云计算扩展要求要点
使用云服务的信息系统，除满足通用要求外还要叠加云计算安全扩展要求，关注点集中在：云服务商与客户的责任边界、虚拟化与宿主机安全、镜像与快照保护、客户数据的隔离与保护，以及与集中管控要求的衔接。云平台与云上业务可以分别定级备案，责任划分以服务模式（基础设施即服务、平台即服务、软件即服务）为依据。
基本信息
| 适用对象 | 云平台与云上业务系统（按服务模式划分范围） |
|---|---|
| 新增关注 | 基础设施位置、虚拟化安全、镜像与快照保护、客户数据保护、集中管控衔接 |
| 责任划分 | 服务商与客户按服务模式分担，以合同与服务水平协议为依据 |
| 定级备案 | 云平台与云上系统可分别定级备案 |
| 证据来源 | 云服务商的安全能力说明、合规报告与合同条款 |
云上责任划分检查点
云上责任划分检查点
# 租户侧（客户自己负责，检查重点）
账号与权限、应用与数据、日志获取与审计、安全组与访问控制
# 平台侧（服务商负责，索取证明材料）
虚拟化、宿主机、网络与物理设施、平台侧审计与运维
# 共同关注
合同与服务水平协议中写明安全责任、事件通报与配合义务落地动作
- 确认服务模式：明确哪些安全能力由服务商提供、哪些要自己建设
- 获取证明材料：云平台的安全测评与合规材料要作为自身测评的支撑材料
- 租户侧自查：账号、权限、日志、网络策略与数据保护仍要按条款逐项核对
- 日志可得性：确认能获取所需日志并转发到自建或指定的日志平台
- 数据位置：确认数据存储位置与备份策略，必要时评估数据出境相关要求
云上系统最常见的问题不是平台不安全，而是租户侧配置错漏：安全组过宽、对象存储公开可读、密钥写在代码里，这些都属于自查范围。
完全依赖云服务商是误区：租户侧的身份鉴别、访问控制与审计仍需要自行建设并留证据，服务商的安全能力不能替代这些条款。