2026年智慧城市安全防范实施方案

2026年智慧城市安全防范实施方案为落实《“十四五”国家智慧城市建设规划》《网络安全等级保护条例》《生成式人工智能服务管理暂行办法》要求，全面强化2026年度我国地级及以上城市智慧城市运行安全防范能力，有效抵御新型网络攻击、数据泄露、终端失陷等安全风险，保障城市治理、民生服务、核心基础设施运行安全，制定本实施方案。一、总体工作目标2026年底，全面构建“云边端网智”一体化智慧城市安全防范体系，实现以下核心目标：1.智慧城市核心基础设施网络安全等级保护测评合规率达到100%，关键信息基础设施安全保护要求落实率100%；2.泛在物联网终端安全合规接入率不低于98%，僵尸网络、木马病毒整体感染率控制在0.1%以下；3.接入城市大脑的各类智能应用，含生成式AI应用安全检测、备案覆盖率达到100%，违法违规内容、恶意攻击拦截率不低于99.8%；4.核心数据、重要数据全生命周期安全管控覆盖率达到100%，个人信息保护合规率不低于95%；5.一般安全事件响应处置时长压缩至15分钟以内，重大智慧城市安全事件零发生，城市运行安全保障能力全面进入规范化、实战化阶段。二、重点领域安全防范任务（一）核心基础设施安全加固1.深化等级保护2.0与关基保护落地。所有纳入国家关键信息基础设施名录的智慧城市核心节点，包括城市大脑算力枢纽、政务云平台、交通指挥中枢、应急管理平台、城镇燃气水务管网监控中心、电力调度平台等，必须在2026年6月底前完成三轮第三方渗透测试，高危漏洞整改率达到100%，中危漏洞整改率不低于95%，低危漏洞整改完成率不低于80%；未完成测评整改的核心系统，不得正式上线运行。出口带宽100Gbps以上的市级政务云，必须部署至少2台冗余云原生Web应用防火墙与分布式流量清洗设备，DDoS攻击清洗能力不低于80Gbps，年均攻击拦截率不低于99.95%。2.推进国密算法与零信任架构全面落地。2026年底前，完成所有智慧城市核心业务系统密码应用改造，SM2/SM3/SM4国密算法在身份认证、数据加密、签名验签环节的覆盖率达到100%，密码应用安全性评估通过率达到100%。核心业务访问控制全面升级为零信任架构，落实“永不信任、始终验证、最小权限”原则，默认拒绝所有未授权访问，越权访问拦截率不低于99.99%，消除内部越权访问、权限滥用带来的安全风险。3.强化灾备体系建设。所有承载核心政务数据、城市治理数据的核心节点，必须落实三地三备份存储机制，即生产中心本地备份、同城灾备中心备份、异地灾备中心备份，灾备系统恢复时间目标（RTO）不超过4小时，恢复点目标（RPO）不超过15分钟，保障极端攻击、自然灾害发生后核心业务可快速恢复，不会出现长时间城市运行中断。（二）泛在物联网终端安全治理1.完成终端资产全量测绘建档。各地必须在2026年3月底前，完成本辖区所有接入智慧城市网络的物联网终端资产普查，涵盖公共安全摄像头、智慧路灯、管网传感器、门禁闸机、电梯监控、车路协同路侧单元等所有类型终端，建立“一机一档”动态管理台账，台账信息包括终端品牌型号、MAC地址、IP地址、接入端口、权限等级、所属单位、负责人联系方式，资产台账准确率不低于99%，实现所有入网终端可管、可控、可溯源。2.开展终端安全隐患集中整治。针对普查发现的弱口令、默认密码、未授权访问、固件未更新等安全隐患，要求责任单位在7个工作日内完成整改，到期未整改的直接切断网络接入，严禁不合格终端接入智慧城市专网。接入终端规模达到百万级的城市，必须部署统一的物联网终端安全管理平台，实现终端身份统一认证、固件远程升级、异常行为实时检测，对异常拍传、违规外联、被劫持挖矿等行为，实现1分钟内告警，并自动切断违规终端的网络连接。2026年底，实现百万级终端接入规模城市终端僵尸网络感染率控制在0.1%以下，十万级接入规模城市感染率控制在0.05%以下。3.落实边缘节点数据安全管控。针对智慧城市边缘计算节点分布广、防护弱的特点，要求所有边缘节点必须部署本地入侵检测模块，数据外传前必须完成敏感信息脱敏处理，涉及个人生物识别、位置轨迹、住房医疗等敏感个人信息的采集数据，本地留存时间不得超过180天，超期数据必须全部销毁，严禁超期留存违规使用。（三）智能应用安全管控1.强化生成式AI应用安全管理。所有接入城市大脑、面向公众提供服务的智慧城市生成式AI应用，必须在2026年5月底前完成安全备案，完成训练数据全量安全审计，训练数据中国家秘密、工作秘密、未授权敏感个人信息的检出率达到100%，全部完成清理移除。各地必须搭建本地化AI生成内容审核平台，对AI对外输出内容进行实时审核，违法违规内容拦截率不低于99.8%。针对大模型接口，落实身份认证、频率管控要求，单IP每分钟请求次数不得超过100次，防止接口被恶意爬取窃取训练数据，严禁未获授权向境外机构或个人开放智慧城市大模型接口。2.深化民生服务应用安全管控。所有面向公众提供服务的智慧政务APP、智慧社区小程序、智慧停车平台、智慧医疗应用等，必须每季度开展一次安全漏洞扫描，每半年开展一次第三方安全测评，用户身份密码必须采用加盐哈希加密存储，严禁明文或可逆加密存储用户密码，实现明文存储用户密码问题零发生。涉及医疗健康、金融支付的民生应用，必须符合网络安全等级保护三级要求，未通过测评不得上线运行。3.强化车路协同与智能交通安全管控。所有车路协同路侧单元（RSU）、信号控制系统必须落实每周一次安全漏洞扫描，每月一次固件升级，信号灯配时指令、车辆调度指令传输必须采用国密加密传输，虚假指令识别拦截率不低于99.9%，防止攻击者篡改信号配时引发大面积交通拥堵甚至交通事故。（四）数据安全与个人信息保护1.落实数据分级分类管控。各地必须按照《智慧城市数据分类分级指南》要求，在2026年4月底前完成本地区所有智慧城市数据的分级分类工作，编制完成核心数据、重要数据目录，报同级网信部门备案，核心数据全生命周期安全管控覆盖率达到100%，重要数据每月开展一次数据泄露检测，发现泄露风险第一时间处置。2.规范跨部门数据共享交换。所有智慧城市跨部门数据共享必须通过官方统一的数据共享交换平台进行，建立全流程审计留痕机制，所有数据访问、下载、外传操作日志留存时间不低于180天，实现操作可溯源。未经省级数据安全评估，不得向任何第三方企业开放城市核心治理数据、批量民生数据，严禁企业将智慧城市共享数据用于授权范围之外的商业用途。3.落实个人信息保护要求。2026年底前，所有地级城市完成智慧城市所有应用系统的个人信息保护影响评估，评估覆盖率达到100%，违规收集过度收集个人信息、违规向第三方提供个人信息问题的整改完成率达到100%，针对人脸信息等敏感个人信息，必须落实“最小必要”原则，非因公共安全必需不得采集人脸信息，采集的人脸信息必须存储在本地政务云，不得上传至企业云端存储。三、分阶段实施安排（一）排查部署阶段（2026年1月-2026年3月）各地成立由智慧城市建设主管部门、网信部门、公安部门、政务服务部门共同组成的智慧城市安全防范工作专班，明确责任分工，结合本地实际制定具体实施细则，完成本辖区智慧城市资产全量普查，建立风险问题台账，各地于每月5日前向上级主管部门报送上月排查工作进展。（二）集中整改阶段（2026年4月-2026年9月）针对排查发现的安全隐患，分类制定整改方案，明确整改责任单位、整改时限、整改要求，工作专班每月开展一次整改进度核验，对整改滞后、落实不力的责任单位进行约谈，督促按期完成整改，所有核心隐患必须在2026年9月底前全部整改完毕。（三）验收巩固阶段（2026年10月-2026年12月）由省级智慧城市建设主管部门、网信部门联合组织对各地整改工作进行现场验收，验收合格率低于80%的地区，责令限期重新整改，验收合格后，各地总结经验做法，建立常态化安全防范工作机制，持续更新风险台账，定期开展隐患排查。四、应急保障体系建设1.建立7*24小时安全监测预警机制。各地智慧城市运行指挥中心必须设立专门的安全监测席位，安排专人24小时值班，接入国家网络安全威胁信息共享平台，实现新型威胁信息10分钟内同步推送，针对监测发现的异常攻击行为，第一时间启动处置流程。2.完善应急预案与实战演练机制。各地针对城市大脑失陷、大面积物联网终端被劫持、核心数据泄露、交通信号系统被篡改等典型场景，修订完善专项应急预案，每半年开展一次实战化应急演练，每次演练参与单位不少于10个，参演人员不少于50人，演练结束后15个工作日内完成演练评估，针对暴露的问题修订应急预案，补齐应急处置短板。3.强化应急处置能力建设。各地必须建立不少于10人的专职智慧城市安全应急队伍，同时与至少1家具备国家级网络安全应急服务资质的机构签订应急支撑协议，重大安全事件发生后，支撑队伍必须在1小时内抵达现场开展处置，最大限度降低事件影响。建立跨区域威胁情报共享机制，每月汇总本地智慧城市安全威胁态势，报省级网信部门，实现新型攻击手段预警跨区域同步。五、保障措施（一）组织保障。各地明确智慧城市建设主管部门主要负责人为安全防范工作第一责任人，设立专门的安全管理科室，落实专人专岗，将智慧城市安全防范工作纳入本级政府年度绩效考核，权重不低于15%，压实各级责任。（二）经费保障。各地将智慧城市安全防范经费纳入本级年度财政预算，安全经费占本级智慧城市年度建设总经费的比例不低于15%，保障漏洞扫描、渗透测试、安全加固、应急处置、人员培训等工作经费落实，鼓励通过政府购买服务的方式引入专业安全服务，提升防范水平。（三）人员能力保障。每季度组织一次智慧城市安全管理专项培训，所有安全岗位工作人员必须持证