1、云計算技術金融應用規范安全技術要求Financial application specification of cloud computing technology Security technical requirements目次前言II范圍1規范性引用文件1術語和定義1縮略語1概述1基礎硬件安全2資源抽象與控制安全3應用安全8數據安全8安全管理功能10安全技術管理要求12附錄 A（規范性附錄）云計算平臺可選組件的安全要求18附錄 B（資料性附錄）云計算的安全風險20I前言本標準是云計算技術金融應用系列標準之一，云計算技術金融應用系列標準包括：云計算技術金融應用規范技術架構；云計算技術金融應

2、用規范安全技術要求；云計算技術金融應用規范容災。 本標準按照GB/T 1.12009給出的規則起草。本標準由中國人民銀行提出。本標準由全國金融標準化技術委員會（SAC/TC 180）歸口。本標準負責起草單位：中國人民銀行科技司、中國人民銀行濟南分行。本標準參加起草單位：中國互聯網金融協會、網聯清算有限公司、中國金融電子化公司、中國人民銀行西安分行、北京中金國盛認證有限公司、北京移動金融產業聯盟、中金金融認證中心有限公司、北京銀聯金卡科技有限公司、北京軟件產品質量檢測檢驗中心、財付通支付科技有限公司、螞蟻金融服務集團、華為技術有限公司、阿里云計算有限公司、北京百度網訊科技有限公司、新華三技術有限

3、公司、興業數字金融服務（上海）股份有限公司、亞馬遜通技術服務（北京）有限公司、北京京東金融科技控股有限公司、中國工商銀行、中國農業銀行、中國銀行、中國建設銀行、中國郵政儲蓄銀行、招商銀行、 中國光大銀行、中國民生銀行、興業銀行、平安銀行、國泰君安證券股份有限公司、華泰證券股份有限公司、中國人壽保險（集團）公司、中國人民保險集團股份有限公司、中國銀聯股份有限公司、北京宏基恒信科技有限責任公司、北京信安世紀科技股份有限公司、天津麒麟信息技術有限公司、深圳證券交易所、上海眾人網絡安全技術有限公司。本標準主要起草人：李偉、李興鋒、鄔向陽、張宏基、班廷倫、強群力、楊倩、馬征、聶麗琴、郭林、胡達川、朱勇、

4、周國林、辛路、楊彬、陳則棟、劉運、秦宇鋒、繆凱、楊文斌、任兆麟、吳永強、吳金海、孔令斌、張文濤、莫云飛、陳當陽、李明凱、趙華、符海芳、高志民、高強裔、白陽、于柳婍、 居未偉、王曉燕、樊華、王偉、沈錫鏞、楊俊、郝軼、羅子強、張國澤、周亞國、張翰林、蔣增增、卞海軍、張振猛、胥少龍、來賓、王宇翔、陳晨、陳雪秀、曹偉、穆冬生、宋杰、瞿紅來、許濤、王紹斌、 張榮典、潘斌、汪宗斌、白雷、侯大鵬、張峻華、張嵩、趙春華、高天游、金怡、鐘琪、閆蒞、黃敏、葛小宇、王仕、王研娟、林春、鄭子洲、周偉然、黃超、高坤、林林、李榮振、李志偉。IIJR/T 01672018云計算技術金融應用規范安全技術要求范圍本標準規定了金

5、融領域云計算技術應用的安全技術要求，涵蓋基礎硬件安全、資源抽象與控制安全、 應用安全、數據安全、安全管理功能、安全技術管理要求、可選組件安全等內容。本標準適用于金融領域的云服務提供者、云服務使用者、云服務合作者等。規范性引用文件下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。 凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。JR/T 01312015金融業信息系統機房動力系統規范JR/T 01662018云計算技術金融應用規范技術架構術語和定義JR/T 01662018界定的術語和定義適用于本文件。縮略語下列縮略語適用于本文件。API

6、應用程序編程接口（Application Programming Interface）CPU中央處理單元（Central Processing Unit）DDoS分布式拒絕服務攻擊（Distributed Denial of Service）DoS拒絕服務（Denial of Service）HTTPS安全超文本傳輸協議（Hypertext Transfer Protocol Secure） IaaS基礎設施即服務（Infrastructure as a Service）IP互聯網協議（Internet Protocol）MAC媒體訪問控制（Media Access Control） PaaS

7、平臺即服務（Platform as a Service） SaaS軟件即服務（Software as a Service）SQL結構化查詢語言（Structured Query Language）VPN虛擬專用網絡（Virtual Private Network） XSS跨站腳本攻擊（Cross-site Scripting）概述云計算安全技術要求分級1JR/T 01672018云計算技術按需使用信息技術和數據資源，降低信息化成本，提高資源利用效率，但同時也帶來了 服務外包、數據泄露、服務濫用等方面的新風險。云服務使用者應結合信息系統的業務重要性和數據敏 感性，充分評估應用云計算技術的科學性、

8、安全性和可靠性，在確保系統業務連續性、數據和資金安全 的前提下，謹慎選用云計算技術部署業務系統，選擇與業務相適應的部署和服務模式，確保使用云計算 技術的金融業務系統安全可控。為進一步增強標準的適用性和前瞻性，規范按照分級分類管理思路將具體條款分為基本要求、擴展 要求和增強要求。基本要求是通用性和基礎性的安全要求，云計算技術金融應用均應滿足；擴展要求是 在通用要求基礎上，針對團體云等社會化服務模式提出的擴展性安全技術要求；增強要求是從安全技術 的發展趨勢和金融用戶的前瞻性需求入手提出的增強要求。基本要求增強要求云計算安全框架云計算安全框架由基礎硬件安全、資源抽象與控制安全、應用安全、數據安全、安

9、全管理功能以及 可選組件安全組成。云服務提供者和使用者共同實現安全保障。云計算安全框架如圖1所示，在IaaS、PaaS、SaaS等不同服務類別下云服務提供者和使用者的安全分工有所區別。金融機構是金融服務的最終 提供者，其承擔的安全責任不應因使用云服務而免除或減輕。圖 1云計算安全框架云計算平臺作為承載金融領域信息系統的基礎平臺，其安全要求應不低于所承載業務系統的安全要 求。云計算平臺本質上仍是一種信息系統，應滿足國家和金融行業信息系統安全相關要求，本標準重點 從云計算技術角度提出了云計算平臺應符合的安全要求。容器、中間件、數據庫等云計算平臺可選組件 的安全要求見附錄A，云計算相關安全風險分析參

10、見附錄B。基礎硬件安全2JR/T 01672018機房安全基本要求：應保證云計算平臺部署的物理數據中心及附屬設施符合 JR/T 01312015 相關要求。擴展要求：對于團體云部署模式，應保證用于服務金融業的云計算數據中心運行環境與其他行業物理隔離；應保證用于云服務使用者業務運行、數據存儲和處理的物理設備位于中國境內；應保證云計算平臺的運維和運營系統部署在中國境內。 增強要求：無。網絡安全基本要求：應支持網絡冗余設計，將網絡通信鏈路和網絡設備等冗余部署；應按照安全需求劃分為不同的網絡區域，支持網絡安全隔離；應保證云計算平臺的業務網絡與管理網絡安全隔離；應保證采取網絡控制措施防止非授權設備連接云

11、計算平臺內部網絡，并防止云計算平臺物理服 務器非授權外聯。擴展要求：應支持為云服務使用者提供專線或 VPN 接入；對于團體云部署模式，應保證除廣域網外為金融業服務的網絡物理硬件不與其他行業共享；應保證向云服務使用者提供服務的網絡資源與其他網絡資源安全隔離。 增強要求：應支持網絡帶寬優先級分配。設備安全基本要求：應保證關鍵設備冗余部署，保證系統可用性；應對設備運行狀態、資源使用等進行監控，能夠在發生異常情況時發出告警；應保證設備和存儲介質在重用、報廢或更換時，能夠對其承載的數據完全清除。 擴展要求：對于團體云部署模式，應保證用于金融業的物理設備不與其他行業共享。 增強要求：應保證設備安全啟動，即

12、啟動時的版本和預期一致，完整性沒有受到破壞；應對設備重要配置文件進行完整性保護。資源抽象與控制安全通用要求本章條要求是網絡資源池、存儲資源池和計算資源池均應滿足的通用要求。 基本要求：應支持內核補丁檢測加固和防止內核提權；3JR/T 01672018應保證通過 Web 和 API 等接口訪問云計算平臺時采用安全可靠的身份認證措施。擴展要求：應保證采用 HTTPS 協議遠程調用 API 接口；應支持對軟件漏洞及時發現并修復。增強要求：應保證用戶遠程訪問云計算平臺進行管理時采取加密方式，并至少采取兩種或兩種以上的組合機制 進行身份鑒別。網絡資源池安全概述網絡資源池安全包括針對網絡資源配置和運營的安

13、全要求，也包括對保障網絡安全的安全產品、功 能或服務的安全要求。云服務使用者從云服務提供者獲取網絡資源池中的虛擬網絡資源和控制權。架構安全基本要求：應保證虛擬網絡全冗余設計，避免單點故障。擴展要求：應支持不同租戶網絡及同一租戶不同網絡的隔離；應支持云服務使用者自行劃分安全區域；應支持 VPC 相關的安全功能，對 VPC 的操作（如創建或刪除 VPC，自定義路由、安全組和 ACL 策略等）需要驗證云服務使用者憑證；應支持 VPC 之間以及 VPC 與其他網絡建立 VPN 或專線連接；應支持云服務使用者監控所擁有各網絡節點間的流量。 增強要求：應識別、監控虛擬機之間的流量；應支持開放接口，允許接入

14、第三方安全產品。訪問控制基本要求：應部署訪問控制策略，實現虛擬機之間、虛擬機與資源管理和調度平臺之間、虛擬機與外部網 絡之間的安全訪問控制；應對云計算平臺管理員訪問管理網絡進行訪問控制；應實時監控云服務遠程管理的訪問，并支持對未授權管理連接的處置；應對遠程執行特權命令進行限制。擴展要求：應支持云服務使用者通過 VPN 訪問云計算平臺；應支持云服務使用者自行在虛擬網絡邊界設置訪問控制規則；應支持云服務使用者自行劃分子網、設置訪問控制規則；應支持云服務使用者自行過濾進出 VPC 的網絡流量。增強要求：無。4JR/T 01672018安全審計基本要求：應記錄虛擬網絡運行狀況、網絡流量、用戶行為等日志

15、；應為安全審計數據的匯集提供支持。擴展要求：應根據云服務提供者和云服務使用者的職責劃分，實現各自控制部分的審計；云服務提供者應為云服務使用者進行審計提供必要支持；審計記錄產生時間應由系統范圍內唯一確定的時鐘產生，以確保審計分析的正確性。 增強要求：應支持根據特定要求輸出特定網絡通訊的元數據和報文數據。入侵防范基本要求：應防止虛擬機使用虛假的 IP 或 MAC 地址對外發起攻擊；應識別、監控和處理虛擬機之間的異常流量。 擴展要求：應檢測和防護云計算平臺內部虛擬機發起的針對云計算平臺的攻擊，能夠定位發起攻擊的虛擬機，記錄攻擊類型、攻擊時間、攻擊流量等信息；應對各類網絡攻擊行為進行監測和發現，當檢測

16、到網絡攻擊行為時，記錄攻擊源 IP、攻擊類型、攻擊時間等信息，在發生嚴重入侵事件時應進行告警；通過互聯網提供金融服務時，應支持 DoS/DDoS 攻擊防護，通過清洗 DoS/DDoS 攻擊流量，保障網絡、服務器及上層應用的可用性；通過互聯網提供金融服務時，應支持檢測 Web 應用漏洞，攔截 SQL 注入、XSS 攻擊等多種 Web 應用攻擊行為；應支持防 ARP 欺騙。增強要求：應支持禁用未備案域名；應檢測和阻斷云服務使用者對外攻擊行為，記錄攻擊類型、攻擊時間、攻擊流量等信息；應支持對惡意虛擬機的隔離，支持阻斷惡意虛擬機與外部網絡以及其他虛擬機的通信。惡意代碼防范基本要求：應支持對惡意代碼進行

17、檢測和清理；應維護惡意代碼特征庫的升級和相關檢測系統的更新。 擴展要求：無。增強要求： 無。存儲資源池安全5JR/T 01672018存儲資源池安全包括對存儲資源配置和運營的安全要求，也包括對保障存儲安全的安全產品、功能 或服務的安全要求。云服務使用者從云服務提供者獲取存儲資源池中的虛擬存儲資源和控制權。基本要求：應支持多層級訪問控制；應記錄存儲設備運行狀況、用戶行為等日志；應為安全審計數據的匯集提供支持。擴展要求：應支持分布式存儲的數據副本分布在不同的物理機架；應禁止云計算平臺管理員未授權操作租戶資源；應支持租戶訪問存儲資源的安全傳輸；應支持跨物理集群服務使用者賬號權限管理；應支持內容加密存

18、儲，加密密鑰支持租戶自管理、云服務提供者管理和第三方機構管理；應對不同租戶的數據隔離；應根據云服務提供者和云服務使用者的職責劃分，實現各自控制部分的審計；云服務提供者應為云服務使用者進行審計提供必要支持；審計記錄產生時間應由系統范圍內唯一確定的時鐘產生,以確保審計分析的正確性。 增強要求：無。計算資源池安全概述計算資源池安全既包括虛擬機自身安全，也包括保障虛擬機安全的產品、功能和服務的安全要求。 云服務使用者從云服務提供者獲取計算資源池中的計算資源和控制權。訪問控制基本要求：應對訪問主體進行必要的身份驗證。擴展要求：應通過設定終端接入方式、網絡地址范圍等條件限制終端登錄；應根據安全策略設置登錄

19、終端的操作超時鎖定；應禁止云計算平臺管理員未授權操作租戶資源；訪問控制的粒度應達到主體為用戶級或進程級，客體為文件或數據庫表級。 增強要求：應支持使用兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別。安全審計基本要求：應記錄虛擬機運行狀況、網絡流量、用戶行為等日志；應為安全審計數據的匯集提供支持。擴展要求：應根據云服務提供者和云服務使用者的職責劃分，實現各自控制部分的審計；云服務提供者應為云服務使用者進行審計提供必要支持；6JR/T 01672018審計記錄產生時間應由系統范圍內唯一確定的時鐘產生,以確保審計分析的正確性。 增強要求：無。入侵防范基本要求：應能夠檢測虛擬機對宿主機資源的異常訪問，

20、并進行告警。 擴展要求：無。增強要求：應對虛擬機啟動過程進行完整性保護；應對虛擬機運行過程進行完整性保護；應對虛擬機重要配置文件進行完整性保護。惡意代碼防范基本要求：應支持對后門、木馬、蠕蟲、webshell 等惡意代碼的靜態檢測和行為檢測，并對檢測出的惡意代碼進行控制和隔離。擴展要求：應支持云服務使用者自行安裝防惡意代碼軟件，并支持更新防惡意代碼軟件版本和惡意代碼庫。 增強要求：應提供多層惡意代碼防護機制。資源控制基本要求：應保證分配給不同虛擬機的內存資源隔離；應支持設置并監控虛擬機網絡接口帶寬；應對虛擬機進行資源監控，資源監控的內容包括 CPU 利用率、帶寬使用情況、內存利用率、存儲使用情

21、況等；應為監控信息的匯集提供支持。擴展要求：應支持統一調度與分配物理資源和虛擬資源；應支持虛擬機和虛擬機管理器間內部通信通道的受限使用；應保證部分虛擬機崩潰不影響虛擬機管理器及其他虛擬機。 增強要求：應支持分配給不同虛擬機的存儲資源安全隔離；應支持云服務使用者設置虛擬資源（如CPU、硬盤、內存、網絡等）優先級別，優先保障重要業務服務所占用資源。鏡像和快照保護基本要求：7JR/T 01672018應支持自動虛擬機快照功能，保證系統能根據快照恢復；應校驗虛擬機鏡像、快照的完整性，防止惡意篡改虛擬機鏡像和快照；應對重要業務系統提供加固的操作系統鏡像。擴展要求：應保證虛擬機鏡像和快照文件備份在不同物理

22、服務器。 增強要求：應采取加密或其他技術措施，防止非法訪問虛擬機快照和鏡像中可能存在的敏感數據。應用安全應用安全包括IaaS、PaaS、SaaS等服務類別下的業務應用安全。基本要求：應支持資源的訪問控制；應支持應用審計。擴展要求：應采取有效措施防范各類應用攻擊，包括定期漏洞掃描和安全評估、及時發現并告警異常行為、防范頁面篡改和代碼注入等；應審查代碼后門，管控代碼打包和發布；應有效屏蔽系統技術錯誤信息，不將系統產生的技術錯誤信息直接反饋給客戶。 增強要求：應監控識別應用的異常訪問；應支持限制 API 調用，如限制調用頻率和使用白名單等；應支持檢查訪問云計算平臺的終端的安全狀態；應采取有效措施防止

23、用戶輸入的敏感信息被竊取。數據安全數據產生基本要求：應識別敏感數據，根據數據的敏感度進行分類；應識別個人信息，按照國家與行業主管部門相關規定及標準對個人信息進行保護。 擴展要求：無。增強要求：應分類標識和保護敏感數據。數據傳輸基本要求：應采用技術措施保證敏感數據和個人信息傳輸的保密性；應能夠檢測到數據在傳輸過程中完整性受到破壞。 擴展要求：8JR/T 01672018應支持云服務使用者實現對關鍵業務數據和管理數據傳輸的保密性,關鍵業務數據的范圍和加密強度應符合國家與行業主管部門相關規定；應保證云服務使用者與云計算平臺之間數據傳輸的完整性。 增強要求：無。數據存儲基本要求：應采用加密技術或其他保

24、護措施實現鑒別信息保密性；應根據國家與行業主管部門相關規定加密存儲敏感數據。 擴展要求：應支持云服務使用者選擇加密算法和密鑰長度；應支持云服務使用者實現對關鍵業務數據和管理數據的存儲保密性,關鍵業務數據的范圍和加密強度應符合國家與行業主管部門相關規定；應支持云服務使用者對云計算平臺上數據加密存儲；應支持云服務使用者選擇第三方密鑰管理機制加解密數據，密鑰支持租戶自管理、云服務提供 者管理和第三方機構管理。增強要求： 無。數據訪問基本要求：應針對數據訪問進行授權和驗證，保證最小訪問授權。 擴展要求：應禁止云服務提供者未經云服務使用者授權訪問云服務使用者數據，并對授權訪問的行為進行審計。增強要求：

25、無。數據遷移基本要求：云服務使用者應在數據遷移前評估網絡連接能力，保證數據遷移的安全實施；云服務使用者應保證數據遷移不影響業務應用的連續性；云服務使用者應做好數據遷移的數據備份以及恢復相關工作。 擴展要求：云服務提供者應根據云服務使用者需求提供數據遷移的技術保障。 增強要求：無。數據清除基本要求：應保證云服務使用者鑒別信息的 HYPERLINK /view/1375172.htm h 存儲空間被釋放或再分配給其他用戶前完全清除；9JR/T 01672018對于更換或報廢的存儲介質，應采取強化消磁或者物理損壞磁盤等方式，防止恢復已清除數據。 擴展要求：應保證文件、目錄和數據庫等資源所在的存儲空間

26、被釋放或重新分配給其他租戶前完全清除；應支持協助清除因業務終止、遷移數據、自然災害、合同終止等遺留的數據，日志留存時間應 符合國家與行業主管部門相關規定；應支持所有副本數據的清除。增強要求：無。數據備份和恢復基本要求：應支持備份和恢復數據。擴展要求：應支持云服務使用者自行備份和恢復數據；應周期性測試云計算平臺的備份系統和備份數據，支持故障識別和備份重建；應支持云服務使用者查詢備份數據存儲位置。 增強要求：無。安全管理功能身份和權限管理基本要求：應支持云計算平臺管理員的角色及其相應權限分配給不同賬戶；應支持云計算平臺管理員權限分離；應支持云計算平臺管理員權限最小化；應支持云計算平臺管理員首次登錄

27、時強制修改初始口令；應采用兩種或兩種以上組合的鑒別技術對云計算平臺管理員進行身份鑒別。 擴展要求：應支持租戶的身份和訪問管理，集中管理租戶賬戶以及租戶賬戶的子賬戶；對子賬戶的管理， 租戶賬戶可以創建多個子賬戶，并管理每個子賬戶的權限；支持租戶賬戶對子賬戶的分組授權， 如基于角色、用戶組授權；應支持租戶賬戶下的子賬戶權限最小化；應支持租戶密碼策略管理，密碼策略管理應支持密碼復雜度策略、密碼有效期策略，租戶賬號 的初始密碼應支持隨機生成，租戶首次登錄支持強制修改初始密碼；應支持為云服務使用者隨機生成虛擬機登錄口令或云服務使用者自行設置登錄口令；應支持云服務使用者以密鑰對方式登錄虛擬機時，自主選擇云

28、計算平臺生成密鑰對或自行上傳 密鑰對；應支持集中管理租戶鑒別憑證；應支持云服務使用者鑒別憑證的機密性和完整性保護；應支持修改云服務使用者鑒別憑證前驗證租戶身份；應支持檢測云服務使用者賬戶異常并通知云服務使用者；應支持多種云服務使用者身份鑒別方式；10JR/T 01672018應支持云服務使用者身份鑒別警示信息，提示可能導致的后果；應支持云服務使用者自主選擇主賬號采用兩種或兩種以上組合的鑒別技術進行身份鑒別；應支持對接云服務使用者自建身份認證中心。 增強要求：應對云計算平臺管理員及特權賬號的權限進行管理，包括限制特權賬號的使用時間，可授權特權賬 號的管理員賬號無法使用特權賬號的業務操作權限等。運

29、維管理基本要求：應保證遠程運維通信的保密性和完整性，使用的加密算法和密鑰長度應符合國家密碼管理部門及行 業主管部門要求。擴展要求：云服務提供者管理員的運維操作權限應經過多級安全審批并固化命令級規則，非固化操作實時 審計告警；云服務提供者應僅能通過特定可審計可授權的設備進行運維管理，支持對運維人員的權限控制，記錄所有活動日志；應對云端資源的訪問和運維操作進行審計，支持會話過程重現。 增強要求：無。集中監控基本要求：應對云計算平臺的設備、資源以及云服務等進行實時監控，應支持對關鍵指標進行告警；應對異常行為集中監控分析并告警。擴展要求：應集中監控服務質量，并可導出集中監控報告。增強要求：應支持遠程監

30、控的可視化展示。集中審計基本要求：應將云計算平臺內部系統時鐘與國家權威時間源同步；應保證對云計算平臺的操作均可生成審計報告；應匯集云計算平臺所有的日志數據，進行集中審計，并可供第三方機構審計。 擴展要求：應提供審計接口或支持第三方機構開展獨立的全面安全審計的能力；應保證云服務提供者對云服務使用者系統和數據等資源的操作可被云服務使用者審計。 增強要求：應提供安全審計產品或服務，對云計算平臺上業務及服務進行安全審計；應支持統計分析海量審計數據；應支持攻擊來源的追溯，對審計數據進行關聯性分析和挖掘。密鑰管理11JR/T 01672018基本要求：應保證密鑰的安全存儲和管理；應使用經國家密碼管理機構認

31、可的商用密碼產品；應保證密鑰長度符合國家密碼管理部門及行業主管部門要求；應支持數據加解密和密鑰管理，數據加解密、數字簽名等技術應符合國家密碼管理部門及行業 主管部門要求。擴展要求：應支持云服務使用者選擇第三方密鑰加解密數據，密鑰支持租戶自管理、云服務提供者管理和第三 方機構管理。增強要求：云服務使用者與云計算平臺交互業務時，應使用專用安全硬件數字證書（如 USB Key 等）；應支持密鑰全生命周期統一管理；應支持硬件安全模塊實現密鑰管理。風險預警基本要求：應支持安全漏洞和威脅的識別；應支持評估云計算平臺安全漏洞風險并完成修復。 擴展要求：應支持評估云服務使用者在云計算平臺上應用的安全漏洞風險并

32、協助修復。 增強要求：應收集并分析安全威脅信息；應支持預測威脅態勢、脆弱性態勢和運行態勢。安全技術管理要求安全策略和管理制度管理制度基本要求：應對安全管理活動中的主要管理內容建立安全管理制度；應對管理人員或操作人員執行的日常管理操作建立操作規程。 擴展要求：應對安全管理活動中的各類管理內容建立安全管理制度。 增強要求：無。制定和發布基本要求：應指定或授權專門的部門或人員負責安全管理制度的制定；應通過正式、有效的方式發布安全管理制度，并進行版本控制。 擴展要求：應形成由安全策略、管理制度、操作規程、記錄表單等構成的全面信息安全管理制度體系。12JR/T 01672018增強要求： 無。評審和修訂

33、基本要求：應定期論證和審定安全管理制度的合理性及適用性，修訂存在不足或需要改進的安全管理制度。 擴展要求：應建立信息安全管理制度體系持續改進機制。 增強要求：無。安全管理機構和人員11.2.1崗位設置基本要求：應設立信息安全管理工作的職能部門，設立安全主管、安全管理各個方面的負責人崗位，并定 義部門及各負責人的職責；應設立系統管理員、網絡管理員、安全管理員等崗位，并定義各個工作崗位職責；應成立指導和管理信息安全工作的委員會或領導小組，其最高領導由單位主管領導委任或授權。擴展要求： 無。增強要求： 無。人員配備基本要求：應配備一定數量的系統管理員、網絡管理員、安全管理員等；應配備專職安全管理員，

34、不可兼任。擴展要求：無。增強要求：關鍵事務崗位應配備多人共同管理；應審查管理員資質。授權和審批基本要求：應根據各個部門和崗位的職責明確授權審批事項、審批部門和批準人等；應針對系統變更、重要操作、物理訪問和系統接入等事項執行審批程序。 擴展要求：應定期審查審批事項，及時更新需授權和審批的項目、審批部門和審批人等信息。 增強要求：無。13JR/T 01672018審核和檢查基本要求：應定期進行常規安全檢查，檢查內容包括系統日常運行、系統漏洞和數據備份情況等；應在發生重大變更時開展全面安全檢查，檢查內容包括現有安全技術措施的有效性，安全配置 與安全策略的一致性，安全管理制度的執行情況等。擴展要求：應

35、定期進行全面安全檢查，檢查內容包括現有安全技術措施的有效性、安全配置與安全策略的 一致性、安全管理制度的執行情況等；應制定安全檢查表格，實施安全檢查，匯總安全檢查數據，形成安全檢查報告，并將安全檢查 結果告知相關方。增強要求： 無。安全建設管理11.3.1安全方案設計基本要求：應根據云計算平臺安全需求選擇基本安全措施，依據風險分析的結果補充和調整安全措施；應論證和審定安全方案的合理性和正確性，經過批準后才能正式實施。 擴展要求：應根據云計算平臺承載業務重要程度、云計算平臺與平臺之外的業務系統之間的關系，進行安 全整體規劃和安全方案設計，設計內容應包含密碼相關內容，并形成配套文件；應組織相關部門

36、和有關安全專家論證和審定安全整體規劃及其配套文件，經過批準后才能正式 實施。增強要求： 無。測試驗收基本要求：應制訂測試驗收方案，并依據測試驗收方案實施測試驗收，形成測試驗收報告；應在軟件開發生命周期各階段進行安全測試，并出具安全測試報告；應驗證或評估安全措施的有效性。擴展要求：無。增強要求： 無。供應鏈管理基本要求：應確保供應鏈安全事件信息或威脅信息能夠及時告知云服務使用者。 擴展要求：應確保將供應商的重要變更及時告知云服務使用者，并充分評估變更帶來的安全風險，采取有 效措施控制風險；14JR/T 01672018應注明外包服務或采購產品對云服務安全性的影響。 增強要求：與供應商簽訂的服務水

37、平協議中的相關指標，不低于擬與客戶所簽訂的服務水平協議中的相關 指標；當變更供應商時，對供應商變更帶來的安全風險進行評估，采取有效措施控制風險。安全資源管理基本要求：應指定專門的部門或人員定期維護各種設備（包括備份和冗余設備）、線路等 IT 基礎資源；應對配套設施、軟硬件維護做出規定，包括明確維護人員的責任、維修和服務的審批、維修過 程的監督控制等。擴展要求：應根據資產的重要程度和價值對資產進行標識管理，并選擇相應的管理措施；應確保信息處理設備必須經過審批才能帶離機房或辦公地點，含有存儲介質的設備帶出工作環 境時，對重要數據進行加密；含有存儲介質的設備在報廢或重用前，應進行完全清除，確保該設備

38、上的敏感數據和授權軟件 無法被恢復重用。增強要求： 無。服務關閉基本要求： 無。擴展要求：云服務使用者應與云服務提供者協商制訂并執行退出計劃；云服務使用者退出云計算平臺時，云服務提供者應安全返還云計算平臺的云服務使用者數據；云服務提供者應在約定時間內，完全清除云計算平臺存儲的云服務使用者數據和相關運行信息；云服務提供者應為云服務使用者信息遷移提供技術手段，并協助完成遷移。 增強要求：在數據和業務系統遷移過程中，應保證業務的可用性和連續性，如采取原業務系統與新部署業務系 統并行運行一段時間等措施。安全運維管理風險管理基本要求：應采取必要的措施識別安全風險，對發現的安全風險及時進行修補或評估可能的

39、影響后進行修補。 擴展要求：應定期開展安全測評，形成安全測評報告，并對發現的安全問題采取應對措施。 增強要求：無。變更管理15JR/T 01672018基本要求：應明確變更需求，變更前制定變更方案，變更方案經過審批后方可實施。 擴展要求：應建立變更的申報和審批控制程序，依據程序控制所有的變更，記錄變更實施過程；應建立中止變更并從失敗變更中恢復的程序，明確過程控制方法和人員職責，必要時對恢復過 程進行演練；對于可能會產生重大影響的變更應通知云服務使用者。增強要求：無。監控管理基本要求：應確保信息系統的監控活動符合關于個人信息保護的相關政策法規；應制定相關策略，持續監控設備、資源、服務以及安全措施

40、的有效性。 擴展要求：云服務提供者應將安全措施有效性的監控結果定期提供給云服務使用者。 增強要求：無。業務連續性管理基本要求：應建立業務連續性組織架構，明確日常管理組織架構和應急處置組織架構；應定期開展業務影響分析、連續性風險評估；應定期開展業務連續性計劃演練，檢驗應急預案的完整性、可操作性和有效性，驗證業務連續 性資源的可用性，提高運營中斷事件的綜合處置能力；應制定運營中斷事件等級劃分標準，根據事件影響范圍、持續時間和損失程度定義事件等級， 開展應急響應處置工作。擴展要求：應定期開展業務連續性管理審計工作；應建立業務連續性管理持續改進機制。增強要求：無。應急響應基本要求：應制定重要事件的應急

41、預案，包括應急處理流程、系統恢復流程等內容；應定期對系統相關的人員進行應急預案培訓，并進行應急預案的演練。 擴展要求：按照國家和行業主管部門要求制定統一的應急預案框架，具體包括啟動預案的條件、應急組織 構成、應急資源保障、事后教育和培訓等內容；應定期對原有的應急預案重新評估，修訂完善；云服務提供者應將應急預案提前告知云服務使用者。 增強要求：16JR/T 01672018無。審計管理基本要求：應詳細記錄運維日志，包括日常巡檢工作、運行維護記錄、參數的設置和修改等內容；應確保提供給云服務使用者審計數據的真實性和完整性。 擴展要求：應指定專門的部門或人員對日志、監測和告警數據等進行分析、統計，及時發現可疑行為；應嚴格控制系統變更，變更過程中應保留不可更改的審計日志。 增強要求：無。17JR/T 01672018附錄A（規范性附錄）云計算平臺可選組件的安全要求容器安全基本要求：應具備容器隔離機制，通過操作系統內核機制等保證不同容器進程、網絡、消息、文件系統和 主機名相互隔離和資源限制；應支持鏡像倉庫安全機制，能夠保證鏡像倉庫鏈路安全，對鏡像文件數據進行簽名；云計算平臺應支持鏡像配置安全機制，保證數據庫、中間件、安全設備的連接安全。 擴展要求：無。增強要求： 無。中間件安全中間件是一種獨立的系統軟件或