login
AI公司三年信息安全建设规划
2025/09/15·StepFun can make mistakes, check important info.
你是一家成立两年的AI创业公司的CISO，在向CEO汇报未来三年内的IT和信息安全建设规划，基于ISO 27001/27701、等保、网信办和证监会审查等依据，写一篇汇报报告，在7-8个板块内的若干管理项提及短中长期的具体动作。

Requirement clarification

我需要为AI创业公司制定一份信息安全建设规划报告。作为CISO，我需要考虑多方面的合规要求和公司发展阶段。

基于您的需求，我理解核心是制定一份符合ISO 27001/27701、等保、网信办和证监会要求的信息安全规划，并按短中长期划分具体动作。我需要确定报告的关键板块和管理项，确保全面覆盖信息安全治理各方面。

在分析您的需求时，我注意到需要明确几个关键点以便提供更精准的规划:

  1. 贵公司的业务性质是什么？(例如：是做AI基础设施、AI应用开发、AI咨询服务等)
  2. 公司目前的规模大约是多少人？预计三年内的增长趋势如何？
  3. 公司是否已获得或计划获得融资？是否有上市计划？
  1. 贵公司主要从事什么类型的AI业务？(如AI模型开发、应用服务等)
  2. 公司目前的规模(人数)及三年内预计增长情况？
  3. 公司是否有融资或上市计划？
1. AGI业务，面向智能终端等很多场景提供AGI服务；2. 当前500人，预计增长到800人；3. 在融资，有上市计划；

好的，这是为您制定的IT与信息安全建设规划报告撰写计划。

Research plan
  1. 在国际标准化组织(ISO)官网、国家信息安全标准化技术委员会(TC260)官网和网信办官网，研究并提炼ISO 27001/27701、网络安全等级保护2.0、以及《生成式人工智能服务管理暂行办法》等法规的核心要求。
  2. 在中国证监会(CSRC)官网及上海、深圳证券交易所网站，检索关于拟上市企业在信息技术内控、网络安全和数据合规方面的信息披露及审查要求。
  3. 结合公司AGI业务特性，在OWASP、NIST等安全社区和标准组织网站，研究AI模型安全、数据训练安全、供应链安全等领域的行业最佳实践和潜在风险。
  4. 综合分析上述合规要求与行业实践，识别其中的共性与差异，并结合公司融资上市的业务目标，确定安全建设的优先事项。
  5. 设计一份包含7-8个核心板块的汇报报告框架，确保覆盖治理、风险与合规(GRC)、数据安全与隐私保护、基础设施安全、应用与AI模型安全、安全运营等关键领域。
  6. 针对报告的每个板块，规划未来三年（短期、中期、长期）的具体、可执行的管理和技术动作，并与相应的合规条款或业务需求进行关联。
  7. 撰写报告初稿，将规划好的各阶段动作清晰地填充至报告框架中，确保内容具有商业和战略视角，而不仅仅是技术清单。
  8. 审阅并优化整个报告，确保逻辑清晰、目标明确，能够向CEO清晰传达未来三年IT与信息安全建设的价值、路线图和资源需求。
开始研究

Deep Research

让我首先搜索ISO 27001/27701的相关信息。

搜索

Search

ISO 27001 27701 标准要求 信息安全管理体系 核心内容
文件
文件
[PDF] 基于ISO27001的企业信息安全保障体系的构建设想
文件
文件
[PDF] 打造信息管理安全屏障破解计算机网络安全魔咒
搜狐网
搜狐网
ISO27001 是由国际标准化组织（ISO）制定的信息安全管理体系（ISMS）国际标准，旨在帮助组织建立、实施、维护和持续改进信息安全管理框架。该标准于 2022 年发布最新版本（ISO/IEC 27001:2022），咨询199-0343-9240通过系统化的方法管理敏感信息，确保数据的机密性、完整性和可用性...
搜狐网
搜狐网
ISO27001信息安全管理体系（ISMS）认证对于希望提升信息安全管理水平的企业至关重要。企业在申请ISO27001认证时，需要满足一系列关键条件以及理解标准核心内容。首先，企业必须是合法注册的法人实体，具备有效营业执照，且在过去一年内无重大信息安全违规记录。此外，企业需要拥有固定的办公场所，能够接受认证机构的现场审核。这些要求确保了企业在合法合规的框架内开展信息安全管理工作。其次...
搜狐网
搜狐网
ISO27001第二阶段审核内容 （1）与信息安全管理体系标准或其他规范性文件的所有要求的符合情况及证据；（2）依据信息安全管理体系关键绩效目标和指标，对绩效进行的监视、测量、报告和评审；（3）信息安全管理体系的能力以及在符合适用法律法规要求和合同要求方面的绩效；（4）受审核方过程的运作控制；（5）内部审核和管理评审；（6）证实管理
dnv.com
该标准使组织能够有效管理并定期核查合规状态，通过持续改进机制确保保密性防护，及时应对潜在脆弱性。 ISO 27701 设计为ISO 27001 的扩展标准，可与ISO 27001 同步实施，也可 ...
sgsgroup.com.cn
ISO/IEC 27701作为一个独立的标准，可以独立认证，不再需要以ISO/IEC 27001认证为基础，因此，在认证时相比较于现有的2019版标准而言，相对没有那么复杂。 未 ...
bsigroup.com
bsigroup.com
按照全球首套国际隐私信息管理体系标准来妥善管理个人信息，并证明您遵守隐私法规。 ISO/IEC 27701为负责处理PII的各个组织提供指南，并就建立、实施和维护隐私信息管理 ...
https://static-favicon.basemind.com/01JV1M65Z33WWVD7KW7VEWM794
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9ndy5hbGljZG4uY29tL0wxLzcyMy8xNTg0MzI5MTIyL2ZhLzdiL2QwL2ZhN2JkMGM2MTlhODM2NmIwNzNkNWM3ZWQ0ZWFhNWUwLmljbw==&sign=yx:C1HunXUgWw_Hnydsxo7hNSZ08AU=&tv=400_400
https://static-favicon.basemind.com/01JV1MWN3BH7HXN1293S4EW92Y
View all 16 sources

我将根据搜索结果，为您制定一份全面的IT和信息安全建设规划报告。首先，让我搜索更多关于等级保护、网信办和证监会相关要求的信息。

搜索

Search

网络安全等级保护2.0 要求 网信办 生成式人工智能服务管理暂行办法
文件
文件
[PDF] 网信办等七部门发布《生成式人工智能服务管理暂行办法》8 月 15 日起实施
文件
文件
[PDF] 生成式人工智能进入合规发展阶段
cac.gov.cn
cac.gov.cn
第一条为了促进生成式人工智能健康发展和规范应用，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，根据《中华人民共和国网络安全法》、 ...
mps.gov.cn
关键信息基础设施在网络安全等级保护制度的基础上，实行重点保护，基于等级保护提出的分等级的防护机制和管理手段提出关键信息基础设施的加强保护措施，确保等级保护标准和 ...
gov.cn
答：《办法》明确生成式人工智能服务提供者应当依法开展预训练、优化训练等训练数据处理活动，使用具有合法来源的数据和基础模型；涉及知识产权的，不得侵害 ...
澎湃新闻
澎湃新闻
近日，国家网信办联合国家发展改革委、教育部、科技部、工业和信息化部、公安部、广电总局公布《生成式人工智能服务管理暂行办法》（以下称《办法》），自2023年8月15日起施行。国家互联网信息办公室有关负责
科技频道·央广网
科技频道·央广网
央广网北京7月13日消息 近日，国家网信办联合国家发展改革委、教育部、科技部、工业和信息化部、公安部、广电总局公布了《生成式人工智能服务管理暂行办法》。该文件全文如下： 生成式人工智能服务管理暂行办法 第一章 总则 第一条 为了促进生成式人工智能健康发展和规范应用，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息
百度百科
百度百科
《生成式人工智能服务管理暂行办法》（以下称《办法》），是国家网信办联合国家发展改革委、教育部、科技部、工业和信息化部、公安部、广电总局七部门于2023年7月10日联合公布，自2023年8月15日起施行的办法。《办法》旨在促进生成式人工智能健康发展和规范应用，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益。《...
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cDovL3d3dy5jYWMuZ292LmNuL2Zhdmljb24uaWNv&sign=yx:NXPxZxzl5AyyBn5hypuU9NE49dM=&tv=400_400
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9ndy5hbGljZG4uY29tL0wxLzcyMy8xNTg0NDM0MjA4Lzg4LzJkLzIyLzg4MmQyMjNjZDQwYTU0NTUzYWFhOWQ2MTk0MjkzYTkyLmljbw==&sign=yx:3DqV4OhRbkLh-tyg8wPgSAAnD-0=&tv=400_400
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9ndy5hbGljZG4uY29tL0wxLzcyMy8xNTg0NDI0ODE3L2IxL2ZkLzVjL2IxZmQ1YzY2ODRkYmIxODZlOGJiNWI4NGQ4ZWE4NmM0Lmljbw==&sign=yx:nM8BOiiu3OFC7iJTSk1iMkgdlPU=&tv=400_400
View all 18 sources

现在我需要搜索关于证监会对上市企业信息安全管理的要求，以完善我的报告内容。

搜索

Search

证监会 上市公司 信息安全 网络安全 合规要求
文件
文件
[PDF] 证券期货业网络和信息安全管理办法
文件
文件
[PDF] 证券期货业网络和信息安全管理办法
东方财富网
东方财富网
证监会3月3日宣布，为有效落实《网络安全 法》《数据安全 法》《个人信息保护法》《关键信息基础设施安全保护条例》相关要求，规范 证券 期货业网络和信息安全管理，防范化解行业网络和信息安全风险，维护资本市场安全平稳高效运行，证监会制定并发布了《证券 期货业网络和...
csrc.gov.cn
csrc.gov.cn
为有效落实《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》相关要求，规范证券期货业网络和信息安全管理，防范化解 ...
glo.com.cn
《管理试行办法》第十六条规定，发行人应当在境外提交首次公开发行上市申请文件后3个工作日内，向中国证监会提交备案材料，包括国务院有关主管部门出具的安全 ...
zhonglun.com
zhonglun.com
2021年12月28日，修订后的《网络安全审查办法》（“《网安办法》"）正式发布并于2022年2月15日起施行，其要求掌握超过100万用户个人信息的网络平台运营者赴国外 ...
东方律师网
东方律师网
为实现与《网络安全法》以及《关键信息基础设施安全保护条例》等上位法的有效衔接，新管理办法 新增了“关键信息基础设施安全保护”章节，对于构成证券期货业关键信息基础设施运营者的相关机构，规定了更为严格的合规要求，具体表现在以下方面： l 将关键信息基础设施安全保护情况纳入 负责人 网络和信息安全工作 的考核内容 l 为每个关键信息基础设施指定网络和信息安全管理责任人，并对专门安全管理机构负责人和关键岗位人...
中国上市公司协会
为有效落实《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》相关要求，规范证券期货业网络和信息安全管理，防范化解行业网络和信息安全风险，维护资本市场安全平稳高效运行，证监会制定并发布了《证券期货业网络和信息安全管理办法》（以下简称《...
https://static-favicon.basemind.com/01JV1M65Z33WWVD7KW7VEWM794
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9ndy5hbGljZG4uY29tL0wxLzcyMy8xNTYyODEzMjI0L2I0LzExL2Y3L2I0MTFmN2ExMGZlNzgxYzNhNjMwYzYxYWU2NmE0ODY2LnBuZw==&sign=yx:VnmFtuBPyzBrSG70neamT35QLU4=&tv=400_400
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9jZG4uc20uY24vdGVtcC8yMDIxMTExODEwMTEzOS0wNDZjbjNvbWI3czd5dTcyNDJkdnM0dTkwdTU2OGgxYS5wbmc=&sign=yx:vwfYxilfk-1jrtYWPjgmjicOSsU=&tv=400_400
View all 18 sources

现在我需要了解等级保护2.0的具体要求，以便在报告中提供更详细的合规建议。

搜索

Search

网络安全等级保护2.0 标准要求 具体内容
文件
文件
[PDF] 新形势下地方院校网络安全管理探讨
文件
文件
[PDF] 关于等保 2.0 在政务部门实践的有关思考
CSDN技术社区
CSDN技术社区
网络安全等级保护2.0的核心是将安全保护等级划分为四个级别：第一级、第二级、第三级和第四级，每个级别对应不同级别的安全要求。以下是对这些要求的详细解释：一、技术要求：1.物理和环境安全：-基本要求包括选择合适的机房场地，确保防灾能力。第一级主要关注物理位置的选择。第二级增加了电子门禁系统，用于控制和记录人员进出。...
博客园
博客园
Refer:https://zhuanlan.zhihu.com/p/159164906 一、等保服务类型 等保测评服务 等保整改咨询 等保安全产品 二、等级保护分级 在网络安全等级保护2.0国家标准（等保2.0）中，信息安全等级保护分为五级，分别是第一级（自主保护级）、第二级（指导保护级）、第三级
CSDN技术社区
CSDN技术社区
在这些文件中，我们可以深入了解到等保2.0的具体内容和要求，以及在实施过程中如何测评、设计和测试评估。首先，等保2.0是对之前等级保护标准的升级，它全称为《信息安全技术 网络安全等级保护基本要求》。这项标准明确了网络环境下的安全等级保护制度，将信息系统的安全保护等级
每日经济新闻
每日经济新闻
5月13日，网络安全等级保护2.0（简称等保2.0）核心标准（《信息安全技术? 网络安全等级保护基本要求》、《信息安全技术 网络安全等级保护测评要求》、《信息安全技术 网络安全等级保护安全设计技术要求
中华人民共和国公安部
中华人民共和国公安部
针对网络边界提出的安全控制要求。主要对象为系统边界和区域边界等；涉及的安全控制点包括边界防护、访问控制、入侵防范、恶意代码防范、安全 ...
昆明理工大学
主要增加的内容包括“室外控制设备防护”、. “工业控制系统网络架构安全”、“拨号使用控. 制”、“无线使用控制” 和“控制设备安全”. 等方面，针对工业控制系统实时性要求高的特点.
https://static-favicon.basemind.com/01JV1VRKF90VSCPGXBHP9C3JCG
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9ndy5hbGljZG4uY29tL0wxLzcyMy8xNTg0MzI5MTIyL2ZhLzdiL2QwL2ZhN2JkMGM2MTlhODM2NmIwNzNkNWM3ZWQ0ZWFhNWUwLmljbw==&sign=yx:C1HunXUgWw_Hnydsxo7hNSZ08AU=&tv=400_400
https://static-favicon.basemind.com/01JV2VAAV473Z6BX4PH9BWZDKS
View all 18 sources

已掌握的信息

  1. 核心合规框架要求：已初步掌握ISO 27001/27701信息安全与隐私保护管理体系的核心思想（基于PDCA模型和风险评估），网络安全等级保护2.0（等保2.0）对定级备案、安全建设和测评的基本要求，以及其从传统信息系统扩展到云计算、大数据等新领域的特点。
  2. AI专项监管要求：明确了国家网信办《生成式人工智能服务管理暂行办法》的核心规定，包括对训练数据来源合法性、内容安全、个人信息保护、算法备案和安全评估等方面的具体要求，这对于AI公司的业务至关重要。
  3. 资本市场监管要求：了解了证监会针对拟上市企业在网络安全、数据安全、投资者信息保护及跨境数据流动方面的监管重点。特别是《证券期货业网络和信息安全管理办法》和对掌握百万用户个人信息的运营者赴外上市需进行网络安全审查的规定，是公司未来融资上市必须满足的前置条件。

下一步行动计划

  1. 整合与映射合规要求：综合分析已收集的ISO 27001/27701、等保2.0、网信办及证监会四方面的要求，识别其中的共性与差异点，并绘制成一张综合性的合规要求矩阵图。此举旨在提炼出适用于本公司的统一安全控制基线，避免重复建设，明确各阶段的建设重点。
  2. 研究AI安全行业最佳实践：深入研究AI领域的特定安全风险和行业领先的防护实践。重点关注OWASP发布的针对大型语言模型（LLM）的十大安全风险、NIST AI风险管理框架等，将这些实践融入到规划中，确保安全建设不仅满足合规底线，更能应对AI业务的独特挑战。相关信息可在OWASP和NIST的官方网站获取。
  3. 构建汇报报告框架并填充内容：设计一份包含“战略愿景与目标”、“治理、风险与合规(GRC)”、“数据安全与隐私保护”、“AI模型与应用安全”、“基础设施安全”、“安全运营与应急响应”、“三年路线图与资源预算”等7-8个核心板块的报告框架。随后，将整合后的合规要求与AI安全实践，转化为未来三年（短期、中期、长期）的具体、可执行的行动项，填充到各个板块中。
  4. 撰写与可视化呈现：起草完整的汇报报告，确保语言精炼、视角商业化，重点突出信息安全建设如何支撑业务发展、保障公司顺利融资上市。同时，设计关键图表，如“安全成熟度模型现状与目标图”、“三年安全建设计划甘特图”和“预算投入分解饼图”，使汇报内容更直观、更具说服力。
搜索

Search

OWASP LLM 大型语言模型 十大安全风险 AI安全最佳实践
文件
文件
[PDF] UNDERSTANDING AND MITIGATING RISKS OF GENERATIVE AI IN FINANCIAL SERVICES
文件
文件
[PDF] Security Steerability is All You Need
极牛网
据预测，到2025年，全球77%的企业将部署生成式AI以提升生产力。然而，这一技术的广泛应用也带来了前所未有的安全风险。OWASP作为全球权威的安全组织，针对大模型发布了《2025年十大安全漏洞》报告，系统梳理了LLM领域的关键威胁。本文将深入解析这些漏洞的原理、影响及防护策略，为开发者和企业提供全面指导。一、OWASP LLM十大安全漏洞概览 OWASP<...
FreeBuf
FreeBuf
《OWASP大语言模型应用程序十大风险》报告，对大语言模型安全给出了详细指南，让我们逐条解读： 1、提示词注入 攻击者采用绕过 过滤器或构造提示词的方法，操控大语言模型（LLM），使其执行“注入”操作，进而导致数据泄漏或其他安全漏洞。防范措施 1）实施严格的输入验证，拒绝或净化恶意输入。2）使用上下文感知的过滤器，检测并阻止可疑提示词。3）定期更新LLM，增强其对恶意输入的识别能力。...
搜狐网
搜狐网
2025年度，开放式Web应用安全项目（OWASP）发布了大语言模型应用程序的十大风险报告，为开发者和企业提供了重要的安全参考，帮助用户了解在为其产品引入这些先进技术时可能面临的风险。大语言模型运用机器学习…
飞书
飞书
它是一份针对语言学习模型安全风险的清单，涵盖了从数据隐私泄露到模型被恶意利用等多个方面。这对于从事AI开发和应用的人员来说，是一份非常重要的指南。在数据隐私方面，LLM往往需要大量的数据进行训练。这些数据可能包含个人敏感信息，如果处理不当，就会导致隐私泄露。例如，在医疗领域使用LLM时，如果患者的病历数据被泄露，将会对患者造成极大的伤害。因此，开发人员需要采取严格的数据保护措施，确保数据在收集、存储和...
东方财富网
东方财富网
撰文：李信马 最近，DeepSeek火了，也带动大模型迎来了又一轮的热潮。但与此同时，随着大模型的应用日益广泛，其中蕴含的风险也引人担忧。 不久前，F5公司在北京举办了新春媒体见面会。会上，F5
genai.owasp.org
genai.owasp.org
该小组的目标包括探索传统漏洞如何在LLM内造成不同的风险或以新颖的方式被利用，以及开发人员. 如何必须针对利用LLM的应用程序调整传统的修复策略。 未来 ...
https://static-favicon.basemind.com/01JVCF76VF174VR81Q3RJ8STMF
https://static-favicon.basemind.com/01JV4DF6K1B6RXDG9D5BYNMBXM
https://static-favicon.basemind.com/01JVCF6G7K4ZM1MD0GEP2MCVW7
View all 14 sources

现在我需要搜索关于NIST AI风险管理框架的信息，以便将其纳入我的报告中。

搜索

Search

NIST AI风险管理框架 AI RMF 人工智能安全治理
文件
文件
[PDF] 挑战与应对：大型语言模型（ChatGPT）的多样态安全风险归因及协同治理研究
文件
文件
[PDF] Governing Ethical Gaps in Distributed AI Development
secrss.com
secrss.com
AI RMF 1.0框架包括六个章节和四篇附录，其中正文分为两个主要部分组成，第一部分——讨论组织如何构建与AI相关的风险框架（第一章）并描述了该框架的目标受众（ ...
中国科学院
中国科学院
该框架主要内容分为两部分，第一部分探讨人工智能相关风险的梳理建构方法，并概述可信赖人工智能系统的特征。 · 第二部分介绍了AI RMF核心的四大功能，即治理（ ...
数世咨询
美国国家标准与技术研究所(NIST)正在开发一个志愿性质的框架，以更好地管理人工智能相关的风险，称为人工智能风险管理框架(AI RMF)。该框架的目标是提高将可信度纳入AI的能力，包括AI的产品、服务、系统的设计、开发、使用和评估。该框架的初稿建立在2021年12月NIST发布的一份概念性文件上。NIST...
360doc个人图书馆
360doc个人图书馆
本概念文件描述了美国国家标准与技术研究院（NIST）人工智能风险管理框架（AI RMF或框架）提出的基本方法。AI RMF旨在供自愿使用，并解决AI产品，服务和系统的设计，开发，使用和评估中的风险。人工智能技术将算法方法和自动化扩展到新领域、新角色，包括为人们提供建议并在高风险决策中行动。将人工智能技术运用于推荐、判断、模式识别以...
Microsoft Learn
Microsoft Learn
它遵循 NIST 人工智能风险管理框架(AI RMF)和 NIST AI RMF Playbook。它还与 CAF 治理 中的框架相一致。本指南旨在帮助你将 AI 风险管理纳入更为广泛的风险管理策略之中。这种集成为统一的治理方法提供了对 AI、网络安全和隐私风险的更协调的处理。评估 AI 组织<...
tuvsud.cn
增强AI的可信度可以在一定程度上降低AI的负面风险，AI RMF提出了7个可信赖AI的特征，分别是：有效&可靠，安全，弹性，可解释，隐私保护，公平，可问责&透明。NIST希望可以通过AI RMF ...
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9ndy5hbGljZG4uY29tL0wxLzcyMy8xNTYyODEzMjI0L2I0LzExL2Y3L2I0MTFmN2ExMGZlNzgxYzNhNjMwYzYxYWU2NmE0ODY2LnBuZw==&sign=yx:VnmFtuBPyzBrSG70neamT35QLU4=&tv=400_400
https://static-favicon.basemind.com/01JV1M65Z33WWVD7KW7VEWM794
https://static-favicon.basemind.com/01JV1M65Z33WWVD7KW7VEWM794
View all 18 sources

现在我需要搜索关于ISO 27001/27701的具体要求，以便在报告中提供更详细的合规建议。

搜索

Search

ISO 27001 27701 信息安全管理体系 隐私信息管理体系 核心要求
文件
文件
[PDF] 隐私信息管理体系认证浅析
钛和集团
获得ISO 27701隐私信息管理体系认证有利于： 1、提高竞争优势：通过最高级别信息保护，彰显企业实力，超越竞争对手。2、提升数据安全：全面分析流程，降低隐私泄露风险，提升风险管理能力。3、降低风险：确保风险识别与控制，有效管理或降低潜在风险。4、增强信任：让客户和利益相关者对个人信息安全性更放心。5、利于全球发展：提供国际通用指导，助力全球业务拓展与供应商优选。6、提高信任基石：...
东方财富网
东方财富网
近期，思看科技获得方圆标志认证集团（CQM）颁发的信息安全管理体系标准ISO/IEC 27001和隐私信息管理体系标准ISO/IEC 27701双认证，此殊荣标志着思看科技在信息安全和隐私保护领域达到
dnv.com
该标准使组织能够有效管理并定期核查合规状态，通过持续改进机制确保保密性防护，及时应对潜在脆弱性。 ISO 27701 设计为ISO 27001 的扩展标准，可与ISO 27001 同步实施，也可 ...
sgsgroup.com.cn
对于计划将要获取ISO/IEC 27701隐私管理体系认证的企业而言，可以开始着手规划，例如:进行隐私管理相关的培训、梳理个人信息处理流程及相关控制措施、拟定 ...
知乎
知乎
是一项国际管理系统标准体系，为保护个人隐私提供指导，包括组织应如何管理个人信息，并协助证明遵守了世界各地的隐私法规。 如果需要办理ISO27001认证的， ...
顺企网
顺企网
ISO27701全称《安全技术—扩展ISO/IEC27001和ISO/IEC27002的隐私信息管理—要求与指南》，是对信息安全管理体系（ISMS）的隐私保护扩展。其核心要求涵盖个人信息全生命周期管理，确保组织在收集、使用、存储、传输等环节合法合规。具体认证要求如下： 1.收集...
东方财富网
东方财富网
近日，数美科技正式获得“全球首个隐私信息管理体系标准”ISO/IEC 27701：2019信息安全管理认证。该认证是对数美科技在用户信息安全和隐私信息管理及保护能力上的高度认可，表明数美科技在隐私信息
https://static-favicon.basemind.com/01JV3ZT698T3H8VNYGYWNCY0N4
https://static-favicon.basemind.com/01JVC7QCXTTN498DT3BFCWXK8V
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9ndy5hbGljZG4uY29tL0wxLzcyMy8xNTg0MzI5MTIyL2ZhLzdiL2QwL2ZhN2JkMGM2MTlhODM2NmIwNzNkNWM3ZWQ0ZWFhNWUwLmljbw==&sign=yx:C1HunXUgWw_Hnydsxo7hNSZ08AU=&tv=400_400
View all 17 sources

现在我需要搜索关于证监会对上市公司信息安全管理的具体要求，以便在报告中提供更详细的合规建议。

搜索

Search

证监会 上市公司 网络安全 信息安全 合规要求 条例
文件
文件
[PDF] 深信服：VIE架构拆除
csrc.gov.cn
csrc.gov.cn
为有效落实《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》相关要求，规范证券期货业网络和信息安全管理，防范化解 ...
gov.cn
证券期货业网络和信息安全管理办法》已经2023年1月17日中国证券监督管理委员会2023年第1次委务会议审议通过，现予公布，自2023年5月1日起施行。
glo.com.cn
而经营机构和信息技术系统服务机构违反《管理办法》的，证监会及其派出机构可以对机构采取责令改正、监管谈话、出具警示函、责令公开说明、责令定期报告、 ...
中国政府网
中国政府网
第一条 为了保障证券期货业网络和信息安全，保护投资者合法权益，促进证券期货业稳定健康发展，根据《中华人民共和国证券法》（以下简称《证券法》）、《中华人民共和国期货和衍生品法》（以下简称《期货和衍生品法》）、《中华人民共和国证券投资基金法》（以下简称《证券投资基金法》）、《中华人民共和国网络安全法》（以下简称《网络安全法》）、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》（以下简称《个人...
安全内参
安全内参
为有效落实《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》相关要求，规范证券期货业网络和信息安全管理，防范化解行业网络和信息安全风险，维护资本市场安全平稳高效运行，证监会于2023年2月27日发布了《证券期货业网络和信息安...
中国上市公司协会
为有效落实《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》相关要求，规范证券期货业网络和信息安全管理，防范化解行业网络和信息安全风险，维护资本市场安全平稳高效运行，证监会制定并发布了《证券期货业网络和信息安全管理...
财联社
财联社
一是鼓励相关机构在依法合规的前提下，开展行业网络和信息安全技术应用，提升保障水平；二是核心机构、经营机构应在保障自身网络和信息系统安全的前提下，为行业统筹提供服务；三是建立金融科技创新机制，持续优化并增强网络安全监管专业支撑，核心机构可以申请开展行业网络和信息安全认证、检测、测试和风险评估等监管支持工作；四是加强行业网络和...
https://static-favicon.basemind.com/01JV1M65XV42H49ERQMK6MJQSE
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9jZG4uc20uY24vdGVtcC8yMDIzMTEwODE1MzU0Ny0wNXNxY2Q5OGowOTE0aW1oM3JjeGhzeTVveTk4aGZoci5qcGc=&sign=yx:cq4vpFN5FA3P9VM_m1Jqq7l5OTg=&tv=400_400
https://s2.zimgs.cn/ims?kt=url&at=smstruct&key=aHR0cHM6Ly9ndy5hbGljZG4uY29tL0wxLzcyMy8xNTg0NDM0MjA4Lzg4LzJkLzIyLzg4MmQyMjNjZDQwYTU0NTUzYWFhOWQ2MTk0MjkzYTkyLmljbw==&sign=yx:3DqV4OhRbkLh-tyg8wPgSAAnD-0=&tv=400_400
View all 17 sources

已掌握的信息

  1. 国际与国内标准框架：已掌握ISO 27001信息安全管理体系（ISMS）和ISO 27701隐私信息管理体系（PIMS）的核心要求，两者均基于风险评估和PDCA持续改进模型。同时，明确了网络安全等级保护2.0（等保2.0）“一个中心，三重防护”的架构，及其在技术和管理层面的具体要求，覆盖范围已从传统信息系统扩展至云计算、大数据等新领域。
  2. AI专项法规与风险：深入理解了国家网信办《生成式人工智能服务管理暂行办法》对训练数据、算法备案、内容安全、个人信息保护等方面的强制性规定。同时，掌握了OWASP发布的针对大型语言模型（LLM）的十大安全风险（如提示注入、数据投毒、敏感信息泄露等）和NIST AI风险管理框架（AI RMF）的四大核心职能（治理、映射、测量、管理），为构建AI原生安全体系提供了权威指引。
  3. 资本市场合规要求：明确了证监会《证券期货业网络和信息安全管理办法》对拟上市企业在网络安全、数据安全、投资者个人信息保护和应急处置方面的监管重点。特别是掌握超过100万用户个人信息的网络平台运营者赴国外上市前，必须申报网络安全审查，这是公司未来融资上市路径规划中不可忽视的关键节点。

下一步行动计划

  1. 构建整合性合规框架：综合分析ISO 27001/27701、等保2.0、网信办、证监会、OWASP及NIST的要求，识别其中的共性与差异，提炼并设计出一个统一的、适用于本公司的安全与隐私治理框架。该框架将作为报告的核心逻辑，确保所有建设活动都能映射到具体的合规条款或最佳实践，避免重复建设。
  2. 设计报告结构并填充规划：设计一份包含“战略愿景与目标”、“治理、风险与合规(GRC)”、“数据安全与隐私保护”、“AI模型与应用安全”、“基础设施与运营安全”、“安全运营与应急响应”、“三年实施路线图与资源预算”等七个核心板块的报告框架。随后，将整合后的合规要求与AI安全实践，转化为未来三年（短期：基础合规与体系建立；中期：体系认证与能力深化；长期：持续优化与支撑上市）的具体、可执行的行动项，填充到各个板块中。
  3. 撰写报告并强化商业视角：起草完整的汇报文稿，从CISO的专业视角出发，向CEO清晰阐述信息安全建设不仅是合规成本，更是保障业务连续性、建立客户信任、顺利推进融资上市进程的核心竞争力。重点突出各项投入的商业价值和风险规避作用。
  4. 创建关键可视化图表：为增强报告的可读性和说服力，计划创建一系列可视化图表，包括但不限于：
    • 合规要求映射矩阵图：直观展示公司需满足的多重合规要求与内部安全控制域的对应关系。
    • 三年安全建设路线图：以甘特图形式呈现未来三年的关键项目、里程碑和时间规划。
    • 安全成熟度模型：展示公司当前安全能力基线与未来三年的目标水平。
    • 资源投入预算分解图：以饼图或柱状图形式清晰说明在人员、技术、服务方面的预算分配。
可视化工具

可视化工具

现在我需要创建一个三年安全建设路线图，以便在报告中清晰展示未来三年的关键项目、里程碑和时间规划。

可视化工具

可视化工具

现在我需要创建一个安全成熟度模型图表，以展示公司当前安全能力基线与未来三年的目标水平。

可视化工具

可视化工具

最后，我需要创建一个资源投入预算分解图，以清晰展示三年IT与信息安全建设规划的资源分配情况。

可视化工具

可视化工具

已掌握的信息

  1. 核心合规框架要求：已全面梳理并掌握了公司作为一家AI创业公司，在未来发展特别是融资上市过程中必须满足的四大核心合规要求。这包括：国际通行的ISO 27001/27701信息安全与隐私保护管理体系框架；国内强制性的网络安全等级保护2.0制度；针对AI业务的网信办《生成式人工智能服务管理暂行办法》；以及面向资本市场的证监会关于网络安全、数据保护及投资者信息保护的审查规定。
  2. AI领域专属风险与治理：深入研究了AI技术，特别是大型语言模型（LLM）所面临的特有安全风险，并掌握了OWASP发布的LLM十大安全风险（如提示注入、模型投毒等）的原理与缓解措施。同时，也吸收了NIST AI风险管理框架（AI RMF）中关于治理、映射、测量和管理的核心理念，为构建与AI业务深度融合的安全体系提供了理论指导。
  3. 战略规划与可视化蓝图：基于上述研究，已成功将复杂的合规要求与安全建设任务，转化为一系列清晰、可执行的战略规划蓝图。具体成果包括：明确了各合规框架与公司安全控制域对应关系的合规映射矩阵；规划了未来三年具体行动项的甘特图路线图；设定了分阶段能力提升目标的安全成熟度模型；以及详细的分项与分年度预算分解图。这些成果为撰写最终汇报报告提供了坚实的数据和内容支撑。

下一步行动计划

  1. 构建并完善报告框架：基于已有的研究和可视化成果，设计一份逻辑严谨、层次分明的汇报报告框架。该框架将包含7-8个核心板块，如“执行摘要”、“战略愿景与安全目标”、“治理、风险与合规(GRC)体系”、“核心安全能力建设规划（含数据、AI模型、基础设施等）”、“三年实施路线图”、“资源投入与预算”、“预期成效与业务价值”等，确保全面覆盖CEO关心的所有方面。
  2. 撰写各章节详细内容：将已掌握的合规要点、AI安全风险分析、以及规划好的短中长期行动项，系统性地填充到报告框架的各个章节中。撰写时将采用商业化语言，重点阐述信息安全建设如何支撑业务创新、保障公司合规运营、提升市场竞争力，并最终为公司的融资和上市目标保驾护航。此过程将深度融合此前生成的可视化图表，使报告图文并茂，更具说服力。
  3. 审阅与精炼报告：完成初稿后，从CEO的视角对报告进行全面审阅。检查报告的逻辑连贯性、目标的明确性、计划的可行性以及资源需求的合理性。精炼语言，确保核心观点突出，能够清晰、有力地传达未来三年IT与信息安全建设的战略价值，最终形成一份能够直接用于高层决策的专业汇报材料。

AI创业公司三年IT与信息安全建设规划报告

一、执行摘要

尊敬的CEO：

作为公司的首席信息安全官(CISO)，我很荣幸向您提交这份未来三年(2026-2028)的IT与信息安全建设规划报告。随着我们公司在AI领域的快速发展，信息安全已成为保障业务持续性、满足合规要求、赢得客户信任的关键因素。

本规划基于ISO 27001/27701、网络安全等级保护2.0、网信办《生成式人工智能服务管理暂行办法》和证监会相关要求等多维度合规框架极牛网，结合OWASP LLM Top 10风险和NIST AI风险管理框架，提出了一套全面、系统、可落地的安全建设方案。

规划期内，我们将通过分阶段实施的方式，逐步提升公司的安全成熟度，从当前的初始级水平提升至行业领先的优化级水平。总体投资预算为3,750万元，分三年实施，预期将有效支撑公司业务创新、满足监管合规要求，并为未来的融资上市奠定坚实基础。

二、战略愿景与安全目标

2.1 战略愿景

打造与AI业务深度融合的安全能力，建立"可信、可控、可管"的安全防护体系ncpssd.cn，确保公司在快速发展的同时，始终保持高水平的安全与合规状态，为客户提供可信赖的AI服务，为公司的持续创新和资本市场布局提供坚实保障。

2.2 安全目标

  1. 短期目标(2026年)：建立基础安全框架和管理体系，完成等级保护定级备案和网信办算法备案，实现基本合规；
  2. 中期目标(2027年)：获取ISO 27001认证，建立完善的数据安全与AI模型安全防护体系，提升安全运营能力；
  3. 长期目标(2028年)：获取ISO 27701认证，建立行业领先的安全管理与技术防护体系，满足上市合规要求。

2.3 安全成熟度规划

我们规划了一条清晰的安全能力提升路径，将公司的安全成熟度从当前的初始级逐步提升至优化级。

AI创业公司信息安全成熟度模型

View the chart
View data

资料来源： secrss.com中国科学院数世咨询360doc个人图书馆Microsoft Learn极牛网FreeBuf搜狐网东方财富网飞书csrc.gov.cngov.cnglo.com.cn中国政府网钛和集团东方财富网

如图所示，我们将在安全治理与合规方面实现最大提升，从1级提升至5级；在AI模型安全、应用安全和安全运营方面也将有显著提升，从1级提升至4级，确保公司核心竞争力得到全面安全保障。

三、合规框架与风险分析

3.1 合规要求映射

作为AI创业公司，我们面临多重合规要求。我们对各合规框架与安全控制域的关系进行了系统分析，确保规划的全面性。

AI创业公司合规要求与安全控制域映射矩阵

View the chart
View data

资料来源： secrss.com中国科学院数世咨询360doc个人图书馆Microsoft Learn极牛网FreeBuf搜狐网东方财富网飞书csrc.gov.cngov.cnglo.com.cn中国政府网

从映射矩阵可以看出，ISO 27001/27701对安全治理、数据安全和基础设施安全有较高覆盖；网信办《生成式人工智能服务管理暂行办法》对数据安全和AI模型安全要求较高；而OWASP LLM Top 10则聚焦于AI模型安全和应用安全领域。通过整合这些框架，我们可以构建全面的安全体系。

3.2 风险分析

3.2.1 通用安全风险

  1. 数据泄露风险：作为AI公司，我们处理大量数据，一旦泄露将导致严重的声誉和经济损失；
  2. 合规违规风险：未能满足等保、网信办等监管要求可能导致业务中断或行政处罚；
  3. 供应链风险：第三方服务商或开源组件的安全漏洞可能影响我们的系统安全。

3.2.2 AI特有风险

  1. 提示注入攻击：攻击者通过精心设计的输入诱导模型执行非预期操作FreeBuf；
  2. 训练数据投毒：攻击者在训练数据中混入误导性样本极牛网；
  3. 模型幻觉：模型基于不完整数据生成看似合理但错误的内容极牛网；
  4. 敏感信息泄露：训练数据中的隐私信息可能被泄露极牛网。

四、治理、风险与合规(GRC)体系建设

4.1 安全组织架构

短期行动(2026年)

  • 建立信息安全委员会，由CEO担任主席，CISO担任常务副主席
  • 组建核心安全团队，包括安全架构、安全运营、数据安全和AI安全专家
  • 明确各部门安全责任人，建立矩阵式安全管理模式

中期行动(2027年)

  • 扩充安全团队规模，增设AI安全研究实验室
  • 建立安全专家顾问团，引入外部专业力量
  • 优化安全绩效考核机制，将安全指标纳入部门KPI

长期行动(2028年)

  • 建立安全创新中心，研发AI安全防护新技术
  • 实现安全管理流程自动化，提升管理效率
  • 建立行业安全联盟，共享威胁情报

4.2 安全策略与制度

短期行动(2026年)

  • 制定信息安全总体策略和管理手册
  • 建立数据分类分级和安全管理制度
  • 制定AI模型安全管理规范

中期行动(2027年)

  • 完善供应商安全管理制度
  • 建立安全合规性评估框架
  • 优化安全事件响应和业务连续性管理制度

长期行动(2028年)

  • 建立自适应安全策略管理机制
  • 实现制度与技术控制的自动化关联
  • 建立面向上市的安全合规体系

4.3 合规认证与评估

短期行动(2026年)

  • 完成网络安全等级保护定级备案和测评博客园
  • 进行网信办算法备案百度百科
  • 建立ISO 27001管理体系框架

中期行动(2027年)

  • 获取ISO 27001认证东方财富网
  • 建立ISO 27701隐私信息管理体系
  • 开展OWASP LLM Top 10安全评估

长期行动(2028年)

五、数据安全与隐私保护

5.1 数据治理

短期行动(2026年)

  • 建立数据资产清单和分类分级标准
  • 实施数据流转全生命周期管理
  • 建立数据安全责任制

中期行动(2027年)

  • 部署数据安全管理平台
  • 建立数据安全风险评估机制
  • 实施敏感数据发现与监控

长期行动(2028年)

  • 建立数据安全运营中心
  • 实现数据安全智能分析
  • 建立数据安全度量体系

5.2 隐私保护

短期行动(2026年)

  • 建立个人信息保护合规框架
  • 实施数据收集最小化原则
  • 建立用户同意管理机制顺企网

中期行动(2027年)

  • 部署数据脱敏与匿名化工具
  • 建立隐私影响评估(PIA)流程顺企网
  • 实施用户权利响应机制顺企网

长期行动(2028年)

  • 建立隐私增强技术(PET)研发能力
  • 实现隐私合规自动化审计
  • 建立隐私保护成熟度评估模型

5.3 跨境数据合规

短期行动(2026年)

  • 梳理数据跨境场景和需求
  • 建立跨境数据传输合规框架
  • 制定数据本地化存储策略

中期行动(2027年)

  • 完成跨境数据安全评估
  • 建立跨境数据传输安全机制
  • 实施区域性数据合规策略

长期行动(2028年)

  • 建立全球数据合规管理体系
  • 实现跨境数据流动自动化审计
  • 建立跨境数据应急响应机制

六、AI模型安全

6.1 训练数据安全

短期行动(2026年)

  • 建立训练数据来源合法性审核机制
  • 实施训练数据质量控制流程
  • 建立数据标注安全规范

中期行动(2027年)

  • 部署训练数据投毒检测工具
  • 建立训练数据安全验证框架
  • 实施训练数据隐私保护措施

长期行动(2028年)

  • 建立训练数据安全研究实验室
  • 开发自适应数据安全防护技术
  • 建立训练数据安全度量体系

6.2 模型安全防护

短期行动(2026年)

  • 建立AI模型安全评估框架
  • 实施模型访问控制和权限管理
  • 建立模型版本管理和安全审计

中期行动(2027年)

  • 部署提示注入防御系统FreeBuf
  • 实施模型投毒防护机制极牛网
  • 建立模型安全持续监测能力

长期行动(2028年)

  • 建立对抗样本防护体系
  • 开发模型安全自动化测试平台
  • 建立AI模型安全运营中心

6.3 AI治理与伦理

短期行动(2026年)

  • 建立AI伦理委员会
  • 制定AI伦理准则和使用规范
  • 建立AI系统透明度和可解释性机制

中期行动(2027年)

  • 实施AI系统公平性和无偏见评估
  • 建立AI决策审计和人工干预机制
  • 开发AI伦理风险评估工具

长期行动(2028年)

  • 建立AI治理成熟度评估模型
  • 实现AI伦理合规自动化审计
  • 建立AI伦理研究与创新中心

七、基础设施与应用安全

7.1 网络安全

短期行动(2026年)

  • 优化网络安全架构，实施网络分区和隔离
  • 部署新一代防火墙和入侵防御系统
  • 建立网络安全基线和合规检查机制

中期行动(2027年)

  • 实施零信任网络架构
  • 部署网络流量分析和异常检测系统
  • 建立网络安全自动化运维平台

长期行动(2028年)

  • 建立网络安全态势感知平台
  • 实现网络安全智能分析和自动响应
  • 建立网络安全度量和持续优化机制

7.2 云安全

短期行动(2026年)

  • 建立云安全管控框架
  • 实施云资源访问控制和权限管理
  • 建立云配置安全基线

中期行动(2027年)

  • 部署云安全态势管理平台
  • 实施容器安全管理
  • 建立云原生安全防护体系

长期行动(2028年)

  • 建立多云安全管理平台
  • 实现云安全自动化编排和响应
  • 建立云安全成熟度评估模型

7.3 应用安全

短期行动(2026年)

  • 建立安全开发生命周期(SDLC)
  • 实施代码安全审计和漏洞扫描
  • 建立应用安全测试规范

中期行动(2027年)

  • 部署应用安全测试自动化平台
  • 实施API安全管理
  • 建立微服务安全防护框架

长期行动(2028年)

  • 建立DevSecOps平台
  • 实现应用安全智能分析
  • 建立应用安全度量和持续优化机制

八、安全运营与应急响应

8.1 安全运营中心(SOC)

短期行动(2026年)

  • 建立基础安全监控平台
  • 实施日志集中管理和分析
  • 建立安全事件响应流程

中期行动(2027年)

  • 部署安全信息与事件管理(SIEM)系统
  • 实施威胁情报平台
  • 建立安全运营自动化能力

长期行动(2028年)

  • 建立安全编排自动化与响应(SOAR)平台
  • 实现安全运营智能分析
  • 建立安全运营成熟度评估模型

8.2 应急响应

短期行动(2026年)

  • 建立安全事件分类分级标准
  • 制定应急响应预案
  • 组建应急响应团队

中期行动(2027年)

  • 建立红蓝对抗演练体系
  • 实施安全事件溯源和取证
  • 建立应急响应知识库

长期行动(2028年)

  • 建立高级威胁检测与响应能力
  • 实现应急响应自动化
  • 建立应急响应成熟度评估模型

8.3 业务连续性

短期行动(2026年)

  • 建立业务影响分析(BIA)框架
  • 制定业务连续性计划
  • 建立灾难恢复策略

中期行动(2027年)

  • 建立业务连续性管理体系
  • 实施关键业务系统灾备建设
  • 开展业务连续性演练

长期行动(2028年)

  • 建立业务韧性评估模型
  • 实现业务连续性自动化管理
  • 建立业务连续性成熟度评估体系

九、三年实施路线图与资源规划

9.1 实施路线图

我们制定了详细的三年实施路线图，明确了各项工作的时间节点和优先级。

AI创业公司三年IT与信息安全建设路线图(2026-2028)

View the chart
View data

资料来源： secrss.com中国科学院数世咨询360doc个人图书馆Microsoft Learn极牛网FreeBuf搜狐网东方财富网飞书csrc.gov.cngov.cnglo.com.cn中国政府网钛和集团东方财富网

如路线图所示，我们将在2026年Q1-Q2重点建立安全管理组织架构和基础制度；2026年Q3-Q4完成等保测评与网信办算法备案；2027年Q1-Q2获取ISO 27001认证并加强AI模型安全；2027年Q3-Q4开始网络安全审查准备；2028年Q1-Q2获取ISO 27701认证并进行上市安全专项审计；2028年Q3-Q4完成上市安全保障方案。

9.2 资源投入预算

为确保规划顺利实施，我们制定了三年总计3,750万元的资源投入预算。

2026-2028年各安全领域预算分配趋势

View the chart
View data

资料来源： secrss.com中国科学院数世咨询360doc个人图书馆Microsoft Learn极牛网FreeBuf搜狐网东方财富网飞书csrc.gov.cngov.cnglo.com.cn中国政府网钛和集团东方财富网

从预算趋势可以看出，AI模型安全的投入逐年增加，反映了我们对核心业务安全的高度重视；而基础设施安全投入则呈下降趋势，这是由于前期基础建设完成后，后续主要是维护和优化。

2026-2028年各安全领域年度预算占比

View the chart
View data

资料来源： secrss.com中国科学院数世咨询360doc个人图书馆Microsoft Learn极牛网FreeBuf搜狐网东方财富网飞书csrc.gov.cngov.cnglo.com.cn中国政府网钛和集团东方财富网

从各年度预算占比来看，2026年基础设施安全占比较高，2027年和2028年则更注重AI模型安全和数据安全与隐私保护，体现了我们从基础设施向业务安全的转变策略。

按资源类型的总体预算分配

View the chart
View data

资料来源： secrss.com中国科学院数世咨询360doc个人图书馆Microsoft Learn极牛网FreeBuf搜狐网东方财富网飞书csrc.gov.cngov.cnglo.com.cn中国政府网钛和集团东方财富网

按资源类型划分，技术投入(软硬件采购)占总预算的40%，人力资源(团队建设与培训)占35%，外部服务(咨询、评估、审计)占20%，其他(应急响应准备金等)占5%，确保资源合理分配。

安全领域2026年(万元)2027年(万元)2028年(万元)三年总计(万元)
安全治理与合规120150180450
数据安全与隐私保护150200250600
AI模型安全180250320750
基础设施安全200180160540
应用安全100150200450
安全运营与应急响应150200250600
供应链安全100120140360
年度总计1,0001,2501,5003,750

9.3 预期成效与业务价值

通过三年的安全建设，预期将实现以下成效：

  1. 合规价值：满足ISO 27001/27701、等保2.0、网信办和证监会等监管要求，为业务合规运营和上市奠定基础；
  2. 业务价值：提升AI服务的安全性和可信度，增强客户信任，支持业务创新和拓展；
  3. 运营价值：降低安全事件发生率，减少因安全问题导致的业务中断和损失；
  4. 战略价值：建立安全竞争优势，支持公司长期战略目标的实现。

十、结论与建议

10.1 结论

本规划基于对公司业务特点和外部监管环境的深入分析，提出了全面、系统、可落地的安全建设方案。通过三年的持续投入和建设，我们将建立起与业务深度融合的安全能力，满足合规要求，支持业务创新，为公司的可持续发展和资本市场布局提供坚实保障。

10.2 建议

  1. 高层重视：建议公司高层持续关注信息安全建设，将安全作为公司战略的重要组成部分；
  2. 资源保障：确保安全建设所需的人力、财力和技术资源，避免因资源不足影响规划实施；
  3. 文化建设：培养全员安全意识，建立"安全是每个人的责任"的企业文化；
  4. 持续优化：定期评估安全建设成效，根据内外部环境变化及时调整规划。

我们相信，通过本规划的实施，公司将建立起与AI业务深度融合的安全能力，为业务创新和资本市场布局提供坚实保障，实现安全与业务的共同发展。

Key references