中國儲能網(wǎng)訊：工業(yè)和信息化部近日印發(fā)通知，部署加強互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC)客戶數(shù)據(jù)安全保護。針對典型業(yè)務場景，提出明確安全責任界面、強化制度建設和組織保障、加強客戶管理、加強客戶數(shù)據(jù)安全保障、做好事件應急處置等工作要求。引導各通信管理局、基礎電信運營企業(yè)和有關互聯(lián)網(wǎng)數(shù)據(jù)中心企業(yè)做好IDC客戶數(shù)據(jù)安全保護工作，推動IDC業(yè)務安全有序發(fā)展。
關于加強互聯(lián)網(wǎng)數(shù)據(jù)中心客戶數(shù)據(jù)安全保護的通知
工信廳網(wǎng)安〔2025〕5號
各省、自治區(qū)、直轄市通信管理局，中國電信集團有限公司、中國移動通信集團有限公司、中國聯(lián)合網(wǎng)絡通信集團有限公司，有關互聯(lián)網(wǎng)數(shù)據(jù)中心企業(yè)：
互聯(lián)網(wǎng)數(shù)據(jù)中心（以下簡稱IDC）作為新一代信息基礎設施，承載著千行百業(yè)的海量客戶數(shù)據(jù)，是關系國民經(jīng)濟命脈的重要戰(zhàn)略資源。提升IDC客戶數(shù)據(jù)安全保障能力，對于維護經(jīng)濟社會穩(wěn)定乃至國家安全至關重要。為指導IDC業(yè)務經(jīng)營者加強客戶數(shù)據(jù)安全保護，現(xiàn)將有關事項通知如下：
一、基本要求
（一）總體原則。根據(jù)《數(shù)據(jù)安全法》《網(wǎng)絡安全法》《網(wǎng)絡數(shù)據(jù)安全管理條例》《工業(yè)和信息化領域數(shù)據(jù)安全管理辦法（試行）》等法律法規(guī)和政策要求，按照“權責一致、分類施策、技管結(jié)合、確保安全”的原則，加強客戶數(shù)據(jù)安全保障能力建設，提升客戶數(shù)據(jù)安全保護水平（具體實施指引見附件）。
（二）明確安全責任界面。在與客戶、第三方服務商等簽署的合同協(xié)議中，根據(jù)合作模式、內(nèi)容等，明確各方數(shù)據(jù)安全保護責任義務。
（三）強化制度建設和組織保障。建立健全客戶數(shù)據(jù)安全管理制度，明確數(shù)據(jù)安全負責人和管理部門，強化客戶數(shù)據(jù)安全管理保障措施。
（四）加強客戶管理。建立客戶管理機制，按照客戶類別和數(shù)據(jù)保護需求，提供差異化安全保護措施供客戶選用。
（五）加強客戶數(shù)據(jù)安全保障。結(jié)合數(shù)據(jù)處理流程，明確數(shù)據(jù)訪問、操作、銷毀等重點環(huán)節(jié)的安全策略和流程機制，并做好數(shù)據(jù)隔離等保護措施。在實施可能影響客戶數(shù)據(jù)安全的高危操作和對外提供客戶數(shù)據(jù)前，應告知客戶并取得授權。根據(jù)業(yè)務實際情況，通過冗余設計等，提高業(yè)務連續(xù)性和穩(wěn)定性。
（六）做好事件應急處置。建立客戶數(shù)據(jù)安全事件應急預案，定期開展應急演練。因IDC業(yè)務經(jīng)營者原因引發(fā)客戶數(shù)據(jù)安全事件時，立即啟動應急處置措施，及時告知客戶，并按有關要求向電信主管部門報告。
（七）提供安全防護服務能力。根據(jù)業(yè)務實際情況，提供數(shù)據(jù)安全技術能力，以及網(wǎng)絡安全防護產(chǎn)品或服務供客戶選擇。
二、加強服務器托管業(yè)務場景保障能力
（八）保障機房設施安全。規(guī)范機房安全管理，配備物理安全保障措施，加強機房權限、人員值守、消防系統(tǒng)等的安全保障，及時發(fā)現(xiàn)、消除安全隱患，防止客戶數(shù)據(jù)損毀、丟失。
（九）做好設備供應鏈管理。涉及提供服務器、網(wǎng)絡設備等售賣、租賃服務的，加強設備采購安全管理，建立設備臺賬，做好設備上架前的安全檢查與定期維護更新，防范客戶數(shù)據(jù)被篡改、竊取。
三、加強數(shù)據(jù)存儲與計算業(yè)務場景保障能力
（十）保障數(shù)據(jù)存儲和計算安全。提供容災備份、校驗技術、密碼技術等數(shù)據(jù)安全保護能力，配備存儲和計算資源監(jiān)控技術能力，及時發(fā)現(xiàn)預警存儲和計算資源異常使用情形，做好資源動態(tài)調(diào)整分配，保障相關資源安全可用。
（十一）保障數(shù)據(jù)傳輸安全。提供數(shù)據(jù)加密、接口鑒權、安全審計等保護措施，加強數(shù)據(jù)安全風險監(jiān)測預警，提供數(shù)據(jù)流量異常、違規(guī)導出等安全風險的發(fā)現(xiàn)、告警與處置能力，協(xié)助客戶保障數(shù)據(jù)傳輸鏈路和接口安全。
（十二）強化重點服務安全管理。涉及提供人工智能訓練數(shù)據(jù)集管理功能的，提供保障客戶自有訓練數(shù)據(jù)集安全的能力，避免相關數(shù)據(jù)集被泄露、污染。涉及提供算力調(diào)度及算力服務的，做好算力調(diào)度策略安全管理，配備算力異常使用情況的監(jiān)測預警與應急處置能力，保障算力調(diào)度安全。
四、加強數(shù)據(jù)安全供給支撐
（十三）推進數(shù)據(jù)安全標準研制。工業(yè)和信息化部組織制定IDC業(yè)務客戶數(shù)據(jù)安全保護、能力評價等相關標準，明確IDC業(yè)務客戶數(shù)據(jù)通用及典型業(yè)務場景安全保護細則、責任劃分模型等，建立客戶數(shù)據(jù)安全保護能力分級評價體系，引導IDC業(yè)務經(jīng)營者提升客戶數(shù)據(jù)安全保護水平。
（十四）探索開展數(shù)據(jù)安全保護能力評價。IDC業(yè)務經(jīng)營者可自行或委托第三方專業(yè)機構定期開展客戶數(shù)據(jù)安全保護能力評價。鼓勵行業(yè)組織、專業(yè)機構依據(jù)能力評價結(jié)果，開展客戶數(shù)據(jù)安全保護能力分級，引導IDC業(yè)務客戶根據(jù)業(yè)務場景、數(shù)據(jù)重要程度等，按需選擇IDC業(yè)務。
五、工作實施
（十五）夯實客戶數(shù)據(jù)安全保護責任。IDC業(yè)務經(jīng)營者要高度重視客戶數(shù)據(jù)安全保護，強化責任擔當，結(jié)合本單位實際，積極加大資源投入，做好客戶數(shù)據(jù)安全保護工作，切實提升IDC業(yè)務服務水平。
（十六）加強督促指導。工業(yè)和信息化部、各地通信管理局加強對IDC業(yè)務客戶數(shù)據(jù)安全保護工作的督促指導，落實相關企業(yè)主體責任。
特此通知。
附件：互聯(lián)網(wǎng)數(shù)據(jù)中心客戶數(shù)據(jù)安全保護實施指引
工業(yè)和信息化部辦公廳
2025年1月13日
互聯(lián)網(wǎng)數(shù)據(jù)中心客戶數(shù)據(jù)安全保護實施指引
一、互聯(lián)網(wǎng)數(shù)據(jù)中心業(yè)務基本情況及數(shù)據(jù)安全風險挑戰(zhàn)
（一）互聯(lián)網(wǎng)數(shù)據(jù)中心基本情況及分類
互聯(lián)網(wǎng)數(shù)據(jù)中心業(yè)務（以下簡稱IDC業(yè)務，見《電信業(yè)務分類目錄》）主要包括傳統(tǒng)數(shù)據(jù)中心業(yè)務和互聯(lián)網(wǎng)資源協(xié)作業(yè)務。結(jié)合業(yè)務產(chǎn)品功能，細分為三類業(yè)務場景：一是服務器托管業(yè)務場景，指IDC業(yè)務經(jīng)營者為客戶提供機房、機柜、設備租賃，以及設備維護等服務的業(yè)務模式。二是數(shù)據(jù)存儲業(yè)務場景，指IDC業(yè)務經(jīng)營者為客戶提供數(shù)據(jù)存儲服務，以及相關數(shù)據(jù)上傳、下載、訪問等服務的業(yè)務模式。三是數(shù)據(jù)計算業(yè)務場景，指IDC業(yè)務經(jīng)營者為客戶提供數(shù)據(jù)清洗、集成、分析、加工、展示、模型訓練以及算力調(diào)度等服務的業(yè)務模式。
（二）IDC業(yè)務面臨的客戶數(shù)據(jù)安全風險挑戰(zhàn)
1. 通用安全風險。一方面，IDC業(yè)務經(jīng)營者、客戶甚至第三方供應商等可能接觸、處理客戶數(shù)據(jù)的各方主體未明確劃分數(shù)據(jù)安全責任邊界，導致各方數(shù)據(jù)安全保護權責不清、責任義務落實不到位。另一方面，IDC業(yè)務經(jīng)營者針對客戶數(shù)據(jù)安全管理制度機制不健全、安全防護措施配備不完善，增加客戶數(shù)據(jù)被竊取、泄露等的安全風險。
2.典型業(yè)務場景安全風險。一是服務器托管類業(yè)務場景下，IDC業(yè)務經(jīng)營者主要負責保障機房基礎設施安全，可能存在的客戶數(shù)據(jù)安全風險情形主要包括：自然環(huán)境災害（地震、洪水）、物理設施故障（如斷電、溫濕度失調(diào)等）等引發(fā)服務器等設備宕機、損毀和失竊等，導致客戶數(shù)據(jù)破壞和丟失。網(wǎng)絡設備、服務器等由業(yè)務經(jīng)營者提供的，需要防范因設備安全管理不健全，存在設備漏洞、后門等導致設備被攻擊入侵，進而引發(fā)客戶數(shù)據(jù)被竊取或破壞等風險。二是數(shù)據(jù)存儲和計算類業(yè)務場景下，IDC業(yè)務經(jīng)營者主要通過提供安全可靠的計算、存儲平臺，可能存在的客戶數(shù)據(jù)安全風險情形主要包括：在數(shù)據(jù)存儲、傳輸，以及算力調(diào)度、人工智能訓練等環(huán)節(jié)，因數(shù)據(jù)安全保障措施配備不足，風險監(jiān)測、資源監(jiān)控和負載均衡等相關管理和技術手段不完善等，導致數(shù)據(jù)被竊取、泄露、丟失等風險。
二、提升客戶數(shù)據(jù)安全保障能力
（三）通用保障能力
1. 客戶數(shù)據(jù)處理要求。IDC業(yè)務經(jīng)營者按照《數(shù)據(jù)安全法》《網(wǎng)絡安全法》《網(wǎng)絡數(shù)據(jù)安全管理條例》《工業(yè)和信息化領域數(shù)據(jù)安全管理辦法（試行）》等法律法規(guī)和政策要求，履行客戶數(shù)據(jù)安全保護責任，未經(jīng)客戶授權，不得以任何形式收集、存儲、使用、加工、傳輸、提供、公開、銷毀客戶數(shù)據(jù)。其他法律法規(guī)另有規(guī)定的除外。
2. 明確責任界面。在與客戶簽署的合同協(xié)議中，參照有關行業(yè)標準，根據(jù)業(yè)務模式和服務內(nèi)容，明確雙方數(shù)據(jù)安全保護責任義務。涉及通過采購第三方服務商設備、服務等，處理客戶數(shù)據(jù)的，需明確各方數(shù)據(jù)安全保護責任義務。
3. 管理制度建設。建立客戶數(shù)據(jù)安全管理制度，明確工作職責分工、配套機制、管理與技術保障措施等內(nèi)容。
4. 機構與人員設置。明確數(shù)據(jù)安全負責人和管理部門，結(jié)合業(yè)務模式，設立數(shù)據(jù)安全管理崗位并明確崗位職責，配備相應人員，統(tǒng)籌負責客戶數(shù)據(jù)處理活動安全管理。
5. 客戶管理。建立客戶管理機制，加強對黨政機關等重點客戶的數(shù)據(jù)安全風險提示，依據(jù)客戶類別和數(shù)據(jù)保護需求，提供差異化安全防護能力，并配合采取相應保護措施，提升IDC承載信息系統(tǒng)和數(shù)據(jù)的安全保護能力。
6. 數(shù)據(jù)分類分級保護。在提供服務前，通過合同協(xié)議等方式，提示客戶按照國家及行業(yè)有關法規(guī)、政策要求、標準規(guī)范識別重要數(shù)據(jù)，加強個人信息保護，履行數(shù)據(jù)分類分級保護責任義務。根據(jù)數(shù)據(jù)類別級別，具備差異化安全保護能力，依據(jù)客戶數(shù)據(jù)分類分級保護要求，配合做好相應的數(shù)據(jù)安全保護。
7. 數(shù)據(jù)訪問安全。規(guī)范對客戶數(shù)據(jù)的訪問流程，配合客戶建立訪問控制策略，配備技術措施防范客戶數(shù)據(jù)未授權訪問等安全風險。
8. 數(shù)據(jù)操作安全。健全客戶數(shù)據(jù)操作登記、權限審批、賬號動態(tài)核驗等機制。經(jīng)客戶授權，開展客戶數(shù)據(jù)處理活動的，按照最小必要原則合理分配操作權限，做好權限監(jiān)控，留存權限申請、審批、數(shù)據(jù)操作等相關日志記錄，及時回收到期權限；開展數(shù)據(jù)批量下載、批量訪問或客戶重要數(shù)據(jù)、個人信息操作處理的，單獨履行內(nèi)部審批程序。
9. 數(shù)據(jù)銷毀安全。明確客戶數(shù)據(jù)銷毀安全策略和操作規(guī)程，針對不同類型的存儲介質(zhì)提供差異化數(shù)據(jù)銷毀措施。未經(jīng)授權，不擅自銷毀客戶數(shù)據(jù)。應客戶要求銷毀數(shù)據(jù)的，做好銷毀記錄，不得以任何理由、任何方式進行恢復。
10. 數(shù)據(jù)隔離安全。配備數(shù)據(jù)隔離安全策略，提供物理、邏輯等數(shù)據(jù)隔離方式，保障客戶數(shù)據(jù)在各環(huán)節(jié)處理的獨立性。
11. 高危操作安全。建立覆蓋網(wǎng)絡與設備更換、運維、升級，以及數(shù)據(jù)遷移等可能導致客戶重大數(shù)據(jù)安全風險的高危操作臺賬，形成高危操作安全規(guī)范。開展高危操作前，告知相關客戶涉及的系統(tǒng)范圍、操作行為、時間、原因、可能存在的重大風險等，并取得客戶授權。
12. 數(shù)據(jù)對外提供。涉及對外提供客戶數(shù)據(jù)的，提前告知客戶提供數(shù)據(jù)的目的、方式、范圍、保障措施等，并取得客戶授權。
13. 業(yè)務可用性保障。根據(jù)業(yè)務實際情況，通過冗余設計等，提高業(yè)務連續(xù)性和穩(wěn)定性。
14. 安全事件應急處置。建立客戶數(shù)據(jù)安全事件應急預案，覆蓋客戶數(shù)據(jù)丟失、損毀、泄露等安全事件場景，明確事件分級處置方法、流程等，定期組織開展應急演練，提升客戶數(shù)據(jù)安全事件應急處置能力。因IDC業(yè)務經(jīng)營者原因引發(fā)客戶數(shù)據(jù)安全事件的，立即啟動應急處置，及時告知客戶，并結(jié)合事件影響程度，根據(jù)相關法規(guī)和標準要求向電信主管部門報告。同時，根據(jù)事件類型、級別等，及時配合客戶開展事件應急處置和上報。
15. 安全防護能力提供。根據(jù)業(yè)務實際情況，提供數(shù)據(jù)加密、脫敏、訪問控制、鑒權與校驗、日志記錄與審計、數(shù)據(jù)備份與恢復等數(shù)據(jù)安全技術能力，以及防火墻、堡壘機、非法入侵檢測、防篡改、漏洞掃描、病毒防范、安全升級等網(wǎng)絡安全防護產(chǎn)品或服務供客戶選擇。
（四）服務器托管業(yè)務場景保障能力
1. 機房管理要求。規(guī)范機房安全管理，明確機房設施、客戶設備、人員進出等安全管理要求。
2. 機房物理安全。配備機房物理安全保障措施，對關鍵區(qū)域?qū)嵤?*24小時監(jiān)控，具備對異常進出行為的識別、報警、攔截、處置等能力。
3. 機房權限管理。設置機房進出權限清單，明確權限范圍、有效期及審批人等信息。對清單外人員機房進出實施嚴格審批，經(jīng)客戶授權進入機房開展設備、數(shù)據(jù)運維管理的，配備相應的管理和技術措施，留存機房進出記錄，嚴格限制非授權人員進入。
4. 機房值守管理。安排7*24小時人員值守，建立基礎設施巡檢、風險處置規(guī)程，實施常態(tài)化巡邏、檢查，及時發(fā)現(xiàn)、消除風險隱患。
5. 消防系統(tǒng)安全。配備消防供電設施、火災自動報警系統(tǒng)、應急照明系統(tǒng)、雙重水電系統(tǒng)等，保障極端情況下機房快速恢復和運轉(zhuǎn)。
6. 設備供應管理。涉及提供服務器、網(wǎng)絡設備等售賣、租賃服務的，做好設備安全管理，建立設備臺賬，記錄設備品牌、型號、關鍵性能參數(shù)、采購時間、來源，以及安全應用情況等。設備上架前做好安全檢查，并定期開展維護更新，加強安全漏洞、設備及系統(tǒng)配置等安全管理。涉及為黨政機關等重點客戶提供服務的，鼓勵IDC業(yè)務經(jīng)營者使用自主可控的網(wǎng)絡與數(shù)據(jù)安全設備。
（五）數(shù)據(jù)存儲與計算業(yè)務場景保障能力
1. 數(shù)據(jù)存儲安全。加強客戶數(shù)據(jù)存儲安全管理，提供容災備份、校驗技術、密碼技術等數(shù)據(jù)安全保護能力，以滿足客戶不同的數(shù)據(jù)儲存安全需求。
2. 數(shù)據(jù)安全風險監(jiān)測。加強數(shù)據(jù)安全風險監(jiān)測預警，梳理掌握流量節(jié)點，配備流量分析、過濾等技術手段，具備發(fā)現(xiàn)數(shù)據(jù)安全風險能力，及時排查、整改數(shù)據(jù)安全問題隱患。
3. 資源監(jiān)控和負載均衡。配備存儲和計算資源監(jiān)控技術能力，實時監(jiān)控、統(tǒng)計分析資源使用情況，及時預警發(fā)現(xiàn)異常使用情形。配備存儲和計算資源負載均衡技術能力，根據(jù)資源負載情況實時動態(tài)調(diào)整資源分配，保障資源的安全可用。
4. 數(shù)據(jù)傳輸安全。加強客戶數(shù)據(jù)傳輸安全管理，根據(jù)傳輸客戶數(shù)據(jù)級別和應用場景，配合客戶制定安全傳輸策略，并提供數(shù)據(jù)加密、接口鑒權、安全審計等保護措施。滿足客戶數(shù)據(jù)傳輸安全需求和定期接口安全審計需要，及時調(diào)整接口狀態(tài)，回收、關閉廢棄接口。
5. 人工智能訓練數(shù)據(jù)安全。涉及提供人工智能訓練數(shù)據(jù)集管理功能的，需提供保障客戶自有訓練數(shù)據(jù)集安全的能力，避免客戶自有訓練數(shù)據(jù)集被泄露、污染。
6. 算力調(diào)度安全。涉及提供算力調(diào)度服務的，配備安全可靠的算力調(diào)度策略，做好策略配置管理和變更審批，保障算力按需合理分配。涉及提供算力服務的，具備對算力使用情況的實時監(jiān)測能力，發(fā)現(xiàn)并預警算力資源異常使用情形，及時采取策略調(diào)整、資源停用等措施。
