数据安全每周观察|零信任能力成熟度模型及评价方法等征求意见

政策趋势

一、《网络安全技术 零信任能力成熟度模型及评价方法》（征求意见稿）等5项国家标准公开征求意见

近日，全国网络安全标准化技术委员会归口的《网络安全技术 零信任能力成熟度模型及评价方法》等5项国家标准形成标准征求意见稿，并根据《全国网络安全标准化技术委员会标准制修订工作程序》要求，面向社会公开征求意见。

二、三部门发布《网络数据安全风险评估办法》，明确数据评估全流程合规要求

近日，国家网信办、工信部、公安部联合发布《网络数据安全风险评估办法》，明确境内网络数据安全风险评估全维度管理规则。

《办法》根据《中华人民共和国数据安全法》、《中华人民共和国网络安全法》、《网络数据安全管理条例》等法律法规制定，旨在规范网络数据安全风险评估活动，保障网络数据安全，促进网络数据依法合理有效利用。

《办法》规定，有关主管部门应当按照谁管业务、谁管业务数据、谁管数据安全的原则，定期组织开展本行业、本领域风险评估，根据工作需要对本行业、本领域处理重要数据的网络数据处理者开展风险评估情况进行检查，并于每年1月底前将年度风险评估检查计划报送国家网信部门。国家网信部门通过国家数据安全工作协调机制将计划与国务院电信、公安、国家安全等有关部门共享并进行协调，避免不必要的检查和交叉重复检查。有关主管部门开展检查不得向被检查的重要数据处理者收取费用。

重要数据处理者应当每年度开展风险评估。重要数据安全状态发生重大变化可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展风险评估。鼓励处理一般数据的网络数据处理者至少每3年开展一次风险评估。风险评估工作应当按照《中华人民共和国数据安全法》、《网络数据安全管理条例》有关要求，参照数据安全风险评估有关国家标准开展。有关主管部门对本行业、本领域风险评估工作另有规定的，从其规定。

网络数据处理者可以自行或者委托第三方评估机构开展风险评估。网络数据处理者自行开展风险评估，应当指定专人负责。网络数据处理者委托评估机构开展风险评估，应当通过订立合同或者其他具有法律效力的文件等方式明确双方的权利、义务等。鼓励相关评估机构通过认证。评估机构的认证按照《中华人民共和国认证认可条例》的有关规定执行。

三 、金融监管总局发布 AI 安全指导意见，建立银行保险 AI 全生命周期风险管控体系

近日，国家金融监督管理总局发布《关于银行业保险业人工智能安全开发应用的指导意见》，围绕金融 AI 合规可信应用出台 32 项规范，覆盖治理、研发、数据、算力、风控、监督七大维度，要求金融机构搭建顶层治理架构，搭建人工智能全生命周期管理机制，规范模型开发、部署全流程，稳妥推进金融智能体研发，共建行业 AI 应用生态。

数据与算力层面，机构需搭建高质量数据集与知识工程；布局自主可控智能算力底座，鼓励大型机构向中小机构共享算力，推动行业基础设施共建。

风控为核心要求将 AI 风险纳入全面风险管理，实行分类分级管控，高风险 AI 业务必须设置人工监督干预流程；强化外包、供应链风险管控，提升模型稳健性、可解释性，严守网络安全、数据安全与个人信息保护底线，保障业务连续运营。

意见明确，AI 应用需符合法律规范与社会价值导向。监管部门将常态化开展监督检查，从严处置各类违规行为，动态评估、优化监管规则，提升金融 AI 领域监管适配能力，在防控风险前提下依托 AI 培育金融新质生产力，赋能实体经济发展。

四、中国人民银行发布《金融数据安全 数据安全能力体系JR/T0358-2026》

近日，中国人民银行发布金融行业标准《金融数据安全 数据安全能力体系》(JR/T 0358—2026)。

文件提出了金融数据安全能力体系，包括通用数据安全保障、数据分类分级管理、数据生命周期安全及数据安全运营保障4个能力域，从组织建设、制度流程、技术能力及人员能力4个能力维度，将金融从业机构数据安全能力由低到高划分为一至五级，明确了各能力域建设目标及对应等级的能力要求。适用于金融从业机构数据安全能力体系的规划、建设、评估等工作。

五、国家数据局等七部门印发《促进平台经济大中小企业协同发展行动方案（2026—2028年）》

近日，工业和信息化部、中央网信办、国家发展改革委、科技部、商务部、市场监管总局、国家数据局等七部门近日联合印发《促进平台经济大中小企业协同发展行动方案（2026—2028年）》。

《方案》围绕强化创新协同引领、健全生态协同体系、深化开放协同联动等三方面，部署重点任务及专项行动。推动产业生态共享方面，加快探索通用模型与面向特定场景的专用模型协同模式，依托工业互联网平台打通模型间交互接口，推动重点行业工业大模型与专用小模型协同开发部署。加快智能体互联互通协议标准研制和推广应用，打通数据、工具与能力壁垒，实现异构智能体间的任务协同与资源互操作。推动服务生态共建方面，健全制造业数智化转型服务体系，深化中小企业数字化赋能专项行动，建设一批深耕行业的制造业数字化转型促进中心，支持细分行业工业互联网平台企业面向中小企业聚合“小快轻准”数智化产品及解决方案，深化垂直行业服务能力。支持平台企业联合中小企业加速人工智能、虚拟现实、增强现实、数字孪生等新技术赋能生活服务，培育智能服务消费新业态。

促进技术能力开放方面，推动平台企业积极参与人工智能等重点领域技术开源共享平台建设，共同繁荣开源生态体系。健全开源机制，支持并推动一批高水平人工智能开源项目在先进制造等重点场景应用。促进数据要素开放方面，推动数据资源开放，引导平台企业打造可信数据空间，高效开发利用和管理数据资源。鼓励平台企业探索数据资源共享与流通利用模式，加快企业数据开发利用，打造行业高质量数据集。鼓励平台企业协同上下游企业开展数据管理国家标准贯标工作，开展平台企业数据要素开放价值成效评估。探索建立企业首席数据官制度，提升数据管理能力。促进算力资源开放方面，深入开展算力基础设施高质量发展和算力互联互通行动计划。推动算力资源开放，开展算力并网池化及互联工作，引导平台企业联通分布式算力资源及纳管平台，提升算力资源配置效率。推进全国一体化算力监测调度服务平台建设。提升平台企业词元（Token）普惠服务能力，面向中小企业共性需求优化智能体服务，降低中小企业获取与应用门槛。

六、八部门发布《关于加快“人工智能+消费”发展的实施意见》

近日，商务部等8部门发布《关于加快“人工智能+消费”发展的实施意见》，围绕提升人工智能+商品消费、扩大人工智能+服务消费等五方面提出多项举措，促进人工智能进千家万户、进千商万店。

《意见》强调筑牢安全防线。在消费领域大模型研发、设计、训练、部署、运行各环节，加强网络安全、数据安全、内容安全等安全能力建设。健全“人工智能+消费”监管机制，加强消费者信息保护，完善大数据算法、消费欺诈等治理措施。

七、上海市通管局印发《上海市电信领域数据安全事件应急预案（试行）》

近日，为深入贯彻落实《数据安全法》《网络数据安全管理条例》等法律法规和《工业和信息化领域数据安全管理办法(试行)》《工业和信息化领域数据安全事件应急预案(试行)》等相关政策制度，上海市通信管理局结合电信领域数据安全管理工作特点及上海市数据安全工作实际，研究制定《上海市电信领域数据安全事件应急预案(试行)》。

监管动态

一、国家网络与信息安全信息通报中心通报40款违法违规收集使用个人信息的移动应用

据国家网络与信息安全信息通报中心通报，根据中央网信办、工业和信息化部、公安部联合发布的《关于开展2026年个人信息保护系列专项行动的公告》，依据《网络安全法》《个人信息保护法》《网络数据安全管理条例》《App违法违规收集使用个人信息行为认定方法》等法律法规和有关规定，经公安部计算机信息系统安全产品质量监督检验中心检测，40款移动应用存在一项或者多项违法违规收集使用个人信息情况：

1、处理不满十四周岁未成年人个人信息，未制定专门的个人信息处理规则，未取得未成年人父母或其他监护人的同意。涉及《豆伴匠》（版本2.9.7，小米应用商店）1款移动应用。

2、未经用户同意收集使用个人信息。涉及《复真书法》（版本4.4.3，华为应用市场）、《人教点读》（版本5.3.605，华为应用市场）、《途途课堂》（版本5.91.42，华为应用市场）等25款移动应用。

3、未完整准确告知收集使用个人信息情况，或告知收集使用个人信息目的、方式、范围与实际收集使用情况不一致。涉及《爱家教》（版本4.2.8，OPPO软件商店）、《TVbox》（版本1.4，应用宝）、《不厌书法》（版本109.1，应用宝）3款移动应用。

4、未列明向第三方提供个人信息的种类、目的、方式以及接收方的名称、联系方式。涉及《爱家教》（版本4.2.8，OPPO软件商店）1款移动应用。

5、在申请打开可收集个人信息的权限或申请收集用户等个人敏感信息时，未同步告知用户其目的。涉及《中公教育》（版本7.20.30，华为应用市场）、《格灵课堂》（版本5.2.1，小米应用商店）、《乐龄》（版本1.2.0，小米应用商店）等5款移动应用。

6、超出必要范围收集使用个人信息，在无关场景收集位置、通讯录、短信等个人信息。涉及《分之道》（版本2.6.9，OPPO软件商店）、《不厌书法》（版本109.1，应用宝）2款移动应用。

7、未设置易于理解、便于访问和操作的个性化推荐关闭选项。涉及《伴学课堂》（版本1.5.6，小米应用商店）1款移动应用。

8、未提供有效注销用户账号功能。涉及《不厌书法》（版本109.1，应用宝）1款移动应用。

9、未建立、公布个人信息安全投诉举报渠道等。涉及《智学网》（版本1.8.2578，华为应用市场）、《易教网家教》（版本1.99，华为应用市场）、《魔方学院》（版本2.2.29，OPPO软件商店）等15款移动应用。

10、未向用户提供行使更正、删除、拒绝处理个人信息等权利的便捷渠道，相关功能不完善不健全。涉及《易教网家教》（版本1.99，华为应用市场）、《社博》（版本7.2.108，vivo应用商店）、《同步课堂学生》（版本3.0.59，vivo应用商店）等6款移动应用。

11、频繁或意外弹出广告，影响用户正常使用。涉及《作业答案搜题》（版本1.0.1，应用宝）1款移动应。

二、苏州银行因“数据安全 网络安全”等11项内容被罚760万 领开业来最大罚单!

近日，根据中国人民银行江苏省分行公布一则行政处罚信息显示，苏州银行因违反数据安全管理规定等11项违法行为，被给予警告、通报批评，没收违法所得399480.86元，并处罚款721.02万元。

行政处罚信息显示，11项违法行为分别为：违反账户管理规定;违反收单管理规定;违反网络安全管理规定;违反数据安全管理规定;违反人民币流通管理规定;违反反假货币业务管理规定;占压财政存款或者资金;违反信用信息采集、提供、查询及相关管理规定;未按照规定开展客户尽职调查;未按照规定保存客户身份资料和交易记录;未按照规定报告可疑交易。

此外，苏州银行越溪支行吴某，对违反反假货币业务管理规定负有责任，被警告并罚款6.5万元;苏州银行网络金融部陆某，对违反收单管理规定负有责任，被警告并罚款5万元。

三、郑州两家公司违反《网络安全法》等 被网信部门处罚

近日，据网信郑州通报：郑州网信扎实开展“清朗・利剑”专项行动，持续深化网络生态治理。始终坚持依法依规、分类处置、从严管控，全力营造清朗健康、风清气正的网络空间。将有关典型案例进行通报：

案例一：郑州某咨询管理有限公司在网络安全方面意识淡薄，未及时发现处置其内部系统的弱口令漏洞，未采取数据分类、重要数据备份和加密等措施，违反了《网络安全法》相关规定，郑州市网信办依法对该公司作出警告、罚款的行政处罚。

案例二：河南某网络科技有限公司在网络安全方面意识淡薄，未依法严格履行网络信息内容管理责任，其运营管理的网站平台内容审核管控机制落实不到位，平台注册账号违规发布有害信息，违反了《网络安全法》《网络信息内容生态治理规定》《互联网信息服务管理办法》等相关规定，郑州市网信办依法对该公司进行约谈、责令改正。目前该网站已关闭。

郑州市网信办将持续强化网络生态治理效能，压紧压实网站平台主体责任，依法从严处置网上各类违法违规行为，切实守护清朗健康、风清气正的网络空间。

四、停车管理系统个人信息保护不到位！公安机关依法查处

近日，湖南网警报道，郴州公安机关对辖区内不履行个人信息保护义务的停车场管理系统运营单位进行依法查处。

2026年5月，郴州市公安局北湖分局网安大队对辖区内某停车管理公司开展网络安全检查发现，该公司开发使用的停车系统，管理了郴州近200个停车场的车辆用户数据，但该公司未制定个人信息内部管理制度和操作规程，对用户数据未采取相应的加密、去标识化等安全技术措施，公司多名员工系统账号均能随意导出用户数据。郴州市公安局北湖分局对该公司不履行个人信息保护义务的情形依法处以行政处罚、责令限期改正。

公民个人信息受法律保护，个人信息处理者应当对个人信息处理活动负责，采取必要措施保障所处理的个人信息的安全。对于不履行个人信息保护义务的，公安机关将依法追责。

《中华人民共和国个人信息保护法》第五十一条：个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失。

《中华人民共和国个人信息保护法》第六十六条：违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务;拒不改正的，并处一百万元以下罚款;对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

五、Klue供应链攻击曝光LastPass及多家安全厂商数据泄露

近日，Enginerds 发布供应链泄露深度分析，6 月 16 日至 23 日加拿大市场情报服务商 Klue 遭黑客组织 Icarus 入侵，引发连锁数据泄露，波及 HackerOne、Recorded Future、Tanium、LastPass 等多家网络安全企业。

攻击者依靠被盗遗留凭证攻入 Klue 系统，窃取平台对接客户 Salesforce 的 OAuth 授权令牌，无需单独账号即可访问下游企业 CRM 数据库，批量窃取商业联系人、客户账号、销售台账等业务数据。LastPass 后续披露，黑客通过该链路获取用户姓名、电话、住址、客服工单等信息，但其核心密码保险库未受波及。

Icarus 事后宣称对攻击负责，以公开全部窃取数据为筹码索要赎金，形成“入侵 - 窃数 - 勒索”标准化攻击链路。报告指出，即便主营安全业务的厂商，销售、客服等业务系统仍高度依赖第三方 SaaS 集成，遗留无效凭证、过度授权 OAuth 令牌是本次攻击的核心突破口。

事件凸显当下数据防护边界不再局限自有系统，所有可触达企业数据的第三方服务商均为风险面。行业专家提示，第三方风险不能仅做流程勾选，需常态化盘点跨平台授权权限、清理长期闲置遗留账号，同步建立供应链泄露应急处置机制，应对单点入侵引发的跨企业数据泄露与长期勒索威胁。

六、新型 macOS ClickFix 攻击曝光，静默挂载 DMG 镜像投放信息窃取木马

Palo Alto Networks Unit42发现一起新的macOSClickFix攻击活动。攻击者通过伪造CAPTCHA验证页面，诱导用户打开Terminal并粘贴所谓“验证命令”，随后在后台下载、挂载并启动恶意DMG文件，最终投放Atomic macOS Stealer，简称AMOS。

ClickFix是一类社会工程攻击手法，常以假CAPTCHA、浏览器错误或系统提示为诱饵，要求用户复制执行攻击者提供的“修复指令”。此次活动的关键变化在于，攻击命令不再依赖用户手动打开DMG，而是利用curl从攻击者控制的服务器下载恶意DMG，并保存到/tmp目录下的随机文件名中；随后调用macOS原生hdiutil attach -nobrowse静默挂载磁盘镜像，使其不会显示在Finder或桌面；脚本还会在最多三层目录内搜索.app或.pkg安装包，并通过open命令自动启动。

研究人员观察到的样本包括名为s.01M0td.dmg的磁盘镜像，挂载后包含自签名应用NNApp.app。该载荷属于AMOS家族，可窃取浏览器凭据、Cookie、登录数据库、自动填充信息、支付卡数据、认证令牌、浏览历史、Keychain数据、Telegram Desktop和Discord数据、Apple Notes数据库，以及PDF、TXT、RTF等用户文档。其目标覆盖Google Chrome、Microsoft Edge、Brave、Opera、Arc、Vivaldi等8款Chromium系浏览器，也包括LibreWolf、SeaMonkey、Tor Browser、Waterfox和Zen Browser等Firefox衍生浏览器。

此外，AMOS还会收集Exodus、Electrum、Atomic Wallet、Wasabi Wallet、Bitcoin Core、Litecoin Core、DashCore、Guarda、Binance Wallet、Dogecoin Wallet、TonKeeper等加密钱包数据，并可能替换合法Ledger Live和Trezor Suite安装，用于后续加密资产窃取。所有数据会被打包为ZIP并上传至攻击者服务器。此次活动涉及的C2包括svs-verificationdate[.]beer和196.251.107[.]171。

七、政府数据库遭入侵，300 万狩猎垂钓许可持有人证件、住址数据泄露

据外媒近日消息，美国得克萨斯州公园与野生动物管理局（TPWD）数据库遭非法入侵，超 300 万居民个人信息泄露，为当地史上规模较大的政务数据安全事件。

据州总检察长办公室通报，攻击者入侵存储狩猎、垂钓许可记录的数据库，外泄数据包含姓名、居住地址、驾照编号、护照等个人身份信息（PII）。官方澄清，涉事服务器未存储社保号、信用卡、出生日期等高敏感字段，整体风险等级低于初期预估。

事件发生后，TPWD 开通专线 844-959-7123（工作日中部时间 8:00-17:00）受理民众咨询，并免费提供信用监控与身份防护服务。

八、Bithumb因违规跨境传输个人信息被韩国个人信息保护委员会罚款2.1亿韩元

近日，韩国个人信息保护委员会召开全体会议，认定Bithumb违反个人信息跨境传输相关规定，决定处以2.1亿韩元罚款，并责令其整改，补正相关合规手续。

韩国个人信息保护委员会表示，在2025年国政监察期间，围绕Bithumb订单簿共享业务是否合规开展个人信息跨境传输引发质疑，监管部门随后启动调查。调查结果显示，Bithumb在与海外虚拟资产交易所共享订单簿以及进行虚拟资产划转的过程中，未取得个人信息主体的单独同意，便向境外传输相关个人信息。

据介绍，Bithumb于2025年9月至11月期间，在USDT市场与海外交易所开展订单簿共享。在这一过程中，Bithumb以“向Stellar exchange跨境传输个人信息”为由取得了单独同意，但实际却将用户编号及订单信息传输至由其他交易所运营的系统 bingx.com。

韩国个人信息保护委员会还表示，结合此次调查中确认的区块链技术特点，已制定《区块链服务个人信息保护指南》。该指南针对不同区块链特性提出了相应措施，包括围绕透明性带来的链上信息公开与追踪风险提出防护方案，围绕分散性带来的参与方之间信息共享问题提出管理方案，以及围绕不可变性带来的个人信息删除难题提出应对方案。

韩国个人信息保护委员会表示，今后将继续从严查处包括个人信息跨境传输在内的违法行为，防止公众个人信息自主决定权受到侵害，并持续完善相关标准，在新技术环境下推动个人信息保护与安全利用之间实现平衡。

业界之声

一、“2026年数据安全和个人信息保护政策宣讲暨电力领域网络安全国家标准贯标应用深度行”活动在桂林举办

近日，“2026年数据安全和个人信息保护政策宣讲暨电力领域网络安全国家标准贯标应用深度行”活动在桂林成功举办。

活动设立了政策宣讲、标准解读、实践分享、成果发布、技术交流等多个环节，包含专家解读《网络数据安全管理条例》，《能源行业数据安全管理办法（试行）》及数据安全风险评估实践分享，《个人信息保护合规审计在电力领域的实践》、《广西电网公司数据安全实践分享》、《电力领域数据安全能力成熟度应用实践》、《AI驱动的新一代安全运营范式》等文件的介绍。

“网络安全国家标准贯标应用深度行”系列活动是网安标委近年来推广标准宣贯与应用的一项重要举措，旨在促进网络安全国家标准深入行业、深入地方、深入组织落地实施，提升标准支撑重点领域网络安全工作实施效能和指导解决网络安全问题的能力。本次活动选取电力行业开展标准宣贯解读，对推动网络安全、数据安全国家标准在电力行业领域落地走深、见行见效具有重要意义。

二、山东省坚持发展和安全并重，全方位加强数据流通安全治理

山东省以数据要素综合试验区建设为契机，深入推进公共数据流通安全治理工作，统筹抓好数据共享、开放与授权运营全链条安全治理，积极打造特色化数据应用场景，高效释放数据要素价值。

此次安全治理工作强调强化安全管控，构建一体化数据共享新格局，搭建省统一的一体化大数据平台体系，构建统一的数据共享服务渠道，高效支撑包括交通运输在内的各部门各行业安全共享数据567亿次。一是构建安全可控的共享渠道。全面整合各级各部门自建数据共享渠道，实现公共数据集中归集、统一调度，从源头破解数据分散、管控缺失等安全痛点。二是实施分类分级防护。出台《山东省公共数据分类分级工作规范（试行）》，明确公共数据分类分级标准和数据安全责任，编制智慧交通相关标准规范30余项，形成数据质量规则1000余条。三是严把数据申请审核。要求数据申请部门严格签订安全承诺书，按照“一场景一申请”原则申请使用数据；建立部门间联审机制，由数据主管部门、数据提供部门联合对申请数据合理性、使用场景合规性等进行审查；严控数据使用时限，明确共享数据使用有效期。四是强化全流程安全监测。依托省一体化大数据平台对共享数据进行全流程监测，按照“一数一策、一场景一策”的原则设定动态数据安全策略。

筑牢安全根基，开拓高质量授权运营新路径 积极推进公共数据资源授权运营，严格落实数据产权结构性分置要求，加快构建覆盖公共数据授权运营全流程、各环节的一体化安全保障体系。一是完善授权运营安全管理制度。印发公共数据授权运营管理办法和实施细则，聚焦运营机构准入、数据获取使用、数据产品出域流转等关键环节，构建形成“1+4”的公共数据授权运营制度体系，细化安全管理要求，明晰各方监管职责。二是明确数据权属。将公共数据资源登记作为授权前置必备条件，组织数源部门开展数据安全性评估，提升数据流通安全性与可追溯性。三是严格执行“一数一授权”。坚守最小必要供给原则，运营机构按业务场景提出数据申请，经数据管理部门、数据提供部门联合安全风险评估通过后依法依规供给数据，严防超范围、超场景、超权限违规用数风险。四是强化技术保障。搭建隐私保护计算平台，支持用数主体开展“可用不可见”数据分析，切实保障用数安全。在筑牢安全保障的同时，聚焦数据价值释放和场景化应用，通过授权运营全省联动打造560余个公共数据产品和服务，其中在交通运输领域打造了货车运输线路规划、交通健康诊断等40个产品。

下一步，将持续深化数据要素市场化配置改革，加力推进数据合规有序流通和安全治理工作。一是强化政策体系保障。加快出台《山东省数据条例》，健全数据安全治理、风险评估等专项制度和行业标准。二是提升安全治理能力。统筹建设可信数据空间，规模化应用隐私计算、区块链存证等安全技术，筑牢数据安全屏障。三是深化数据创新应用。深入推进“数据要素×”行动，推动人工智能与数据深度融合，打造交通行业大模型及危化品物流智能应用场景。

三、湖北省交通运输领域数据要素市场化配置改革实践与探索

交通运输是湖北的显著优势，也是数据要素最为密集、流通需求最为迫切的领域之一。近年来，湖北省数据局与省发展改革委、省交通运输厅密切配合，依托数据要素综合试验区建设，努力探索符合湖北实际的交通运输领域数据要素市场化配置改革之路。

安全治理实践：让数据“管得住”“不出事” 数据“用得好”的前提是“管得住”，安全不是流通的阻力，而是流通的助力，只有建立严谨的安全体系，各类主体才敢于提供数据、敢于参与流通。针对数据流通中的安全问题，湖北省相关主体根据不同应用场景，在制度规范、技术防护、权限管控、监测审计等方面积累了有益经验。

在制度规范方面，在多方主体参与的数据流通场景中，推动各方签订协议，明确数据权责归属与保密义务，从源头夯实安全责任。同时，指导企业健全数据管理制度，实行分类分级保护。

在技术防护方面，建设可信数据空间，支撑数据跨主体安全流转；部署公共数据授权运营专用基础设施，搭建安全边界与加密传输通道，实现不同网络的可信对接；采用国密算法对前端采集数据实时加密，统一港口、船舶、场站等感知设施的身份认证，提升数据防篡改能力。

在权限管控方面，按照“最小必要”原则，严格控制敏感数据访问。实施精细化访问控制，建立可信数据传输通道，基于场景、使用主体、数据粒度、时效等实施最小权限管控，防范数据超范围使用。

在监测审计方面，部署流量监测与异常行为预警系统，对非法访问、异常传输行为进行实时识别与拦截。同时，运用数字水印、行为审计等技术，确保任何数据访问行为可追溯、可核查。

下一步重点工作：一是构建“1+N”供应链物流平台体系，整合省市县三级交通物流数据资源，打造全省交通物流一张网。二是推动交通物流公共数据开放互联、促进企业交通物流数据流通利用，打造更多交通物流数据应用场景，助力企业降本增效。三是推广应用隐私保护计算、加密传输等安全技术，建立全生命周期可追溯、可审计的数据流通机制，推动安全治理从被动防护向主动管控转型，形成“安全越牢固、流通越活跃”的良性发展格局。

四、深化市场化配置改革 释放数据要素价值

近日，国家数据局官方媒体发布了局长刘烈宏的署名文章《深化市场化配置改革 释放数据要素价值》。

文章强调，要打好组合拳，着力构建数据要素价值实现闭环。要遵循数据要素价值释放规律，坚持制度、设施、应用、市场、产业协同发力，构建数据要素价值释放闭环。坚持制度引领，进一步破除影响生产力发展的体制机制障碍，健全完善数据基础制度，将制度优势转为发展胜势。坚持基础先行，加快建设和运营数据基础设施，夯实数据安全基础，破解数据安全合规高效流通“不可能三角”。坚持场景牵引，强化数据要素场景应用，打通技术和产业、研发和市场的桥梁，更好发挥乘数效应。坚持市场培育，一体推进制度、生态、设施、治理等建设，加快建设开放共享安全的全国一体化数据市场。坚持壮大产业，持续繁荣数据产业生态。

夯实基础，不断强化数据要素价值释放能力支撑。“核心技术攻关、数据标准化、数字人才培养”3个基础良性互动、高效协同，为数据要素市场化配置改革提供坚实支撑。一是加快推进关键技术攻关，强化高水平数据科技供给。加快数据供给、流通、利用、安全等关键技术攻关，突破一批基础性、原创性关键技术，破除制约大规模高价值、高敏感数据安全可信流通的梗阻。二是加快推进数据标准化，强化数据领域“通用语言”构建。要坚持急用为先，加快推进国家数据标准体系建设，高质量推进标准研制和推广应用，进一步发挥标准的规范性和引领性作用。三是加快数字人才培养，强化创新发展人才支撑。随着数据开发利用深度和广度不断提升，市场对数字人才尤其是高层次、复合型数字人才需求不断增长。要加快数字人才队伍建设，加快形成与我国数字经济高质量发展相适应的数字人才供给能力。

赋能人工智能发展，持续发挥数据要素乘数效应。数据是人工智能的燃料，数据的规模、质量是推动人工智能创新发展的重要基础，人工智能的应用深化也为数据要素的价值释放开辟了广阔的新空间。下一步，要突出数据赋能人工智能创新发展这个重点，关键是要实现“人工智能+”行动到哪里，高质量数据集的建设和推广就要到哪里，推动“人工智能+”与“数据要素×”同频共振，为新质生产力培育注入强劲动能。

五、以“货港航车船闸”六位一体为牵引，探索水运数据安全治理的“湖南路径”

湖南作为中部水资源大省，坐拥长江黄金水道与洞庭湖水系，但较长一段时期内，水运占比仅10%，存在“有水难行、行而不优”等问题。水运衔接不畅，受限于跨部门、跨行业、跨企业数据协同不够，以及数据流通安全顾虑较多等因素，导致系统“联”不起、效率“提”不上、成本“降”不下。为此，湖南省紧扣国家数据要素市场化改革部署，依托湖南港航多式联运一体化服务平台，积极做好数据赋能文章，围绕数据全生命周期安全治理，构建“货源、港口、航道、车辆、船舶、船闸”六位一体数据可信流通体系，蹚出一条湖南特色水运数据治理新路子，主要做法为“三个一”。

一是织密一张“安全网”，保障数据全生命周期安全，依托平台将数据安全嵌入建设与运营全流程，构建覆盖数据采集、传输与流通、存储与处理、应用、销毁与溯源各环节的全生命周期安全治理体系。如，在数据采集环节，制定“港航船货闸”数据元标准与接口规范，仅接入合规设备与系统，拒绝非标数据；公共数据脱敏后采集，企业数据采用“授权+脱敏+加密”采集；个人数据实行“最小必要”采集；采集全程留痕，记录采集主体、时间、内容、授权，支持溯源追责。如，在传输流通环节，坚持专线加密、链式授权、可信共享，有效应对数据“不愿共享、不敢共享”，让各类主体愿意“供数、联数”。

二是打通一条“安全路”，消除要素流动的“隐形壁垒” 坚持“制度+技术”双轮驱动，出台湖南省交通物流数据分级分类管理细则，明确涉密数据、运营数据与公共数据边界，建立从采集、传输到存储、应用的全流程约束机制。同时，依托平台搭建端到端加密传输架构、实施分区隔离管控、强化全程审计追溯，实现全链路安全监测覆盖率达到100%，降低数据泄露风险。此外，以“可用不可见、可控可计量”为原则，实现交通、海事、港口、船闸等数据“不泄露、不越权”，构建起跨部门的多式联运常态化数据共享机制，已形成覆盖货物、港口、运输等6大类、128小类的标准化数据体系，日增10万条，累积结构化数据达1.2亿条。

三是打造一个“安全圈”，点燃行业跃升的“强劲引擎” 坚持“价值引领、安全兜底”，通过平台数据驱动的精准调度与智能匹配，有效破解了船货匹配失衡、空载率高的难题，服务企业超3000家、车辆近8000辆、船舶超1万条，日均发运水铁联运16列。在此基础上，搭建物流行业可信数据空间，整合水、公、铁运力信息资源，推动数据从资源向资产转化。平台服务湖南钢铁物流成本下降21%，年节省费用约1.6亿元；服务美的冰箱物流周期从30天缩短至7天，时效提升76.7%，行业平均成本下降约15%。这些实实在在的成效，印证了数据要素赋能高质量发展的巨大潜力。

下一步，湖南将强化三方面探索：一是持续筑牢数据安全屏障，提升包括水运在内的重点行业数据流通安全治理能力，推广“一地创新、全省复用”的安全治理模式。二是拓展水运综合服务，聚焦通航辅助、能源补给、船舶服务、生活保障四大场景，打造“一站式”智慧航运服务体系。三是推动“湘申链”“湘苏链”等跨省数据合作，探索建立长江经济带数据共享互认机制，为水运领域数据要素安全流通贡献更多“湖南方案”。

关于数安行

北京数安行科技有限公司以数据运营安全为理念，以AI人工智能技术为核心驱动，聚焦数据运营安全，助力数字化转型，致力于让用户的数据安全地创造价值。公司以承载和保护每一个用户的数据运营安全为愿景，持续创新，合作共赢，成就用户。公司核心团队拥有十余年网络安全与数据安全经验，服务于政府、军工、金融、运营商、互联网、教育、高端制造等各行业客户。

关于数据运营安全

数据运营安全（DataSecOps）核心是在数据运营中内嵌数据安全属性，解决数据运营过程中的数据安全问题，以一个产品或平台的方式运行。其目标是在不影响数据业务流程正常运行的情况下更有效的保护组织内的敏感数据资产，对敏感数据的扩散及滥用风险进行快速响应，将数据安全防护策略传递至参与数据运营的所有人员。