建设背景

数据要素的核心资产价值凸显。2015年，中共中央、国务院在《促进大数据发展行动纲要》中，将数据纳入国家基础性战略资源，并强调加快大数据部署与应用。此后十年间，《关于构建更加完善的要素市场化配置体制机制的意见》《北京市“数据要素×”实施方案（2024—2026年）》等一系列行动纲要与指导意见相继出台，数据要素在提升生产力、创新商业模式、优化经济结构等方面发挥着愈发关键的作用。因此，保障数据安全合理应用意义重大。

数据安全的政策法规日臻完善。近年来，数据安全领域的基础性法律框架基本形成，工业和信息化领域的相关政策文件也陆续出台，数据安全管理有法可依、合规使用的重要性逐步提升。

数据安全的内外风险持续加剧。随着集团深入推进工业互联网平台、多级数据湖、分布式多节点数据中心建设，以网络安全为中心的传统管理模式亟待变革。

数据安全管理的难度显著提升。管理链条覆盖数据全生命周期，风险源于内部且难以识别防范。数据资源分类模糊、确权难、存储分散，多云部署难以实现全局一致性。数据开放共享常态化，泄露渠道多元化。伴随大数据、人工智能应用带来了数据中毒、聚合分析等严重威胁。

内涵及主要做法

数据是数字化转型的核心驱动力与关键资源，数据安全则是数据有效利用的前提。通过确立实施首钢集团数据安全管理体系框架，构建综合防护体系，实现防御能力提升的目标。

以顶层规划为引领，明确数据安全体系的总体思路。坚持系统观念，确立数据安全管理的实施原则。秉持“合规可控、集约共享、主动防御、持续改进”方针，确保数据利用满足法律法规框架内各项要求，数据保护能力集约建设、共享使用，数据安全风险提前预防、主动发现，数据安全管理不断优化完善。同时，紧紧围绕主体责任、突出问题、长远发展、主责主业“四个紧密围绕”原则，推动数据安全管理体系统一建立、分步实施。

创新管理理念，明确数据安全管理的目标方向。按照“统筹谋划、分类分级、审计可溯”推进战略，采取“技术创新、资源盘活、实战检验”实施策略，科学规划数据安全管理发展指向。

深入学习交流，确立数据安全管理的推进路径。集团通过委托专业安全管理咨询机构，对行业内及自身过往数据安全管理实践进行调研分析，总结最佳实践，结合集团实际情况提出全面解决方案，形成“着眼当下、兼顾长远、急用先上、逐步推进、滚动发展”的数据安全体系建设思路。

科学决策谋划，搭建数据安全管理的设计框架。明确构建“安全基础设施统一、安全管理体系完整、安全管理对象清晰、安全应用场景明确、安全防护能力全面、安全运营模式健全、数据流通管控有效”的数据安全顶层设计框架。

以高效运转为核心，完善数据安全体系的组织架构。建立上下贯通的数据安全组织体系。依托首钢集团网络安全和信息化委员会，拓展管理范畴，自上而下推进数据安全决策、管理、执行与监督工作，构建多部门共治、责任共担的治理格局。

建立执行有力的数据安全运营体系。集团安全运营中心与各主要单位构建“1+19”一体化网络数据安全运营体系，建立全集团联防联控、情报共享、协同处置、闭环管控机制。

建立覆盖全面的数据安全制度体系。在已有网络安全相关规范基础上，编制《首钢集团数据安全管理规范》，明确数据分类分级、全生命周期保护等要求，实现对网络、应用、数据各层级在安全管理规范上的全面覆盖。

以安全合规为目标，构建数据安全体系的基础底座。实行数据安全的合规性识别。建立外规识别清单和标准知识库，明确数据安全管理的法规框架、政策文件、安全标准。

开展数据安全风险分析。全面风险评估涵盖资产、脆弱性、威胁识别及风险等级评估。以某业务系统为例，在进行风险分析时，先明确系统业务功能、等级保护级别等基本情况，再梳理用户在业务场景及数据全生命周期中可能存在的安全风险。通过对照列表的方式，找出风险点位，归纳安全风险，合并总结共性技术风险，进而制定应对措施。

推进数据的分类分级管控。依据国家及行业标准，结合自身实际，借助数据分类分级平台及规则引擎、机器学习等技术，提升分类分级的系统化、自动化、智能化水平。推动数据分类分级开展，明确干系人、角色职能、授权机制等保障体系；坚持技术与业务融合，保留手动调整机制；强化元数据管理，建设关键词知识库，运用元数据关键词等技术，保障分类分级覆盖率与准确率。

筑牢数据运行的基础平台。高效化、集约化的基础平台，其数据安全管理能力应涵盖数据传输与存储加密、资源环境隔离、访问控制、流向监控、安全审计、恶意文件监测与隔离、异构数据存储及备份容灾等方面。通过技术、流程与人员的综合管控，管理和保护企业数据资源。

打造数据安全的赋能平台。高效实现、综合利用数据安全能力，解决国产密码应用、数据加密与脱敏等需求。国产密码服务平台，从算法到应用流程提供统一和标准的密码服务，集中整合管理密码资源与业务。数据加密平台有效防止重要数据未经授权访问。数据脱敏平台平衡数据共享利用与隐私保护，降低数据泄露风险。如某些集团管控系统运用国产商用密码算法及数据透明加密技术实现敏感数据保护，通过可控规则映射，隐藏替换真实信息，防止敏感信息泄露。

自主创新数据安全产品。推动自主创新，结合项目建设推广，将管理理念融入平台设计。一方面，推进数据脱敏平台自主研发，解决传统脱敏脚本效率低、误操作等问题。平台具备数据源添加、敏感定级、静态及增量脱敏等多项功能，有效降低业务数据在多场景下的安全风险。另一方面，提升自研数据中台安全能力，运用敏感数据识别、数字水印等措施，加强敏感数据与个人信息防护。同时，监测中台内数据使用与共享，防范数据泄露。

以持续有效为标准，打造数据安全体系的运营机制。构建常态化数据安全运营模式。搭建分级部署、统筹管理的安全态势感知平台，实现网络安全监测预警、分析研判与应急处置功能，通过可视化安全事件管理，让安全威胁“看得见”。集成主机安全产品、防火墙管理平台，追踪共性攻击源，一键下发封禁指令，实现对安全攻击的快速防御。定期开展互联网资产测绘，收敛互联网暴露面，常态化排查修复安全漏洞，形成问题闭环管理，降低数据安全风险。强化网络安全人才队伍建设，鼓励下属单位将技术培训纳入年度计划。每年组织安全管理与技术人员培训，通过职业技能竞赛与短期脱产培训，覆盖400名专业技术人员，每年约2.5万名职工接受安全意识教育。

推进体系化数据安全应急处置。依托集团网络安全应急体系，复用组织和人员，构建完善的网络与数据安全应急组织。针对数据安全特定环节，从数据泄露等7类14个场景深入分析，编制数据安全应急预案与勒索病毒专项预案，并定期组织应急演练，提升对数据安全事件的响应与处置能力，降低事件对企业运营的影响。

开展实战化数据安全攻防演练。定期组织内部攻防演练，并积极参与上级主管单位举办的实战演习。通过红蓝双方真实网络对抗，检验集团网络及数据安全防护、应急响应体系的健全性与有效性。近3年累计发现34家单位110套业务系统存在数据安全隐患，且均已得到彻底整改，实现“日常巩固、实战提升”的演练目标。

建立规范化业务数据备份机制。制定严格的数据备份恢复要求、容灾审计及检查办法，保障措施有效执行。搭建“两地三中心”备份和演练平台，采取磁盘快照、云备份等多种手段，并依据数据重要性与恢复目标，将业务数据分为核心数据、重要数据、一般数据3类，并按照分类备份策略执行数据备份。为确保备份数据有效，定期开展离线数据恢复演练，提升数据恢复和应急响应能力，优化恢复流程。

以补齐短板为重点，推进管控举措快速落地实施。遵循“着眼当前、兼顾长远、急用先行、逐步推进、滚动发展”路径，围绕“关键业务、关键数据、关键场景”，优先集成应用成熟技术，应对当前紧迫风险。持续研究人工智能、隐私计算等新型技术，构建以数据为中心的安全防护体系。

技术实现上，梳理关键业务，全面识别风险，设计缓解方案，快速落地应对举措。实施步骤上，新系统按照“三同步”原则，梳理业务流程及数据、明确分类分级管理要求，制定管控策略，同步运用国密算法加密、动态脱敏，实施审计与权限管控，测试系统实现静态脱敏。存量系统考量改造难度与成本，设计免改造或其他防护方案。

建设效果

2022年以来，首钢集团信息安全防护体系朝着全场景覆盖目标迈出了坚实的一步，实现了数据安全领域从0到1的突破，为集团成员单位开展数据安全管理提供了规范引领和持续赋能。

合规管理水平显著提高。集团积极履行国家及工业信息化领域数据安全保护义务与责任，顺利通过工信部“数安护航”专项验收，满足上级主管单位网络安全工作责任制检查要求。

体系建设能力不断完善。建立了涵盖组织架构、规范流程、技术工具和人员能力的数据安全体系框架，安全管理成熟度达到“稳健级”，集团下某单位顺利通过DCMM3级认证。

技术创新场景持续扩展。深入集成应用数据安全防护技术，推动技术创新。自主研发的数据脱敏产品、数据治理平台获国家版权局软件著作权，并在集团内部推广。12套业务系统完成数据加密，9套系统实现数据动态脱敏，5套系统实现数据静态脱敏。

安全防御体系更加牢固。构建形成了覆盖终端、网络、主机、应用、数据等各层面的纵深安全防御体系。近年来，在历次国家级活动重点保障任务中，实现零事故目标。

数据流通基础逐步夯实。提升数据安全保护能力，规范数据共享和隐私保护，为数据开发利用筑牢安全基础，有效保障数据在不同组织与平台间流通共享。

业务创新发展更有保障。通过完善安全体系建设，基本实现网络接入“零中断”、基础平台“零事故”、业务系统“零宕机”、业务数据“零丢失、零篡改”目标，有力支撑了业务创新。

社会责任价值稳定提升。主动满足ESG框架在网络安全和数据安全管理方面的要求，为钢铁主业境外销售服务的安全评估创造良好的准入条件。（本文获得第二十六届首钢管理创新成果三等奖，本版刊发时有删节）