1 范圍

      本標(biāo)準(zhǔn)確定了云計算服務(wù)運行監(jiān)管框架，規(guī)定了安全控制措施監(jiān)管、變更管理監(jiān)管和應(yīng)急響應(yīng)監(jiān)管的內(nèi)容及監(jiān)管活動，給出運行監(jiān)管實現(xiàn)方式的建議。

      本標(biāo)準(zhǔn)適用于對政府部門使用的云計算服務(wù)進行運行監(jiān)管，也可供重點行業(yè)和其他企事業(yè)單位使用云計算服務(wù)時參考。

2 規(guī)范性引用文件

      下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 31167-2014 信息安全技術(shù) 云計算服務(wù)安全指南

      GB/T 31168-2014 信息安全技術(shù) 云計算服務(wù)安全能力要求

3 術(shù)語和定義

      GB/T 31167-2014界定的以及下列術(shù)語和定義適用于本文件。

3.1

      運行監(jiān)管方 operation supervision organization

      獨立于云計算服務(wù)相關(guān)方，且具有專業(yè)技術(shù)能力，開展運行監(jiān)管的機構(gòu)。

4 云計算服務(wù)運行監(jiān)管目的及框架

4.1 運行監(jiān)管目的

      開展云計算服務(wù)運行監(jiān)管的目的是保障：

      a）云計算服務(wù)持續(xù)滿足國家相關(guān)法律法規(guī)、行政命令、政策和標(biāo)準(zhǔn)；

      b）云計算服務(wù)相關(guān)方能夠及時、有效地掌握云計算平臺的運行質(zhì)量和安全狀態(tài)；

      c）云計算服務(wù)的安全風(fēng)險可控；

      d）云計算服務(wù)的安全能力持續(xù)滿足要求。

      從而確保GB/T 31167-2014中8.1提出的運行監(jiān)管主要目標(biāo)。

4.2 運行監(jiān)管框架

      云計算服務(wù)運行監(jiān)管框架是基于國家標(biāo)準(zhǔn)GB/T 31167-2014和GB/T 31168-2014中的運行監(jiān)管要求而提出的。云計算服務(wù)運行監(jiān)管框架如圖1所示。

圖1 運行監(jiān)管框架

      云服務(wù)商應(yīng)對云計算服務(wù)實施安全控制、變更管理及應(yīng)急響應(yīng)等方面的管理和技術(shù)措施，并為運行監(jiān)管方提供已實施相關(guān)管理和技術(shù)措施的支撐材料，形成交付件（對監(jiān)管活動起到佐證作用的任何實體，包括但不限于各種文檔、圖片、錄音、錄像、實物、數(shù)據(jù)等，并以紙質(zhì)、電子等形式有效保存），附錄A給出了運行監(jiān)管交付件參考模版，附錄B給出了安全控制措施運行監(jiān)管列表。

      運行監(jiān)管方對云服務(wù)商的交付件進行分析審核、評估驗證等監(jiān)管活動，形成監(jiān)管結(jié)果告知云計算服務(wù)相關(guān)方，必要時應(yīng)根據(jù)監(jiān)管結(jié)果給出合理的意見和建議。

4.3 運行監(jiān)管的角色及責(zé)任

4.3.1 運行監(jiān)管角色

      運行監(jiān)管框架包含兩個主要角色：

      a）云服務(wù)商。通過國家網(wǎng)絡(luò)安全審查并為政府部門提供服務(wù)的云服務(wù)商。

      b）運行監(jiān)管方。云服務(wù)客戶的管理部門（例如：政府信息安全管理部門、云服務(wù)客戶的主管部門等）指定或委托的運行監(jiān)管方。

4.3.2 云服務(wù)商的責(zé)任

      云服務(wù)商應(yīng)確保：

      a）云計算平臺中的安全控制措施持續(xù)有效；

      b）云計算平臺中的重大變更風(fēng)險可控；

      c）云計算平臺中的應(yīng)急響應(yīng)及時充分；

      d）向運行監(jiān)管方按約定的內(nèi)容、形式、頻率、人工或自動機制等提交運行監(jiān)管所需交付件，并確保交付件真實可靠；

      e）根據(jù)運行監(jiān)管方反饋的監(jiān)管結(jié)果對相關(guān)的管理和技術(shù)措施進行整改。

      從而履行GB/T 31167-2014中8.2.3規(guī)定的云服務(wù)商在運行監(jiān)管中的責(zé)任。

4.3.3 運行監(jiān)管方的責(zé)任

      運行監(jiān)管方應(yīng)：

      a）對云計算服務(wù)的安全控制措施、重大變更和應(yīng)急響應(yīng)等進行運行監(jiān)管；

      b）與云服務(wù)商協(xié)商運行監(jiān)管接口，即交付件的內(nèi)容、形式、頻率和人工或自動機制等；

      c）確保云服務(wù)商提交的交付件安全，不得將交付件、涉及云服務(wù)商的知識產(chǎn)權(quán)和商業(yè)秘密的材料提供給第三方；

      d）對云服務(wù)商提交的交付件進行分析及審核；

      e）根據(jù)分析、審核結(jié)果對云計算服務(wù)的安全能力進行評估，必要時應(yīng)以抽查、核查及測試等方式對交付件中的內(nèi)容進行驗證；

      f）根據(jù)評估驗證結(jié)論，形成評估報告并告知云計算服務(wù)相關(guān)方，必要時應(yīng)給出整改意見和建議。從而幫助云服務(wù)客戶履行GB/T 31167-2014中8.2.2規(guī)定的客戶在運行監(jiān)管活動中的責(zé)任。

5 安全控制措施監(jiān)管

5.1 安全控制措施內(nèi)容

      安全控制措施涉及的主要內(nèi)容包括但不限于：

      a）系統(tǒng)開發(fā)與供應(yīng)鏈安全；

      b）系統(tǒng)與通信保護；

      c）訪問控制；

      d) 配置管理；

      e) 維護；

      f) 應(yīng)急響應(yīng)與災(zāi)備；

      g）審計；

      h) 風(fēng)險評估與持續(xù)監(jiān)控；

      i) 安全組織與人員；

      j) 物理與環(huán)境安全。

5.2 安全控制措施監(jiān)管環(huán)節(jié)

      安全控制措施的監(jiān)管環(huán)節(jié)包括：

      a）運行監(jiān)管方制定安全控制監(jiān)管策略與計劃，明確監(jiān)管目的與要求、監(jiān)管方法與手段，細(xì)化安全控制措施的監(jiān)管內(nèi)容、交付件類型、格式及頻率等；

      b）云服務(wù)商根據(jù)運行監(jiān)管方制定的安全控制措施監(jiān)管策略與計劃，對云計算平臺的安全狀態(tài)實施持續(xù)監(jiān)控，提交有關(guān)安全控制措施有效性的相關(guān)交付件；

      c）運行監(jiān)管方根據(jù)云服務(wù)商提交的交付件，對云計算平臺的安全控制措施進行分析、審核，必要時，應(yīng)對安全控制措施的有效性進行評估，并將結(jié)果告知云計算服務(wù)相關(guān)方。

6 變更管理監(jiān)管

6.1 變更管理內(nèi)容

      變更管理涉及的主要內(nèi)容包括但不限于（見GB/T 31167-2014中8.4.2重大變更監(jiān)管）：

      a）鑒別（包括身份鑒別和數(shù)據(jù)源鑒別）和訪問控制措施的變更；

      b）數(shù)據(jù)存儲實現(xiàn)方法的變更；

      c）備份機制和流程的變更；

      d）與外部服務(wù)商網(wǎng)絡(luò)連接的變更；

      e）安全控制措施的變更；

      f）已部署的商業(yè)軟硬件產(chǎn)品的變更；

      g）云計算服務(wù)分包商的變更，例如 PaaS 、SaaS服務(wù)商更換IaaS服務(wù)商；

      h）云計算服務(wù)運行主體的變更；

      i) 云計算平臺軟件版本的變更；

      j）云計算平臺基礎(chǔ)設(shè)施的變更；

      k）系統(tǒng)IT架構(gòu)的變更。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請到相關(guān)授權(quán)網(wǎng)站購買標(biāo)準(zhǔn)正版。