2024信息安全技術(shù)云計算服務(wù)安全指南

信息安全技術(shù)云計算服務(wù)安全指南目 次范圍 1規(guī)范性引用文件 1術(shù)語和定義 1云計算概述 3云計算的主要特征 3云能力類型和云服務(wù)類別 3云部署模型 4云計算的風(fēng)險管理 4概述 4云計算服務(wù)安全管理的主要角色及責(zé)任 4責(zé)任劃分 5云計算服務(wù)安全管理基本要求 5云計算服務(wù)生命周期 5規(guī)劃準備 6概述 6效益評估 6信息分類 7業(yè)務(wù)分類 8安全保護要求 9需求分析 10形成決策報告 13選擇服務(wù)商與部署 14云服務(wù)商安全能力要求 14確定云服務(wù)商 14合同中的安全考慮 157.4部署 16運行監(jiān)管 178.1概述 17I運行監(jiān)管的角色與責(zé)任 17客戶自身的運行監(jiān)管 18對云服務(wù)商的運行監(jiān)管 19退出服務(wù) 20退出要求 20確定數(shù)據(jù)移交范圍 20驗證數(shù)據(jù)的完整性 21安全刪除數(shù)據(jù) 21附錄A 23客戶對數(shù)據(jù)和業(yè)務(wù)系統(tǒng)的控制能力減弱 23客戶與云服務(wù)商之間的責(zé)任難以界定 23司法管轄權(quán)問題 23數(shù)據(jù)所有權(quán)保障面臨風(fēng)險 23數(shù)據(jù)保護更加困難 23數(shù)據(jù)殘留 24容易產(chǎn)生對云服務(wù)商的過度依賴 24附錄B 25參考文獻 29IIPAGEPAGE11PAGEPAGE10信息安全技術(shù)云計算服務(wù)安全指南范圍規(guī)范性引用文件GB/T31168-xxxx信息安全技術(shù)云計算服務(wù)安全能力要求GB/T32399-2015信息技術(shù)云計算參考架構(gòu)GB/T32400-2015信息技術(shù)云計算概覽與詞匯GB/T36325-2018信息技術(shù)云計算云服務(wù)級別協(xié)議基本要求GB/T37972-2019信息安全技術(shù)云計算服務(wù)運行監(jiān)管框架術(shù)語和定義GB/T32399-2015、GB/T32400-2015中界定的以及下列術(shù)語和定義適用于本文件。3.1云計算cloudcomputing一種通過網(wǎng)絡(luò)將可伸縮、彈性的共享物理和虛擬資源池以按需自助服務(wù)的方式供應(yīng)和管理的模式。注：資源實例包括服務(wù)器、操作系統(tǒng)、網(wǎng)絡(luò)、軟件、應(yīng)用和存儲設(shè)備等。[來源：GB/T32400-2015，3.2.5]3.2云計算服務(wù)cloudcomputingservice通過云計算以定義的接口提供一種或多種能力。[來源：GB/T32400-2015，3.2.8]3.3參與方party一個或一組自然人或法人，不論該法人是否注冊。[來源：GB/T32399-2015，3.2.15]3.4云服務(wù)商cloudserviceprovider提供云服務(wù)的參與方。[來源：GB/T32399-2015，3.2.15]3.5云服務(wù)客戶cloudservicecustomer為使用云服務(wù)而處于一定業(yè)務(wù)關(guān)系中的參與方。注：業(yè)務(wù)關(guān)系不一定包含經(jīng)濟條款。本文件中云服務(wù)客戶簡稱客戶[來源：GB/T32400-2015，3.2.11]3.6第三方評估機構(gòu)ThirdPartyAssessmentOrganizations(3PAO)國家網(wǎng)信部門批準并授權(quán)的獨立專業(yè)評估機構(gòu)。3.7云計算基礎(chǔ)設(shè)施cloudcomputinginfrastructure由硬件資源和資源抽象控制組件構(gòu)成的支撐云計算服務(wù)的基礎(chǔ)設(shè)施。注：硬件資源包括所有的物理計算資源，包括計算和處理組件（CPU、內(nèi)存等、存儲組件（硬盤等、網(wǎng)絡(luò)組件（行軟件抽象，云服務(wù)商通過這些組件提供和管理對物理計算資源的訪問。3.8云計算平臺cloudcomputingplatform云服務(wù)商提供的云計算基礎(chǔ)設(shè)施及其上的服務(wù)軟件的集合。3.9云計算環(huán)境cloudcomputingenvironment云服務(wù)商提供的云計算平臺，及客戶在云計算平臺之上部署的軟件及相關(guān)組件的集合。3.10云服務(wù)合作者cloudservicepartner支撐或協(xié)助云服務(wù)商活動，云服務(wù)客戶活動，或者兩者共同活動的參與方。3.11云服務(wù)安全提供商cloudservicesecurityprovider支撐或協(xié)助云服務(wù)商或云服務(wù)客戶的安全管理、安全技術(shù)和安全運維活動的參與方。3.12云能力類型cloudcapabilitiestype根據(jù)資源使用情況對提供給云服務(wù)客戶的云服務(wù)功能進行分類。注：云能力類型包括應(yīng)用能力類型、基礎(chǔ)設(shè)施能力類型和平臺能力類型。3.13應(yīng)用能力類型applicationcapabilitiestype云服務(wù)客戶能使用云服務(wù)商應(yīng)用的一種云能力類型。3.14基礎(chǔ)設(shè)施能力類型infrastructurecapabilitiestype云服務(wù)客戶能配置和使用計算、存儲或網(wǎng)絡(luò)資源的一類云能力類型。3.15平臺能力類型platformcapabilitiestype3.16云服務(wù)類別cloudservicecategory擁有某些相同質(zhì)量集合的一組云服務(wù)。注：一種云服務(wù)類別能包含一種或多種云能力類型的能力。云計算概述云計算的主要特征云計算具有以下主要特征：資源池化。云服務(wù)商將資源（如：計算資源、存儲資源、網(wǎng)絡(luò)資源等）提供給多個客戶使用，這些物理的、虛擬的資源根據(jù)客戶的需求進行動態(tài)分配或重新分配。服務(wù)可計量。云計算可按照多種計量方式（如按次付費或充值使用等）自動控制或量化資源，計量的對象可以是存儲空間、計算能力、網(wǎng)絡(luò)帶寬或賬戶數(shù)等。云能力類型和云服務(wù)類別云能力類型是根據(jù)資源使用情況對提供給云服務(wù)客戶的云服務(wù)功能進行的分類。有3類不同的云能3云能力類型包括：應(yīng)用能力類型。云服務(wù)客戶能使用云服務(wù)商應(yīng)用的一種云能力類型；基礎(chǔ)設(shè)施能力類型。云服務(wù)客戶能配置和使用計算、存儲或網(wǎng)絡(luò)資源的一類云能力類型。本文件只定義了3類云能力類型。這些云能力類型不應(yīng)與云服務(wù)類別混淆。典型的云服務(wù)類別包括：comunicationasaserviceCaaomputeasaserviceompaaS數(shù)據(jù)存儲即服務(wù)（datastorageasaservice，簡稱DSaaS。為云服務(wù)客戶提供配置和使用數(shù)據(jù)存儲及相關(guān)能力的一種云服務(wù)類別。nfrastructureasaserviceIaa網(wǎng)絡(luò)即服務(wù)（networkasaservice，簡稱NaaS。為云服務(wù)客戶提供傳輸鏈接和相關(guān)網(wǎng)絡(luò)能力的一種云服務(wù)類別。平臺即服務(wù)（platformasaservice，簡稱PaaS。為云服務(wù)客戶提供云能力類型中的平臺能力類型的一種云服務(wù)類別。軟件即服務(wù)（softwareasaservice，簡稱SaaS。為云服務(wù)客戶提供云能力類型中的應(yīng)用能力類型的一種云服務(wù)類別。（參見[GB/T32400-2015]及新的云服務(wù)類別不斷涌現(xiàn)。云服務(wù)類別與重要性無關(guān)。云部署模型云部署模型指的是根據(jù)對物理或虛擬資源的控制和共享方式組織云計算的方式。云部署模型包括：私有云：云服務(wù)僅被一個云服務(wù)客戶使用，且資源被該云服務(wù)客戶控制的一類云部署模型。云計算的風(fēng)險管理概述云計算服務(wù)安全管理的主要角色及責(zé)任云計算服務(wù)安全管理的主要角色及責(zé)任如下：云服務(wù)安全提供商。通過商務(wù)合同的方式，協(xié)助或支撐云服務(wù)商或云服務(wù)客戶開展安全管理、技術(shù)和運維，承擔約定的安全責(zé)任。第三方評估機構(gòu)。對云服務(wù)商及其提供的云計算服務(wù)開展獨立的安全評估。責(zé)任劃分云服務(wù)商和云服務(wù)客戶可以在服務(wù)水平協(xié)議（serviceLevelagreement，簡稱SLA）中明確雙方各自應(yīng)該承擔的相應(yīng)安全責(zé)任。責(zé)任劃分的內(nèi)容可參考附錄B中的示例。云計算服務(wù)安全管理基本要求采用云計算服務(wù)期間，客戶和云服務(wù)商應(yīng)遵守以下要求：堅持先評后用原則。云服務(wù)商應(yīng)具備保障客戶數(shù)據(jù)和業(yè)務(wù)系統(tǒng)安全的能力，并通過安全評估。云計算服務(wù)生命周期概述1所示。變更服務(wù)商變更服務(wù)商規(guī)劃準備選擇服務(wù)商與部署運行監(jiān)管退出服務(wù)規(guī)劃準備

圖1云計算服務(wù)的生命周期選擇服務(wù)商與部署務(wù)商（計算平臺的部署或遷移。運行監(jiān)管退出服務(wù)需變更云服務(wù)商時，客戶應(yīng)按5.5.3的要求選擇新的云服務(wù)商，重點關(guān)注云計算服務(wù)遷移過程的數(shù)據(jù)和業(yè)務(wù)安全；也應(yīng)要求原云服務(wù)商履行相關(guān)責(zé)任和義務(wù)。規(guī)劃準備概述附錄A對云計算面臨的安全風(fēng)險進行了闡述，應(yīng)基于風(fēng)險分析做好規(guī)劃，根據(jù)業(yè)務(wù)和數(shù)據(jù)的特點選效益評估幾個方面進行分析比較：信息分類信息分類原則客戶在選擇云計算服務(wù)之前，應(yīng)先明確將部署在云計算平臺上信息的類型。涉密信息的處理、保存、傳輸、利用按國家保密法規(guī)執(zhí)行。本文件將非涉密政府信息分為敏感類、公開類兩種類型。敏感類信息敏感類信息的概念敏感類信息不涉及國家秘密，主要包括個人信息和重要數(shù)據(jù)，其中：敏感類信息的范圍敏感類信息包括但不限于：應(yīng)該公開但正式發(fā)布前不宜泄露的信息，如規(guī)劃、統(tǒng)計、預(yù)算、招投標等的過程信息；執(zhí)法過程中生成的不宜公開的記錄文檔；一定精度和范圍的國家地理、資源等基礎(chǔ)數(shù)據(jù)；企業(yè)的商業(yè)秘密和知識產(chǎn)權(quán)中不宜公開的信息；關(guān)鍵基礎(chǔ)設(shè)施、政府信息系統(tǒng)未公開的安全防護計劃、策略、實施等相關(guān)信息；包含關(guān)鍵信息基礎(chǔ)設(shè)施的系統(tǒng)漏洞、安全防護、安全保護計劃等網(wǎng)絡(luò)安全信息；關(guān)鍵信息基礎(chǔ)設(shè)施系統(tǒng)架構(gòu)、組成、網(wǎng)絡(luò)拓撲等相關(guān)系統(tǒng)信息；（部門）內(nèi)部未公開的人事規(guī)章和工作制度；人員晉升、獎勵、處分、能力評價等未公開的人事管理信息；根據(jù)國際條約、協(xié)議不宜公開的信息；法律法規(guī)確定的不宜公開信息；單位根據(jù)國家要求或本單位要求認定的敏感類信息。敏感類信息規(guī)模的限定參考其他相關(guān)文件。公開類信息公開類信息指不涉及國家秘密且不是敏感信息的政府信息，包括但不限于：行政法規(guī)、規(guī)章和規(guī)范性文件，發(fā)展規(guī)劃及相關(guān)政策；統(tǒng)計信息，財政預(yù)算決算報告，行政事業(yè)性收費的項目、依據(jù)、文件；政府集中采購項目的目錄、標準及實施情況；重大建設(shè)項目的批準和實施情況；扶貧、教育、醫(yī)療、社會保障、促進就業(yè)等方面的政策、措施及其實施情況；突發(fā)公共事件的應(yīng)急預(yù)案、預(yù)警信息及應(yīng)對情況；環(huán)境保護、公共衛(wèi)生、安全生產(chǎn)、食品藥品、產(chǎn)品質(zhì)量的監(jiān)督檢查情況等；其他根據(jù)相關(guān)法律法規(guī)應(yīng)該公開的信息。業(yè)務(wù)分類業(yè)務(wù)分類原則一般業(yè)務(wù)通常社會公眾對一般業(yè)務(wù)中斷的容忍度以天為單位衡量。重要業(yè)務(wù)滿足以下條件之一的業(yè)務(wù)可被認為是重要業(yè)務(wù)：——對業(yè)務(wù)中斷的容忍程度小于24h；——業(yè)務(wù)系統(tǒng)的服務(wù)對象超過10萬用戶；——信息發(fā)布網(wǎng)站的訪問量超過每天500萬人次；——出現(xiàn)安全事件造成100萬元以上經(jīng)濟損失；——出現(xiàn)問題后可能造成其他較大危害。關(guān)鍵業(yè)務(wù)滿足以下條件之一的業(yè)務(wù)可被認為是關(guān)鍵業(yè)務(wù)：——對業(yè)務(wù)中斷的容忍程度小于1h；——業(yè)務(wù)系統(tǒng)的服務(wù)對象超過100萬用戶；——出現(xiàn)安全事件造成5000萬元以上經(jīng)濟損失，或危害人身安全；——出現(xiàn)安全事故會嚴重損害政府形象、社會秩序，或危害國家安全；——出現(xiàn)問題后影響單個地市級行政區(qū)30%以上人口的工作、生活；——出現(xiàn)問題后可能造成其他嚴重危害。安全保護要求所有的客戶信息都應(yīng)該得到適當?shù)谋Ｗo。對于公開類信息主要是防篡改、防丟失，對于敏感類信息應(yīng)按照國家密碼相關(guān)法律法規(guī)、文件的要求進行保護，防止未經(jīng)授權(quán)披露、丟失、濫用、篡改和毀損。所有的客戶業(yè)務(wù)都應(yīng)得到適當保護，保證業(yè)務(wù)的安全性和持續(xù)性。2所示。增強保護增強保護增強保護增強保護高級保護一般保護增強保護增強保護信息信息一般業(yè)務(wù) 重要業(yè)務(wù) 關(guān)鍵業(yè)務(wù) 業(yè)務(wù)類型對云計算服務(wù)的安全能力要求如下：

圖2安全保護要求承載公開類信息的一般業(yè)務(wù)應(yīng)選擇達到一般保護能力的云服務(wù)；承載敏感類信息的關(guān)鍵業(yè)務(wù)，宜采用私有云或社區(qū)云，應(yīng)選擇達到高級保護能力的云服務(wù)。GB/T31168-xxxx。需求分析概述客戶應(yīng)從以下方面對云計算服務(wù)的需求進行分析，提出各項功能、性能及安全要求。服務(wù)類別不同云服務(wù)類別下云服務(wù)商與客戶的控制范圍不同，以最常見的SaaS、PaaS和IaaS三種云服務(wù)類別為例，如圖3所示，圖中兩側(cè)的箭頭示意了云服務(wù)商和客戶的控制范圍，具體為：SaaS服務(wù)類別下，應(yīng)用軟件層的安全措施由客戶和云服務(wù)商分擔，其他安全措施由云服務(wù)商實施；PaaS服務(wù)類別下，軟件平臺層的安全措施由客戶和云服務(wù)商分擔?？蛻糌撠?zé)自己開發(fā)和部在IaaS服務(wù)類別下，虛擬化計算資源層的安全措施由客戶和云服務(wù)商分擔?？蛻糌撠?zé)自己部署的操作系統(tǒng)、運行環(huán)境和應(yīng)用的安全。云服務(wù)商負責(zé)虛擬機監(jiān)視器及底層資源的安全。圖3中的下三層由設(shè)施層、硬件層和資源抽象控制層構(gòu)成。設(shè)施層和硬件層是云計算環(huán)境的物理元素，設(shè)施層主要包括采暖、通風(fēng)、空調(diào)、電力和通信等，硬件層包括了所有的物理計算資源，例如：（（硬盤和其他物理計算元件。3客戶可根據(jù)不同云服務(wù)類別的特點和自身數(shù)據(jù)及業(yè)務(wù)系統(tǒng)的安全管理要求，結(jié)合自身的技術(shù)能力、市場及技術(shù)成熟度等因素選擇云服務(wù)類型。虛擬化計算資源虛擬化計算資源軟件平臺應(yīng)用軟件設(shè)施硬件資源抽象控制層基礎(chǔ)設(shè)施能力類型部署模式設(shè)施硬件資源抽象控制層基礎(chǔ)設(shè)施能力類型

3基本云能力類型與控制范圍的關(guān)系客戶云服務(wù)商應(yīng)用能力類型平臺能力類型基礎(chǔ)設(shè)施能力類型客戶云服務(wù)商應(yīng)用能力類型平臺能力類型基礎(chǔ)設(shè)施能力類型平臺能力類型應(yīng)用能力類型（對云計算平臺管理技能的要求。若采用私有云、社區(qū)云，且云計算平臺由客戶承擔管理任務(wù)，則需要客戶具備專業(yè)的技術(shù)人才，對人員技能的要求遠比公有云高?？蛻魬?yīng)綜合考慮以上問題，選擇適合的部署模式，使安全風(fēng)險可控。功能需求的穩(wěn)定性和通用性通用的功能需求有助于客戶參考成熟的應(yīng)用案例，包括參考其部署、運行監(jiān)管、評估等最佳實踐，可提高效率并降低安全風(fēng)險。另外，業(yè)務(wù)功能的通用性利于實現(xiàn)規(guī)?；鶐淼牡统杀拘б?。部署的成功應(yīng)用案例。資源的動態(tài)需求特點有些業(yè)務(wù)具有臨時、周期性特點，如公務(wù)員招考等業(yè)務(wù)系統(tǒng)，可能會出現(xiàn)訪問和請求的突發(fā)高峰，時延業(yè)務(wù)連續(xù)性云計算服務(wù)是否會中斷、是否能持續(xù)訪問依賴于多方面因素，包括網(wǎng)絡(luò)、云計算平臺以及云服務(wù)商等。網(wǎng)絡(luò)依賴。云計算服務(wù)依賴于互聯(lián)網(wǎng)等網(wǎng)絡(luò)，客戶通過持續(xù)可用的網(wǎng)絡(luò)連接來獲取服務(wù)。網(wǎng)絡(luò)依賴意味著每個應(yīng)用都是網(wǎng)絡(luò)應(yīng)用，從客戶到云計算平臺的網(wǎng)絡(luò)復(fù)雜度通常高于客戶內(nèi)部局域網(wǎng)。（如惡意攻擊或管理員的失誤、自然災(zāi)害（如洪水、臺風(fēng)、地震等）的原因，云計算平臺故障與服務(wù)中斷不可能完全避免?？蛻襞c云計算平臺之間的網(wǎng)絡(luò)鏈路采用多個網(wǎng)絡(luò)運營商的優(yōu)質(zhì)鏈路，做到網(wǎng)絡(luò)鏈接冗余；對云服務(wù)商的經(jīng)營狀態(tài)進行定期檢查，發(fā)現(xiàn)異常及時處理；可移植性與互操作性IaaS、PaaS到SaaS可移植性的難度逐漸增加。數(shù)據(jù)的存儲位置0監(jiān)督能力形成決策報告背景描述。描述擬采用云計算服務(wù)的信息和業(yè)務(wù)；云服務(wù)類別、部署模式選擇。分析客戶與云服務(wù)商的安全措施實施邊界和管理邊界；風(fēng)險分析。分析數(shù)據(jù)和業(yè)務(wù)部署到云計算環(huán)境后可能遇到的安全威脅，提出應(yīng)對措施；功能需求分析。分析不同模式下的資源需求，數(shù)據(jù)的備份與恢復(fù)能力，備份數(shù)據(jù)的存儲位置，性能需求分析。主要分析可用性、可靠性、恢復(fù)能力、事務(wù)響應(yīng)時間、吞吐率等指標；退出云計算服務(wù)或變更云服務(wù)商的初步方案；對客戶相關(guān)人員進行安全意識、技術(shù)和管理培訓(xùn)的方案；本單位負責(zé)采用云計算服務(wù)的領(lǐng)導(dǎo)、工作機構(gòu)及其責(zé)任；采購和使用云計算服務(wù)過程中應(yīng)該考慮的其他重要事項。選擇服務(wù)商與部署云服務(wù)商安全能力要求為客戶提供云計算服務(wù)的云服務(wù)商應(yīng)具備以下11個方面的安全能力；系統(tǒng)開發(fā)與供應(yīng)鏈安全系統(tǒng)與通信保護訪問控制數(shù)據(jù)保護配置管理維護應(yīng)急響應(yīng)與災(zāi)備審計風(fēng)險評估與持續(xù)監(jiān)管安全組織與人員物理與環(huán)境保護以上安全能力的具體要求參見GB/T31168-xxxx。確定云服務(wù)商選擇云服務(wù)商云服務(wù)類別能否滿足需求；部署模式能否滿足需求；云計算服務(wù)的安全能力（一般保護/增強保護/高級保護）能否滿足需求；定制開發(fā)能力能否滿足需求；云服務(wù)商對運行監(jiān)管的接受程度，能否提供運行監(jiān)管接口；云計算平臺的可擴展性、可用性、可移植性、互操作性、功能、容量、性能等能否滿足需求；云服務(wù)商能否滿足5.4c)的要求；數(shù)據(jù)的存儲位置，包括數(shù)據(jù)傳輸?shù)穆窂?；?zāi)難恢復(fù)能力能否滿足需求；資源占用、帶寬租用、監(jiān)管、遷移或退出服務(wù)、培訓(xùn)等費用的計費方式和標準；出現(xiàn)安全事件并造成損失時，云服務(wù)商的補償能力與責(zé)任；云服務(wù)商是否配合對其雇員進行背景調(diào)查。人員背景調(diào)查客戶根據(jù)信息和業(yè)務(wù)的敏感程度，確定是否需要對訪問數(shù)據(jù)和業(yè)務(wù)的云服務(wù)商雇員進行背景調(diào)查。合同中的安全考慮概述云服務(wù)商的責(zé)任和義務(wù)合同應(yīng)明確云服務(wù)商需承擔以下責(zé)任和義務(wù)：承載客戶數(shù)據(jù)和業(yè)務(wù)的云計算平臺應(yīng)按照政府信息系統(tǒng)和關(guān)鍵信息基礎(chǔ)設(shè)施安全管理要求進云服務(wù)商不得依據(jù)其他國家的法律和司法要求將客戶數(shù)據(jù)及相關(guān)信息提供給他國政府及組織，數(shù)據(jù)出境應(yīng)遵循國家相關(guān)法律法規(guī)的要求；采取有效管理和技術(shù)措施確?？蛻魯?shù)據(jù)和業(yè)務(wù)系統(tǒng)的保密性、完整性和可用性；依法或依合同接受客戶的安全監(jiān)管；當發(fā)生安全事件并造成損失時，按照雙方的約定承擔相應(yīng)責(zé)任；不以持有客戶數(shù)據(jù)相要挾，配合做好客戶數(shù)據(jù)和業(yè)務(wù)的遷移或退出；發(fā)生糾紛時，在雙方約定期限內(nèi)仍應(yīng)保證客戶數(shù)據(jù)安全；法律法規(guī)明確或雙方約定的其他責(zé)任和義務(wù)。服務(wù)水平協(xié)議關(guān)于服務(wù)水平協(xié)議基本要求的具體指標，見GB/T36325-2018。保密協(xié)議保密協(xié)議應(yīng)包括：未經(jīng)授權(quán)，不得在工作職責(zé)授權(quán)范圍以外訪問、使用、分享客戶信息；未經(jīng)授權(quán)，不得泄露、披露、轉(zhuǎn)讓以下信息：技術(shù)信息：同客戶業(yè)務(wù)相關(guān)的程序、代碼、流程、方法、文檔、數(shù)據(jù)等內(nèi)容；第三方要求披露c)中信息或客戶敏感信息時，不得響應(yīng)，并立刻報告；合同結(jié)束后，云服務(wù)商應(yīng)返還c)中信息和客戶數(shù)據(jù)，明確返還的具體要求、內(nèi)容；明確保密協(xié)議的有效期。合同的信息安全相關(guān)內(nèi)容合同至少應(yīng)包括以下信息安全相關(guān)內(nèi)容：7.3.2的全部內(nèi)容。若有其他方參與，應(yīng)明確其他方的責(zé)任和義務(wù)；云服務(wù)商應(yīng)遵從的技術(shù)和管理文件；服務(wù)水平協(xié)議，明確客戶特殊的性能需求、安全需求等；保密條款，包括確定可接觸客戶信息特別是敏感信息的人員；客戶保護云服務(wù)商知識產(chǎn)權(quán)和商業(yè)秘密的責(zé)任和義務(wù)；合同終止的條件及合同終止后云服務(wù)商應(yīng)履行的責(zé)任和義務(wù)；若云計算平臺中的業(yè)務(wù)系統(tǒng)與客戶其他業(yè)務(wù)系統(tǒng)之間需要數(shù)據(jù)交互，約定交互方式和接口；云計算安全服務(wù)的計費方式、標準，客戶的支付方式等；違約行為的補償措施；云計算服務(wù)部署、運行、應(yīng)急處理、退出等關(guān)鍵時期相關(guān)的計劃，這些計劃可作為合同附件，涉及到的相關(guān)附件包括但不限于：云計算服務(wù)部署方案，確定階段性成果及時間要求；運行監(jiān)管計劃，明確客戶的運行監(jiān)管要求；退出服務(wù)方案，明確退出云計算服務(wù)時客戶數(shù)據(jù)和業(yè)務(wù)的遷移、退出方案；培訓(xùn)計劃，確定云服務(wù)商對客戶的培訓(xùn)方式、培訓(xùn)內(nèi)容、人員及時間；其他應(yīng)包括的信息安全相關(guān)內(nèi)容。部署概述部署方案云計算服務(wù)部署方案至少應(yīng)包括以下內(nèi)容：客戶和云服務(wù)商雙方的部署負責(zé)人和聯(lián)系人，參與部署的人員及其職責(zé)；部署的實施進度計劃表；相關(guān)人員的培訓(xùn)計劃；投入運行客戶數(shù)據(jù)和業(yè)務(wù)系統(tǒng)遷移后，原有業(yè)務(wù)系統(tǒng)應(yīng)與遷移到云計算平臺上的業(yè)務(wù)系統(tǒng)并行運行一段時間，以確保業(yè)務(wù)的持續(xù)性。8運行監(jiān)管概述GB/T37972-2019合同規(guī)定的責(zé)任義務(wù)和相關(guān)政策規(guī)定得到落實，技術(shù)文件、安全管理制度得到有效實施；服務(wù)質(zhì)量達到合同要求；重大變更時客戶數(shù)據(jù)和業(yè)務(wù)的安全；及時有效地響應(yīng)安全事件。運行監(jiān)管的角色與責(zé)任概述客戶的監(jiān)管責(zé)任客戶在運行監(jiān)管活動中的責(zé)任如下：度和文件；協(xié)助云服務(wù)商處理重大信息安全事件；按照政府信息系統(tǒng)安全檢查要求，對云服務(wù)商的云計算平臺開展年度安全檢查；在云服務(wù)商的支持配合下，對以下方面進行監(jiān)管：服務(wù)運行狀態(tài)；性能指標，如資源使用情況；特殊安全需求；云計算平臺提供的監(jiān)視技術(shù)和接口；其他必要的監(jiān)管活動；加強對云計算服務(wù)和業(yè)務(wù)使用者的信息安全教育和監(jiān)管；對自身負責(zé)的云計算環(huán)境及客戶端的安全措施進行監(jiān)管；評估自身數(shù)據(jù)和業(yè)務(wù)安全級別變更產(chǎn)生的安全風(fēng)險并處置。（客戶可以根據(jù)自身情況確定是否委托第三方評估機構(gòu)足客戶需求，客戶可以選擇退出服務(wù)或變更云服務(wù)商。云服務(wù)商的責(zé)任云服務(wù)商在運行監(jiān)管中的責(zé)任如下：嚴格履行合同規(guī)定的責(zé)任和義務(wù)，遵守政府信息系統(tǒng)安全管理政策及文件；GB/T31168-xxxx按照合同要求或雙方的約定，向客戶提供相關(guān)的接口和材料，配合客戶的監(jiān)管活動；云計算平臺出現(xiàn)重大變更后，及時向客戶報告情況，并委托第三方評估機構(gòu)進行安全評估；出現(xiàn)重大信息安全事件時，及時向客戶報告事件及處置情況；持續(xù)開展對雇員的信息安全教育，監(jiān)督雇員遵守相關(guān)制度；客戶自身的運行監(jiān)管概述客戶應(yīng)將云計算服務(wù)納入其信息安全管理工作內(nèi)容，加強云計算服務(wù)使用過程中對自身的運行監(jiān)管，主要涉及對云計算服務(wù)及業(yè)務(wù)系統(tǒng)使用者的違規(guī)及違約情況、自身負責(zé)的安全措施實施情況的監(jiān)管。對違規(guī)及違約情況的監(jiān)管不得利用云計算平臺實施網(wǎng)絡(luò)攻擊；不得對云計算平臺進行網(wǎng)絡(luò)攻擊，竊取或篡改數(shù)據(jù)資料；不得利用云計算平臺可能存在的技術(shù)缺陷或漏洞破壞云服務(wù)商和客戶的權(quán)益；不得利用云計算平臺制作、復(fù)制、發(fā)布、傳播法律法規(guī)禁止的信息對安全措施的監(jiān)管監(jiān)管客戶在不同云能力類型環(huán)境中的相應(yīng)安全措施；由客戶或委托第三方評估機構(gòu)對客戶負責(zé)實施的安全措施進行安全測評和檢查。對云服務(wù)商的運行監(jiān)管運行狀態(tài)監(jiān)管客戶通過運行狀態(tài)監(jiān)管了解和掌握云服務(wù)商及其提供的云計算服務(wù)的狀態(tài)，運行監(jiān)管內(nèi)容包括：安全事件響應(yīng)；重大變更處理；整改記錄；信息安全策略更新；應(yīng)急響應(yīng)計劃更新；應(yīng)急響應(yīng)演練；云服務(wù)商委托第三方評估機構(gòu)的測評。重大變更監(jiān)管鑒別（包括身份鑒別和數(shù)據(jù)源鑒別）和訪問控制措施的變更；數(shù)據(jù)存儲實現(xiàn)方法的變更；云計算平臺中軟件代碼的更新；備份機制和流程的變更；變更已有網(wǎng)絡(luò)連接或新建網(wǎng)絡(luò)連接；安全措施的更改與撤除；已部署軟硬件產(chǎn)品的替換；云計算服務(wù)分包商的變更，例如PaaS、SaaSIaaS服務(wù)商。云服務(wù)安全級別的變更；使用新的加密模塊或服務(wù)，或?qū)ΜF(xiàn)有模塊/服務(wù)的更改。使用新的數(shù)據(jù)中心或遷移到新的設(shè)備中；云服務(wù)所有權(quán)的變化；安全事件監(jiān)管拒絕服務(wù)攻擊事件；惡意代碼感染，如云計算環(huán)境被病毒、蠕蟲、特洛伊木馬等惡意代碼感染；客戶違反云計算服務(wù)的使用策略，例如發(fā)送垃圾郵件、濫用資源影響其他云租戶等。數(shù)據(jù)因云服務(wù)故障而損壞或丟失。退出服務(wù)退出要求在退出服務(wù)過程中，云服務(wù)商應(yīng)返還合同或服務(wù)承諾等書面文件所訂明的可遷出的客戶數(shù)據(jù)；及時取消云服務(wù)商對客戶資源的物理和電子訪問權(quán)限；提醒云服務(wù)商在客戶退出云計算服務(wù)后仍應(yīng)承擔的責(zé)任和義務(wù)，如保密要求等；退出云計算服務(wù)后需要確保云服務(wù)商按要求保留數(shù)據(jù)或徹底清除數(shù)據(jù)；確定數(shù)據(jù)移交范圍遷移原則數(shù)據(jù)遷移應(yīng)遵循的原則：優(yōu)先原則：依據(jù)“重點防護，分步遷移”的思想，對關(guān)鍵業(yè)務(wù)，實施重點保護，最后進行遷移；對重要業(yè)務(wù)，保護適度減弱；對一般業(yè)務(wù)，可作為最先遷移業(yè)務(wù)；實用性原則：充分考慮應(yīng)用業(yè)務(wù)的特殊性，把滿足用戶需求作為重要設(shè)計依據(jù)；提供完整、準確、詳細的遷移文檔；移交范圍數(shù)據(jù)文件。每個數(shù)據(jù)文件都應(yīng)標明：文件名稱、數(shù)據(jù)文件內(nèi)容的描述、存儲格式、文件大小、（敏感或公開驗證數(shù)據(jù)的完整性客戶應(yīng)對云服務(wù)商返還的數(shù)據(jù)完整性進行驗證，為完整獲得數(shù)據(jù)，客戶應(yīng)采取以下措施：要求云服務(wù)商根據(jù)移交數(shù)據(jù)清單完整返還客戶數(shù)據(jù)，特別注意歷史數(shù)據(jù)和歸檔數(shù)據(jù)；監(jiān)督云服務(wù)商返還客戶數(shù)據(jù)的過程，并驗證返還數(shù)據(jù)的有效性。對加密數(shù)據(jù)進行解密并驗證；利用工具恢復(fù)專有格式數(shù)據(jù)并驗證；可通過業(yè)務(wù)系統(tǒng)驗證數(shù)據(jù)的有效性和完整性，如將數(shù)據(jù)和業(yè)務(wù)系統(tǒng)部署在新的平臺上運行驗證。安全刪除數(shù)據(jù)退出服務(wù)后，要求云服務(wù)商按合同或承諾等書面文件要求安全存儲客戶數(shù)據(jù)一段時間；通過書面授權(quán)，要求云服務(wù)商刪除客戶數(shù)據(jù)及所有備份；要求云服務(wù)商安全處置存放客戶數(shù)據(jù)的存儲介質(zhì)，涉及以下方面：重用前應(yīng)進行介質(zhì)清理，不可清理的介質(zhì)應(yīng)物理銷毀；注：介質(zhì)清理是指刪除介質(zhì)上數(shù)據(jù)的過程，該過程不會破壞介質(zhì)。要求云服務(wù)商記錄介質(zhì)清理過程，并對過程進行監(jiān)督；附錄A（資料性）客戶對數(shù)據(jù)和業(yè)務(wù)系統(tǒng)的控制能力減弱客戶與云服務(wù)商之間的責(zé)任難以界定司法管轄權(quán)問題注：一些國家的政府可能依據(jù)本國法律要求云服務(wù)商提供可以訪問這些數(shù)據(jù)中心的途徑，甚至要求云服務(wù)商提供位于他國數(shù)據(jù)中心的數(shù)據(jù)。數(shù)據(jù)所有權(quán)保障面臨風(fēng)險數(shù)據(jù)保護更加困難云計算平臺采用虛擬化等技術(shù)實現(xiàn)多客戶共享計算資源，虛擬機之間的隔離和防護容易受到攻擊，跨虛擬機的非授權(quán)數(shù)據(jù)訪問風(fēng)險突出。云服務(wù)商可能會使用其他云服務(wù)商的服務(wù)，使用第三方的功能、數(shù)據(jù)殘留容易產(chǎn)生對云服務(wù)商的過度依賴附錄B（資料性）B1B2B1介紹了云服務(wù)B2B4圖B.1云服務(wù)商與云主管部門共同責(zé)任云管平臺安全云計算安全云存儲安全云管平臺安全云計算安全云存儲安全云網(wǎng)絡(luò)安全云平臺安全管理云客戶安全云平臺安全云資源安全虛擬網(wǎng)絡(luò)安全云上應(yīng)用安全云上數(shù)據(jù)安全物理資源安全機房與環(huán)境安全云客戶安全云平臺安全云資源安全虛擬網(wǎng)絡(luò)安全云上應(yīng)用安全云上數(shù)據(jù)安全物理資源安全機房與環(huán)境安全宿主機和物理網(wǎng)絡(luò)安全虛擬主機安全單位責(zé)任邊界說明包括機房采暖、通風(fēng)、空調(diào)、電力和通信等機房基礎(chǔ)設(shè)施云服務(wù)商基礎(chǔ)設(shè)施層安全；負責(zé)硬件層、資源抽象層、虛擬化技術(shù)資源層的安全。的安全保障。云服務(wù)商自身云平臺組成的服務(wù)器、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等硬件層安全，及其云管理平臺安全；政務(wù)云平臺網(wǎng)絡(luò)邊界的安全防護。云上客戶負責(zé)自身部署系統(tǒng)的軟件平臺層、應(yīng)用軟件層安全和系統(tǒng)數(shù)據(jù)安全，實施對這些資源操作、更新、配置的安全可靠管理。業(yè)務(wù)系統(tǒng)相關(guān)的安全責(zé)任，包括主機、應(yīng)用和數(shù)據(jù)安全，如操作系統(tǒng)、數(shù)據(jù)庫、中間件和應(yīng)用系統(tǒng)的安全配置檢查和加固，應(yīng)用系統(tǒng)的升級維護和日常代碼審計、滲透測試等，以及業(yè)務(wù)數(shù)據(jù)的加密和備份等B.2基礎(chǔ)設(shè)施能力類型下云服務(wù)商與云客戶的責(zé)任劃分層面安全要求安全組件責(zé)任主體物理和環(huán)境安全物理