01 · 制度定位与法律关系
《云计算服务安全评估办法》由国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、财政部于2019年7月22日联合公布，2019年9月1日施行。其制度定位可从三个维度理解：
- 法律渊源：依据《网络安全法》制定，落实网络与信息安全保障义务在云计算场景的细化要求；与《网络安全审查办法》形成“云服务专项评估+通用采购审查”的双层制度。
- 制度功能：对云服务商及其云计算服务平台开展安全评估，评估结果作为党政机关、关键信息基础设施运营者采购云计算服务的依据——即“采购前置审查”。
- 与等保/云扩展的关系：云评估侧重云服务商能力（供给侧准入），等保云扩展侧重云上系统（需求侧建设）；云服务商通过云评估所建立的安全能力证据，可作为客户等保测评中“虚拟化层”“物理环境”控制项的输入（第3页已述）。
要点：云评估不是一次性“牌照”，而是持续监督制度——办法规定评估机构对通过评估的云平台持续开展监督，发生重大变更或安全事件时重新评估。客户应关注服务商评估结果的有效状态而非历史通过记录。
02 · 适用范围与申报主体
| 要素 | 内容 |
|---|---|
| 评估对象 | 云计算服务平台（面向党政机关、关基运营者提供服务的云平台）；申报主体为云服务商（云计算服务平台运营者） |
| 强制适用场景 | 党政机关、关键信息基础设施运营者采购云计算服务时，应选择通过评估的云服务商 |
| 非强制但建议场景 | 一般企业客户可将评估结果作为云服务商安全能力的权威第三方证明，纳入采购评审 |
| 申报受理 | 云服务商通过中国网信网公布的申报渠道提交申报材料；由云计算服务安全评估工作协调机制组织评估 |
| 结果形式 | 评估结果经审定后发布；通过评估的云平台名单公开发布，供采购方查询 |
03 · 评估全流程解析
云计算服务安全评估六步流程
依据《云计算服务安全评估办法》公开文本整理的流程框架（各环节时限与细则以主管部门发布为准）
说明：流程为公开办法条文的结构化整理；专家组工作细则、评估工具与判定标准等操作文件以主管部门公开发布版本为准。
| 阶段 | 工作内容要点 | 关键成功因素 |
|---|---|---|
| 申报 | 提交云平台基本情况、安全能力自评、相关资质与测评报告（等保、ISO、云扩展相关）等申报材料 | 材料与平台实际状态一致；自评问题清单坦诚完整 |
| 技术评估 | 专家组围绕云平台安全能力逐域评估：组织管理、建设与供应链、访问控制、审计、数据保护、虚拟化安全等 | GB/T 31168-2014逐条证据就绪；测试环境可复现 |
| 整改复验 | 不符合项整改并提交证据，专家组复核 | 整改根因化（不止修复单点）；证据可追溯 |
| 持续监督 | 重大平台变更（架构、数据中心、核心组件）、重大安全事件时报告并可能触发重新评估 | 建立内部“变更即合规”评审机制 |
04 · 评估内容要点（对照GB/T 31168-2014）
《云计算服务安全评估办法》明确评估重点围绕云计算服务平台的安全能力，其技术标尺即GB/T 31168-2014《云计算服务安全能力要求》（分一般级与增强级）。下表按标准公开的结构归纳评估域与安全意图：
| 能力域 | 评估关注点（语义级归纳） | 级别差异 |
|---|---|---|
| 系统开发与供应链安全 | 云平台研发安全流程、开源与第三方组件管理、构建环境安全、供应链背景审查与来源控制 | 增强级要求显著加严 |
| 访问控制 | 客户身份鉴别与授权管理、特权账号管控、客户间隔离（含虚拟化层隔离机制） | 增强级增加细粒度要求 |
| 配置管理 | 平台基线配置、配置变更受控、漏洞管理与补丁流程 | 均有要求 |
| 审计 | 平台审计能力、客户可获取的审计记录、审计记录保护与留存 | 均有要求 |
| 数据保护 | 数据隔离、传输与存储加密、密钥管理、数据迁移与退出时数据返还与清除 | 增强级要求更严格的数据保障 |
| 虚拟化与平台安全 | 虚拟化层自身安全、管理平台（控制台/API）安全、DoS防护 | 均有要求 |
| 组织与人员 | 安全组织职责、人员背景审查、安全培训、服务商法律合规资质 | 均有要求 |
| 业务连续性与应急响应 | 容灾备份、重大安全事件报告与处置能力、客户通知机制 | 增强级提高连续性指标 |
表述说明：GB/T 31168-2014为受版权保护的标准，上表为控制域语义的公开要点归纳，能力域名称以标准正式文本为准；评估实践中专家组另有配套评估方法（GB/T 34942-2017）与操作细则，本课题不臆造其内部判定条款。
05 · 云服务商申报准备清单
| # | 材料/能力项 | 准备要点 |
|---|---|---|
| 1 | 平台基本情况 | 数据中心地域、架构、服务模式、客户类型分布；基础设施境内运营证明 |
| 2 | 现有测评与认证 | 云平台等保测评报告、ISO 27001/27017/27018证书、CSA STAR等（有则提供，作为佐证） |
| 3 | GB/T 31168差距自评 | 按一般级/增强级逐条自评，形成差距项与整改计划；自评表保持机读证据（配置、日志）对应 |
| 4 | 供应链安全材料 | 核心组件（虚拟化、硬件、开源组件）清单与来源审查、供应商安全协议 |
| 5 | 数据保护机制 | 加密覆盖矩阵、密钥管理架构（含BYOK支持）、数据迁移与清除SOP及执行记录样例 |
| 6 | 客户隔离与审计演示 | 虚拟化隔离验证环境、客户审计日志样例与获取方式说明 |
| 7 | 组织人员与合规资质 | 安全组织图、关键岗位背景审查制度、历史合规处罚自查声明 |
| 8 | 事件与变更机制 | 重大事件报告流程（与客户合同条款一致）、变更管理流程及近一年重大变更记录 |
常见退回原因（实践通识归纳）：①自评与实测状态不一致（如宣称默认加密但实际可选）；②平台等保测评覆盖范围与申报云平台范围不匹配；③供应链组件清单不完整（尤其开源组件无SBOM）；④数据清除仅有流程无执行证据。
06 · 客户侧使用指南
6.1 采购环节查验步骤
- 在中国网信网查询目标云服务商的评估结果有效状态与覆盖范围（注意：评估结果针对特定云平台，多平台厂商需逐一核对）；
- 合同条款写入：数据境内存储、基础设施位置变更通知、重大事件通报时限、客户退出数据返还与删除证明；
- 索取云平台等保测评报告相关章节，作为自身等保测评“平台侧”证据（第3页）；
- 对涉重要数据的系统，叠加数据出境评估（第7页）与密评（第6页）安排。
6.2 合同安全条款要点
| 条款 | 要点 |
|---|---|
| 数据处理角色界定 | 明确云服务商在客户数据上仅为受托人，处理范围、目的、期限书面化（对应《个保法》第21条） |
| 数据位置与跨境 | 存储地域约束、未经书面同意不得迁移或跨境复制；境外技术支持访问的披露与管控 |
| 审计权 | 客户及监管方审计配合义务；服务商定期提供合规状态更新（评估有效性、重大事件） |
| 事件通报 | 影响客户数据的安全事件通报时限（建议写入小时级）、配合取证义务 |
| 退出机制 | 数据可迁移格式与时限、删除证明形式、介质销毁流程 |
2019
评估办法施行年
四部门2019年7月公布、9月1日起施行，云评估制度正式确立
2档
能力要求分级
GB/T 31168-2014一般级与增强级，构成评估技术标尺
4家
联合发布部门
国家网信办、国家发改委、工信部、财政部联合发布
持续
监督性质
非一次性牌照：重大变更与重大事件触发重新评估
本节参考来源（第4页）
[1]
《云计算服务安全评估办法》（国家网信办、国家发改委、工信部、财政部2019年7月22日联合公布）：中国网信网（办法全文及申报指南）。
[2]
GB/T 31168-2014《信息安全技术 云计算服务安全能力要求》（一般级/增强级）、GB/T 31167-2014《云计算服务安全指南》、GB/T 34942-2017《云计算服务安全能力评估方法》：国家标准全文公开系统。
[3]
《网络安全审查办法》（2022年修订版）第7条关基采购审查条款：中国网信网。
[4]
云计算服务安全评估结果公开发布页：中国网信网（采购查验入口）。