2月26日,工业和信息化部官网发布《工业领域数据安全能力提升实施方案(2024-2026年)》(以下简称《实施方案》),工业和信息化部网络安全管理局同时发布了对《实施方案》若干重点问题的解读回应。
对于《实施方案》出台的背景,工信部网络安全管理局表示,2023年9月,全国新型工业化推进大会召开,推动新型工业化发展迈向新征程,工业领域数字化、网络化、智能化加速提质升级。在促进工业数据流通共享和开发利用的同时,伴随而来的大规模数据泄露、勒索攻击等风险形势日趋严峻,工业企业数据安全意识和能力普遍薄弱、地方主管部门监管工作缺抓手缺队伍、技术产品和服务供给不足等问题亟待研究解决。
总体看,加强数据安全保障是新型工业化发展绕不过的坎,是推进新型工业化行稳致远的基础和前提。
据悉,《实施方案》是指导未来三年工业领域数据安全工作的纲领性规划文件,以“到2026年底基本建立工业领域数据安全保障体系”为总体目标,分别从企业侧、监管侧、产业侧等方面明确各工作目标,致力于实现企业保护水平大幅提升、监管能力和手段更加健全、产业供给稳步提升。
具体目标来看,一是从行业数据安全意识和能力普及覆盖考虑,提出基本实现各工业行业规上企业数据安全要求宣贯全覆盖。二是紧抓重点企业和规上企业,实现数据分类分级保护的企业超4.5万家,至少覆盖年营收在各省(区、市)行业排名前10%的规上工业企业。三是标准先行、树立典型。立项研制国家、行业、团体等各类标准规范不少于100项,对企业履行数据安全保护责任义务加强细化标准指导。面向不少于10个重点行业遴选典型案例不少于200个,强化优秀应用实践的引领带动作用。四是加大人才培养,实现培训覆盖3万人次、培养人才超5000人。
《实施方案》从总体要求、重点任务、保障措施三方面提出主要内容:总体要求方面,明确了指导思想、基本原则和总体目标,在总体目标中细化了各项关键任务指标。重点任务方面,围绕提升工业企业数据保护、数据安全监管、数据安全产业支撑三类能力,明确提出11项任务。
其中,关于提升工业企业数据保护能力,提出了增强安全意识、开展重要数据保护、强化重点企业管理、深化重点场景保护4项任务;关于提升数据安全监管能力,提出了完善政策标准、加强风险防控、推进技术手段建设、锻造监管执法能力4项任务;关于提升数据安全产业支撑能力,提出了加大技术产品和服务供给、促进应用推广和供需对接、健全人才培养体系3项任务。
此外,在保障措施方面,围绕《实施方案》落地实施的保障需求,提出了加强组织协调、加大资源保障、强化成效评估、做好宣传引导4项工作。
工信部网络安全管理局表示,工业企业是履行数据安全保护责任和义务的主体。《实施方案》重点明确了提升工业企业数据保护能力的四项关键举措:一是增强数据安全意识,通过法律政策和标准宣贯培训等工作,普及提高企业安全意识。从明确责任人、建立健全管理体系和工作机制、配足岗位和人员队伍、定期开展教育培训等方面压实企业主体责任。引导企业将数据安全管理要求融入本单位发展战略和考核机制,同步推进业务发展和数据安全工作。
二是开展重要数据保护,指导存在重要数据的企业落实建立健全管理制度、识别报备重要数据、实施分级防护、定期开展风险评估、开展风险事件监测与应急处置等要求,对重要数据进行重点保护。
此外,还将强化重点企业数据安全管理,滚动编制工业领域数据安全风险防控重点企业名录。以及深化重点场景数据安全保护,聚焦数据处理场景、典型业务场景、易发频发风险场景和数据要素大规模流通交易场景,制定系列实践指南,指导企业精准施策。
对于数据安全监管方面,《实施方案》明确,要通过健全完善数据安全政策标准、技术手段、工作队伍等提升监管能力。在技术手段方面,提出要统筹建设工业和信息化领域数据安全管理平台,加快推进“部-省-企业”三级监测应急等技术能力建设和协同联动。建立工业领域数据安全工具库,为高效开展监管和保护工作提供规范化、便捷式工具服务等支撑。
工信部网络安全管理局指出,强大的数据安全技术、产品、服务和人才等产业支撑能力,是开展数据安全工作的重要保障。因此,《实施方案》将推动政产学研用各方协同提升数据安全产业支撑能力,重点从以下三方面布局未来三年产业发展:
一是加大技术产品和服务供给,提出共性技术优化升级、关键技术攻关和产品研发、新型安全架构设计、供给模式创新等任务。二是促进应用推广和供需对接,通过试点应用一批先进技术产品、打造一批解决方案、遴选推广一批典型案例以及组织一批沙龙等活动,充分盘活利用数据安全产业供需双方资源,激发产业创新活力。三是建立健全人才培养体系,围绕教材课程开发、人才资格认定、丰富人才培养形式、培养复合型管理人才与实战型技能人才、加强人才激励等方面不断培养壮大数据安全人才队伍。
采写:南都·湾财社记者 徐劲聪