01 · ISO云安全标准族详解
| 标准 | 版本/年份 | 定位与云上合规要点 |
|---|---|---|
| ISO/IEC 27001 | 2022版 | 信息安全管理体系（ISMS）要求标准，组织级认证基线；2022版更新控制项结构（93项控制分四大主题）。云上系统运营者通常以此搭建组织级管理框架，与等保管理要求对接 |
| ISO/IEC 27017 | 2015 | 27002在云服务场景的实践指南：明确云服务提供商（CSP）与云服务客户（CSC）各自的控制措施归属，是共享责任模型的国际标准表达；购买云服务时的合同与责任分配参照系 |
| ISO/IEC 27018 | 2019 | 公有云中个人可识别信息（PII）保护实践规范：针对CSP的PII处理控制（同意管理、数据主体权利响应、跨境披露、 breach通知），与《个保法》受托处理条款对照价值高 |
| ISO/IEC 27701 | 2019 | 27001/27002的隐私扩展（PIMS）：个人身份信息管理体系，可作为个保法合规的组织级认证补充 |
| ISO/IEC 27036-4 / 27019 | 现行 | 供应商关系安全（含云服务供应链）/工业控制安全补充标准，云上供应链管理的扩展参照 |
27017/27018的价值定位：二者是“指南与行为规范”性质（对27002控制项的云场景细化），通常不单独认证，而是作为27001认证审核的云场景补充证据，或以27018为基础发展出第三方认证实践（如部分机构提供的公有云PII保护认证）。采购尽调时可要求云服务商说明其27001证书范围是否包含云服务运营、27018实施程度。另请注意：ISO/IEC 27001:2022版的认证过渡期限已于2025年10月31日截止，此后所有监督与再认证审核均按2022版执行，查验证书时应确认版本有效性。
02 · CSA CCM与STAR认证体系
2.1 云控制矩阵（CCM）v4
云安全联盟（Cloud Security Alliance）发布的CCM是云专项控制框架，v4版（2021年发布，其后持续维护更新）将控制项组织为17个域（如审计与保障、应用与接口安全、数据安全与隐私生命周期管理、加密与密钥管理、基础设施安全、威胁与漏洞管理等），每个控制项标注与ISO 27001/27002、GDPR、NIST SP 800-53、PCI DSS、FedRAMP等框架的映射，是业界最常用的“跨框架映射中枢”。
2.2 STAR三级体系
| 级别 | 基础 | 性质 |
|---|---|---|
| STAR Registry（注册/自评估） | 云服务商基于CCM完成自评估问卷（CAIQ）并公开 | 透明度承诺，供客户初步筛查 |
| STAR Certification | ISO/IEC 27001认证审核 + CCM控制项补充验证 | 第三方管理体系认证（一年监督审核） |
| STAR Attestation | 基于AICPA信任服务准则（SOC 2 Type II）+ CCM要求 | 第三方鉴证报告，含控制设计（Type I）与运行有效性（Type II）观察 |
使用要点：STAR认证不能替代中国法定义务（等保、云评估、出境评估），但可作为云服务商能力尽调的效率工具：要求服务商提供CCM映射的自评估应答（CAIQ），再针对中国特有要求（日志留存6个月、数据本地化、密评）做补充尽调清单。
03 · SOC 2与服务商审计报告使用
- 定义：SOC 2（System and Organization Controls）基于AICPA信任服务准则（安全性、可用性、处理完整性、保密性、隐私五项原则，Common Criteria为必选），由独立CPA机构出具；Type I评价某时点控制设计，Type II评价一段期间（通常6—12个月）控制的运行有效性。
- 云场景使用：国际云服务商普遍向客户提供SOC 2 Type II报告作为平台安全能力的第三方证据；中国客户使用时注意：①索取报告编号与覆盖范围（服务与数据中心）；②报告中例外事项（exceptions）的整改状态；③SOC 2的“安全性”原则不能替代等保技术要求——但其中的控制描述可作为等保测评“平台侧”证据的英文佐证。
- 使用限制：SOC 2报告通常含保密条款（NDA下提供）；且其为美国准则体系产物，不能作为中国法定义务的豁免依据。
04 · GDPR与跨境数据合规
4.1 GDPR对云上数据处理的核心要求
| 要求 | 云上合规含义 | 与中国法对照 |
|---|---|---|
| 第5条原则（合法、公平、透明、目的限定、最小化、准确、限期、完整保密、问责） | 云上同意管理、数据保留策略（ retention ）、默认隐私（第25条数据保护设计） | 《个保法》第5—6条最小必要与目的明确 |
| 第28条处理者条款 | 云服务商作为processor须有充分保证、处理按合同进行、协助数据主体权利响应与breach通报 | 《个保法》第21条委托处理高度对应 |
| 第32条安全处理 | 加密、韧性、恢复能力、定期测试 | 《网安法》第21条、《个保法》第51条 |
| 第33—34条 breach通报 | 72小时内向监管机构通报；高风险时通知数据主体 | 《个保法》第57条（补救+通知，规定向主管部门报告） |
| 第44—49条跨境传输 | 充分性决定、适当保障（SCCs、BCRs）、豁免情形 | 出境评估/标准合同/认证三路径（第7页） |
| 第83条罚则 | 最高2000万欧元或全球营业额4%（取高者） | 《个保法》第66条最高5000万元或营业额5% |
4.2 欧美跨境机制近况（截至2026年9月）
- 欧盟标准合同条款（SCCs）：2021年6月4日欧盟委员会通过新版SCCs（模块化结构，含处理者—处理者等四种模块），至今仍是欧盟个人数据出境的主要合规工具；
- 欧盟—美国数据隐私框架（EU-US DPF）：欧盟委员会2023年7月10日通过充分性决定，美国企业认证后可从欧盟接收数据；该框架仍在欧盟法院潜在挑战的观察期内，跨境架构宜保留SCCs作为备份路径；
- 英国IDTA/附录：英国自2022年9月起适用国际数据传输协议（IDTA）与UK附录，涉英数据流需单独核对。
冲突提示：GDPR第35条DPIA（数据保护影响评估）与《个保法》第55—56条PIA（个人信息保护影响评估）高度对应，可合并执行一次覆盖两者要求；但GDPR的跨境“充分性决定”机制在中国不适用——向欧盟传输中国数据与中国接收欧盟数据是两个独立合规命题，勿混用。
05 · 国内外控制映射方法
双重合规的落地方法是建立“控制映射表”：以国内等保控制项为基准行，标注ISO 27001:2022附录A控制、CCM v4控制、GDPR条款的对应关系。下表为方法论示例（示意性节选，正式映射需逐条核对标准原文）：
| 等保2.0控制域（云扩展相关） | ISO/IEC 27001:2022 附录A | CCM v4 域 | GDPR条款（关联） |
|---|---|---|---|
| 数据存储与传输加密（数据完整性与保密性） | 8.24 加密使用控制 | CEK 加密与密钥管理 | 第32.1(a)条 |
| 镜像与快照保护 | 8.9 配置管理 / 8.19 恶意软件防护 | CEI 变更管理、A&A | 第32.1(b)条 |
| 审计记录留存（6个月） | 8.15 日志记录 | LOG 审计与保障 | 第30.1(g)条问责原则 |
| 委托处理约定 | 5.19—5.23 供应商关系 | CEG 治理 | 第28条处理者 |
| 基础设施位置（境内） | 无直接对应（中国特有） | 无直接对应 | 第44—49条跨境（功能相关） |
| 商用密码应用（密评） | 无直接对应（中国特有） | CEK（部分关联） | 无 |
06 · 实质冲突项与处置策略
| 冲突项 | 表现 | 处置策略 |
|---|---|---|
| 数据本地化 vs 全球统一架构 | 中国境内数据要求境内存储，全球应用架构默认跨区域复制 | 中国区独立部署/独立账号体系；跨境通道仅走合规评估后的链路（第7页）；架构上“境内区域”与其他区域逻辑隔离 |
| 日志留存6个月 vs 全球隐私最小化 | 中国要求网络日志留存≥6个月，GDPR强调存储限期最小化 | 日志分类：安全审计日志按中国要求留存；行为日志按最小化原则缩短周期；留存策略按区域差异化配置并文档化法律依据 |
| 等保测评证据 vs 商业秘密 | 测评证据涉及云上架构细节，外企担心全球共享 | 证据分级：控制存在性证据可共享，敏感配置细节本地留存；与测评机构签署保密协议 |
| 密评国密算法 vs 全球TLS标准 | 中国密评要求商用密码（SM2/SM3/SM4），全球体系默认RSA/AES | 国密改造限于受监管系统边界；采用国密SSL网关/双证书方案；与监管确认国际算法过渡安排 |
本节参考来源（第5页）
ISO/IEC 27001:2022、ISO/IEC 27017:2015、ISO/IEC 27018:2019、ISO/IEC 27701:2019：ISO官网。
CSA Cloud Controls Matrix v4 与 STAR（Certification/Attestation）说明：CSA官网。
AICPA Trust Services Criteria（SOC 2准则）：AICPA-CIMA官网。
Regulation (EU) 2016/679（GDPR）第5、28、32—35、44—49、83条；欧盟委员会2021年6月4日新版SCCs实施决定（EU）2021/914；EU-US Data Privacy Framework充分性决定（2023年7月10日，C(2023) 4745 final）：EUR-Lex、欧盟委员会官网。
《个人信息保护法》第21、55—57条（PIA与breach通报）：中国政府网。