《信息安全技术即时通信服务数据安全指南》标准化发展研究报告

EnglishTitle:ResearchReportontheStandardizationDevelopmentof*InformationSecurityTechnology—DataSecurityGuidelinesforInstantMessagingServices*

摘要

随着数字经济的深入发展，即时通信服务已成为社会运行和公众沟通的核心基础设施，其承载的海量用户数据（包括个人信息、通信内容、社交关系等）的安全保护问题日益凸显。为贯彻落实《网络安全法》、《数据安全法》、《个人信息保护法》等国家法律法规，构建系统化、场景化的数据安全标准体系，全国信息安全标准化技术委员会（SAC/TC260）启动了《信息安全技术即时通信服务数据安全指南》（以下简称“《指南》”）的制定工作。本报告旨在系统阐述该标准立项的背景、目的、意义、范围及主要技术内容。报告指出，《指南》的制定旨在填补即时通信服务领域数据安全专项标准的空白，为海量数据安全国家标准的落地实施提供关键的场景化配套，并引领国际相关标准实践。其核心内容聚焦于界定即时通信服务的数据范围、衔接通用数据安全要求、并提供可操作的安全实践指南。该标准的出台，预期将为即时通信服务提供者建立完善的数据安全管理体系提供明确指引，为监管部门的监督执法提供技术依据，最终有力保障广大用户的合法权益，促进即时通信行业健康、有序、安全发展。

关键词：信息安全；即时通信；数据安全；标准化；个人信息保护；指南；TC260

Keywords:InformationSecurity;InstantMessaging;DataSecurity;Standardization;PersonalInformationProtection;Guidelines;TC260

正文

一、立项背景与目的意义

在数字化浪潮下，数据已成为关键生产要素和基础战略资源。即时通信服务作为用户规模最大、使用频率最高、数据形态最丰富的互联网应用之一，其数据安全风险具有影响范围广、潜在危害大、治理复杂度高的特点。用户账号、聊天记录、位置信息、文件传输、社交图谱等数据在收集、存储、使用、共享、出境等全生命周期环节均面临泄露、滥用、篡改等安全威胁。

为系统性应对数据安全挑战，我国已构建了以“三法”（《网络安全法》、《数据安全法》、《个人信息保护法》）为核心的法律框架。在此框架下，全国信息安全标准化技术委员会（SAC/TC260）作为我国信息安全标准化的权威技术组织，已牵头制定并发布了一系列基础性、通用性的数据安全国家标准，例如：

*GB/T35273—2020《信息安全技术个人信息安全规范》：确立了个人信息处理活动的基本原则和安全要求。

*GB/T37988—2019《信息安全技术数据安全能力成熟度模型》：为组织评估和提升自身数据安全能力提供了分级框架。

*GB/T37973-2019《信息安全技术大数据安全管理指南》：针对大数据环境下的安全管理提出了指导。

然而，通用标准在具体行业场景落地时，常面临要求不够细化、操作性不强的问题。为此，信安标委（TC260）遵循“急用先行、重点突破”的原则，已在健康医疗、电信、网约车等重点领域推动了场景化数据安全标准的制定，取得了良好成效。相比之下，即时通信服务领域尚缺乏专门的数据安全标准，成为标准体系中的一块关键拼图。

因此，《信息安全技术即时通信服务数据安全指南》的立项具有紧迫而深远的战略意义：

1.填补标准空白，实现精准治理：项目旨在制定全球首个针对即时通信服务的专项数据安全指南，填补该领域国际国内标准空白，将法律法规和通用标准的原则性要求，转化为贴合即时通信业务特点的具体、可执行的安全措施。

2.配套国家标准，推动落地实施：该标准作为对GB/T35273、GB/T37988等基础标准的重要补充和细化，旨在解决其在即时通信场景中“最后一公里”的落地问题，为服务提供者将数据安全国家标准融入产品设计、研发和运营全过程提供直接指导。

3.回应监管与产业双重需求：一方面，为网信、工信等政府主管部门开展数据安全监督检查、安全评估、出境评估等工作提供统一、权威的技术依据；另一方面，为即时通信服务企业（特别是中小企业）建立合规、有效的数据安全防护体系提供最佳实践参考，降低合规成本，提升安全水位。

4.保障用户权益，促进行业发展：通过规范数据全生命周期处理活动，从根本上遏制数据滥用和泄露风险，增强用户信任，为即时通信服务向金融、政务、医疗等更广阔领域深化应用筑牢安全基石，推动行业可持续发展。

二、范围与主要技术内