网络安全标准实践指南——工业企业数据安全能力成熟度模型

——工业企业数据安全能力成熟度模型 （征求意见稿 v1.0-202601） 全国网络安全标准化技术委员会秘书处 2026 年 1 月 本文档可从以下网址获得：www.tc260.org.cn/ 前言 《网络安全标准实践指南》（以下简称《实践指南》）是全国网络安全标准化技术委员会（以下简称“网安标委”）秘书处组织制定和发布的标准相关技术文件，旨在围绕网络安全法律法规政策、标准、网络安全热点和事件等主题，宣传网络安全相关标准及知识，提供标准化实践指引。 本文件起草单位： 本文件主要起草人： 声明 本《实践指南》版权属于网安标委秘书处，未经秘书处书面授权，不得以任何方式抄袭、翻译《实践指南》的任何部分。凡转载或引用本《实践指南》的观点、数据，请注明“来源：全国网络安全标准化技术委员会秘书处”。 摘要 本实践指南旨在贯彻落实《数据安全法》《网络数据安全管理条例》《工业和信息化领域数据安全管理办法（试行）》中相关要求，引导工业企业逐级提升数据安全能力成熟度水平，支撑主管部门全面了解掌握工业领域数据安全总体态势，带动数据安全技术、产品和服务在工业企业的落地应用。 本实践指南研究提出了工业企业数据安全能力成熟度模型，并结合国际电工委员会面向工业企业提出的通用模型，构建了典型工业企业数据安全风险参考框架，涵盖L0现场设备层、L1现场控制层、L2过程监控层、L3生产管理层和L4企业管理层5个层级，列举了20余类常见工业企业数据，分析了工业企业主要数据流向，并梳理了10余类常见数据安全风险问题，为技术条款编制提供工业企业数据安全事实依据。本实践指南提出了工业企业数据全生命周期安全和通用安全的成熟度等级要求，以及能力成熟度等级评估方法。本实践指南适用于指导工业企业开展数据安全能力建设，以及对工业企业数据安全能力成熟度等级进行评估。 目录 前言 ....................................................................... I声明 ...................................................................... II摘要 ..................................................................... III1范围 ...................................................................... 12规范性引用文件 ............................................................ 13术语和定义 ................................................................ 14缩略语 .................................................................... 25工业企业数据安全能力成熟度模型 ............................................ 35.1能力成熟度模型 ...................................................... 35.2能力要素维度 ........................................................ 45.2.1能力构成 ...................................................... 45.2.2组织建设 ...................................................... 45.2.3制度流程 ...................................................... 45.2.4技术工具 ...................................................... 45.2.5人员能力 ...................................................... 45.3能力成熟度等级维度 .................................................. 55.4过程维度 ............................................................ 55.4.1PA 体系 ........................................................65.4.2编码规则 ...................................................... 65.4.3关系描述 ...................................................... 66工业企业数据全生命周期安全能力成熟度评估 .................................. 76.1数据收集安全 ........................................................ 76.1.1PA01 数据收集安全管理 ......................................... 76.1.2PA02 数据源鉴别及记录 ......................................... 96.2数据存储安全 ....................................................... 106.2.1PA03 逻辑存储安全 ............................................ 106.2.2PA04 存储媒体安全 ............................................ 116.2.3PA05 数据备份和恢复 .......................................... 136.3数据使用加工安全 ................................................... 166.3.1PA06 数据转移安全 ............................................ 166.3.2PA07 数据委托处理安全 .........................................186.3.3PA08 数据脱敏 ................................................ 196.3.4PA09 数据分析与加工安全 ...................................... 216.3.5PA10 数据合规性使用 .......................................... 236.3.6PA11 数据处理环境安全 ........................................ 256.4 数据传输安全 .........................................................276.4.1PA12 数据传输安全管理 ........................................ 276.4.2PA13 数据传输加密 ............................................ 286.5数据提供安全 ....................................................... 296.5.1PA14 数据对外提供安全 ........................................ 29 6.5.2PA15 数据接口安全 ............................................ 326.6数据公开安全 ....................................................... 346.6.1PA16 数据公开安全 ............................................ 346.7数据销毁安全 ....................................................... 367通用安全能力成熟度评估 ................................................... 397.1PA19 安全管理制度 .................................................. 397.2PA20 组织机构 ...................................................... 417.3PA21 人员保障 ...................................................... 437.4PA22 权限管理 ...................................................... 467.5PA23 系统与设备安全 ................................................ 487.6PA24 数据供应链安全 ................................................ 507.7PA25 数据分类分级 .................................................. 527.8PA26 安全风险评估 .................................................. 537.9PA27 日志留存 ...................................................... 537.10PA28 监控与安全审计 ............................................... 547.11PA29 监测预警、信息共享与应急处置 ..................................557.12PA30 数据出境 ..................................................... 57附录 A（规范性）工业企业主要数据流向及数据安全风险框架 .......................58附录 B（规范性）能力成熟度等级评估 ...........................................61附录 C（规范性）工业企业数据安全基线要求 .....................................62参 考 文 献 ................................................................. 63 1范围 本文件提出了工业企业数据安全能力成熟度模型，给出了工业企业数据安全能力成熟度等级评估方法。 本文件适用于指导工业企业开展数据安全能力建设，以及对工业企业数据安全能力成熟度等级进行评估。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中