网络安全标准实践指南——工业企业数据安全能力成熟度模型

——工业企业数据安全能力成熟度模型 （v1.0-202603） 全国网络安全标准化技术委员会秘书处 2026 年 3 月 本文档可从以下网址获得：www.tc260.org.cn/ 前言 《网络安全标准实践指南》（以下简称《实践指南》）是全国网络安全标准化技术委员会（以下简称“网安标委”）秘书处组织制定和发布的标准相关技术文件，旨在围绕网络安全法律法规政策、标准、网络安全热点和事件等主题，宣传网络安全相关标准及知识，提供标准化实践指引。 本文件起草单位：中国电子技术标准化研究院、国家工业信息安全发展研究中心、中国软件评测中心、中国工业互联网研究院、宁波和利时信息安全研究院、中控技术股份有限公司、北京明朝万达科技股份有限公司、中国石油天然气股份有限公司长庆油田分公司、昆仑数智科技有限责任公司、中国电子技术标准化研究院华东分院、中天钢铁集团有限公司、烽台科技（北京）有限公司、中国第一汽车集团有限公司、一汽丰田汽车有限公司、北京安华金和科技有限公司。 本文件主要起草人：周睿康、赵梓桐、李琳、蔡一鸣、武卓、李伟晨、石然、赵一飞、张璋、徐慧、刘盈、朱天宇、王世彪、李世红、罗革新、周燕华、占向阳、杨兴城、郭涛、孟昊龙、余梦达、周鹭琴、张春娆、赵伟、陈高辉、朱振龙、窦敬、王小宏、李亚敏。 声明 本《实践指南》版权属于网安标委秘书处，未经秘书处书面授权，不得以任何方式抄袭、翻译《实践指南》的任何部分。凡转载或引用本《实践指南》的观点、数据，请注明“来源：全国网络安全标准化技术委员会秘书处”。 摘要 本实践指南旨在贯彻落实《中华人民共和国数据安全法》《网络数据安全管理条例》《工业和信息化领域数据安全管理办法（试行）》中相关要求，引导工业企业逐级提升数据安全能力成熟度水平，支撑主管部门全面了解掌握工业领域数据安全总体态势，带动数据安全技术、产品和服务在工业企业的落地应用。 本实践指南研究提出了工业企业数据安全能力成熟度模型（ISMM），并结合国际电工委员会面向工业企业提出的通用模型，构建了典型工业企业数据安全风险参考框架，涵盖L0现场设备层、L1现场控制层、L2过程监控层、L3生产管理层和L4企业管理层5个层级，列举了20类常见工业企业数据，分析了工业企业主要数据流向，并梳理了11类常见数据安全风险问题，为技术条款编制提供工业企业数据安全事实依据。本实践指南提出了工业企业数据全生命周期安全和通用安全的成熟度等级要求，以及能力成熟度等级评估方法。本实践指南适用于指导工业企业开展数据安全能力建设，以及对工业企业数据安全能力成熟度等级进行评估。 目录 前言 ....................................................................... I声明 ...................................................................... II摘要 ..................................................................... III1范围 ...................................................................... 12规范性引用文件 ............................................................ 13术语和定义 ................................................................ 14缩略语 .................................................................... 35工业企业数据安全能力成熟度模型 ............................................ 35.1能力成熟度模型 ...................................................... 35.2能力要素维度 ........................................................ 45.2.1能力构成 ...................................................... 45.2.2组织建设 ...................................................... 55.2.3制度流程 ...................................................... 55.2.4技术工具 ...................................................... 55.2.5人员能力 ...................................................... 55.3能力成熟度等级维度 .................................................. 55.4过程维度 ............................................................ 75.4.1PA 体系 ........................................................75.4.2编码规则 ...................................................... 75.4.3关系描述 ...................................................... 75.5能力成熟度等级判定 .................................................. 86全生命周期安全能力成熟度 .................................................. 86.1数据收集安全 ........................................................ 86.1.1PA01 数据收集安全管理 ......................................... 86.1.2PA02 数据源鉴别及记录 ........................................ 106.2数据存储安全 ....................................................... 116.2.1PA03 逻辑存储安全 ............................................ 116.2.2PA04 存储媒体安全 ............................................ 136.2.3PA05 数据备份和恢复 .......................................... 146.3数据使用加工安全 ................................................... 176.3.1PA06 数据转移安全 ............................................ 176.3.2PA07 数据委托处理安全 .........................................196.3.3PA08 数据脱敏 ................................................ 206.3.4PA09 数据分析与加工安全 ...................................... 226.3.5PA10 数据合规性使用 .......................................... 246.3.6PA11 数据处理环境安全 ........................................ 266.4 数据传输安全 .........................................................286.4.1PA12 数据传输安全管理 ........................................ 286.4.2PA13 数据传输加密 ............................................ 296.5数据提供安全 ....................................................... 31 6.5.1PA14 数据对外提供安全 ........................................ 316.5.2PA15 数据接口安全 ............................................ 336.6数据公开安全 ....................................................... 356.6.1PA16 数据公开安全 ............................................ 356.7数据销毁安全 ....................................................... 376.7.1PA17 数据销毁处置 ............................................ 376.7.2PA18 存储媒体销毁处置 ........................................ 397通用安全能力成熟度 ....................................................... 417.1PA19 安全管理制度 .................................................. 417.1.1 PA 描述 ....................................................... 417.1.2 等级描述 ...................................................... 417.2PA20 组织机构 ...................................................... 437.2.1 PA 描述 ....................................................... 437.2.2 等级描述 ...................................................... 437.3PA21 人员保障 ...................................................... 457.3.1 PA 描述 ....................................................... 457.3.2 等级描述 ...................................................... 457.4PA22 权限管理 ...................................................... 477.4.1 PA 描述