数安政策｜十五五信息化规划锚定密码防护新方向：筑牢AI与重点行业数据安全防线

近日，中央网络安全和信息化委员会印发《国家信息化“十五五”规划》（以下简称《规划》）。在 “夯实安全保障支撑” 章节明确提出多项关键部署：加强重点行业数据分类分级管理，强化数据安全密码保护，强化人工智能等新技术新应用安全保障，为未来五年我国数据安全、商用密码、AI 安全治理划定清晰建设路线。

在大模型深度融入研发、设计、生产、办公全流程的当下，数据泄露风险从传统文档外发，延伸至数据投喂大模型、AI 输出扩散等全新场景。规划释放明确导向：单纯的边界防护已不足以应对数智化风险，需要把分类分级作为基础底座、商用密码作为核心防护手段、AI 全链路安全作为新增重点三位一体统筹建设。

《规划》要点解读，指明安全保障新路径

规划明确提出，加强重点行业数据分类分级管理，强化数据安全密码保护，布局人工智能密码防护体系建设。这几项要求并列出台，标志着数据安全、商用密码、人工智能安全的建设逻辑迎来系统性升级：

分类分级成为前置底座

只有先厘清数据权属、敏感等级、使用范围，才能精准匹配密码防护策略，避免 “高价值数据防护不足、普通数据过度加密拖累业务效率” 的一刀切困境，让密码防护从粗放式防护转向精细化、差异化防护。

AI安全场景逐步延伸

随着大模型在工业、设计、能源、轨道交通等行业深度落地，数据风险沿着提示词输入、模型微调训练、向量库存储、会话交互、AI 内容生成与导出等全新链路扩散，这就要求密码能力主动向前延伸，贯穿 AI 全业务链路，对 AI 场景下流动、生成的敏感数据同样实现密码管控。

安全建设要同步落地

依托统一的密码安全底座，承接不同密级、不同类型的数据资产，同时覆盖传统办公、研发协同以及私有化大模型调用等多元业务场景，按照数据密级匹配对应强度的密码防护手段。最终推动商用密码技术深度嵌入数字化、智能化业务流程，做到安全建设和信息化建设同步规划、同步落地，而不是后期叠加的附加管控。

“数据安全密码保护”，落到企业日常是什么

规划中还特别强调”加强重点行业数据分类分级管理”，对于相关行业企业完善安全保障统筹体系建设，接下来要过三关：

第一关：分类分级之后，数据有没有”上锁”。

很多企业做完了分类分级清单，但核心数据存放在哪里、用什么加密、谁持有密钥，仍是一笔糊涂账。规划要求的不是”分完类”，而是分级之后的密码防护策略要跟上。

第二关：数据流通共享时，密码怎么兜底。

规划提到”深化区块链、隐私保护计算等技术在数据流通交易中的应用”。数据要素要流动，但流动不等于裸奔。企业在跨部门、跨企业共享数据时，密码学要保证”数据可用不可见、用途可控可追溯”。

第三关：数据出域，有没有溯源能力。

无论是设计院的图纸、央企的项目资料，还是医院的病历数据，一旦外发就存在泄露风险。这时候光靠权限控制不够，还需要知道谁发的、发给谁、什么时候发的，出了问题能定位到人。

政策已明，企业接下来可以怎么布局

政策信号已经明确，但具体动作不能等。结合重点行业的实际情况，有三个方向值得现在就开始评估：

先做一次”密码资产盘点”

核心数据现在用了什么算法？密钥谁管？是国密还是国际算法？AI系统接入了哪些数据通道？这张图画出来，才知道缺口在哪。

AI系统上线前，先过”密码安全评估”

大模型一体机、智能辅助审批、AI客服这些应用，在投入核心业务之前，要把数据输入输出的加密策略、模型调用的身份认证、输出内容的水印溯源一起设计进去，而不是上线后再补。

外发数据要从”管权限”升级到”管内容”

文档外发、图纸外传、邮件附件，不能只靠”能不能发”，还要做到”发出去之后能追踪、能加密、能远程回收”。

“十五五”规划把密码写进AI治理和数据安全的核心位置，本质上是在说一件事：数字化越往前走，信任越要靠密码来兜底。对企业而言，这不是一道”选答题”，而是一道”必答题”。

尤其在设计院、电力、轨交、大型制造这些数据密集型的重要行业，分类分级是基础，密码防护是底座，AI安全是新变量。三者叠加，才是接下来五年数据安全建设的完整图景。