http://m.casecurityhq.com 2024-02-27 09:01 來源:工信部
近日,工業(yè)和信息化部印發(fā)《工業(yè)領域數據安全能力提升實施方案(2024—2026年)》(工信部網安〔2024〕34號),(以下簡稱《實施方案》)?,F就重點問題回應如下:
一、《實施方案》出臺的背景?
數據是數字經濟時代的關鍵新型生產要素,與國家經濟運行、社會治理、公共服務等方面密切相關,保障數據安全已成為事關國家安全與經濟社會發(fā)展的重大問題。2023年9月,全國新型工業(yè)化推進大會召開,推動新型工業(yè)化發(fā)展邁向新征程,工業(yè)領域數字化、網絡化、智能化加速提質升級,在促進工業(yè)數據流通共享和開發(fā)利用的同時,伴隨而來的大規(guī)模數據泄露、勒索攻擊等風險形勢日趨嚴峻,工業(yè)企業(yè)數據安全意識和能力普遍薄弱、地方主管部門監(jiān)管工作缺抓手缺隊伍、技術產品和服務供給不足等問題亟待研究解決??傮w看,加強數據安全保障是新型工業(yè)化發(fā)展繞不過的坎,是推進新型工業(yè)化行穩(wěn)致遠的基礎和前提。
黨中央、國務院高度重視數據安全和新型工業(yè)化工作,習近平總書記多次作出重要指示,強調要“把安全貫穿數據治理全過程”“把必須管住的堅決管到位”“統(tǒng)籌發(fā)展和安全,深刻把握新時代新征程推進新型工業(yè)化的基本規(guī)律”?!稊祿踩ā贰豆I(yè)和信息化領域數據安全管理辦法(試行)》等法律政策陸續(xù)出臺,為工信領域數據安全監(jiān)管和保護工作提供了指導和依據。為貫徹落實習近平總書記重要指示精神和黨中央、國務院決策部署,將法律政策要求在工業(yè)領域再細化、再落實,切實提出符合行業(yè)特色、針對突出問題的任務舉措,有效促進工業(yè)領域數據安全保護水平躍升,我部研究起草了《實施方案》,分步驟、有重點地指導各方扎實推進工業(yè)領域數據安全工作。
二、《實施方案》的定位和目標是什么?
《實施方案》是指導未來三年工業(yè)領域數據安全工作的綱領性規(guī)劃文件,以“到2026年底基本建立工業(yè)領域數據安全保障體系”為總體目標,分別從企業(yè)側、監(jiān)管側、產業(yè)側等方面明確各工作目標,致力于實現企業(yè)保護水平大幅提升、監(jiān)管能力和手段更加健全、產業(yè)供給穩(wěn)步提升:
一是從行業(yè)數據安全意識和能力普及覆蓋考慮,提出基本實現各工業(yè)行業(yè)規(guī)上企業(yè)數據安全要求宣貫全覆蓋。
二是緊抓重點企業(yè)和規(guī)上企業(yè),實現數據分類分級保護的企業(yè)超4.5萬家,至少覆蓋年營收在各省(區(qū)、市)行業(yè)排名前10%的規(guī)上工業(yè)企業(yè)。
三是標準先行、樹立典型。立項研制國家、行業(yè)、團體等各類標準規(guī)范不少于100項,對企業(yè)履行數據安全保護責任義務加強細化標準指導。面向不少于10個重點行業(yè)遴選典型案例不少于200個,強化優(yōu)秀應用實踐的引領帶動作用。
四是加大人才培養(yǎng),實現培訓覆蓋3萬人次、培養(yǎng)人才超5000人。
三、《實施意見》的主要內容是什么?
《實施方案》堅持統(tǒng)籌發(fā)展和安全,堅持底線思維和極限思維,堅持目標導向和問題導向,以構建完善工業(yè)領域數據安全保障體系為主線,以落實企業(yè)主體責任為核心,以保護重要數據、提升監(jiān)管能力、強化產業(yè)支撐等為重點,從總體要求、重點任務、保障措施三方面提出主要內容:
一是總體要求方面,明確了指導思想、基本原則和總體目標,在總體目標中細化了各項關鍵任務指標。
二是重點任務方面,圍繞提升工業(yè)企業(yè)數據保護、數據安全監(jiān)管、數據安全產業(yè)支撐三類能力,明確提出11項任務。其中,關于提升工業(yè)企業(yè)數據保護能力,提出了增強安全意識、開展重要數據保護、強化重點企業(yè)管理、深化重點場景保護4項任務;關于提升數據安全監(jiān)管能力,提出了完善政策標準、加強風險防控、推進技術手段建設、鍛造監(jiān)管執(zhí)法能力4項任務;關于提升數據安全產業(yè)支撐能力,提出了加大技術產品和服務供給、促進應用推廣和供需對接、健全人才培養(yǎng)體系3項任務。
三是保障措施方面,圍繞《實施方案》落地實施的保障需求,提出了加強組織協(xié)調、加大資源保障、強化成效評估、做好宣傳引導4項工作。
四、《實施方案》明確如何提升工業(yè)企業(yè)數據保護能力?
工業(yè)企業(yè)是履行數據安全保護責任和義務的主體?!秾嵤┓桨浮分攸c明確了提升工業(yè)企業(yè)數據保護能力的四項關鍵舉措:
一是增強數據安全意識,通過法律政策和標準宣貫培訓等工作,普及提高企業(yè)安全意識。從明確責任人、建立健全管理體系和工作機制、配足崗位和人員隊伍、定期開展教育培訓等方面壓實企業(yè)主體責任。引導企業(yè)將數據安全管理要求融入本單位發(fā)展戰(zhàn)略和考核機制,同步推進業(yè)務發(fā)展和數據安全工作。
二是開展重要數據保護,指導存在重要數據的企業(yè)落實建立健全管理制度、識別報備重要數據、實施分級防護、定期開展風險評估、開展風險事件監(jiān)測與應急處置等要求,對重要數據進行重點保護。
三是強化重點企業(yè)數據安全管理,滾動編制工業(yè)領域數據安全風險防控重點企業(yè)名錄,對名錄內企業(yè)既要督促其著重提升風險監(jiān)測、態(tài)勢感知、威脅研判和應急處置等能力,又要發(fā)揮各級技術力量加強技術支持。
四是深化重點場景數據安全保護,聚焦數據處理場景、典型業(yè)務場景、易發(fā)頻發(fā)風險場景和數據要素大規(guī)模流通交易場景,制定系列實踐指南,指導企業(yè)精準施策。
五、《實施方案》明確監(jiān)管部門如何提升數據安全監(jiān)管能力?
健全完善數據安全政策標準、技術手段、工作隊伍等是提升監(jiān)管能力的重要基礎?!秾嵤┓桨浮窂漠斍皵祿踩O(jiān)管急需出發(fā),重點明確了提升監(jiān)管能力的四項關鍵舉措:
一是完善數據安全政策標準,具體包括建立健全政策制度、完善全流程監(jiān)管機制、研制重點急需標準等任務,并鼓勵地方積極制定相關政策。
二是加強數據安全風險防控,在做好風險信息報送與共享、組建風險分析專家組、動態(tài)管理風險直報單位庫、建立重大風險事件案例庫、加強風險提示等常態(tài)化工作基礎上,打造“數安護航”專項行動和“數安鑄盾”應急演練2個品牌活動,有效提升風險事件防范和處置水平。
三是推進數據安全技術手段建設,統(tǒng)籌建設工業(yè)和信息化領域數據安全管理平臺,加快推進“部-省-企業(yè)”三級監(jiān)測應急等技術能力建設和協(xié)同聯(lián)動。建立工業(yè)領域數據安全工具庫,為高效開展監(jiān)管和保護工作提供規(guī)范化、便捷式工具服務等支撐。
四是鍛造數據安全監(jiān)管執(zhí)法能力,明確提出規(guī)范事件調查程序,豐富取證方法和手段,完善執(zhí)法流程機制和加強執(zhí)法案例宣介與警示教育。推動地方主管部門將數據安全納入行政執(zhí)法事項清單,打造專業(yè)化、規(guī)范化監(jiān)管執(zhí)法隊伍。
六、《實施方案》明確如何提升數據安全產業(yè)支撐能力?
強大的數據安全技術、產品、服務和人才等產業(yè)支撐能力,是開展數據安全工作的重要保障?!秾嵤┓桨浮吠苿诱a學研用各方協(xié)同提升數據安全產業(yè)支撐能力,重點從以下三方面布局未來三年產業(yè)發(fā)展:
一是加大技術產品和服務供給,提出共性技術優(yōu)化升級、關鍵技術攻關和產品研發(fā)、新型安全架構設計、供給模式創(chuàng)新等任務。
二是促進應用推廣和供需對接,通過試點應用一批先進技術產品、打造一批解決方案、遴選推廣一批典型案例以及組織一批沙龍等活動,充分盤活利用數據安全產業(yè)供需雙方資源,激發(fā)產業(yè)創(chuàng)新活力。
三是建立健全人才培養(yǎng)體系,圍繞教材課程開發(fā)、人才資格認定、豐富人才培養(yǎng)形式、培養(yǎng)復合型管理人才與實戰(zhàn)型技能人才、加強人才激勵等方面不斷培養(yǎng)壯大數據安全人才隊伍。
七、下一步如何推進《實施方案》落地見效?
下一步,要充分發(fā)揮部、省、企業(yè)、行業(yè)組織、專業(yè)機構、高等院校、安全企業(yè)等各方力量,協(xié)同扎實推進《實施方案》落實落細。
一要開展宣貫培訓。分片區(qū)組織開展政策宣貫,面向地方工信主管部門、工業(yè)企業(yè)等做好政策文件重點、要點解讀,切實提升行業(yè)數據安全保護意識和工作水平。鼓勵各行業(yè)、各地區(qū)、各有關企業(yè)結合實際開展系列宣貫培訓活動,加快將政策文件要求傳達到位、落實到位。
二要抓好組織實施。緊扣《實施方案》要求,分解形成工業(yè)領域數據安全工作年度計劃,明確各方任務分工,每年滾動跟蹤檢查工作進展、總結評估工作成效,對工作不力的加強督導落實,對表現突出的予以表揚激勵。督促指導各有關單位細化制定本單位工作方案,加強責任落實,加大資金、人員等各類資源的投入力度,高質量完成各項目標任務。
三要加強典型引領。及時總結各單位在《實施方案》落地推進過程中的優(yōu)秀經驗做法,遴選推廣典型案例,樹立行業(yè)標桿。引導各行業(yè)、各地區(qū)結合實際創(chuàng)新建立工作模式、組織開展特色活動,持續(xù)深入挖掘優(yōu)秀實踐并加強宣傳普及。