19thAsianGames Hangzhou 2022 杭州2022年第19届亚运会官方合作伙伴 XXX S GB/T 31168-2023 《信息安全技术云计算服务 中 安全能力要求》国家标准解读 www.dbappsecurity.com.cn 400-6059-110 GB/T 31168-2023 标准框架 安恒信息 数字经济的安全基石 云计算服务安全能力要求框架 一、范围 二、规范性引用文件 三、术语和定义 四、缩略语 五、概述 5.1安全措施的实施责任 5.2安全措施的作用范围 5.3安全要求的分类 5.4安全要求的表述形式 5.5安全要求的调整 5.6安全计划 六、系统开发与供应链安全 七、系统与通信保护 八、访问控制 7.2传输的保密性 6.1资源分配 6.2系统生命周期 7.1边界保护 8.1用户标识与鉴别 8.2标识符管理 8.3鉴别凭证管理 8.4鉴别凭证反馈 和完整性保护 6.3采购过程 6.4系统文档 7.3网络中断 7.4可信路径 8.5密码模块鉴别 8.6账号管理 8.7访问控制的实施 8.8信息流控制 7.5密码使用和 6.5关键性分析 6.6外部服务 7.6设备接入保护 管理 8.10未成功的登 8.9最小特权 8.11系统使用通知 8.12前次访问通知 录尝试 6.7开发商安全 6.8开发过程、标 7.7移动代码 7.8会话认证 体系架构 准和工具 8.13并发会话控制 8.15未进行标识和鉴别 8.14会话锁定 8.16安全属性 6.9开发过程配 6.10开发商安全测 情况下可采取的行动 7.9恶意代码防护 7.10内存防护 置管理 试和评估 8.19外部信息系统 8.20可供公众访问 6.11开发商提 7.11系统虚拟 7.12网络虚拟化 8.17远程访问 8.18无线访问 6.12组件真实性 的使用 的内容 供的培 化安全性 安全性 6.13不被支持的 7.13存储虚拟化 7.14安全管理功能 6.14供应链保护 8.21WEB访问安全 8.22API访问安全 系统组件 安全性 的通信保护 GB/T 31168-2023 标准框架 安恒信息 数字经济的安全基石 云计算服务安全能力要求框架（续） 九、数据保护 十、配置管理 十一、维护管理 十二、应急响应 9.1通用数据安全 9.2媒体访问和使用 10.1配置管理计划 10.2基线配置 11.1受控维护 11.2维护工具 12.1事件处理计划 12.2事件处理 11.3远程维护 11.4维护人员 12.3事件报告 12.4事件处理支持 10.4配置参数的 9.3剩余信息保护 9.4数据使用保护 10.3变更控制 设置 11.5及时维护 11.6 缺陷修复 12.5安全警报 12.6错误处理 10.6信息系统组件 9.5数据共享保护 9.6数据迁移保护 10.5最小功能原则 清单 11.8软件和固件完 11.7安全功能验证 12.7应急响应计划 12.8应急响应培训 整性 十三、审计 12.9应急演练 12.10信息系统备份 十五、安全组织与人员 十六、物理与环境安全 12.11支撑客户的 15.1安全策略与 13.1可审计事件 15.2安全组织 12.12 电信服务 13.2审计记录内容 16.1物理设施与 16.2物理和环境 业务连续性计划 规程 设备选址 规划 13.3审计记录存储 13.4审计过程失败 15.3岗位风险与 15.4人员筛选 十四、风险评估与持续监控 容量 时的响应 职责 16.3物理环境访 16.4物理环境访 13.5审计的审查、 13.6审计处理和报 问授权 问控制 15.5人员离职 15.6人员调动 14.1风险评估 14.2脆弱性扫描 分析和报告 告生成 16.5输出设备访问 15.7第三方人员安 15.8人员处罚 16.6物理访问监控 13.7时间戳 13.8审计信息保护 控制 14.3持续监控 14.4信息系统监测 全 16.8设备运送和 13.9抗抵赖性 13.10审计记录留存 15.9安全培训 16.7访客访问记录 14.5垃圾信息监测 移除 附录A（资料性）安全能力要求汇总 附录B（资料性）本文件的实现情况描述 、GB/T.31168-2023与GB/T 31168-2014 标准对比 安恒信息 」数字经济的安全基石 GB/T 31168-2014 GB/T 31168-2023 本标准描述了以社会化方式为特定客户提供云计算服务 本文件规定了云服务商提供云计算服务时应具备的安 时，云服务商应具备的安全技术能力。 全能力。 本标准适用于对政府部门使用的云计算服务进行安全管 理，也可供重点行业和其他企事业单位使用云计算服务 本文件适用于对云计算服务能力的建设、监督、管理 和评估。 时参考，还适用于指导云服务商建设安全的云计算平台 和提供安全的云计算服务。 安全要求分类（10类） 安全要求分类（11类） 系统开发与 系统与通信 系统开发与 系统与通信 访问控制 配置管理 访问控制 配置管理 供应链安全 保护 供应链安全 保护 应急响应与 风险评估与 维护 审计 维护管理 应急响应 数据保护 审计 灾备 持续监控 安全组织与 物理与环境 风险评估与 安全组织与 物理与环境 人员 保护 持续监控 人员 保护 安全要求分级（2级） 安全要求分级（3级） 般要求 增强要求 般要求 增强要求 高级要求 三、GB/T31168-2023修订思路 安恒信息数字经济的安全基石 标准修订旨保持标准的技术先进性，满足《云计算服务安全评估》政策要求，并结合《网络安全法》《数据安全法》《个人 信息保护法》《关键信息基础设施保护条例》《网络安全审查办法》等法律法规中相关规定，充分有效支撑云评估工作。 结合云服务安全评估工作中对标准的应用实践，不做颠覆性改动，修改具体条款。 与31167修订及云计算相关标准保持一致，体现指南中提出的新内容。 不等于降低标准要求，涵盖GB/T 31167所有风险点，减少一般性条 借鉴 简化 款，减少意义不大、测评耗时耗人 力的条款，减少风险不高的条款 明确阐述条款内容， 明晰 通用 增加举例 减少赋值和选择操作 协调 强化 强化重点安全项，突出评估目 的是满足国家安全需求。 四、云计算安全要求的表达与实现 安恒信息 数字经济的安全基石 5.1 云计算安全措施的实施责任 客户 云计算服务的安全性由 基础设施能力类型 云服务商和政府用户共 应用软件 同保障 软件平台 应用能力类型 座拟化计算资源 平台能力类型 资源抽象控制层 云计算安全措施的实施 基础设施能力类型 主体有多个，各类主体 硬件 的安全责任因不同的云 计算服务模式而异。 设施 云服务商 四、云计算安全要求的表达与实现 安恒信息 数字经济的安全基石 5.2 云计算安全措施的作用范围 在同一个云计算平台上，可能有多个应 用系统或服务。云服务商申请为客户提 供云计算服务时，所申请的每一类云计 算应用或服务均应实现本标准规定的安 全要求，并以三种形式，标明所采取的 每项安全措施的作用范围。 范围 通用安全措施 混合安全措施 作用于整个云计算平台可 被直接继承该安全措施。 一部分属于通用安全措施，另一 部分则属于专用安全措施。如电 如：人员安全措施。 子邮件系统的应急响应计划。 专用安全措施 仅针对特定的应用。如电子邮件 系统的访问控制措施。