背景

1月14日，工业和信息化部办公厅发布了“关于加强互联网数据中心客户数据安全保护的通知”。通知包含了《互联网数据中心客户数据安全保护实施指引》，目的是指导互联网数据中心（以下简称IDC）业务经营者加强客户数据安全保护，全面提升IDC数据安全保障能力。

IDC是现代信息技术核心之一，也是关系经济与民生的重要领域。近年来，随着信息技术的快速发展和国家政策的支持，我国数据中心行业市场规模一直自在持续高速增长。根据有关部门统计的数据，全国现有的IDC物理机房数量已经达到1300个以上，机架数量已经超过200万。另外各大运营商及企业建立的云机房总量也超过了1000个。

IDC监管发展历程

对于如此庞大并且十分重要的系统，IDC在多年前就建设了信安系统，将各个IDC机房纳入实时监管。经过多年的发展，随着数据的种类不断细分以及范围的迅速扩大，信安系统根据国内数据行业发展趋势，划分出了“信安”、“网安”、“数安”三个主要的监管职能模块。其中，“信安”主要监控并阻断违法反动信息传播，由相关安全部门督导；“网安”负责监控和应对网络安全攻击、防范网络安全风险等重要工作，由网信部、公安部等部门联合监督管理；“数安”主要检测识别敏感信息，包括文件、音视频等格式包括的敏感数据，防止敏感信息非法传输与出境，由工信部等机构联合管理。

工业和信息化部办公厅关于加强互联网数据中心客户数据安全保护的通知

在本次发布的《关于加强互联网数据中心客户数据安全保护的通知》中，工信部共提出了“基本要求”、“加强服务器托管业务场景保障能力”、“加强数据存储与计算业务场景保障能力”、“加强数据安全供给支撑”、“工作实施”共5项总体要求。

并在附件：《互联网数据中心客户数据安全保护实施指引》中，对IDC的分类与风险进行了详细的分类，同时提出了对IDC通用保障能力、服务器托管业务场景保障能力、数据存储与计算业务场景保障能力等方向，提出了共32项详细的技术要求。

在《通知》的第一部分中，对IDC的客户数据安全保护做了基本要求，包括：

（一）总体原则

《通知》要求各IDC单位应符合《数据安全法》《网络安全法》《网络数据安全管理条例》《工业和信息化领域数据安全管理办法（试行）》等法律法规和政策的相关合规要求。并按照“权责一致、分类施策、技管结合、确保安全”的原则，加强客户数据安全保障能力建设，提升客户数据安全保护水平。

（二）明确安全责任界面

《通知》要求各IDC单位明确数据安全责任的边界，落实与客户、第三方服务商的数据安全保护责任义务。在与客户、第三方服务商等签署的合同协议中，根据合作模式、内容等，应在合同中明确的划分各方数据安全保护责任义务。

（三）强化制度建设和组织保障

《通知》要求各IDC单位建立健全客户数据安全管理制度，明确数据安全负责人和管理部门，强化客户数据安全管理保障措施。

（四）加强客户管理

IDC单位应建立客户管理机制，按照客户类别和数据保护需求，提供差异化安全保护措施供客户选用。这项要求也应符合“数据分类分级保护”的相关规定。

（五）加强客户数据安全保障

IDC单位应结合数据处理流程，明确数据访问、操作、销毁等重点环节的安全策略和流程机制，并做好数据隔离等保护措施。在实施可能影响客户数据安全的高危操作和对外提供客户数据前，应告知客户并取得授权。根据业务实际情况，通过冗余设计等，提高业务连续性和稳定性。

（六）做好事件应急处置

《通知》要求各IDC单位建立客户数据安全事件应急预案，并定期开展应急演练。因IDC业务经营者原因引发客户数据安全事件时，立即启动应急处置措施，及时告知客户，并按有关要求向电信主管部门报告。

（七）提供安全防护服务能力

根据业务实际情况，提供数据安全技术能力，以及网络安全防护产品或服务供客户选择。结合《中华人民共和国数据安全法》的相关要求，IDC应在数据的存储、传输、备份、销毁等环节提供相关的产品或技术服务。

《通知》的第二、三章节分别对IDC服务器托管业务场景、数据存储与计算业务场景提出了保障能力的要求：

（八）保障机房设施安全

《通知》要求IDC单位规范机房安全管理，配备物理安全保障措施，加强机房权限、人员值守、消防系统等的安全保障，及时发现、消除安全隐患，防止客户数据损毁、丢失。

（九）做好设备供应链管理

涉及提供服务器、网络设备等售卖、租赁服务的，加强设备采购安全管理，建立设备台账，做好设备上架前的安全检查与定期维护更新，防范客户数据被篡改、窃取。

（十）保障数据存储和计算安全

《通知》对IDC单位的数据存储安全能力提出了进一步的要求，包括提供容灾备份、校验技术、密码技术等数据安全保护能力，配备存储和计算资源监控技术能力，及时发现预警存储和计算资源异常使用情形，做好资源动态调整分配，保障相关资源安全可用。

【解读：IDC应该建立数据备份系统、数据库加密系统、数据防火墙、数据审计系统和数据安全风险监测等，对数据存储资源形成有效的监控。】

（十一）保障数据传输安全

提供数据加密、接口鉴权、安全审计等保护措施，加强数据安全风险监测预警，提供数据流量异常、违规导出等安全风险的发现、告警与处置能力，协助客户保障数据传输链路和接口安全。

【解读：IDC单位应部署数据库防火墙、接口防护系统、数据审计系统等，实现数据导出的风险监控，同时使用数据流动画像技术，对数据传输过程的风险进行监控。】

（十二）强化重点服务安全管理

《通知》要求对人工智能训练数据集进行安全保护，提供保障客户自有训练数据集安全的能力，避免相关数据集被泄露、污染。涉及提供算力调度及算力服务的，做好算力调度策略安全管理，配备算力异常使用情况的监测预警与应急处置能力，保障算力调度安全。

《通知》的第四、第五章节明确了加强数据安全供给支撑与工作实施的要求：

（十三）推进数据安全标准研制

《通知》明确了工业和信息化部作为监管机构负责督导IDC客户数据安全按保障工作，并在近期制定相关标准、安全保护细则以及责任划分模型等。并提出了建立客户数据安全保护能力分级评价体系。

（十四）探索开展数据安全保护能力评价

《通知》明确要求IDC业务经营者定期开展客户数据安全保护能力评价。并鼓励IDC行业开展客户数据安全保护能力分级，引导IDC业务客户根据业务场景、数据重要程度等，按需选择IDC业务。

（十五）夯实客户数据安全保护责任

IDC业务经营者要高度重视客户数据安全保护，强化责任担当，结合本单位实际，积极加大资源投入，做好客户数据安全保护工作，切实提升IDC业务服务水平。

【解读：明确了IDC经营者对租户数据安全责任范围的扩大。】

（十六）加强督促指导

《通知》规定了IDC业务客户数据安全保护工作的监督管理单位，规定工业和信息化部、各地通信管理局对所属的地方IDC负有监管责任。

附件：《互联网数据中心客户数据安全保护实施指引》的内容解读

附件《互联网数据中心客户数据安全保护实施指引》阐述了互联网数据中心业务基本情况及数据安全风险挑战，并对提升客户数据安全保障能力做出了较为详细的要求。

《指引》中将IDC业务细分为三类业务场景：

一是服务器托管业务场景，指IDC业务经营者为客户提供机房、机柜、设备租赁，以及设备维护等服务的业务模式；

二是数据存储业务场景，指IDC业务经营者为客户提供数据存储服务，以及相关数据上传、下载、访问等服务的业务模式；

三是数据计算业务场景，指IDC业务经营者为客户提供数据清洗、集成、分析、加工、展示、模型训练以及算力调度等服务的业务模式。

同时，《指引》将IDC业务面临的客户数据安全风险挑战分为了“通用安全风险”与“典型业务场景安全风险”。

《指引》对IDC业务客户数据“通用保障能力”进行了详细的要求，对责任划分、制度和人员建设、数据分类分级管理、数据操作等多个方面提出了保障要求，并明确提出了IDC应具备提供数据加密、脱敏、访问控制、鉴权与校验、日志记录与审计、数据备份与恢复等数据安全技术能力，以及防火墙、堡垒机、非法入侵检测、防篡改、漏洞扫描、病毒防范、安全升级等网络安全防护产品或服务，供客户选择。

【解读：《指引》在这一章节规定了IDC运营者应向客户提供数据安全技术能力与产品，供客户根据实际业务情况进行选择，并具体列举了多项必要的数据安全技术能力要求。为了符合《指引》的相关要求，切实保障用户数据安全，IDC应部署配置相关数据安全合规产品，为客户提供合规可靠的数据安全技术能力。

Ø  “数据加密”能力要求的合规产品是数据库加密系统，数据库加密系统可以有效保证客户数据的安全性。针对IDC用户的业务复杂多样、数据吞吐量大的特征，数据库加密系统必须同时满足透明性（用户免改造）、高兼容性（多类型数据库）、高性能（不影响原本性能）等严格要求，目前仅有基于第三代数据库加密技术的产品能够同时满足所有需求。

Ø  “数据脱敏”能力要求IDC部署数据脱敏系统，产品必须具备静态脱敏、动态脱敏、数据水印等功能，支持集群部署满足多用户大并发等场景需求。

Ø  “访问控制”、“鉴权与校验”能力对应着数据库防火墙、数据接口安全管理系统等控制类产品，支持对数据访问进行审核认证，阻断非法访问，该类产品必须具备高处理性能，以及自主学习等功能。

Ø  “日志记录与审计”能力重点对应着数据审计系统、数据接口审计、应用日志等数据访问日志，可以将IDC用户的数据信息、访问记录、操作日志、安全日志等进行全面实时监控与管理，并提前发现潜在风险。

Ø  “数据备份与恢复”要求IDC为用户提供数据备份系统，按照业务场景支持不同策略的数据备份，并提供异地备份等机制。】

在“服务器托管业务场景保障能力”章节中，对IDC机房的物理防护和进出权限管理等要求进行了详细的描述，包括安全制度、监控、入场权限、值守和消防等方面，并提出了鼓励IDC业务经营者在党政机关等服务场景中，使用自主可控的网络与数据安全设备。

《指引》对IDC的数据存储与计算业务场景保障能力也进行了详细的安全要求，明确的提出IDC运营者应对数据安全存储应提供容灾备份、校验技术、密码技术等数据安全保护能力，以满足客户数据存储要求；配置流量分析、过滤等技术识别发现数据安全风险；并对数据传输环节要求提供数据加密、接口鉴权、安全审计等保护措施，满足客户数据传输安全需求和定期接口安全审计需要。同时也对IDC存储资源和负载均衡、算力调度等场景做出了相关规定。

IDC数据合规方案的初步研究

在本次工业和信息化部办公厅发布的《关于加强互联网数据中心客户数据安全保护的通知》以及其附件《互联网数据中心客户数据安全保护实施指引》中，在多个地方要求IDC应“提供数据安全技术能力”、“提供数据加密、脱敏、访问控制、鉴权与校验、日志记录与审计、数据备份与恢复等数据安全技术能力”等内容，为数据客户提供服务。

为应对合规要求，数达安全将《通知》和《指引》中的安全技术要求进行了整理，并应对了能够保证IDC运营合规的技术产品与服务。

为便于理解，将涉及的产品能力列于下表：

IDC运营者应严格落实《通知》与《指引》的技术性要求，将数据安全产品与服务纳入安全体系建设中，确保客户数据安全，并符合监管的要求规定。

总结

对于本次工业和信息化部办公厅发布的《通知》，数达安全对其中每一个细节都制定了合规措施，并配合公司先进的技术产品与服务，为IDC运营者提供能同时满足业务要求与合规要求的整体合规解决方案。欢迎各界的合作伙伴前来咨询。

数达安全作为数据安全领域的专家，多年以来持续钻研数据安全技术与业务合规方案。公司以专利技术为基础，为企业用户构建以数据安全态势感知为核心，包含数据安全风险监测、数据库加密、数据库审计、数据防火墙、数据接口管控、数据脱敏、数据销毁等全节点管控的数据安全体系，解决方案覆盖各个行业的数据安全场景，保障企业数据安全合规与应用技术要求。仅在2024年，公司就在运营商、教育、交通、医疗、金融、政务、能源等主要领域的头部企业落地实施案例七十余个。

数达安全专注电信行业的数据安全市场，客户包括中国信通院、以及中国移动、中国联通、中国电信等单位。针对IDC场景，数达安全可以提供优秀灵活的解决方案。

数达安全一直凭借着先进的技术与严格的服务标准，为国家数据安全行业贡献着智慧与力量！