（征求意见稿）
2020年4月
目录前言1
一、 建设思路及目标2
（一） 总体思路2
（二） 基本原则2
（三） 建设目标3
二、 建设内容3
（一） 网络数据安全标准体系框架3
（二） 重点标准化领域及方向6
1.基础共性标准6
2.关键技术标准7
3.安全管理标准9
4.重点领域标准12
三、 组织实施15
前言
随着信息技术和人类生产生活交汇融合，全球数据呈现爆发增长、海量聚集的特点，大数据产业正值活跃发展期，技术演进和应用创新并行加速推进，数据资源已成为国家基础战略性资源和社会生产的创新要素。当前，我国电信和互联网行业高速发展，汇聚大量网络数据，在释放数字经济发展潜力、促进数字经济加快成长的同时，面临严峻的安全风险。这要求我们深刻认识网络数据安全的重要性和紧迫性，坚持安全与发展并重，积极应对复杂严峻的安全风险与挑战，加速构建网络数据安全保障体系。
“安全发展、标准先行”，标准化工作是保障网络数据安全的重要基础。为落实《中华人民共和国网络安全法》《全国人民代表大会常务委员会关于加强网络信息保护的决定》《电信和互联网用户个人信息保护规定》等法律法规要求，指导电信和互联网行业网络数据安全标准化工作，工业和信息化部组织制定了《网络数据安全标准体系建设指南》（以下简称《建设指南》）。《建设指南》充分发挥标准的顶层设计和基础引领作用，为保障电信和互联网行业网络数据安全、促进网络数据合理有序流动、助力数字经济高质量发展提供有力支撑。
建设思路及目标
总体思路
以习近平新时代中国特色社会主义思想为指导，全面贯彻党的十九大和十九届二中、三中、四中全会精神，落实《中华人民共和国网络安全法》《全国人民代表大会常务委员会关于加强网络信息保护的决定》《电信和互联网用户个人信息保护规定》等法律法规要求，充分发挥标准在保障网络数据安全、推动行业健康有序发展中的支撑和引领作用，有效建立电信和互联网行业网络数据安全标准体系。加强标准的统筹规划，做好与国家标准、相关领域行业标准的衔接工作，鼓励创新技术成果向标准转化，强化标准的实施与应用，加强标准的国际交流与合作，提升标准对网络数据安全保护的整体支撑作用，为数字经济高质量发展保驾护航。
基本原则
统筹规划，全面布局。结合电信和互联网行业技术、产业发展现状及特点，发挥政府主管部门在顶层设计、组织协调和政策制定等方面的重要作用，制定政府引导和市场驱动相结合的标准体系建设方案，建立适合电信和互联网行业整体情况的网络数据安全标准体系。
基础先立，急用先行。从网络数据安全管理工作的重点和难点出发，确定网络数据安全标准体系建设的重点领域，加快基础共性、关键技术、安全管理类标准的研究制定。在此基础上，综合考虑相关重要领域的网络数据安全现状及面临的风险和挑战，加快推进急需标准项目的研究制定。
多方参与，协同合作。在标准制定过程中聚集电信运营企业、互联网企业、设备提供商、安全企业、科研院所、高校等产业界、学术界多方力量，充分凝聚共识，研究制定网络数据安全相关标准，完善标准研制、应用的全生命周期管理。统筹运用行业资源，充分发挥企业在技术创新、产品开发、示范引领等标准研究与应用方面的主体作用，组织协调相关单位积极参与国际标准的制定、交流与合作。
建设目标到2021年，初步建立网络数据安全标准体系，有效落实网络数据安全管理要求，基本满足行业网络数据安全保护需要，推进标准在重点企业、重点领域中的应用，研制网络数据安全行业标准20项以上。
到2023年，健全完善网络数据安全标准体系，标准技术水平、应用水平和国际化水平显著提高，有力促进行业网络数据安全保护能力提升，研制网络数据安全行业标准50项以上。
建设内容
网络数据安全标准体系框架
网络数据安全标准体系包括基础共性、关键技术、安全管理、重点领域四大类标准。基础共性标准包括术语定义、数据安全框架、数据分类分级，相关标准为各类标准提供基础性支撑。关键技术标准从数据采集、传输、存储、处理、交换、销毁等数据全生命周期维度对数据安全关键技术进行规范。安全管理标准从网络数据安全保护的管理视角出发，指导行业有效落实法律法规关于网络数据安全管理的要求，包括数据安全规范、数据安全评估、监测预警与处置、应急响应与灾难备份、安全能力认证等。重点领域标准结合相关领域的实际情况和具体要求，指导行业有效开展重点领域网络数据安全保护工作。网络数据安全标准体系框架如图1所示。
重点标准化领域及方向1.基础共性标准
基础共性标准是网络数据安全保护的基础性、通用性、指导性标准，包括术语定义、数据安全框架、数据分类分级等标准。基础共性标准子体系如图2所示。
1.1 术语定义
术语定义用于规范网络数据安全相关概念，为其它部分标准的制定提供支撑，包括技术、规范、应用领域的相关术语、概念定义、相近概念之间的关系等。
1.2 数据安全框架
数据安全框架标准包括网络数据安全体系框架以及各部分参考框架，以明确和界定网络数据安全的角色、职责、边界、各部分的层级关系和内在联系。
1.3 数据分类分级
数据分类分级标准用于指导对网络数据分类分级，给出数据分类分级的基本原则、维度、方法、示例等，为数据安全分类、分级保护提供依据，为数据安全规范、数据安全评估等方面的标准制定提供支撑。
2.关键技术标准
关键技术标准从采集、传输、存储、处理、交换、销毁等全生命周期环节出发，对网络数据安全的关键技术进行规范。关键技术标准子体系如图3所示。
2.1 数据采集
数据采集标准用于规范数据采集格式、数据标签、数据审查校验等方面相关技术要求，有效提升数据质量，主要包括数据清洗比对、数据质量监控等标准。
2.2 数据传输
数据传输标准用于规范数据传输过程中可以标准化的功能架构、安全协议及其他安全相关技术要求，主要包括数据完整性保护、数据加密传输等标准。
2.3 数据存储
数据存储标准用于规范存储平台安全机制、数据安全存储方法、安全审计、安全防护技术等相关技术要求，主要包括数据库安全、云存储安全、数据安全审计、数据防泄漏等标准。
2.4 数据处理
数据处理标准用于规范敏感数据、个人信息的保护机制及相关技术要求，明确敏感数据保护的场景、规则、技术方法，主要包括匿名化/去标识化、数据脱敏等标准。
2.5 数据交换
数据交换标准用于规范数据安全交换模型、角色权责定义、安全管控技术框架，并明确数据溯源模型、过程和方法，支撑数据安全共享、审计和监管，主要包括多方安全计算、透明加密、数据溯源等标准。
2.6 数据销毁
数据销毁标准用于规范数据销毁和介质销毁的安全机制和技术要求，确保存储数据永久删除、不可恢复，主要包括数据销毁、介质销毁等标准。
3.安全管理标准
安全管理标准从网络数据安全框架的管理视角出发，指导行业落实法律法规以及政府主管部门的管理要求，包括数据安全规范、数据安全评估、监测预警与处置、应急响应与灾难备份、安全能力认证等。安全管理标准子体系如图4所示。
3.1 数据安全规范
数据安全规范标准用于落实细化相关法律法规对网络数据安全保护的要求，对行业开展数据安全管理提供指导和规范，主要包括数据安全通用要求、个人信息保护要求、重要数据保护要求等标准。
3.2 数据安全评估
数据安全评估标准用于指导行业落实网络数据安全评估的要求，明确评估的基本概念、要素关系、分析原理、评估方法、实施流程、实施要点和工作形式等要素，指导行业规范开展网络数据安全评估工作，主要包括数据安全合规性评估、数据安全风险评估、个人信息安全影响评估、数据出境安全评估等标准。
3.3 监测预警与处置
监测预警与处置标准从政府主管部门监管需求的视角出发，明确数据安全监测预警与处置系统及其技术要求，结合数据的敏感度、量级、流向以及账号权限等进行综合分析，实时动态追踪数据安全风险，主要包括监测预警与处置方面的技术要求、接口规范、测试规范等标准。
3.4 应急响应与灾难备份
应急响应与灾难备份标准用于规范数据安全事件的应急响应管理、处置措施，规范灾难备份及恢复工作的目标和原则、技术要求以及实施方法，主要包括数据安全应急响应指南、灾难备份技术要求、恢复能力评价等标准。
3.5 安全能力认证
安全能力认证标准用于规范组织及人员数据安全保障能力、产品与服务数据安全保护水平、数据安全服务能力等相关认证要求，用于指导网络运营者与安全服务机构提升自身的安全能力、服务能力，主要包括管理安全认证、产品安全认证、安全服务认证、人员能力认证等标准。
4.重点领域标准
在基础共性标准、关键技术标准、安全管理标准的基础上，结合新一代信息通信技术发展情况，重点在5G、移动互联网、车联网、物联网、工业互联网、云计算、大数据、人工智能、区块链等重点领域进行布局，并结合行业发展情况，逐步覆盖其他重要领域。结合重点领域自身发展情况和网络数据安全保护需求，制定相关网络数据安全标准。重点领域安全标准子体系如图5所示。
4.1 5G
5G 安全机制在满足通用安全要求基础上，为不同业务场景提供差异化安全服务，适应多种网络接入方式及新型网络架构，保护用户个人隐私，并支持提供开放的安全能力。5G领域的网络数据安全标准主要包括5G数据安全总体要求、5G终端数据安全、5G网络侧数据安全、5G网络能力开放数据安全等。
4.2 移动互联网
传统的移动互联网安全主要包括终端安全、网络安全和应用安全等方面。随着开放生态体系下移动操作系统的普遍应用和数据的大规模流动，移动互联网的数据安全风险进一步凸显。移动互联网领域的网络数据安全标准主要包括移动应用个人信息保护、移动应用软件SDK安全等。
4.3 车联网
车联网安全覆盖车内、车与车、车与路、车与人、车与服务平台的全方位连接和数据交互过程，数据安全和隐私保护贯穿于车联网的各个环节。车联网领域的网络数据安全标准主要包括车联网云平台数据安全、V2X通信数据安全、智能网联汽车数据安全、车联网移动App数据安全等。
4.4 物联网
物联网安全涵盖物联网的感知层、传输层、应用层，涉及服务端安全、终端安全和通信网络安全等方面，数据安全贯穿于其中的各个环节。物联网领域的网络数据安全标准主要包括物联网云端数据安全保护、物联网管理系统数据安全保护、物联网终端数据安全保护等。
4.5 工业互联网
工业互联网安全重点关注控制系统、设备、网络、数据、平台、应用程序安全和安全管理等。工业互联网领域的网络数据安全标准主要包括工业互联网数据安全保护、工业互联网数据分级技术等。
4.6 云计算
云计算安全以云主机安全为核心，涵盖网络安全、数据安全、应用安全、安全管理、业务安全等方面。云计算领域的网络数据安全标准主要包括客户数据保护、云服务业务数据安全、云上资产管理等。
4.7 大数据
大数据安全覆盖数据全生命周期管理各环节，涵盖对大数据平台运行安全功能保障及以数据为对象进行资产管理等。大数据领域的网络数据安全标准主要包括大数据平台安全、大数据资产管理等。
4.8 人工智能
人工智能安全覆盖个人信息安全、算法安全、数据安全、网络安全等。人工智能领域的网络数据安全标准主要包括人工智能平台数据安全、人工智能终端个人信息保护等。
4.9 区块链
区块链安全包括应用服务的安全性、系统设计的安全性（包含智能合约、共识机制）、基础组件的安全性（包含网络通信、数据安全、密码技术）三个维度。区块链领域的网络数据安全标准主要包括区块链隐私数据保护、区块链数字资产存储与交互保护等。
组织实施
一是实施动态更新。实施动态更新完善机制，随着经济社会数字化转型持续推进、数据安全认知与实践水平的提高，结合数据安全相关法律法规的最新要求，适时滚动修订《建设指南》。
二是推进标准研制。组织中国通信标准化协会及相关电信运营企业、互联网企业、设备提供商、安全企业、科研院所、高校等单位，按照《标准指南》明确的标准研制路径，有序推进行业标准研制工作，注重网络数据安全标准化工作与网络数据安全保护最新研究成果、行业最佳实践的有机结合。
三是加强宣贯实施。充分发挥标准化组织、行业协会作用，组织相关专家开展标准研讨活动，通过培训、咨询、论坛等手段推进标准的宣贯。积极组织开展标准试点示范，形成最佳实践，促进标准在业界的应用推广。
四是加强国际交流合作。加强与国际标准化组织的交流与合作，积极参与国际电信联盟（ITU）、国际标准化组织（ISO）、国际电工技术委员会（IEC）等国际标准化组织活动及国际标准研制。积极促进国内标准与国际接轨，推动国内先进标准向国际标准转化。
评论排行