化成效评估、做好宣传引导4项工作。

四、《实施方案》明确如何提升工业企业数据保护能力？

工业企业是履行数据安全保护责任和义务的主体。《实施方案》重点明确了提升工业企业数据保护能力的四项关键举措：

一是增强数据安全意识，通过法律政策和标准宣贯培训等工作，普及提高企业安全意识。从明确责任人、建立健全管理体系和工作机制、配足岗位和人员队伍、定期开展教育培训等方面压实企业主体责任。引导企业将数据安全管理要求融入本单位发展战略和考核机制，同步推进业务发展和数据安全工作。

二是开展重要数据保护，指导存在重要数据的企业落实建立健全管理制度、识别报备重要数据、实施分级防护、定期开展风险评估、开展风险事件监测与应急处置等要求，对重要数据进行重点保护。

三是强化重点企业数据安全管理，滚动编制工业领域数据安全风险防控重点企业名录，对名录内企业既要督促其着重提升风险监测、态势感知、威胁研判和应急处置等能力，又要发挥各级技术力量加强技术支持。

四是深化重点场景数据安全保护，聚焦数据处理场景、典型业务场景、易发频发风险场景和数据要素大规模流通交易场景，制定系列实践指南，指导企业精准施策。

五、《实施方案》明确如何提升工业企业数据保护能力？

健全完善数据安全政策标准、技术手段、工作队伍等是提升监管能力的重要基础。《实施方案》从当前数据安全监管急需出发，重点明确了提升监管能力的四项关键举措：

一是完善数据安全政策标准，具体包括建立健全政策制度、完善全流程监管机制、研制重点急需标准等任务，并鼓励地方积极制定相关政策。

二是加强数据安全风险防控，在做好风险信息报送与共享、组建风险分析专家组、动态管理风险直报单位库、建立重大风险事件案例库、加强风险提示等常态化工作基础上，打造“数安护航”专项行动和“数安铸盾”应急演练2个品牌活动，有效提升风险事件防范和处置水平。

三是推进数据安全技术手段建设，统筹建设工业和信息化领域数据安全管理平台，加快推进“部-省-企业”三级监测应急等技术能力建设和协同联动。建立工业领域数据安全工具库，为高效开展监管和保护工作提供规范化、便捷式工具服务等支撑。

四是锻造数据安全监管执法能力，明确提出规范事件调查程序，丰富取证方法和手段，完善执法流程机制和加强执法案例宣介与警示教育。推动地方主管部门将数据安全纳入行政执法事项清单，打造专业化、规范化监管执法队伍。

六、《实施方案》明确如何提升数据安全产业支撑能力？

强大的数据安全技术、产品、服务和人才等产业支撑能力，是开展数据安全工作的重要保障。《实施方案》推动政产学研用各方协同提升数据安全产业支撑能力，重点从以下三方面布局未来三年产业发展：

一是加大技术产品和服务供给，提出共性技术优化升级、关键技术攻关和产品研发、新型安全架构设计、供给模式创新等任务。

二是促进应用推广和供需对接，通过试点应用一批先进技术产品、打造一批解决方案、遴选推广一批典型案例以及组织一批沙龙等活动，充分盘活利用数据安全产业供需双方资源，激发产业创新活力。

三是建立健全人才培养体系，围绕教材课程开发、人才资格认定、丰富人才培养形式、培养复合型管理人才与实战型技能人才、加强人才激励等方面不断培养壮大数据安全人才队伍。

七、下一步如何推进《实施方案》落地见效？

下一步，要充分发挥部、省、企业、行业组织、专业机构、高等院校、安全企业等各方力量，协同扎实推进《实施方案》落实落细。

一要开展宣贯培训。分片区组织开展政策宣贯，面向地方工信主管部门、工业企业等做好政策文件重点、要点解读，切实提升行业数据安全保护意识和工作水平。鼓励各行业、各地区、各有关企业结合实际开展系列宣贯培训活动，加快将政策文件要求传达到位、落实到位。

二要抓好组织实施。紧扣《实施方案》要求，分解形成工业领域数据安全工作年度计划，明确各方任务分工，每年滚动跟踪检查工作进展、总结评估工作成效，对工作不力的加强督导落实，对表现突出的予以表扬激励。督促指导各有关单位细化制定本单位工作方案，加强责任落实，加大资金、人员等各类资源的投入力度，高质量完成各项目标任务。

三要加强典型引领。及时总结各单位在《实施方案》落地推进过程中的优秀经验做法，遴选推广典型案例，树立行业标杆。引导各行业、各地区结合实际创新建立工作模式、组织开展特色活动，持续深入挖掘优秀实践并加强宣传普及。

如何构建未来产业体系和发展生态？

《实施意见》围绕技术供给、产品打造、主体培育、丰富场景、支撑体系等方面，构建未来产业的发展生态。

一是强化技术供给。发挥国家战略科技力量和领军企业作用，加快前沿技术和颠覆性技术突破，打造原创技术策源地。二是打造标志性产品。突破下一代智能终端，发展适应通用智能趋势的工业终端、面向数字生活新需求的消费级终端、智能适老的医疗健康终端和具备爆发潜能的超级终端。做优信息服务产品，发展下一代操作系统，推广开源技术。做强未来高端装备，突破人形机器人、量子计算机等产品。三是壮大产业主体。引导领军企业前瞻谋划新赛道，实施中央企业未来产业启航行动计划。建设未来产业创新型中小企业孵化基地，梯度培育专精特新中小企业、高新技术企业和“小巨人”企业。依托龙头企业培育未来产业产业链，建设先进技术体系。创建未来产业先导区，推动产业特色化集聚发展。加强产学研用协作，促进大中小企业融通发展、产业链上下游协同创新的生态体系。四是丰富应用场景。围绕装备、原材料、消费品等重点领域，面向设计、生产、检测、运维等环节打造应用试验场。加快工业元宇宙、生物制造等新兴场景推广。依托载人航天、深海深地等重大工程和项目场景，加速探索未来空间方向的成果创新应用。定期遴选发布典型应用场景清单和推荐目录，通过标杆示范、供需对接等方式建设标志性场景。五是优化产业支撑体系。实施新产业标准化领航工程，统筹布局未来产业标准化发展路线，加快重点标准研制。同步构建中试能力，为关键技术验证提供试用环境，加快推进新技术向现实生产力转化。大力培育未来产业领军企业家和科学家，优化鼓励原创、宽容失败的创新创业环境。深入推进5G、算力基础设施、工业互联网、物联网、车联网、千兆光网等建设，构建高速泛在、集成互联、智能绿色、安全高效的新型数字基础设施。

为推动重点任务实施，《实施意见》提出哪些保障措施？

《实施意见》从统筹协调、金融支持、安全治理、国际合作等四方面提出保障措施。一是加强统筹协调。加强部际协同、央地协作，以实施意见为指南，围绕脑机接口、量子信息等专业领域制定专项政策文件，形成完备的未来产业政策体系。二是加大金融支持。带动资本投早投小投硬科技，完善金融财税支持政策，鼓励政策性银行和金融机构等加大投入，引导地方设立未来产业专项资金。三是强化安全治理。坚持包容审慎的治理理念，加强伦理规范研究，科学划定“红线”和“底线”，构建鉴别-评估-防御-治理一体化机制。四是深化国际合作。鼓励国内企业与研究机构走出去，鼓励跨国公司、国外科研机构等在我国建设前沿技术研发中心，加强与相关国际组织合作，积极贡献中国产品、中国方案和中国智慧。

来源：工业和信息化部网络安全管理局

声明：本文来自工信微报，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。