01 · 等保2.0框架与云扩展定位
1.1 等保2.0基本框架
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》将基本要求划分为安全技术要求与安全管理要求两大类：技术要求覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个层面；管理要求覆盖安全管理体系、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个方面。对于云计算平台，标准在通用要求基础上设置了云计算安全扩展要求（位于标准的“安全扩展要求”部分，与移动互联、物联网、工业控制系统扩展要求并列），其逻辑是：云计算平台的“资源池化、虚拟化、多租户、弹性供给”特性使物理环境与虚拟环境的控制对象发生根本变化，通用要求中的部分条款在云场景下必须由扩展要求补充或替代解释。
1.2 云扩展要求的适用边界
- 适用对象：云计算平台本身作为定级对象时，执行通用要求+云计算安全扩展要求；云上承载的业务系统作为定级对象时，执行通用要求，并引用云计算安全扩展要求中与客户责任相关的控制项（如镜像快照保护、数据迁移时数据的完整保密）。
- 分级对应：扩展要求条款随定级等级（二级/三级/四级）强度递增；云上系统以二级、三级为主，本课题以三级为解读基准。
- 与云评估的关系：云计算服务安全评估（《云计算服务安全评估办法》）回答“云服务商能不能被选”，等保云扩展要求回答“云上系统怎么建、怎么测”，二者控制项高度相关但监管链条独立（详见第4页对照）。
阅读提示：GB/T 22239-2019为受版权保护的国家标准，本页以“控制域—安全意图—云上落地形态”方式做语义级解读，不逐条引用原文；具体条款编号与措辞以国家标准正式出版文本（国家标准全文公开系统可查）为准。
02 · 云扩展要求五大域逐域解读
| 控制域 | 安全意图（标准要求什么） | 云上落地形态（怎么实现） |
|---|---|---|
| 基础设施位置 | 云计算平台运营者在中国境内运营时，其物理基础设施应位于中国境内；关键信息基础设施运营者采购云计算服务时应明确基础设施位置并要求服务商承诺不违规境外迁移 | 合同条款明确数据中心地域；云控制台“地域/可用区”属性固定；跨境复制与白名单控制；变更管理机制约束基础设施位置变更 |
| 虚拟化安全 | 保障虚拟化层自身安全：虚拟化管理程序、虚拟网络、虚拟存储的安全隔离与监控；防止虚拟化层被突破导致租户间相互影响 | 虚拟化层等保测评（云平台侧）；虚拟网络隔离（VPC/VNet）、虚拟防火墙与微隔离；虚拟化层安全监控与审计（Hypervisor日志）；虚拟资源池按租户隔离 |
| 数据完整性与保密性（留存与迁移） | 确保云上数据的完整性、保密性在存储、传输、迁移（含客户退出迁移）全程得到保护；数据迁移后原存储空间数据应有效清除 | 存储加密（云盘/对象存储加密默认开启）；传输加密（TLS）；客户退出时的数据迁移工具链与迁移完整性校验；剩余信息保护：存储介质复用前的数据清除机制（逻辑销毁/物理销毁流程） |
| 镜像与快照保护 | 保障云平台中虚拟机镜像、容器镜像、存储快照的完整性与保密性：镜像来源可信、防篡改、访问受控；快照创建与恢复操作可审计 | 镜像仓库签名验证与准入扫描（对应子课题02/03技术栈）；镜像/快照访问控制与操作审计日志；镜像共享与公开的显式授权；快照加密与留存策略 |
| 云服务商选择与供应链管理 | 客户（尤其关基运营者）应选择通过安全评估的云服务商；云服务商应建立供应链安全管理制度，保证平台组件（含虚拟化软件、硬件）来源可控 | 采购环节查验云计算服务安全评估结果；云服务商供应链安全审查材料；服务商变更与退出机制（合同中的数据迁移与删除义务） |
2.1 控制项强度随等级变化示例（语义级归纳）
| 控制域 | 二级（指导级） | 三级（监督级，云上主流） |
|---|---|---|
| 虚拟化安全 | 实现虚拟资源隔离、虚拟化层基本安全监控 | 在上述基础上强化：虚拟化层集中管控、虚拟网络边界防护与访问控制细化、虚拟化安全事件的集中监测与告警 |
| 数据留存与迁移 | 迁移过程保证完整保密、迁移后清除 | 增加：迁移过程的身份鉴别与授权机制、迁移通道加密与完整性校验的可审计记录 |
| 镜像快照 | 镜像快照访问控制与防篡改 | 增加：镜像来源验证机制、快照操作的集中审计与告警 |
实施要点：云扩展要求中“虚拟化层安全”属于云平台固有义务，客户无法通过自身配置达成，必须在采购合同中约定并要求云服务商提供测评证据（如云平台等保测评报告相应章节）；而“镜像快照保护”“数据迁移清除”则是客户可配置项，应在客户侧基线（CIS Benchmark）中落地并留存配置快照作为测评证据。
03 · 三种服务模式下责任分配
同一控制项在IaaS/PaaS/SaaS下责任分配不同（●主要责任 ○配合责任 —不适用）：
| 控制项示例 | IaaS | PaaS | SaaS |
|---|---|---|---|
| 物理与环境安全（通用要求） | 服务商● / 客户— | 服务商● / 客户— | 服务商● / 客户— |
| 虚拟化层安全（云扩展） | 服务商● | 服务商● | 服务商● |
| 操作系统与中间件加固 | 客户● | 服务商● / 客户○ | 服务商● |
| 镜像与快照保护 | 客户●（自制镜像）/ 服务商○（市场镜像） | 客户○ / 服务商● | 服务商● / 客户○ |
| 应用层访问控制与审计 | 客户● | 客户● | 服务商● / 客户○（权限配置） |
| 数据加密与密钥管理 | 客户●（BYOK可行） | 共担（客户管密钥策略） | 服务商● / 客户○（设置选项） |
| 日志留存（6个月） | 客户●（业务+OS日志）/ 服务商○（控制面） | 共担 | 服务商● / 客户○（导出留存） |
责任分配原则：以“谁控制、谁负责”为锚：客户可控层（IaaS的OS及以上）控制项由客户负主要责任并自行准备证据；客户不可控层（虚拟化、物理设施）由云服务商负责，客户通过合同与平台测评材料“借力”。责任分配表应作为合规责任矩阵（子课题01产物）的合规附表。
04 · 云上系统定级与备案实务
- 定级对象确定：云上业务系统以系统整体为定级对象（含其云上资源），而非单个云资源；多系统共用云资源池时各系统分别定级；定级方法依据GB/T 22240-2020《网络安全等级保护定级指南》。
- 等级判定要素：受侵害客体（公民法人权益/社会秩序公共利益/国家安全）与侵害程度；云上系统承载大量个人信息或重要数据时等级随客体敏感度上升。
- 常见误区：“云资源在厂商那里，由厂商定级”——错误，定级对象是客户业务系统，由运营者定级；多个低等级系统合并部署在同一资源池不降低各自等级。
- 备案与测评周期：二级以上系统到设区的市级以上公安机关备案；三级系统每年至少一次测评；等级变更（业务变化）需重新备案。
- 云上特有审查点：备案材料中需说明云上部署架构、云服务商及其云评估/等保情况、责任分界说明——这正是子课题01责任矩阵的合规用途。
05 · 测评方法与证据核查
5.1 测评实施三种方式（GB/T 28448-2019）
| 方式 | 定义 | 云上典型应用 |
|---|---|---|
| 访谈 | 与人员交流，验证制度知晓与职责履行 | 访谈云管理员：镜像发布流程、权限审批流程；访谈客户安全负责人：日志留存策略、应急预案 |
| 核查 | 对文档、记录、配置、机制进行查证比对 | 核验CIS基线核查报告、CSPM配置快照、云平台等保测评报告、密钥管理配置截图（带时间戳） |
| 测试 | 通过技术验证控制有效性 | 漏洞扫描、渗透测试、权限最小化验证（尝试越权访问）、日志完整性抽验（尝试篡改并验证告警） |
5.2 云上证据核查清单（节选）
| 控制项 | 核查证据 | 核查要点 |
|---|---|---|
| 虚拟化资源隔离 | VPC配置快照、微隔离策略 | 不同租户/系统间默认拒绝、显式放通的策略证据 |
| 数据存储加密 | 云盘/对象存储默认加密配置、KMS密钥策略 | 加密为默认开启而非可选；密钥轮换策略存在 |
| 镜像与快照 | 镜像签名验证配置、快照操作审计日志 | 未签名镜像无法部署；快照创建/恢复/删除均有审计 |
| 日志留存 | 日志留存策略配置（≥6个月）、不可篡改配置 | 留存期限参数、WORM/对象锁配置、时间同步（NTP）配置 |
| 身份鉴别 | MFA开通率报表、权限审批工单 | 特权账号100% MFA；三个月未使用权限回收记录 |
06 · 常见不符合项与整改建议
| 常见不符合项（公开测评实践通识归纳） | 根因 | 整改建议 |
|---|---|---|
| 云日志留存不足六个月或仅存控制台界面 | 业务日志未集中、留存策略未按等保要求设置 | 集中日志架构（第6页），留存参数固化进基线，定期抽验 |
| 镜像仓库无准入控制，存在外部未扫描镜像 | CI/CD与仓库准入缺失 | 部署准入控制器，强制签名+扫描（子课题03方案） |
| 云平台侧证据缺失（虚拟化层） | 未在合同中约定服务商配合义务 | 采购合同补充测评配合条款；索取云平台等保报告对应章节 |
| MFA覆盖不全、共享账号存在 | 身份治理滞后 | 特权账号清单化，MFA强制+定期权限复核 |
| 数据迁移/退出无数据清除证明 | 生命周期末端流程缺失 | 建立退订数据清除SOP与介质销毁记录，形成可出示的证据 |
本节参考来源（第3页）
本页为标准语义级解读，具体条款编号以标准正式文本为准。
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（云计算安全扩展要求）：国家标准全文公开系统。
GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》（测评单元与测评实施）：国家标准全文公开系统。
GB/T 25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》：国家标准全文公开系统。
《云计算服务安全评估办法》及云计算服务安全评估专家组工作规则（公开文件）：中国网信网。
CIS Benchmarks（云上配置基线核查工具，对应“镜像快照保护”“日志留存”等控制项的技术实现）：cisecurity.org。