资源简介
ICS CCS
团
35.030 L 70/84
体
ZISIA
标准
T/ZISIA 0301—2026
电力企业网络安全能力成熟度评价模型
Cybersecurity capability maturity assessment model
for electric power enterprisess
2026-06-04 发布
2026-06-04 实施
中关村网络安全与信息化产业联盟发 布
T/ZISIA 0301-2026
目次
前言 IV
引言 1
1 范围 2
2 规范性引用文件 2
3 术语和定义 2
4 缩略语 3
5 网络安全能力成熟度评价模型 3
5. 1 模型架构 3
5.2 安全能力维度 4
5.3 能力等级维度 5
5.4 评估框架维度 5
6 安全决策 6
6. 1 战略规划 6
6. 1. 1 PA 描述 6
6. 1.2 等级描述 6
6.2 安全文化 6
6.2. 1 PA 描述 6
6.2.2 等级描述 6
6.3 安全预算 7
6.3. 1 PA 描述 7
6.3.2 等级描述 7
6.4 考核评价 8
6.4. 1 PA 描述 8
6.4.2 等级描述 8
6.5 科技创新 8
6.5. 1 PA 描述 8
6.5.2 等级描述 9
7 安全管理 9
7. 1 合规管理 9
7. 1. 1 合规遵循 9
7. 1.2 合规审计与验证 10
7.2 安全管控 11
7.2. 1 内部风险管控 11
7.2.2 供应链风险管控 12
7.3 安全规范 12
7.3. 1 PA 描述 12
I
7.3.2 等级描述 13
7.4 安全团队 13
7.4. 1 人员任命 13
7.4.2 能力培训 14
7.4.3 能力评估 15
7.5 安全监督 15
7.5. 1 PA 描述 15
7.5.2 等级描述 15
7.6 安全协同 16
7.6. 1 PA 描述 16
7.6.2 等级描述 16
8 安全运营 17
8. 1 基础安全能力 17
8. 1. 1 安全物理环境 17
8. 1.2 安全通信网络 17
8. 1.3 安全区域边界 18
8. 1.4 安全计算环境 19
8. 1.5 云计算安全 20
8. 1.6 物联网安全 21
8. 1.7 移动互联安全 22
8. 1.8 新型电力应用系统安全 23
8. 1.9 人工智能安全 24
8.2 数据安全能力 25
8.2. 1 数据采集安全 25
8.2.2 数据传输安全 26
8.2.3 数据处理安全 27
8.2.4 数据存储安全 28
8.2.5 数据交换安全 29
8.2.6 数据销毁安全 30
8.3 安全防护能力 30
8.3. 1 预警通报 30
8.3.2 风险识别 31
8.3.3 仿真验证 32
8.3.4 技术防护 33
8.3.5 检测发现 33
8.3.6 应急响应 34
8.3.7 安全恢复 35
8.3.8 溯源反制 35
9 安全运行 36
9. 1 系统全程管控 36
9. 1. 1 系统规划 36
9. 1.2 系统建设 37
II
9. 1.3 系统使用 38
9.2 运行调度 39
9.2. 1 缺陷管理 39
9.2.2 隐患管理 40
9.2.3 应急管理 41
9.2.4 故障抢修 41
9.2.5 反措管理 42
9.2.6 运行监控 43
9.2.7 运行指挥 43
9.2.8 运行方式 44
9.2.9 作业管理 45
9.2.10 值班管理 45
9.2. 11 定值管理 46
9.2. 12 退运管理 47
9.3 运行维护 47
9.3. 1 配置台账 47
9.3.2 巡视、巡检 48
9.3.3 运维工具 49
9.3.4 运行资源 50
9.3.5 数据备份 50
9.3.6 运行知识 51
9.3.7 备件备品 52
9.3.8 检修试验 52
9.4 运行服务 53
9.4. 1 服务渠道 53
9.4.2 服务目录 54
9.4.3 服务问题 54
9.4.4 服务质量 55
附录 A(规范性) 电网运营环节专项补充要求 56
附录 B(规范性) 发电环节专项补充要求 63
附录 C(规范性) 电力调度环节专项补充要求 70
附录 D(规范性) 电力市场与新型业务环节专项补充要求 77
附录 E(规范性) 用电侧与产业支撑环节专项补充要求 83
附录 F(资料性) 电力网络安全能力成熟度自评估评分规则 90
F.1 评分原则 90
F.2 权重设计 90
F.3 成熟度降级规则 91
F.4 自评估流程 91
参考文献 93
III
前言
本文件按照GB/T1. 1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。中关村网络安全与信息化产业联盟不承担识别专利的责任。
本文件由中关村网络安全与信息化产业联盟提出并归口。
本文件起草单位： 中关村网络安全与信息化产业联盟、广东电网有限责任公司、广东电网有限责任公司数智运营中心、广东电网有限责任公司电力调度控制中心、广东电网有限责任公司广州供电局、广东电网有限责任公司惠州供电局、广东电网有限责任公司珠海供电局、广东电网有限责任公司东莞供电局、广东电网有限责任公司佛山供电局、广东电网有限责任公司中山供电局、广东电网有限责任公司茂名供电局、广东电网有限责任公司河源供电局、广州中软信息技术有限公司、哈尔滨工业大学、大庆油田有限责任公司、南方电网储能股份有限公司信息通信分公司、北京启明星辰信息安全技术有限公司、奇安信科技集团股份有限公司、亚信科技(成都)有限公司、南方电网电力科技股份有限公司、深信服科技股份有限公司等。
本文件主要起草人：王国瑞、裴求根、钱正浩、崔磊、邹冬、唐亮亮、骆书剑、温满华、王业超、沈伍强、张小陆、何明东、吴勤勤、邓晓智、潘垚鑫、胡尧、温诗华、吴梓宏、郭志达、胡冉、张德安、宋伟杰、黄明磊、廖志戈、罗金满、邓雄荣、梁浩波、 肖莹莹、关敬棠、郑晓娟、周祥峰、简玮侠、黎礼飞、江流伟、梁仕甫、梁现、陈兆鹏、马一凡、陈威、卫世光、黄新锋、李始焱、谢金玉、吴诗霓、赵柳洁、 白俊娟、梁雯淘、王兆国、庄建斌、侯继波、祖智慧、刘资茂、黄嘉东、马程、欧阳可萃、芦振明、黄伟强、李财华、高亚洲、李明、程胜、刘东东、廖一鸣、甘美平、郭艺祥等。
IV
引言
随着全球数字化浪潮深入推进，网络安全已成为关乎国家安全与经济稳定的核心议题，电力行业作为国家关键信息基础设施的核心领域，其安全水平直接关系社会运行与能源保障命脉。当前新型电力系统建设加速演进， 电力行业数字化、智能化程度大幅提升，传统静态合规防护模式已难以应对持续扩大的攻击面与新型网络威胁，行业亟需一套科学的安全能力成熟度评估体系。
本模型构建了安全决策、安全管理、安全运营、安全运行四大维度评估框架，是电力行业组织级网络安全能力量化基准，深度适配电力业务场景，改善了通用模型与行业实际应用脱节的问题。模型创新引入主动防御闭环与五级成熟度体系，为企业规划了阶梯式能力提升路径，推动行业从被动合规转向主动持续运营， 以标杆引领带动全产业链安全水位提升，强化国家能源体系整体韧性。
本文件为电力行业安全能力成熟度评估与建设工作提供系统性指导，紧密贴合电力业务特点与安全需求制定，供行业相关单位参考使用。
1
1 范围
本文件规定了电力行业组织级网络安全能力成熟度的评估框架、通用要求、分环节专项要求、评分方法及实施规范。
本文件适用于电力全产业链各环节组织，包括但不限于电网运营、发电、 电力调度、 电力市场与新型业务、用电侧与产业支撑环节的各类机构。可用于自评估、内部考核、体系建设、第三方评估及行业对标核查。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GB/T 25069-2022 网络安全技术术语
GB/T 29246-2017 信息技术安全技术网络安全管理体系概述和词汇
GB/T 37988-2022 信息安全技术数据安全能力成熟度模型
DL/T 2614-2023 电力行业网络安全等级保护基本要求
3 术语和定义
GB/T 29246-2017和GB/T 25069-2022界定的以及下列术语和定义适用于本文件。
3.1
网络安全 cyber security
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。
3.2
保密性 confidentiality
使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。
[GB/T 29246-2017,定义2. 1. 1] 3.3
完整性 integrity
准确和完备的特性。
[GB/T 29246-2017,定义2.40] 3.4
可用性 availability
已授权实体一旦需要就可访问和使用的数据和资源的特性。
[GB/T 29246-2017,定义2. 1.20]
3.5
网络安全能力 cybersecurity capability
组织在组织建设、制度流程、技术工具以及人员能力等方面对网络安全的保障。
3.6
能力成熟度模型 capability maturity model
对一个组织的能力成熟度进行度量的模型，包括一系列代表能力和进展的特征、属性、指示或者模式。
3.7
安全过程 security process
2
用于实现某一安全目标的完整过程，该过程包含输入和输出。
3.8
过程域 process area
实现同一安全目标的相关网络安全基本实践的集合。
3.9
安全决策 security governance
指导和控制组织安全活动的体系。
3.10
安全管理 security management
基于业务风险方法，建立、实施、运行、监视、评审、保持和改进安全的体系。
3.11
安全运营 security operation
基于组织安全目标，围绕技术、流程和人等构建要素，落实安全防护体系策略，对已有的安全产品、工具、服务有效融合，持续输出价值，解决安全风险。
3.12
安全运行 security running
指导和控制组织信息系统运行维护活动，保障信息系统安全运行。
4 缩略语
下列缩略语适用于本文件。
CMDB: 配置管理数据库(Configuration Management Database)
PA：过程域(ProcessArea)
SLA: 服务等级协议(Service Level Agreement)
5 网络安全能力成熟度评价模型
5.1 模型架构
网络安全成熟度能力评估框架如图1所示。
3
图 1 网络安全成熟度能力评估框架
网络安全成熟度能力评估框架由以下三个维度组成：
a) 安全能力维度
安全能力维度明确了组织在网络安全领域应具备的能力，包括安全管理、安全决策、安全运营、安全运行共4个一级域。
b) 能力成熟度等级维度
网络安全能力成熟度等级划分为五级，具体包括：
. 等级1：初始建设级
. 等级2：计划跟踪级
. 等级3：规范定义级
. 等级4：量化协同级
. 等级5：优化输出级
c) 评估维度
网络安全能力评估主要通过制度流程、岗位职责、技术工具三个层面开展。
5.2 安全能力维度
通过对组织各安全过程应具备安全能力的量化，进而评估每项安全过程的实现能力。
a) 安全决策：基于组织业务战略愿景，制定与组织业务战略一致的安全决策手段，为网络安全提供顶层设计及方向，确保数字化及合规;
b) 安全管理：承载治理战略及外部合规监管下，进一步结合数字化等特点，制定覆盖人、流程、技术安全管理;
c) 安全运营：是对网络安全能力的建设与打造阶段，围绕识别、保护、检测、响应、恢复、反制、验证和预警这 8 大维度开展纵深防御闭环建设、创新及运营;
d) 安全运行：聚焦组织数字化系统的建设、运行、维护和服务支撑，是保障数字化业务连续稳定开展的重要基础。
4
5.3 能力等级维度
组织的网络安全能力成熟度等级分为五级，见表1。
表 1 网络安全能力成熟度等级共性特征
网络安全能力成熟度等级
共性特征
说明
等级1：初始建设级
安全过程处于初始阶段，相关活动主要以临时性、单点式方式开展，规范性、连续性和协同性相对不足。
无章无序被动应对
等级2：计划跟踪级
在部分业务系统级别实现了安全过程的计划与跟踪，但未形成体系化，可跟踪计划的执行。
计划开展跟踪执行
等级3：规范定义级
在组织级别实现了安全过程执行的标准化，定义了标准过程，执行过程可重复，执行过程可核查。
建章立制完善运行
等级4：量化协同级
在组织级别实现了安全目标的度量和量化，实现部分安全过程执行自动化。
量化测量自动运营
等级5：优化输出级
组织不断提升安全能力和优化安全过程执行的有效性，总结企业最佳实践，最终实现安全业务化，对外赋能，引领行业发展方向。
优化提升对外赋能
5.4 评估框架维度
网络安全能力评价框架维度包括三种：
a) 岗位职责：指为落实网络安全能力所需的组织架构、岗位设置、职责分工、人员配备及能力要求。该维度用于评估组织是否建立权责清晰的安全责任体系，相关岗位人员是否具备履行职责所需的能力，并保障岗位职责有效落实。
b) 制度流程：指为规范网络安全活动所建立的制度文件、流程机制及记录要求。该维度用于评估组织是否形成体系化、可执行、可追溯的安全管理制度和工作流程，并保障其有效运行和持续改进。
c) 技术工具：指支撑网络安全防护、检测、响应、恢复等活动的技术措施、系统平台和安全工具。该维度用于评估组织是否配置与业务规模、技术架构和安全管理要求相适应的技术工具，并保障其有效运行。
5
6 安全决策
6.1 战略规划
6.1.1 PA 描述
围绕组织业务发展方向与行业趋势，制定并落地网络安全战略与整体安全架构，建立从规划、实施、监控到持续优化的全流程管理机制，支撑安全能力长效提升。
6.1.2 等级描述
6.1.2.1 等级 1：初始建设级
a) 制度流程：组织未系统制定网络安全战略，未构建统一的整体安全架构，安全规划与设计依赖部门临时决策、现有系统条件或单一项目需求。
6.1.2.2 等级 2：计划跟踪级
a) 制度流程：组织应识别内外部相关方安全需求，基于业务价值建立基本网络安全战略与安全架构，确保安全战略与业务战略核心目标协调一致，并形成基本实施流程。
6.1.2.3 等级 3：规范定义级
a) 制度流程：组织应基于业务发展、行业趋势及技术演进，制定文件化的网络安全战略与整体安全架构，明确评审、修订、发布、宣贯的全流程规范;
b) 制度流程：组织应明确安全战略落地所需的资金、人员、技术等资源保障要求;
c) 岗位职责：组织应授权专门团队或人员负责安全战略与架构的日常管理，定期组织开展评审与更新工作;
d) 技术工具：组织应基于安全战略与架构，制定分阶段实施路线图及优先级计划。
6.1.2.4 等级 4：量化协同级
a) 制度流程：组织应建立安全战略与架构的量化评估指标体系，对战略执行、架构落地及实施成效开展持续监控、定期分析与复盘;
b) 岗位职责：借助自动化工具实现安全架构执行效率、合规遵从度与一致性的量化管控。
6.1.2.5 等级 5：优化输出级
a) 制度流程：组织应结合业务战略迭代持续优化安全战略与架构，保持前瞻性与创新性，有效支撑组织核心竞争力提升;
b) 制度流程：在行业内输出安全战略与架构建设最佳实践，参与行业标准制定，成为领域标杆。
6.2 安全文化
6.2.1 PA 描述
安全文化是组织在网络安全战略落地过程中，通过合理分配资源，强化人员责任与能力建设，建立有效沟通与协作机制，从而营造全员重视并参与安全的氛围，保障网络安全战略得到全面支撑与持续优化。
6.2.2 等级描述
6.2.2.1 等级 1：初始建设级
a)制度流程：组织未建立安全文化相关制度流程，宣传、培训、沟通等活动主要依赖临时安排。
6
6.2.2.2 等级 2：计划跟踪级
a) 制度流程：组织在部分业务范围内开展安全宣传、培训或沟通活动，并形成相应记录。
6.2.2.3 等级 3：规范定义级
a) 制度流程：组织应制定覆盖全员的安全文化制度流程，并定期开展安全宣传、培训和交流活动。
b) 制度流程：组织应定期评估安全文化效果，并根据评估结果改进相关制度、计划和活动。
c) 岗位职责：组织应明确安全宣传、培训和沟通交流的责任部门、责任岗位及协同职责。
6.2.2.4 等级 4：量化协同级
a) 制度流程：组织应建立安全文化效果量化指标，如活动参与率、安全意识测评结果、违规行为减少情况等。
b) 制度流程：组织应对安全文化建设成效进行定期评估， 以改进建设内容;
c) 技术工具：组织应借助问卷系统、培训平台、测评工具等，对安全宣传、培训、测评等数据进行收集、统计和跟踪。
6.2.2.5 等级 5：优化输出级
a) 制度流程：组织应结合业务战略和行业发展趋势，持续优化安全文化制度、活动和评估机制，形成可复制、可推广的实践成果。
6.3 安全预算
6.3.1 PA 描述
网络安全预算是确保网络安全战略取得成功所必需的资源，通过对网络安全预算的充分投入和有效管理,可以为网络安全战略的实施提供强有力的资源保障。
6.3.2 等级描述
6.3.2.1 等级 1：初始建设级
a) 制度流程：组织未规划年度网络安全投资预算，大多为被动式的网络安全投资。
6.3.2.2 等级 2：计划跟踪级
a) 制度流程：组织只针对核心业务或系统规划了网络安全预算，未专门建立网络安全专项预算。
b) 制度流程：组织应初步为安全预算规划优先级，确保安全预算有序实施。
6.3.2.3 等级 3：规范定义级
a) 制度流程：组织应制定安全预算管理相关标准规范，设置预算准入、预算申报、预算审核、预算下达、预算调整等流程;
b) 岗位职责：组织应建立预算管理相关小组对安全预算进行统一的管理，如预算管理委员会、预算管理小组;
c) 技术工具：组织应形成年度安全预算清单，明确优先级并对预算执行过程进行监控与跟踪。
6.3.2.4 等级 4：量化协同级
7
a) 制度流程：组织应构建安全投资质量评价体系，如：建设安全投资效益模型，实现安全投资的效益量化，科学评估安全投资质量。
b) 技术工具：组织应对预算执行的过程进行精细化管理，通过预算管理信息系统、财务报表或预算管理台账等工具建立预算监控和预警机制。
6.3.2.5 等级 5：优化输出级
a) 制度流程：组织应结合业务发展需求和网络安全发展趋势，持续优化安全预算结构与金额;
b) 制度流程：基于行业特性，制定行业网络安全投资方法论或安全预算模型，并在业界分享最佳实践，推动标准化落地，成为行业标杆。
6.4 考核评价
6.4.1 PA 描述
网络安全决策中的考核与评价指的是对网络安全工作进行检查、监测和审计, 以保障网络安全战略执行的有效性。
6.4.2 等级描述
6.4.2.1 等级 1：初始建设级
a) 制度流程：组织未主动开展网络安全考核与评价，大多为被动式的网络安全检查配合。
6.4.2.2 等级 2：计划跟踪级
a) 制度流程：组织只针对部分核心业务的网络安全工作建立了考核与评价机制。
6.4.2.3 等级 3：规范定义级
a) 制度流程：组织应结合业务战略、顶层规划建立全面的网络安全考核与评价标准规范，并明确相关管理层与业务部门职责，确保其参与考核与评价过程;
b) 岗位职责：组织应授权或任命相关团队人员开展网络安全考核与评价的管理工作;
c) 制度流程：组织应定期对考核与评价的结果在组织范围、业务范围公示，建立监督问责机制。
6.4.2.4 等级 4：量化协同级
a) 制度流程：组织应建立可量化的网络安全考核与评价指标。
b) 制度流程：组织应验证和定期评估网络安全考核与评价指标效果，并根据合理性、适用性及环境变化及时修订。
c) 技术工具：组织应借助相关工具实现考核与评价的线上数字化管理。
6.4.2.5 等级 5：优化输出级
a) 制度流程：组织应结合最新网络安全战略或规划，持续优化网络安全考核及评价体系;
b) 制度流程：组织应积极参与行业网络安全考核及评价标准制定，分享最佳实践并推动标准化落地，成为行业标杆。
6.5 科技创新
6.5.1 PA 描述
科技创新是适当选用新的理念、流程和技术来提升网络安全管理和防护能力。
8
6.5.2 等级描述
6.5.2.1 等级 1：初始建设级
a) 制度流程：组织未主动开展网络安全相关创新，基本没有相关创新成果。
6.5.2.2 等级 2：计划跟踪级
a) 制度流程：组织在关键业务或单个领域有部分创新成果，如：基于业务需求开展工具研制，实现业务数字化价值扩散及效率优化。
6.5.2.3 等级 3：规范定义级
a) 制度流程：组织应制定创新相关规章制度，明确创新奖励机制，并提供创新的资源保障;
b) 岗位职责：组织应建立安全创新、研究相关部门或团队，负责组织创新管理以及推进相关创新课题或者项目的开展;
c) 技术工具：组织应在网络安全领域取得相关创新成果，如：安全标准、安全技术、安全产品等。
6.5.2.4 等级 4：量化协同级
a) 制度流程：组织应建立可量化的创新指标或者指数，融入到网络安全战略或网络安全考核与评价中，实现企业创新能力的数字化。
b) 制度流程：组织应保持开放合作，凝聚国内外行业共识，构建开放创新生态圈，与高校、科研机构或企业等合作开展安全创新研究与应用。
6.5.2.5 等级 5：优化输出级
a) 制度流程：组织应主动捕捉业务挑战与机遇，借助新技术与业务融合，持续开展安全创新及赋能;
b) 技术工具：组织应积极在业界分享创新成果并推动标准化落地，成为行业标杆。
7 安全管理
7.1 合规管理
7.1.1 合规遵循
7.1.1.1 PA 描述
合规遵循是组织需要识别并遵守与其业务相关的各项法律法规要求以及行业规范和标准要求。
7.1.1.2 等级描述
7.1.1.2.1 等级 1：初始建设级
a) 制度流程：组织仅在监管单位提出要求、进行检查，或出现审计/处罚风险时被动开展合规工作。
7.1.1.2.2 等级 2：计划跟踪级
a) 制度流程：组织应结合国际和行业标准规范，初步梳理合规要求，并将其纳入核心业务相关的制度流程，在关键环节设置相应的管控措施。
b) 岗位职责：组织仅为核心业务任命相关人员(兼职)开展网络安全的合规管理。
7.1.1.2.3 等级 3：规范定义级
9
a) 制度流程：组织应全面梳理内外部合规要求并形成清单，定期跟进监管机构要求，动态更新合规清单，并向相关方开展宣贯。
b) 岗位职责：组织应设立专职机构或专门人员统筹网络安全合规管理工作。
c) 技术工具：组织应建立安全合规相关资料库,相关人员可以通过该资料库查询合规要求。
7.1.1.2.4 等级 4：量化协同级
a) 制度流程：组织应基于合规要求，建立合规量化指标体系，并将合规落实情况融入到日常网络安全考核与评价中。
b) 技术工具：组织应借助工具对合规管理的过程和结果实现量化管理，整体合规情况可以以图形化、数字化的形式呈现与追溯。
7.1.1.2.5 等级 5：优化输出级
a) 制度流程：组织应持续跟踪、优化合规管理， 以满足新业务场景、新要求、新变化等。
7.1.2 合规审计与验证
7.1.2.1 PA 描述
通过内部自发合规审计与外部独立合规验证，全面评估组织网络安全、数据安全及个人信息安全的合规状况，及时发现并处置合规风险，验证合规管理体系的有效性，形成“审计-整改-优化 ”的闭环管理机制。
7.1.2.2 等级描述
7.1.2.2.1 等级 1：初始建设级
a) 制度流程：组织仅根据特定需求临时开展个别业务的内部合规审计，仅在外部紧急或强制要求下被动配合外部合规审计工作。
7.1.2.2.2 等级 2：计划跟踪级
a) 制度流程：组织定期对核心业务系统开展内部合规审计，基于临时业务需求委托外部机构开展合规审计，并对审计发现的问题项进行整改跟踪，未形成统一的审计管理规范;
b) 岗位职责：组织由业务团队任命临时/兼职人员，负责内部合规审计执行及外部合规审计配合工作。
7.1.2.2.3 等级 3：规范定义级
a) 制度流程：组织应制定统一的合规审计管理规范，明确内部审计范围(含网络安全、数据安全、个人信息安全)、对象及外部审计核心场景，将审计要求融入日常网络安全管控流程，定期更新规范以确保其适宜性、充分性和有效性;
b) 岗位职责：组织应设立专职机构或专门人员负责内部合规审计管理，同时指定统一接口人配合外部合规审计工作;
c) 技术工具：组织应制定可落地的内部合规审计自查清单，编制年度外部合规审计计划，支撑审计工作有序开展。
7.1.2.2.4 等级 4：量化协同级
a) 制度流程：组织应建立可量化的合规审计评估指标体系，定期开展内部审计评估，汇总分析历史内外部审计数据，量化呈现整体合规状况，全程跟踪审计问题的整改落实情况;
10
b) 技术工具：组织应借助自动化工具实现合规审计指标收集、集中分析、结果通报及历年审计过程与数据的统一管理。
7.1.2.2.5 等级 5：优化输出级
a) 制度流程：组织应结合业务发展与合规监管趋势，持续优化内外部合规审计流程与场景，主动与行业及监管机构联动，及时跟进最新合规要求;
b) 制度流程：组织应在行业内分享合规审计最佳实践，推动行业合规审计能力提升。
7.2 安全管控
7.2.1 内部风险管控
7.2.1.1 PA 描述
内部风险管控是组织基于业务战略和网络安全战略要求，建立风险识别、策略制定和安全控制的全流程管理体系，通过制度、人员和技术手段实现风险的动态识别、评估与应对，保障网络安全措施有效落地并持续优化。
7.2.1.2 等级描述
7.2.1.2.1 等级 1：初始建设级
a) 制度流程：组织仅在特定需求或外部要求下，基于经验开展临时性风险评估、安全策略制定与安全技术建设工作，缺乏统一规划和管控。
7.2.1.2.2 等级 2：计划跟踪级
a) 制度流程：组织仅根据特定需求对部分核心业务或关键目标开展风险评估、安全策略和技术控制工作。
b) 岗位职责：组织更多依赖临时/兼职人员负责开展风险评估、安全策略和技术控制。
c) 技术工具：组织已实施基本安全设备或安全服务，如防火墙、入侵检测、防病毒、日志审计等。
7.2.1.2.3 等级 3：规范定义级
a) 制度流程：组织应建立风险管理标准规范，明确风险识别流程与评估方法，并基于评估结果制定覆盖终端、服务器、应用、数据库、中间件等的安全策略与实施计划，同时开展测试验证确保安全控制策略有效落地。
b) 岗位职责：组织应任命并授权安全管控团队，定期开展风险识别及评估工作，负责安全策略和计划的制定与审核，明确整体安全控制要求并推进相关要求的落地实施。
c) 技术工具：组织应配置常规风险识别自动化工具(如资产扫描、基线扫描、漏洞扫描等)，借助工具对安全策略的下发进行统一的流程管控，设置相关的申请、审核、复核等环节，并配置常见设备(主机、数据库、应用、中间件等)的安全防护规则，加强设备账号权限、版本管理、访问控制、 日志、加密管理等方面要求。
7.2.1.2.4 等级 4：量化协同级
a) 制度流程：组织应建立可量化的风险指标，结合运行数据动态评估风险，在多级协同防护体系下制定安全策略与计划。
b) 制度流程：组织应通过审计机制定期审核和整改策略中的违规或冗余内容。
c) 技术工具：组织应借助工具实现风险全生命周期的量化管理，构建自动化修复与复核场景，建立多级协同、纵深防护的技术体系。
d) 技术工具：组织应借助工具实现安全策略与权限的统一管控，并覆盖云计算、容器等新型技术环境的安全控制需求。
11
7.2.1.2.5 等级 5：优化输出级
a) 制度流程：组织应根据业务、技术和行业发展趋势，持续优化风险识别与评估、安全策略和安全控制机制，积极沟通并总结最佳实践，推动行业标准化落地，形成标杆示范。
b) 技术工具：组织应基于历史风险数据，利于机器学习和人工智能技术构建风险预测模型实现风险预测。
7.2.2 供应链风险管控
7.2.2.1 PA 描述
供应链风险管控是组织在供应商资质、安全管理与服务交付全过程中，通过建立规范、团队与技术手段，实现对供应商风险的识别、评估、控制与持续优化，保障供应链安全合规与服务高质量交付。
7.2.2.2 等级描述
7.2.2.2.1 等级 1：初始建设级
a) 制度流程：组织仅在临时或特定需求下，基于个人经验选择和管理供应商，并以经验判断其交付完成度和质量水平，缺乏系统化的管理机制。
7.2.2.2.2 等级 2：计划跟踪级
a) 制度流程：组织应在采购前明确核心业务供应商产品或服务的安全要求并开展安全调查，对供应商人员和服务过程实施管控，并通过签订协议明确各方在服务周期内的安全义务与保密责任。
b) 技术工具：组织应对核心业务开展需求分析，建立核心业务设备或服务的基本供应商名录。
7.2.2.2.3 等级 3：规范定义级
a) 制度流程：组织应建立完善的供应商管理标准规范，明确准入流程和产品/服务交付要求，并对供应商人员和服务过程实施安全管控，涵盖如岗前培训、资格审查、最小化权限管理、敏感信息自查检查、必要的测评与源代码审计等措施，同时定期开展监督与评审。
b) 岗位职责：组织应任命并授权专门的团队或人员，负责供应商资质管理、安全管理以及产品与服务交付的全过程管控。
c) 技术工具：组织应借助工具平台对供应商资质与交付流程实施统一管控，实现流程可视、记录可溯、策略可控。
7.2.2.2.4 等级 4：量化协同级
a) 制度流程：组织应建立供应商风险评估规范与量化指标，设定风险基线并定期评估，替换不合规供应商; 同步构建安全考核与交付质量评价机制，将考核结果和交付情况纳入持续评估与合作决策。
7.2.2.2.5 等级 5：优化输出级
a) 制度流程：组织应根据业务发展需求及国内外监管动态和行业实践，持续优化供应商资质管理、安全管理和服务交付管理体系，保障供应商管理的合规性与服务质量的持续提升。
7.3 安全规范
7.3.1 PA 描述
12
安全规范是指组织为规范网络安全管理、运营、运行而制定的网络安全标准与规程, 旨在提出明确的安全要求,指导各项工作的开展,发现不符合规范情况,为网络安全建设提供基准依据。
7.3.2 等级描述
7.3.2.1 等级 1：初始建设级
a) 制度流程：组织仅根据特定需求或组织制定零散的网络安全相关要求。
7.3.2.2 等级 2：计划跟踪级
a) 制度流程：组织仅在部分核心业务明确网络安全相关防护要求。
7.3.2.3 等级 3：规范定义级
a) 制度流程：组织应结合国家、行业相关网络安全标准规范，制定并执行严于国家标准、行业标准的企业安全规范，至少包含：定义系统分类分级标准、风险分类分级标准、安全事件分类分级标准等，并明确相关标准修订、审核、发布等流程。
b) 岗位职责：组织应授权专门团队或人员对安全规范进行统一的管理，定期岗位职责开展修订更新。
c) 技术工具：组织应借助工具对安全标准规范进行统一的管理。
7.3.2.4 等级 4：量化协同级
a) 制度流程：组织应建立完善的数据安全、个人信息保护的标准规范，如：数据全生命周期管理制度、数据的分类分级标准、数据安全事件的分类分级标准及处置流程、个人信息保护标准。
b) 制度流程：组织应基于网络安全、数据安全标准规范要求，建立可量化的安全指标体系，并纳入的日常安全运营工作。
7.3.2.5 等级 5：优化输出级
a) 制度流程：组织应结合业务发展需求和技术发展持续，持续优化网络安全规范，积极参与国家、行业安全相关标准规范制定。
7.4 安全团队
7.4.1 人员任命
7.4.1.1 PA 描述
人员任命是指明确网络安全管理的组织结构设置和关键角色的任命，制定各岗位的工作职责和要求,建立权责清晰的组织结构。
7.4.1.2 等级描述
7.4.1.2.1 等级 1：初始建设级
a) 制度流程：仅根据特定需求基于组织经验选定相关人员临时负责网络安全相关工作。
7.4.1.2.2 等级 2：计划跟踪级
a) 制度流程：组织应建立基本的人员任命流程，如：背景审查、安全责任协议、保密协议等，明确相关岗位职责。
b) 岗位职责： 由关键业务方任命运维人员组建形成网络安全团队或小组，负责核心业务的网络安全管理工作。
7.4.1.2.3 等级 3：规范定义级
13
a) 制度流程：组织应建立规范的安全人员任命流程，明确招聘、录用、上岗、调岗、离岗、考核、选拔等环节安全要求，如：背景审查、安全责任协议、保密协议、权限审核、权限回收等;
b) 岗位职责：组织应基于业务需求任命专门的网络安全团队或人员负责网络安全管理与实施工作，重要岗位应设置兼职和轮岗，确保满足权限分离、多人共管等要求;
c) 技术工具：组织应将网络安全相关的要求固化到人力资源管理流程中，借助工具实现背景审查、安全责任协议、保密协议等统一管理。
7.4.1.2.4 等级 4：量化协同级
a) 制度流程：组织应定期开展安全团队岗位结构分析，基于需求建立更精细的团队，如：网络安全组、数据安全组、安全运营组等，并制定团队或人员的网络安全绩效目标;
b) 制度流程：组织应基于安全业务发展趋势，对安全管理关键岗位的需求评估，制定人员储备计划。
7.4.1.2.5 等级 5：优化输出级
a) 制度流程：组织应根据安全业务发展趋势，持续优化安全团队结构与任命流程的安全控制，组织部分人员进入国家或行业网络安全高端人才库。
b) 岗位职责：组织应建立网络安全人才库，对储备人才信息进行持续维护和更新。
7.4.2 能力培训
7.4.2.1 PA 描述
能力培训指的是通过教育和培训手段,增强组织员工的网络安全意识和技能。
7.4.2.2 等级描述
7.4.2.2.1 等级 1：初始建设级
a) 制度流程：组织仅根据特定需求或基于组织经验开展网络安全相关教育培训。
7.4.2.2.2 等级 2：计划跟踪级
a) 制度流程：组织应对关键业务人员进行网络安全意识宣贯，并告知相关的安全责任和惩戒措施。
b) 制度流程：组织业务运维团队任命相关管理或运维人员兼任网络安全意识宣贯工作。
7.4.2.2.3 等级 3：规范定义级
a) 制度流程：组织应制定培训相关规章制度，明确网络安全相关培训场景要求(如：岗前安全培训、安全意识培训、专业网络安全技能培训)，并定期开展培训并保存相关记录。
b) 岗位职责：组织应任命内部安全团队或采购外部专业安全服务开展相关安全培训;
c) 制度流程：组织应针对不同岗位制定不同的培训计划，制定安全意识培训计划表，并定期组织社工场景演练。
7.4.2.2.4 等级 4：量化协同级
a) 制度流程：组织应继承企业和传播网络安全文化，积极参与国家网络安全周等相关网络安全活动;
b) 制度流程：组织应定期对所有网络安全相关岗位人员进行技术技能培训与考核;
c) 技术工具：组织应构建专门的网络安全培训平台，用于统一网络安全知识培训、实训、考核等。
14
7.4.2.2.5 等级 5：优化输出级
a) 制度流程：组织应不断改进人员培训和意识提升体系，加强行业领域内的交流，学习国内外先进思想，成为行业标杆。
7.4.3 能力评估
7.4.3.1 PA 描述
能力评估是指组织针对从事网络安全相关工作的人员, 自发开展能力水平的检查和评定的活动, 旨在全面评估人员的网络安全专业知识、技能熟练程度以及安全意识素养。
7.4.3.2 等级描述
7.4.3.2.1 等级 1：初始建设级
a) 制度流程：组织仅根据特定需求零散开展人员网络安全能力评估。
7.4.3.2.2 等级 2：计划跟踪级
a) 制度流程：组织只针对核心业务安全岗位明确安全能力需求，并定期开展人员能力评估。
评论