01 · 研究背景与意义
1.1 从“上云”到“云上合规”：制度演进的四个里程碑
中国云计算产业的制度环境经历了从“促进发展”到“发展与安全并重”、再到“安全与合规前置”的清晰演进。2015年1月，国务院印发《关于促进云计算创新发展培育信息产业新业态的意见》（国发〔2015〕5号），将云计算确立为国家信息化发展的战略方向；2017年6月1日《网络安全法》施行，网络安全等级保护制度首次上升为法律要求，云平台及其承载的系统被明确纳入定级备案与测评范围；2019年等保2.0系列标准（GB/T 22239-2019等）与四部门《云计算服务安全评估办法》相继落地，云上合规进入“有专门标准可依、有专门制度可评”的阶段；2021年《数据安全法》《个人信息保护法》与《关键信息基础设施安全保护条例》密集施行，2024年《网络数据安全管理条例》公布（2025年1月1日施行），云上合规的对象从“系统与平台”全面扩展到“数据与个人信息”，合规颗粒度细化到数据分类分级、重要数据识别与出境管控。
1.2 云合规区别于传统合规的四个特殊性
- 责任共担导致审计对象模糊：NIST SP 800-145确立的共享责任模型在合规语境下意味着：云服务商取得等保备案或安全评估通过，不等于客户部署在云上的系统天然合规。客户对自身数据、配置、账号与上层应用的控制项负独立责任，审计必须穿透“云厂商背书”直达客户责任面。
- 数据控制权部分转移：数据加密密钥的持有方式（云厂商托管KMS、客户自带密钥BYOK、客户自持密钥HYOK）、数据驻留位置与跨可用区复制，直接决定《个人信息保护法》下“委托处理”条款与出境规则的适用方式，合规判断必须建立在对云服务商数据处理角色的法律定性之上。
- 资源池化模糊测评边界：等保测评以“定级对象”为单元，而云上资源池（共享宿主机、共享存储、共享网络）使得物理边界、网络边界均不可见，测评方法必须从“物理核查”转向“虚拟化层证据核查”——这正是GB/T 22239-2019专设云计算安全扩展要求的原因。
- 动态弹性与证据固化的矛盾：云上资源分钟级创建销毁，传统“截图+制度文档”的取证方式无法覆盖全周期，合规证据必须依赖API审计日志、配置快照与时间戳固化机制实现自动化留存，这也是本课题第6页“合规技术落地”的研究动因。
1.3 不合规的真实代价
| 代价类型 | 具体表现 | 制度依据 |
|---|---|---|
| 行政处罚 | 未履行等级保护义务的，由主管部门责令改正、给予警告；拒不改正或导致危害后果的，对直接负责人员与单位并处罚款 | 《网络安全法》第59条 |
| 数据出境阻断 | 未经安全评估向境外提供重要数据或达量个人信息的，数据出境行为被责令停止，存量出境渠道整改 | 《数据出境安全评估办法》；《网络数据安全管理条例》 |
| 采购与业务禁入 | 党政机关、关键信息基础设施运营者采购未经安全评估的云计算服务，相关采购行为违反《云计算服务安全评估办法》要求 | 《云计算服务安全评估办法》（2019年四部门） |
| 个保法高额罚款 | 情节严重的，可处上一年度营业额5%以下罚款，并可责令暂停相关业务、停业整顿、吊销许可 | 《个人信息保护法》第66条 |
| 民事与刑事追责 | 侵害个人信息权益的民事赔偿；拒不履行信息网络安全管理义务、非法获取或提供数据的刑事责任 | 《个人信息保护法》第69条；《刑法》第286条之一、第253条之一 |
认知纠偏：①“云厂商过了等保，我们的系统就不用做了”——错误。云平台的等保备案只覆盖云平台自身的责任面，客户系统在云上仍需独立定级、备案与测评；②“合规是测评前突击准备文档”——错误。等保测评的核查项大量依赖运行证据（日志、配置快照、审计记录），无真实运行的控制项在“核查+测试”环节无法通过；③“上了加密就合规”——错误。GB/T 39786-2021密码应用要求覆盖物理和环境、网络和通信、设备和计算、应用和数据四个层面，且要求密码应用有效（密钥管理、随机数、算法合规缺一不可）。
本子课题分析框架：五层递进式研究路径
与各分页内容严格对应，供按需查阅
说明：本框架为课题内部分析方法论示意；法规条款以官方公布文本为准，标准状态以全国标准信息公共服务平台为准。
02 · 研究目标与关键问题
- 义务图谱完备性目标：建立覆盖法律、行政法规、部门规章、国家标准四个效力层级的云上合规义务清单，做到“每项义务—责任主体—落地证据”三对应（第2页）。
- 标准落地可测性目标：将GB/T 22239-2019云计算安全扩展要求、GB/T 31168-2014云能力要求转化为可核查的技术控制项与证据要求，支撑测评师与运营者双向使用（第3—4页）。
- 内外对照兼容性目标：建立国内要求与ISO/IEC 27017、27018、CSA CCM等国际框架的控制映射，服务出海企业与外资企业双重合规（第5页）。
- 合规运营持续性目标：以合规即代码与自动化证据链支撑“一次测评”向“持续合规”演进，构建可度量的合规成熟度模型（第6—8页）。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 云扩展要求的技术落地形态 | GB/T 22239-2019云计算安全扩展要求中，哪些条款属于“云平台侧固有”、哪些必须通过“客户侧配置+云服务商配合”共同实现？不同服务模式（IaaS/PaaS/SaaS）下同一控制项的责任分配如何变化？ | 第3、4页 |
| KQ-2 | 合规证据的自动化可信度 | 在资源动态弹性、控制面托管的场景下，哪些合规证据可以通过API审计日志与配置快照自动化采集并保持时间完整性？电子证据如何满足测评机构“不可抵赖、不可篡改”的采信标准？ | 第6、8页 |
| KQ-3 | 双重合规的映射经济性 | 对同时受国内等保/个保约束与GDPR/ISO体系约束的跨国企业，控制项映射的最大公约数集合有多大？哪些要求存在实质冲突（如数据本地化 vs 全球可访问），冲突时的工程取舍顺序是什么？ | 第5、7页 |
03 · 云上合规体系全景
3.1 四层效力体系（截至2026年9月）
| 层级 | 代表文件 | 核心义务 |
|---|---|---|
| 法律 | 《网络安全法》（2017.6.1施行）；《数据安全法》（2021.9.1施行）；《个人信息保护法》（2021.11.1施行）；《密码法》（2020.1.1施行） | 等级保护制度、网络日志留存不少于六个月、关键信息基础设施境内存储与出境评估、数据分类分级保护、个人信息处理规则、商用密码应用 |
| 行政法规 | 《关键信息基础设施安全保护条例》（2021.9.1施行）；《网络数据安全管理条例》（2025.1.1施行） | 关基认定与保护义务、网络数据安全管理细化义务（含重要数据、出境豁免情形细化） |
| 部门规章/规范性文件 | 《云计算服务安全评估办法》（2019.9.1施行）；《网络安全审查办法》（2022年修订版施行）；《数据出境安全评估办法》（2022.9.1施行）；《个人信息出境标准合同办法》（2023.6.1施行）；《个人信息出境认证办法》（2026.1.1施行）；《促进和规范数据跨境流动规定》（2024年发布施行） | 云服务商安全评估制度、CIIO采购网络安全审查、数据出境三条路径（安全评估/标准合同/认证）及豁免情形 |
| 国家标准（GB/T） | GB/T 22239-2019、GB/T 28448-2019、GB/T 25070-2019（等保2.0系列）；GB/T 31167-2014、GB/T 31168-2014、GB/T 34942-2017（云计算安全系列）；GB/T 39786-2021（密码应用）；GB/T 43697-2024（数据分类分级）；GB/T 35273-2020（个人信息安全规范） | 定级备案、建设整改、测评、监督检查的技术细节与测评方法；云能力一般级/增强级要求；密码应用四层面要求；数据分类分级规则与个人信息处理实务指引 |
3.2 云上合规制度演进关键时间线
| 时间 | 事件（均可公开查证） |
|---|---|
| 2014 | GB/T 31167-2014《云计算服务安全指南》与GB/T 31168-2014《云计算服务安全能力要求》发布，首次确立云计算服务“一般级/增强级”两档安全能力要求，为后续云安全评估制度奠定标准基础 |
| 2015 | 国务院《关于促进云计算创新发展培育信息产业新业态的意见》印发，云计算上升为国家战略；同年中央网信办等指导开展云计算服务网络安全审查试点，云服务商安全评估开始探索 |
| 2017 | 《网络安全法》6月1日施行，等级保护制度入法，第37条确立关键信息基础设施数据境内存储与出境评估原则；云计算服务安全评估制度在此前后持续酝酿论证，为2019年正式确立奠定制度基础 |
| 2019 | 等保2.0核心标准GB/T 22239-2019等发布并于12月1日实施，设云计算安全扩展要求；7月22日四部门联合公布《云计算服务安全评估办法》，9月1日施行，云计算服务安全评估制度正式确立 |
| 2020—2021 | 《密码法》2020年1月1日施行；GB/T 39786-2021于10月1日实施，密评制度全面落地；《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》于2021年密集施行，云上合规扩展至数据与个人信息维度 |
| 2022—2024 | 《网络安全审查办法》修订版2022年2月15日施行；《数据出境安全评估办法》2022年9月1日施行；《个人信息出境标准合同办法》2023年6月1日施行；《促进和规范数据跨境流动规定》2024年发布，豁免情形细化；GB/T 43697-2024《数据安全技术 数据分类分级规则》于2024年10月1日实施 |
| 2025至今 | 《网络数据安全管理条例》2025年1月1日施行，网络数据安全管理义务体系定型；等保测评、密评、云评估三线制度进入常态化运行，“持续合规”与“合规自动化”成为产业实践热点 |
5级
等保定级体系
第一级自主保护至第五级专控保护；云上系统普遍定级为二级、三级（第3页）
2档
云能力要求分级
GB/T 31168-2014一般级/增强级，对应不同敏感程度的云计算服务场景（第4页）
3条
数据出境合法路径
安全评估、标准合同、个人信息保护认证，另加2024年规定的豁免情形（第7页）
6个月
网络日志留存底线
《网络安全法》第21条要求，云上日志架构设计的首个合规硬约束（第6页）
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| 网络安全等级保护（等保2.0） | 对网络实施分等级保护、分等级监管的制度；2.0指2019年发布的GB/T 22239-2019等系列标准，覆盖云计算、移动互联、物联网、工业控制系统的安全扩展要求 |
| 定级对象 | 等保制度中被定级、备案与测评的基本单元；云上系统通常以“云上承载的业务系统”为定级对象，而非云资源池本身 |
| 云计算服务安全评估 | 依据四部门《云计算服务安全评估办法》对云服务商及其云平台开展的安全评估；通过评估是党政机关、关基运营者采购其云服务的前置条件 |
| 一般级 / 增强级 | GB/T 31168-2014定义的云计算服务两档安全能力要求；增强级在系统开发与供应链、访问控制、审计、数据保护等方面提出更高要求 |
| 商用密码应用安全性评估（密评） | 依据《密码法》与GB/T 39786-2021对信息系统密码应用的合规性、正确性、有效性评估，覆盖物理和环境、网络和通信、设备和计算、应用和数据四个层面 |
| 重要数据 | 《数据安全法》确立的概念：一旦遭到篡改、破坏、泄露或非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全的数据；目录由各地区、各部门确定 |
| 委托处理 | 《个人信息保护法》第21条确立的处理关系：个人信息处理者委托受托人（如云服务商）处理个人信息时，应约定处理目的、期限、方式与保护措施，并对受托人监督；受托人不得超约定处理 |
| BYOK / HYOK | 客户自带密钥（Bring Your Own Key）与客户自持密钥（Hold Your Own Key）；决定云上数据加密中密钥控制权的归属，直接影响合规定性 |
| CCM / STAR | CSA云控制矩阵（Cloud Controls Matrix，v4版）及其衍生的STAR认证（STAR Certification基于ISO 27001+CCM，STAR Attestation基于SOC 2+CCM） |
| 合规即代码（Compliance as Code） | 将合规控制项以策略代码（如OPA Rego、SCAP、云厂商Config规则）表达，实现配置的持续合规检测与自动修复 |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| “云平台通过云评估=我的系统通过等保” | 云计算服务安全评估的对象是云服务商与云平台能力；客户业务系统仍需独立定级备案与等保测评。二者是“平台准入”与“系统合规”的关系，互为前提、互不替代。 |
| “等保测评就是安全厂商的渗透测试” | 等保测评是依据GB/T 28448-2019的合规性测评，方法为访谈、核查与测试三者结合；渗透测试仅是其中“测试”环节的技术手段之一，且测评机构须具备相应资质，结论以“符合/基本符合/不符合”出具。 |
| “数据在云上加密了，出境就不用评估” | 数据出境规则的适用以数据是否向境外“提供”为判断核心，传输加密不改变数据提供的法律性质；重要数据出境必须通过安全评估，且“重要数据”的认定与加密状态无关。 |
| “SaaS模式下合规责任全在厂商” | 共享责任模型下SaaS厂商承担平台安全责任，但客户对账号权限管理、数据分类、成员授权、合规配置（如审计日志开启）仍负首要责任；《个保法》下客户作为处理者身份不因使用SaaS而转移。 |
| “国际标准比国标更严，过了ISO就等于过了等保” | 两者控制体系高度重叠但结构不同：等保强调定级—备案—测评—整改的监管闭环与物理环境要求，ISO 27001是组织级管理体系。存在等保有而ISO无（如等级保护义务、日志留存6个月）的要求，不能互相替代（第5页给出对照方法）。 |
05 · 研究范围与合规边界
- 对象范围：中国法律框架下的云上合规体系（等保2.0、云计算服务安全评估、数据与个人信息保护、密评）为主线，兼顾ISO/IEC 27017、27018、CSA CCM等国际标准与国内要求的对照；覆盖IaaS/PaaS/SaaS三种服务模式与公有云、私有云、混合云部署形态。
- 深度边界：做到“义务识别—标准解读—技术落地—证据要求—度量改进”全链条；不替代具体组织的法律意见，不逐条抄录受版权保护的标准原文（以控制项语义解读与公开要点归纳方式呈现），具体条款编号与全文以标准正式出版文本为准。
- 时效声明：法规与标准状态截至2026年9月，均以官方公布文本为准；标准修订、办法更新后应以最新版本重新核对。本课题不预测未发布的政策。
- 协同边界：云责任分界总纲属子课题01；容器平台基线核查输入属子课题02（Kubernetes CIS基线）；供应链SBOM/SLSA合规属子课题03；Serverless与多云场景的责任延伸属子课题04、05——本子课题为其提供合规制度侧的制度解读与证据要求。
合规与伦理声明：①本子课题为合规研究与教育内容，不构成法律意见，具体合规决策应咨询具备资质的测评机构与法律顾问；②文中测评流程与材料清单基于公开发布的制度文件整理，实际申报以主管部门要求为准；③不收录、不传播任何未公开的标准原文或内部文件；④引用外部来源均标注出处，供读者核实。
06 · 与课题体系的协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 01 云安全架构与共享责任模型 | 本子课题将子课题01的责任分界分析转化为合规语言：责任矩阵即审计责任分配矩阵；错误配置治理（CSPM）的输出即等保“安全计算环境”控制项的运行证据 |
| 02 容器与Kubernetes安全 | 子课题02第8页的CIS Kubernetes Benchmark核查项、PSS基线即本子课题“虚拟化与容器安全”控制项的技术实现；其基线核查报告可直接作为等保测评与云评估的支撑材料 |
| 03 云原生软件供应链与镜像安全 | SBOM生成、镜像签名与CI/CD凭证治理（子课题03）对应GB/T 31168-2014“开发与供应链安全”要求及等保“安全建设管理”，本子课题给出其合规证据形态要求 |
| 04 Serverless与函数计算安全 | Serverless下客户责任面进一步收窄，但函数日志留存、执行角色权限的合规证据采集方式特殊，本子课题第6页给出其证据自动化方案 |
| 05 多云与混合云统一防护 | 多云策略一致性（子课题05）的合规等价性表达由本子课题提供方法论：同一控制项在异构云上的策略等价声明与漂移审计即“持续合规”的技术基础 |
07 · 预期成果与交付物
- 《云上合规义务图谱（法律—规章—标准四层清单）》（含责任主体与证据要求标注，第2页）
- 《GB/T 22239-2019云计算安全扩展要求逐域落地指引》（云平台侧/客户侧责任分配+核查方法，第3页）
- 《云计算服务安全评估申报与差距整改手册》（材料清单、自评估方法、常见不符合项整改路径，第4页）
- 《等保/ISO 27017/27018/CSA CCM控制映射手册》（双向映射表与冲突项处置指引，第5页）
- 《云上合规控制项技术实施基线》（日志留存、密钥管理、审计证据自动化的配置模板，第6页）
- 《云上数据合规操作手册》（分类分级落地、出境路径选择决策树、委托处理合同要点，第7页）
- 《合规测评证据清单与成熟度评估体系》（Checklist、KRI/KPI、五级成熟度模型与路线图，第8页）
本节参考来源（第1页）
以下均为真实可查的权威来源（中国人大网、中国政府网、中国网信网、国家标准全文公开系统、ISO、CSA），用于支撑本页事实性表述。
[1]
《中华人民共和国网络安全法》（2017年6月1日施行）：中国政府网（法律全文）。
[2]
《中华人民共和国数据安全法》（2021年9月1日施行）、《中华人民共和国个人信息保护法》（2021年11月1日施行）：中国政府网。
[3]
《云计算服务安全评估办法》（国家网信办、国家发改委、工信部、财政部2019年7月22日联合公布，2019年9月1日施行）：中国网信网。
[4]
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》、GB/T 28448-2019《网络安全等级保护测评要求》、GB/T 25070-2019《网络安全等级保护安全设计技术要求》：国家标准全文公开系统。
[5]
GB/T 31167-2014《信息安全技术 云计算服务安全指南》、GB/T 31168-2014《信息安全技术 云计算服务安全能力要求》、GB/T 34942-2017《信息安全技术 云计算服务安全能力评估方法》：国家标准全文公开系统。
[6]
《关键信息基础设施安全保护条例》（2021年9月1日施行）、《网络数据安全管理条例》（2025年1月1日施行）、GB/T 43697-2024《数据安全技术 数据分类分级规则》：中国政府网、国家标准全文公开系统。