文档介绍：信息安全技术网络安全等级保护测评要求
第2部分：云计算安全扩展要求
范围
本部分规定了对不同等级的等级保护对象是否符合GB/-20XX所进行的测试评估活动的要
求，包括对第二级和运行任意软件，包括操作系统和应用程序。

软件即服务softwareasaservice
提供给客户的服务是运营商运行在云计算基础设施上的应用程序，用户可以在各种设备上通过客户端界面访问，如浏览器。

平台即服务platformasaservice
提供给消费者的服务是把客户采用提供的开发语言和工具（例如收购的应用程序部署到供应商的云计算基础设施上去。
Java，python,.Net等）开发的或
等级保护测评概述

云计算安全等级保护测评（以下简称等级测评）的概念性描述框架由两部分构成：单项测评和整体测评，图1给出了等级测评框架。
图1

测评框架
针对基本要求各安全要求项的测评称为单项测评，单项测评是等级测评工作的基本活动，支持测评
结果的可重复性和可再现性。单项测评是由测评指标、测评对象、测评实施和单元判定构成。
测评指标包括《信息安全技术信息系统安全等级保护基本要求第2部分：云计算安全扩展基本要
求》第四级目录下的要求项。
测评对象是指测评实施的对象，即测评过程中涉及到的制度文档、各类设备及其安全配置和相关人
员等。对于框架来说，每一个被测安全要求项（不同级别）均有一组与之相关的预先定义的测评对象（如
制度文档、各类设备设施及相关人员等）。
制度文档是指针对等级保护对象所制定的相关联的文件（如：政策、程序、计划、系统安全需求、
功能规格及建筑设计）。各类设备是指安装在等级保护对象之内或边界，能起到特定保护作用的相关部
件（如：硬件、软件、固件或物理设施）。相关人员或部门，是指应用上述制度、设备及安全配置的人。
测评实施是一组针对特定测评对象，采用相关测评方法，遵从一定的测评规程所形成的，用于测评
人员使用的确定该要求项有效性的程序化陈述。测评实施主要由测评方法和测评规程构成。其中测评方
法包括：访谈、检查和测试（说明见术语），测评人员通过这些方法试图获取证据。上述的评估方法都
由一组相关属性来规范测评方法的测评力度。这些属性是：广度（覆盖面）和深度。对于每一种测评方
法都标识(定义）了唯一属性，深度特性适用于访谈和检查，而覆盖面特性则适用于全部三种测评方法，
具体的描述参见附录A。上述三种测评方法（访谈、检查和测评）的测评结果都用以对安全控制的有效
性进行评估。测评规程是各类测评方法操作使用的过程、步骤，测评规程实施完成后，可以获得相应的
证据。
结果判定描述测评人员执行测评实施并产生各种测评输出数据后，如何依据这些测评输出数据来判
定被测系统是否满足测评指标要求的原则和方法。通过测评实施所获得的所有证据都满足要求则为符合，不全满足要求则该单项要求不符合。
整体测评是在单项测评基础上，分别从安全控制点测评，控制点间和层面间三个角度分别进行测评。
各部分具体描述参见第8章“整体测评”。

本标准应与GB/-20XX配合使用，对使用云计算相关技术的平台及系统，应根据实际情况
抽取出对应GB/-20XX、GB/-20XX中要求项的测评要求，并按照这些测评要求开发
测评指导书。同时，GB/-20XX中，对于云管理平台、虚拟机监视器、虚拟网络设备、虚拟安
全设备等云计算环境下新增测评对象同样具有安全控制要求，应参照GB/-20XX中相应测评要
求开发其测评指导书，如：对云管理平台，可参照应用和数据安全部分；对虚拟机监视器，可参照设备
和计算安全部分；对虚拟网络设备、虚拟安全设备，可参照网络和通信安全部分。
本标准第5章到第7章分别描述了第二级等级保护对象、第三级等级保护对象和第四级等级保护
对象所有单项测评的内容，在章节上分别对应国标GB/-20XX的第5章到第7章。在国标
GB