云上定级怎么划分
云环境里的定级要分清两个层面：云平台自身按平台的重要性与影响定级，云上租户的业务系统按承载的业务与数据影响单独定级。租户不能因为「系统跑在云上」就免除定级与备案义务，相反要在材料中写明平台与租户的责任分界，避免测评时责任扯不清。
基本信息
| 定级主体 | 云平台运营者与云服务客户分别对自身部分定级 |
|---|---|
| 租户义务 | 按业务影响定级、备案、测评，不因上云而免除 |
| 责任分界 | 平台侧负责虚拟化与物理环境，租户侧负责业务、应用与数据 |
| 协同事项 | 接口安全、事件通报、日志获取与留存责任 |
| 材料准备 | 向云服务商索取平台安全能力说明与测评结论副本 |
| 合同要求 | 写入安全责任、通报义务、日志提供与配合事项 |
典型使用场景
- 业务上云迁移前确认云平台已备案，并明确自身系统是否需重新备案
- IT 部门与云服务商签订合同时补充安全责任与事件通报条款
- 等保测评时提供平台侧测评结论作为支撑材料，缩小自身取证范围
- 多云或混合云场景下分别梳理各平台与业务系统的定级关系
- 安全事件发生时按合同约定的渠道与时限向云服务商通报与取证
责任划分检查表
责任划分检查表
云平台侧：虚拟化、宿主机、物理环境、平台账号与审计
租户侧：业务系统、应用与数据、租户账号与权限
协同项：接口安全、事件通报渠道、日志获取与留存责任常见分歧与处理
| 分歧点 | 常见说法 | 处理方式 |
|---|---|---|
| 定级责任 | 云商已定级，租户不用定 | 租户按业务影响单独定级并备案 |
| 日志获取 | 平台日志无法提供 | 合同约定提供方式与时限，必要时留存导出记录 |
| 漏洞修复 | 谁负责修不确定 | 按层划分：宿主机与虚拟化归平台，组件与业务归租户 |
| 事件通报 | 事后才知道平台侧事件 | 约定通报时限、联系人与事件报告格式 |
定级材料中写明平台与租户的责任分界，可作为测评时责任界定的依据，减少口头解释带来的反复。
材料联动：向云服务商索取平台安全能力说明与测评结论电子副本，作为租户定级与测评的支撑材料留存。