DB41∕T 2854-2025 水利数据安全能力评估指南

ICS35.030

CCSA90

41

河南省地方标准

DB41/T2854—2025

水利数据安全能力评估指南

2025-04-21发布2025-07-20实施

河南省市场监督管理局发布

DB41/T2854—2025

目次

前言.................................................................................II

1范围...............................................................................1

2规范性引用文件.....................................................................1

3术语和定义.........................................................................1

4评估原则...........................................................................1

5评估方法和程序.....................................................................1

6评估指标...........................................................................2

7评估结论...........................................................................3

附录A（资料性）评估指标.............................................................5

附录B（资料性）水利数据安全能力评估报告封面（样式）.................................9

参考文献.............................................................................10

I

DB41/T2854—2025

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。

本文件由河南省水利厅提出。

本文件由河南省水利标准化技术委员会（HN/TC22）归口。

本文件起草单位：河南省水文水资源中心、河南省水利科技应用中心。

本文件主要起草人：宋博、唐学哲、闫长位、李延峰、马艳波、刘念龙、王骏、侯琳琳、韩建杰、

韩慧颖、周彦平、马广亮、张冰、王晶、闫晓敏、赵倩倩、刘子涵、吕鹏举、陈厚强、王峥、多国梁、

云洪勇。

II

DB41/T2854—2025

水利数据安全能力评估指南

1范围

本文件给出了水利数据安全评估的原则、方式、指标及程序。

本文件适用于水利行业数据安全检查的评估工作。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T25069信息安全技术术语

GB/T37988信息安全技术数据安全能力成熟度模型

3术语和定义

GB/T25069和GB/T37988界定的以及下列术语和定义适用于本文件。

水利数据

在水利行业工作中，任何以电子或者其他方式对信息的记录。

4评估原则

客观性：客观、公正，不受评估对象、评估时间、评估人员等任何因素影响。

可操作性：通过量化指标体系，使评估工作具备可行性及实用性。

可再现性：在相同评估环境下，对同一对象重复执行评估都将得到同样的结果。

保密性：对评估过程中所涉及的信息严格保密。

5评估方法和程序

评分方法和指标分类

5.1.1评分方法采用百分制。

5.1.2评估指标分为一级指标、二级指标和单项指标，见附录A。

评估方式

5.2.1人员访谈：对相关人员进行访谈，核查规章制度、防护措施、安全责任落实情况。

5.2.2文档查验：查验安全管理制度、数据分类分级有关材料、数据安全风险评估报告、网络安全等

级保护测评报告、商用密码应用安全性评估报告等。

5.2.3安全核查：核查网络安全环境、数据全生命周期的策略、配置和防护措施情况。

1

DB41/T2854—2025

5.2.4技术验证：宜采用技术工具、渗透测试等手段查看数据资产情况、检测防护措施有效性。

评估程序

5.3.1准备阶段：组建评估团队，制定工作计划，准备评估工具。确定评估目标和范围，明确涉及的

数据资产、数据处理活动、业务等。

5.3.2评估阶段：按照相应的评估方式对单项指标进行赋分，单项指标全部符合赋分，不符合不赋分。

留存人员访谈、文档查验、安全核查、技术验证等评估过程文档。

5.3.3总结阶段：根据单项指标赋分结果计算总分，并给出评估报告。

6评估指标

安全管理能力

6.1.1数据安全组织

6.1.1.1管理机构职责分工明确，数据处理活动规范。

6.1.1.2责任人明确，数据安全资源调配工作合理。

6.1.1.3监管小组负责监督数据分类分级、数据安全管理、数据安全防护等。

6.1.1.4专职岗位明确。

6.1.2数据安全制度

6.1.2.1总体数据安全战略规划或年度工作计划明确，包含中长期工作目标、内容和计划。

6.1.2.2落实网络安全责任制、数据安全责任制，建立网络和数据安全考核及监督问责机制。

6.1.2.3明确责任部门与岗位的工作规范和规程。

6.1.2.4水利数据制度评审、发布及审核流程合规并有记录。

6.1.2.5根据部门和岗位的职责明确审批权限。

6.1.2.6定期开展水利数据安全风险评估和监督检查。

6.1.3数据安全人员管理

6.1.3.1人员签订保密承诺书，关键岗位人员签订岗位责任协议。

6.1.3.2人员调离或终止劳动合同时，签订离岗保密承诺书或协议。

6.1.3.3数据安全能力具有考核机制，定期开展数据安全专项培训。

6.1.3.4关键岗位设立双人双岗。

6.1.4数据分类分级管理

6.1.4.1完成本单位（部门）的数据分类分级工作。

6.1.4.2明确数据资产管理者或责任部门，落实数据资产登记机制。

6.1.4.3数据分类分级变更和审核等按相关制度执行。

6.1.5供应链管理

6.1.5.1供应链各方的责任和义务明确，签订安全保密承诺书或协议。

6.1.5.2供应链各方定期开展数据安全风险评估。

6.1.5.3供应链各方人员访问权限划分清晰。

2

DB41/T2854—2025

6.1.5.4供应链各方接入时采用技术工具进行安全检测，合作结束后，查阅账号注销、数据回收、数

据删除销毁等管理情况。

6.1.6数据安全应急管理

6.1.6.1有数据安全事件应急预案，并定期进行修订。

6.1.6.2具有应急演练工作计划，并定期组织开展应急演练。

6.1.6.3具有数据安全应急响应及处置机制，发生数据安全事件时及时向有关主管部门报告。

安全技术能力

6.2.1网络安全措施落实

6.2.1.1具有网络拓扑结构、网络区域划分、IP地址分配等网络资源管理文档。

6.2.1.2具有安全策略文档和安全操作文档等。

6.2.1.3定期开展网络安全等级保护测评、商用密码应用安全性评估、数据安全风险评估等。

6.2.2数据资产识别

6.2.2.1采用技术手段对数据资产进行扫描与实际情况一致。

6.2.2.2具有用户、设备、应用系统的身份鉴别机制。

6.2.2.3具有数据资产清单以及更新、维护等相关记录。

6.2.3数据安全防护

6.2.3.1身份标识具有唯一性，明确数据访问权限，做好最小化权限设置。

6.2.3.2采用多因子认证方式进行身份鉴别，口令满足复杂度要求并定期更换。

6.2.3.3访问控制、数据加解密、数据防泄漏、脱敏、环境安全等保障数据在采集、传输、存储、处

理、交换过程中的机密性、完整性、可用性和真实性。

6.2.3.4数据销毁按管理制度和审批流程执行。

6.2.4数据安全审计

6.2.4.1审核用户实际使用权限与审批的一致性。

6.2.4.2对数据全生命周期进行安全审计。

6.2.4.3对审计日志进行定期备份。

6.2.5数据监测预警

6.2.5.1对数据安全缺陷、漏洞等风险进行监测预警。

6.2.5.2对数据安全事件进行分析、研判、通报、处置。

6.2.6数据备份恢复

6.2.6.1数据备份策略科学合理，定期对数据进行备份。

6.2.6.2定期开展数据恢复演练，并验证备份数据的完整性和一致性。

7评估结论

评估得分

3

DB41/T2854—2025

水利数据安全能力单项指标赋分表见附录A。二级指标得分是对应的单项指标赋分之和，一级指标

得分是对应二级指标得分之和，总分是一级指标得分之和。

评估报告

7.2.1评估报告包括以下内容：

a)任务来源；

b)评估人员和分工；

c)评估过程；

d)被评估单位基本情况；

e)评估单项指标赋分列表；

f)存在问题和建议。

7.2.2评估报告封面样式见附录B。

4

DB41/T2854—2025

附录A

（资料性）

评估指标

表A.1给出了水利数据安全能力评估的指标分级和单项指标的评估方式及赋分。

表A.1水利数据安全能力单项指标赋分表

序号一级指标二级指标单项指标评估方式赋分

1设置数据安全的管理机构文档查阅1

明确单位主要负责人为数据安全第一责任人。分管数据安全的

2文档查阅1

领导为主要责任人

数据安全

设立数据安全监管小组，成员至少包括数据安全管理、业务等

3组织文档查阅1

相关部门的主要负责人

设立数据安全岗位责任人员，明确职责范围，落实职责分离、

4文档查阅1

专人专岗

5具有数据安全管理制度规范文档查阅1

具有数据安全管理工作规划或工作方案，明确中长期工作目人员访谈、文

61

标、内容和计划安排，且落实数据安全建设资金档查阅

7具有网络和数据安全考核及监督问责机制文档查阅1

在组织架构发生重大调整或业务发生重大变化时，及时修订数

8文档查阅1

数据安全据安全制度与规程

9制度明确数据安全评审、发布流程制度文档查阅1

在数据处理、流转等过程中有审批记录，且审计记录完整、合

10文档查阅1

安全管理规

11能力具有数据安全自检自查相关记录，验证监督检查机制落实情况文档查阅1

定期开展网络与数据安全风险评估，并具有评估报告及其应对

12文档查阅1

整改措施情况

13涉及数据安全人员签订安全保密协议文档查阅1

14数据安全关键岗位人员签订数据安全岗位责任协议文档查阅1

人员转岗或离岗时，明确告知其继续履行有关信息的保密义

15文档查阅1

务，并签订承诺书

16人员转岗或离岗时，及时终止或变更相关人员数据操作权限文档查阅1

数据安全

制定年度数据安全培训计划，明确本年度数据安全教育、技术

17人员管理文档查阅1

培训的工作安排

人员访谈、文

18定期开展数据安全培训，留存培训文档和考核记录等资料1

档查阅

对系统管理员账户所有者、关键数据处理等数据安全关键岗位

19文档查阅1

设立双人双岗

20数据分类建立数据资产台账，明确资产台账中的记录与实际情况一致文档查阅1

21分级管理及时更新和定期维护数据资产并有具体记录文档查阅1

5

DB41/T2854—2025

表A.1水利数据安全能力单项指标赋分表（续）

序号一级指标二级指标单项指标评估方式赋分

数据资产清单至少包括数据类型、功能、数据级别、数据承载

22文档查阅1

介质等内容

23数据分类具有分级保护策略和数据分类分级保护措施等文件文档查阅1

24分级管理建立数据分类分级变更和审核流程等机制文档查阅1

明确数据资产管理范围和属性，组织内部重要的数据资产有管

25文档查阅1

理者或责任部门

合作机构及人员签订的保密协议或保密承诺，明确双方数据安

26文档查阅1

全相关责任和义务

双方合同或协议内容包括安全职责、保密内容、奖惩机制、有

27文档查阅1

效期等，明确对合作机构数据使用行为进行约束

安全管理供应链

合作协议明确数据处理目的、方式、范围，安全保护责任、数

28能力管理文档查阅1

据返还或销毁规定、保密约定及违约责任和处罚条款等

合作机构人员对数据与系统的访问权限符合最小必要和职责

29安全核查1

分立原则

30合作机构人员在数据导出或外发操作时，实时监督或监测安全核查1

制定数据安全应急预案，包含应急响应组织体系、职责分工和

31文档查阅1

人员团队

数据安全制定数据安全事件分级、数据安全事件的监测响应、分类处置

32文档查阅1

应急管理的流程和方法

33定期组织开展应急演练和查看相关记录文档查阅1

34发生数据安全事件时采取有效处置措施并留存处置报告文档查阅1

具有网络拓扑结构、区域划分和数据资产等文档，采用有效的文档查验、安

352

访问控制和安全防范措施全核查

36采用扫描设备等专业工具，验证资产、IP与实际情况相符技术验证2

37网络安全落实网络安全纵深防御、安全监测预警、安全应急响应等工作文档查验1

措施落实核查相关安全设备配置与安全框架或安全策略文件规定相匹

38安全核查2

配

定期开展等级保护测评、商用密码应用安全性评估、数据安全

39文档查验2

风险评估等专项检查

安全技术

采用技术手段定期对数据资产进行扫描的情况，及发现识别个

40能力技术验证2

人信息、重要数据的能力

对产生数据的数据源进行身份鉴别和记录，防止数据仿冒和数

41数据资产文档查验2

据伪造

识别

利用自动化技术手段对数据资产进行识别，数据资产识别覆盖

42技术验证1

数据表、数据字段、地理空间数据、文本、图片、视频等

43具有数据资产清单以及更新、维护等相关记录文档查验2

数据安全针对数据存储、处理所涉及数据库、设备、应用系统的用户身

44安全核查2

防护份，不存在多人共用账号情况

6

DB41/T2854—2025

表A.1水利数据安全能力单项指标赋分表（续）

序号一级指标二级指标单项指标评估方式赋分

身份鉴别采用口令技术、密码技术、生物技术等两种或两种以

45安全核查2

上组合的鉴别技术，不存在可绕过鉴别机制的访问方式

身份鉴别信息满足复杂度要求并定期更换，具有登录失败处理

46安全核查2

功能等相关措施

采用国产商密加密协议进行远程访问和管理，确保数据在网络

47安全核查2

中的传输安全

采用数据库存储加密技术，将数据库明文数据转换为密文存

48安全核查1

储，确保数据存储安全

采用服务器密码机、签名验签等设备，保障数据的机密性、完

49安全核查2

整性

采用数据脱敏等工具，保障水利应用系统敏感信息在不被泄露

50数据安全安全核查1

的同时，保证数据的可用性

防护

采用数据水印技术，能对关键数据或敏感数据外发泄露事件进

51安全核查1

行追踪溯源

采用数字签名技术，保障访问用户身份的真实性和行为的抗抵

52安全核查1

赖性

采用数据防泄漏技术，能对关键环节进行监控并报告敏感信息

53安全核查2

的外发行为

54安全技术数据访问权限满足业务实际需要最小化权限原则进行授权安全核查2

能力对于不再使用的数据资产进行永久销毁，确保数据不可恢复、

55安全核查2

还原

采用防范个人信息数据泄漏的技术，确保个人信息数据不被泄

56安全核查1

露

定期对用户账号及用户数据访问权限进行审计，不存在特权用

57安全核查2

户账户，不存在未及时清理的离职人员账号或过期账号及授权

采用审计设备对数据操作进行日志留存，数据处理过程有对应

58安全核查2

操作记录信息，并定期备份

59数据安全对网络运维管理、用户行为、网络异常事件进行审计安全核查1

60审计对数据库、数据接口的访问和操作行为进行审计安全核查2

对应用程序接口的数据访问采用审计措施，实现了对应用程序

61安全核查1

接口访问数据的审计溯源

对数据批量复制、下载、导出、修改、删除等高风险操作行为

62安全核查2

进行审计

63具有安全监测预警，并生成报告及时预警技术验证2

相关安全设备能对异常行为事件进行识别、发现、跟踪和监控，

64数据监测安全核查1

内容覆盖IP地址、账号、数据、使用场景等

预警

针对敏感数据的批量传输、下载、导出等操作，有相关安全设

65安全核查2

备能提供安全监控和分析

7

DB41/T2854—2025

表A.1水利数据安全能力单项指标赋分表（续）

序号一级指标二级指标单项指标评估方式赋分

通过相关安全设备的配置及日志信息，实现对数据异常访问和

66安全核查1

操作进行告警

对网络运行状态、网络流量、用户行为、数据处理活动等进行

67安全核查1

动态监测分析，及时获取风险信息

数据监测对数据库运行状态、运行故障进行实时监控，实现了对数据库

68安全核查2

预警运行状态异常和故障告警

安全技术对风险信息进行研判，及时开展处置工作，并及时向安全管理

69