1 范圍

      本標準確定了云計算服務運行監管框架，規定了安全控制措施監管、變更管理監管和應急響應監管的內容及監管活動，給出運行監管實現方式的建議。

      本標準適用于對政府部門使用的云計算服務進行運行監管，也可供重點行業和其他企事業單位使用云計算服務時參考。

2 規范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 31167-2014 信息安全技術 云計算服務安全指南

      GB/T 31168-2014 信息安全技術 云計算服務安全能力要求

3 術語和定義

      GB/T 31167-2014界定的以及下列術語和定義適用于本文件。

3.1

      運行監管方 operation supervision organization

      獨立于云計算服務相關方，且具有專業技術能力，開展運行監管的機構。

4 云計算服務運行監管目的及框架

4.1 運行監管目的

      開展云計算服務運行監管的目的是保障：

      a）云計算服務持續滿足國家相關法律法規、行政命令、政策和標準；

      b）云計算服務相關方能夠及時、有效地掌握云計算平臺的運行質量和安全狀態；

      c）云計算服務的安全風險可控；

      d）云計算服務的安全能力持續滿足要求。

      從而確保GB/T 31167-2014中8.1提出的運行監管主要目標。

4.2 運行監管框架

      云計算服務運行監管框架是基于國家標準GB/T 31167-2014和GB/T 31168-2014中的運行監管要求而提出的。云計算服務運行監管框架如圖1所示。

圖1 運行監管框架

      云服務商應對云計算服務實施安全控制、變更管理及應急響應等方面的管理和技術措施，并為運行監管方提供已實施相關管理和技術措施的支撐材料，形成交付件（對監管活動起到佐證作用的任何實體，包括但不限于各種文檔、圖片、錄音、錄像、實物、數據等，并以紙質、電子等形式有效保存），附錄A給出了運行監管交付件參考模版，附錄B給出了安全控制措施運行監管列表。

      運行監管方對云服務商的交付件進行分析審核、評估驗證等監管活動，形成監管結果告知云計算服務相關方，必要時應根據監管結果給出合理的意見和建議。

4.3 運行監管的角色及責任

4.3.1 運行監管角色

      運行監管框架包含兩個主要角色：

      a）云服務商。通過國家網絡安全審查并為政府部門提供服務的云服務商。

      b）運行監管方。云服務客戶的管理部門（例如：政府信息安全管理部門、云服務客戶的主管部門等）指定或委托的運行監管方。

4.3.2 云服務商的責任

      云服務商應確保：

      a）云計算平臺中的安全控制措施持續有效；

      b）云計算平臺中的重大變更風險可控；

      c）云計算平臺中的應急響應及時充分；

      d）向運行監管方按約定的內容、形式、頻率、人工或自動機制等提交運行監管所需交付件，并確保交付件真實可靠；

      e）根據運行監管方反饋的監管結果對相關的管理和技術措施進行整改。

      從而履行GB/T 31167-2014中8.2.3規定的云服務商在運行監管中的責任。

4.3.3 運行監管方的責任

      運行監管方應：

      a）對云計算服務的安全控制措施、重大變更和應急響應等進行運行監管；

      b）與云服務商協商運行監管接口，即交付件的內容、形式、頻率和人工或自動機制等；

      c）確保云服務商提交的交付件安全，不得將交付件、涉及云服務商的知識產權和商業秘密的材料提供給第三方；

      d）對云服務商提交的交付件進行分析及審核；

      e）根據分析、審核結果對云計算服務的安全能力進行評估，必要時應以抽查、核查及測試等方式對交付件中的內容進行驗證；

      f）根據評估驗證結論，形成評估報告并告知云計算服務相關方，必要時應給出整改意見和建議。從而幫助云服務客戶履行GB/T 31167-2014中8.2.2規定的客戶在運行監管活動中的責任。

5 安全控制措施監管

5.1 安全控制措施內容

      安全控制措施涉及的主要內容包括但不限于：

      a）系統開發與供應鏈安全；

      b）系統與通信保護；

      c）訪問控制；

      d) 配置管理；

      e) 維護；

      f) 應急響應與災備；

      g）審計；

      h) 風險評估與持續監控；

      i) 安全組織與人員；

      j) 物理與環境安全。

5.2 安全控制措施監管環節

      安全控制措施的監管環節包括：

      a）運行監管方制定安全控制監管策略與計劃，明確監管目的與要求、監管方法與手段，細化安全控制措施的監管內容、交付件類型、格式及頻率等；

      b）云服務商根據運行監管方制定的安全控制措施監管策略與計劃，對云計算平臺的安全狀態實施持續監控，提交有關安全控制措施有效性的相關交付件；

      c）運行監管方根據云服務商提交的交付件，對云計算平臺的安全控制措施進行分析、審核，必要時，應對安全控制措施的有效性進行評估，并將結果告知云計算服務相關方。

6 變更管理監管

6.1 變更管理內容

      變更管理涉及的主要內容包括但不限于（見GB/T 31167-2014中8.4.2重大變更監管）：

      a）鑒別（包括身份鑒別和數據源鑒別）和訪問控制措施的變更；

      b）數據存儲實現方法的變更；

      c）備份機制和流程的變更；

      d）與外部服務商網絡連接的變更；

      e）安全控制措施的變更；

      f）已部署的商業軟硬件產品的變更；

      g）云計算服務分包商的變更，例如 PaaS 、SaaS服務商更換IaaS服務商；

      h）云計算服務運行主體的變更；

      i) 云計算平臺軟件版本的變更；

      j）云計算平臺基礎設施的變更；

      k）系統IT架構的變更。

以上為標準部分內容，如需看標準全文，請到相關授權網站購買標準正版。