2026年国资委监管企业数据安全评估报告

2026年国资委监管企业数据安全评估报告（评估周期：2025年第四季度—2026年第三季度）国资委中央企业数据安全评估工作组2026年11月目录11275一、评估工作总体概述 为深入贯彻落实国家数据安全工作决策部署，全面掌握国资委监管企业数据安全管理能力与风险底数，2026年7月至11月，国资委牵头组织开展了覆盖全部监管中央企业的年度数据安全专项评估。本次评估坚持“问题导向、实战检验、客观公正、以评促建”的原则，通过多维度交叉验证方式，全面核查企业在数据合规管理、技术防护、应急处置、风险整改等方面的实际情况，坚决杜绝企业“自说自话、数据注水”，确保评估结果真实反映企业实际能力，为下一阶段监管政策制定、企业能力建设提供客观依据，形成本评估报告。一、评估工作总体概述（一）评估工作开展的背景随着数字经济与实体经济深度融合，国资委监管企业掌握的能源调度、通信网络、交通枢纽、金融交易、国防研发等领域核心数据，已成为国家关键数字资源的核心组成部分，数据安全直接关系国家安全、经济平稳运行与公众合法权益。近年来，《数据安全法》《个人信息保护法》《网络安全法》正式实施，国资委2025年修订印发《中央企业数据安全管理办法》，明确要求监管企业建立覆盖数据全生命周期的安全管理体系，定期开展数据安全自评估与风险排查，切实履行数据安全主体责任。2025年以来，全球范围内针对关键信息基础设施运营者的数据窃取、勒索攻击事件呈现高发态势，监管企业作为境外攻击组织的重点目标，累计上报数据安全类事件较2024年增长[37%]，暴露出部分企业在数据安全建设上存在重视不足、能力短板、责任悬空等突出问题。本次评估是国资委落实国家网络安全与数据安全工作部署、强化中央企业数据安全监管的核心举措，核心目的在于全面摸清2026年监管企业数据安全建设的真实进展，排查各类隐蔽性风险隐患，总结推广可复制的优秀建设经验，针对性提出下一阶段工作改进要求，推动监管企业从“被动合规”向“主动防护”转变，筑牢国家关键数据安全防线。（二）评估工作的组织架构与时间安排本次评估工作于2026年7月正式启动，由国资委科技创新和信息化局牵头，联合国家网信办网络安全协调局、工业和信息化部网络安全管理局、公安部网络安全保卫局相关业务处室，组建由[32名]行业专家、[12家]具备国家级数据安全测评资质的第三方专业机构组成的评估工作组。评估全程严格落实“双随机、一公开”要求，随机抽取核查对象、随机选派核查人员，评估结果后续将向监管企业正式公开，对优秀企业予以通报表扬，对问题突出的企业予以通报约谈。评估全流程分为四个阶段：第一阶段为企业自查申报（2026年7月1日—7月31日），要求所有监管企业对照评估指标体系，全面梳理本企业数据安全建设情况，如实上报相关材料；第二阶段为材料初审与样本抽取（2026年8月1日—8月20日），工作组对企业上报材料进行交叉核验，剔除明显失实内容，按照行业、规模、风险等级分层抽取[62家]重点核查企业；第三阶段为现场核查与实战检测（2026年8月21日—10月20日），工作组赴企业现场核查制度落实、技术部署、应急准备等情况，同步开展技术渗透测试、红蓝对抗演练、一线员工访谈；第四阶段为结果汇总与报告编制（2026年10月21日—11月15日），工作组对核查发现的问题逐项复核，形成最终评估结论与改进要求，编制本评估报告。二、评估范围、对象与方法体系（一）评估覆盖范围本次评估覆盖国资委监管的全部[98家]中央企业，评估范围不局限于企业总部层面，同步延伸覆盖重点二级单位、承担核心业务的三级运营单元，以及企业境外业务节点的数据流转场景，具体涵盖：一是境内核心业务系统，包括生产调度系统、客户管理系统、研发设计系统、财务核算系统等承载重要数据的核心平台；二是对外合作与数据流转场景，包括第三方供应商接入、生态合作伙伴数据共享、公共数据开放、跨境数据传输等场景；三是新兴技术应用场景，包括生成式AI办公应用、大数据分析平台、云原生业务系统、工业互联网平台等近年来新上线的数字化场景。（二）核心评估对象本次评估聚焦五大类核心对象，确保不遗漏关键环节：一是数据资产台账情况，核查企业是否完成全量数据资产梳理，是否建立科学的分类分级目录，是否明确每一类数据的安全责任主体；二是制度体系建设情况，核查企业是否建立覆盖数据采集、存储、使用、加工、传输、提供、公开全流程的管理制度，是否针对新兴场景制定专项规则；三是技术防护能力情况，核查企业部署的安全技术措施是否真正发挥作用，是否存在“装而不用、用而不管”的问题；四是应急处置能力情况，核查企业是否制定数据安全事件应急预案，是否开展常态化应急演练，是否具备快速溯源、快速处置、快速恢复的能力；五是人员责任落实情况，核查企业是否将数据安全责任传导到基层岗位，是否开展全员培训，是否建立责任追溯与考核机制。（三）评估方法与评分规则本次评估摒弃传统“看材料、听汇报”的单一模式，采用“五维交叉验证”的评估方法，最大限度还原企业真实能力：一是企业自查申报，要求企业对照指标逐项说明建设情况，提供对应证明材料；二是现场实地核查，核查组赴企业机房、业务一线，查看实际运行的系统配置、操作流程；三是技术检测验证，由专业技术团队对企业核心系统开展渗透测试，验证防护措施的实际拦截效果；四是红蓝对抗演练，模拟真实攻击场景，检验企业的监测、响应、处置全流程能力；五是一线员工访谈，随机抽取基层运维、开发、业务岗位员工，访谈其对数据安全规则的掌握程度与实际执行情况，验证制度是否真正落地。评估采用百分制评分，权重设置为：合规管理体系建设占30%，技术防护能力占30%，应急响应能力占15%，风险隐患整改情况占15%，数据安全文化建设占10%。按照最终得分划分为四个评级档次：90分及以上为优秀，80—89分为良好，60—79分为合格，60分以下为不合格。三、监管企业数据安全总体态势评估结果（一）总体得分与评级分布情况本次评估最终测算显示，国资委监管企业数据安全建设平均得分为[78.6分]，较2025年首次评估的平均得分[73.4分]提升[5.2分]，整体呈现稳步向好的发展态势。各企业评级分布如下表所示：评级档次企业数量（家）占比（%）典型特征优秀（≥90分）[12][12.2]建立全流程数据安全管理体系，技术防护能力完备，连续3年未发生重大数据安全事件良好（80-89分）[45][45.9]制度体系基本健全，核心场景防护到位，存在局部短板，无重大高风险隐患合格（60-79分）[36][36.7]基本建立数据安全管理框架，关键能力存在明显缺失，存在一定数量中低风险隐患不合格（＜60分）[5][5.2]管理体系不健全，核心场景存在高危风险，近2年发生过数据安全事件未完成整改从评估结果看，超过半数企业达到良好及以上水平，说明经过近两年的持续建设，监管企业的整体数据安全能力得到了明显提升。但仍有5家企业得分不合格，主要集中在商贸流通、一般制造类行业，这些企业对数据安全工作的重视程度不足，数据安全投入长期欠账，核心场景存在明显防护漏洞。（二）分行业能力差异对比不同行业由于业务属性、数据敏感程度、监管要求的差异，数据安全建设水平存在明显的行业梯度，具体得分对比如下表：行业类别平均得分同比提升幅度（分）优秀级企业占比（%）通信运营[88.2][6.1][33.3]国防军工[85.3][4.8][21.4]金融服务[83.7][5.5][15.8]能源电力[79.5][5.7][8.7]交通运输[76.8][4.2][5.9]商贸流通[71.4][3.6][0.0]评估发现，通信、军工、金融类企业由于长期接受行业强监管，数据安全建设基础扎实，对新兴风险的响应速度较快，整体得分处于第一梯队；能源、交通类企业由于承载关键信息基础设施职责，近年来在数据安全方面的投入持续加大，得分稳步提升；商贸流通、一般制造类企业由于业务链条长、数据场景分散、对数据安全的重视程度不足，整体得分偏低，是后续监管的重点关注对象。（三）整体建设进步成效对比2025年首次评估结果，2026年监管企业在数据安全建设方面取得了三方面明显进步：一是组织责任体系基本建立，[92家]企业设立了专门的数据安全管理牵头部门，明确了主要负责人作为数据安全第一责任人的职责，较2025年提升[18个百分点]；二是核心基础工作推进加快，全系统完成重要数据目录梳理的企业占比从2025年的[62%]提升到2026年的[89%]，累计梳理形成重要数据目录条目[4.2万条]，为后续精准防护提供了基础；三是安全投入持续加大，2026年监管企业数据安全相关预算投入较2025年同比增长[21.3%]，重点投向技术防护平台建设、专业人才招聘、应急能力建设等领域。四、数据安全合规管理体系评估情况（一）制度体系建设情况评估显示，[83家]企业已经建立了覆盖数据全生命周期的管理制度框架，明确了数据采集、存储、使用、传输、销毁各环节的操作规则，较2025年增加[12家]。但从现场核查情况看，制度建设存在“上下一般粗”的问题：大部分企业的制度直接照搬国家法律法规与国资委的管理要求，没有结合自身业务场景细化可操作的流程规范，例如针对数据对外共享、第三方合作、跨境传输等场景，仅原则性规定“需要经过审批”，但没有明确审批的层级、材料、时限、责任，导致基层实际操作中无据可依。[15家]企业的制度体系存在明显空白，未针对跨境数据流动、生成式AI应用、数据资产交易等新兴场景制定专项管理规则，相关业务开展处于无制度约束的状态。（二）组织架构与责任传导情况[92家]企业在总部层面设立了专门的数据安全管理部门，其中[47家]企业设立了独立的数据安全部，其余[45家]由原网络安全部加挂数据安全管理职责，仍有[6家]企业未明确专门牵头部门，由信息化部门临时兼顾数据安全管理工作。从责任传导层级看，[78%]的企业将数据安全责任延伸到了二级单位，仅[42%]的企业将责任延伸到了三级核心业务单元，部分基层单位甚至不知道本企业已经出台数据安全管理制度，导致总部制定的规则在基层“悬空”。访谈发现，[63%]的企业未将数据安全工作纳入员工绩效考核体系，发生数据安全事件后难以追溯到具体岗位责任人。（三）人员培训与合规审计情况全员数据安全培训覆盖率平均达到[76%]，较2025年提升[15个百分点]，但关键岗位人员（数据管理员、系统运维、开发人员、客户服务人员）的专业培训不足，关键岗位人员持证上岗率仅为[58%]。从合规审计情况看，每年开展一次以上内部数据安全审计的企业占比[67%]，引入第三方机构开展年度合规审计的企业占比仅为[32%]，大部分企业的内部审计流于形式，仅检查制度文件是否齐全，不深入核查实际操作中的合规问题。五、数据安全技术防护能力评估情况（一）分类分级技术落地情况评估发现，[72家]企业部署了数据发现与分类分级工具，能够自动识别结构化、半结构化、非结构化数据中的敏感信息，为差异化防护提供基础支撑；但仍有[26家]企业依赖人工梳理数据台账，存在分类不准、动态更新不及时的问题，重要数据漏判率平均达到[18%]。[54%]的企业实现了重要数据的动态标签化管理，能够根据数据的流转状态实时调整防护策略，其余企业的分类分级结果仅作为静态台账存档，没有与实际防护措施联动。（二）全流程技术防护部署情况数据加密能力：核心业务系统中重要数据的静态存储加密覆盖率达到[68%]，传输加密覆盖率达到[81%]，但部分企业的加密密钥由系统管理员自行保管，没有建立独立的密钥管理体系，存在密钥泄露导致数据被解密的风险。数据脱敏能力：在数据分析、测试环境、对外提供场景中，生产数据的脱敏应用率仅为[49%]，部分企业直接将包含千万级用户个人信息、核心商业秘密的生产数据拷贝至第三方测试环境，存在极高泄露风险。数据防泄漏能力：[65家]企业部署了终端侧数据防泄漏（DLP）系统，[42家]部署了网络侧DLP能力，仅[36%]的企业实现了“终端+网络+云”全链路DLP覆盖；大部分企业的DLP系统存在策略配置宽松、告警无人处置的问题，实际有效拦截率不足[40%]。（三）安全运营与灾备能力情况[38家]企业建立了数据安全态势感知平台，能够对数据异常访问、批量下载、越权操作等行为开展实时监测，其中[41%]的平台实现了7*24小时专人值守。从灾备能力看，重要数据的异地灾备覆盖率达到[82%]，但仅[76%]的企业达到了规定的恢复时间目标（RTO）要求，部分企业的灾备系统仅用于应付检查，从未开展过实际恢复演练，一旦发生数据损毁事件，无法在规定时间内恢复业务。六、重点领域数据安全专项风险排查结果本次评估聚焦高风险重点领域，累计排查发现各类数据安全隐患[543个]，其中高危隐患[118个]，具体风险分类统计如下表：风险类别排查发现隐患数量（个）高危占比（%）涉及企业数量（家）重要/核心数据防护不到位[170][28.8][62]个人信息合规问题[178][15.2][57]跨境数据流动违规[32][43.8][12]第三方合作数据安全缺失[114][17.5][78]AI应用场景数据泄露风险[49][61.2][29]（一）重要与核心数据防护风险排查发现，[127处]重要数据未设置严格的访问权限控制，部分基层岗位员工能够越权访问大量核心业务数据，例如某能源企业的基层运维人员能够直接下载全区域电网调度数据；[43处]核心数据在测试环境未做脱敏处理直接使用，部分数据测试项目由外部供应商承接，供应商人员能够直接接触生产级核心数据。（二）个人信息保护合规风险涉及用户个人信息的场景中，累计发现[89处]存在超范围收集个人信息的问题，例如某交通企业的出行服务APP收集用户的通讯录、精确位置信息，但相关信息与出行服务无关；[57处]存在用户信息存储超过法定保存期限的问题，大量过期用户数据未按要求删除；[32处]存在用户信息对外提供未单独取得用户同意的问题，部分企业将用户信息共享给合作方开展营销活动，未履行告知与同意流程。（三）跨境数据流动合规风险开展境外业务的[31家]央企中，[12家]企业未按国家规定完成跨境数据安全评估，将境外业务运营中收集的大量用户数据、重要数据直接传输回境内总部，或通过境内系统向境外分支机构提供核心业务数据，存在违反跨境数据流动监管要求的风险。（四）第三方合作与供应链数据安全风险排查发现，[186家]二级单位存在与外部供应商、合作方共享核心业务数据的场景，其中[62%]的场景未与合作方签订专门的数据安全保密协议，未明确合作方的数据安全保护责任；[48%]的场景未对合作方的数据处理行为开展持续审计，合作方在获取企业数据后，是否将数据泄露、转售给第三方，企业完全无法掌握。（五）生成式AI应用场景数据安全风险累计[47家]央企在内部办公、客户服务、研发辅助场景部署了生成式AI应用，其中[29家]未对输入大模型的敏感数据设置过滤机制，员工直接将包含商业秘密、重要数据的文档上传至公共大模型开展分析，存在数据被大模型服务商留存、用于模型训练、进而造成数据泄露的高危风险。七、监管企业数据安全建设典型经验与优秀案例（一）某通信企业建立“数据资产护照”全生命周期追溯机制该企业为每一类从产生环节就纳入平台管理的核心数据建立专属“数据资产护照”，明确标注数据的安全等级、责任主体、流转范围、使用规则，数据在企业内部各系统之间流转、对外共享、向监管部门报送的全流程，都自动在“护照”中留下可追溯的操作记录，一旦发生数据泄露事件，能够在1小时内定位泄露源头、锁定相关责任人。该机制运行以来，企业连续两年未发生重大数据泄露事件，数据安全事件溯源效率较之前提升[90%]。（二）某能源企业建立红蓝军常态化对抗检验机制该企业组建了内部专业红军防护团队与蓝军攻击团队，每季度开展一次针对核心电力调度数据的攻防演练，模拟境外攻击组织的攻击手法，重点检验系统的权限控制、异常监测、应急处置能力。演练开展两年来，累计发现并修复高危数据安全漏洞[124个]，核心系统的数据泄露风险较之前降低[83%]，相关经验已在全能源行业推广。（三）某军工企业建立零信任研发数据防护体系针对研发数据保密要求高的特点，该企业建立了“永不信任、始终验证”的零信任访问体系，研发人员访问涉密研发数据必须经过多因子身份认证、动态权限审批，所有对研发数据的操作全程留痕、实时审计，即使研发人员的账号被盗，攻击人员也无法获取核心涉密数据。该体系运行以来，未发生一起研发数据泄露事件，有效保障了国防研发数据的安全。（四）某交通企业建立境外数据本地化合规存储机制针对海外业务数据跨境流动的合规要求，该企业在每个境外业务节点部署了本地化数据存储平台，所有海外项目产生的用户数据、运营数据全部存储在当地合规节点，仅按照当地监管要求向境内传输经过脱敏、去除个人信息的汇总统计数据，先后通过了[12个]国家和地区的数据合规检查，未发生一起违规数据出境事件，为中央企业海外业务数据合规提供了可复制的模板。八、当前存在的突出问题与深层根源分析（一）思想认识存在温差，重应用轻安全的倾向尚未根本扭转评估发现，部分基层单位对数据安全的认知还停留在“网络安全就是数据安全”的传统阶段，没有意识到数据作为核心生产要素的安全特殊性，在推进数字化业务过程中，优先考虑业务效率、用户体验，将数据安全视为业务发展的“阻碍”，存在“先上线、后补安全”的倾向。部分企业负责人对数据安全工作的重视仅停留在开会讲话、批示文件层面，没有真正在资源投入、组织保障上给予支持，导致数据安全建设跟不上数字化业务的发展速度。（二）能力建设存在落差，全生命周期动态防护能力不足大部分企业的数据安全技术能力还停留在传统边界防护阶段，缺乏针对数据全生命周期的动态防护能力，特别是针对生成式AI、云原生应用、大数据分析等新兴场景的防护手段明显不足。专业人才缺口较大，平均每家企业的数据安全专业人才缺口达到[27人]，既懂数据业务、又懂安全技术、又懂合规要求的复合型人才更是极度稀缺，导致企业即使部署了先进的安全设备，也没有专业人员运维、配置策略，设备无法发挥实际防护作用。（三）责任传导存在压差，基层岗位责任悬空问题突出部分企业的数据安全责任还停留在总部管理层与总部部门层面，没有有效传导到基层业务单元、一线操作岗位，“谁生产数据、谁负责安全，谁使用数据、谁负责安全”的责任机制没有完全落地。评估访谈中，超过六成的基层员工不知道自己岗位的数据安全责任是什么，也不知道发生数据泄露事件后会承担什么责任，导致日常操作中随意下载、拷贝、传播核心数据的现象屡禁不止。（四）合规管理存在偏差，制度与业务“两张皮”问题明显部分企业的制度建设完全照搬上位法要求，没有结合自身业务场景细化操作流程，制度要求与实际业务操作完全脱节，出现“制度写在纸上、挂在墙上，就是落不到实际操作上”的问题。特别