信息项目安全技术云计算服务项目安全指南
信息安全技术网络安全等级保护云计算测评指引
ICS xx.xxxL xx团体标准T/ISEAA XXX-2019信息安全技术网络安全等级保护云计算测评指引Information security technology—Testing and evaluation guideline of cloud computing forclassified production of cybersecurity（征求意见稿）20XX -XX-XX 发布20XX -XX-XX 实施中关村信息安全测评联盟发布目次前言 (II)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 概述 (2)5 云计算等级测评实施 (3)6 云计算等级测评问题分析 (7)7 云计算等级测评结论分析 (8)附录A 被测系统基本信息表（样例） (10)附录B 云计算平台服务（样例） (12)前言为配合国家网络安全等级保护制度2.0全面推进，更好的指导等级测评机构在云计算环境下开展等级测评工作，加强、规范云计算安全等级测评工作的独立性、客观性、合规性及有效性，依据网络安全等级保护2.0相关系列标准，制定网络安全等级保护云计算安全等级测评指引，本指引遵从下列标准规范：—— GB/T 22239—2019 信息安全技术网络安全等级保护基本要求；—— GB/T 28448—2019 信息安全技术网络安全等级保护测评要求；—— GB/T 28449—2018 信息安全技术网络安全等级保护测评过程指南。
本标准由中关村信息安全联盟提出并归口。
本标准起草单位：公安部第三研究所（公安部信息安全等级保护评估中心）、阿里云计算有限公司、深信服科技股份有限公司、电力行业信息安全等级保护测评中心、国家信息技术安全研究中心、国家网络与信息系统安全产品质量监督检验中心、中国金融电子化公司测评中心、交通运输信息安全中心有限公司、信息产业信息安全测评中心、公安部第一研究所、中国信息通信研究院、国家信息中心、教育部信息安全等级保护测评中心、国家计算机网络与信息安全管理中心、安徽省信息安全测评中心、广西网信信息安全等级保护测评有限公司、中国电信集团系统集成有限责任公司、成都市锐信安信息安全技术有限公司。
信息安全技术云计算服务安全指南
信息安全技术云计算服务安全指南云计算是近年来迅速发展的一项技术，它将计算资源和服务透过互联网交付给用户。
随着云计算的广泛应用，安全问题也日益引起关注。
为了确保云计算服务的安全性，以下为云计算服务安全指南。
1.用户身份验证与访问控制用户身份验证是云计算服务安全的第一步。
云计算服务提供商应该采用强密码策略，并要求用户使用多重身份验证技术。
此外，提供商应该实施访问控制机制，确保只有授权用户可以访问资源。
2.数据加密与隔离云计算服务应该提供数据加密机制来保护用户数据的机密性。
数据加密可以在数据传输和存储过程中都进行。
此外，云计算服务提供商应该实施物理和虚拟的数据隔离措施，确保不同用户的数据不会混淆或泄露。
3.网络安全云计算服务提供商应该部署防火墙和入侵检测系统，以及其他网络安全设备，以保护网络免受外部攻击。
此外，提供商应该进行网络监控，及时发现和处理网络安全事件。
4.虚拟化安全云计算服务通常使用虚拟化技术来提供资源的共享和管理。
提供商必须确保虚拟化环境的安全，并采取措施来防止虚拟机之间的攻击。
此外，提供商应该定期检查和更新虚拟化软件和补丁，以确保其安全性。
5.数据备份与恢复云计算服务提供商应该定期备份用户数据，并提供数据恢复机制。
备份数据应该存储在安全可靠的地方，以防止数据丢失或损坏。
此外，提供商应该测试数据恢复机制的可行性，以确保在必要时能够快速恢复数据。
6.安全审计与监控云计算服务提供商应该实施安全审计和监控机制，以监测和检测不正常的行为或安全事件。
提供商还应该跟踪和记录用户活动日志，并定期审查这些日志以识别潜在的安全风险。
7.服务级别协议（SLA）云计算服务提供商应该与用户签订明确的服务级别协议，详细规定服务可用性、数据保护、安全措施等方面的要求。
SLA应该明确定义各方的责任和义务，以确保用户的安全需求得到满足。
总之，云计算服务安全指南包括用户身份验证与访问控制、数据加密与隔离、网络安全、虚拟化安全、数据备份与恢复、安全审计与监控以及服务级别协议等方面的建议。
信息安全技术 云计算服务安全指南
信息安全技术云计算服务安全指南信息安全技术云计算服务安全指南1、引言1.1 背景1.2 目的1.3 范围1.4 参考文档2、云计算基础概念2.1 云计算定义2.2 云服务模型2.3 云部署模式3、云计算服务安全需求3.1 机密性需求3.1.1 数据加密3.1.2 访问控制3.2 可用性需求3.2.1 容灾备份3.2.2 服务可扩展性3.3 完整性需求3.3.1 数据完整性保护3.3.2 审计与日志记录3.4 认证与授权需求3.4.1 身份认证3.4.2 权限管理3.5 隐私保护需求4、云计算服务安全控制4.1 安全策略与规范4.2 安全配置管理4.3 资源访问控制4.4 数据保护与加密4.5 安全审计与日志管理4.6 恶意行为检测与防范4.7 漏洞管理与补丁管理5、云计算服务供应商选择与评估5.1 供应商背景调查5.2 安全管理体系评估5.3 服务协议审查5.4 服务可用性与性能评估6、云计算服务合规性要求6.1 法律法规与标准要求6.2 个人隐私保护合规6.3 数据保护合规6.4 电子商务合规7、云计算服务安全实施与维护7.1 安全培训与意识提升7.2 安全事件响应7.3 安全评估与渗透测试7.4 安全漏洞修复与更新7.5 系统监控与报警8、云计算服务安全风险管理8.1 风险识别与评估8.2 风险监测与控制8.3 突发事件应急响应附件：2、云计算安全检查表法律名词及注释：1、数据保护法：指保护个人数据及相关权益的法律法规。
2、信息安全法：指维护国家安全和社会公共利益，防止泄露、损毁、窃取、篡改信息的法律法规。
3、GDPR（General Data Protection Regulation）：欧洲通用数据保护条例，指欧盟关于个人数据保护和隐私的法规。
云计算服务安全指南
问访的源资件硬理物理管和供提件组些这用商务服云，成构件组统系的象 抽件软行进源资算计理物对，上之层源资件硬在署部由层制控象抽源资。
素元础基算计理物他其及）等 口接和接链络网、机换交、墙火防、器由路（件组络网、）等盘硬（件组储存、）等存内、 （器务 服括包要主，源资算计理物的有所括包层源资件硬。
层制控象抽源资和层源资件硬括包施设础基云施设础基云。
构机估评业专的户客和商务服云于立独构机估评方三第cloud computing service Third Party Assessment Organizations (3PAO)。
务服的供提算计云用使商务服云由 务服算计云 。
方与参的系关业商立建商务服云和务服算计云用使为户客consumer。
户客给付交源资的算计云将络网 过通，件软及施设础基算计的算计云撑支、营运、理管商务服云。
方与参的务服算计云供提户客为商务服云。
等备设储存和件软、络网、统系作操、器务服括包源资算计：注 。
源资算计的供 提商务服云由理管、给供助自态动需按户客，下式模该在，式模的务服源资算计供提络网过通种一算计云。
准标本于用适义定和语术列下及以的立确语术 3范规计设房机统系息信子电 求要本基理管全安息信门部府政 术技全安息信 。
件文本于用适）单改修的有所括包（本版新最其，件文用引的期日注不是凡。
件 文本于用适本版的期日注所仅，件文用引的期日注是凡。
的少可不必是用应的件文本于对件文列下 。
考参位单业事企他其供可也，务服算计云用使和购采业行点重和门部府政于用适，导指全安 的期周命生全供提务服算计云的化会社用采是别特 务服算计云用采业行点重和门部府政为准标本 ， 。
求要术技和理管全安的段阶各期周命生的务服算计云及，求要本基理管全安 的务服算计云用采业行点重和门部府政了出提 险风全安要主的临面能可务服算计云了析分准标本 ，围范 1GB/T 29245-2012 GB 50174-2008件文用引性范规 23.33.53.13.63.23.4GB/T 25069-2010CPUcloud computingcloud service providercloud infrastructure信息安全技术 云计算服务安全指南12。
现行国家信息安全技术标准
Information security technology—Encryption and signature message syntax for electronic document
33
GB/T 31509—2015
信息安全技术信息安全风险评估实施指南
Information security technology—Guide of implementation for information security risk assessment
35
GB/T 31508-2015
信息安全技术公钥基础设施数字证书策略分类分级规范
Information security techniques—Public key infrastructure—Digital certificate policies classification and grading specification
30
GB/T 32213—2015
信息安全技术公钥基础设施远程口令鉴别与密钥建立规范
Information security technology—Public key infrastructure—Specifications for remote password authentication and keyestablishment
信息技术安全技术行业间和组织间通信的信息安全管理
Information technology—Security techniques—Information security management for inter—sector and inter-organizational communications
国家标准《信息安全技术ICT供应链安全风险管理指南》(草案)编制说明
国家标准《信息安全技术ICT供应链安全风险管理指南》（草案）编制说明一、工作简况1.1任务来源本项目为2012年的标准编制项目，名为“信息安全技术 ICT供应链安全风险管理指南”（以下简称《供应链指南》），计划号为20120528-T-469。
该标准规定了ICT供应链安全风险管理的过程和控制措施。
本项目由中国电子技术标准化研究院负责具体实施，参与起草单位包括中国科学院软件研究所、华为技术有限公司、联想（北京）有限公司、浙江蚂蚁小微金融服务集团股份有限公司、阿里巴巴（北京）软件服务有限公司、北京京东叁佰陆拾度电子商务有限公司、中国信息通信研究院、浪潮电子信息产业股份有限公司、微软（中国）有限公司、国家信息技术安全研究中心、英特尔（中国）有限公司、阿里云计算有限公司、中国信息安全认证中心、清华同方计算机有限公司、中国科学院信息工程研究所信息安全国家重点实验室。
1.2主要工作过程1. 2012年3月，成立标准编制组考虑到信息通信技术产品和服务的产业现状，标准编制组广泛吸收了国内的研究机构、第三方测评机构、信息通信技术企业参与到标准研制工作，同时按照相关程序，接受了部分国外企业作为观察成员，参与标准研制过程。
2. 2012年4月至2013年6月，调研国内外供应链安全标准现状研究现有国内外供应链安全相关标准，分析各自特点，学习借鉴，主要包括：1）《供应链风险管理指南》（GB/T 24420）2）《信息技术安全技术信息安全风险管理》（GB/T 31722，即ISO/IEC 27005）3）《信息安全技术信息安全风险管理指南》（GB/Z 24364）4）《信息安全技术信息安全风险评估规范》（GB/T 20984）5）《信息安全技术信息安全风险评估实施指南》（GB/T 31509）6）《信息技术安全技术信息安全管理实用规则》（GB/T 22081，即ISO/IEC27002）7）《信息安全技术云计算服务安全能力要求》（GB/T 31168）8）《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239）9）《信息安全技术政府部门信息安全管理基本要求》（GB/T 29245）10）《信息安全技术信息技术产品供应方行为安全准则》（GB/T 32921）11）《Information technology - Security techniques - Code of practice for Information security controls》(ISO/IEC 27002) 12）《Information technology - Security techniques - Information security for supplier relationships》（ISO/IEC 27036）13）《Systems and software engineering - Systems and software assurance》（ISO/IEC 15026）14）《Information Technology - Open Trusted Technology Provider TM Standard(O-TTPS) - Mitigating maliciously tainted and counterfeit products》（ISO/IEC 22043）15）《Supply Chain Risk Management Practices for Federal Information Systems and Organizations》（NIST SP 800-161）16）《Security and Privacy Controls for Federal Information Systems and Organizations》（NIST SP 800-53）3. 2013年7-9月，调研国内信息通信技术产品和服务供应链安全需求与产业现状2013年7-9月，与国内外信息通信技术产品和服务厂商、第三方测评机构等代表进行研讨，并到个别厂商和政府机构实地调研情况，了解信息通信技术产品和服务供应链的管理现状与安全需求。
2022全国职业院校技能大赛赛项规程(高职组)——云计算
全国职业院校技能大赛赛项规程一、赛项名称赛项编号：GZ-2022040赛项名称：云计算英文名称：Cloud Computing赛项组别：高职组赛项归属产业：电子信息二、竞赛目的1.以大赛检验教育教学成效本赛项内容基于专业教学标准及人才培养目标，全面考察高职学生云平台规划设计、云平台部署、虚拟桌面、云存储、云网络、云安全、容器、自动化运维、公有云服务申请使用、云服务部署运维等前沿知识、技术技能以及职业素养能力；全面检验学生在云计算技术应用方面的工程实践能力和创新能力；以高水平赛事引领职业教育高质量发展，发挥树旗、导航、定标、催化作用。
2.以大赛引领云计算相关专业教育教学改革本赛项以专业教学标准及人才培养方案为基础，对接1+X职业技能等级证书，按照行业、企业云计算工程技术人员岗位工作过程设计竞赛内容，培养学生云计算实践技能及创新能力，提升学生职业素养和就业能力，推进“岗课赛证”综合育人；以赛促教，促进“双师型”师资队伍建设、课程建设，引领云计算技术应用专业人才培养模式与教法的改革探索；以赛促学，提升学生从事云计算相关岗位的适岗性，促进学生学习的主动性，注重学习实际工作任务的真实性和系统性；以赛促改，促进高职院校对照赛项找差距，逐步完善人才培养的针对性、有效性和专业建设水平。
3.以中国职业技能向世界标准看齐本赛项紧跟云计算主流技术发展趋势，赛项标准参照国际标准，借鉴世界技能大赛办赛机制，参考世界技能大赛关于云计算赛项的技术文件，瞄准世界最高技能水平，以国际标准培养具有大国工匠素质的技能人才。
4.以大赛营造崇尚技能的社会氛围通过本赛项，在信息产业领域和高职院校大力弘扬工匠精神，促进产教融合、校企合作、产业发展，展示职教改革成果及师生良好精神面貌，引导社会尊重、关心技能人才的培养和成长，宣传技能人才的重要贡献和重大作用，在全社会倡导“崇实尚业”之风，营造尊敬技能人才的社会氛围，让尊重劳动、尊重技术、尊重创造成为社会共识，引导广大学子走技能成才、技能报国之路。
云计算服务安全能力要求
3.2
云服务商cloud service provider
为个人、组织提供云计算服务的企事业单位。云服务商管理、运营支撑云计算服务的计算基础设施及软件,通过网络将云计算服务交付给客户。
—-在SaaS中，云服务商需要承担物理资源层、资源抽象和控制层、操作系统、应用程序等的相关责任。客户则需要承担自身数据安全、客户端安全等的相关责任；
——在PaaS中，云服务商需要承担物理资源层、资源抽象和控制层、操作系统、开发平台等的相关责任。客户则需要承担应用部署及管理，以及SaaS中客户应承担的相关责任;
4。2云计算安全措施的作用范围
在同一个云计算平台上，可能有多个应用系统，某些信息安全措施应作用于整个云计算平台，平台上每个具体的应用系统直接继承该安全措施即可。例如，云服务商的人员安全措施即适用于云计算平台上每一个应用系统。这类安全措施称为通用安全措施.
某些安全措施则仅是针对特定的应用，例如云计算平台上电子邮件系统的访问控制措施与字处理系统的访问控制措施可能不同.这类安全措施称为专用安全措施.
本标准适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务,也适用于对云计算服务进行安全审查。
2
下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单)适用于本文件。
GB/T XXXXX-XXXX信息安全技术云计算服务安全管理指南
图4-1云计算服务模式与控制范围的关系
软件即服务（SaaS）、平台即服务（PaaS）、基础设施即服务（IaaS）是3种基本的云计算服务模式。如图4-1所示，在不同的服务模式中，云服务商和客户对计算资源拥有不同的控制范围，控制范围则决定了安全责任的边界。云计算的物理资源层、资源抽象和控制层都处于云服务商的完全控制下,所有安全责任由云服务商承担。服务层的安全责任责则由双方共同承担,越靠近底层（即IaaS）的云计算服务，客户的管理和安全责任越大；反之，云服务商的管理和安全责任越大。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全技术云计算服务安全指南1范围本标准描述了云计算可能面临的主要安全风险，提出了政府部门采用云计算服务的安全管理基本要求及云计算服务的生命周期各阶段的安全管理和技术要求。
本标准为政府部门采用云计算服务，特别是采用社会化的云计算服务提供全生命周期的安全指导，适用于政府部门采购和使用云计算服务，也可供重点行业和其他企事业单位参考。
2规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GB/T 25069—2010信息安全技术术语GB/T 31168—2014信息安全技术云计算服务安全能力要求3术语和定义GB/T 25069—2010界定的以及下列术语和定义适用于本文件。
3.1 云计算cloud computing通过网络访问可扩展的、灵活的物理或虚拟共享资源池，并按需自助获取和管理资源的模式。
注：资源实例包括服务器、操作系统、网络、软件、应用和存储设备等。
3.2 云计算服务cloud computing service使用定义的接口，借助云计算提供一种或多种资源的能力。
3.3 云服务商cloud service provider云计算服务的供应方。
注：云服务商管理、运营、支撑云计算的基础设施及软件，通过网络交付云计算的资源。
3.4 云服务客户cloud service customer为使用云计算服务同云服务商建立业务关系的参与方。
注：本标准中云服务客户简称客户。
3.5 第三方评估机构Third Party Assessment Organizations；3PAO独立于云计算服务相关方的专业评估机构。
3.6 云计算基础设施cloud computing infrastructure由硬件资源和资源抽象控制组件构成的支撑云计算的基础设施。
注：硬件资源包括所有的物理计算资源，包括服务器（CPU、内存等）、存储组件（硬盘等）、网络组件（路由器、防火墙、交换机、网络链路和接口等)及其他物理计算基础元素。
资源抽象控制组件对物理计算资源进行软件抽象，云服务商通过这些组件提供和管理对物理计算资源的访问。
3.7 云计算平台cloud computing platform云服务商提供的云计算基础设施及其上的服务软件的集合。
3.8 云计算环境cloud computing environment云服务商提供的云计算平台及客户在云计算平台之上部署的软件及相关组件的集合。
4 云计算概述4.1 云计算的主要特征云计算具有以下主要特征：a)按需自助服务。
在不需或较少云服务商的人员参与情况下，客户能根据需要获得所需计算资源，如自助确定资源占用时间和数量。
b)泛在接入。
客户通过标准接入机制，利用计算机、移动电话、平板等各种终端通过网络随时随地使用服务。
c)资源池化。
云服务商将资源（如：计算资源、存储资源、网路资源）能供给多个客户使用，这些物理的、虚拟的资源根据客户的需求进行动态分配或重新分配。
d)快速伸缩性。
客户可以根据需要快速、灵活、方便地获取和释放计算资源。
对于客户来讲，这种资源是“无限”的，能在任何时候获得所需资源量。
e)服务可计量。
云计算按照多种计量方式（如按次付费或充值使用等）自动控制或量化资源，计量的对象可以是存储空间、计算能力、网路带宽或账户等。
4.2 服务模式根据云服务商提供的资源类型不同，云计算的服务模式主要可分为三类：a)软件即服务（SaaS）：在SaaS模式下，云服务商向客户提供的是运行在云基础设施之上的应用软件。
客户不需要购买、开发软件，可利用不同设备上的客户端（如WEB浏览器）或程序接口通过网络访问和使用云服务商提供的应用软件，如电子邮件系统、协同办公系统等。
客户通常不能管理或控制支撑应用软件运行的低层资源，如网络、服务器、操作系统、存储等，但可对应用软件进行有限的配置管理。
b)平台即服务(PaaS):在PaaS模式下，云服务商向客户提供的是运行在云计算基础设施之上的软件开发和运行平台，如:标准语言与工具、数据访问、通用接口等。
客户可利用该平台开发和部署自己的软件。
客户通常不能管理或控制支撑平台运行所需的低层资源，如网络、服务器、操作系统、存储等，但可对应用的运行环境进行配置，控制自己部署的应用。
c)基础设施即服务(IaaS):在IaaS模式下，云服务商向客户提供虚拟计算机、存储、网络等计算资源，提供访问云计算基础设施的服务接口。
客户可在这些资源上部署或运行操作系统、中间件、数据库和应用软件等。
客户通常不能管理或控制云计算基础设施，但能控制自己部署的操作系统、存储和应用，也能部分控制使用的网络组件，如主机防火墙。
4.3部署模式根据使用云计算平台的客户范围的不同，将云计算分成私有云、公有云、社区云和混合云等四种部署模式：a) 私有云：云计算平台仅提供给某个特定的客户使用。
私有云的云计算基础设施可由云服务商拥有、管理和运营，这种私有云称为场外私有云（或外包私有云）；也可由客户自己建设、管理和运营，这种私有云称为场内私有云（或自有私有云）。
b) 公有云：云计算平台的客户范围没有限制。
公有云的云计算基础设施由云服务商拥有、管理和运营。
c) 社区云：云计算平台限定为特定的客户群体使用，群体中的客户具有共同的属性(如职能、安全需求、策略等）。
社区云的云计算基础设施可由云服务商拥有、管理和运营，这种社区云称为场外社区云；也可以由群体中的部分客户自己建设、管理和运营，这种社区云称为场内社区云。
d) 混合云：上述两种或两种以上部署模式的组合称为混合云。
4.4云计算的优势在云计算模式下，客户不需要投入大量资金去建设、运维和管理自己专有的数据中心等基础设施，只需要为动态占用的资源付费，即按需购买服务。
客户采用云计算服务可获得如下益处：a) 减少开销和能耗。
采用云计算服务可以将硬件和基础设施建设资金投入转变为按需支付服务费用，客户只对使用的资源付费，无需承担建设和维护基础设施的费用，避免了自建数据中心的资金投入。
云服务商使用虚拟化、动态迁移和工作负载整合等技术提升运行资源的利用效率，通过关闭空闲资源组件等降低能耗；多租户共享机制、资源的集中共享可以满足多个客户不同时间段对资源的峰值要求，避免按峰值需求设计容量和性能而造成的资源浪费。
资源利用效率的提高有效降低云计算服务的运营成本，减少能耗，实现绿色IT。
b) 增加业务的灵活性。
客户采用云计算服务不需要建设专门的信息系统，缩短业务系统建设周期，使客户能专注于业务的功能和创新，提升业务响应速度和服务质量，实现业务系统的快速部署。
c) 提高业务系统的可用性。
云计算的资源池化和快速伸缩性特征，使部署在云计算平台上的客户业务系统可动态扩展，满足业务需求资源的迅速扩充与释放，能避免因需求突增而导致客户业务系统的异常或中断。
云计算的备份和多副本机制可提高业务系统的健壮性，避免数据丢失和业务中断。
d) 提升专业性。
云服务商具有专业技术团队，能够及时更新或采用先进技术和设备，可以提供更加专业的技术、管理和人员支撑，使客户能获得更加专业和先进的技术服务。
5云计算的风险管理5.1概述云计算作为一种新兴的计算资源利用方式，还在不断发展之中，传统信息系统的安全问题在云计算环境中大多依然存在，与此同时还出现了一些新的信息安全问题和风险。
本章通过描述云计算带来的信息安全风险，提出了客户采用云计算服务应遵守的基本要求，从规划准备、选择云服务商及部署、运行监管、退出服务等四个阶段简要描述了客户采购和使用云计算服务的生命周期安全管理。
5.2云计算安全风险传统模式下，客户的数据和业务系统都位于客户的数据中心，在客户的直接管理和控制下。
在云计算环境里，客户将自己的数据和业务系统迁移到云计算平台上，失去了对这些数据和业务的直接控制能力。
客户数据以及在后续运行过程中生成、获取的数据都处于云服务商的直接控制下，云服务商具有访问、利用或操控客户数据的能力。
将数据和业务系统迁移到云计算平台后，安全性主要依赖于云服务商及其所采取的安全措施。
云服务商通常把云计算平台的安全措施及其状态视为知识产权和商业秘密，客户在缺乏必要的知情权的情况下，难以了解和掌握云服务商安全措施的实施情况和运行状态，难以对这些安全措施进行有效监督和管理，不能有效监管云服务商的内部人员对客户数据的非授权访问和使用，增加了客户数据和业务的风险。
传统模式下，按照谁主管谁负责、谁运行谁负责的原则，信息安全责任相对清楚。
在云计算模式下，云计算平台的管理和运行主体与数据安全的责任主体不同，相互之间的责任如何界定，缺乏明确的规定。
不同的服务模式和部署模式、云计算环境的复杂性也增加了界定云服务商与客户之间责任的难度。
云服务商可能还会采购、使用其他云服务商的服务，如提供SaaS服务的云服务商可能将其服务建立在其他云服务商的PaaS或IaaS之上，这种情况导致了责任更加难以界定。
在云计算环境里，数据的实际存储位置往往不受客户控制，客户的数据可能存储在境外数据中心，改变了数据和业务的司法管辖关系。
注：一些国家的政府可能依据本国法律要求云服务商提供可以访问这些数据中心的途径，甚至要求云服务商提供位于他国数据中心的数据。
客户将数据存放在云计算平台上，没有云服务商的配合很难独自将数据安全迁出。
在服务终止或发生纠纷时，云服务商还可能以删除或不归还客户数据为要挟，损害客户对数据的所有权和支配权。
云服务商通过对客户的资源消耗、通讯流量、缴费等数据的收集统计，可以获取客户的大量相关信息，对这些信息的归属往往没有明确规定，容易引起纠纷。
云计算平台采用虚拟化等技术实现多客户共享计算资源，虚拟机之间的隔离和防护容易受到攻击，跨虚拟机的非授权数据访问风险突出。
云服务商可能会使用其他云服务商的服务，使用第三方的功能、性能组件，使云计算平台结构复杂且动态变化。
随着复杂性的增加，云计算平台实施有效的数据保护措施更加困难，客户数据被未授权访问、篡改、泄露和丢失的风险增大。
存储客户数据的存储介质由云服务商拥有，客户不能直接管理和控制存储介质。
当客户退出云计算服务时，云服务商应该完全删除客户的数据，包括备份数据和运行过程中产生的客户相关数据。
目前，还缺乏有效的机制、标准或工具来验证云服务商是否实施了完全删除操作，客户退出云计算服务后其数据仍然可能完整保存或残留在云计算平台上。
5.2.7 容易产生对云服务商的过度依赖由于缺乏统一的标准和接口，不同云计算平台上的客户数据和业务难以相互迁移，同样也难以从云计算平台迁移回客户的数据中心。
另外云服务商出于自身利益考虑，往往不愿意为客户的数据和业务提供可迁移能力。
这种对特定云服务商的潜在依赖可能导致客户的业务随云服务商的干扰或停止服务而停止运转，也可能导致数据和业务迁移到其他云服务商的代价过高。