云計算服務(wù)系統(tǒng)安全計劃

云服務(wù)商名稱（公章）:

填表日期:

目錄

1.云計算服務(wù)概況..............................................................1

1.1平臺或系統(tǒng)名稱..........................................................1

1.2安全保護強度............................................................1

1.3服務(wù)模式................................................................1

1.4安全相關(guān)人員............................................................2

1.5功能描述................................................................2

1.6組件和邊界..............................................................2

1.7網(wǎng)絡(luò)架構(gòu)................................................................3

1.8使用者類型..............................................................3

1.9與其他云服務(wù)的關(guān)系......................................................4

2.平臺或系統(tǒng)的環(huán)境............................................................4

2.1硬件清單................................................................4

2.2軟件清單................................................................6

2.3數(shù)據(jù)流..................................................................6

2.4端口、協(xié)議、服務(wù)........................................................6

3.平臺或系統(tǒng)連接..............................................................7

4.《云計算服務(wù)安全能力要求》的實現(xiàn)情況.......................................7

4.1系統(tǒng)開發(fā)與供應(yīng)鏈安全....................................................7

4.1.1策略與規(guī)程........................................................7

4.1.2資源分配..........................................................8

4.1.3系統(tǒng)生命周期......................................................8

4.1.4采購過程..........................................................9

4.1.5系統(tǒng)文檔.........................................................11

4.1.6安全工程原則.....................................................12

4.1.7關(guān)鍵性分析.......................................................13

4.1.8外部信息系統(tǒng)服務(wù)及相關(guān)服務(wù).......................................13

4.1.9開發(fā)商安全體系架構(gòu)...............................................15

4.1.10開發(fā)過程、標(biāo)準(zhǔn)和工具............................................15

4.1.11開發(fā)商配置管理..................................................17

4.1.12開發(fā)商安全測試和評估............................................19

4.1.13開發(fā)商提供的培訓(xùn)................................................20

4.1.14防篡改..........................................................21

4.1.15組件真實性......................................................22

4.1.16不被支持的系統(tǒng)組件..............................................23

4.1.17供應(yīng)鏈保護......................................................23

4.2系統(tǒng)與通信保護.........................................................26

4.2.1策略與規(guī)程.......................................................26

422邊界保護...........................................................27

4.2.3傳輸保密性和完整性...............................................28

4.2.4網(wǎng)絡(luò)中斷.........................................................29

4.2.5可信路徑.........................................................29

4.2.6密碼使用和管理...................................................30

4.2.7協(xié)同計算設(shè)備.....................................................30

4.2.8移動代碼.........................................................31

4.2.9會話認(rèn)證.........................................................32

4.2.10移動設(shè)備的物理連接..............................................32

4.2.11惡意代碼防護....................................................33

4.2.12內(nèi)存防護........................................................34

4.2.13系統(tǒng)虛擬化安全性................................................34

4.2.14網(wǎng)絡(luò)虛擬化安全性................................................36

4.2.15存儲虛擬化安全性................................................37

4.3訪問控制...............................................................38

4.3.1策略與規(guī)程.......................................................38

4.3.2用戶標(biāo)識與鑒別...................................................39

4.3.3設(shè)備標(biāo)識與鑒別...................................................40

4.3.4標(biāo)識符管理.......................................................40

4.3.5鑒別憑證管理.....................................................42

4.3.6鑒別憑證反饋.....................................................43

4.3.7密碼模塊鑒別.....................................................44

4.3.8賬號管理.........................................................44

4.3.9訪問控制的實施...................................................46

4.3.10信息流控制......................................................47

4.3.11最小特權(quán).........................................................48

4.3.12未成功的登錄嘗試................................................49

4.3.13系統(tǒng)使用通知....................................................50

4.3.14前次訪問通知....................................................51

4.3.15并發(fā)會話控制....................................................51

4.3.16會話鎖定........................................................52

4.3.17未進行標(biāo)識和鑒別情況下可采取的行動.............................52

4.3.18安全屬性........................................................53

4.3.19遠(yuǎn)程訪問........................................................53

4.3.20無線訪問........................................................55

4.3.21外部信息系統(tǒng)的使用..............................................55

4.3.22信息共享........................................................56

4.3.23可供公眾訪問的內(nèi)容..............................................57

4.3.24數(shù)據(jù)挖掘保護....................................................58

4.3.25介質(zhì)訪問和使用..................................................58

4.3.26服務(wù)關(guān)閉和數(shù)據(jù)遷移..............................................59

4.4配置管理...............................................................60

4.4.1策略與規(guī)程........................................................60

4.4.2配置管理計劃.....................................................61

4.4.3基線配置.........................................................61

444變更控制...........................................................62

4.4.5配置項參數(shù)的設(shè)置.................................................64

4.4.6最小功能原則.....................................................65

447信息系統(tǒng)組件清單..................................................66

4.5維護....................................................................68

4.5.1策略與規(guī)程.......................................................68

4.5.2受控維護.........................................................68

4.5.3維護工具.........................................................69

4.5.4遠(yuǎn)程維護.........................................................70

4.5.5維護人員.........................................................71

4.5.6及時維護.........................................................72

4.5.7缺陷修復(fù).........................................................72

4.5.8安全功能驗證.....................................................73

459軟件、固件、信息完整性............................................74

4.6應(yīng)急響應(yīng)與災(zāi)備.........................................................75

4.6.1策略與規(guī)程........................................................75

4.6.2事件處理計劃.....................................................76

4.6.3事件處理.........................................................76

4.6.4事件報告.........................................................77

4.6.5事件響應(yīng)支持.....................................................78

4.6.6安全警報.........................................................79

4.6.7錯誤處理.........................................................80

4.6.8應(yīng)急響應(yīng)計劃.....................................................81

4.6.9應(yīng)急培訓(xùn).........................................................82

4.6.10應(yīng)急演練........................................................83

4.6.11信息系統(tǒng)備份....................................................84

4.6.12支撐客戶的業(yè)務(wù)連續(xù)性計劃.......................................85

4.6.13電信服務(wù).........................................................86

4.7審計...................................................................86

4.7.1策略與規(guī)程.......................................................86

4.7.2可審計事件.......................................................87

4.7.3審計,記錄內(nèi)容.....................................................88

4.7.4審計記錄存儲容量.................................................89

4.7.5審計過程失敗時的響應(yīng).............................................89

4.7.6審計的審查、分析和報告...........................................90

4.7.7審計處理和報告生成...............................................91

4.7.8時間戳...........................................................92

4.7.9審計信息保護.....................................................92

4.7.10不可否認(rèn)性......................................................93

4.7.11審計記錄留存....................................................94

4.8風(fēng)險評估與持續(xù)監(jiān)控.....................................................94

4.8.1策略與規(guī)程.......................................................94

4.8.2風(fēng)險評估.........................................................95

4.8.3脆弱性掃描.......................................................96

4.8.4持續(xù)監(jiān)控.........................................................97

4.8.5信息系統(tǒng)監(jiān)測.....................................................98

4.8.6垃圾信息監(jiān)測....................................................100

4.9安全組織與人員........................................................101

4.9.1策略與規(guī)程......................................................101

4.9.2安全組織........................................................102

4.9.3安全資源........................................................102

4.9.4安全規(guī)章制度....................................................103

4.9.5崗位風(fēng)險與職責(zé)..................................................103

4.9.6人員篩選........................................................104

4.9.7人員離職........................................................105

4.9.8人員調(diào)動........................................................106

4.9.9訪問協(xié)議........................................................106

4.9.10第三方人員安全.................................................107

4.9.11人員處罰........................................................108

4.9.12安全培訓(xùn).......................................................108

4.10物理與環(huán)境安全.......................................................109

4.10.1策略與規(guī)程.....................................................109

4.10.2物理設(shè)施與設(shè)備選址.............................................110

4.10.3物理和環(huán)境規(guī)劃.................................................111

4.10.4物理環(huán)境訪問授權(quán)...............................................112

4.10.5物理環(huán)境訪問控制...............................................113

4.10.6通信能力防護...................................................114

4.10.7輸出設(shè)備訪問控制...............................................114

4.10.8物理訪問監(jiān)控...................................................115

4.10.9訪客訪問記錄...................................................116

4.10.10電力設(shè)備和電纜安全保障........................................117

4.10.11應(yīng)急照明能力..................................................118

4.10.12消防能力......................................................118

4.10.13溫濕度控制能力................................................119

4.10.14防水能力......................................................120

4.10.15設(shè)備運送和移除................................................120

5.新增安全措施................................................................121

云服務(wù)商自我聲明

一、本單位提供的云計算服務(wù)符合中國法律法規(guī)要求。

二、本單位不在本信息系統(tǒng)處理涉及國家涉密的信息。

三、本單位提供的材料真實有效。

四、本單位不違規(guī)獲取、收集、使用用戶數(shù)據(jù)，不干擾用戶信息

系統(tǒng)和產(chǎn)品正常運行。

五、本單位對所收集的客戶相關(guān)信息僅用于明示的目的和用途，

未經(jīng)用戶明示同意，不公開、轉(zhuǎn)讓用戶相關(guān)信息，不為其他機構(gòu)或個

人違規(guī)獲取用戶相關(guān)信息提供便利條件。

六、本單位對于在信息系統(tǒng)或產(chǎn)品中設(shè)置的測試或維護接口，以

書面形式告知客戶關(guān)閉測試或維護接口的方法。

七、本單位不在產(chǎn)品和信息系統(tǒng)中預(yù)設(shè)后門，不加載未經(jīng)明示的

功能模塊，不加載可禁用或繞過安全機制的組件。

對以上聲明，本單位愿意承擔(dān)相應(yīng)的法律責(zé)任。

云服務(wù)商名稱（公章）：

云服務(wù)商法人代表簽字：

年月日

1.云計算服務(wù)概況

1.1平臺或系統(tǒng)名稱

云服務(wù)商應(yīng)在表1-1中填入平臺或系統(tǒng)的標(biāo)識信息。

表1-1平臺或系統(tǒng)名稱

系統(tǒng)名稱

1.2安全保護強度

云服務(wù)商應(yīng)在表1-2中選擇其適用的云計算服務(wù)安全保護強度。

表1-2安全保護強度

一般□

增強□

1.3服務(wù)模式

云服務(wù)商應(yīng)在表1-3中選擇其提供的服務(wù)模式。

表1-3服務(wù)模式

服務(wù)模式

□軟件即服務(wù)(SaaS)主要應(yīng)用：

□平臺即服務(wù)(PaaS)主要應(yīng)用：

□基礎(chǔ)設(shè)施即服務(wù)(laaS)底層支撐平臺：

□其他

如果服務(wù)模式為SaaS或PaaS,云服務(wù)商應(yīng)在表1-4中對其所依賴的PaaS或laaS服務(wù)

模式的基本情況和以往審查情況進行詳細(xì)說明。

表1-4以往審查情況說明

1.4安全相關(guān)人員

云服務(wù)商應(yīng)在表1-5中提供云計算服務(wù)的安全相關(guān)人員基本信息。

表1-5云計算服務(wù)安全相關(guān)人員

職責(zé)姓名部門及職務(wù)電話號碼

信息安全負(fù)責(zé)人

審查接口人

安全管理員

審計管理員

運維管理員

機房管理員

開發(fā)人員

采購人員

供應(yīng)鏈管理人員

1.5功能描述

云服務(wù)商應(yīng)在表1-6中簡要描述平臺或系統(tǒng)承載的功能描述、建設(shè)背景、應(yīng)用現(xiàn)狀等情

況。

表1-6平臺或系統(tǒng)概況

平臺或系統(tǒng)概況

1.6組件和邊界

云服務(wù)商應(yīng)在此處提供云計算平臺的架構(gòu)圖，包含但不限于云計算平臺的組件和邊界、

安全架構(gòu)和邊界等內(nèi)容。

2

圖1-1云計算平臺架構(gòu)圖

云服務(wù)商應(yīng)在表1-7中詳細(xì)、準(zhǔn)確描述平臺或系統(tǒng)的主要組件及系統(tǒng)邊界。

表1-7平臺或系統(tǒng)的組件和邊界

平臺或系統(tǒng)的組件和邊界

1.7網(wǎng)絡(luò)架構(gòu)

云服務(wù)商應(yīng)在此處提供一張或多張網(wǎng)絡(luò)拓?fù)鋱D，并在拓?fù)鋱D中清晰描述下列內(nèi)容：主機

名、DNS服務(wù)器、鑒別和訪問控制服務(wù)器、目錄服務(wù)器、防火墻、路由器、交換機、數(shù)據(jù)

庫服務(wù)器、主要應(yīng)用、互聯(lián)網(wǎng)接入服務(wù)提供商、VLAN等。(若有多圖，標(biāo)為圖1-2(a)、

圖1-2(b)…)。

圖1-2網(wǎng)絡(luò)拓?fù)鋱D

1.8使用者類型

云服務(wù)商應(yīng)在下表中對系統(tǒng)中擬涉及的使用者類型進行描述。其中，云服務(wù)商的員工或

者合同商作為內(nèi)部用戶，所有其他用戶作為外部用戶。

使用者類型主要指與云計算平臺或系統(tǒng)進行直接通信、訪問云計算平臺上的信息或數(shù)據(jù)

的用戶，以及系統(tǒng)管理員、網(wǎng)絡(luò)管理員等。

表1-8使用者類型和特權(quán)

用戶角色內(nèi)部或外部訪問權(quán)限

3

1.9與其他云服務(wù)的關(guān)系

若依賴于其他云服務(wù)，云服務(wù)商應(yīng)在表1-9中進行說明。

表1-9所依賴的其他云服務(wù)

系統(tǒng)名稱云服務(wù)商名稱是否通過審查（含審查日期）用途

2.平臺或系統(tǒng)的環(huán)境

2.1硬件清單

云服務(wù)商應(yīng)在表2-1~表2-5中分別列出使用的全部硬件設(shè)備，包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、

安全設(shè)備、存儲設(shè)備、其他設(shè)備等。

表2-1服務(wù)器清單

設(shè)備名稱數(shù)量（臺）制造商型號功能IP地址使用地點

表2-2網(wǎng)絡(luò)設(shè)備清單

設(shè)備名稱數(shù)量（臺）制造商型號功能IP地址使用地點

4

設(shè)備名稱數(shù)量（臺）制造商型號功能IP地址使用地點

表2-3安全設(shè)備清單

設(shè)備名稱數(shù)量（臺）制造商型號功能IP地址使用地點

表2-4存儲設(shè)備清單

設(shè)備名稱數(shù)量（臺）制造商型號功能IP地址使用地點

表2-5其他硬件設(shè)備清單

設(shè)備名稱數(shù)量（臺）制造商型號功能IP地址使用地點

5

2.2軟件清單

云服務(wù)商應(yīng)在表2-6中列出使用的全部軟件，包括任何中間件、數(shù)據(jù)庫、安全文件傳輸

應(yīng)用等。

表2-6軟件清單

主機名軟件名開發(fā)商功能版本是否虛

擬

2.3數(shù)據(jù)流

云服務(wù)商應(yīng)在此處提供一張或多張圖示，描述進出系統(tǒng)邊界（包括內(nèi)部邊界）的數(shù)據(jù)流。

圖2-1數(shù)據(jù)流

云服務(wù)商應(yīng)在此處填寫針對數(shù)據(jù)流的描述，包含但不限于源端、目的端、傳輸路徑以及

數(shù)據(jù)流的作用、對應(yīng)的業(yè)務(wù)場景等內(nèi)容。

表2-7數(shù)據(jù)流描述

數(shù)據(jù)流描述

2.4端口、協(xié)議、服務(wù)

云服務(wù)商應(yīng)在表2-8中對系統(tǒng)中開啟或使用的端口、協(xié)議和服務(wù)進行描述。

6

表2-8端口、協(xié)議和服務(wù)

端口協(xié)議服務(wù)目的被何組件使用

3.平臺或系統(tǒng)連接

云服務(wù)商應(yīng)在表3-1中對本平臺或系統(tǒng)與其他系統(tǒng)的連接進行描述。網(wǎng)絡(luò)連接的安全措

施可包括：IPSecVPN、SSL等。

表3-1平臺或系統(tǒng)連接

外部組織名網(wǎng)絡(luò)連接數(shù)據(jù)流向

IP及接外部系統(tǒng)傳輸?shù)亩丝诨蚓€

稱及系統(tǒng)IP的安全措（流入、流出、

口聯(lián)系人信息路

地址施雙向）

4.《云計算服務(wù)安全能力要求》的實現(xiàn)情況

云服務(wù)商應(yīng)在逐項列出對《云計算服務(wù)安全能力要求》（以下簡稱《能力要求》）各項要

求的實現(xiàn)情況（在相應(yīng)選擇處劃J）。如云服務(wù)商只實現(xiàn)了一般安全要求，則可在本安全計

劃中刪除與增強要求有關(guān)的信息。對標(biāo)準(zhǔn)中給出的賦值和選擇項，需在表格中明確列出賦值

和選擇的具體參數(shù)。

4.1系統(tǒng)開發(fā)與供應(yīng)鏈安全

4.1.1策略與規(guī)程

一般要求

云服務(wù)商應(yīng)：

a）制定如下策略與規(guī)程，并分發(fā)至［賦值：云服務(wù)商定義的人員或角色］:

1）系統(tǒng)開發(fā)與供應(yīng)鏈安全策略（包括采購策略等），涉及以下內(nèi)容：目的、范圍、

角色、責(zé)任、管理層承諾、內(nèi)部協(xié)調(diào)、合規(guī)性。

2）相關(guān)規(guī)程，以推動系統(tǒng)開發(fā)與供應(yīng)鏈安全策略及有關(guān)安全措施的實施。

b）按照［賦值：云服務(wù)商定義的頻率］審查和更新系統(tǒng)開發(fā)與供應(yīng)鏈安全策略及相關(guān)規(guī)

程。

表4-1（a）系統(tǒng)開發(fā)與供應(yīng)鏈安全策略與規(guī)程一般要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

7

表4-1(b)擬提供的證據(jù)或針對未完全滿足情況所作的說明

a)

b)

表4-1(c)對客戶相關(guān)安全責(zé)任和安全措施的建議

4.1.L2增強要求

無。

4.1.2資源分配

一般要求

云服務(wù)商應(yīng)：

a)在規(guī)劃系統(tǒng)建設(shè)時考慮系統(tǒng)的安全需求。

b)確定并分配為保護信息系統(tǒng)和服務(wù)所需的資源(如有關(guān)資金、場地、人力等)，并在

預(yù)算管理過程中予以重點考慮。

c)在工作計劃和預(yù)算文件中，將信息安全作為單列項予以考慮。

表4-2(a)系統(tǒng)開發(fā)與供應(yīng)鏈安全策略與規(guī)程一般要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

c)

表4-2(b)擬提供的證據(jù)或針對未完全滿足情況所作的說明

a)

b)

c)

表4-2(c)對客戶相關(guān)安全責(zé)任和安全措施的建議

增強要求

無。

4.1.3系統(tǒng)生命周期

一般要求

云服務(wù)商應(yīng)：

a)將信息安全納入［賦值：云服務(wù)商定義的系統(tǒng)生命周期］，確保信息安全措施同步規(guī)

戈I、同步建設(shè)、同步運行。

b)確定整個信息系統(tǒng)生命周期內(nèi)的信息安全角色和責(zé)任。

8

c）將信息安全角色明確至相應(yīng)責(zé)任人。

d）將信息安全風(fēng)險管理過程集成到系統(tǒng)生命周期活動中。

表4-3（a）系統(tǒng)生命周期一般要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

c)

d)

表4-3（b）擬提供的證據(jù)或針對未完全滿足情況所作的說明

a)

b)

c)

d)

表4-3（c）對客戶相關(guān)安全責(zé)任和安全措施的建議

增強要求

無。

4.1.4采購過程

一般要求

云服務(wù)商應(yīng)根據(jù)相關(guān)法律、法規(guī)、政策和標(biāo)準(zhǔn)的要求，以及可能的客戶需求，并在風(fēng)險

評估的基礎(chǔ)上，將以下內(nèi)容列入信息系統(tǒng)采購合同：

a）安全功能要求。

b）安全強度要求。

c）安全保障要求。

d）安全相關(guān)文檔要求。

e）保密要求。

f）開發(fā)環(huán)境和預(yù)期運行環(huán)境描述。

g）驗收準(zhǔn)則。

h）強制配置要求，如功能、端口、協(xié)議和服務(wù).

表4-4（a）采購過程一般要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

c)

d)

9

e)

f)

g)

h)

表4-4(b)擬提供的證據(jù)或針對未完全滿足情況所作的說明

a)

b)

c)

d)

e)

f)

g)

h)

表4-4(c)對客戶相關(guān)安全責(zé)任和安全措施的建議

增強要求

云服務(wù)商應(yīng)：

a)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商對其使用的安全措施進行功能描述，如安全功

能或機制。

b)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商提供所使用的安全措施的設(shè)計和實現(xiàn)信息，根

據(jù)實際情況，可包括：［選擇：與安全相關(guān)的外部系統(tǒng)接口；高層設(shè)計；低層設(shè)計；

源代碼或硬件原理圖；［賦值：云服務(wù)商定義的其他設(shè)計或?qū)崿F(xiàn)信息］］,應(yīng)滿足［賦值:

云服務(wù)商定義的詳細(xì)程度］。

c)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商提供證據(jù)，證明其在系統(tǒng)生命周期中使用了［賦

值：云服務(wù)商定義的系統(tǒng)工程方法、軟件開發(fā)方法、測試技術(shù)和質(zhì)量控制過程］。

d)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商在交付信息系統(tǒng)、組件或服務(wù)時實現(xiàn)［賦值：云

服務(wù)商定義的安全配置］,且這些安全配置應(yīng)作為信息系統(tǒng)、組件或服務(wù)在重新安裝

或升級時的缺省配置。

e)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商制定對安全措施有效性的持續(xù)監(jiān)控計劃，應(yīng)滿

足［賦值：云服務(wù)商定義的詳細(xì)程度］。

f)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商在系統(tǒng)生命周期的早期階段說明系統(tǒng)中的功能、

端口、協(xié)議和服務(wù)，云服務(wù)商應(yīng)禁用不必要或高風(fēng)險的功能、端口、協(xié)議或服務(wù)。

表4-5(a)采購過程增強要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

10

表4-5（b）擬提供的證據(jù)或針對未完全滿足情況所作的說明

4.1.5系統(tǒng)文檔

一般要求

云服務(wù)商應(yīng)：

a）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商制定管理員文檔，且涵蓋以下信息：

1）信息系統(tǒng)、組件或服務(wù)的安全配置，以及安裝和運行說明。

2）安全特性或功能的使用和維護說明。

3）與管理功能有關(guān)的配置和使用方面的注意事項。

b）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商制定用戶文檔，且涵蓋以下信息：

1）用戶可使用的安全功能或機制，以及對如何有效使用這些安全功能或機制的說

明。

2）有助于用戶更安全地使用信息系統(tǒng)、組件或服務(wù)的方法或說明。

3）對用戶安全責(zé)任和注意事項的說明。

c）基于風(fēng)險管理策略，按照要求保護上述文檔。

d）將上述文檔分發(fā)至［賦值：云服務(wù)商定義的人員或角色］。

表4-6（a）系統(tǒng)文檔一般要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

c)

d)

表4-6（b）擬提供的證據(jù)或針對未完全滿足情況所作的說明

a)）

b)

11

c)

d)

表4?6(c)對客戶相關(guān)安全責(zé)任和安全措施的建議

4.152增強要求

無。

4.1.6安全工程原則

一般要求

云服務(wù)商應(yīng)在信息系統(tǒng)的規(guī)范、設(shè)計、開發(fā)、實現(xiàn)和修改過程中應(yīng)用安全工程原則，根

據(jù)實際情況，可考慮以下幾方面：

a)實施分層保護。

b)建立完善的安全策略、架構(gòu)和措施，作為設(shè)計基礎(chǔ)。

c)劃定物理和邏輯安全邊界.

d)確保系統(tǒng)開發(fā)人員接受了軟件開發(fā)安全培訓(xùn)。

e)進行威脅分析，評估并處置安全風(fēng)險。

表4-7(a)安全工程原則一般要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

c)

d)

e)

表4-7(b)擬提供的證據(jù)或針對未完全滿足情況所作的說明

a)

b)

c)

d)

e)

表4-7(c)對客戶相關(guān)安全責(zé)任和安全措施的建議

增強要求

無。

12

4.1.7關(guān)鍵性分析

一般要求

無。

增強要求

云服務(wù)商應(yīng)在［賦值：云服務(wù)商定義的系統(tǒng)生命周期中的決策點］對［賦值：云服務(wù)商定義

的信息系統(tǒng)、組件或服務(wù)］進行關(guān)鍵性分析，以確定關(guān)鍵信息系統(tǒng)組件和功能。

表4-8(a)關(guān)鍵性分析增強要求實現(xiàn)情況

表4-8(b)擬提供的證據(jù)或針對未完全滿足情況所作的說明

表4-8(c)對客戶相關(guān)安全責(zé)任和安全措施的建議

4.1.8外部信息系統(tǒng)服務(wù)及相關(guān)服務(wù)

一般要求

云服務(wù)商應(yīng)：

a)要求外部服務(wù)提供商遵從并實施云服務(wù)商的安全要求。

b)明確外部服務(wù)提供商的安全分工與責(zé)任，同時要求外部服務(wù)提供商接受相關(guān)客戶監(jiān)

督。

c)使用［賦值：云服務(wù)商定義的過程、方法和技術(shù)］,對外部服務(wù)提供商所提供的安全

措施的合規(guī)性進行持續(xù)監(jiān)控。

表4-9(a)外部信息系統(tǒng)服務(wù)及相關(guān)服務(wù)一般要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

c)

表4-9(b)擬提供的證據(jù)或針對未完全滿足情況所作的說明

aa)

b)

c)

13

表4-9（c）對客戶相關(guān)安全責(zé)任和安全措施的建議

增強要求

云服務(wù)商應(yīng)：

a）在采購或外包［賦值：云服務(wù)商定義的安全服務(wù)］之前進行風(fēng)險評估，如應(yīng)急支援服

務(wù)。

b）確保［賦值：云服務(wù)商定義的安全服務(wù)］的采購或外包得到［賦值：云服務(wù)商定義的人

員或角色］批準(zhǔn)。

c）要求［賦值：云服務(wù)商定義的外部服務(wù)］的服務(wù)提供商明確說明該服務(wù)涉及的功能、

端口、協(xié)議和其他服務(wù)。

d）基于［賦值：云服務(wù)商定義的安全要求、屬性、因素或者其他條件］建立并保持與外

部服務(wù)提供商的信任關(guān)系。

e）使用［賦值：云服務(wù)商定義的安全防護措施］,以確保［賦值：云服務(wù)商定義的外部服

務(wù)提供商］不損害本組織的利益。根據(jù)實際情況，安全防護措施可以是：

1）對外部服務(wù)提供商進行人員背景審查，或要求外部服務(wù)提供商提供可信的人員

背景審查結(jié)果。

2）檢查外部服務(wù)提供商資本變更記錄。

3）選擇可信賴的外部服務(wù)提供商，如有過良好合作的提供商。

4）定期或不定期檢查外部服務(wù)提供商的設(shè)施。

f）基于［賦值：云服務(wù)商定義的要求或條件］,限制［選擇：信息處理；信息或數(shù)據(jù)；信

息系統(tǒng)服務(wù)］的地點，如本地或境內(nèi)。

表4-10（a）外部信息系統(tǒng)服務(wù)及相關(guān)服務(wù)增強要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

c)

d)

e)

f)

表4-10（b）擬提供的證據(jù)或針對未完全滿足情況所作的說明

a)

b)

c)

d)

e)

f)

14

表4-10(c)對客戶相關(guān)安全責(zé)任和安全措施的建議

4.1.9開發(fā)商安全體系架構(gòu)

一般要求

無。

增強要求

云服務(wù)商應(yīng)：

a)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商制定設(shè)計規(guī)范和安全架構(gòu)，且符合下列條件：

1)該架構(gòu)應(yīng)符合或支持云服務(wù)商的安全架構(gòu)。

2)準(zhǔn)確完整地描述了所需的安全功能，并且為物理和邏輯組件分配了安全措施。

3)說明各項安全功能、機制和服務(wù)如何協(xié)同工作，以提供完整一致的保護能力。

b)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商提供云服務(wù)所需的相關(guān)信息，說明與安全相關(guān)

的硬件、軟件和固件。

c)要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商編制非形式化的高層說明書，說明安全相關(guān)的

硬件、軟件和固件的接口，并通過非形式化的演示，說明該高層說明書完全覆蓋了

與安全相關(guān)的硬件、軟件和固件的接口。

d)在構(gòu)造安全相關(guān)的硬件、軟件和固件時，要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商考慮

便于測試、便于實現(xiàn)最小特權(quán)訪問控制等因素。

表4-11(a)開發(fā)商安全體系架構(gòu)增強要求實現(xiàn)情況

安全要安全要求實現(xiàn)情況及理由

具體賦值/選擇采取的安全措施

求列項滿足部分滿足計劃滿足替代滿足不滿足不適用

a)

b)

c)

d)

表4-11(b)擬提供的證據(jù)或針對未完全滿足情況所作的說明

a)

b)

c)

d)

表4-11(c)對客戶相關(guān)安全責(zé)任和安全措施的建議

4.1.10開發(fā)過程、標(biāo)準(zhǔn)和工具

一般要求

無。

15

增強要求

云服務(wù)商應(yīng)：

a）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商制定明確的開發(fā)規(guī)范，在規(guī)范中明確以下事項:

1）所開發(fā)系統(tǒng)的安全需求。

2）開發(fā)過程中使用的標(biāo)準(zhǔn)和工具。

3）開發(fā)過程中使用的特定工具選項和工具配置。

b）采取有關(guān)措施，確保開發(fā)過程的完整性和工具變更的完整性。

c）按照［賦值：云服務(wù)商定義的頻率］審查開發(fā)過程、標(biāo)準(zhǔn)、工具以及工具選項和配置,

以滿足［賦值：云服務(wù)商定義的安全需求］。

d）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商在開發(fā)過程的初始階段定義質(zhì)量度量標(biāo)準(zhǔn)，并

以［選擇：［賦值：云服務(wù)商定義的頻率］;［賦值：云服務(wù)商定義的項目審查里程碑］;

交付時］為節(jié)點，檢查質(zhì)量度量標(biāo)準(zhǔn)的落實情況。

e）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商確定安全問題追蹤工具，并在開發(fā)過程期間使

用。

f）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商以［賦值：云服務(wù)商定義的廣度和深度］對信息系

統(tǒng)進行威脅和脆弱性分析。

g）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商通過清晰的流程來持續(xù)改進開發(fā)過程，以滿足

質(zhì)量要求，適應(yīng)威脅環(huán)境的變化。

h）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商使用［賦值：自行定義或云服務(wù)商定義的工具］

執(zhí)行漏洞分析，明確漏洞利用的可能性，確定漏洞消減措施，并將工具的輸出和分

析結(jié)果提交給［賦值：云服務(wù)商定義的人員或角色］。

i）要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商即使在交付信息系統(tǒng)、組件或服務(wù)后，也應(yīng)跟

蹤漏洞情況，在發(fā)布漏洞補丁前便應(yīng)通知云服