01 · 等保2.0云计算安全扩展要求
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（2019年5月发布、2019年12月1日实施）在通用要求基础上，针对云计算环境提出扩展要求，其核心条款与技术落点如下（条款号为标准中的技术要求条目，以标准原文为准）：
| 扩展要求领域 | 要求要点 | 云上技术落点（对应本课题） |
|---|---|---|
| 基础设施的位置 | 云计算基础设施应位于中国境内；因业务需要境外部署的需经评估 | 云资源区域选型前置合规审查；跨境架构走数据出境程序（第5节） |
| 虚拟化资源隔离 | 保证虚拟机、虚拟网络间的隔离措施有效，防止资源跨边界访问 | 虚拟化层属CSP责任（第2页矩阵）；客户侧核查VPC/安全组隔离有效性（第3页网络面） |
| 镜像和快照保护 | 对重要业务系统提供加固的操作系统镜像，对快照采取保护措施 | 私有镜像库准入扫描、快照加密与访问控制（第3页存储面） |
| 数据备份与恢复 | 云服务商提供的备份与恢复能力应满足相应等级的时间目标 | 备份责任格的书面界定（第2页灰区）；恢复演练纳入年度演练计划 |
| 云服务商选择 | 应选择通过云计算服务安全评估的云服务商，并与其签订安全协议 | 直接指向本页第2节的评估制度；合同要素清单（第2页灰区模板） |
| 云计算环境管理 | 客户与云服务商间的管理职责划分、客户对云环境的审计能力 | 责任矩阵文档化（第2页第6节）+ 日志可见性灰区条款（第2页5.2节） |
定级实践要点：云上系统按业务重要性与数据敏感度定级（第二至四级），云上SaaS/托管服务的定级责任由客户承担（系统所属单位的职责不因上云转移）。等保测评结论中的问题项应回写本课题配置基线库（第6页第5阶段），形成"测评—整改—基线升级"闭环。
02 · 云计算服务安全评估办法
2.1 制度要点
| 要素 | 内容（以办法原文为准） |
|---|---|
| 发布与施行 | 国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、财政部于2019年联合发布，2019年9月1日施行；替代此前的云计算服务网络安全审查安排 |
| 适用对象 | 党政机关、关键信息基础设施运营者采购云计算服务；鼓励其他运营者参照执行 |
| 评估对象 | 云计算服务本身：云平台管理运营者（含境外服务商在华运营实体）的安全能力与管理水平 |
| 评估内容 | 云平台及其管理运营者的相关资质审查、技术能力与服务质量、安全能力（含供应链安全、数据保护、人员管理等） |
| 安全等级 | 评估结果区分一般级与增强级安全等级；增强级适用于承载更敏感业务的情形 |
| 结果运用 | 通过评估的云平台名单公开发布（中国网信网），作为党政与关基采购的前置条件 |
2.2 对采购方的操作指引
- 前置核查：采购云平台服务前，在官方发布名单中核查目标平台是否通过评估及所达到的安全等级，等级应与拟承载业务匹配。
- 合同衔接：办法要求的"与云服务商签订安全协议"应复用第2页灰区合同模板（数据位置、事件通知、审计权、退出与数据返还），使监管要求与合同义务一致。
- 变更跟踪：云平台发生重大变更（架构、分包商、数据中心）可能触发重新评估，采购方应建立对供应商评估状态的年度跟踪。
03 · 云上日志留存与审计取证
《网络安全法》第21条第（三）项规定，采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。云上落地的三个特殊问题：
- "网络日志"的范围界定：云上至少应覆盖控制面API审计日志（谁做了什么配置变更）、网络流日志（谁访问了什么资源）、以及应用与系统层日志中与网络安全相关的部分。仅留存应用访问日志而缺少控制面日志，无法支撑安全事故归因。
- 留存架构：日志独立账号+只追加存储（对象锁/WORM能力）+跨区域复制，防篡改且可用性独立于生产账号（第3页4.2节基线）。
- 取证可用性：留存≠可取证。时钟同步、日志字段完整性（源IP、身份、动作、结果）、与CMDB资产上下文关联，是日志能在事件响应中"讲故事"的前提；建议按季度做"无脚本取证演练"验证。
注意：六个月是法定最低留存期；金融、关基等行业规范可能要求更长周期，且涉个人信息日志的留存还须符合《个人信息保护法》最小必要与保存期限最短原则——两者冲突时按更严格要求执行，并在制度中明确各日志类别的留存矩阵。
04 · 云上商用密码应用（密评）
《密码法》（2020年1月1日施行）确立商用密码应用安全性评估制度；GB/T 39786-2021规定了信息系统密码应用的技术要求。云上密评的特殊性集中在密钥管理责任（第2页5.3灰区）：
| 密钥模型 | 密评关注点 | 选型建议 |
|---|---|---|
| CSP托管密钥 | 密钥实际控制权在CSP，是否满足"密码应用由运营者自主可控"的审查口径存在不确定性 | 仅用于低敏数据；高敏系统不建议单独采用 |
| 客户主密钥托管于云KMS | 密钥生成/存储在合规密码模块内、使用行为可审计、客户可禁用与轮换 | 主流推荐；确认KMS通过商用密码相关检测认证 |
| 客户自持密钥（BYOK/HYOK） | 密钥不出客户管控域，CSP侧仅执行加解密；可用性与性能由客户承担 | 高敏/强监管场景；需自建密钥高可用 |
| 云外密码机/签名服务 | 密码运算完全在客户管控的密码设备内完成 | 合规要求最高的场景（如金融核心） |
前置原则：密评问题在架构设计阶段解决成本最低。云上系统的密码应用方案（算法合规、密钥生命周期、密码服务部署形态）应在系统定级阶段同步论证，而非等保测评前补救——后者常导致重构代价远超预算。
05 · 数据出境与跨境合规
使用境外云区域、境外SaaS或由境外主体运维的托管服务，可能构成数据出境。现行制度框架（均为公开发布文件）：
- 《数据出境安全评估办法》（2022年9月1日施行）：关键信息基础设施运营者及达到规定门槛的数据处理者向境外提供重要数据或达量个人信息，应申报安全评估。
- 个人信息出境标准合同（2023年6月1日施行）：未达评估门槛的个人信息出境可走标准合同备案路径；《促进和规范数据跨境流动规定》（2024年3月施行）对部分场景作出豁免与放宽安排。
- 云上技术落点：数据分区与区域锁定（资源级策略禁止数据落境外区域）、跨境流动监测（存储桶跨区域复制告警）、境外支持人员访问的审批与审计（第2页灰区"司法调取配合机制"的双向管理）。
06 · 行业自律与测评实践
除强制制度外，行业自律机制是云上合规的重要补充：
- 可信云评估（中国信息通信研究院）：面向云服务的评估体系（数据安全、性能、运维等专项），虽非行政许可，但已成为政企采购的常见参考依据。
- ISO/IEC 27001/27017/27018认证（国内机构发证）：作为国际框架的本地映射（第4页），在出海业务与外企客户尽调中仍是高频要求。
- 多云/混合云合规的一致性实践：等保测评以系统为单位而非以云为单位——跨云部署的系统在测评时应作为一个整体界定边界，各云环境的差异项在测评报告中单独说明，避免"每个云各测一次"的资源浪费与口径割裂。
6.1 中外合规对照速查
| 议题 | 中国要求 | 国际对照（第4页） |
|---|---|---|
| 云上基线测评 | 等保2.0定级备案测评（强制） | ISO 27001认证（自愿）；CIS Benchmark核查（技术基线） |
| 云服务商准入 | 云计算服务安全评估（党政/关基强制） | CSA STAR分级；SOC 2报告尽调（市场驱动） |
| 日志留存 | 不少于六个月（网络安全法第21条） | 各框架按风险自定（如PCI DSS要求一年审计日志） |
| 个人信息保护 | 《个人信息保护法》受托处理条款 | GDPR第28条；ISO/IEC 27018实施规范 |
| 密码应用 | 《密码法》+GB/T 39786密评（强制范围） | 无直接对应；FIPS 140系列（美国政府侧） |
本节参考来源（第7页）
以下均为公开发布、可在中国网信网、国家标准全文公开系统、中国人大网等官方渠道查证的文件。
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（2019年5月发布、12月1日实施）：国家标准全文公开系统 openstd.samr.gov.cn。
《云计算服务安全评估办法》（国家网信办、国家发改委、工信部、财政部2019年联合发布，2019年9月1日施行）及通过评估的云平台名单（中国网信网）：cac.gov.cn。
《中华人民共和国网络安全法》（2017年6月1日施行，第21条）；《中华人民共和国密码法》（2020年1月1日施行）：中国人大网公布文本。
GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》（国家标准全文公开系统可查）。
《数据出境安全评估办法》（2022年9月1日施行）；《个人信息出境标准合同办法》（2023年6月1日施行）；《促进和规范数据跨境流动规定》（2024年3月施行）：国家网信办公布文本。
中国信息通信研究院可信云评估（行业自律性质，评估细则以信通院官方发布为准）：caict.ac.cn。