GB∕ T 31168-2023 信息安全技術(shù) 云計(jì)算服務(wù)安全能力要求（正式版）

ICS35.030GB/T31168—2023代替GB/T31168—2014信息安全技術(shù)云計(jì)算服務(wù)安全能力要求國(guó)家市場(chǎng)監(jiān)督管理總局國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)IGB/T31168—2023 V 1 13術(shù)語(yǔ)和定義 1 25云計(jì)算安全要求的表達(dá)與實(shí)現(xiàn) 35.1云計(jì)算安全措施的實(shí)施責(zé)任 35.2云計(jì)算安全措施的作用范圍 45.3安全要求的分類 45.4安全要求的表述形式 55.5安全要求的調(diào)整 65.6安全計(jì)劃 76系統(tǒng)開發(fā)與供應(yīng)鏈安全 76.1資源分配 76.2系統(tǒng)生命周期 86.3采購(gòu)過程 86.4系統(tǒng)文檔 96.5關(guān)鍵性分析 96.6外部服務(wù) 6.7開發(fā)商安全體系架構(gòu) 6.9開發(fā)過程配置管理 6.10開發(fā)商安全測(cè)試和評(píng)估 6.11開發(fā)商提供的培訓(xùn) 6.12組件真實(shí)性 6.13不被支持的系統(tǒng)組件 6.14供應(yīng)鏈保護(hù) 7系統(tǒng)與通信保護(hù) 7.1邊界保護(hù) 7.2傳輸?shù)谋Ｃ苄院屯暾员Ｗo(hù) 7.3網(wǎng)絡(luò)中斷 7.4可信路徑 Ⅱ7.5密碼使用和管理 7.6設(shè)備接入保護(hù) 7.7移動(dòng)代碼 7.8會(huì)話認(rèn)證 7.9惡意代碼防護(hù) 20 8.1用戶標(biāo)識(shí)與鑒別 8.2標(biāo)識(shí)符管理 8.3鑒別憑證管理 8.4鑒別憑證反饋 8.5密碼模塊鑒別 8.6賬號(hào)管理 8.7訪問控制的實(shí)施 8.8信息流控制 8.9最小特權(quán) 8.11系統(tǒng)使用通知 8.12前次訪問通知 8.13并發(fā)會(huì)話控制 8.14會(huì)話鎖定 8.17遠(yuǎn)程訪問 8.18無線訪問 8.19外部信息系統(tǒng)的使用 8.20可供公眾訪問的內(nèi)容 8.21WEB訪問安全 8.22API訪問安全 9數(shù)據(jù)保護(hù) 9.1通用數(shù)據(jù)安全 9.2媒體訪問和使用 9.3剩余信息保護(hù) Ⅲ9.4數(shù)據(jù)使用保護(hù) 9.5數(shù)據(jù)共享保護(hù) 9.6數(shù)據(jù)遷移保護(hù) 10.1配置管理計(jì)劃 10.2基線配置 10.3變更控制 10.4配置參數(shù)的設(shè)置 10.5最小功能原則 10.6信息系統(tǒng)組件清單 11.1受控維護(hù) 11.2維護(hù)工具 11.3遠(yuǎn)程維護(hù) 11.4維護(hù)人員 11.5及時(shí)維護(hù) 11.6缺陷修復(fù) 11.7安全功能驗(yàn)證 11.8軟件和固件完整性 12.1事件處理計(jì)劃 12.2事件處理 12.3事件報(bào)告 12.4事件處理支持 12.5安全警報(bào) 12.6錯(cuò)誤處理 12.7應(yīng)急響應(yīng)計(jì)劃 12.8應(yīng)急響應(yīng)培訓(xùn) 12.9應(yīng)急演練 12.10信息系統(tǒng)備份 12.11支撐客戶的業(yè)務(wù)連續(xù)性計(jì)劃 12.12電信服務(wù) 13.1可審計(jì)事件 13.2審計(jì)記錄內(nèi)容 13.3審計(jì)記錄存儲(chǔ)容量 13.4審計(jì)過程失敗時(shí)的響應(yīng) 13.6審計(jì)處理和報(bào)告生成 13.8審計(jì)信息保護(hù) 13.9抗抵賴性 13.10審計(jì)記錄留存 14風(fēng)險(xiǎn)評(píng)估與持續(xù)監(jiān)控 14.1風(fēng)險(xiǎn)評(píng)估 14.3持續(xù)監(jiān)控 14.4信息系統(tǒng)監(jiān)測(cè) 14.5垃圾信息監(jiān)測(cè) 15安全組織與人員 15.1安全策略與規(guī)程 15.2安全組織 15.3崗位風(fēng)險(xiǎn)與職責(zé) 15.4人員篩選 15.5人員離職 15.6人員調(diào)動(dòng) 15.7第三方人員安全 15.9安全培訓(xùn) 16.1物理設(shè)施與設(shè)備選址 16.2物理和環(huán)境規(guī)劃 16.4物理環(huán)境訪問控制 16.5輸出設(shè)備訪問控制 16.6物理訪問監(jiān)控 16.7訪客訪問記錄 16.8設(shè)備運(yùn)送和移除 附錄A(資料性)安全能力要求匯總 附錄B(資料性)本文件的實(shí)現(xiàn)情況描述 V本文件代替GB/T31168—2014《信息安全技術(shù)云計(jì)算服務(wù)安全能力要求》,與GB/T31168—2014相比，除結(jié)構(gòu)調(diào)整和編輯性改動(dòng)外，主要技術(shù)變化如下：a)更改了本文件的適用范圍(見第1章，2014年版的第1章);b)增加了對(duì)GB/T32400—2015和GB/T35273—2020的規(guī)范性引用(見第3章、9.1.1);c)更改了部分術(shù)語(yǔ)和定義(見第3章，2014年版的第3章);d)增加了“縮略語(yǔ)”一章(見第4章);f)增加了高級(jí)要求，每類安全要求分別對(duì)應(yīng)一般要求、增強(qiáng)要求和高級(jí)要求(見5.4);g)刪除了“本文件的結(jié)構(gòu)”(見2014年版的4.7);h)刪除了原各類要求分別對(duì)應(yīng)的策略與規(guī)程，整合至第14章的“策略與規(guī)程”(見14.1,2014年i)增加了“安全管理功能的通信保護(hù)”(見7.14);整性(見第9章);1)將“維護(hù)”一章的名稱更改為“維護(hù)管理”(見第11章，2014年版的第9章);m)更改了“機(jī)房設(shè)計(jì)”的內(nèi)容(見第16章，2014年版的第14章)。請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。本文件由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)(SAC/TC260)提出并歸口。本文件及其所替代文件的歷次版本發(fā)布情況為：——2014年首次發(fā)布GB/T31168—2014;VGB/T31168—2023本文件與GB/T31167—2023《信息安全技術(shù)云計(jì)算服務(wù)安全指南》構(gòu)成了云計(jì)算服務(wù)安全管理的基礎(chǔ)文件。GB/T31167—2023提出了客戶采用云計(jì)算服務(wù)的安全管理基本原則，給出了采用云計(jì)算服務(wù)的生命周期各階段的安全管理和技術(shù)措施；本文件面向云服務(wù)商，描述了提供云計(jì)算服務(wù)時(shí)應(yīng)具備的安全技術(shù)能力。參照GB/T31167—2023,本文件分為一般要求、增強(qiáng)要求和高級(jí)要求。根據(jù)云計(jì)算平臺(tái)上的數(shù)據(jù)敏感度和業(yè)務(wù)重要性的不同，云服務(wù)商具備的安全能力也各不相同。1GB/T31168—2023信息安全技術(shù)云計(jì)算服務(wù)安全能力要求本文件規(guī)定了云服務(wù)商提供云計(jì)算服務(wù)時(shí)應(yīng)具備的安全能力。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文本文件。GB/T25069—2022信息安全技術(shù)術(shù)語(yǔ)GB/T31167—2023信息安全技術(shù)云計(jì)算服務(wù)安全指南GB/T32400—2015信息技術(shù)云計(jì)算概覽與詞匯GB/T35273—2020信息安全技術(shù)個(gè)人信息安全規(guī)范GB50174數(shù)據(jù)中心設(shè)計(jì)規(guī)范3術(shù)語(yǔ)和定義GB/T25069—2022、GB/T31167—2023和GB/T32400—2015界定的以及下列術(shù)語(yǔ)和定義適用云服務(wù)商cloudserviceprovider3.4為使用云計(jì)算服務(wù)而處于一定業(yè)務(wù)關(guān)系中的參與方。注1:業(yè)務(wù)關(guān)系不一定包含經(jīng)濟(jì)條款。注2:本文件中云服務(wù)客戶簡(jiǎn)稱客戶。2GB/T31168—20233.5云服務(wù)用戶cloudserviceuser云服務(wù)客戶(3.4)中使用云服務(wù)的自然人或3.6云服務(wù)租戶cloudservicetenant對(duì)一組物理和虛擬資源進(jìn)行共享訪問的一個(gè)或多個(gè)云服務(wù)用戶。3.7云計(jì)算平臺(tái)cloudcomputingplatform云服務(wù)商提供的云計(jì)算基礎(chǔ)設(shè)施及其上的服務(wù)軟件的集合。3.8云能力類型cloudcapabilitiestype根據(jù)資源使用情況對(duì)提供給云服務(wù)客戶的云服務(wù)功能進(jìn)行分類。3.9外部信息系統(tǒng)externalinformationsystem云計(jì)算平臺(tái)之外的信息系統(tǒng)。注：外部信息系統(tǒng)的所有權(quán)、控制權(quán)一般不由云服務(wù)商掌握，其安全措施的使用或有效性不由云服務(wù)商直接控制。3.10開發(fā)商developer注：開發(fā)商一般是云服務(wù)商的內(nèi)部開發(fā)團(tuán)隊(duì)或通過簽訂合同委托開發(fā)的外部開發(fā)團(tuán)隊(duì)，包括個(gè)人、企業(yè)、非營(yíng)利組4縮略語(yǔ)下列縮略語(yǔ)適用于本文件。API:應(yīng)用程序編程接口(applicationprogramminginterface)CPU:中央處理單元(centralprocessingunit)DDoS:分布式拒絕服務(wù)(distributeddenialofservice)DoS:拒絕服務(wù)(denialofservice)FTP:文件傳輸協(xié)議(filetransferprotocol)HTTP:超文本傳輸協(xié)議(hypertexttransferprotocol)IaaS:基礎(chǔ)設(shè)施即服務(wù)(infrastructureasaservice)IP:網(wǎng)絡(luò)互聯(lián)協(xié)議(internetprotocol)iSCSI:互聯(lián)網(wǎng)小型計(jì)算機(jī)系統(tǒng)接口(internetsmallcomputersysteminterface)MAC:介質(zhì)訪問控制層(mediaaccesscontrol)PaaS:平臺(tái)即服務(wù)(platformasaservice)PKI:公鑰基礎(chǔ)設(shè)施(publickeyinfrastructure)3GB/T31168—2023SaaS:軟件即服務(wù)(softwareasaservice)SLA:服務(wù)水平協(xié)議(servicelevelagreement)TELNET:遠(yuǎn)程登錄協(xié)議(teletypenetwork)USB:通用串行總線(universalserialbus)vCPU:虛擬中央處理單元(virtualcentralprocessingunit)VPC:虛擬私有云(virtualprivatecloud)VPN:虛擬專用網(wǎng)(virtualprivatenetwork)WEB:全球廣域網(wǎng)(worldwideweb)5云計(jì)算安全要求的表達(dá)與實(shí)現(xiàn)云計(jì)算環(huán)境的安全性由云服務(wù)商和客戶共同保障。在某些情況下，云服務(wù)商還要依靠其他組織提依據(jù)GB/T31167—2023,云能力類型是根據(jù)資源使用情況對(duì)提供給客戶的云服務(wù)功能進(jìn)行的分客戶客戶應(yīng)用軟件軟件平臺(tái)虛擬化計(jì)算資源資源抽象控制層硬件設(shè)施基礎(chǔ)設(shè)施能力類型基礎(chǔ)設(shè)施能力類型平臺(tái)能力類型應(yīng)用能力類型型能在圖1中，云計(jì)算的設(shè)施層(物理環(huán)境)、硬件由雙方共同承擔(dān)，越靠近底層的云服務(wù)(即基礎(chǔ)設(shè)施能力類型的云服務(wù)),客戶的管理和安全責(zé)任越大；因此，云計(jì)算安全措施的實(shí)施責(zé)任有4類，如表1所示。4GB/T31168—2023表1云計(jì)算安全措施的實(shí)施責(zé)任責(zé)任示例由云服務(wù)商承擔(dān)針對(duì)應(yīng)用能力類型的云服務(wù)，云服務(wù)商對(duì)平臺(tái)上安裝的軟件進(jìn)行安全升級(jí)由客戶承擔(dān)針對(duì)基礎(chǔ)設(shè)施能力類型的云服務(wù)，客戶對(duì)其安裝的應(yīng)用中的用戶行為進(jìn)行審計(jì)由云服務(wù)商和客戶共同承擔(dān)云服務(wù)商的應(yīng)急演練計(jì)劃需要與客戶的應(yīng)急演練計(jì)劃相協(xié)調(diào)。在實(shí)施應(yīng)急演練時(shí)，需要客戶與云服務(wù)商相互配合由其他組織承擔(dān)有的應(yīng)用能力類型服務(wù)提供商需要利用基礎(chǔ)設(shè)施能力類型服務(wù)提供商的基礎(chǔ)設(shè)施服務(wù)，相應(yīng)的物理與環(huán)境保護(hù)措施應(yīng)由基礎(chǔ)設(shè)施能力類型服務(wù)提供商予以實(shí)施本文件不對(duì)客戶承擔(dān)的安全責(zé)任提出要求?？蛻舭凑誈B/T31167—2023及其他有關(guān)網(wǎng)絡(luò)安全的標(biāo)準(zhǔn)落實(shí)其安全責(zé)任。如果云服務(wù)商依賴于其他組織提供的服務(wù)或產(chǎn)品，則其所承擔(dān)的安全責(zé)任直接或間接地轉(zhuǎn)移至其他組織，云服務(wù)商應(yīng)以合同或其他方式對(duì)相應(yīng)安全責(zé)任進(jìn)行規(guī)定并予以落實(shí)。但是，云服務(wù)商仍是客戶或主管部門開展云計(jì)算服務(wù)安全管理的直接對(duì)象。5.2云計(jì)算安全措施的作用范圍在同一個(gè)云計(jì)算平臺(tái)上，可能有多個(gè)應(yīng)用系統(tǒng)或服務(wù)，某些安全措施應(yīng)作用于整個(gè)云計(jì)算平臺(tái)。例如，云服務(wù)商實(shí)施的人員安全措施即適用于云計(jì)算平臺(tái)上每一個(gè)應(yīng)用系統(tǒng)。這類安全措施稱為通用安全措施。某些安全措施僅作用于特定的應(yīng)用或服務(wù)。例如，云計(jì)算平臺(tái)上電子郵件系統(tǒng)的訪問控制措施與文字處理系統(tǒng)的訪問控制措施可能不同。這類安全措施稱為專用安全措施。在特殊情況下，某些安全措施的一部分屬于通用安全措施，另一部分屬于專用安全措施。例如，云計(jì)算平臺(tái)上電子郵件系統(tǒng)的應(yīng)急響應(yīng)計(jì)劃既要利用云服務(wù)商的整體應(yīng)急響應(yīng)資源(如應(yīng)急保障隊(duì)伍),也要針對(duì)電子郵件系統(tǒng)的備份與恢復(fù)做出專門考慮。這類安全措施稱為混合安全措施。云服務(wù)商為客戶提供云計(jì)算服務(wù)時(shí)，每一類云計(jì)算應(yīng)用或服務(wù)均應(yīng)實(shí)現(xiàn)本文件規(guī)定的安全要求。云服務(wù)商可以不再重復(fù)實(shí)現(xiàn)通用安全措施，平臺(tái)上每個(gè)具體的應(yīng)用系統(tǒng)或服務(wù)直接繼承該安全措施即可。5.3安全要求的分類本文件對(duì)云服務(wù)商提出了安全能力要求，反映了云服務(wù)商在保障云計(jì)算環(huán)境中客戶業(yè)務(wù)和數(shù)據(jù)的安全性時(shí)應(yīng)具備的安全能力。這些安全要求分為11類，每一類安全要求包含若干項(xiàng)具體要求。——系統(tǒng)開發(fā)與供應(yīng)鏈安全：云服務(wù)商應(yīng)在開發(fā)云計(jì)算平臺(tái)時(shí)對(duì)其提供充分保護(hù)，對(duì)信息系統(tǒng)、組件和服務(wù)的開發(fā)商提出相應(yīng)要求，為云計(jì)算平臺(tái)配置足夠的資源，并充分考慮安全需求。云服務(wù)商應(yīng)確保其供應(yīng)商采取了必要的安全措施。云服務(wù)商還應(yīng)為客戶提供有關(guān)安全措施的文檔和信息，配合客戶完成對(duì)云計(jì)算平臺(tái)和業(yè)務(wù)系統(tǒng)的管理。——系統(tǒng)與通信保護(hù)：云服務(wù)商應(yīng)在云計(jì)算平臺(tái)的外部邊界和內(nèi)部關(guān)鍵邊界上監(jiān)視、控制和保護(hù)網(wǎng)絡(luò)通信，并采用結(jié)構(gòu)化設(shè)計(jì)、軟件開發(fā)技術(shù)和軟件工程方法有效保護(hù)云計(jì)算平臺(tái)的安全性?！L問控制：云服務(wù)商應(yīng)在允許人員、進(jìn)程、設(shè)備訪問云計(jì)算平臺(tái)之前，對(duì)其進(jìn)行身份標(biāo)識(shí)及鑒5GB/T31168—2023—數(shù)據(jù)保護(hù)：云服務(wù)商應(yīng)嚴(yán)格保護(hù)云計(jì)算平臺(tái)的客戶數(shù)據(jù)，建立數(shù)據(jù)安全管理制度，確保境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的客戶數(shù)據(jù)在境內(nèi)存儲(chǔ)，提供數(shù)據(jù)分類分級(jí)及安全保護(hù)、重要數(shù)據(jù)的備份與恢復(fù)等功能，協(xié)助客戶完成數(shù)據(jù)遷移并在服務(wù)結(jié)束時(shí)安全返還數(shù)據(jù)。——配置管理：云服務(wù)商應(yīng)對(duì)云計(jì)算平臺(tái)進(jìn)行配置管理，在系統(tǒng)生命周期內(nèi)建立和維護(hù)云計(jì)算平臺(tái)(包括硬件、軟件、文檔等)的基線配置和詳細(xì)清單，并設(shè)置和實(shí)現(xiàn)云計(jì)算平臺(tái)中各類產(chǎn)品的安全配置參數(shù)?！S護(hù)管理：云服務(wù)商應(yīng)對(duì)云計(jì)算平臺(tái)設(shè)施和軟件系統(tǒng)進(jìn)行維護(hù)，并對(duì)維護(hù)所使用的工具、技術(shù)、機(jī)制以及維護(hù)人員進(jìn)行有效的管理，且做好相關(guān)記錄。—-—應(yīng)急響應(yīng)：云服務(wù)商應(yīng)為云計(jì)算平臺(tái)制定應(yīng)急響應(yīng)計(jì)劃，并定期演練，確保在緊急情況下重要信息資源的可用性。云服務(wù)商應(yīng)建立事件處理計(jì)劃，包括對(duì)事件的預(yù)防、檢測(cè)、分析和控制及系統(tǒng)恢復(fù)等，對(duì)事件進(jìn)行跟蹤、記錄并向相關(guān)人員報(bào)告。云服務(wù)商應(yīng)具備容災(zāi)恢復(fù)能力，建立必要的備份與恢復(fù)設(shè)施和機(jī)制，支撐客戶業(yè)務(wù)的連續(xù)性計(jì)劃。計(jì)并妥善保存審計(jì)記錄，對(duì)審計(jì)記錄進(jìn)行定期分析和審查，還應(yīng)防范對(duì)審計(jì)記錄的非授權(quán)訪--—風(fēng)險(xiǎn)評(píng)估與持續(xù)監(jiān)控：云服務(wù)商應(yīng)定期或在威脅環(huán)境發(fā)生變化時(shí)，對(duì)云計(jì)算平臺(tái)進(jìn)行風(fēng)險(xiǎn)評(píng)估，確保云計(jì)算平臺(tái)的安全風(fēng)險(xiǎn)處于可接受水平。云服務(wù)商應(yīng)制定監(jiān)控目標(biāo)清單，對(duì)目標(biāo)進(jìn)行持續(xù)安全監(jiān)控，并在發(fā)生異常和非授權(quán)情況時(shí)發(fā)出警報(bào)。———安全組織與人員：云服務(wù)商應(yīng)確保能夠接觸客戶數(shù)據(jù)或業(yè)務(wù)的各類人員(包括供應(yīng)商人員)上崗時(shí)具備履行其安全責(zé)任的素質(zhì)和能力，還應(yīng)在授予相關(guān)人員訪問權(quán)限之前對(duì)其進(jìn)行審查并定期復(fù)查，在人員調(diào)動(dòng)或離職時(shí)履行安全程序，對(duì)于違反安全規(guī)定的人員進(jìn)行處罰。合相關(guān)標(biāo)準(zhǔn)的要求。云服務(wù)商應(yīng)對(duì)機(jī)房進(jìn)行監(jiān)控，嚴(yán)格限制各類人員與運(yùn)行中的云計(jì)算平臺(tái)5.4安全要求的表述形式依據(jù)GB/T31167—2023,本文件提出了一般、增強(qiáng)和高級(jí)三個(gè)能力級(jí)別的具體指標(biāo)要求，將云計(jì)算服務(wù)安全能力要求分為一般要求、增強(qiáng)要求和高級(jí)要求。所有的客戶數(shù)據(jù)都應(yīng)該得到適當(dāng)保護(hù)，為不同類型的數(shù)據(jù)提供相應(yīng)的保護(hù)能力；所有的客戶業(yè)務(wù)都應(yīng)得到適當(dāng)保護(hù)，保證業(yè)務(wù)的安全性和連續(xù)性。GB/T31167—2023給出了業(yè)務(wù)類型、數(shù)據(jù)類型與安全能力級(jí)別之間的對(duì)應(yīng)關(guān)系，云服務(wù)商為客戶提供相應(yīng)強(qiáng)度的安全保護(hù)，如圖2所示。6數(shù)據(jù)類型數(shù)據(jù)類型高級(jí)敏感類增強(qiáng)增強(qiáng)般-增強(qiáng)關(guān)鍵業(yè)務(wù)業(yè)務(wù)類型數(shù)據(jù)一般業(yè)務(wù)增強(qiáng)二般圖2云計(jì)算服務(wù)的安全能力級(jí)別本文件中每一項(xiàng)安全要求均以一般要求、增強(qiáng)要求和高級(jí)要求的形式給出，附錄A給出了不同安全能力級(jí)別選擇及相關(guān)要求的數(shù)量統(tǒng)計(jì)情況。高級(jí)要求和增強(qiáng)要求分別是對(duì)其低一級(jí)要求的補(bǔ)充和強(qiáng)化。在實(shí)現(xiàn)高級(jí)要求或增強(qiáng)要求時(shí)，其低一級(jí)要求應(yīng)首先得到滿足。有的安全要求只列出了增強(qiáng)要求，一般要求標(biāo)為“無”,這表明對(duì)于具有一般即使對(duì)同等安全能力水平的云服務(wù)商，其實(shí)現(xiàn)安全要求的方式也可能會(huì)有差異。為此，本文件在描“賦值”表示云服務(wù)商在實(shí)現(xiàn)安全要求時(shí)，要由其定義具體的數(shù)值或內(nèi)容?！斑x擇”表示云服務(wù)商在實(shí)現(xiàn)安全要求時(shí)，應(yīng)選擇一個(gè)給定的數(shù)值或內(nèi)容。5.5安全要求的調(diào)整本文件提出的安全要求是通常情況下云服務(wù)商應(yīng)具備的安全能力。在具體的應(yīng)用場(chǎng)景下，云服務(wù)商有可能需要對(duì)這些安全要求進(jìn)行調(diào)整。調(diào)整的方式有：-—?jiǎng)h減：未實(shí)現(xiàn)某項(xiàng)安全要求，或只實(shí)現(xiàn)了某項(xiàng)安全要求的一部分；——補(bǔ)充：某項(xiàng)安全要求不足以滿足云服務(wù)商的特定安全目標(biāo)，故增加新的安全要求，或?qū)?biāo)準(zhǔn)中規(guī)定的某項(xiàng)安全要求進(jìn)行強(qiáng)化；——已知某些目標(biāo)客戶有特殊的需求；——云服務(wù)商的安全責(zé)任因應(yīng)用能力類型、平臺(tái)能力類型和基礎(chǔ)設(shè)施能力類型等不同的云能力類型不同，云服務(wù)商為了實(shí)現(xiàn)本文件中規(guī)定的安全要求，所選擇的安全措施的實(shí)施范圍、實(shí)施強(qiáng)7GB/T31168—2023度可能不同；還需對(duì)本文件提出的安全要求進(jìn)行調(diào)整。安全計(jì)劃包括但不限于以下內(nèi)容。●系統(tǒng)拓?fù)?；●系統(tǒng)運(yùn)營(yíng)單位；●云能力類型和部署模式；●系統(tǒng)軟硬件清單；——為實(shí)現(xiàn)本文件規(guī)定的安全要求而采取的安全措施的具體情況。對(duì)每項(xiàng)安全要求，云服務(wù)商均應(yīng)在以下6個(gè)選項(xiàng)中選擇其一作為對(duì)實(shí)現(xiàn)情況的整體描述，并針對(duì)性地提供詳細(xì)說明?！駶M足。此種情況下，應(yīng)說明為滿足安全要求而采取的具體措施。要求應(yīng)說明理由。●計(jì)劃滿足。此種情況下，應(yīng)說明時(shí)間進(jìn)度安排以及在此期間的風(fēng)險(xiǎn)管控措施。●不滿足。此種情況下，應(yīng)說明不滿足的理由。●不適用。此種情況下，應(yīng)說明不適用的理由。——對(duì)云服務(wù)商新增的安全目標(biāo)及對(duì)應(yīng)的安全措施的說明。附錄B給出了安全計(jì)劃中本文件安全要求的實(shí)現(xiàn)情況描述模板以及不適用項(xiàng)的識(shí)別方法。云服務(wù)商應(yīng)：作為單列項(xiàng)予以考慮。8GB/T31168—2023c)將信息安全風(fēng)險(xiǎn)管理過程集成到系統(tǒng)生命周期活動(dòng)中；d)在系統(tǒng)生命周期中應(yīng)用安全工程原則，根據(jù)實(shí)際情況可包括：在設(shè)計(jì)階段制定安全策略和措無。無。云服務(wù)商應(yīng)根據(jù)相關(guān)規(guī)定和標(biāo)準(zhǔn)的要求以及可能的客戶需求：時(shí)傳達(dá)到供應(yīng)鏈上的有關(guān)各方；c)與供應(yīng)商簽訂SLA,確保與供應(yīng)商簽訂的SLA中的相關(guān)指標(biāo)，不低于擬與客戶所簽訂的SLAa)提供安全功能或安全機(jī)制描述；b)提供系統(tǒng)開發(fā)過程質(zhì)量保障證據(jù)，例如：表明其在系統(tǒng)開發(fā)過程中使用了成熟的系統(tǒng)工程方9GB/T31168—2023d)制定對(duì)安全措施有效性的持續(xù)監(jiān)控計(jì)劃。云服務(wù)商應(yīng)滿足以下要求。a)確保云計(jì)算平臺(tái)具有管理員文檔且涵蓋以下信息：1)信息系統(tǒng)、組件或服務(wù)的安全配置，以及安裝和運(yùn)行說明；2)安全特性或功能的使用和維護(hù)說明；3)與管理功能有關(guān)的配置和使用說明。1)安全功能、機(jī)制及其使用方法；3)用戶安全責(zé)任。無。無。無。云服務(wù)商應(yīng)在[賦值：云服務(wù)商定義的系統(tǒng)生命周期中的決策點(diǎn)],如規(guī)劃、設(shè)計(jì)或發(fā)生重大變更GB/T31168—2023云服務(wù)商應(yīng)：a)要求外部服務(wù)提供商遵從并實(shí)施云服務(wù)商的安全要求；b)明確外部服務(wù)提供商的安全分工與責(zé)任，同時(shí)要求外部服務(wù)提供商接受相關(guān)客戶監(jiān)督；c)對(duì)外部服務(wù)提供商所提供的安全措施的合規(guī)性進(jìn)行持續(xù)監(jiān)控，例如：在服務(wù)水平協(xié)議中明云服務(wù)商應(yīng)滿足以下要求。a)在采購(gòu)或外包安全服務(wù)(如應(yīng)急保障服務(wù))前，評(píng)估該服務(wù)帶來的風(fēng)險(xiǎn)。b)確保安全服務(wù)的采購(gòu)或外包得到安全責(zé)任部門以及相關(guān)人員或角色的批準(zhǔn)。1)對(duì)外部服務(wù)提供商人員進(jìn)行背景審查或要求外部服務(wù)提供商提供可信的人員背景審查2)檢查外部服務(wù)提供商資本變更記錄；3)定期或不定期檢查外部服務(wù)提供商的設(shè)施。f)基于[賦值：云服務(wù)商定義的要求或條件],限制[選擇：數(shù)據(jù)處理；數(shù)據(jù)；信息系統(tǒng)服務(wù)]的地?zé)o。無。云服務(wù)商應(yīng)滿足以下要求。務(wù)商的整體安全架構(gòu)；2)準(zhǔn)確完整地描述了所需的安全功能，并為物理和邏輯組件分配了安全措施；GB/T31168—2023件和固件。無。b)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商在開發(fā)過程的初始階段定義質(zhì)量度量標(biāo)準(zhǔn)，并以[選擇：質(zhì)量度量標(biāo)準(zhǔn)的落實(shí)情況；脅和脆弱性分析；服務(wù)商定義的人員或角色];f)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商即使在交付信息系統(tǒng)、組件或服務(wù)后，也應(yīng)跟蹤漏洞情服務(wù)商自行安裝；無。GB/T31168—2023a)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商提供能夠驗(yàn)證軟件和固件組件完整性的方法；b)在沒有專用的開發(fā)商配置團(tuán)隊(duì)支持的情況下，由本組織的人員建立相應(yīng)的配置管理流程；無。a)制定并實(shí)施安全評(píng)估計(jì)劃；全測(cè)試或評(píng)估；d)實(shí)施可驗(yàn)證的缺陷修復(fù)過程；e)更正在安全評(píng)估過程中發(fā)現(xiàn)的脆弱性和不足。云服務(wù)商應(yīng)滿足以下要求。1)選擇第三方驗(yàn)證開發(fā)商實(shí)施安全評(píng)估計(jì)劃的正確性以及在安全測(cè)試或評(píng)估過程中產(chǎn)生的GB/T31168—20232)確保第三方能夠獲得足夠的資料來完成驗(yàn)證過程，或已被授予獲得此類信息的訪問權(quán)限。商定義的廣度和深度]執(zhí)行滲透性測(cè)試。g)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商驗(yàn)證安全測(cè)試或評(píng)估范圍滿足[賦值：云服務(wù)商定義的廣度和深度要求]。云服務(wù)商應(yīng)滿足以下要求。1)選擇獨(dú)立第三方驗(yàn)證開發(fā)商實(shí)施安全評(píng)估計(jì)劃的正確性以及在安全測(cè)試或評(píng)估過程中產(chǎn)2)確保獨(dú)立第三方能夠獲得足夠的資料來完成驗(yàn)證過程，或已被授予獲得此類信息的訪問權(quán)限。b)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商對(duì)[賦值：云服務(wù)商定義的特定代碼]實(shí)施人工代碼審查。人工代碼審查可用于對(duì)關(guān)鍵組件代碼審查，該代碼實(shí)現(xiàn)與應(yīng)用程序或外部環(huán)境威脅相關(guān)性較云服務(wù)商可重構(gòu)系統(tǒng)。的恢復(fù)能力，避免故障或異常情造成嚴(yán)重影響與后果；主動(dòng)識(shí)別并修復(fù)壓力環(huán)境下的故障無。無。GB/T31168—20236.12組件真實(shí)性a)制定和實(shí)施防贗品的策略和規(guī)程，檢測(cè)并防止贗品組c)對(duì)相關(guān)人員或角色進(jìn)行有關(guān)贗品組件檢測(cè)的培訓(xùn)；e)銷毀廢棄的信息系統(tǒng)組件；6.13不被支持的系統(tǒng)組件支持或來自其他外部提供商的支持。云服務(wù)商應(yīng)滿足以下要求。及涉及供應(yīng)鏈單元生產(chǎn)或發(fā)布的其他程序；2)供應(yīng)鏈參與者指供應(yīng)鏈中具有特定角色和責(zé)任的獨(dú)立個(gè)體。b)識(shí)別對(duì)云計(jì)算服務(wù)的安全性存在重要影響的外包服務(wù)或采購(gòu)的產(chǎn)品。GB/T31168—2023據(jù)庫(kù)系統(tǒng)。云服務(wù)商應(yīng)滿足以下要求。1)優(yōu)先購(gòu)買現(xiàn)貨產(chǎn)品，避免購(gòu)買定制設(shè)備；2)在能提供相同產(chǎn)品的多個(gè)不同供應(yīng)商中做選擇，以防范供應(yīng)商鎖定風(fēng)險(xiǎn)；3)選擇有聲譽(yù)的企業(yè)，建立合格供應(yīng)商列表(含潛在供應(yīng)商);4)縮短采購(gòu)決定和交付的時(shí)間間隔；5)使用可信或可控的分發(fā)、交付和倉(cāng)儲(chǔ)手段；6)限制從特定供應(yīng)商或國(guó)家采購(gòu)產(chǎn)品或服務(wù)；8)制定物流管理規(guī)程，完整記錄入庫(kù)、轉(zhuǎn)庫(kù)等物流信息，確保產(chǎn)品的可追溯性；在此基礎(chǔ)b)優(yōu)先選擇滿足下列條件的供應(yīng)商：2)企業(yè)運(yùn)轉(zhuǎn)過程和安全措施相對(duì)透明，具有相關(guān)文檔記錄；4)在合同中聲明不使用有惡意代碼產(chǎn)品或假冒產(chǎn)品。采取有關(guān)措施對(duì)風(fēng)險(xiǎn)進(jìn)行控制。g)采取有關(guān)措施(如簽訂協(xié)議),使供應(yīng)鏈安全事件信息或威脅信息能夠及時(shí)傳達(dá)到供應(yīng)鏈相關(guān)方。6.14.3高級(jí)要求云服務(wù)商應(yīng)：a)在連接外部網(wǎng)絡(luò)或外部信息系統(tǒng)的邊界以及內(nèi)部關(guān)鍵邊界上，對(duì)通信進(jìn)行監(jiān)控；b)將允許外部公開直接訪問的組件，劃分在一個(gè)與內(nèi)部網(wǎng)絡(luò)邏輯隔離的子網(wǎng)絡(luò)上，如隔離區(qū)(DMZ),確保允許外部人員訪問的組件與允許客戶訪問的組件在邏輯層面實(shí)現(xiàn)嚴(yán)格的網(wǎng)絡(luò)c)確保與外部網(wǎng)絡(luò)或信息系統(tǒng)的連接只能通過嚴(yán)格管理的接口進(jìn)行，該接口上應(yīng)部署有邊界保云服務(wù)商應(yīng)滿足以下要求。于其他類型的客戶的平臺(tái)和系統(tǒng)所使用，且僅通過部署了邊界保護(hù)設(shè)備或措施的受控接口與連接外部網(wǎng)絡(luò)或服務(wù)于其他類型的客戶的平臺(tái)和系統(tǒng)相連。b)限制云計(jì)算平臺(tái)外部訪問接入點(diǎn)的數(shù)量，以便對(duì)進(jìn)出通信和網(wǎng)絡(luò)流量實(shí)施有效監(jiān)控。c)采取以下措施對(duì)外部通信進(jìn)行保護(hù)：1)對(duì)每一個(gè)外部的電信服務(wù)接口進(jìn)行管理；2)對(duì)每一個(gè)接口制定通信流策略；3)采取有關(guān)措施對(duì)所傳輸?shù)男畔⒘鬟M(jìn)行必要的保密性和完整性保護(hù)；流策略的例外項(xiàng)中；5)按照[賦值：云服務(wù)商定義的頻率],對(duì)網(wǎng)絡(luò)通信流策略中的例外項(xiàng)進(jìn)行審查，在通信流策略中刪除不再需要的例外項(xiàng)。d)確保云計(jì)算平臺(tái)網(wǎng)絡(luò)出入口在默認(rèn)情況下拒絕所有網(wǎng)絡(luò)通信流量，僅允許滿足最小業(yè)務(wù)需求的網(wǎng)絡(luò)通信流量通過。e)支持客戶使用獨(dú)立的代理服務(wù)器實(shí)現(xiàn)信息的導(dǎo)入導(dǎo)出。受影響部分]能夠安全地終止運(yùn)行。g)采取措施滿足不同客戶或同一客戶不同業(yè)務(wù)的信息系統(tǒng)之間隔離的需求。GB/T31168—2023a)對(duì)存在安全隱患的功能與其他業(yè)務(wù)功能進(jìn)行隔離；務(wù)或業(yè)務(wù)功能]。云服務(wù)商應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性和完整性。云服務(wù)商應(yīng)提供滿足國(guó)家密碼管理法律法規(guī)的通信加密和簽名驗(yàn)簽設(shè)施。云服務(wù)商應(yīng)在通信前基于密碼技術(shù)對(duì)通信的雙方進(jìn)行驗(yàn)證或認(rèn)證。無。云服務(wù)商應(yīng)采取有關(guān)措施，確保在應(yīng)用層通信會(huì)話結(jié)束時(shí)以及在[賦值：云服務(wù)商定無。7.4.2增強(qiáng)要求云服務(wù)商應(yīng)采取有關(guān)措施，確保在云計(jì)算平臺(tái)用戶和系統(tǒng)安全功能之間建立一條可信的通信路無。GB/T31168—20237.5密碼使用和管理云服務(wù)商應(yīng)按照國(guó)家密碼管理有關(guān)規(guī)定使用和管理云計(jì)算平臺(tái)中使用和管理密鑰。7.5.2增強(qiáng)要求a)限制本地及遠(yuǎn)程終端設(shè)備接入云計(jì)算平臺(tái)，在設(shè)備接入云計(jì)算平臺(tái)前對(duì)其進(jìn)行唯一性標(biāo)識(shí)和d)對(duì)接入云計(jì)算平臺(tái)的移動(dòng)存儲(chǔ)設(shè)備進(jìn)行標(biāo)識(shí)，確保只能經(jīng)其授權(quán)的移動(dòng)存儲(chǔ)設(shè)備才可接入云計(jì)算平臺(tái)；e)禁止在云計(jì)算平臺(tái)及其遠(yuǎn)程運(yùn)維網(wǎng)絡(luò)中接入移動(dòng)智能設(shè)備或產(chǎn)品，如智能手機(jī)、個(gè)人平板電f)關(guān)閉網(wǎng)絡(luò)設(shè)備中未使用的網(wǎng)絡(luò)接口；云服務(wù)商應(yīng)在遠(yuǎn)程運(yùn)維終端接入云計(jì)算平臺(tái)前對(duì)其進(jìn)行安全檢查，確保安全狀態(tài)符合云計(jì)算平臺(tái)對(duì)允許使用的移動(dòng)代碼進(jìn)行監(jiān)視。其中，移動(dòng)代碼是指在服務(wù)過程中從服務(wù)端下載并在客戶端執(zhí)行的GB/T31168—2023b)禁止自動(dòng)執(zhí)行移動(dòng)代碼。無。云服務(wù)商應(yīng)在用戶注銷或會(huì)話終止時(shí)使會(huì)話標(biāo)識(shí)符失效。云服務(wù)商應(yīng)提供驗(yàn)證通信會(huì)話(如云計(jì)算平臺(tái)的管理會(huì)話、業(yè)務(wù)會(huì)話等)雙方身份真實(shí)性和保護(hù)通無。a)在網(wǎng)絡(luò)出入口以及系統(tǒng)中的主機(jī)、移動(dòng)計(jì)算和存儲(chǔ)設(shè)備上實(shí)施惡意代碼防護(hù)機(jī)制；c)及時(shí)對(duì)惡意代碼告警記錄進(jìn)行檢查和分析。a)自動(dòng)更新惡意代碼防護(hù)機(jī)制；b)集中管理惡意代碼防護(hù)機(jī)制。云服務(wù)商應(yīng)：a)具備不依賴病毒庫(kù)特征的情況下對(duì)惡意代碼防護(hù)的機(jī)制；GB/T31168—20237.10內(nèi)存防護(hù)7.10.2增強(qiáng)要求云服務(wù)商應(yīng)采取內(nèi)存防護(hù)措施對(duì)內(nèi)存進(jìn)行防護(hù)，避免非授權(quán)代碼執(zhí)行。7.11系統(tǒng)虛擬化安全性7.11.1一般要求云服務(wù)商應(yīng)滿足以下要求。1)提供虛擬機(jī)鏡像、快照文件完整性校驗(yàn)功能，防止虛擬機(jī)鏡像被惡意篡改；2)采取有關(guān)措施保證邏輯卷同一時(shí)刻只能被一個(gè)虛擬機(jī)掛載。b)實(shí)現(xiàn)虛擬化平臺(tái)的資源隔離，并保證：1)虛擬機(jī)只能訪問分配給該虛擬機(jī)的物理磁盤空間；2)不同虛擬機(jī)之間的虛擬CPU(vCPU)指令實(shí)現(xiàn)隔離；3)不同虛擬機(jī)之間實(shí)現(xiàn)內(nèi)存隔離；4)確保某個(gè)虛擬機(jī)崩潰后不影響虛擬機(jī)監(jiān)控器(Hypervisor)及其他虛擬機(jī)。c)提供資源隔離失敗后的告警措施。d)支持虛擬機(jī)安全隔離，在虛擬機(jī)監(jiān)控器(Hypervisor)層提供虛擬機(jī)與物理機(jī)之間的安全隔離措施，控制虛擬機(jī)之間以及虛擬機(jī)和物理機(jī)之間所有的數(shù)據(jù)通信。e)提供虛擬化平臺(tái)操作管理員權(quán)限分離機(jī)制。f)確保虛擬鏡像模板的配置正確性，并明確模板的譜系來源。7.11.2增強(qiáng)要求云服務(wù)商應(yīng)：a)提供虛擬機(jī)跨物理機(jī)遷移過程中的保護(hù)措施；b)提供對(duì)虛擬機(jī)所在物理機(jī)范圍進(jìn)行指定或限定的能力；c)提供防止虛擬機(jī)鏡像文件數(shù)據(jù)被非授權(quán)訪問的功能；d)對(duì)虛擬機(jī)模板文件、配置文件等重要數(shù)據(jù)進(jìn)行完整性檢測(cè)；e)采取措施確保虛擬機(jī)的內(nèi)存被釋放或再分配給其他虛擬機(jī)前得到完全釋放。云服務(wù)商應(yīng)支持采用虛擬機(jī)鏡像或快照文件加密的方式，防止虛擬機(jī)鏡像或快照文件數(shù)據(jù)被非授權(quán)訪問。GB/T31168—20237.12網(wǎng)絡(luò)虛擬化安全性a)針對(duì)不同云服務(wù)租戶虛擬網(wǎng)絡(luò)資源(如VPC)間的訪問實(shí)施網(wǎng)絡(luò)邏輯隔離，保證不同云服務(wù)租絡(luò)隔離能力和訪問控制措施；b)對(duì)虛擬機(jī)的網(wǎng)絡(luò)接口的帶寬進(jìn)行管理；c)能夠?yàn)樵品?wù)租戶業(yè)務(wù)提供虛擬化的負(fù)載均衡方案，保證云服務(wù)租戶業(yè)務(wù)的可靠性。無。無。7.13存儲(chǔ)虛擬化安全性云服務(wù)商應(yīng)：a)支持將對(duì)存儲(chǔ)數(shù)據(jù)的安全控制措施應(yīng)用到邏輯和物理存儲(chǔ)實(shí)體上，確保不會(huì)因信息在物理存儲(chǔ)位置上的改變而導(dǎo)致安全控制措施被旁路；b)禁止或限制對(duì)物理存儲(chǔ)實(shí)體的直接訪問；租戶數(shù)據(jù)]能夠在[賦值：云服務(wù)商定義的需要清除租戶數(shù)據(jù)的操作]后e)提供虛擬存儲(chǔ)數(shù)據(jù)審計(jì)措施；f)提供虛擬存儲(chǔ)數(shù)據(jù)訪問控制措施；g)提供虛擬存儲(chǔ)冗余備份支持。a)提供存儲(chǔ)協(xié)議級(jí)數(shù)據(jù)訪問授權(quán)，如實(shí)施iSCSI等存儲(chǔ)協(xié)議級(jí)別的安全控制；b)允許客戶部署滿足國(guó)家密碼管理規(guī)定的數(shù)據(jù)加密方案，能夠在云計(jì)算平臺(tái)以密文形式存儲(chǔ)客c)支持第三方加密及密鑰管理方案。GB/T31168—20237.14安全管理功能的通信保護(hù)a)將云計(jì)算平臺(tái)管理流量與客戶業(yè)務(wù)流量進(jìn)行分離；b)能夠?qū)ξ锢碣Y源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配；移等信息進(jìn)行監(jiān)控。a)確保虛擬化平臺(tái)的管理命令采用加密方式進(jìn)行傳輸；b)當(dāng)對(duì)云計(jì)算平臺(tái)進(jìn)行遠(yuǎn)程維護(hù)管理時(shí)，防止遠(yuǎn)程無。8訪問控制a)對(duì)信息系統(tǒng)的用戶進(jìn)行唯一標(biāo)識(shí)和鑒別；b)對(duì)特權(quán)賬號(hào)的網(wǎng)絡(luò)訪問實(shí)施多因子鑒別。因子鑒別憑證同時(shí)遭到破壞或泄露；a)對(duì)特權(quán)賬號(hào)的本地訪問實(shí)施多因子鑒別；b)對(duì)非特權(quán)賬號(hào)的網(wǎng)絡(luò)訪問實(shí)施抗重放鑒別機(jī)制，確保云計(jì)算平臺(tái)能夠抗重放攻擊。8.2標(biāo)識(shí)符管理云服務(wù)商應(yīng)：GB/T31168—2023a)在[賦值：云服務(wù)商定義的時(shí)間段]內(nèi)防止對(duì)用戶或設(shè)備標(biāo)識(shí)符的重用；的身份(如將電子郵件的接收者標(biāo)識(shí)為合同商，以便與本組織人員相區(qū)分);無。云服務(wù)商應(yīng)滿足以下要求。a)通過以下步驟管理鑒別憑證：2)確定鑒別憑證的初始內(nèi)容；3)確保鑒別憑證能夠有效防止偽造和篡改；4)針對(duì)鑒別憑證的初始分發(fā)、丟失處置以及重置，建立和實(shí)施管理流程；5)強(qiáng)制要求用戶更改鑒別憑證的默認(rèn)內(nèi)容；6)明確鑒別憑證的最小和最大生存時(shí)間限制以及再用條件；7)對(duì)[賦值：云服務(wù)商定義的鑒別憑證],強(qiáng)制要求在[賦值：云服務(wù)商定義的時(shí)間段]之后更b)對(duì)于基于口令的鑒別：令復(fù)雜度規(guī)則];3)對(duì)存儲(chǔ)和傳輸?shù)目诹钸M(jìn)行加密；4)強(qiáng)制執(zhí)行最小和最大生存時(shí)間限制，以滿足[賦值：云服務(wù)商定義的最小生存時(shí)間和最大生存時(shí)間]。令牌。云服務(wù)商應(yīng)滿足以下要求。a)對(duì)于基于PKI的鑒別：GB/T31168—20232)對(duì)相應(yīng)私鑰進(jìn)行保護(hù)。云服務(wù)商應(yīng)及時(shí)禁用緩存的鑒別憑證。8.4.1一般要求云服務(wù)商應(yīng)確保信息系統(tǒng)在鑒別過程中能夠隱藏鑒別信息的反饋無。8.5密碼模塊鑒別云服務(wù)商應(yīng)確保系統(tǒng)中的密碼模塊對(duì)操作人員設(shè)置了鑒別機(jī)制，該機(jī)制應(yīng)滿足國(guó)家密碼管理的有關(guān)規(guī)定。無。無。云服務(wù)商應(yīng)滿足以下要求。1)當(dāng)臨時(shí)賬號(hào)不再需要時(shí)；2)當(dāng)用戶離職或調(diào)動(dòng)時(shí)；3)當(dāng)變更信息系統(tǒng)用途時(shí)。d)按照[賦值：云服務(wù)商定義的頻率],檢查賬GB/T31168—2023人員或角色];特權(quán)角色的分配進(jìn)行跟蹤和監(jiān)視。使用；a)對(duì)云計(jì)算平臺(tái)上信息和系統(tǒng)資源的邏輯訪問進(jìn)行授權(quán)；云服務(wù)商應(yīng)確?？蛻艨梢砸罁?jù)[賦值：云服務(wù)商定義的強(qiáng)制實(shí)施的訪問控制策略],確定主體對(duì)客體1)將信息傳遞給非授權(quán)的主體和客體；2)將權(quán)限授予其他主體；5)變更訪問控制管理規(guī)則。b)針對(duì)[賦值：云服務(wù)商定義的主體],可明確授予[賦值：云服務(wù)商定義的特權(quán)],不被a)條的部分或全部條件所約束。云服務(wù)商應(yīng)保證客戶可以依據(jù)[賦值：云服務(wù)商定義的強(qiáng)制實(shí)施的訪問控制策略],確定主體對(duì)客體GB/T31168—2023云服務(wù)商應(yīng)在確保客戶隱私權(quán)和安全利益的前提下：a)按照[賦值：云服務(wù)商定義的信息流控制策略],控制系統(tǒng)內(nèi)或互連系統(tǒng)間的信息流動(dòng)，包括限制云計(jì)算平臺(tái)主動(dòng)對(duì)外部網(wǎng)絡(luò)的訪問、限制跨VPC的數(shù)據(jù)流動(dòng)、限制某些數(shù)據(jù)格式或含關(guān)鍵字的信息流出云計(jì)算平臺(tái)；b)在不同的安全域之間傳輸信息時(shí)，檢查信息中是否存在[賦值：云服務(wù)商定義的禁止類信域之間的任何信息以違背信息流策略的方式進(jìn)行流動(dòng)。a)確保為用戶提供的訪問權(quán)限是其完成指定任務(wù)所必需的，且符合本組織的業(yè)務(wù)需求；b)對(duì)[賦值：云服務(wù)商定義的安全功能和安全相關(guān)信息云服務(wù)商應(yīng)：使用非特權(quán)賬號(hào)或角色；a)限制僅[賦值：云服務(wù)商定義的強(qiáng)制操作需求],才可授權(quán)對(duì)[賦值：云服務(wù)商定義的特權(quán)命令]刪除特權(quán)賬號(hào)；c)防止[賦值：云服務(wù)商定義的云計(jì)算平臺(tái)軟件]使用比用戶所運(yùn)行軟件更高的權(quán)限運(yùn)行。GB/T31168—20238.10未成功的登錄嘗試云服務(wù)商應(yīng)：a)將[賦值：云服務(wù)商定義的時(shí)間段]內(nèi)連續(xù)登錄失敗的上限限定為[賦值：云服務(wù)商定義的次數(shù)];b)當(dāng)?shù)卿浭〈螖?shù)超過上限時(shí)，系統(tǒng)將鎖定賬號(hào)，直至[選擇：達(dá)到[賦值：云服務(wù)商定義的時(shí)間段];由管理員解鎖]。8.10.2增強(qiáng)要求無。云服務(wù)商應(yīng)在[賦值：云服務(wù)商定義的次數(shù)]的連續(xù)不成功地設(shè)備登錄嘗試之后，采用技術(shù)措施清除[賦值：云服務(wù)商定義的移動(dòng)設(shè)備]的信息。8.11系統(tǒng)使用通知云服務(wù)商應(yīng)滿足以下要求。a)在準(zhǔn)予用戶訪問系統(tǒng)之前，向用戶顯示系統(tǒng)使用通知消息或標(biāo)語(yǔ)，根據(jù)有關(guān)政策法規(guī)的要1)用戶正訪問某重要單位的信息系統(tǒng)；2)系統(tǒng)的使用過程可能被監(jiān)視、記錄并受到審計(jì)；3)禁止對(duì)系統(tǒng)進(jìn)行越權(quán)使用，否則將承擔(dān)法律責(zé)任；4)一旦使用該系統(tǒng)，則表明同意受到監(jiān)視和記錄。b)在屏幕上保留通知消息或標(biāo)語(yǔ)，直到用戶登錄或繼續(xù)使用系統(tǒng)。8.11.2增強(qiáng)要求無。無。8.12前次訪問通知8.12.1一般要求云服務(wù)商應(yīng)在用戶登錄系統(tǒng)后，顯示前次登錄信息。根據(jù)實(shí)際情況，前次登錄信息可包括：上一次登錄時(shí)間、上一次登錄IP地址等設(shè)備信息、已經(jīng)累計(jì)登錄失敗次數(shù)等。無。GB/T31168—20238.12.3高級(jí)要求8.13并發(fā)會(huì)話控制云服務(wù)商應(yīng)確保云計(jì)算平臺(tái)的[賦值：云服務(wù)商定義的賬號(hào)],沒有兩個(gè)或兩個(gè)以上的并發(fā)會(huì)話。8.13.3高級(jí)要求云服務(wù)商應(yīng)確保云計(jì)算平臺(tái)的各賬號(hào)，沒有兩個(gè)或兩個(gè)以上的并發(fā)會(huì)話。8.14會(huì)話鎖定8.14.2增強(qiáng)要求云服務(wù)商應(yīng)：a)當(dāng)用戶在[賦值：云服務(wù)商定義的時(shí)間段]內(nèi)未活動(dòng)或者用戶主動(dòng)發(fā)起鎖定指令時(shí)，實(shí)施會(huì)話鎖b)保持會(huì)話鎖定，直到用戶通過已有的標(biāo)識(shí)和鑒別過程，再次建立連接；c)對(duì)鎖定前可見的信息進(jìn)行隱藏，并顯示公開可見的圖像。8.15未進(jìn)行標(biāo)識(shí)和鑒別情況下可采取的行動(dòng)云服務(wù)商應(yīng)確定無需進(jìn)行標(biāo)識(shí)和鑒別即可在云計(jì)算平臺(tái)上實(shí)施的用戶行為，并說明理由。該行為要符合云服務(wù)商的安全策略，并且與云計(jì)算平臺(tái)上系統(tǒng)的功能相一致。無。GB/T31168—20238.16安全屬性無。云服務(wù)商應(yīng)：義安全屬性，確定安全屬性值或范圍；聯(lián)。例如：將信息的安全屬性與其訪問權(quán)限、訪問環(huán)境關(guān)聯(lián)起來。8.16.3高級(jí)要求無。8.17遠(yuǎn)程訪問a)對(duì)[賦值：云服務(wù)商定義的遠(yuǎn)程訪問方法]明確使用限制、配置和連接要求；b)明確遠(yuǎn)程訪問的實(shí)施條件，采取有關(guān)措施保證遠(yuǎn)程訪問的安全；c)在允許遠(yuǎn)程連接前，對(duì)遠(yuǎn)程訪問方式進(jìn)行授權(quán)；d)實(shí)時(shí)監(jiān)視非授權(quán)的云服務(wù)遠(yuǎn)程連接，并在發(fā)現(xiàn)非授權(quán)連接時(shí)采取適當(dāng)?shù)奶幹么胧?。a)自動(dòng)監(jiān)視和控制遠(yuǎn)程訪問會(huì)話，以檢測(cè)網(wǎng)絡(luò)攻擊，確保遠(yuǎn)程訪問策略得以實(shí)現(xiàn)；b)使用密碼機(jī)制，以保證遠(yuǎn)程訪問會(huì)話的保密性和完整性；c)確保所有遠(yuǎn)程訪問只能經(jīng)過有限數(shù)量的、受管理的訪問控制點(diǎn)；d)對(duì)遠(yuǎn)程執(zhí)行特權(quán)命令進(jìn)行限制(如刪除虛擬機(jī)、創(chuàng)建系統(tǒng)賬號(hào)、配置訪問授權(quán)、執(zhí)行系統(tǒng)管理功能、審計(jì)系統(tǒng)事件或訪問事件日志等),僅在為滿足[賦值：云服務(wù)商定義的需求]的情況下，才能通過遠(yuǎn)程訪問的方式，授權(quán)執(zhí)行特權(quán)命令或訪問安全相關(guān)信息，并采取更嚴(yán)格的保護(hù)措施且進(jìn)行審計(jì)；在安全計(jì)劃中應(yīng)說明這種遠(yuǎn)程訪問的合理性；e)在遠(yuǎn)程訪問時(shí)禁止使用非安全的網(wǎng)絡(luò)協(xié)議，例如：FTP、Tf)針對(duì)集中對(duì)多個(gè)云計(jì)算平臺(tái)進(jìn)行遠(yuǎn)程運(yùn)維的，采取措施對(duì)集中運(yùn)維環(huán)境、網(wǎng)絡(luò)接入方式、運(yùn)維終端、不同云計(jì)算平臺(tái)鑒別憑證等進(jìn)行安全保護(hù)；g)針對(duì)遠(yuǎn)程接入方式為非物理專線且由供應(yīng)商提供的，對(duì)供應(yīng)商遠(yuǎn)程接入方式進(jìn)行安全評(píng)估，要求供應(yīng)商提供服務(wù)資質(zhì)、遠(yuǎn)程接入的安全性證書或第三方安全檢測(cè)報(bào)告。8.17.3高級(jí)要求無。GB/T31168—20238.18無線訪問a)限制云計(jì)算平臺(tái)上的無線網(wǎng)絡(luò)功能；b)對(duì)授權(quán)使用的無線網(wǎng)絡(luò)采取必要的安全措施。云服務(wù)商應(yīng)禁止云計(jì)算平臺(tái)上的無線網(wǎng)絡(luò)功能。無。8.19外部信息系統(tǒng)的使用a)明確列出何種情況下允許授權(quán)人員通過外部信息系統(tǒng)，對(duì)云計(jì)算平臺(tái)云服務(wù)商應(yīng)滿足以下要求。a)確保僅在以下情況下，允許授權(quán)人員通過外部信息系統(tǒng)進(jìn)行訪問，或利用外部信息系統(tǒng)處理、1)外部信息系統(tǒng)正確實(shí)現(xiàn)了云服務(wù)商安全策略和安全計(jì)劃所要求的安全措施，并通過了獨(dú)立第三方機(jī)構(gòu)的測(cè)試。2)與外部信息系統(tǒng)對(duì)應(yīng)的實(shí)體簽訂了系統(tǒng)連接或信息處理協(xié)議，且該協(xié)議經(jīng)過獨(dú)立第三方b)限制授權(quán)人員在外部信息系統(tǒng)上使用由云服務(wù)商控制的移動(dòng)存儲(chǔ)媒體。a)禁止通過外部信息系統(tǒng)訪問云計(jì)算平臺(tái)；c)禁止在外部信息系統(tǒng)上使用由云服務(wù)商控制的移動(dòng)存儲(chǔ)媒體。a)指定專人負(fù)責(zé)發(fā)布公開信息；GB/T31168—2023a)支持WEB代碼安全防護(hù)的能力，b)支持對(duì)用戶通過WEB訪問資源進(jìn)行訪問控制的能力；c)支持WEB遠(yuǎn)程訪問安全傳輸能力。無。無。8.22API訪問安全a)支持服務(wù)API調(diào)用前實(shí)施用戶鑒別和鑒權(quán)的功能；b)支持涉及云服務(wù)租戶資源操作的服務(wù)API調(diào)用前驗(yàn)證用戶憑據(jù)的功能；c)支持用戶調(diào)用服務(wù)API的訪問控制功能；e)支持服務(wù)API接口安全傳輸?shù)墓δ埽籪)支持服務(wù)API接口過載保護(hù)的功能，保障不同服務(wù)級(jí)別用戶間業(yè)務(wù)的公平性以及系統(tǒng)資源利用最大化；g)支持服務(wù)API的調(diào)用日志記錄的功能。GB/T31168—2023無。d)依據(jù)GB/T35273—2020,為客戶的個(gè)人信息保護(hù)工作提供支持，通過合同或其他形式明確涉e)確保境內(nèi)運(yùn)營(yíng)過程中收集和產(chǎn)生的客戶數(shù)據(jù)在境內(nèi)存儲(chǔ)；間];b)針對(duì)通過集中的管理節(jié)點(diǎn)對(duì)分布式計(jì)算中心進(jìn)行遠(yuǎn)程運(yùn)維的，采用密碼技術(shù)確保集中運(yùn)維管理數(shù)據(jù)和集中運(yùn)維系統(tǒng)配置數(shù)據(jù)在傳輸與存儲(chǔ)過程的保密性和完整性。儲(chǔ)客戶數(shù)據(jù)的媒體；b)[選擇：限制；禁止]在[賦值：云服務(wù)商定義的系統(tǒng)或組件]中使用[賦值：云服務(wù)商定義的媒云服務(wù)商應(yīng)：GB/T31168—2023c)在受控區(qū)域中，采取物理控制措施安全地存放媒體，如磁帶、外置或可移動(dòng)硬盤、Flash驅(qū)動(dòng)d)在受控區(qū)域之外傳遞數(shù)字媒體時(shí)，采用密碼機(jī)制e)確保各類媒體在受控區(qū)域之外的傳遞過程得到記錄；a)確保用戶鑒別憑證等敏感信息所在的存儲(chǔ)空間被釋放或再分配給其他用戶前得到完全清除；a)在云服務(wù)租戶解除存儲(chǔ)資源的使用后，確保被云服務(wù)租戶所解除的存儲(chǔ)資源的所有數(shù)據(jù)在物無。無。GB/T31168—20239.5數(shù)據(jù)共享保護(hù)a)允許授權(quán)用戶判斷共享者的訪問授權(quán)是否符合[賦值：云服務(wù)商定義的信息共享環(huán)境]中的數(shù)無?；謴?fù)；1)具備在同架構(gòu)云計(jì)算平臺(tái)上將客戶數(shù)據(jù)快速遷入或遷出的能力；2)具備在異構(gòu)云計(jì)算平臺(tái)上將客戶數(shù)據(jù)遷入或遷出的能力；4)數(shù)據(jù)格式應(yīng)支持主流硬件廠商的硬件平臺(tái)和操作系統(tǒng)平臺(tái)使用的典型數(shù)據(jù)庫(kù)產(chǎn)品，支持戶數(shù)據(jù)的完整性。a)將源云計(jì)算平臺(tái)上業(yè)務(wù)系統(tǒng)內(nèi)的數(shù)據(jù)與目標(biāo)云計(jì)算平臺(tái)內(nèi)的新業(yè)務(wù)系統(tǒng)進(jìn)行數(shù)據(jù)同步；b)提供客戶數(shù)據(jù)遷移過程中產(chǎn)生的相關(guān)記錄或文檔；c)在合同或其他文件中說明客戶數(shù)據(jù)遷移中涉及云服務(wù)商的潛在法律風(fēng)險(xiǎn)及處置措施，包括因后數(shù)據(jù)未清除或數(shù)據(jù)存留等情況。不會(huì)出現(xiàn)服務(wù)中斷。GB/T31168—2023a)制定并實(shí)施云計(jì)算平臺(tái)的配置管理計(jì)劃；d)定義信息系統(tǒng)的配置項(xiàng)并將其納入配置管理計(jì)劃；無。云服務(wù)商應(yīng)滿足以下要求。a)在以下情況下重新審查和更新基線配置：1)按照[賦值：云服務(wù)商定義的頻率];2)當(dāng)系統(tǒng)發(fā)生重大變更時(shí)；3)安裝和更新系統(tǒng)組件后。c)在云計(jì)算平臺(tái)相關(guān)設(shè)施或設(shè)備將被攜至高風(fēng)險(xiǎn)地區(qū)時(shí)，按照[賦值：云服務(wù)商定義的配置要求]無。GB/T31168—2023a)明確云計(jì)算平臺(tái)中有哪些變更需要包含在系統(tǒng)受控配置列表中，如主機(jī)配置項(xiàng)、網(wǎng)絡(luò)配置項(xiàng)等；帶來的潛在影響；e)記錄和保護(hù)信息系統(tǒng)中受控配置的變更記錄，防止非授權(quán)的泄露和更改；f)按照[賦值：云服務(wù)商定義的頻率]對(duì)涉及系統(tǒng)受控配置變更的有關(guān)活動(dòng)進(jìn)行審查；g)明確受控配置變更的管理部門，負(fù)責(zé)協(xié)調(diào)和監(jiān)管涉及受控配置變更的有關(guān)活動(dòng)；1)變更計(jì)劃發(fā)生的日期和時(shí)間；2)系統(tǒng)變更的詳細(xì)信息；3)變更的安全影響分析結(jié)論。c)限制信息系統(tǒng)開發(fā)商和集成商對(duì)生產(chǎn)環(huán)境中的信息系統(tǒng)及其硬件、軟件和固件進(jìn)行直接變更；d)按照[賦值：云服務(wù)商定義的頻率],對(duì)開發(fā)商和集成商掌握的變更權(quán)限進(jìn)行審查并重新評(píng)估。云服務(wù)商應(yīng)滿足以下要求。1)針對(duì)[賦值：云服務(wù)商定義的時(shí)間段]內(nèi)未經(jīng)批準(zhǔn)或不批準(zhǔn)的變更建議進(jìn)行提醒；2)獲得授權(quán)前禁止變更；3)記錄對(duì)云計(jì)算平臺(tái)的所有變更；4)完成對(duì)云計(jì)算平臺(tái)的授權(quán)變更后，通知[賦值：云服務(wù)商定義的人員或角色]。c)要求網(wǎng)絡(luò)安全人員代表參與云計(jì)算平臺(tái)的變更決策。d)使用密碼機(jī)制確保變更控制的安全性。安全影響。云服務(wù)商應(yīng)：a)按照[賦值：云服務(wù)商定義的安全配置核對(duì)表],建立、記錄并實(shí)現(xiàn)信息系統(tǒng)中所使用的信息技術(shù)產(chǎn)品的配置參數(shù)設(shè)置；b)當(dāng)因[賦值：云服務(wù)商定義的運(yùn)行需求]或其他原因，發(fā)生[賦值：云服務(wù)商定義的信息系統(tǒng)組件]的配置參數(shù)與已設(shè)配置不符的情況時(shí)，記錄相關(guān)信息，并需經(jīng)過[賦值：云服務(wù)商定義的人員或角色]的批準(zhǔn)；c)監(jiān)控配置參數(shù)的變更。云服務(wù)商應(yīng)：a)對(duì)配置參數(shù)進(jìn)行集中管理、應(yīng)用和驗(yàn)證；b)按照[賦值：云服務(wù)商定義的安全措施],處理對(duì)[賦值：云服務(wù)商定義的配置設(shè)置]的非授權(quán)變更。對(duì)非授權(quán)變更的響應(yīng)措施包括：更換有關(guān)人員，恢復(fù)已建立的配置，或在極端情況下中斷受影響的信息系統(tǒng)的運(yùn)行等。云服務(wù)商應(yīng)采用自動(dòng)機(jī)制對(duì)配置參數(shù)進(jìn)行集中管理、應(yīng)用和驗(yàn)證。10.5最小功能原則云服務(wù)商應(yīng)：a)對(duì)云計(jì)算平臺(tái)按照僅提供必需功能進(jìn)行配置，以減少系統(tǒng)面臨的風(fēng)險(xiǎn)；計(jì)算平臺(tái)上的高風(fēng)險(xiǎn)端口(如蠕蟲、木馬、勒索軟件等常用端口),嚴(yán)格限制從內(nèi)部網(wǎng)絡(luò)對(duì)高風(fēng)險(xiǎn)端口的訪問。10.5.2增強(qiáng)要求云服務(wù)商應(yīng)：a)按照[賦值：云服務(wù)商定義的頻率],識(shí)別不必要或不安全的功能、端口、協(xié)議和服務(wù)；c)依據(jù)軟件使用和限制策略，建立云計(jì)算平臺(tái)授權(quán)軟件列表，禁止在云計(jì)算平臺(tái)上運(yùn)行非授權(quán)軟件。a)針對(duì)[賦值：云服務(wù)商定義的關(guān)鍵設(shè)備]建立授權(quán)軟件列表，禁止在設(shè)備中運(yùn)行非授權(quán)軟件。授權(quán)軟件列表中應(yīng)包含常駐進(jìn)程數(shù)量、可執(zhí)行文件路徑、運(yùn)行所需權(quán)限等信息；b)針對(duì)[賦值：云服務(wù)商定義的關(guān)鍵設(shè)備],使用白名單機(jī)制自動(dòng)阻止非授權(quán)軟件的執(zhí)行，并按照[賦值：云服務(wù)商定義的頻率]檢查設(shè)備中運(yùn)行程序列表是否與白名單保持一致。GB/T31168—2023云服務(wù)商應(yīng)滿足以下要求。1)能準(zhǔn)確反映當(dāng)前信息系統(tǒng)的情況；2)與信息系統(tǒng)邊界一致；3)達(dá)到網(wǎng)絡(luò)安全管理所必要的顆粒度；b)按照[賦值：云服務(wù)商定義的頻率],審查并更新信息系統(tǒng)組件清單。c)當(dāng)安裝或移除一個(gè)完整的信息系統(tǒng)組件時(shí)，或當(dāng)信息系統(tǒng)更新時(shí)，更新其信息系統(tǒng)組件清計(jì)算服務(wù)平臺(tái)的所有組件均已列入資產(chǎn)清單，如該組件屬于其他組織，應(yīng)予以注明并說明原因。a)按照[賦值：云服務(wù)商定義的頻率],檢測(cè)云計(jì)算服務(wù)平臺(tái)中新增的非授權(quán)軟件、硬件或固件商定義的人員或角色]];a)按照[賦值：云服務(wù)商定義的頻率],使用自動(dòng)機(jī)制檢測(cè)云計(jì)算服務(wù)平臺(tái)中新增的非授權(quán)軟件、硬件或固件組件；b)使用自動(dòng)機(jī)制維護(hù)信息系統(tǒng)組件清單。11維護(hù)管理a)根據(jù)供應(yīng)商的規(guī)格說明以及自身的業(yè)務(wù)要求，對(duì)云計(jì)算平臺(tái)組件的維護(hù)和修理進(jìn)行規(guī)劃、實(shí)媒體中的信息；d)在對(duì)云計(jì)算平臺(tái)或組件進(jìn)行維護(hù)或維修后，檢查所有可能受影響的安全措施，以確認(rèn)其仍正常發(fā)揮功能；被轉(zhuǎn)移或替換的設(shè)備列表(包括設(shè)備標(biāo)識(shí)號(hào))等信息；f)將維護(hù)記錄保留至少6個(gè)月；g)確保經(jīng)過審批后，才可將云計(jì)算平臺(tái)的組件轉(zhuǎn)移到云服務(wù)商外部進(jìn)行非現(xiàn)場(chǎng)維護(hù)或維修。針對(duì)[賦值：云服務(wù)商定義的重要維護(hù)操作],云服務(wù)商應(yīng)建立雙人或多人監(jiān)督機(jī)制，確保重要維護(hù)操作過程受控。云服務(wù)商應(yīng)采用自動(dòng)機(jī)制規(guī)劃、實(shí)施、記錄對(duì)云計(jì)算平臺(tái)組件的維護(hù)或維修。11.2維護(hù)工具云服務(wù)商應(yīng)審批、控制并監(jiān)視維護(hù)工具的使用。云服務(wù)商應(yīng)：a)檢查由維護(hù)人員帶入云計(jì)算平臺(tái)場(chǎng)所內(nèi)部的維護(hù)工具，以確保維護(hù)工具未被不當(dāng)修改；b)在使用診斷或測(cè)試程序前，對(duì)其進(jìn)行惡意代碼檢測(cè)；c)為防止具有信息存儲(chǔ)功能的維護(hù)設(shè)備在非授權(quán)情況下被轉(zhuǎn)移出云服務(wù)商的控制范圍，采取以下一種或多種措施，并獲得本組織安全責(zé)任部門的批準(zhǔn)：1)確認(rèn)待轉(zhuǎn)移設(shè)備中沒有云服務(wù)商和用戶的信息；2)凈化或破壞設(shè)備；3)將設(shè)備留在場(chǎng)所內(nèi)部且規(guī)定不得移出。無。11.3遠(yuǎn)程維護(hù)云服務(wù)商應(yīng)：a)明確遠(yuǎn)程維護(hù)和診斷連接相關(guān)策略和規(guī)程，對(duì)遠(yuǎn)程維護(hù)和診斷活動(dòng)進(jìn)行審批和監(jiān)視；b)僅允許使用符合[賦值：云服務(wù)商定義的遠(yuǎn)程維護(hù)策略]并經(jīng)批準(zhǔn)的遠(yuǎn)程維護(hù)和診斷工具；c)在建立遠(yuǎn)程維護(hù)和診斷會(huì)話時(shí)采取強(qiáng)鑒別技術(shù)。例如：使用動(dòng)態(tài)口令令牌、短信驗(yàn)證碼、密碼d)建立和保存對(duì)遠(yuǎn)程維護(hù)和診斷活動(dòng)的記錄，遠(yuǎn)程維護(hù)日志保存至少6個(gè)月；e)在遠(yuǎn)程維護(hù)完成后終止會(huì)話和網(wǎng)絡(luò)連接；f)對(duì)所有遠(yuǎn)程維護(hù)和診斷活動(dòng)進(jìn)行審計(jì)，按照[賦值：云服務(wù)商定義的頻率]對(duì)所有遠(yuǎn)程維護(hù)和診GB/T31168—2023g)確保云計(jì)算平臺(tái)的日常運(yùn)維地點(diǎn)位于境內(nèi)。云服務(wù)商應(yīng)采用密碼機(jī)制保護(hù)遠(yuǎn)程維護(hù)和診斷通信的完整性和保密性。11.4.1一般要求云服務(wù)商應(yīng)：11.5及時(shí)維護(hù)無。云服務(wù)商應(yīng)：GB/T31168—2023d)將缺陷修復(fù)活動(dòng)納入組織的配置管理過程之中。無。b)當(dāng)發(fā)生[賦值：云服務(wù)商定義的系統(tǒng)轉(zhuǎn)換狀態(tài)]時(shí)或者按照[賦值：云服務(wù)商定義的頻率],對(duì)安全功能進(jìn)行驗(yàn)證；無。b)確保云計(jì)算平臺(tái)具有檢測(cè)非授權(quán)系統(tǒng)變更的能力，并制定響應(yīng)措施；42GB/T31168—202312應(yīng)急響應(yīng)12.1事件處理計(jì)劃云服務(wù)商應(yīng)滿足以下要求。1)說明啟動(dòng)事件處理計(jì)劃的條件和方法；2)說明本組織內(nèi)與事件處理有關(guān)的組織架構(gòu)；3)定義需要報(bào)告的安全事件；4)提供事件處理能力的度量目標(biāo)；5)定義必要的資源和管理支持；6)由[賦值：云服務(wù)商定義的人員或角色]審查和批準(zhǔn)。c)按照[賦值：云服務(wù)商定義的頻率],審查事件處e)防止事件處理計(jì)劃被非授權(quán)泄露或更改。無。無。12.2事件處理a)為安全事件的處理提供必需的資源和管理支持；b)協(xié)調(diào)應(yīng)急響應(yīng)活動(dòng)與事件處理活動(dòng)，并與相關(guān)外部組織(如供應(yīng)鏈中的外部服務(wù)提供商等)進(jìn)云服務(wù)商應(yīng)使用自動(dòng)機(jī)制支持事件處理過程。GB/T31168—2023a)制定應(yīng)急值守制度，對(duì)處置風(fēng)險(xiǎn)隱患c)與外部組織溝通和共享事件信息，以實(shí)現(xiàn)跨組織的事件發(fā)現(xiàn)和響應(yīng)機(jī)制。戶的約定向客戶報(bào)告；全主管部門報(bào)告。云服務(wù)商應(yīng)使用自動(dòng)機(jī)制支持事件報(bào)告過程。無。12.4事件處理支持b)在事件處理部門和外部的信息安全組織之間建立直接合作關(guān)系，能夠在必要時(shí)獲得外部組織的協(xié)助。無。GB/T31168—2023d)能夠在已經(jīng)確立的時(shí)間段內(nèi)針對(duì)安全警報(bào)、建議和指示做出響應(yīng)；如果無法做出響應(yīng)，應(yīng)向安全警報(bào)、建議和提示的下達(dá)部門及客戶告知原因。無。云服務(wù)商應(yīng)滿足以下要求。a)標(biāo)識(shí)出云計(jì)算平臺(tái)各類安全相關(guān)錯(cuò)誤的狀態(tài)。b)在錯(cuò)誤日志和管理員消息中產(chǎn)生出錯(cuò)消息，并提供必要信息用于更正活動(dòng)，但出錯(cuò)消息不能泄露以下信息：1)用戶名和口令的組合；2)用來驗(yàn)證口令重設(shè)請(qǐng)求的屬性值(如安全提問);3)可標(biāo)識(shí)到個(gè)人的信息；4)用于鑒別身份的生物數(shù)據(jù)或人員特征；5)與內(nèi)部安全功能有關(guān)的內(nèi)容(如私鑰、白名單或黑名單規(guī)則);c)僅向授權(quán)人員展現(xiàn)出錯(cuò)消息。無。12.7應(yīng)急響應(yīng)計(jì)劃云服務(wù)商應(yīng)滿足以下要求。a)制定云計(jì)算平臺(tái)的應(yīng)急響應(yīng)計(jì)劃，該計(jì)劃應(yīng)：1)標(biāo)識(shí)出云計(jì)算平臺(tái)的基本業(yè)務(wù)功能及其應(yīng)急響應(yīng)需求；2)進(jìn)行業(yè)務(wù)影響分析，標(biāo)識(shí)關(guān)鍵信息系統(tǒng)和組件及其安全風(fēng)險(xiǎn)，確定優(yōu)先次序；3)提供應(yīng)急響應(yīng)的恢復(fù)目標(biāo)、恢復(fù)優(yōu)先級(jí)和度量指標(biāo)；4)描述應(yīng)急響應(yīng)的結(jié)構(gòu)和組織形式，明確應(yīng)急響應(yīng)責(zé)任人的角色、職責(zé)及其聯(lián)系信息；5)由[賦值：云服務(wù)商定義的人員或角色]審查和批準(zhǔn)。b)將應(yīng)急響應(yīng)計(jì)劃向[賦值：云服務(wù)商定義的人員、角色或部門]進(jìn)行通報(bào)。45GB/T31168—2023e)防止應(yīng)急響應(yīng)計(jì)劃被非授權(quán)泄露和更改。完全恢復(fù)信息系統(tǒng)且不減弱原安全措施。b)列明用于支撐基本業(yè)務(wù)功能的關(guān)鍵資產(chǎn)；功能。b)當(dāng)云計(jì)算平臺(tái)變更時(shí)或按照[賦值：云服務(wù)商定義的頻率],提供應(yīng)急響應(yīng)培訓(xùn)。12.9應(yīng)急演練a)至少每年制定或修訂應(yīng)急演練計(jì)劃，應(yīng)急演練計(jì)劃宜征求客戶意見；d)與客戶和其他有關(guān)部門(如應(yīng)急響應(yīng)組織)進(jìn)行溝通協(xié)調(diào)，46云服務(wù)商應(yīng)將信息系統(tǒng)備份能力列入演練計(jì)劃，包括檢驗(yàn)備份的可靠性和信息完整性。云服務(wù)商應(yīng)基于仿真環(huán)境定期開展模擬演練，根據(jù)技術(shù)發(fā)展和安全需要，更新演練場(chǎng)景庫(kù)。根據(jù)客戶的業(yè)務(wù)連續(xù)性保障需求，云服務(wù)商應(yīng)采取適當(dāng)?shù)膫浞荽胧┎⒃诎踩?jì)劃中說明，包括：a)具備系統(tǒng)級(jí)備份能力，按照[賦值：云服務(wù)商定義的頻率],對(duì)信息系統(tǒng)中的系統(tǒng)級(jí)信息進(jìn)行備b)防止通過備份過程訪問客戶的明文數(shù)據(jù)；c)為用戶提供多種備份方案；d)在存儲(chǔ)位置保護(hù)備份信息的保密性、完整性和可用性；e)具有驗(yàn)證信息系統(tǒng)備份連續(xù)有效的方法，并按照[賦值：云服務(wù)商定義的頻率]進(jìn)行驗(yàn)證；f)向客戶提供下列信息，支持客戶制定其自身的備份策略和規(guī)程：1)備份的范圍；3)驗(yàn)證備份數(shù)據(jù)完整性的規(guī)程；4)恢復(fù)備份數(shù)據(jù)的規(guī)程。根據(jù)客戶的業(yè)務(wù)連續(xù)性保障需求，云服務(wù)商應(yīng)具備系統(tǒng)級(jí)容災(zāi)能力并在安全計(jì)劃中說明，確保遭受根據(jù)客戶的業(yè)務(wù)連續(xù)性保障需求，云服務(wù)商應(yīng)具備系統(tǒng)級(jí)容災(zāi)能力并在安全計(jì)劃中說明，確保遭受1h內(nèi)恢復(fù)業(yè)務(wù)運(yùn)行。12.11支撐客戶的業(yè)務(wù)連續(xù)性計(jì)劃根據(jù)客戶的業(yè)務(wù)連續(xù)性保障需求，云服務(wù)商應(yīng)：a)具備災(zāi)難恢復(fù)能力，確保客戶業(yè)務(wù)可持續(xù)；b)對(duì)云計(jì)算服務(wù)為客戶業(yè)務(wù)連續(xù)性帶來的風(fēng)險(xiǎn)進(jìn)行評(píng)估，包括云計(jì)算服務(wù)失敗、云服務(wù)商和客戶之間網(wǎng)絡(luò)連接中斷、云計(jì)算服務(wù)終止等，并將相關(guān)的風(fēng)險(xiǎn)情況告知客戶；c)將應(yīng)急響應(yīng)計(jì)劃、災(zāi)難恢復(fù)計(jì)劃及支撐客戶實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃的有關(guān)措施告知客戶，并根據(jù)客戶的業(yè)務(wù)連續(xù)性計(jì)劃的需要，對(duì)應(yīng)急響應(yīng)計(jì)劃、災(zāi)難恢復(fù)計(jì)劃進(jìn)行相應(yīng)調(diào)整。GB/T31168—202312.12.1一般要求b)制定主和備用通信服務(wù)協(xié)議，明確列出滿足客戶業(yè)務(wù)需求的服務(wù)供給優(yōu)先級(jí)。a)與不同的電信運(yùn)營(yíng)商簽署主和備用通信服務(wù)協(xié)議；b)要求主和備用電信運(yùn)營(yíng)商制定應(yīng)急響應(yīng)計(jì)劃。c)制定需連續(xù)審計(jì)的事件清單，并確定各事件的審計(jì)頻率，該清單為上述可審計(jì)事件清單的d)云服務(wù)商應(yīng)按照[賦值：云服務(wù)商定義的頻率]對(duì)可審計(jì)事件清單進(jìn)行審查和更新。無。48GB/T31168—2023及與事件相關(guān)的用戶或主體的身份。a)按照[賦值：云服務(wù)商定義的審計(jì)記錄存儲(chǔ)要求]配置審計(jì)記錄存儲(chǔ)容無。云服務(wù)商應(yīng)：GB/T31168—2023a)按照[賦值：云服務(wù)商定義的頻率]對(duì)審計(jì)記錄進(jìn)行審查和分析，以發(fā)現(xiàn)[賦值：云服務(wù)商定義的不當(dāng)或異常活動(dòng)],并向[賦值：云服務(wù)商定義的人員或角色]報(bào)告；b)明確對(duì)審計(jì)記錄進(jìn)行審查、分析、報(bào)告的策略，策略應(yīng)符合法律法規(guī)要求并根據(jù)客戶需求或信息系統(tǒng)面臨的威脅環(huán)境的變化進(jìn)行及時(shí)調(diào)整；c)向客戶提供審計(jì)分析報(bào)告，該報(bào)告至少包括下述內(nèi)容，以便對(duì)云服務(wù)商的服務(wù)情況進(jìn)行監(jiān)管：1)提供的云計(jì)算性能指標(biāo)是否達(dá)到SLA的要求；2)云計(jì)算平臺(tái)網(wǎng)絡(luò)安全狀態(tài)的整體描述；3)審計(jì)中發(fā)現(xiàn)的異常情況以及處置情況；4)云計(jì)算平臺(tái)中涉及客戶業(yè)務(wù)的敏感操作的情況及其統(tǒng)計(jì)分析；5)云計(jì)算平臺(tái)中涉及客戶業(yè)務(wù)的遠(yuǎn)程訪問的總體情況及其統(tǒng)計(jì)分析。云服務(wù)商應(yīng)：a)針對(duì)[賦值：云服務(wù)商定義的重要維護(hù)操作],定期或在維護(hù)操作完成后[賦值：云服務(wù)商定義的時(shí)間內(nèi)]對(duì)維護(hù)操作審計(jì)記錄進(jìn)行審查分析，及時(shí)發(fā)現(xiàn)違規(guī)或誤操作等異常行為；b)使用自動(dòng)機(jī)制對(duì)審查、分析和報(bào)告過程進(jìn)行整合，以支持對(duì)可疑活動(dòng)的調(diào)查和響應(yīng)。云服務(wù)商應(yīng)：a)使用自動(dòng)機(jī)制對(duì)不同審計(jì)庫(kù)上的審計(jì)記錄進(jìn)行關(guān)聯(lián)性分析；b)對(duì)脆弱性掃描信息、執(zhí)行信息和網(wǎng)絡(luò)監(jiān)控信息以及[賦值：云服務(wù)商定義的從其他來源收集的信息]的審計(jì)記錄進(jìn)行關(guān)聯(lián)性分析，以支持異?；顒?dòng)的識(shí)別；c)對(duì)審計(jì)記錄信息與物理訪問監(jiān)控信息進(jìn)行關(guān)聯(lián)性分析，以支持可疑、不適當(dāng)、異常或惡意活動(dòng)的識(shí)別；d)指定與審查、分析和報(bào)告審計(jì)信息相關(guān)的[選擇(一個(gè)或多個(gè)):云計(jì)算平臺(tái)過程、角色或用戶]的行為；e)當(dāng)執(zhí)行信息、情報(bào)信息或者其他可靠來源的信息發(fā)生變化且有風(fēng)險(xiǎn)時(shí)，對(duì)審計(jì)的審查、分析和報(bào)告的策略進(jìn)行相應(yīng)調(diào)整。13.6審計(jì)處理和報(bào)告生成云服務(wù)商應(yīng)提供審計(jì)處理和審計(jì)報(bào)告生成的功能，并滿足以下要求：a)支持實(shí)時(shí)或準(zhǔn)實(shí)時(shí)的審查、分析和報(bào)告，以及安全事件事后調(diào)查；b)審計(jì)處理和報(bào)告工具應(yīng)不改變?cè)嫉膶徲?jì)數(shù)據(jù)。云服務(wù)商應(yīng)能夠根據(jù)審計(jì)記錄中的審計(jì)類別，按照需求對(duì)審計(jì)記錄進(jìn)行處理。審計(jì)類別包括用戶身份、事件類型、事件發(fā)生位置、事件發(fā)生時(shí)間以及事件涉及的IP地址和系統(tǒng)資源等。云服務(wù)商應(yīng)：GB/T31168—2023商定義的時(shí)間戳允許范圍]內(nèi)是時(shí)間關(guān)聯(lián)的；根據(jù)審計(jì)數(shù)據(jù)源和內(nèi)容的不同，審計(jì)跟蹤可包括云服務(wù)商應(yīng)使用云計(jì)算平臺(tái)內(nèi)部系統(tǒng)時(shí)鐘生成審計(jì)記錄的時(shí)間戳，并滿足[賦值：云服務(wù)商定義的時(shí)間顆粒度]。云服務(wù)商應(yīng)按照[賦值：云服務(wù)商定義的頻率]將云計(jì)算平臺(tái)內(nèi)部系統(tǒng)時(shí)鐘與國(guó)家授時(shí)中心權(quán)威時(shí)間源進(jìn)行同步。a)按照[賦值：云服務(wù)商定義的頻率]將審計(jì)記錄備份到與所審計(jì)系統(tǒng)或組件不處于同一物理位置的系統(tǒng)或組件之中；b)將對(duì)審計(jì)管理功能的訪問授權(quán)限制為[賦值：云服務(wù)商定義的特權(quán)用戶子集]。a)確保用戶能夠了解云計(jì)算平臺(tái)中與用戶相關(guān)的操作活動(dòng)，允許用戶進(jìn)行審計(jì)監(jiān)控；b)采取措施防止在審計(jì)過程中記錄用戶的敏感信息，c)使用密碼機(jī)制來保護(hù)審計(jì)信息和審計(jì)工具的完整性。云服務(wù)商應(yīng)支持抗抵賴性。云服務(wù)商應(yīng)防止人員或程序錯(cuò)誤否認(rèn)已執(zhí)行的[賦值：云服務(wù)商定義的抗抵賴行為]。云服務(wù)商應(yīng)按照[賦值：云服務(wù)商定義的符合記錄留存策略的時(shí)間段]來保存審計(jì)記錄，如審計(jì)記錄至少保存6個(gè)月，以支持安全事件的事后調(diào)查，并應(yīng)符合法律法規(guī)及客戶的審計(jì)記錄留存要求。無。14風(fēng)險(xiǎn)評(píng)估與持續(xù)監(jiān)控a)在建設(shè)云計(jì)算平臺(tái)時(shí)開展風(fēng)險(xiǎn)評(píng)估；b)確保至少每年一次以及當(dāng)云計(jì)算平臺(tái)發(fā)生重大變更(如發(fā)現(xiàn)新的威脅和漏洞)或者在出現(xiàn)其他可能影響系統(tǒng)安全狀態(tài)的條件時(shí)，重新開展風(fēng)險(xiǎn)評(píng)估；c)將評(píng)估結(jié)果記錄在風(fēng)險(xiǎn)評(píng)估報(bào)告中，并將風(fēng)險(xiǎn)評(píng)估結(jié)果發(fā)布至[賦值：云服務(wù)商定義的人員或角色];d)根據(jù)風(fēng)險(xiǎn)評(píng)估報(bào)告，有針對(duì)性地對(duì)云計(jì)算平臺(tái)進(jìn)行安全整改，將風(fēng)險(xiǎn)降低到可接受的水平。云服務(wù)商應(yīng)：GB/T31168—2023a)使用脆弱性掃描工具和技術(shù)，按照[賦值：云服務(wù)商定義的頻率]對(duì)云計(jì)算平臺(tái)進(jìn)行脆弱性掃水平；c)在本組織范圍內(nèi)與[賦值：云服務(wù)商定義的人員或角色]共享脆弱性掃描和安全評(píng)估過程得到b)確保所使用的脆弱性掃描工具能夠清楚呈現(xiàn)掃描所覆蓋的廣度和深度(如已掃描的信息系統(tǒng)組件和已核查的漏洞);a)根據(jù)自身及客戶在持續(xù)監(jiān)控方面的需要，制定持續(xù)監(jiān)控策略，明確監(jiān)控的度量指標(biāo)和監(jiān)控c)對(duì)評(píng)估和監(jiān)控產(chǎn)生的安全相關(guān)信息進(jìn)行關(guān)聯(lián)和分析；d)對(duì)安全相關(guān)信息分析結(jié)果進(jìn)行響應(yīng)；e)按照[賦值：云服務(wù)商定義的頻率]向網(wǎng)絡(luò)安全責(zé)任部門和相關(guān)人員報(bào)告信息系統(tǒng)安全狀態(tài)。無。a)按照[賦值：云服務(wù)商定義的頻率]安排實(shí)施滲透性測(cè)試以及深度檢測(cè)，以驗(yàn)證系統(tǒng)的安全c)記錄不同網(wǎng)絡(luò)互連及其接口特性、安全要求和傳輸信息屬性。GB/T31168—202314.4信息系統(tǒng)監(jiān)測(cè)14.4.1一般要求云服務(wù)商應(yīng)：a)能夠針對(duì)[賦值：云服務(wù)商定義的監(jiān)測(cè)目標(biāo)],發(fā)現(xiàn)攻擊行為；b)能夠檢測(cè)出非授權(quán)的本地、網(wǎng)絡(luò)和遠(yuǎn)程連接；c)能夠發(fā)現(xiàn)對(duì)信息系統(tǒng)的非授權(quán)使用；d)能夠?qū)θ肭謾z測(cè)工具收集的信息進(jìn)行保護(hù)，防止非授權(quán)訪問、修改或刪除；e)當(dāng)威脅環(huán)境發(fā)生變化、信息系統(tǒng)風(fēng)險(xiǎn)增加時(shí)，提升信息系統(tǒng)監(jiān)測(cè)級(jí)別；f)確保信息系統(tǒng)監(jiān)測(cè)活動(dòng)符合法律規(guī)定的個(gè)人信息保護(hù)合規(guī)要求；g)根據(jù)實(shí)際需要或者按照[賦值：云服務(wù)商定義的頻率],向[賦值：云服務(wù)商定義的人員或角色]提供[賦值：云服務(wù)商定義的信息系統(tǒng)監(jiān)測(cè)信息]。云服務(wù)商應(yīng)滿足以下要求。a)使用自動(dòng)工具對(duì)攻擊事件進(jìn)行準(zhǔn)實(shí)時(shí)或?qū)崟r(shí)分析。b)信息系統(tǒng)應(yīng)按照[賦值：云服務(wù)商定義的頻率]監(jiān)測(cè)進(jìn)出的通信，以發(fā)現(xiàn)異?；蚍鞘跈?quán)的行為。c)當(dāng)下述跡象發(fā)生時(shí)，信息系統(tǒng)應(yīng)向[賦值：云服務(wù)商定義的人員或角色]發(fā)出警報(bào)：l)受保護(hù)的信息系統(tǒng)文件或目錄在未得到正常通知的情況下被修改；2)發(fā)生異常資源消耗；3)審計(jì)功能被禁止或修改，導(dǎo)致審計(jì)可見性降低；4)審計(jì)或日志記錄因不明原因被刪除或修改；5)預(yù)期之外的用戶發(fā)起了資源或服務(wù)請(qǐng)求；6)信息系統(tǒng)報(bào)告了管理員或關(guān)鍵服務(wù)賬號(hào)的登錄失敗或口令變更情況；7)進(jìn)程或服務(wù)的運(yùn)行方式與系統(tǒng)常規(guī)情況不符；8)在生產(chǎn)系統(tǒng)上保存或安裝與業(yè)務(wù)無關(guān)的程序、工具、腳本。d)防止非授權(quán)用戶繞過入侵檢測(cè)和入侵防御機(jī)制。e)對(duì)信息系統(tǒng)運(yùn)行狀態(tài)(包括CPU、內(nèi)存、網(wǎng)絡(luò))進(jìn)行監(jiān)視，并能夠?qū)Y源的非法越界使用發(fā)出警報(bào)。14.4.3高級(jí)要求云服務(wù)商應(yīng)：a)具備技術(shù)監(jiān)測(cè)能力或委托專業(yè)機(jī)構(gòu)對(duì)云計(jì)算平臺(tái)實(shí)施7×24h監(jiān)測(cè)；b)根據(jù)從[賦值：云服務(wù)商定義的來源]識(shí)別風(fēng)險(xiǎn)點(diǎn)，并實(shí)施[賦值：云服務(wù)商定義的監(jiān)測(cè)];c)對(duì)特權(quán)用戶實(shí)施[賦值：云服務(wù)商定義的附加監(jiān)測(cè)];d)對(duì)網(wǎng)絡(luò)服務(wù)進(jìn)行監(jiān)測(cè)，以發(fā)現(xiàn)和審核未經(jīng)授權(quán)或批準(zhǔn)的網(wǎng)絡(luò)過程，并向[賦值：云服務(wù)商定義的人員或角色]報(bào)警；e)采用自動(dòng)機(jī)制提供安全警報(bào)和安全建議信息。GB/T31168—202314.5垃圾信息監(jiān)測(cè)云服務(wù)商提供網(wǎng)絡(luò)內(nèi)容或電子郵件等服務(wù)時(shí)應(yīng)：a)在系統(tǒng)的出入口和網(wǎng)絡(luò)中的工作站、服務(wù)器或移動(dòng)計(jì)算設(shè)備上部署垃圾信息監(jiān)測(cè)與防護(hù)機(jī)云服務(wù)商提供網(wǎng)絡(luò)內(nèi)容或電子郵件等服務(wù)時(shí)應(yīng)：a)采取集中的監(jiān)測(cè)與防護(hù)機(jī)制管理垃圾信息；b)自動(dòng)更新垃圾信息監(jiān)測(cè)與防護(hù)機(jī)制。無。無。無。a)由本組織最高管理層人員作為網(wǎng)絡(luò)安全的第一負(fù)責(zé)人；c)保持與外部組織的協(xié)調(diào)機(jī)制和適當(dāng)聯(lián)系；無。a)標(biāo)識(shí)出所有崗位的風(fēng)險(xiǎn)；b)建立上崗人員的篩選準(zhǔn)則；c)按照[賦值：云服務(wù)商定義的頻率],評(píng)審和更新各崗位的風(fēng)險(xiǎn)標(biāo)識(shí)；d)根據(jù)崗位風(fēng)險(xiǎn)，明確所有崗位的網(wǎng)絡(luò)安全職責(zé)，并與客戶共同確定涉及云計(jì)算服務(wù)的安全g)由專人負(fù)責(zé)[賦值：云服務(wù)商定義的關(guān)鍵崗位],并配備2人以上共同管理。a)確保授權(quán)訪問信息系統(tǒng)的人員已經(jīng)經(jīng)過篩選，[賦值：云服務(wù)商定義的人員背景信息和篩選結(jié)b)