工信部發布加強IDC數據安全保護新政

發布日期：2025-01-16 13:55:42  瀏覽次數：348 來源：中國IDC圈

1月14日，工信部網站發布《工業和信息化部辦公廳關于加強互聯網數據中心客戶數據安全保護的通知》（下文簡稱“通知”），提出“權責一致、分類施策、技管結合、確保安全”的原則，要求IDC業務經營者加強客戶數據安全保障能力建設，提升客戶數據安全保護水平，以維護經濟社會穩定和國家安全。

通知中要求，加強服務器托管業務場景保障能力，并于附件《互聯網數據中心客戶數據安全保護實施指引》（下文簡稱“指引”）明確，IDC業務細分為三類業務場景：

一是服務器托管業務場景，指IDC業務經營者為客戶提供機房、機柜、設備租賃，以及設備維護等服務的業務模式。二是數據存儲業務場景，指IDC業務經營者為客戶提供數據存儲服務，以及相關數據上傳、下載、訪問等服務的業務模式。三是數據計算業務場景，指IDC業務經營者為客戶提供數據清洗、集成、分析、加工、展示、模型訓練以及算力調度等服務的業務模式。

對于典型業務場景安全風險，指引中也分為兩大類。一是機房基礎設施安全，包括自然環境災害、物理設施故障、設備管理不健全等。二是數據存儲、傳輸，以及算力調度、人工智能訓練等環節，數據安全保障措施配備不足，風險監測、資源監控和負載均衡等相關管理和技術手段不完善等。

此外，通知與指引明確了如下幾個方面：

明確責任主體和邊界，清晰界定各方責任。文件要求在合同中明確IDC業務經營者、客戶、第三方供應商等各方在數據安全保護方面的責任，避免責任不清、義務落實不到位的情況。

強化安全管理和技術措施，建立健全管理制度。包括數據安全管理制度、機構和人員設置、客戶管理、數據分類分級保護、數據訪問安全、數據操作安全、數據銷毀安全、數據隔離安全、高危操作安全、數據對外提供、業務可用性保障、安全事件應急處置等方面。

提升技術防護能力。強調了數據加密、脫敏、訪問控制、鑒權與校驗、日志記錄與審計、數據備份與恢復、防火墻、堡壘機、非法入侵檢測、防篡改、漏洞掃描、病毒防范、安全升級等安全防護能力的重要性。

推動行業規范和監督，鼓勵第三方評估。工業和信息化部將組織制定IDC業務客戶數據安全保護相關標準，建立能力分級評價體系，引導行業健康發展。鼓勵行業組織、專業機構依據能力評價結果，開展客戶數據安全保護能力分級，引導IDC業務客戶根據業務場景、數據重要程度等，按需選擇IDC業務。

通知旨在建立一個全方位、多層次、立體化的 IDC 客戶數據安全保護體系。通過明確責任、強化管理、提升技術、規范行業等措施，最終實現 IDC 業務客戶數據的安全、可控，保障客戶權益，促進行業健康發展，維護國家安全和社會穩定。