四部委联合拓展云计算服务安全评估
为政务上云打造安全可控环境
云计算安全是指一系列用于保护云计算数据、应用和有关结构的方案、技术和控制的集合，可以促进云计算革新进步，有益于解决投资分散、重复建设、产能过剩、资源整理不均和建设缺少协同等问题
《云计算服务安全评估方法》的发布推行有益于规范云服务商的安全指标，提升服务水平；有益于增强党政机关、企业将有关业务向云计算平台迁移的信心
落实评估方法的重点在于拟定严格的规范，由于强制性标准是保障云计算安全最基础的门槛；同时要有独立、公正、权威的第三方评估机构，评估职员应具备好的专业常识
不久前，国家网络信息办公室、国家进步和改革委员会、工业和信息化部、财政部联合发布《云计算服务安全评估方法》(以下简称《评估方法》)。《评估方法》提出，云计算服务安全评估重点评估内容包含云平台技术、商品和服务Supply chain安全状况等。《评估方法》自今年9月1日起实行。
伴随云计算的不断进步，安全可控已经成为最重要需要。关于《评估方法》发布的积极意义，《法制日报》记者采访了业内有关专家。
云计算进步提速
云安全方位临挑战
何为云计算？据北京师范大学法学院教授刘德良介绍，因为每一台电脑在运算和存储时都会导致资源浪费，因此就出现了专门的服务商为计算机提供统一解决存储和运算的云计算业务。
“以生活问题为例，假如每一家人都由自己建电厂、挖水井，那样效率就会非常低。假如由专门的人来修电厂、打造自来水公司，每家每户依据我们的需要烧钱购买，如此就能达到资源整理、提升效率的目的。”刘德良说。
而所谓云计算安全，据中国传媒大学法律系副主任郑宁介绍，是指一系列用于保护云计算数据、应用和有关结构的方案、技术和控制的集合，是计算机安全、互联网安全的子范围。或者更广泛来讲，是是信息安全的子范围。云计算安全可以促进云计算革新进步，有益于解决投资分散、重复建设、产能过剩、资源整理不均和建设缺少协同等问题。
信通院于2025年8月发布的《云计算安全白皮书(2025)》(以下简称《白皮书》)显示，国内云计算安全处于初步进步阶段，规模尚小，但可见空间已有50亿元，将来进步空间将会更大。一方面，以BAT为代表的网络企业推出云计算安全防御手段，并着手打造新的云计算安全生态圈；其次，国内云计算安全市场回收与结盟更加频繁，海量大型IT公司通过各种方法不断进步自己云计算安全业务，健全技术、市场和商品。
“近年来，云计算安全行业的范围不断扩大，各大云计算服务商纷纷进军云安全市场，云安全已成为一个百花齐放的生态系统，但这也给云安全行业带来了新的挑战。”郑宁说。
《白皮书》觉得，在安全服务能力方面，云计算服务商的表现参差不齐，部分厂家“重进步、轻安全”的思想常见存在，安全工作处于被动应付状况，对安全风险的把控能力不足。在业务安全方面，云计算服务商的业务安全风控商品在功能、性能和自己安全上均没统一的技术需要，商品面临着防护失效的风险。在人才培养方面，云计算服务的特殊性对人才能力提出更高的需要，云计算安全人才需要呈现出井喷趋势，云计算安全人才极度匮乏。
刘德良觉得，影响云计算安全主要有三大原因。“第一是人的观念意识，要看重云计算安全有关规范的构建是不是健全，是不是能切实落实。第二是软件安全性，要衡量软件本身是不是存在漏洞和缺点。最后是硬件设施的安全，主要看硬件设施的存放环境。”
在中国科学院信息工程研究所研究员、信息安全国家重点实验室主任林东岱看来，现在，国内的云计算市场还不够规范，而云计算环境下数据比较集中，一旦出现问题，会导致比较紧急的害处。因此，《评估方法》颁布很准时必要。
评估企业安全性
解决信息不对称
《白皮书》觉得，云计算服务商和云计算用户应该一同解决问题，不同风险点下分担责任状况不同，应根据安全合规的思路梳理业务步骤，明确业务运营每个环节所可能面临的重点风险和防护目的，将有关的安全工作分配到对应的主责团队和配合团队，如此才能做到真的的责任共担、安全联动。因此，携手云计算服务商和云计算用户一同打造安全责任矩阵，通过明确责任、顶层设计、持续改进、一同分担的方法才能将云计算模式下的安全防护工作做得更好更有效。
据了解，四部委联合拓展云计算服务安全评估，是为了提升党政机关、重点信息基础设施运营者采购用云计算服务的安全可控水平，并减少采购用云计算服务带来的互联网安全风险，与增强党政机关、重点信息基础设施运营者将业务及数据向云服务平台迁移的信心。
林东岱觉得，《评估方法》的发布主要有两方面要紧意义：一方面，规范云服务商的安全指标，提升服务水平；其次，提升党政机关、企业运营者采购云计算服务的安全可控水平，增强党政机关、企业将有关业务向云计算平台迁移的信心。
据郑宁介绍，在政策环境方面，近几年，国内云计算产业进步、行业推广、市场监管等要紧环节的宏观政策环境已经日趋健全。早在2025年，网信办即公布了《关于加大党政部门云计算服务互联网安全管理的建议》，明确指出对为党政部门提供云计算服务的服务商，参照有关互联网安全国家标准，组织第三方机构进行互联网安全审察。公安部发布的《互联网安全等级保护基本需要 第二部分-云计算安全扩展需要》中详细拟定了云计算评测的具体推行内容。
刘德良告诉《法制日报》记者，国家机关、企业对云计算安全性的需要不同，譬如一些保密性强的机关、企业需要云服务商提供标准更高、更安全的服务，也就意味着机关、企业需要为此付出更高的价格。但因为有些机关、企业可能不知道云计算服务商，不了解其安全性是不是靠谱。因此，交易双方之间存在的信息不对称，总是会带来一些安全风险。
郑宁觉得，对于党政机关来讲，将党政机关的政务外网和网络地区上云不仅能够解决信息孤岛问题，同时能减少党政机关维护网站的本钱，提升政务网站的互联网安全性。但上云也意味着党政机关将我们的政务网站数据从原有些当地存储移至云端存储。对于各地政府来讲，数据安全的隐患可能有所增加，毕竟数据以前是放在我们的手上，目前可能要放到云服务商那里。
“假如云平台遭受攻击，党政机关的数据也会因此遭到损害，所以党政机关选择一个可控性、安全性高的云平台至关要紧。《评估方法》规定的程序所形成的评估结果，可以为党政机关选择云平台提供要紧参照。《评估方法》的颁布赋予了云服务商主动申请安全评估的权利，而在此之前云服务商只能被动同意有关部门的安全审察。”郑宁说。
评估监督相结合
确保云计算安全
《评估方法》明确，云计算服务安全评估坚持事前评估与持续监督相结合，保障安全与促进应用相统一，依据有关法律法规和政策规定，参照国家有关互联网安全指标，发挥专业技术机构、专家用途，客观评价、严格监督云计算服务平台的安全性、可控性，为党政机关、重点信息基础设施运营者采购云计算服务提供参考。
《评估方法》提出，云计算服务安全评估重点评估内容为：云平台管理运营者的征信、经营情况等基本状况；云服务商职员背景及稳定性，尤其是可以访问顾客数据、可以采集有关元数据的职员；云平台技术、商品和服务Supply chain安全状况；云服务商安全管理能力及云平台安全防护状况；顾客迁移数据的可行性和便捷性；云服务商的业务连续性；其他可服务安全的原因。
“《评估方法》的发布推进了云安全技术研发，帮助政务云市场的飞速发展，提高各级政府推进政务上云的信心。同时，《评估方法》可以促进云服务安全保障体系进步健全，对评估重点工作、评估原则、评估步骤都作出了详细说明，是对《云计算服务安全指南》《云计算服务安全能力需要》的进一步深化和落实。”郑宁说。
“云计算安全评估就是为知道决信息不对称带来的问题，对云服务商进行评估认证，包含对云服务商的管理职员、技术水平、经营情况等多方面进行评估。就像旅游景点的认证一样，有一个从A级到5A级的划分。在评估中安全认证较低的云服务商就会积极主动提升我们的服务标准。对于交易双方而言，不只有益于机关、企业作出合理选择，也有益于督促服务商提供更多的优质服务。”刘德良说。
刘德良觉得，落实《评估方法》主要有两个要点：一是要拟定严格的规范。强制性的规范是保障云计算安全最基础的门槛，云计算安全的规范要科学合理，云服务商可以结合我们的需要拟定愈加详细的规范。二是要有一个独立、公正、权威的第三方评估机构，保证评估职员具备好的专业常识，职员结构要合理。
据悉，云计算服务安全评估主要参照《云计算服务安全能力需要》《云计算服务安全指南》，其中《云计算服务安全能力需要》从系统开发与Supply chain安全、系统与通信保护、访问控制、配置管理、维护、应对响应与灾备、审计、风险评估与持续监控、安全组织与职员、物理与环境安全等方面提出需要。
云计算服务安全评估主要环节包含申报、受理、专业技术机构评价、云计算服务安全评估专家组综合评价、云计算服务安全评估工作协调机制审议、国家网络信息办公室核准、评估结果发布、持续监督等环节。
“评估过程应该注意保护被评估方的商业秘密和常识产权，要将事前评估与持续监督相结合。云计算服务安全评估应该坚持事前评估与持续监督相结合，保障安全与促进应用相统一，发挥专业技术机构、专家用途，客观评价、严格监督云计算服务平台的安全性、可控性，为党政机关、重点信息基础设施运营者采购云计算服务提供参考。要使用通过安全评估的云服务商并对其安全服务等级资质进行核查，选云服务商时不只要关注其技术能力、商品性能，同时也要关注云服务商长期运维和服务能力。要加大对已搭建的云平台监管、按期自行或委托第三方拓展安全检查和性能测试等工作。”郑宁说。
“落实《评估方法》，确保云计算安全，第一要提升安全意识，在采购云计算服务时要认真考量云服务商服务的靠谱性及系统的安全性；第二要有一个权威的测评机构，对云服务商的安全性进行评估，给予客观评价。”林东岱说。
林东岱觉得，在评估过程中，还应该注意以下问题：企业的资质和征信状况；接触敏锐数据的职员背景；云平台的技术、商品、服务Supply chain的状况；云服务商的安全管理能力和运营能力；云服务商业务的连续性。 (本报记者 杜 晓 本报实习生 景千姿)
来源：法制日报