数字信任与可持续IT（ESG）：网络安全、数据安全、ESG与低碳IT并列成为CIO数字化转型的重点领域

数字信任与可持续IT（ESG）：网络安全、数据安全、ESG与低碳IT并列成为CIO数字化转型的重点领域

作者：泷码软件（上海）有限公司　泷码软件研究院　泷码首席信息官（CIO）平台

成文时间：2026年10月　报告类型：行业研究／决策支持　

执行摘要

本报告面向企业CIO、CTO、CDO及数字化转型决策者，围绕一个核心判断展开：在数字化转型从“技术部署”进入“价值兑现”阶段的背景下，网络安全与数据安全所构成的数字信任，与ESG合规及低碳IT所构成的可持续IT，正从边缘议题上升为CIO议程中并列的优先事项。据此，本报告给出以下结论与行动建议。

结论：数字信任与可持续IT不再是CIO“可选项”或“合规负担”，而应作为与业务增长并列的战略主线纳入CIO的年度与中长期议程。两者共享同一数据底座与治理体系，一体化推进而非分头建设，是当前回报率最高的路径。

依据：其一，监管形成“硬约束”——欧盟《企业可持续报告指令》（CSRD）、《企业可持续尽职调查指令》（CSDDD）与中国《数据安全法》《个人信息保护法》及数据中心绿色低碳政策并行收紧，合规已成为刚需；其二，风险成本攀升——IBM《数据泄露成本报告2024》显示全球平均泄露成本达488万美元、同比上升10%，且2025年仍有13%企业报告AI模型或应用泄露；其三，能耗与排放压力凸显——国际能源署（IEA）数据表明2025年全球数据中心用电同比增长17%、AI专用数据中心增长50%，预计2030年翻倍至约945太瓦时；其四，利益相关方与供应链传导——下游客户、投资者与生态伙伴将ESG与安全表现纳入准入与考核。Gartner的2026上半年CIO报告亦显示，网络安全、AI规模化部署与云成本优化并列成为全球CIO最关注的议题。

约束：主要风险包括合规口径碎片化、数据与能耗度量标准不统一、短期投入产出不清晰、AI带来的新型攻击面与治理空白，以及人才与预算的结构性缺口。

行动：建议CIO按“统一治理框架—数据底座—分域落地—持续度量”四步推进，先建立数字信任与可持续IT的一体化治理与度量基线，再分域落地，并设置可核验的阶段性门槛。本报告第九部分给出分层行动路线图。

本摘要的结论与依据在正文对应章节均有可追溯证据与口径说明。

一、导言：数字化转型进入价值兑现阶段，“信任”与“可持续”成为双主线

过去十余年，企业数字化转型的主线是“上云、用数、赋智”，以技术引入和系统建设为中心。Gartner在《2026年CIO议程》中指出，战略转向与优先级调整正在取代年度规划，成为2026年的主导模式；数字化竞争正从技术部署阶段进入价值兑现阶段，生成式AI规模化应用、AI云成本管理以及AI时代的网络安全已成为全球CIO最关注的三大议题，约72%的CEO将AI视为企业增长的首要驱动力。这一判断意味着，单纯的技术覆盖已无法定义数字化成败，取而代之的是：技术能否转化为可衡量的业务价值，并在这一过程中守住信任底线与可持续底线。

正是在这一转向中，两个原本相对独立的议题被推到同一高度。其一是数字信任——以网络安全、数据安全、隐私保护与供应链信任为核心的体系性能力，它决定企业能否在日益数字化的商业环境中获得客户、伙伴、员工与监管者的长期信赖；其二是可持续IT——以ESG合规与低碳IT为核心，涵盖IT自身碳足迹、绿色数据中心、软件与硬件全生命周期、电子废弃物及ESG披露，它决定企业的数字化进程是否符合全球气候治理与可持续发展的时代要求。

本报告将两者并列视为CIO数字化转型的重点领域加以系统研究。报告先界定核心概念，再分析宏观背景与驱动力量，随后分别剖析数字信任与可持续IT的内涵与实践，进而论证两者一体化的必然性并给出协同框架，最后以行业实践、风险挑战、行动路线图与趋势展望收束，形成可供决策者直接使用的研判依据。

二、核心概念界定

为避免概念混用导致执行偏差，本章先对数字信任、可持续IT、低碳IT、ESG及其IT映射作出明确界定。概念界定遵循“可操作、可度量、可治理”原则，为后续章节的判断与建议提供统一口径。

（一）数字信任

中国信息通信研究院《数字信任发展报告（2025年）》将数字信任界定为：网络空间各参与主体基于数字身份识别、可信数据流通与网络安全能力验证而形成的正向预期，以及由此产生稳定数字交互关系的能力体系。Deloitte则将数字信任定义为：客户、员工、伙伴及其他利益相关者对组织在其全部数字资产（数据与信息、架构、应用与基础设施）中维护完整性的能力的信心，涵盖透明与可及、安全与可靠、隐私与控制等维度。综合各方界定，本报告将数字信任操作化为四个可治理的支柱：身份可信（数字身份与访问管理，确保“我是谁”可验证）、数据可信（数据安全、隐私保护与数据质量，确保“数据可信赖”）、系统可信（网络安全、韧性可靠与业务连续性）、交互可信（面向用户与伙伴的透明、合规与道德）。数字信任不是单一安全技术的叠加，而是贯穿战略、治理、技术、运营与文化的体系性能力。

（二）可持续IT、绿色IT与低碳IT

可持续IT（Sustainable IT）指在IT系统的规划、设计、采购、部署、运营与处置全生命周期中，系统性降低环境、社会与治理负面影响的管理与工程实践。绿色IT与低碳IT是可持续IT的两个侧重维度：绿色IT侧重资源效率与生态友好，涵盖节能、减排、循环利用与电子废弃物治理；低碳IT则聚焦碳减排，直接服务于“双碳”与气候目标。三者共同指向一个事实：IT既是数字化进程的载体，本身也是一条可观的能源与碳排放曲线。据联合国贸发会议（UNCTAD）《数字经济报告2024》，数字设备与信息通信（ICT）网络合计使用全球6%至12%的电力，IT部门已成为增长最快的用电来源之一。

（三）ESG及其在IT领域的映射

ESG是环境（Environmental）、社会（Social）与治理（Governance）三大维度的合称，是投资者与监管机构评估企业可持续发展绩效的框架。将其映射到IT领域：环境维度对应IT碳排放、能源与水效率、电子废弃物与循环经济；社会维度对应数字包容、用户隐私与劳动者权益、负责任的AI；治理维度对应数据治理、网络安全治理、供应链可持续治理与ESG披露的真实性与可审计性。这一映射表明，数字信任的治理维度与可持续IT的环境维度并非彼此孤立，而是共同构成“可信、绿色、合规”的数字化底座。

（四）CIO角色的再定义

在上述背景下，CIO的角色正从传统的“技术基础设施主管”转向“价值创造者与风险平衡者”。Gartner在2026年上半年CIO报告中指出，随着AI成为企业增长引擎，CIO的角色正从技术管理者转向企业战略价值创造者。这意味着CIO需要同时驾驭三条战线：驱动以AI为核心的业务增长、守护以网络安全与数据安全为内容的数字信任、承担以ESG与低碳为内容的可持续责任。CIO不再只是“把系统跑起来”的人，而是“在可信与可持续前提下把价值做出来”的战略角色。

三、宏观背景与多重驱动

数字信任与可持续IT之所以并列成为重点领域，并非偶发的技术热点，而是由监管、风险、能源与供应链四重力量共同推动的结果。本章逐一分析。

（一）数字化进入价值兑现阶段的战略压力

如前所述，数字化竞争已从“建系统”转向“见价值”。在这一阶段，网络安全与数据安全直接关系到企业能否持续创造并守住价值——一次数据泄露可能摧毁多年建立的客户信任；而ESG与低碳表现则关系到企业能否进入主流市场、获得绿色资本与长期订单。Gartner 2026年战略技术趋势将“守卫者”列为前瞻主题，强调通过前置式主动网络安全、数字溯源与AI安全平台来保护声誉、确保合规并维系利益相关方信心。战略压力因此是信任与可持续议题上位的首要驱动。

（二）监管合规形成“硬约束”

全球监管正从“倡导”走向“硬法”，直接抬高企业的合规门槛。在国际层面，欧盟《企业可持续报告指令》（CSRD）自2024年1月起分批适用，要求符合条件企业按《欧洲可持续报告准则》（ESRS）披露可持续发展信息；2025年欧盟委员会推出“Omnibus”简化方案，将强制报告门槛调整为“平均员工超过1000人且净营业额超过4.5亿欧元”，并引入价值链信息上限以减轻中小企业负担。欧盟《企业可持续尽职调查指令》（CSDDD）于2024年7月25日生效，将人权与环境尽职调查、气候减缓转型计划上升为对“活动链”商业伙伴的硬性要求，直接影响进入欧洲市场的中国供应链企业。此外，《欧盟零毁林法案》《碳边境调节机制》（CBAM）等进一步将环境表现与市场准入绑定。

在中国，数字信任与可持续IT同样面临明确的制度约束。《网络安全法》《数据安全法》《个人信息保护法》共同构成数据与网络治理的顶层框架；《关键信息基础设施安全保护条例》《网络数据安全管理条例》进一步细化安全与数据管理要求。在绿色低碳维度，国家发展改革委等四部门于2024年7月印发《数据中心绿色低碳发展专项行动计划》，明确到2025年底全国数据中心整体上架率不低于60%、平均电能利用效率（PUE）降至1.5以下、可再生能源利用率年均增长10%；“东数西算”工程布局八大国家算力枢纽与十个算力设施集群；《“十五五”碳达峰行动方案》进一步提出推进算力设施绿色低碳转型、支持绿电直供与零碳算力园区。这些政策共同构成CIO必须回应的制度性“硬约束”。

（三）AI与算力的能源—气候悖论

AI的爆发式增长正在重塑IT的能源与排放格局，形成“数字化价值与气候代价并存”的悖论。国际能源署（IEA）数据显示：2024年全球数据中心用电约415太瓦时，约占全球电力需求的1.5%；2025年全球数据中心用电同比增长17%，其中AI专用数据中心用电激增50%，增速显著高于全球电力需求约3%的增幅；在基准情景下，到2030年全球数据中心用电将翻倍至约945太瓦时，约占全球电力需求3%，超过日本全国当前用电总量。与此同时，IEA指出单位AI任务的功耗正在快速下降，能效改善速度在能源领域前所未有，这为低碳IT提供了现实的技术空间，也凸显了“以效率换增长”的紧迫性。

在中国，算力绿色化同样受到高度关注。据国家发展改革委披露，目前八大枢纽节点数据中心集群平均PUE已达1.3左右，最先进数据中心PUE最低降至1.04；2026年度国家绿色算力设施推荐工作明确要求申报设施PUE达到《数据中心能效限定值及能效等级》2级以上，并对碳利用效率、水资源利用效率、可再生能源电量占比、机柜上架率等提出多维度要求，评价“指挥棒”已从单一PUE升级为多维绿色指标。

（四）供应链与生态伙伴的传导压力

合规与可持续要求正沿供应链自下游向上游传导。欧盟CSDDD的“活动链”尽职调查、CSRD的价值链披露，以及国际大客户的供应商ESG准入与网络安全准入，意味着任何环节的信任或可持续短板都可能使企业失去订单资格。对处于全球供应链中的中国软件与信息服务企业而言，数字信任与可持续IT不仅是自身合规的需要，更是进入国际市场的“准入门票”。Gartner亦提示，专职供应链安全团队负责合规执行、访问权限管理与数据保护控制，与中央安全部门持续协作，凸显生态协同的重要性。

四、数字信任：网络安全与数据安全

数字信任是CIO数字化转型的“底座”之一。本章从威胁态势与成本、范式演进、AI时代信任治理、数据安全新维度四个层面展开。

（一）威胁态势与风险成本

网络威胁正变得规模更大、手段更复杂、后果更直接。IBM《数据泄露成本报告2024》显示，全球数据泄露平均成本在2024年达到488万美元，同比上升10%，为疫情以来最大增幅；70%的受访企业表示数据泄露造成了重大或非常重大的损失。2025年，全球平均泄露成本回落至444万美元，为五年来首次下降，但美国市场平均成本仍创下1022万美元的历史新高，且13%的企业报告了AI模型或应用的泄露，其中97%缺乏适当的AI访问控制。这一组数据说明：安全投入开始显现边际成效，但AI带来新型攻击面与治理空白，成本与风险并未真正退潮。

Gartner的研判进一步印证了威胁升级的方向：到2027年，75%的CIO将在未来12个月内把网络安全与技术风险管理列为首要任务；2025年中国网络安全技术成熟度曲线显示，网络安全重点正转向保障AI安全、实现业务转型并加强企业韧性，预计到2027年60%的中国大型企业将在安全运营中心（SOC）采用暴露面管理技术。AI驱动型攻击、供应链攻击、勒索软件与内部威胁的叠加，使“防得住”成为比“建得快”更高的优先级。

（二）从网络安全到数字信任的范式演进

传统网络安全以“边界防御”与“合规过关”为核心，是一种防御性、被动式的思维。数字信任则将其升级为主动的、价值导向的战略能力。二者的关键差异体现在三个层面：其一，对象上，网络安全关注系统与网络，数字信任关注用户、伙伴与生态的整体交互体验；其二，目标上，网络安全以“降低风险”为终点，数字信任以“建立长期信赖、驱动增长”为终点；其三，方法上，网络安全以技术与运维为重心，数字信任强调战略、治理、技术、组织与文化的协同。因此，CIO应推动企业从“合规式安全”转向“信任式安全”，把安全投入与业务价值、客户体验直接挂钩。

（三）AI时代的信任治理

生成式AI与智能体（Agentic AI）的快速普及，正在重塑信任治理的边界。一方面，AI放大了数据安全与隐私风险——Gartner预测到2027年，跨境GenAI滥用引起的AI数据泄露比例将达到40%，并建议投资AI信任、风险与安全管理（TRiSM）产品，涵盖AI治理、模型运维、AI应用安全与数据保护。另一方面，智能体的自主行动扩展了企业攻击面，Gartner将“智能体AI监管”列为2026年网络安全首要议题，建议对AI智能体进行盘点、编制清单并实施集中监管，以应对未授权自动化带来的失控风险。

Gartner 2025年网络安全重要趋势指出，GenAI正推动数据安全计划发生根本转变：安全重点从保护数据库等结构化数据，转向保护文本、图像、视频等非结构化数据；训练中更倾向使用合成数据替代混淆数据；并需评估GenAI自身的数据安全态势。这意味着CIO需要建立面向AI的信任治理体系，覆盖AI模型的训练数据、部署环境、推理过程与输出内容的全链路，并同步完善AI安全平台等统一防护机制——Gartner预测到2028年，50%的企业将采用AI安全平台保护AI投资。

（四）数据安全的新维度

在AI与非结构化数据普及的背景下，数据安全的治理重心正在迁移。传统数据安全多聚焦数据库、结构化数据的加密与访问控制；而新的范式要求对结构化和非结构化数据统一进行盘点、监控与治理。Gartner建议安全领导者采用数据安全态势管理（DSPM）工具，对各类数据资产进行编目、监控与治理；在数据流转与训练场景中，以合成数据、差分隐私等先进技术替代传统脱敏，兼顾隐私保护与数据价值流通。同时，中国《个人信息保护法》《数据安全法》要求企业建立数据分类分级、风险评估与出境管理机制，将数据安全从技术问题上升为合规与治理问题。数据安全已成为数字信任中最具体、最可操作、也最易触发监管后果的环节。

五、可持续IT：ESG与低碳IT

可持续IT是CIO数字化转型的第二个并列重点。本章从IT碳排放全景、数据中心与算力节能、绿色软件、电子废弃物与循环经济、ESG披露与IT治理五个层面展开。

（一）IT碳排放全景：范围1、范围2与范围3

要治理IT碳排放，先要看清排放结构。按温室气体核算体系（GHG Protocol），企业IT排放可分为三类：范围1为企业直接排放（如自有发电机）；范围2为外购电力等能源间接排放（数据中心用电是主体）；范围3为价值链上下游间接排放，包括设备制造、供应链与终端使用。对大多数IT与软件企业而言，范围3占比极高——据行业研究，领先IT企业如塔塔咨询服务（TCS）的范围3排放占其总足迹的90%以上；IT设备制造环节占数据中心总排放的相当比例（有研究称新设备制造占数据中心总排放约24%）。techUK亦指出，IT设备占数据中心总排放的40%至50%，而软件优化常被忽视。这提示CIO：可持续IT不能只盯数据中心电费，必须覆盖硬件制造、软件设计与全生命周期。

（二）数据中心与算力节能

数据中心是IT能耗与排放最集中的环节，也是当前减排成效最显著、政策约束最强的领域。核心度量指标包括电能利用效率（PUE）、碳利用效率（CUE）与水利用效率（WUE）。全球层面，IEA数据显示2025年数据中心用电同比增长17%、AI专用增长50%，预计2030年翻倍至约945太瓦时（见下图），倒逼行业加速采用液冷、可再生能源直供与高密度计算等节能方案。

[该类型的内容暂不支持下载]

来源：国际能源署（IEA）Energy and AI 相关报告｜单位：太瓦时（TWh）｜口径：2025年按同比约17%增幅估算，2030年为IEA基准情景预测值。

在中国，“东数西算”工程与绿色算力政策为低碳IT提供了明确的制度与产业路径。国家发展改革委披露，八大枢纽节点数据中心集群平均PUE已降至1.3左右，最先进数据中心达1.04；《数据中心绿色低碳发展专项行动计划》要求2025年底平均PUE降至1.5以下、上架率不低于60%、可再生能源利用率年均增长10%；2026年度国家绿色算力设施推荐更将评价从单一PUE升级为碳利用效率、水资源利用效率、可再生能源占比、机柜上架率等多维绿色指标。液冷（冷板式、浸没式）、绿电直供、源网荷储一体化与零碳算力园区成为主流方向。

（三）绿色软件与可持续工程

可持续IT的视角正从“优化硬件”延伸到“重构软件”。绿色软件指在软件设计、开发、部署与运行中，通过算法效率、请求合并、资源调度与代码优化来降低能耗与碳排的工程实践。techUK指出“我们优化了硬件，却忘了软件”，强调软件层面同样存在巨大的效率与减排空间。IEA关于“单位AI任务功耗快速下降”的判断，在很大程度上正是算法与工程效率提升的结果。对以软件与信息服务为核心的泷码体系而言，将可持续性纳入软件工程标准——从需求、编码、测试到上线的全过程度量碳足迹——既是差异化竞争力，也是低碳IT落地的关键杠杆。

（四）电子废弃物与循环经济

IT硬件快速迭代叠加AI算力扩张，使电子废弃物问题日益突出。据联合国国际电信联盟（ITU）《全球电子垃圾监测2024》，2022年全球电子垃圾产生量达6200万吨（约62百万公吨），相当于全球人均每年7.8公斤，较2010年的3400万吨增长约82%；但其中仅22.3%被正式收集并以环境无害方式回收，大量贵金属与稀缺材料流失并造成污染风险。AI电子垃圾正加速累积，对循环经济提出更高要求。可持续IT要求企业将“设计可回收、采购可循环、处置可追责”纳入硬件全生命周期管理，将电子废弃物治理从成本项转化为资源与品牌资产。

[该类型的内容暂不支持下载]

来源：国际电信联盟（ITU）《全球电子垃圾监测2024》｜单位：百万吨（Mt）｜口径：2022年数据为正式监测值。

（五）ESG披露与IT治理

ESG披露正从“自愿倡导”走向“强制要求”，且披露质量直接影响融资成本与市场准入。欧盟CSRD要求符合条件企业按ESRS披露包含IT相关的能源、排放与社会治理信息；中国亦在推进企业ESG信息披露制度建设，越来越多上市公司与供应链企业面临披露义务。对CIO而言，IT既是ESG披露的对象（IT自身碳足迹与数据治理），也是ESG披露的支撑（为环境数据采集、核算与报告提供可信的数据平台）。因此，可持续IT与ESG治理高度耦合：没有可信的IT数据底座，ESG披露就无从谈起；而没有ESG披露目标，IT减排就缺乏度量与问责。这一耦合正是第六章“一体化框架”的核心逻辑。

六、数字信任与可持续IT的协同框架

将数字信任与可持续IT分头建设，是当前企业最常见的误区，也是最大的机会所在。本章论证二者一体化的必然性，并给出协同框架。

（一）为何必须一体化

数字信任与可持续IT存在三重内在关联。其一，共享数据底座：网络安全、数据安全与ESG披露都依赖对数据的可信采集、治理与核算，同一套数据治理体系可同时支撑安全度量与碳核算；其二，共同治理目标：ESG的“治理（G）”维度本就涵盖网络安全治理与数据治理，而数字信任的可靠性正是ESG治理质量的核心证据；其三，同向的监管与市场压力：CSRD、CSDDD既要求披露碳足迹，也要求披露数据与治理信息，供应链准入同时考核安全与可持续表现。分头建设会导致数据孤岛、重复投入与口径冲突，一体化才能形成合力。

（二）协同框架：治理、底座、分域、度量

本报告提出“四位一体”的协同框架：统一治理——由CIO牵头的数字信任与可持续治理委员会，统筹安全、数据、ESG与合规策略；数据底座——建设统一的数据治理平台，为网络安全态势、数据安全态势、能耗与碳排放核算提供同一可信数据源；分域落地——在统一框架下分别推进安全运营、数据安全、绿色数据中心、绿色软件与循环经济等专业领域；持续度量——以统一的KPI体系（安全事件成本、泄露响应时长、PUE、CUE、可再生能源占比、电子废弃物回收率、ESG披露完整度）进行闭环考核与持续优化。该框架的关键在于以“数据”作为连接信任与可持续的枢纽：数据既是被保护的对象，也是被核算的对象，更是被披露的对象。

（三）数据作为连接枢纽

在协同框架中，数据承担三重角色：一是安全对象，需要加密、脱敏、访问控制与分类分级保护；二是核算对象，需要为碳排放、能耗与废弃物提供可审计的计量口径；三是披露对象，需要以可信、可追溯的方式进入ESG报告。当企业以同一数据资产与治理体系支撑这三重角色时，数字信任与可持续IT就从“两件事”融合为“一件事”。这也要求CIO推动数据资产化与数据治理先行，否则安全、减排与披露都将失去可靠根基。

七、行业实践与标杆观察

本章选取国际与中国两类典型实践，观察数字信任与可持续IT一体化的落地路径。需要说明的是，以下为基于公开信息的行业观察，具体企业的内部数据以企业官方披露为准。

（一）国际实践：监管驱动与生态引领

在国际层面，欧盟构成最典型的监管驱动样本。CSRD自2024年起分批适用，叠加CSDDD的“活动链”尽职调查与价值链信息上限机制，促使总部在欧洲及进入欧洲市场的企业将可持续报告与供应链管理一体化。领先的云计算与互联网企业则构成生态引领样本：它们在数据中心规模化采用可再生能源与液冷方案、对外披露PUE与碳排放目标、同时强化云平台的安全与合规认证，将“可信云”与“绿色云”作为吸引企业客户的差异化卖点。这些实践的共同特征是：安全与可持续并非两个部门，而是同一产品与服务价值主张的两面。

（二）中国实践：绿色算力与制度先行

中国的实践突出体现为“政策—产业—技术”的三重联动。“东数西算”工程将算力布局与西部可再生能源禀赋结合，实现以绿电支撑算力的结构性优化；八大枢纽数据中心集群平均PUE降至1.3左右、最先进达1.04，液冷与绿电直供加速普及；2026年度国家绿色算力设施推荐将评价从单一PUE升级为多维绿色指标，发挥“指挥棒”作用。在数字信任维度，中国以《数据安全法》《个人信息保护法》《网络数据安全管理条例》为核心，推动数据分类分级、安全评估与个人信息保护制度落地。对软件与信息服务企业而言，将产品与服务的网络安全认证、数据安全能力与低碳属性同时纳入客户价值主张，正成为打开政企与海外市场的关键。

八、挑战与风险

数字信任与可持续IT的推进并非坦途，本章梳理主要风险，供CIO在决策中提前识别与对冲。

其一，合规口径碎片化。CSRD、CSDDD、中国数据与绿色政策、各行业准入标准并存，披露口径、度量标准与适用门槛不一，企业易陷入“为合规而合规”的成本陷阱，或因口径冲突导致数据不可比。

其二，度量标准不统一。碳排放核算（范围1/2/3）与数据安全态势评估缺乏统一的方法学与基准，跨企业、跨期比较困难，影响ESG披露可信度与内部考核公平性。

其三，短期投入产出不清晰。安全与可持续投入往往当期体现在成本端，而回报体现在风险缓释、市场准入与品牌溢价等中长期维度，难以用传统财务模型衡量，易在预算博弈中被压缩。

其四，AI带来的新型风险与治理空白。AI模型与应用泄露、提示注入、智能体失控等新风险快速涌现，而治理与监管仍处于追赶阶段，CIO需要在创新速度与风险控制间平衡。

其五，人才与预算的结构性缺口。同时具备安全、数据、ESG与可持续工程能力的复合型人才稀缺，且相关预算在短期增长压力下易被削减，制约一体化推进。

九、CIO行动路线图

针对上述判断，本报告为CIO提供一套分层、可核验的行动路线图。路线图以“统一治理框架—数据底座—分域落地—持续度量”为主线，并按优先级分为近期（0—12个月）、中期（1—3年）与长期（3—5年）三档。

来源：本报告基于第3—6章判断构建｜口径：阶段与门槛为建议性框架，具体目标应结合企业规模、行业与监管适用确定。

在执行中，CIO应注意三点：一是先立度量、再谈投入，以统一KPI避免投入与成效脱节；二是以数据底座为抓手，让安全、减排与披露共享同一可信数据源；三是分域但不孤岛，在统一治理框架下推进专业领域，避免重复建设。

十、未来趋势展望

展望未来三至五年，数字信任与可持续IT将呈现若干可预期的趋势，CIO宜提前布局。

其一，从“合规”走向“价值创造”。数字信任与可持续IT将不再被视为成本与合规负担，而成为进入市场、赢得客户、获得绿色资本与人才的重要竞争力，领先企业将据此构建差异化优势。

其二，AI双向重塑。一方面，AI驱动型攻击、智能体治理与AI数据泄露风险上升，催生AI安全平台与TRiSM体系成为标配；另一方面，AI本身成为提升能效、优化资源调度与加速碳核算的利器，IEA关于单位AI任务功耗快速下降的判断预示“更聪明的AI”将显著降低数字化自身的能耗。

其三，度量标准趋同与生态协同。随着国际可持续准则（如ISSB）与各国绿色、数据监管的趋近，披露口径与度量标准有望逐步统一；供应链层面的安全与可持续准入将形成生态化传导，要求企业与其伙伴共建可信、绿色的数字生态。

其四，一体化平台化。安全、数据、能耗与ESG数据将走向同一平台化底座，形成“可信、绿色、合规”三位一体的企业数字化基础设施，CIO的角色将进一步向“企业信任与可持续的首席治理者”演进。

十一、结语

数字信任与可持续IT（ESG）并列成为CIO数字化转型的重点领域，是数字化进入价值兑现阶段后的必然结果，也是监管、风险、能源与供应链四重力量共同塑造的时代命题。网络安全与数据安全守护企业“走得更稳”，ESG与低碳IT守护企业“走得更远”，两者共享数据底座与治理体系，只有一体化推进，才能把“可信”与“绿色”转化为可持续的竞争优势。对以软件与服务为核心的企业而言，将数字信任与可持续IT内化为产品与服务的价值主张，既是应对监管与市场的必答题，也是面向未来十年的战略选择。

本报告立足全球视角、力求客观中立，相关判断均基于公开可追溯的信息，并已在正文标注来源与口径。企业在实际决策中，应结合自身规模、行业、监管适用与数据基础，审慎制定并动态调整路线图。

数据来源

本报告核心事实与数据主要来源于以下公开权威资料，均在正文对应位置标注，具体包括但不限于：

1. 国际能源署（IEA），《Energy and AI》《Key Questions on Energy and AI》，数据中心用电量、AI专用数据中心用电增速、2030年用电预测及全球电力占比等数据。

2. IBM，《Cost of a Data Breach Report 2024》《Cost of a Data Breach Report 2025》，全球及美国数据泄露平均成本、AI模型与应用泄露比例等数据。

3. Gartner，《2025中国网络安全技术成熟度曲线》《2025年网络安全重点项目》《2026年CIO议程》《2026上半年首席信息官报告》《2026年十大战略技术趋势》等。

4. 国际电信联盟（ITU）等，《全球电子垃圾监测2024》（Global E-waste Monitor 2024），全球电子垃圾产生量与回收率数据。

5. 联合国贸发会议（UNCTAD），《数字经济报告2024》，ICT设备与网络全球电力消耗占比数据。

6. 中国国家发展改革委、工业和信息化部等，《数据中心绿色低碳发展专项行动计划》、关于国家绿色算力设施推荐工作相关文件及答复，“东数西算”八大枢纽PUE、多维绿色指标等数据。

7. 欧盟委员会及欧洲议会，《企业可持续报告指令》（CSRD）、《企业可持续尽职调查指令》（CSDDD）及相关“Omnibus”简化方案、价值链信息上限机制。

8. 中国信息通信研究院，《数字信任发展报告（2025年）》，数字信任概念界定。

9. Deloitte，《Earning digital trust: Where to invest today and tomorrow》，数字信任定义。

10. 《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》等法律法规。

免责声明

本报告由泷码软件（上海）有限公司、泷码软件研究院、泷码首席信息官（CIO）平台基于公开信息编制，仅供决策参考，不构成任何投资、法律、会计或税务建议，亦不构成对任何组织、产品或服务的推荐或背书。报告所引用的第三方数据与观点均来自公开来源，其准确性、完整性与时效性以原发布机构为准，编制方不对其作任何明示或默示的保证；本报告基于此类信息形成的分析、判断与预测仅反映成文时点的理解，可能随政策、市场与技术环境变化而调整。报告中的估算值、预测值与建议性框架均已在正文标明口径与状态，读者在采用时应结合自身实际情况独立判断，并自行核实关键数据。因使用本报告内容而产生的任何直接或间接损失，编制方不承担任何责任。如需引用本报告，请注明出处并保留本声明。