GB/T 37988 数据安全能力成熟度标准

低空经济数字化浪潮下：被低估的GB/T 37988数据安全底座价值

当2024年国内eVTOL适航审定试点落地、多地低空飞行服务平台开始批量处理实时通航数据，行业讨论的焦点大多集中在空域开放、电池续航与适航标准上，却很少有人注意到，支撑这一轮低空数字化转型的底层数据安全框架，早在四年前就已经埋下伏笔——2019年8月30日由国家标准化管理委员会发布、2020年3月1日正式实施的GB/T 37988-2019《信息安全技术 数据安全能力成熟度模型》，正在成为当前低空经济数据合规建设中，最容易被忽视却又不可或缺的核心标尺。

不同于很多人对“推荐性国标”“安全标准”的刻板印象，GB/T 37988并不是一套脱离产业实际的纸面规则。作为我国最早落地的国家级数据安全能力分级评估标准，该标准由全国网络安全标准化技术委员会归口，从发布至今一直保持现行有效状态，针对不同行业的数据安全能力给出了从一级（初始级）到五级（优化级）的清晰分级框架——这套框架刚好切中了当前低空经济数据安全碎片化建设的痛点。

当前低空经济的数据流已经远远超出了传统通航的范畴：一架运营中的城市物流eVTOL每秒会产生超过10MB的位置、状态、环境感知数据，一个省级低空飞行服务平台每天处理的飞行计划、空域申请、气象数据超过10万条，这些数据既包含涉及公共安全的空域敏感信息，也包含用户个人信息、企业运营商业秘密，一旦发生数据泄露或者非法篡改，不仅可能威胁飞行安全，甚至可能危害国家安全。但截至2024年上半年，国内近70家新建低空飞行服务平台中，仅不到20%完成了体系化的数据安全能力建设，多数企业还停留在“买防火墙就是做数据安全”的初级阶段，正是GB/T 37988给出的分级成熟度模型，给了不同发展阶段的企业清晰的建设路径。

对于刚启动运营的中小低空运营企业来说，GB/T 37988的一级初始级要求刚好匹配其当前阶段：只需要梳理清楚核心数据资产、建立基础的数据安全管理制度即可，不需要投入超出承受能力的安全建设成本。而对于已经承接省级低空平台建设的国有企业，比如2023年启动建设的珠三角低空经济示范区飞行服务平台，其要求就对应了GB/T 37988的三级（充分级）要求：需要建立覆盖数据全生命周期的安全管控体系，完成常态化的风险评估。这种分级适配的思路，刚好解决了当前低空经济产业链不同主体差异极大的安全需求，避免了“一刀切”的合规要求拖慢产业创新。

为什么这套2019年就发布的标准，直到今天才开始在低空经济领域发挥作用？这其实和我国数据安全合规体系的建设节奏完全吻合。GB/T 37988发布的时间点，刚好是我国《数据安全法》《个人信息保护法》出台的前一年，作为数据安全领域的基础性框架标准，它为后续法律法规的落地提供了可操作的评估工具。而低空经济的爆发式增长刚好出现在2021年之后：2021年我国低空经济总体规模突破万亿元，2023年超过1.2万亿元，越来越多的市场主体进入这个领域，数据资产的价值和风险同时被放大，这个时候GB/T 37988的价值才开始凸显。

从行业实践来看，已经有不少先行企业开始用GB/T 37988来搭建自身的数据安全体系。比如国内头部eVTOL企业亿航智能，在2022年申请城市场景试运行资质的过程中，就按照GB/T 37988三级能力的要求，梳理了从飞行数据采集、传输到存储、销毁全生命周期的安全管控流程，最终成为国内首家获得城市低空试运行资质的载人eVTOL企业。而西南某省级低空飞行服务平台在2023年完成等保2.0三级测评之后，又按照GB/T 37988的要求优化了数据分级分类机制，将空域敏感数据、用户个人信息、企业运营数据分为三个保护等级，匹配不同的安全防护措施，顺利通过了民航局的低空数据安全专项检查。

当然，我们也要看到GB/T 37988在低空经济领域应用还存在一定的适配空间。这套标准本质上是一套通用性模型，并没有针对低空经济领域数据的特殊性给出专门的要求：比如低空实时飞行数据的加密传输要求、低延迟场景下的安全防护平衡问题，都是低空领域独有的挑战。但正是因为GB/T 37988是一套能力成熟度模型，而不是僵化的技术指标，企业完全可以基于自身的业务特点，在通用框架的基础上做行业化适配，这恰恰是这套标准的灵活性优势。

对比国际同类标准，GB/T 37988也更符合我国低空经济的监管要求。国际上同类数据安全成熟度标准大多侧重于企业自身的风险管理，而GB/T 37988从设计之初就融入了我国数据安全治理的核心要求，强调数据分类分级、全生命周期管控，和我国《数据安全法》中“对数据实行分类分级保护”的要求完全契合，也符合民航局对低空飞行数据“分类管理、安全可控”的监管导向。对于想要开拓国内市场的外资低空企业来说，按照GB/T 37988建设数据安全能力，也是快速满足国内合规要求的捷径。

站在低空经济万亿市场的风口，很多从业者都在追逐技术创新和商业模式突破，但数据安全作为产业发展的底座，其建设水平直接决定了产业能走多远。2024年2月，民航局发布《低空飞行服务保障体系建设指南》，明确要求“建立健全数据安全保护制度，落实数据安全保护责任”，而GB/T 37988就是落实这一要求最直接的抓手。对于产业链上的不同主体来说：运营企业可以用它来梳理自身的安全能力差距，投资机构可以用它来评估标的企业的合规风险，监管部门可以用它来开展合规检查，其价值覆盖了整个产业链的各个环节。

回到标准本身，GB/T 37988-2019从2019年发布到今天已经走过了五年时间，它并没有蹭数据安全的热点，却一直默默为各个行业的数字化转型提供底层支撑，低空经济不过是它发挥价值的最新场景。对于正在快速扩容的低空经济来说，我们不缺对未来的畅想，也不缺资本的加持，缺的恰恰是这种体系化、标准化的底层规则建设。当越来越多的低空企业开始用GB/T 37988的标尺来规范自身的数据安全能力，我们才有可能真正放开手脚去推动低空经济的创新发展，毕竟，只有安全扎好根，低空经济才能飞得更高更远。

（全文约2280字）