数据安全“谁来管、管什么、怎么管”？工信部发布管理办法：开展数据分类分级、全生命周期安全管理

12月14日，工业和信息化部发布通知，并印发《工业和信息化领域数据安全管理办法（试行）》（以下简称《办法》）。

《办法》围绕数据分类分级管理，数据全生命周期安全管理，数据安全监测预警，数据安全检测、认证、评估管理等方面，对工业和信息化领域中的各项数据安全要求作出了详细规定。

《每日经济新闻》记者注意到，《办法》明确了开展数据分类分级保护、重要数据管理等工作的具体要求，细化数据全生命周期安全义务。同时，构建了工业和信息化领域数据安全监管体系，明确工业和信息化部、地方行业监管部门的职责范围，建立权责一致的工作机制。

构建了“工信部、地方行业监管部门”两级监管机制

工业和信息化领域数据包括工业数据、电信数据和无线电数据等。

其中，工业数据是指工业各行业各领域在研发设计、生产制造、经营管理、运行维护、平台运营等过程中产生和收集的数据。电信数据是指在电信业务经营活动中产生和收集的数据。无线电数据是指在开展无线电业务活动中产生和收集的无线电频率、台（站）等电波参数数据。

工信部网络安全管理局就《办法》的重点问题进行回应时表示，当前，数据已成为数字经济时代最为活跃的新型生产要素。与此同时，数据安全风险日益突出，成为关系个人权益、公共利益和国家安全的重要因素。

2021年9月1日，《中华人民共和国数据安全法》正式实施，为开展数据安全监管和保护工作提供了法律依据和根本遵循，其中明确工业和信息化部承担工业、电信行业数据安全监管职责，并对数据处理者的安全保护义务提出了相关要求。

中国科学技术大学公共事务学院、网络空间安全学院教授左晓栋接受《每日经济新闻》记者微信采访时表示，“根据我国数据安全管理制度，工业和信息化部作为工业和电信行业的主管部门，在国家数据安全总体要求下，出台本行业本领域的数据安全管理政策。”

工信部网络安全管理局表示，工业和信息化领域是数字经济发展的主阵地和先导区，是推进数字经济做强做优做大的主力军。为贯彻落实数据安全法，加快推动工业和信息化领域数据安全管理工作制度化、规范化，工信部研究起草了《办法》。

《办法》在工业和信息化领域对国家数据安全管理制度要求进行细化，明确开展数据分类分级保护、重要数据管理等工作的具体要求，细化数据全生命周期安全义务，为行业数据安全监管提供制度保障。

《办法》同时提出，要构建工业和信息化领域数据安全监管体系，并明确工业和信息化部、地方行业监管部门的职责范围，构建了“工业和信息化部、地方行业监管部门”两级监管机制，并要求建立权责一致的工作机制。

此外，根据工业、电信、无线电领域的实际情况，《办法》明确了数据全生命周期保护要求，指导数据处理者健全数据安全管理和技术保护措施，履行安全保护主体责任。

重点解决数据安全“谁来管、管什么、怎么管”问题

工信部网络安全管理局表示，《办法》作为工业和信息化领域数据安全管理顶层制度文件，重点解决了工业和信息化领域数据安全“谁来管、管什么、怎么管”的问题。文件的主要内容包括七个方面：

一是界定工业和信息化领域数据和数据处理者概念，明确监管范围和监管职责。

二是确定数据分类分级管理、重要数据识别与备案相关要求。

数据分类分级管理的具体要求 图片来源：工信部

三是针对不同级别的数据，围绕数据收集、存储、加工、传输、提供、公开、销毁、出境、转移、委托处理等环节，提出相应安全管理和保护要求。

四是建立数据安全监测预警、风险信息报送和共享、应急处置、投诉举报受理等工作机制。

五是明确开展数据安全监测、认证、评估的相关要求。

六是规定监督检查等工作要求。

七是明确相关违法违规行为的法律责任和惩罚措施。

谈及本次出台的《办法》有哪些亮点，左晓栋表示，本次文件明确了工业和信息化领域的数据分类分级管理制度；对数据处理者提出了数据全生命周期安全管理要求，使数据安全保护义务得以落实。

“同时，文件建立了数据安全监测预警与应急管理机制，明确了工业和信息化部、地方行业监管部门和数据处理者在该项工作中的责任和义务。”左晓栋说，文件对工业和信息化领域的数据安全检测、认证、评估服务如何开展也提出了原则性要求，并建立了工业和信息化领域的数据安全监督检查工作制度。