導(dǎo) 讀
工業(yè)和信息化部近日印發(fā)通知，部署加強互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC)客戶數(shù)據(jù)安全保護。針對典型業(yè)務(wù)場景，提出明確安全責(zé)任界面、強化制度建設(shè)和組織保障、加強客戶管理、加強客戶數(shù)據(jù)安全保障、做好事件應(yīng)急處置等工作要求。引導(dǎo)各通信管理局、基礎(chǔ)電信運營企業(yè)和有關(guān)互聯(lián)網(wǎng)數(shù)據(jù)中心企業(yè)做好IDC客戶數(shù)據(jù)安全保護工作，推動IDC業(yè)務(wù)安全有序發(fā)展。
關(guān)于加強互聯(lián)網(wǎng)數(shù)據(jù)中心客戶數(shù)據(jù)安全保護的通知
工信廳網(wǎng)安〔2025〕5號
各省、自治區(qū)、直轄市通信管理局，中國電信集團有限公司、中國移動通信集團有限公司、中國聯(lián)合網(wǎng)絡(luò)通信集團有限公司，有關(guān)互聯(lián)網(wǎng)數(shù)據(jù)中心企業(yè)：
互聯(lián)網(wǎng)數(shù)據(jù)中心（以下簡稱IDC）作為新一代信息基礎(chǔ)設(shè)施，承載著千行百業(yè)的海量客戶數(shù)據(jù)，是關(guān)系國民經(jīng)濟命脈的重要戰(zhàn)略資源。提升IDC客戶數(shù)據(jù)安全保障能力，對于維護經(jīng)濟社會穩(wěn)定乃至國家安全至關(guān)重要。為指導(dǎo)IDC業(yè)務(wù)經(jīng)營者加強客戶數(shù)據(jù)安全保護，現(xiàn)將有關(guān)事項通知如下：
一、基本要求
（一）總體原則。根據(jù)《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全法》《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》等法律法規(guī)和政策要求，按照“權(quán)責(zé)一致、分類施策、技管結(jié)合、確保安全”的原則，加強客戶數(shù)據(jù)安全保障能力建設(shè)，提升客戶數(shù)據(jù)安全保護水平（具體實施指引見附件）。
（二）明確安全責(zé)任界面。在與客戶、第三方服務(wù)商等簽署的合同協(xié)議中，根據(jù)合作模式、內(nèi)容等，明確各方數(shù)據(jù)安全保護責(zé)任義務(wù)。
?。ㄈ娀贫冉ㄔO(shè)和組織保障。建立健全客戶數(shù)據(jù)安全管理制度，明確數(shù)據(jù)安全負(fù)責(zé)人和管理部門，強化客戶數(shù)據(jù)安全管理保障措施。
（四）加強客戶管理。建立客戶管理機制，按照客戶類別和數(shù)據(jù)保護需求，提供差異化安全保護措施供客戶選用。
（五）加強客戶數(shù)據(jù)安全保障。結(jié)合數(shù)據(jù)處理流程，明確數(shù)據(jù)訪問、操作、銷毀等重點環(huán)節(jié)的安全策略和流程機制，并做好數(shù)據(jù)隔離等保護措施。在實施可能影響客戶數(shù)據(jù)安全的高危操作和對外提供客戶數(shù)據(jù)前，應(yīng)告知客戶并取得授權(quán)。根據(jù)業(yè)務(wù)實際情況，通過冗余設(shè)計等，提高業(yè)務(wù)連續(xù)性和穩(wěn)定性。
（六）做好事件應(yīng)急處置。建立客戶數(shù)據(jù)安全事件應(yīng)急預(yù)案，定期開展應(yīng)急演練。因IDC業(yè)務(wù)經(jīng)營者原因引發(fā)客戶數(shù)據(jù)安全事件時，立即啟動應(yīng)急處置措施，及時告知客戶，并按有關(guān)要求向電信主管部門報告。
（七）提供安全防護服務(wù)能力。根據(jù)業(yè)務(wù)實際情況，提供數(shù)據(jù)安全技術(shù)能力，以及網(wǎng)絡(luò)安全防護產(chǎn)品或服務(wù)供客戶選擇。
二、加強服務(wù)器托管業(yè)務(wù)場景保障能力
（八）保障機房設(shè)施安全。規(guī)范機房安全管理，配備物理安全保障措施，加強機房權(quán)限、人員值守、消防系統(tǒng)等的安全保障，及時發(fā)現(xiàn)、消除安全隱患，防止客戶數(shù)據(jù)損毀、丟失。
（九）做好設(shè)備供應(yīng)鏈管理。涉及提供服務(wù)器、網(wǎng)絡(luò)設(shè)備等售賣、租賃服務(wù)的，加強設(shè)備采購安全管理，建立設(shè)備臺賬，做好設(shè)備上架前的安全檢查與定期維護更新，防范客戶數(shù)據(jù)被篡改、竊取。
三、加強數(shù)據(jù)存儲與計算業(yè)務(wù)場景保障能力
（十）保障數(shù)據(jù)存儲和計算安全。提供容災(zāi)備份、校驗技術(shù)、密碼技術(shù)等數(shù)據(jù)安全保護能力，配備存儲和計算資源監(jiān)控技術(shù)能力，及時發(fā)現(xiàn)預(yù)警存儲和計算資源異常使用情形，做好資源動態(tài)調(diào)整分配，保障相關(guān)資源安全可用。
（十一）保障數(shù)據(jù)傳輸安全。提供數(shù)據(jù)加密、接口鑒權(quán)、安全審計等保護措施，加強數(shù)據(jù)安全風(fēng)險監(jiān)測預(yù)警，提供數(shù)據(jù)流量異常、違規(guī)導(dǎo)出等安全風(fēng)險的發(fā)現(xiàn)、告警與處置能力，協(xié)助客戶保障數(shù)據(jù)傳輸鏈路和接口安全。
（十二）強化重點服務(wù)安全管理。涉及提供人工智能訓(xùn)練數(shù)據(jù)集管理功能的，提供保障客戶自有訓(xùn)練數(shù)據(jù)集安全的能力，避免相關(guān)數(shù)據(jù)集被泄露、污染。涉及提供算力調(diào)度及算力服務(wù)的，做好算力調(diào)度策略安全管理，配備算力異常使用情況的監(jiān)測預(yù)警與應(yīng)急處置能力，保障算力調(diào)度安全。
四、加強數(shù)據(jù)安全供給支撐
（十三）推進數(shù)據(jù)安全標(biāo)準(zhǔn)研制。工業(yè)和信息化部組織制定IDC業(yè)務(wù)客戶數(shù)據(jù)安全保護、能力評價等相關(guān)標(biāo)準(zhǔn)，明確IDC業(yè)務(wù)客戶數(shù)據(jù)通用及典型業(yè)務(wù)場景安全保護細(xì)則、責(zé)任劃分模型等，建立客戶數(shù)據(jù)安全保護能力分級評價體系，引導(dǎo)IDC業(yè)務(wù)經(jīng)營者提升客戶數(shù)據(jù)安全保護水平。
（十四）探索開展數(shù)據(jù)安全保護能力評價。IDC業(yè)務(wù)經(jīng)營者可自行或委托第三方專業(yè)機構(gòu)定期開展客戶數(shù)據(jù)安全保護能力評價。鼓勵行業(yè)組織、專業(yè)機構(gòu)依據(jù)能力評價結(jié)果，開展客戶數(shù)據(jù)安全保護能力分級，引導(dǎo)IDC業(yè)務(wù)客戶根據(jù)業(yè)務(wù)場景、數(shù)據(jù)重要程度等，按需選擇IDC業(yè)務(wù)。
五、工作實施
（十五）夯實客戶數(shù)據(jù)安全保護責(zé)任。IDC業(yè)務(wù)經(jīng)營者要高度重視客戶數(shù)據(jù)安全保護，強化責(zé)任擔(dān)當(dāng)，結(jié)合本單位實際，積極加大資源投入，做好客戶數(shù)據(jù)安全保護工作，切實提升IDC業(yè)務(wù)服務(wù)水平。
（十六）加強督促指導(dǎo)。工業(yè)和信息化部、各地通信管理局加強對IDC業(yè)務(wù)客戶數(shù)據(jù)安全保護工作的督促指導(dǎo)，落實相關(guān)企業(yè)主體責(zé)任。
特此通知。
附件：互聯(lián)網(wǎng)數(shù)據(jù)中心客戶數(shù)據(jù)安全保護實施指引?
工業(yè)和信息化部辦公廳
2025年1月13日
互聯(lián)網(wǎng)數(shù)據(jù)中心客戶數(shù)據(jù)安全保護實施指引
一、互聯(lián)網(wǎng)數(shù)據(jù)中心業(yè)務(wù)基本情況及數(shù)據(jù)安全風(fēng)險挑戰(zhàn)
（一）互聯(lián)網(wǎng)數(shù)據(jù)中心基本情況及分類
互聯(lián)網(wǎng)數(shù)據(jù)中心業(yè)務(wù)（以下簡稱IDC業(yè)務(wù)，見《電信業(yè)務(wù)分類目錄》）主要包括傳統(tǒng)數(shù)據(jù)中心業(yè)務(wù)和互聯(lián)網(wǎng)資源協(xié)作業(yè)務(wù)。結(jié)合業(yè)務(wù)產(chǎn)品功能，細(xì)分為三類業(yè)務(wù)場景：一是服務(wù)器托管業(yè)務(wù)場景，指IDC業(yè)務(wù)經(jīng)營者為客戶提供機房、機柜、設(shè)備租賃，以及設(shè)備維護等服務(wù)的業(yè)務(wù)模式。二是數(shù)據(jù)存儲業(yè)務(wù)場景，指IDC業(yè)務(wù)經(jīng)營者為客戶提供數(shù)據(jù)存儲服務(wù)，以及相關(guān)數(shù)據(jù)上傳、下載、訪問等服務(wù)的業(yè)務(wù)模式。三是數(shù)據(jù)計算業(yè)務(wù)場景，指IDC業(yè)務(wù)經(jīng)營者為客戶提供數(shù)據(jù)清洗、集成、分析、加工、展示、模型訓(xùn)練以及算力調(diào)度等服務(wù)的業(yè)務(wù)模式。
（二）IDC業(yè)務(wù)面臨的客戶數(shù)據(jù)安全風(fēng)險挑戰(zhàn)
1. 通用安全風(fēng)險。一方面，IDC業(yè)務(wù)經(jīng)營者、客戶甚至第三方供應(yīng)商等可能接觸、處理客戶數(shù)據(jù)的各方主體未明確劃分?jǐn)?shù)據(jù)安全責(zé)任邊界，導(dǎo)致各方數(shù)據(jù)安全保護權(quán)責(zé)不清、責(zé)任義務(wù)落實不到位。另一方面，IDC業(yè)務(wù)經(jīng)營者針對客戶數(shù)據(jù)安全管理制度機制不健全、安全防護措施配備不完善，增加客戶數(shù)據(jù)被竊取、泄露等的安全風(fēng)險。
2.典型業(yè)務(wù)場景安全風(fēng)險。一是服務(wù)器托管類業(yè)務(wù)場景下，IDC業(yè)務(wù)經(jīng)營者主要負(fù)責(zé)保障機房基礎(chǔ)設(shè)施安全，可能存在的客戶數(shù)據(jù)安全風(fēng)險情形主要包括：自然環(huán)境災(zāi)害（地震、洪水）、物理設(shè)施故障（如斷電、溫濕度失調(diào)等）等引發(fā)服務(wù)器等設(shè)備宕機、損毀和失竊等，導(dǎo)致客戶數(shù)據(jù)破壞和丟失。網(wǎng)絡(luò)設(shè)備、服務(wù)器等由業(yè)務(wù)經(jīng)營者提供的，需要防范因設(shè)備安全管理不健全，存在設(shè)備漏洞、后門等導(dǎo)致設(shè)備被攻擊入侵，進而引發(fā)客戶數(shù)據(jù)被竊取或破壞等風(fēng)險。二是數(shù)據(jù)存儲和計算類業(yè)務(wù)場景下，IDC業(yè)務(wù)經(jīng)營者主要通過提供安全可靠的計算、存儲平臺，可能存在的客戶數(shù)據(jù)安全風(fēng)險情形主要包括：在數(shù)據(jù)存儲、傳輸，以及算力調(diào)度、人工智能訓(xùn)練等環(huán)節(jié)，因數(shù)據(jù)安全保障措施配備不足，風(fēng)險監(jiān)測、資源監(jiān)控和負(fù)載均衡等相關(guān)管理和技術(shù)手段不完善等，導(dǎo)致數(shù)據(jù)被竊取、泄露、丟失等風(fēng)險。
二、提升客戶數(shù)據(jù)安全保障能力
?。ㄈ┩ㄓ帽Ｕ夏芰?/strong>
1. 客戶數(shù)據(jù)處理要求。IDC業(yè)務(wù)經(jīng)營者按照《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全法》《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》等法律法規(guī)和政策要求，履行客戶數(shù)據(jù)安全保護責(zé)任，未經(jīng)客戶授權(quán)，不得以任何形式收集、存儲、使用、加工、傳輸、提供、公開、銷毀客戶數(shù)據(jù)。其他法律法規(guī)另有規(guī)定的除外。
2. 明確責(zé)任界面。在與客戶簽署的合同協(xié)議中，參照有關(guān)行業(yè)標(biāo)準(zhǔn)，根據(jù)業(yè)務(wù)模式和服務(wù)內(nèi)容，明確雙方數(shù)據(jù)安全保護責(zé)任義務(wù)。涉及通過采購第三方服務(wù)商設(shè)備、服務(wù)等，處理客戶數(shù)據(jù)的，需明確各方數(shù)據(jù)安全保護責(zé)任義務(wù)。
3. 管理制度建設(shè)。建立客戶數(shù)據(jù)安全管理制度，明確工作職責(zé)分工、配套機制、管理與技術(shù)保障措施等內(nèi)容。
4. 機構(gòu)與人員設(shè)置。明確數(shù)據(jù)安全負(fù)責(zé)人和管理部門，結(jié)合業(yè)務(wù)模式，設(shè)立數(shù)據(jù)安全管理崗位并明確崗位職責(zé)，配備相應(yīng)人員，統(tǒng)籌負(fù)責(zé)客戶數(shù)據(jù)處理活動安全管理。
5. 客戶管理。建立客戶管理機制，加強對黨政機關(guān)等重點客戶的數(shù)據(jù)安全風(fēng)險提示，依據(jù)客戶類別和數(shù)據(jù)保護需求，提供差異化安全防護能力，并配合采取相應(yīng)保護措施，提升IDC承載信息系統(tǒng)和數(shù)據(jù)的安全保護能力。
6. 數(shù)據(jù)分類分級保護。在提供服務(wù)前，通過合同協(xié)議等方式，提示客戶按照國家及行業(yè)有關(guān)法規(guī)、政策要求、標(biāo)準(zhǔn)規(guī)范識別重要數(shù)據(jù)，加強個人信息保護，履行數(shù)據(jù)分類分級保護責(zé)任義務(wù)。根據(jù)數(shù)據(jù)類別級別，具備差異化安全保護能力，依據(jù)客戶數(shù)據(jù)分類分級保護要求，配合做好相應(yīng)的數(shù)據(jù)安全保護。
7. 數(shù)據(jù)訪問安全。規(guī)范對客戶數(shù)據(jù)的訪問流程，配合客戶建立訪問控制策略，配備技術(shù)措施防范客戶數(shù)據(jù)未授權(quán)訪問等安全風(fēng)險。
8. 數(shù)據(jù)操作安全。健全客戶數(shù)據(jù)操作登記、權(quán)限審批、賬號動態(tài)核驗等機制。經(jīng)客戶授權(quán)，開展客戶數(shù)據(jù)處理活動的，按照最小必要原則合理分配操作權(quán)限，做好權(quán)限監(jiān)控，留存權(quán)限申請、審批、數(shù)據(jù)操作等相關(guān)日志記錄，及時回收到期權(quán)限；開展數(shù)據(jù)批量下載、批量訪問或客戶重要數(shù)據(jù)、個人信息操作處理的，單獨履行內(nèi)部審批程序。
9. 數(shù)據(jù)銷毀安全。明確客戶數(shù)據(jù)銷毀安全策略和操作規(guī)程，針對不同類型的存儲介質(zhì)提供差異化數(shù)據(jù)銷毀措施。未經(jīng)授權(quán)，不擅自銷毀客戶數(shù)據(jù)。應(yīng)客戶要求銷毀數(shù)據(jù)的，做好銷毀記錄，不得以任何理由、任何方式進行恢復(fù)。
10. 數(shù)據(jù)隔離安全。配備數(shù)據(jù)隔離安全策略，提供物理、邏輯等數(shù)據(jù)隔離方式，保障客戶數(shù)據(jù)在各環(huán)節(jié)處理的獨立性。
11. 高危操作安全。建立覆蓋網(wǎng)絡(luò)與設(shè)備更換、運維、升級，以及數(shù)據(jù)遷移等可能導(dǎo)致客戶重大數(shù)據(jù)安全風(fēng)險的高危操作臺賬，形成高危操作安全規(guī)范。開展高危操作前，告知相關(guān)客戶涉及的系統(tǒng)范圍、操作行為、時間、原因、可能存在的重大風(fēng)險等，并取得客戶授權(quán)。
12. 數(shù)據(jù)對外提供。涉及對外提供客戶數(shù)據(jù)的，提前告知客戶提供數(shù)據(jù)的目的、方式、范圍、保障措施等，并取得客戶授權(quán)。
13. 業(yè)務(wù)可用性保障。根據(jù)業(yè)務(wù)實際情況，通過冗余設(shè)計等，提高業(yè)務(wù)連續(xù)性和穩(wěn)定性。
14. 安全事件應(yīng)急處置。建立客戶數(shù)據(jù)安全事件應(yīng)急預(yù)案，覆蓋客戶數(shù)據(jù)丟失、損毀、泄露等安全事件場景，明確事件分級處置方法、流程等，定期組織開展應(yīng)急演練，提升客戶數(shù)據(jù)安全事件應(yīng)急處置能力。因IDC業(yè)務(wù)經(jīng)營者原因引發(fā)客戶數(shù)據(jù)安全事件的，立即啟動應(yīng)急處置，及時告知客戶，并結(jié)合事件影響程度，根據(jù)相關(guān)法規(guī)和標(biāo)準(zhǔn)要求向電信主管部門報告。同時，根據(jù)事件類型、級別等，及時配合客戶開展事件應(yīng)急處置和上報。
15. 安全防護能力提供。根據(jù)業(yè)務(wù)實際情況，提供數(shù)據(jù)加密、脫敏、訪問控制、鑒權(quán)與校驗、日志記錄與審計、數(shù)據(jù)備份與恢復(fù)等數(shù)據(jù)安全技術(shù)能力，以及防火墻、堡壘機、非法入侵檢測、防篡改、漏洞掃描、病毒防范、安全升級等網(wǎng)絡(luò)安全防護產(chǎn)品或服務(wù)供客戶選擇。
?。ㄋ模┓?wù)器托管業(yè)務(wù)場景保障能力
1. 機房管理要求。規(guī)范機房安全管理，明確機房設(shè)施、客戶設(shè)備、人員進出等安全管理要求。
2. 機房物理安全。配備機房物理安全保障措施，對關(guān)鍵區(qū)域?qū)嵤?*24小時監(jiān)控，具備對異常進出行為的識別、報警、攔截、處置等能力。
3. 機房權(quán)限管理。設(shè)置機房進出權(quán)限清單，明確權(quán)限范圍、有效期及審批人等信息。對清單外人員機房進出實施嚴(yán)格審批，經(jīng)客戶授權(quán)進入機房開展設(shè)備、數(shù)據(jù)運維管理的，配備相應(yīng)的管理和技術(shù)措施，留存機房進出記錄，嚴(yán)格限制非授權(quán)人員進入。
4. 機房值守管理。安排7*24小時人員值守，建立基礎(chǔ)設(shè)施巡檢、風(fēng)險處置規(guī)程，實施常態(tài)化巡邏、檢查，及時發(fā)現(xiàn)、消除風(fēng)險隱患。
5. 消防系統(tǒng)安全。配備消防供電設(shè)施、火災(zāi)自動報警系統(tǒng)、應(yīng)急照明系統(tǒng)、雙重水電系統(tǒng)等，保障極端情況下機房快速恢復(fù)和運轉(zhuǎn)。
6. 設(shè)備供應(yīng)管理。涉及提供服務(wù)器、網(wǎng)絡(luò)設(shè)備等售賣、租賃服務(wù)的，做好設(shè)備安全管理，建立設(shè)備臺賬，記錄設(shè)備品牌、型號、關(guān)鍵性能參數(shù)、采購時間、來源，以及安全應(yīng)用情況等。設(shè)備上架前做好安全檢查，并定期開展維護更新，加強安全漏洞、設(shè)備及系統(tǒng)配置等安全管理。涉及為黨政機關(guān)等重點客戶提供服務(wù)的，鼓勵I(lǐng)DC業(yè)務(wù)經(jīng)營者使用自主可控的網(wǎng)絡(luò)與數(shù)據(jù)安全設(shè)備。
?。ㄎ澹?shù)據(jù)存儲與計算業(yè)務(wù)場景保障能力
1. 數(shù)據(jù)存儲安全。加強客戶數(shù)據(jù)存儲安全管理，提供容災(zāi)備份、校驗技術(shù)、密碼技術(shù)等數(shù)據(jù)安全保護能力，以滿足客戶不同的數(shù)據(jù)儲存安全需求。
2. 數(shù)據(jù)安全風(fēng)險監(jiān)測。加強數(shù)據(jù)安全風(fēng)險監(jiān)測預(yù)警，梳理掌握流量節(jié)點，配備流量分析、過濾等技術(shù)手段，具備發(fā)現(xiàn)數(shù)據(jù)安全風(fēng)險能力，及時排查、整改數(shù)據(jù)安全問題隱患。
3. 資源監(jiān)控和負(fù)載均衡。配備存儲和計算資源監(jiān)控技術(shù)能力，實時監(jiān)控、統(tǒng)計分析資源使用情況，及時預(yù)警發(fā)現(xiàn)異常使用情形。配備存儲和計算資源負(fù)載均衡技術(shù)能力，根據(jù)資源負(fù)載情況實時動態(tài)調(diào)整資源分配，保障資源的安全可用。
4. 數(shù)據(jù)傳輸安全。加強客戶數(shù)據(jù)傳輸安全管理，根據(jù)傳輸客戶數(shù)據(jù)級別和應(yīng)用場景，配合客戶制定安全傳輸策略，并提供數(shù)據(jù)加密、接口鑒權(quán)、安全審計等保護措施。滿足客戶數(shù)據(jù)傳輸安全需求和定期接口安全審計需要，及時調(diào)整接口狀態(tài)，回收、關(guān)閉廢棄接口。
5. 人工智能訓(xùn)練數(shù)據(jù)安全。涉及提供人工智能訓(xùn)練數(shù)據(jù)集管理功能的，需提供保障客戶自有訓(xùn)練數(shù)據(jù)集安全的能力，避免客戶自有訓(xùn)練數(shù)據(jù)集被泄露、污染。
6. 算力調(diào)度安全。涉及提供算力調(diào)度服務(wù)的，配備安全可靠的算力調(diào)度策略，做好策略配置管理和變更審批，保障算力按需合理分配。涉及提供算力服務(wù)的，具備對算力使用情況的實時監(jiān)測能力，發(fā)現(xiàn)并預(yù)警算力資源異常使用情形，及時采取策略調(diào)整、資源停用等措施。
來源：工業(yè)和信息化部網(wǎng)絡(luò)安全管理局