ICS點(diǎn)擊此處添加ICS號(hào)

CCS點(diǎn)擊此處添加中國(guó)標(biāo)準(zhǔn)文獻(xiàn)分類號(hào)

團(tuán)體標(biāo)準(zhǔn)

T/CNEAXXXX—XXXX

核能行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指引

第2部分：云計(jì)算安全擴(kuò)展要求

Implementationguidelinesforcybersecurityclassifiedprotectioninnuclearenergy

industry-Part2：Securityextensionrequirementsforcloudcomputing

（征求意見稿）

XXXX-XX-XX發(fā)布XXXX-XX-XX實(shí)施

中國(guó)核能行業(yè)協(xié)會(huì)發(fā)布

T/CNEA***-****

核能行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指引

第2部分：云計(jì)算安全擴(kuò)展要求

1范圍

本文件基于國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)有關(guān)要求，提出了核能行業(yè)企業(yè)使用云計(jì)算技術(shù)以及云服務(wù)過程

中的安全擴(kuò)展要求。

本文件適用于核能行業(yè)企業(yè)對(duì)使用的云計(jì)算服務(wù)進(jìn)行安全管理，同時(shí)也適用于核能企業(yè)云服務(wù)供應(yīng)

商的安全建設(shè)。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

GB/T25069-2022信息安全技術(shù)術(shù)語

GB/T32400-2015信息技術(shù)云計(jì)算概覽和詞匯

GB/T37092-2018信息安全技術(shù)密碼模塊安全要求

GB50174-2008數(shù)據(jù)中心設(shè)計(jì)規(guī)范

3術(shù)語和定義

GB/T25069-2010和GB/T32400-2015界定的以及下列術(shù)語和定義適用于本文件。

3.1

云計(jì)算cloudcomputing

通過網(wǎng)絡(luò)訪問可擴(kuò)展的、靈活的物理或虛擬共享資源池，并可按需自助獲取和管理資源的模式。

注：資源實(shí)例包括服務(wù)器、操作系統(tǒng)、網(wǎng)絡(luò)、軟件、應(yīng)用和存儲(chǔ)設(shè)備等。

3.2

云計(jì)算服務(wù)cloudcomputingservice

使用定義的接口，借助云計(jì)算提供一種或多種資源的能力。

3.3

云服務(wù)商cloudserviceprovider

云計(jì)算服務(wù)的供應(yīng)方。

4

T/CNEA***-****

3.4

云服務(wù)客戶cloudservicecustomer

為使用云計(jì)算服務(wù)同云服務(wù)商建立業(yè)務(wù)關(guān)系的參與方。

注：本文件中云服務(wù)客戶簡(jiǎn)稱客戶。

3.5

云計(jì)算基礎(chǔ)設(shè)施cloudcomputinginfrastructure

由硬件資源和資源抽象控制組件構(gòu)成的支撐云計(jì)算的基礎(chǔ)設(shè)施。

3.6

云計(jì)算平臺(tái)cloudcomputingplatform

云服務(wù)商提供的云基礎(chǔ)設(shè)施及其上的服務(wù)軟件的集合。

3.7

云計(jì)算環(huán)境cloudcomputingenvironment

云服務(wù)商提供的云計(jì)算平臺(tái)，及客戶在云計(jì)算平臺(tái)之上部署的軟件及相關(guān)組件的集合。

3.8

第三方評(píng)估機(jī)構(gòu)ThirdPartyAssessmentOrganization；3PAO

獨(dú)立于云計(jì)算服務(wù)相關(guān)方的專業(yè)評(píng)估機(jī)構(gòu)。

3.9

云服務(wù)類別cloudservicecategory

擁有相同質(zhì)量集的一組云服務(wù)。

注：一個(gè)云服務(wù)類別可對(duì)應(yīng)一種或多種云能力類型。

3.10

基礎(chǔ)設(shè)施即服務(wù)infrastructureasaservice；IaaS

為云服務(wù)客戶提供云能力類型中的基礎(chǔ)設(shè)施能力類型的一種云服務(wù)類別。

注：云服務(wù)客戶并不管控底層的物理和虛擬資源，但是管理使用物理和虛擬資源的操作系統(tǒng)、存儲(chǔ)

和部署的應(yīng)用。

云服務(wù)客戶也可擁有對(duì)網(wǎng)絡(luò)組建(如防火墻)的部分控制能力。

3.11

平臺(tái)即服務(wù)platformasaservice；PaaS

為云服務(wù)客戶提供云能力類型中的平臺(tái)能力類型的一種云服務(wù)類別。

3.12

5

T/CNEA***-****

軟件即服務(wù)softwareasaservice；SaaS

為云服務(wù)客戶提供云能力類型中的應(yīng)用能力類型的一種云服務(wù)類別。

3.13

資源池化resoucepooling

將云服務(wù)提供者的物理或者虛擬資源進(jìn)行集成，以便服務(wù)于一個(gè)或多個(gè)云服務(wù)客戶。

4安全保護(hù)等級(jí)概述

4.1安全等級(jí)保護(hù)

云計(jì)算平臺(tái)作為核能行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施，應(yīng)當(dāng)作為特定的對(duì)象進(jìn)行等級(jí)保護(hù)，根據(jù)在核能行業(yè)

的重要程度，遭到破壞后對(duì)國(guó)家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危

害程度等，由低到高被劃分為五個(gè)安全保護(hù)等級(jí)。

核能行業(yè)云計(jì)算安全保護(hù)等級(jí)的對(duì)象確定應(yīng)符合GB/T22240-2019的規(guī)定

4.2不同等級(jí)的保護(hù)能力

核能行業(yè)云計(jì)算平臺(tái)不同等級(jí)的保護(hù)能力應(yīng)符合GB/T22239-2019中的要求。不同級(jí)別的保護(hù)對(duì)象

應(yīng)具備的基本安全保護(hù)能力如下：

第一級(jí)安全保護(hù)能力：應(yīng)能夠防護(hù)免受來自個(gè)人的、擁有很少資源的威脅源發(fā)起的惡意攻擊、一般

的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的關(guān)鍵資源損害，能夠恢復(fù)部分功能。

第二級(jí)安全保護(hù)能力：應(yīng)能夠防護(hù)免受來自外部小型組織的、擁有少量資源的威脅源發(fā)起的惡意攻

擊、一般的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的關(guān)鍵資源損害，能夠發(fā)現(xiàn)重要的安全漏洞

和處置安全事件，在自身遭到損害后，能夠在一段時(shí)間內(nèi)恢復(fù)部分功能。

第三級(jí)安全保護(hù)能力：應(yīng)能夠在統(tǒng)一安全策略下防護(hù)免受來自外部有組織的團(tuán)體、擁有較為豐富資

源威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的關(guān)鍵資源損害，

能夠及時(shí)發(fā)現(xiàn)、監(jiān)測(cè)攻擊攻擊行為和處置安全事件，在自身遭到損害后，能夠較快恢復(fù)絕大部分功能。

第四級(jí)安全保護(hù)能力：應(yīng)能夠在統(tǒng)一安全策略下防護(hù)免受來自國(guó)家級(jí)別的、敵對(duì)組織的、擁有豐富

資源威脅源發(fā)起的惡意攻擊、嚴(yán)重的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的資源損害，能夠

及時(shí)發(fā)現(xiàn)、監(jiān)測(cè)攻擊攻擊行為和安全事件，在自身遭到損害后，能夠迅速恢復(fù)所有功能。

第五級(jí)安全保護(hù)能力：略。

4.3核能行業(yè)增強(qiáng)性安全要求

本部分新增“核能行業(yè)增強(qiáng)性安全要求”，在文本中以粗體表示。核能行業(yè)增強(qiáng)性安全要求在結(jié)合

核能行業(yè)相關(guān)規(guī)定的基礎(chǔ)上對(duì)等級(jí)保護(hù)要求進(jìn)行補(bǔ)充和完善。

5第一級(jí)云計(jì)算安全擴(kuò)展要求

略

6

T/CNEA***-****

6第二級(jí)云計(jì)算安全擴(kuò)展要求

6.1安全物理環(huán)境

6.1.1基礎(chǔ)設(shè)施位置

本項(xiàng)要求包括：

a)確保機(jī)房位于中國(guó)境內(nèi)并且保證云計(jì)算基礎(chǔ)設(shè)施位于中國(guó)境內(nèi)；

b)在機(jī)房選址時(shí)，滿足GB50174—2008的相關(guān)規(guī)定；

c)對(duì)機(jī)房面臨的潛在物理和環(huán)境危險(xiǎn)進(jìn)行評(píng)估，形成評(píng)估報(bào)告，并在其風(fēng)險(xiǎn)管理策略中防范此

類風(fēng)險(xiǎn)；

d)控制機(jī)房位置信息的知悉范圍。

6.1.2物理環(huán)境訪問授權(quán)

本項(xiàng)要求包括：

a)制定和維護(hù)具有機(jī)房訪問權(quán)限角色和人員名單；

b)發(fā)布授權(quán)憑證；

c)每半年應(yīng)當(dāng)對(duì)授權(quán)人員名單和憑證進(jìn)行審查；

d)及時(shí)從授權(quán)訪問名單中刪除不再需要訪問機(jī)房的人員。

6.1.3物理環(huán)境訪問控制

本項(xiàng)要求包括：

a)對(duì)所有機(jī)房出入口實(shí)施物理訪問授權(quán)，具體包括：在準(zhǔn)許進(jìn)入機(jī)房前驗(yàn)證其訪問授權(quán)、使用

相關(guān)設(shè)備或系統(tǒng)；

b)制定和維護(hù)機(jī)房出入口的物理訪問審計(jì)日志，審計(jì)日志應(yīng)完整無缺損；

c)在云計(jì)算機(jī)房中，訪問者應(yīng)有專人陪同且行為應(yīng)受監(jiān)控；

d)每月應(yīng)對(duì)相關(guān)物理訪問設(shè)備進(jìn)行盤點(diǎn)；

e)一般情況下每年應(yīng)更換鑰匙和訪問憑證。

6.1.4電力設(shè)備和電纜安全保障

本項(xiàng)要求包括：

a)在設(shè)置電力電纜設(shè)備時(shí)，符合GB50174—2008的相關(guān)規(guī)定；

b)對(duì)云計(jì)算平臺(tái)的電源和電纜進(jìn)行保護(hù)，以免受損或遭到破壞；

c)在發(fā)生緊急情況時(shí)，具有切斷云計(jì)算平臺(tái)及其單獨(dú)系統(tǒng)組件電源的能力；

d)在云計(jì)算平臺(tái)或系統(tǒng)組件機(jī)房外的特定位置設(shè)置緊急斷電開關(guān)或設(shè)備，以確保人員操作的安

全和便捷；

e)對(duì)緊急斷電設(shè)備進(jìn)行保護(hù)，防止非授權(quán)觸發(fā)；

f)提供短期不間斷電源，以便在非正常停電時(shí)，正常關(guān)閉云計(jì)算平臺(tái)。

6.1.5密碼保護(hù)物理和環(huán)境安全

本級(jí)要求包括：

a)宜采用密碼技術(shù)進(jìn)行物理訪問身份鑒別，保證重要區(qū)域進(jìn)入人員身份的真實(shí)性；

b)宜采用密碼技術(shù)保證電子門禁系統(tǒng)進(jìn)出記錄數(shù)據(jù)的存儲(chǔ)完整性。

7

T/CNEA***-****

6.2安全通信網(wǎng)絡(luò)

6.2.1網(wǎng)絡(luò)架構(gòu)

本項(xiàng)要求包括：

a)應(yīng)保證云計(jì)算平臺(tái)不承載高于其安全保護(hù)等級(jí)的業(yè)務(wù)應(yīng)用系統(tǒng)；

b)應(yīng)實(shí)現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離。

6.2.2密碼技術(shù)應(yīng)用

本項(xiàng)要求包括：

a)宜采用密碼技術(shù)對(duì)通信實(shí)體進(jìn)行身份鑒別，保證通信實(shí)體身份的真實(shí)性；

b)可采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；

c)宜采用密碼技術(shù)保證通信過程中重要數(shù)據(jù)的機(jī)密性；

d)可采用密碼技術(shù)保證網(wǎng)絡(luò)邊界訪問控制信息的完整性。

6.3安全區(qū)域邊界

6.3.1訪問控制

本項(xiàng)要求包括：

a)應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機(jī)制，并設(shè)置訪問控制規(guī)則；

b)應(yīng)在不同等級(jí)的網(wǎng)絡(luò)區(qū)域邊界部署訪問控制機(jī)制，設(shè)置訪問控制規(guī)；。

c)宜采用密碼技術(shù)對(duì)登錄設(shè)備的用戶進(jìn)行身份鑒別，保證用戶身份的真實(shí)性。

6.3.2邊界保護(hù)

本項(xiàng)要求包括：

a)在連接外部系統(tǒng)的邊界和內(nèi)部關(guān)鍵邊界上，對(duì)通信進(jìn)行監(jiān)控；在訪問系統(tǒng)的關(guān)鍵邏輯邊界上，

對(duì)通信進(jìn)行監(jiān)控；

b)將允許外部公開直接訪問的組件，劃分在一個(gè)與內(nèi)部網(wǎng)絡(luò)邏輯隔離的子網(wǎng)絡(luò)上，并確保允許

外部人員訪問的組件與允許客戶訪問的組件在邏輯層面實(shí)現(xiàn)嚴(yán)格的網(wǎng)絡(luò)隔離；

c)確保與外部網(wǎng)絡(luò)或信息系統(tǒng)的連接只能通過嚴(yán)格管理的接口進(jìn)行，該接口上應(yīng)部署有邊界保

護(hù)設(shè)備。

6.3.3惡意代碼防護(hù)

本項(xiàng)要求包括：

a)采用白名單、黑名單或其他方式，在網(wǎng)絡(luò)出入口以及系統(tǒng)中的主機(jī)、移動(dòng)計(jì)算設(shè)備上實(shí)施惡

意代碼防護(hù)機(jī)制；

b)建立相應(yīng)維護(hù)機(jī)制，確保惡意代碼防護(hù)機(jī)制得到及時(shí)更新，如升級(jí)病毒庫(kù)；

c)配置惡意代碼防護(hù)機(jī)制：

1)每個(gè)月應(yīng)定期掃描信息系統(tǒng)，以及終端或網(wǎng)絡(luò)出入口下載、打開、執(zhí)行外部文件時(shí)對(duì)其

進(jìn)行實(shí)時(shí)掃描；

2)當(dāng)檢測(cè)到惡意代碼后，應(yīng)阻斷或隔離惡意代碼并向管理員報(bào)警。

d)及時(shí)掌握系統(tǒng)的惡意代碼誤報(bào)率，并分析誤報(bào)對(duì)信息系統(tǒng)可用性的潛在影響。

6.3.4入侵防范

8

T/CNEA***-****

本項(xiàng)要求包括：

a)應(yīng)能檢測(cè)到云服務(wù)客戶發(fā)起的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時(shí)間、攻擊流量等；

b)應(yīng)能檢測(cè)到對(duì)虛擬網(wǎng)絡(luò)節(jié)點(diǎn)的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時(shí)間、攻擊流量等；

c)應(yīng)能檢測(cè)到虛擬機(jī)與宿主機(jī)、虛擬機(jī)與虛擬機(jī)之間的異常流量。

6.3.5安全審計(jì)

本項(xiàng)要求包括：

a)制定并維護(hù)可審計(jì)事件的審計(jì)記錄，如賬號(hào)登錄、賬號(hào)管理、客體訪問、策略變更、特權(quán)功

能、系統(tǒng)事件等；

b)建立協(xié)調(diào)機(jī)制，與本組織內(nèi)外需要審計(jì)信息的其他組織就安全審計(jì)功能進(jìn)行協(xié)調(diào)，以增強(qiáng)相

互間的支持，協(xié)調(diào)確定可審計(jì)事件清單；

c)制定信息系統(tǒng)內(nèi)需連續(xù)審計(jì)的事件清單，并確定各事件的審計(jì)頻率，該清單為上述可審計(jì)事

件清單的子集；

d)每個(gè)月應(yīng)對(duì)審計(jì)記錄進(jìn)行審查和分析，以發(fā)現(xiàn)不當(dāng)或異?；顒?dòng)，并向安全審計(jì)人員報(bào)告；

e)當(dāng)法律法規(guī)、客戶的需求或信息系統(tǒng)面臨的威脅環(huán)境發(fā)生變化時(shí)，調(diào)整對(duì)審計(jì)記錄進(jìn)行審查、

分析、報(bào)告的策略；

f)向客戶提供審計(jì)分析報(bào)告；

g)保護(hù)審計(jì)信息和審計(jì)工具，防止非授權(quán)訪問、篡改或刪除；

h)向客戶提供證據(jù)，證明所有提供給客戶的審計(jì)數(shù)據(jù)都是真實(shí)、完整的，未被修改、隱藏或刪

除。

6.3.6網(wǎng)絡(luò)虛擬化安全性

本項(xiàng)要求包括：

a)云服務(wù)商應(yīng)為云中的虛擬網(wǎng)絡(luò)資源［如VLAN（虛擬局域網(wǎng)）上的VM（虛擬機(jī)）］間的訪問實(shí)

施網(wǎng)絡(luò)邏輯隔離，并提供訪問控制手段；

b)在訪問云服務(wù)的網(wǎng)絡(luò)和內(nèi)部管理云的網(wǎng)絡(luò)之間采取隔離和訪問控制措施；

c)對(duì)虛擬機(jī)的網(wǎng)絡(luò)接口的帶寬進(jìn)行管理。

6.4安全計(jì)算環(huán)境

6.4.1訪問控制

本項(xiàng)要求包括：

a)應(yīng)保證當(dāng)虛擬機(jī)遷移時(shí)，訪問控制策略隨其遷移；

b)應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機(jī)之間的訪問控制策略。

6.4.2鏡像和快照保護(hù)

本項(xiàng)要求包括：

a)應(yīng)針對(duì)重要業(yè)務(wù)系統(tǒng)提供加固的操作系統(tǒng)鏡像或操作系統(tǒng)安全加固服務(wù)；

b)應(yīng)提供虛擬機(jī)鏡像、快照完整性校驗(yàn)功能，防止虛擬機(jī)鏡像被惡意篡改；

c)確保虛擬機(jī)的鏡像安全，采取有關(guān)措施保證邏輯卷同一時(shí)刻只能被一個(gè)虛擬機(jī)掛載。

d)確保虛擬鏡像模板的配置正確性，并明確模板的譜系來源；

6.4.3數(shù)據(jù)完整性和保密性

9

T/CNEA***-****

本項(xiàng)要求包括：

a)應(yīng)確保云服務(wù)客戶數(shù)據(jù)、用戶個(gè)人信息等存儲(chǔ)于中國(guó)境內(nèi)，如需出境應(yīng)遵循國(guó)家相關(guān)規(guī)定；

b)應(yīng)確保只有在云服務(wù)客戶授權(quán)下，云服務(wù)商或第三方才具有云服務(wù)客戶數(shù)據(jù)的管理權(quán)限；

c)應(yīng)確保虛擬機(jī)遷移過程中重要數(shù)據(jù)的完整性，并在檢測(cè)到完整性受到破壞時(shí)采取必要的恢復(fù)措

施；

d)宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸和存儲(chǔ)過程中的機(jī)密性；

e)宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸和存儲(chǔ)過程中的完整性；

6.4.4數(shù)據(jù)備份恢復(fù)

本項(xiàng)要求包括：

a)云服務(wù)客戶應(yīng)在本地保存其業(yè)務(wù)數(shù)據(jù)的備份；

b)應(yīng)提供查詢?cè)品?wù)客戶數(shù)據(jù)及備份存儲(chǔ)位置的能力。

6.4.5剩余信息保護(hù)

本項(xiàng)要求包括：

a)應(yīng)保證虛擬機(jī)所使用的內(nèi)存和存儲(chǔ)空間回收時(shí)得到完全清除；

b)云服務(wù)客戶刪除業(yè)務(wù)應(yīng)用數(shù)據(jù)時(shí)，云計(jì)算平臺(tái)應(yīng)將云存儲(chǔ)中所有副本刪除。

6.4.6系統(tǒng)虛擬化安全性

本項(xiàng)要求包括：

a)云服務(wù)商應(yīng)提供實(shí)時(shí)的虛擬機(jī)監(jiān)控機(jī)制，通過帶內(nèi)或帶外的技術(shù)手段對(duì)虛擬機(jī)的運(yùn)行狀態(tài)、

資源占用、遷移等信息進(jìn)行監(jiān)控；

b)實(shí)現(xiàn)虛擬化平臺(tái)的資源隔離；

c)提供資源隔離失敗后的告警措施；

d)支持虛擬機(jī)安全隔離，在虛擬機(jī)監(jiān)控器（Hypervisor）層提供虛擬機(jī)與物理機(jī)之間的安全隔

離措施，控制虛擬機(jī)之間以及虛擬機(jī)和物理機(jī)之間所有的數(shù)據(jù)通信；

e)將虛擬化平臺(tái)的各類操作和事件作為可審計(jì)事件，進(jìn)行記錄和追溯。

6.4.7存儲(chǔ)虛擬化安全性

本項(xiàng)要求包括：

a)云服務(wù)商應(yīng)確保針對(duì)存儲(chǔ)數(shù)據(jù)的安全控制能夠應(yīng)用到邏輯和物理存儲(chǔ)實(shí)體上，不會(huì)因信息在

物理存儲(chǔ)位置上的改變而導(dǎo)致安全控制被旁路；

b)禁止或限制對(duì)物理存儲(chǔ)實(shí)體的直接訪問；

c)保障各個(gè)客戶所使用的虛擬存儲(chǔ)資源之間的邏輯隔離；

d)在租戶解除存儲(chǔ)資源的使用后，確保用戶數(shù)據(jù)能夠在需要清除用戶數(shù)據(jù)的操作后在物理存儲(chǔ)

設(shè)備級(jí)別上被有效清除，例如鏡像文件、快照文件在遷移或刪除虛擬機(jī)后能被完全清除；

e)提供虛擬存儲(chǔ)數(shù)據(jù)審計(jì)手段；

f)提供虛擬存儲(chǔ)數(shù)據(jù)訪問控制手段；

g)提供虛擬存儲(chǔ)冗余備份支持。

6.5安全管理制度

6.5.1安全規(guī)章制度

10

T/CNEA***-****

本項(xiàng)要求包括：

a)制定信息安全規(guī)章制度，并傳達(dá)至內(nèi)外部相關(guān)人員；

b)在信息安全策略或計(jì)劃發(fā)生變更時(shí)，評(píng)審和更新信息安全規(guī)章制度，以確保其持續(xù)適用和有

效。

6.5.2密碼安全管理制度

本項(xiàng)要求包括：

a)應(yīng)具備密碼應(yīng)用安全管理制度，包括密碼人員管理、密鑰管理、建設(shè)運(yùn)行、應(yīng)急處置、密碼

軟硬件及介質(zhì)管理等制度；

b)應(yīng)根據(jù)密碼應(yīng)用方案建立相應(yīng)密鑰管理規(guī)則；

c)應(yīng)對(duì)管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程。

6.6安全管理機(jī)構(gòu)

本項(xiàng)要求包括：

a)建立專職團(tuán)隊(duì)負(fù)責(zé)云服務(wù)的提供；

b)對(duì)云服務(wù)過程中的不同角色進(jìn)行明確分工和職責(zé)定義；

c)設(shè)立云服務(wù)的管理、技術(shù)支持和系統(tǒng)操作維護(hù)等主要崗位；

d)建立信息安全管理框架：

1）設(shè)立信息安全領(lǐng)導(dǎo)小組，組長(zhǎng)由本組織最高管理層人員擔(dān)任；

2）設(shè)立密碼工件領(lǐng)導(dǎo)小組，組長(zhǎng)由本組織最高管理層人員擔(dān)任；

3）設(shè)立信息安全和密碼管理部門作為專門的責(zé)任部門，與本組織其他業(yè)務(wù)部門協(xié)同管理和

解決相關(guān)問題。

6.7安全管理人員

6.7.1技術(shù)人員管理

本項(xiàng)要求包括：

a)通過清晰的政策、足夠的預(yù)算與合理的分工，確保人員管理滿足客戶的業(yè)務(wù)要求；

b)建立組織內(nèi)人員選聘、試用、培訓(xùn)、考核與離職管理程序。如果與第三方合作提供云服務(wù)，

應(yīng)對(duì)合作伙伴的相關(guān)人員進(jìn)行有效管理，確保云服務(wù)的正常提供；

c)云服務(wù)人員應(yīng)掌握必要的專業(yè)技能，具備從事相關(guān)工作的資格。

6.7.2密碼人員管理

本項(xiàng)要求包括：

a)相關(guān)人員應(yīng)了解并遵守密碼相關(guān)法律法規(guī)、密碼應(yīng)用安全管理制度；

b)應(yīng)建立密碼應(yīng)用崗位責(zé)任制度，明確各崗位在安全系統(tǒng)中的職責(zé)和權(quán)限；

c)應(yīng)建立上崗人員培訓(xùn)制度，對(duì)于涉及密碼的操作和管理的人員進(jìn)行專門培訓(xùn)，確保其具備崗

位所需專業(yè)技能；

d)應(yīng)建立關(guān)鍵人員保密制度和調(diào)離制度，簽訂保密合同，承擔(dān)保密義務(wù)。

6.7.3第三方人員安全

本項(xiàng)要求包括：

11

T/CNEA***-****

a)為第三方供應(yīng)商（如服務(wù)組織、合同商、信息系統(tǒng)開發(fā)商、外部應(yīng)用提供商）建立人員安全

要求，包括安全角色和責(zé)任；

b)要求第三方供應(yīng)商遵守本組織的人員安全策略與規(guī)程；

c)要求第三方供應(yīng)商在規(guī)定期限內(nèi)，將擁有本組織證件或系統(tǒng)訪問權(quán)限的第三方人員的任何調(diào)

動(dòng)或離職情況通知云服務(wù)商。

6.7.4安全培訓(xùn)

本項(xiàng)要求包括：

a)在以下情況下為內(nèi)部人員、客戶及其他有關(guān)人員（包括管理層人員和合同商）提供基礎(chǔ)的安

全意識(shí)培訓(xùn)：

1)內(nèi)部人員、客戶及其他有關(guān)人員接受初始培訓(xùn)時(shí)；

2)系統(tǒng)變更時(shí)；

3)一般情況下，一年應(yīng)當(dāng)組織一次相關(guān)培訓(xùn)。

b)在以下情況下為承擔(dān)安全角色和職責(zé)的人員提供基于角色的安全技能培訓(xùn)：

1)被授權(quán)訪問信息系統(tǒng)或者執(zhí)行所分配的職責(zé)之前；

2)系統(tǒng)變更時(shí)；

3)一般情況下，一年應(yīng)當(dāng)組織一次相關(guān)培訓(xùn)。

c)記錄和保存信息系統(tǒng)安全培訓(xùn)活動(dòng)和培訓(xùn)記錄，包括基礎(chǔ)的安全意識(shí)培訓(xùn)和特定的信息系統(tǒng)

安全培訓(xùn)。

6.8安全建設(shè)管理

6.8.1云服務(wù)商選擇

本項(xiàng)要求包括：

a)應(yīng)選擇安全合規(guī)的云服務(wù)商，其所提供的云計(jì)算平臺(tái)應(yīng)為其所承載的業(yè)務(wù)應(yīng)用系統(tǒng)提供相應(yīng)等

級(jí)的安全保護(hù)能力；

b)應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)的各項(xiàng)服務(wù)內(nèi)容和具體技術(shù)指標(biāo)；

c)應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)商的權(quán)限與責(zé)任，包括管理范圍、職責(zé)劃分、訪問授權(quán)、隱私

保護(hù)、行為準(zhǔn)則、違約責(zé)任等；

d)應(yīng)在服務(wù)水平協(xié)議中規(guī)定服務(wù)合約到期時(shí)，完整提供云服務(wù)客戶數(shù)據(jù)，并承諾相關(guān)數(shù)據(jù)在云計(jì)

算平臺(tái)上清除。

6.8.2供應(yīng)鏈管理

本項(xiàng)要求包括：

a)應(yīng)確保供應(yīng)商的選擇符合國(guó)家有關(guān)規(guī)定；

b)應(yīng)將供應(yīng)鏈安全事件信息或安全威脅信息及時(shí)傳達(dá)到云服務(wù)客戶。

6.8.3供應(yīng)鏈保護(hù)

本項(xiàng)要求包括：

a)注明有哪些外包的服務(wù)或采購(gòu)的產(chǎn)品對(duì)云計(jì)算服務(wù)的安全性存在重要影響；

b)確保重要設(shè)備通過政府有關(guān)部門已設(shè)立的信息安全測(cè)評(píng)或?qū)彶橹贫鹊陌踩珯z測(cè)；

c)對(duì)重要的信息系統(tǒng)、組件或服務(wù)實(shí)施供應(yīng)鏈保護(hù)措施。

12

T/CNEA***-****

6.9安全運(yùn)維管理

6.9.1云計(jì)算環(huán)境管理

云計(jì)算平臺(tái)的運(yùn)維地點(diǎn)應(yīng)位于中國(guó)境內(nèi)，境外對(duì)境內(nèi)云計(jì)算平臺(tái)實(shí)施運(yùn)維操作應(yīng)遵循國(guó)家相關(guān)規(guī)。

6.9.2事件處理

本項(xiàng)要求包括：

a)制定信息系統(tǒng)的事件處理計(jì)劃并向云計(jì)算平臺(tái)管理人員和部門，發(fā)布事件處理計(jì)劃；

b)每年應(yīng)對(duì)事件處理計(jì)劃進(jìn)行審查；

c)如系統(tǒng)發(fā)生變更或事件處理計(jì)劃在實(shí)施、執(zhí)行或測(cè)試中遇到問題，及時(shí)修改事件處理計(jì)劃并

通報(bào)相關(guān)部門和人員；

d)根據(jù)事件處理計(jì)劃，監(jiān)控和報(bào)告安全事件；

e)當(dāng)發(fā)現(xiàn)可疑的安全事件時(shí)，在24小時(shí)內(nèi)，向本組織的事件處理部門報(bào)告。

6.9.3應(yīng)急響應(yīng)

本項(xiàng)要求包括：

a)制定信息系統(tǒng)的應(yīng)急響應(yīng)計(jì)劃并將應(yīng)急響應(yīng)計(jì)劃向有關(guān)部門和人員進(jìn)行通報(bào)；

b)向所有系統(tǒng)管理人員、技術(shù)人員（包括密碼管理人員）和運(yùn)維人員提供應(yīng)急響應(yīng)演練和培訓(xùn)；

c)每年應(yīng)更新應(yīng)急響應(yīng)計(jì)劃。

6.9.4密碼應(yīng)急處置

應(yīng)制定密碼應(yīng)用應(yīng)急策略，做好應(yīng)急資源準(zhǔn)備，當(dāng)密碼應(yīng)用安全事件發(fā)生時(shí)，按照應(yīng)急處置措

施結(jié)合實(shí)際情況及時(shí)處置。

6.9.5信息系統(tǒng)備份

本項(xiàng)要求包括：

a)具備系統(tǒng)級(jí)備份能力，按照規(guī)定的時(shí)間間隔，對(duì)信息系統(tǒng)中的系統(tǒng)級(jí)信息進(jìn)行備份，如系統(tǒng)

狀態(tài)、操作系統(tǒng)及應(yīng)用軟件；

b)防止通過備份過程訪問客戶的明文數(shù)據(jù)；

c)為用戶提供多種備份方案；

d)在存儲(chǔ)位置保護(hù)備份信息的保密性、完整性和可用性。

6.9.6缺陷修復(fù)

本項(xiàng)要求包括：

a)標(biāo)識(shí)、報(bào)告和修復(fù)云計(jì)算平臺(tái)的缺陷；

b)在與安全相關(guān)的軟件和固件升級(jí)包發(fā)布后，及時(shí)安裝升級(jí)包；

c)在安裝前測(cè)試軟件和固件升級(jí)包，驗(yàn)證其是否有效，同時(shí)分析其對(duì)云計(jì)算平臺(tái)可能帶來的副

作用。

7第三級(jí)云計(jì)算安全擴(kuò)展要求

7.1安全物理環(huán)境

13

T/CNEA***-****

7.1.1基礎(chǔ)設(shè)施位置

本項(xiàng)要求包括：

a)確保機(jī)房位于中國(guó)境內(nèi)并且保證云計(jì)算基礎(chǔ)設(shè)施位于中國(guó)境內(nèi)；

b)在機(jī)房選址時(shí)，滿足GB50174—2008的相關(guān)規(guī)定；

c)對(duì)機(jī)房面臨的潛在物理和環(huán)境危險(xiǎn)進(jìn)行評(píng)估，形成評(píng)估報(bào)告，并在其風(fēng)險(xiǎn)管理策略中防范此

類風(fēng)險(xiǎn)；

d)控制機(jī)房位置信息的知悉范圍。

7.1.2物理環(huán)境訪問授權(quán)

本項(xiàng)要求包括：

a)制定和維護(hù)具有機(jī)房訪問權(quán)限的角色和人員名單；

b)發(fā)布授權(quán)憑證；

c)每半年應(yīng)對(duì)授權(quán)人員名單和憑證進(jìn)行審查；

d)及時(shí)從授權(quán)訪問名單中刪除不再需要訪問機(jī)房的人員；

e)云服務(wù)商應(yīng)根據(jù)職位、角色以及訪問的必要性對(duì)機(jī)房進(jìn)行細(xì)粒度的物理訪問授權(quán)。

7.1.3物理環(huán)境訪問控制

本項(xiàng)要求包括：

a)對(duì)所有機(jī)房出入口實(shí)施物理訪問授權(quán)，具體包括：在準(zhǔn)許進(jìn)入機(jī)房前驗(yàn)證其訪問授權(quán)、使用

相關(guān)設(shè)備或系統(tǒng)；

b)制定和維護(hù)機(jī)房出入口的物理訪問審計(jì)日志，審計(jì)日志應(yīng)完整無缺損；

c)在云計(jì)算機(jī)房中，訪問者應(yīng)有專人陪同且行為應(yīng)受監(jiān)控；

d)每月應(yīng)對(duì)相關(guān)物理訪問設(shè)備進(jìn)行盤點(diǎn)；

e)一般情況下每年應(yīng)更換鑰匙和訪問憑證。在鑰匙丟失、訪問憑證受損以及相關(guān)人員發(fā)生變動(dòng)

的情況下，需要更換鑰匙和訪問憑證；

f)除對(duì)機(jī)房出入口實(shí)施訪問控制外，云服務(wù)商還應(yīng)嚴(yán)格限制對(duì)云計(jì)算平臺(tái)設(shè)備的物理接觸。除

對(duì)機(jī)房出入口實(shí)施訪問控制外，云服務(wù)商還應(yīng)嚴(yán)格限制對(duì)云計(jì)算平臺(tái)設(shè)備的物理接觸。

7.1.4電力設(shè)備和電纜安全保障

本項(xiàng)要求包括：

a)在設(shè)置電力電纜設(shè)備時(shí)，符合GB50174—2008的相關(guān)規(guī)定；

b)對(duì)云計(jì)算平臺(tái)的電源和電纜進(jìn)行保護(hù)，以免受損或遭到破壞；

c)在發(fā)生緊急情況時(shí)，具有切斷云計(jì)算平臺(tái)及其單獨(dú)系統(tǒng)組件電源的能力；

d)在云計(jì)算平臺(tái)或系統(tǒng)組件機(jī)房外的特定位置設(shè)置緊急斷電開關(guān)或設(shè)備以確保人員操作的安全

和便捷；

e)對(duì)緊急斷電設(shè)備進(jìn)行保護(hù)，防止非授權(quán)觸發(fā)；

f)提供短期不間斷電源，以便在非正常停電時(shí)，正常關(guān)閉云計(jì)算平臺(tái)；

g)云服務(wù)商應(yīng)提供長(zhǎng)期備用電源，以便在非正常停電時(shí)，在6小時(shí)內(nèi)維持云計(jì)算平臺(tái)的最低功

能。

7.1.5密碼保護(hù)物理和環(huán)境安全

14

T/CNEA***-****

本項(xiàng)要求包括：

a)宜采用密碼技術(shù)進(jìn)行物理訪問身份鑒別，保證重要區(qū)域進(jìn)入人員身份的真實(shí)性；

b)宜采用密碼技術(shù)保證電子門禁系統(tǒng)進(jìn)出記錄數(shù)據(jù)的存儲(chǔ)完整性；

c)宜采用密碼技術(shù)保證視頻監(jiān)控音像記錄數(shù)據(jù)的存儲(chǔ)完整性。

7.2安全通信網(wǎng)絡(luò)

7.2.1網(wǎng)絡(luò)架構(gòu)

本項(xiàng)要求包括：

a)應(yīng)保證云計(jì)算平臺(tái)不承載高于其安全保護(hù)等級(jí)的業(yè)務(wù)應(yīng)用系統(tǒng)；

b)應(yīng)實(shí)現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離；

c)應(yīng)具有根據(jù)云服務(wù)客戶業(yè)務(wù)需求提供通信傳輸、邊界防護(hù)、入侵防范等安全機(jī)制的能力；

d)應(yīng)具有根據(jù)云服務(wù)客戶業(yè)務(wù)需求自主設(shè)置安全策略的能力，包括定義訪問路徑、選擇安全組件、

配置安全策略；

e)應(yīng)提供開放接口或開放性安全服務(wù)，允許云服務(wù)客戶接入第三方安全產(chǎn)品或在云計(jì)算平臺(tái)選擇

第三方安全服務(wù)。

7.2.2密碼技術(shù)應(yīng)用

本項(xiàng)要求包括：

a)應(yīng)采用密碼技術(shù)對(duì)通信實(shí)體進(jìn)行身份鑒別，保證通信實(shí)體身份的真實(shí)性；

b)宜采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；

c)應(yīng)采用密碼技術(shù)保證通信過程中重要數(shù)據(jù)的機(jī)密性；

d)宜采用密碼技術(shù)保證網(wǎng)絡(luò)邊界訪問控制信息的完整性。

7.3安全區(qū)域邊界

7.3.1訪問控制

本項(xiàng)要求包括：

a)應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機(jī)制，并設(shè)置訪問控制規(guī)則；

b)應(yīng)在不同等級(jí)的網(wǎng)絡(luò)區(qū)域邊界部署訪問控制機(jī)制，設(shè)置訪問控制規(guī)則。

c)應(yīng)采用密碼技術(shù)對(duì)登錄設(shè)備的用戶進(jìn)行身份鑒別，保證用戶身份的真實(shí)性。

7.3.2邊界保護(hù)

本項(xiàng)要求包括：

a)在連接外部系統(tǒng)的邊界和內(nèi)部關(guān)鍵邊界上，對(duì)通信進(jìn)行監(jiān)控；在訪問系統(tǒng)的關(guān)鍵邏輯邊界上，

對(duì)通信進(jìn)行監(jiān)控；

b)將允許外部公開直接訪問的組件，劃分在一個(gè)與內(nèi)部網(wǎng)絡(luò)邏輯隔離的子網(wǎng)絡(luò)上，并確保允許

外部人員訪問的組件與允許客戶訪問的組件在邏輯層面實(shí)現(xiàn)嚴(yán)格的網(wǎng)絡(luò)隔離；

c)確保與外部網(wǎng)絡(luò)或信息系統(tǒng)的連接只能通過嚴(yán)格管理的接口進(jìn)行，該接口上應(yīng)部署有邊界保

護(hù)設(shè)備；

d)為云計(jì)算服務(wù)搭建物理獨(dú)立的計(jì)算平臺(tái)、存儲(chǔ)平臺(tái)、內(nèi)部網(wǎng)絡(luò)環(huán)境及相關(guān)維護(hù)、安防等設(shè)施，

并經(jīng)由受控邊界與外部網(wǎng)絡(luò)或信息系統(tǒng)相連；

e)限制信息系統(tǒng)外部訪問接入點(diǎn)的數(shù)量，以便對(duì)進(jìn)出通信和網(wǎng)絡(luò)流量實(shí)施有效監(jiān)控；

15

T/CNEA***-****

f)確保信息系統(tǒng)的外部通信接口經(jīng)授權(quán)后方可傳輸數(shù)據(jù)；

g)當(dāng)遠(yuǎn)程維護(hù)管理云計(jì)算平臺(tái)時(shí)，防止遠(yuǎn)程管理設(shè)備同時(shí)直接連接其他網(wǎng)絡(luò)資源；

h)支持客戶使用獨(dú)立的代理服務(wù)器實(shí)現(xiàn)信息的導(dǎo)入導(dǎo)出；

i)構(gòu)建物理上獨(dú)立的管理網(wǎng)絡(luò)，連接管理工具和被管設(shè)備或資源，以對(duì)云計(jì)算平臺(tái)進(jìn)行管理；

j)確保在邊界保護(hù)失效情況下，云計(jì)算平臺(tái)中的受影響部分能夠安全地終止運(yùn)行；

k)采取措施，滿足不同客戶或同一客戶不同業(yè)務(wù)的信息系統(tǒng)之間隔離的需求。

7.3.3惡意代碼防護(hù)

本項(xiàng)要求包括：

a)采用白名單、黑名單或其他方式，在網(wǎng)絡(luò)出入口以及系統(tǒng)中的主機(jī)、移動(dòng)計(jì)算設(shè)備上實(shí)施惡

意代碼防護(hù)機(jī)制；

b)建立相應(yīng)維護(hù)機(jī)制，確保惡意代碼防護(hù)機(jī)制得到及時(shí)更新，如升級(jí)病毒庫(kù)；

c)配置惡意代碼防護(hù)機(jī)制：

1)每月應(yīng)定期掃描信息系統(tǒng)，以及終端或網(wǎng)絡(luò)出入口下載、打開、執(zhí)行外部文件時(shí)對(duì)其進(jìn)

行實(shí)時(shí)掃描；

2)當(dāng)檢測(cè)到惡意代碼后，應(yīng)阻斷或隔離惡意代碼并向管理員報(bào)警。

d)及時(shí)掌握系統(tǒng)的惡意代碼誤報(bào)率，并分析誤報(bào)對(duì)信息系統(tǒng)可用性的潛在影響；

e)防止非特權(quán)用戶繞過惡意代碼防護(hù)機(jī)制；

f)自動(dòng)更新惡意代碼防護(hù)機(jī)制；

g)集中管理惡意代碼防護(hù)機(jī)制。

7.3.4入侵防范

本項(xiàng)要求包括：

a)應(yīng)能檢測(cè)到云服務(wù)客戶發(fā)起的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時(shí)間、攻擊流量等；

b)應(yīng)能檢測(cè)到對(duì)虛擬網(wǎng)絡(luò)節(jié)點(diǎn)的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時(shí)間、攻擊流量等；

c)應(yīng)能檢測(cè)到虛擬機(jī)與宿主機(jī)、虛擬機(jī)與虛擬機(jī)之間的異常流量；

d)應(yīng)在檢測(cè)到網(wǎng)絡(luò)攻擊行為、異常流量情況時(shí)進(jìn)行告警。

7.3.5安全審計(jì)

本項(xiàng)要求包括：

a)應(yīng)對(duì)云服務(wù)商和云服務(wù)客戶在遠(yuǎn)程管理時(shí)執(zhí)行的特權(quán)命令進(jìn)行審計(jì)，至少包括虛擬機(jī)刪除、虛

擬機(jī)重啟；

b)應(yīng)保證云服務(wù)商對(duì)云服務(wù)客戶系統(tǒng)和數(shù)據(jù)的操作可被云服務(wù)客戶審計(jì)。

c)制定并維護(hù)可審計(jì)事件的審計(jì)記錄，如賬號(hào)登錄、賬號(hào)管理、客體訪問、策略變更、特權(quán)功

能、系統(tǒng)事件等；

d)建立協(xié)調(diào)機(jī)制，與本組織內(nèi)外需要審計(jì)信息的其他組織就安全審計(jì)功能進(jìn)行協(xié)調(diào)，以增強(qiáng)相

互間的支持，協(xié)調(diào)確定可審計(jì)事件清單；

e)制定信息系統(tǒng)內(nèi)需連續(xù)審計(jì)的事件清單，并確定各事件的審計(jì)頻率，該清單為上述可審計(jì)事

件清單的子集；

f)每月應(yīng)對(duì)審計(jì)記錄進(jìn)行審查和分析，以發(fā)現(xiàn)不當(dāng)或異常活動(dòng)，并向安全審計(jì)人員報(bào)告；

g)當(dāng)法律法規(guī)、客戶的需求或信息系統(tǒng)面臨的威脅環(huán)境發(fā)生變化時(shí)，調(diào)整對(duì)審計(jì)記錄進(jìn)行審查、

16

T/CNEA***-****

分析、報(bào)告的策略；

h)向客戶提供審計(jì)分析報(bào)告；

i)保護(hù)審計(jì)信息和審計(jì)工具，防止非授權(quán)訪問、篡改或刪除；

j)向客戶提供證據(jù)，證明所有提供給客戶的審計(jì)數(shù)據(jù)都是真實(shí)、完整的，未被修改、隱藏或刪

除；

k)每半年應(yīng)將審計(jì)記錄備份到與所審計(jì)系統(tǒng)或組件不處于同一物理位置的系統(tǒng)或組件之中；

l)將對(duì)審計(jì)管理功能的訪問授權(quán)限制為特權(quán)用戶子集；

7.3.6網(wǎng)絡(luò)虛擬化安全性

本項(xiàng)要求包括：

a)云服務(wù)商應(yīng)為云中的虛擬網(wǎng)絡(luò)資源［如VLAN（虛擬局域網(wǎng)）上的VM（虛擬機(jī)）］間的訪問實(shí)

施網(wǎng)絡(luò)邏輯隔離，并提供訪問控制手段，必要時(shí)可采用密碼技術(shù)；

b)在訪問云服務(wù)的網(wǎng)絡(luò)和內(nèi)部管理云的網(wǎng)絡(luò)之間采取隔離和訪問控制措施，必要時(shí)可采用密碼

技術(shù)；

c)對(duì)虛擬機(jī)的網(wǎng)絡(luò)接口的帶寬進(jìn)行管理。

7.4安全計(jì)算環(huán)境

7.4.1身份鑒別

當(dāng)遠(yuǎn)程管理云計(jì)算平臺(tái)中設(shè)備時(shí)，管理終端和云計(jì)算平臺(tái)之間應(yīng)建立雙向身份驗(yàn)證機(jī)制。

7.4.2訪問控制

本項(xiàng)要求包括：

a)應(yīng)保證當(dāng)虛擬機(jī)遷移時(shí)，訪問控制策略隨其遷移；

b)應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機(jī)之間的訪問控制策略。

c)云服務(wù)商為用戶提供的訪問權(quán)限應(yīng)是其完成指定任務(wù)所必需的，符合本組織的業(yè)務(wù)需求；

d)對(duì)特定的安全功能和安全相關(guān)信息的訪問進(jìn)行明確授權(quán)；

e)應(yīng)將特權(quán)功能的執(zhí)行納入信息系統(tǒng)需要審計(jì)的事件中；

f)確保具有訪問系統(tǒng)安全功能或安全相關(guān)信息特權(quán)的賬號(hào)或角色用戶，當(dāng)訪問非安全功能時(shí)，

使用非特權(quán)賬號(hào)或角色；

g)限制一般管理員具有特權(quán)賬號(hào)；

h)確保信息系統(tǒng)能夠阻止非特權(quán)用戶執(zhí)行特權(quán)功能，以防禁止、繞過或替代已實(shí)施的安全措施；

7.4.3入侵防范

本項(xiàng)要求包括：

a)應(yīng)能檢測(cè)虛擬機(jī)之間的資源隔離失效，并進(jìn)行告警；

b)應(yīng)能檢測(cè)非授權(quán)新建虛擬機(jī)或者重新啟用虛擬機(jī)，并進(jìn)行告警；

c)應(yīng)能夠檢測(cè)惡意代碼感染及在虛擬機(jī)間蔓延的情況，并進(jìn)行告警。

7.4.4鏡像和快照保護(hù)

本項(xiàng)要求包括：

a)應(yīng)針對(duì)重要業(yè)務(wù)系統(tǒng)提供加固的操作系統(tǒng)鏡像或操作系統(tǒng)安全加固服務(wù)；

17

T/CNEA***-****

b)應(yīng)提供虛擬機(jī)鏡像、快照完整性校驗(yàn)功能，防止虛擬機(jī)鏡像被惡意篡改；

c)應(yīng)采取密碼技術(shù)或其他技術(shù)手段防止虛擬機(jī)鏡像、快照中可能存在的敏感資源被非法訪問；

d)確保虛擬機(jī)的鏡像安全，采取有關(guān)措施保證邏輯卷同一時(shí)刻只能被一個(gè)虛擬機(jī)掛載。

a)確保虛擬鏡像模板的配置正確性，并明確模板的譜系來源；

b)提供虛擬機(jī)鏡像文件加密功能，防止虛擬機(jī)鏡像文件數(shù)據(jù)被非授權(quán)訪問。

7.4.5數(shù)據(jù)完整性和保密性

本項(xiàng)要求包括：

a)應(yīng)確保云服務(wù)客戶數(shù)據(jù)、用戶個(gè)人信息等存儲(chǔ)于中國(guó)境內(nèi)，如需出境應(yīng)遵循國(guó)家相關(guān)規(guī)定；

b)應(yīng)確保只有在云服務(wù)客戶授權(quán)下，云服務(wù)商或第三方才具有云服務(wù)客戶數(shù)據(jù)的管理權(quán)限；

c)應(yīng)使用校驗(yàn)碼或密碼技術(shù)確保虛擬機(jī)遷移過程中重要數(shù)據(jù)的完整性，并在檢測(cè)到完整性受到破

壞時(shí)采取必要的恢復(fù)措施；

d)應(yīng)支持云服務(wù)客戶部署密鑰管理解決方案，保證云服務(wù)客戶自行實(shí)現(xiàn)數(shù)據(jù)的加解密過程。

e)應(yīng)采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸和存儲(chǔ)過程中的機(jī)密性，

f)應(yīng)采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸和存儲(chǔ)過程中的完整性。

7.4.6數(shù)據(jù)備份恢復(fù)

本項(xiàng)要求包括：

a)云服務(wù)客戶應(yīng)在本地保存其業(yè)務(wù)數(shù)據(jù)的備份；

b)應(yīng)提供查詢?cè)品?wù)客戶數(shù)據(jù)及備份存儲(chǔ)位置的能力；

c)云服務(wù)商的云存儲(chǔ)服務(wù)應(yīng)保證云服務(wù)客戶數(shù)據(jù)存在若干個(gè)可用的副本，各副本之間的內(nèi)容應(yīng)保

持一致；

d)應(yīng)為云服務(wù)客戶將業(yè)務(wù)系統(tǒng)及數(shù)據(jù)遷移到其他云計(jì)算平臺(tái)和本地系統(tǒng)提供技術(shù)手段，并協(xié)助完

成遷移過程。

7.4.7剩余信息保護(hù)

本項(xiàng)要求包括：

a)應(yīng)保證虛擬機(jī)所使用的內(nèi)存和存儲(chǔ)空間回收時(shí)得到完全清除；

b)云服務(wù)客戶刪除業(yè)務(wù)應(yīng)用數(shù)據(jù)時(shí)，云計(jì)算平臺(tái)應(yīng)將云存儲(chǔ)中所有副本刪除。

7.4.8系統(tǒng)虛擬化安全性

本項(xiàng)要求包括：

a)云服務(wù)商應(yīng)提供實(shí)時(shí)的虛擬機(jī)監(jiān)控機(jī)制，通過帶內(nèi)或帶外的技術(shù)手段對(duì)虛擬機(jī)的運(yùn)行狀態(tài)、

資源占用、遷移等信息進(jìn)行監(jiān)控；

b)可采用密碼技術(shù)實(shí)現(xiàn)虛擬化平臺(tái)的資源隔離；

c)提供資源隔離失敗后的告警措施；

d)支持虛擬機(jī)安全隔離，在虛擬機(jī)監(jiān)控器（Hypervisor）層提供虛擬機(jī)與物理機(jī)之間的安全隔

離措施，控制虛擬機(jī)之間以及虛擬機(jī)和物理機(jī)之間所有的數(shù)據(jù)通信；

e)將虛擬化平臺(tái)的各類操作和事件作為可審計(jì)事件，進(jìn)行記錄和追溯；

f)確保虛擬化平臺(tái)的管理命令采用加密協(xié)議進(jìn)行傳輸。

7.4.9存儲(chǔ)虛擬化安全性

18

T/CNEA***-****

本項(xiàng)要求包括：

a)云服務(wù)商應(yīng)確保針對(duì)存儲(chǔ)數(shù)據(jù)的安全控制能夠應(yīng)用到邏輯和物理存儲(chǔ)實(shí)體上，不會(huì)因信息在

物理存儲(chǔ)位置上的改變而導(dǎo)致安全控制被旁路；

b)禁止或限制對(duì)物理存儲(chǔ)實(shí)體的直接訪問；

c)可采用密碼技術(shù)保障各個(gè)客戶所使用的虛擬存儲(chǔ)資源之間的邏輯隔離；

d)在租戶解除存儲(chǔ)資源的使用后，確保用戶數(shù)據(jù)能夠在需要清除用戶數(shù)據(jù)的操作后在物理存儲(chǔ)

設(shè)備級(jí)別上被有效清除，例如鏡像文件、快照文件在遷移或刪除虛擬機(jī)后能被完全清除；

e)提供虛擬存儲(chǔ)數(shù)據(jù)審計(jì)手段；

f)提供虛擬存儲(chǔ)數(shù)據(jù)訪問控制手段；

g)提供虛擬存儲(chǔ)冗余備份支持；

h)提供存儲(chǔ)協(xié)議級(jí)數(shù)據(jù)訪問授權(quán)，如實(shí)施SATA（串行高級(jí)技術(shù)附件）等存儲(chǔ)協(xié)議級(jí)別的安全控

制。

7.5安全管理中心

7.5.1集中管控

本項(xiàng)要求包括：

a)應(yīng)能對(duì)物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配；

b)應(yīng)保證云計(jì)算平臺(tái)管理流量與云服務(wù)客戶業(yè)務(wù)流量分離；

c)應(yīng)根據(jù)云服務(wù)商和云服務(wù)客戶的職責(zé)劃分，收集各自控制部分的審計(jì)數(shù)據(jù)并實(shí)現(xiàn)各自的集中審

計(jì)；

d)應(yīng)根據(jù)云服務(wù)商和云服務(wù)客戶的職責(zé)劃分，實(shí)現(xiàn)各自控制部分，包括虛擬化網(wǎng)絡(luò)、虛擬機(jī)、虛

化安全設(shè)備等的運(yùn)行狀況的集中監(jiān)測(cè)。

7.6安全管理制度

7.6.1安全規(guī)章制度

本項(xiàng)要求包括：

a)制定信息安全規(guī)章制度，并傳達(dá)至內(nèi)外部相關(guān)人員；

b)在信息安全策略或計(jì)劃發(fā)生變更時(shí)，評(píng)審和更新信息安全規(guī)章制度，以確保其持續(xù)適用和有

效；

c)建立季度檢查機(jī)制，以監(jiān)督檢查信息安全規(guī)章制度的落實(shí)情況。

7.6.2密碼管理制度

本項(xiàng)要求包括：

a)應(yīng)具備密碼應(yīng)用安全管理制度，包括密碼人員管理、密鑰管理、建設(shè)運(yùn)行、應(yīng)急處置、密碼

軟硬件及介質(zhì)管理等制度；

b)應(yīng)根據(jù)密碼應(yīng)用方案建立相應(yīng)密鑰管理規(guī)則；

c)應(yīng)對(duì)管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程；

d)應(yīng)定期對(duì)密碼應(yīng)用安全管理制度和操作規(guī)程的合理性和適用性進(jìn)行論證和審定，對(duì)存在不足

或需要改進(jìn)之處進(jìn)行修訂；

e)應(yīng)具有密碼應(yīng)用操作規(guī)程的相關(guān)執(zhí)行記錄并妥善保存。

19

T/CNEA***-****

7.7安全管理機(jī)構(gòu)

本項(xiàng)要求包括：

a)建立專職團(tuán)隊(duì)負(fù)責(zé)云服務(wù)的提供；

b)對(duì)云服務(wù)過程中的不同角色進(jìn)行明確分工和職責(zé)定義；

c)設(shè)立云服務(wù)的管理、技術(shù)支持和系統(tǒng)操作維護(hù)等主要崗位；

d)建立信息安全管理框架：

1）設(shè)立信息安全領(lǐng)導(dǎo)小組，組長(zhǎng)由本組織最高管理層人員擔(dān)任；

2）設(shè)立密碼工件領(lǐng)導(dǎo)小組，組長(zhǎng)由本組織最高管理層人員擔(dān)任；

3）設(shè)立信息安全和密碼管理部門作為專門的責(zé)任部門，與本組織其他業(yè)務(wù)部門協(xié)同管理和

解決有關(guān)問題。

e)實(shí)施內(nèi)部威脅防范程序，包括跨部門的內(nèi)部威脅事件處理團(tuán)隊(duì)。

7.8安全管理人員

7.8.1技術(shù)人員管理

本項(xiàng)要求包括：

a)通過清晰的政策、足夠的預(yù)算與合理的分工，確保人員管理滿足客戶的業(yè)務(wù)要求；

b)建立組織內(nèi)人員選聘、試用、培訓(xùn)、考核與離職管理程序。如果與第三方合作提供云服務(wù)，

應(yīng)對(duì)合作伙伴的相關(guān)人員進(jìn)行有效管理，確保云服務(wù)的正常提供；

c)云服務(wù)人員應(yīng)掌握必要的專業(yè)技能，具備從事相關(guān)工作的資格；

d)云服務(wù)人員應(yīng)參加崗位技能考核，合格后方能上崗，崗位技能考核應(yīng)定期開展。

7.8.2密碼人員管理

本項(xiàng)要求包括：

a)相關(guān)人員應(yīng)了解并遵守密碼相關(guān)法律法規(guī)、密碼應(yīng)用安全管理制度；

b)應(yīng)建立密碼應(yīng)用崗位責(zé)任制度，明確各崗位在安全系統(tǒng)中的職責(zé)和權(quán)限：

1)根據(jù)密碼應(yīng)用的實(shí)際情況，設(shè)置密鑰管理員、密碼安全審計(jì)員、密碼操作員等關(guān)鍵安全

崗位；

2)對(duì)關(guān)鍵崗位建立多人共管機(jī)制；

3)密鑰管理、密碼安全審計(jì)、密碼操作人員職責(zé)互相制約互相監(jiān)督，其中密碼安全審計(jì)員

崗位不可與密鑰管理員、密碼操作員兼任；

4)相關(guān)設(shè)備與系統(tǒng)的管理和使用賬號(hào)不得多人共用。

c)應(yīng)建立上崗人員培訓(xùn)制度，對(duì)于涉及密碼的操作和管理的人員進(jìn)行專門培訓(xùn)，確保其具備崗

位所需專業(yè)技能；

d)應(yīng)定期對(duì)密碼應(yīng)用安全崗位人員進(jìn)行考核；

e)應(yīng)建立關(guān)鍵人員保密制度和調(diào)離制度，簽訂保密合同，承擔(dān)保密義務(wù)。

7.8.3第三方人員安全

本項(xiàng)要求包括：

a)為第三方供應(yīng)商（如服務(wù)組織、合同商、信息系統(tǒng)開發(fā)商、外部應(yīng)用提供商）建立人員安全

要求，包括安全角色和責(zé)任；

b)要求第三方供應(yīng)商遵守本組織的人員安全策略與規(guī)程；

20

T/CNEA***-****

c)要求第三方供應(yīng)商在規(guī)定期限內(nèi)，將擁有本組織證件或系統(tǒng)訪問權(quán)限的第三方人員的任何調(diào)

動(dòng)或離職情況通知云服務(wù)商；

d)監(jiān)視第三方供應(yīng)商的合規(guī)情況。

7.8.4安全培訓(xùn)

本項(xiàng)要求包括：

a)在以下情況下為內(nèi)部人員、客戶及其他有關(guān)人員（包括管理層人員和合同商）提供基礎(chǔ)的安

全意識(shí)培訓(xùn)：

1)內(nèi)部人員、客戶及其他有關(guān)人員接受初始培訓(xùn)時(shí)；

2)系統(tǒng)變更時(shí)；

3)一般情況下，一年應(yīng)當(dāng)組織一次相關(guān)培訓(xùn)。

b)在以下情況下為承擔(dān)安全角色和職責(zé)的人員提供基于角色的安全技能培訓(xùn)：

1)被授權(quán)訪問信息系統(tǒng)或者執(zhí)行所分配的職責(zé)之前；

2)系統(tǒng)變更時(shí)；

3)一般情況下，一年應(yīng)當(dāng)組織一次相關(guān)培訓(xùn)。

c)記錄和保存信息系統(tǒng)安全培訓(xùn)活動(dòng)和培訓(xùn)記錄，包括基礎(chǔ)的安全意識(shí)培訓(xùn)和特定的信息系統(tǒng)

安全培訓(xùn)。

7.9安全建設(shè)管理

7.9.1云服務(wù)商選擇

本項(xiàng)要求包括：

a)應(yīng)選擇安全合規(guī)的云服務(wù)商，其所提供的云計(jì)算平臺(tái)應(yīng)為其所承載的業(yè)務(wù)應(yīng)用系統(tǒng)提供相應(yīng)等

級(jí)的安全保護(hù)能力；

b)應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)的各項(xiàng)服務(wù)內(nèi)容和具體技術(shù)指標(biāo)；

c)應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)商的權(quán)限與責(zé)任，包括管理范圍、職責(zé)劃分、訪問授權(quán)、隱私

保護(hù)、行為準(zhǔn)則、違約責(zé)任等；

d)應(yīng)在服務(wù)水平協(xié)議中規(guī)定服務(wù)合約到期時(shí)，完整提供云服務(wù)客戶數(shù)據(jù)，并承諾相關(guān)數(shù)據(jù)在云計(jì)

算平臺(tái)上清除；

e)應(yīng)與選定的云服務(wù)商簽署保密協(xié)議，要求其不得泄露云服務(wù)客戶數(shù)據(jù)。

7.9.2供應(yīng)鏈管理

本項(xiàng)要求包括：

a)應(yīng)確保供應(yīng)商的選擇符合國(guó)家有關(guān)規(guī)定；

b)應(yīng)將供應(yīng)鏈安全事件信息或安全威脅信息及時(shí)傳達(dá)到云服務(wù)客戶；

c)應(yīng)將供應(yīng)商的重要變更及時(shí)傳達(dá)到云服務(wù)客戶，并評(píng)估變更帶來的安全風(fēng)險(xiǎn)，采取措施對(duì)風(fēng)險(xiǎn)

進(jìn)行控制。

7.9.3供應(yīng)鏈保護(hù)

本項(xiàng)要求包括：

a)注明有哪些外包的服務(wù)或采購(gòu)的產(chǎn)品對(duì)云計(jì)算服務(wù)的安全性存在重要影響；

b)確保重要設(shè)備通過政府有關(guān)部門已設(shè)立的信息安全測(cè)評(píng)或?qū)彶橹贫鹊陌踩珯z測(cè)；

21

T/CNEA***-****

c)對(duì)重要的信息系統(tǒng)、組件或服務(wù)實(shí)施供應(yīng)鏈保護(hù)措施；

d)制定采購(gòu)策略、合同工具和采購(gòu)方法，主要包括供應(yīng)商選擇和要求；

e)在簽署合同前對(duì)供應(yīng)商進(jìn)行審查和評(píng)估；

f)采用有效的保護(hù)措施，保護(hù)供應(yīng)鏈相關(guān)信息，包括：用戶身份、信息系統(tǒng)、組件或服務(wù)的用

途、供應(yīng)商身份等；

g)對(duì)與信息系統(tǒng)、組件或服務(wù)相關(guān)的供應(yīng)鏈單元、過程和參與者實(shí)施分析或測(cè)試，包括獨(dú)立第

三方分析或滲透性測(cè)試；

h)確保與供應(yīng)商簽訂的服務(wù)水平協(xié)議（SLA）中的相關(guān)指標(biāo)，不低于擬與客戶所簽訂的SLA協(xié)議

中的相關(guān)指標(biāo)；

i)當(dāng)變更供應(yīng)商時(shí)，對(duì)供應(yīng)商變更帶來的安全風(fēng)險(xiǎn)進(jìn)行評(píng)估，并采取有關(guān)措施對(duì)風(fēng)險(xiǎn)進(jìn)行控制。

7.10安全運(yùn)維管理

7.10.1云計(jì)算環(huán)境管理

云計(jì)算平臺(tái)的運(yùn)維地點(diǎn)應(yīng)位于中國(guó)境內(nèi)，境外對(duì)境內(nèi)云計(jì)算平臺(tái)實(shí)施運(yùn)維操作應(yīng)遵循國(guó)家相關(guān)規(guī)

定。

7.10.2事件處理

本項(xiàng)要求包括：

a)制定信息系統(tǒng)的事件處理計(jì)劃并向云計(jì)算平臺(tái)管理人員和部門，發(fā)布事件處理計(jì)劃；

b)每年應(yīng)對(duì)事件處理計(jì)劃進(jìn)行審查；

c)如系統(tǒng)發(fā)生變更或事件處理計(jì)劃在實(shí)施、執(zhí)行或測(cè)試中遇到問題，及時(shí)修改事件處理計(jì)劃并

通報(bào)相關(guān)部門和人員；

d)根據(jù)事件處理計(jì)劃，監(jiān)控和報(bào)告安全事件；

e)當(dāng)發(fā)現(xiàn)可疑的安全事件時(shí)，在24小時(shí)內(nèi)，向本組織的事件處理部門報(bào)告；

f)建立事件報(bào)告渠道，當(dāng)發(fā)生影響較大的安全事件時(shí)，向國(guó)家和地方應(yīng)急響應(yīng)組織及有關(guān)信息

安全主管部門報(bào)告。

7.10.3應(yīng)急響應(yīng)

本項(xiàng)要求包括：

a)制定信息系統(tǒng)的應(yīng)急響應(yīng)計(jì)劃并將應(yīng)急響應(yīng)計(jì)劃向有關(guān)部門和人員進(jìn)行通報(bào)；

b)向所有系統(tǒng)管理人員、技術(shù)人員（包括密碼管理人員）和運(yùn)維人員提供應(yīng)急響應(yīng)演練和培訓(xùn)；

c)每年應(yīng)當(dāng)更新應(yīng)急響應(yīng)計(jì)劃。

7.10.4密碼應(yīng)急處置

本項(xiàng)要求包括：

a)應(yīng)制定密碼應(yīng)用應(yīng)急策略，做好應(yīng)急資源準(zhǔn)備，當(dāng)密碼應(yīng)用安全事件發(fā)生時(shí)，應(yīng)立即啟動(dòng)應(yīng)

急處置措施，結(jié)合實(shí)際情況及時(shí)處置；

b)事件發(fā)生后，應(yīng)及時(shí)向信息系統(tǒng)主管部門進(jìn)行報(bào)告；

c)事件處置完成后，應(yīng)及時(shí)向信息系統(tǒng)主管部門及歸屬的密碼管理部門報(bào)告事件發(fā)生情況及處

置情況。

7.10.5信息系統(tǒng)備份

22

T/CNEA***-****

本項(xiàng)要求包括：

a)具備系統(tǒng)級(jí)備份能力，按照規(guī)定的時(shí)間間隔，對(duì)信息系統(tǒng)中的系統(tǒng)級(jí)信息進(jìn)行備份，如系統(tǒng)

狀態(tài)、操作系統(tǒng)及應(yīng)用軟件；

b)防止通過備份過程訪問客戶的明文數(shù)據(jù)；

c)為用戶提供多種備份方案；

d)在存儲(chǔ)位置保護(hù)備份信息的保密性、完整性和可用性；

e)云服務(wù)商應(yīng)具備異地的系統(tǒng)級(jí)熱備能力，每15天對(duì)系統(tǒng)級(jí)信息進(jìn)行增量備份，以及按照每個(gè)

月對(duì)系統(tǒng)級(jí)信息進(jìn)行全量備份。

7.10.6缺陷修復(fù)

本項(xiàng)要求包括：

a)標(biāo)識(shí)、報(bào)告和修復(fù)云計(jì)算平臺(tái)的缺陷；

b)在與安全相關(guān)的軟件和固件升級(jí)包發(fā)布后，及時(shí)安裝升級(jí)包；

c)在安裝前測(cè)試軟件和固件升級(jí)包，驗(yàn)證其是否有效，同時(shí)分析其對(duì)

d)云計(jì)算平臺(tái)可能帶來的副作用；

e)將缺陷修復(fù)活動(dòng)納入組織的配置管理過程之中；

f)云服務(wù)商應(yīng)使用自動(dòng)檢測(cè)機(jī)制，適時(shí)對(duì)缺陷修復(fù)后的組件進(jìn)行檢測(cè)。

8第四級(jí)云計(jì)算安全擴(kuò)展要求

8.1安全物理環(huán)境

8.1.1基礎(chǔ)設(shè)施位置

本項(xiàng)要求包括：

a)確保機(jī)房位于中國(guó)境內(nèi)并且保證云計(jì)算基礎(chǔ)設(shè)施位于中國(guó)境內(nèi)；

b)在機(jī)房選址時(shí)，滿足GB50174—2008的相關(guān)規(guī)定；

c)對(duì)機(jī)房面臨的潛在物理和環(huán)境危險(xiǎn)進(jìn)行評(píng)估，形成評(píng)估報(bào)告，并在其風(fēng)險(xiǎn)管理策略中防范此

類風(fēng)險(xiǎn)；

d)控制機(jī)房位置信息的知悉范圍。

8.1.2物理環(huán)境訪問授權(quán)

本項(xiàng)要求包括：

a)制定和維護(hù)具有機(jī)房訪問權(quán)限的角色和人員名單；

b)發(fā)布授權(quán)憑證；

c)每半年應(yīng)對(duì)授權(quán)人員名單和憑證進(jìn)行審查；

d)及時(shí)從授權(quán)訪問名單中刪除不再需要訪問機(jī)房的人員；

e)云服務(wù)商應(yīng)根據(jù)職位、角色以及訪問的必要性對(duì)機(jī)房進(jìn)行細(xì)粒度的物理訪問授權(quán)。

8.1.3物理環(huán)境訪問控制

本項(xiàng)要求包括：

a)對(duì)所有機(jī)房出入口實(shí)施物理訪問授權(quán)，具體包括：在準(zhǔn)許進(jìn)入機(jī)房前驗(yàn)證其訪問授權(quán)、使用

相關(guān)設(shè)備或系統(tǒng)；