云計(jì)算服務(wù)安全指南解讀(GB-T31167)

云計(jì)算服務(wù)安全指南解讀云計(jì)算初探云計(jì)算概述云計(jì)算風(fēng)險生命周期術(shù)語和定義云計(jì)算特征云計(jì)算安全風(fēng)險規(guī)劃準(zhǔn)備服務(wù)、部署云計(jì)算優(yōu)勢角色及職責(zé)基本要求運(yùn)行監(jiān)管退出服務(wù)選擇服務(wù)商與部署云計(jì)算概述（術(shù)語與定義）A.云計(jì)算通過網(wǎng)絡(luò)訪問可擴(kuò)展的、靈活的物理或虛擬共享資源池，并按需自主獲取和管理資源的模式.云計(jì)算基礎(chǔ)設(shè)施云計(jì)算平臺云計(jì)算服務(wù)云計(jì)算環(huán)境云服務(wù)客戶云服務(wù)商第三方評估機(jī)構(gòu)云計(jì)算概述（云計(jì)算特征—服務(wù)模式—部署模式）A.云計(jì)算特征a）按需自助服務(wù)b）泛在接入c）資源池化d）快速伸縮性e）服務(wù)可計(jì)量B.云計(jì)算的服務(wù)模式a）軟件即服務(wù)（SaaS）b）平臺即服務(wù)（PaaS）c）基礎(chǔ)設(shè)施即服務(wù)（IaaS）C.云計(jì)算的部署模式a）私有云b）公有云c）社區(qū)云d）混合云云計(jì)算概述（云計(jì)算的優(yōu)勢）減少開銷和能耗1增加業(yè)務(wù)的靈活性2提高業(yè)務(wù)系統(tǒng)的可用性3提升專業(yè)性4云計(jì)算風(fēng)險（云計(jì)算安全風(fēng)險）A、客戶對數(shù)據(jù)和業(yè)務(wù)系統(tǒng)的控制能力減弱B、客戶與云服務(wù)商之間的責(zé)任難以界定F、數(shù)據(jù)殘留E、數(shù)據(jù)保護(hù)更加困難C、可能產(chǎn)生司法管轄權(quán)問題G、容易產(chǎn)生對云服務(wù)商的過度依賴D、數(shù)據(jù)所有權(quán)保障面臨風(fēng)險云計(jì)算風(fēng)險（角色及職責(zé)—基本要求）云服務(wù)商客戶第三方評估機(jī)構(gòu)-通過安全審查；-進(jìn)行運(yùn)行監(jiān)管；-滿足客戶數(shù)據(jù)和業(yè)務(wù)的遷移需求。-選擇合適的云服務(wù)商；-數(shù)據(jù)和業(yè)務(wù)的最終安全責(zé)任；-監(jiān)管活動根據(jù)規(guī)定開展安全檢查。-對云服務(wù)商及云計(jì)算

服務(wù)開展獨(dú)立的安全評估；1. 安全管理責(zé)任不變客戶是信息安全的最終責(zé)任人2. 資源的所有權(quán)不變客戶提供的數(shù)據(jù)、設(shè)備等資源，運(yùn)行過程中收集、產(chǎn)生、存儲數(shù)據(jù)和文檔都屬于客戶；3. 司法管轄關(guān)系不變 客戶數(shù)據(jù)和業(yè)務(wù)的司法管轄權(quán)不應(yīng)因采用云計(jì)算服務(wù)而改變；云服務(wù)商不得將客戶數(shù)據(jù)及相關(guān)信息提供給他國政府及組織；4. 安全管理水平不變遵守政府信息系統(tǒng)系統(tǒng)安全管理政策及標(biāo)準(zhǔn)；5. 堅(jiān)持先審后用原則云服務(wù)商通過安全審查；客戶選擇通過審查的云服務(wù)商。基本要求客戶與云服務(wù)商云計(jì)算生命周期規(guī)劃準(zhǔn)備選擇服務(wù)商與部署運(yùn)行監(jiān)管退出服務(wù)變更服務(wù)商云計(jì)算生命周期（規(guī)劃準(zhǔn)備）概述政府信息分類政府業(yè)務(wù)分類優(yōu)先級確定安全保護(hù)要求需求分析形成決策報(bào)告效益評估效益評估建設(shè)成本運(yùn)維成本人力成本性能和質(zhì)量創(chuàng)新性政府信息分類信息分類原則敏感信息公開信息涉密信息非涉密信息政府業(yè)務(wù)分類一般業(yè)務(wù)重要業(yè)務(wù)關(guān)鍵業(yè)務(wù)需求分析服務(wù)模式部署模式功能需求的穩(wěn)定性和通用性資源的動態(tài)需求特點(diǎn)時延業(yè)務(wù)連續(xù)性可移植性與互操作性數(shù)據(jù)的存儲位置監(jiān)管能力云計(jì)算生命周期（選擇服務(wù)商與部署）部署云服務(wù)商的安全能力要求合同中的安全考慮確認(rèn)云服務(wù)商云服務(wù)商安全能力系統(tǒng)與通信保護(hù)系統(tǒng)開發(fā)與供應(yīng)鏈安全訪問控制配置管理維護(hù)應(yīng)急響應(yīng)與災(zāi)備審計(jì)風(fēng)險評估與持續(xù)監(jiān)控安全組織與人員物理與環(huán)境保護(hù)合同中的安全考慮云服務(wù)商的責(zé)任和義務(wù)服務(wù)水平協(xié)議保密協(xié)議合同的信息安全相關(guān)內(nèi)容云計(jì)算生命周期（運(yùn)行監(jiān)管）目標(biāo)角色職責(zé)客戶自身運(yùn)行監(jiān)管云服務(wù)商運(yùn)行監(jiān)管

合同規(guī)定的責(zé)任義務(wù)和相關(guān)政策規(guī)定得到落實(shí)，技術(shù)標(biāo)準(zhǔn)得到有效實(shí)施

服務(wù)質(zhì)量達(dá)到合同要求重大變更時客戶數(shù)據(jù)和業(yè)務(wù)的方向及時有效的響應(yīng)安全事件

客戶要按照合同、規(guī)章制度和標(biāo)準(zhǔn)加強(qiáng)對云服務(wù)商和自身的運(yùn)行監(jiān)管，云服務(wù)商、第三方評估機(jī)構(gòu)應(yīng)積極參與和配合客戶、云服務(wù)商應(yīng)明確負(fù)責(zé)運(yùn)行監(jiān)管的責(zé)任人和聯(lián)系方式對違規(guī)及違約情況的監(jiān)管對安全措施的監(jiān)管運(yùn)行狀態(tài)