信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求意见处理表
2019年9月 奇安信云安全管理平台产品白皮书
云安全管理平台产品白皮书版本信息文档名称密级创建人云安全管理平台产品技术白皮书2.0.3V1.0公开云安全公司修订记录修订日期修订内容修订人2019.7新建，适用于云安全管理平台V2.0.3，文档版本2.0.3V1.0云安全公司版权声明：奇安信集团及其关联公司对其发行的或与合作伙伴共同发行的产品享有版权，本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程描述等内容，除另有特别注明外，所有版权均属奇安信集团及其关联公司所有；受各国版权法及国际版权公约的保护。
对于上述版权内容，任何个人、机构未经奇安信集团或其关联公司的书面授权许可，不得以任何方式复制或引用本文的任何片断；超越合理使用范畴、并未经上述公司书面许可的使用行为，奇安信集团或其关联公司均保留追究法律责任的权利。
免责声明奇安信集团，是专注于为政府、军队、企业，教育、金融等机构和组织提供企业级网络安全技术、产品和服务的网络安全公司，包括但不限于以下主体：北京奇安信科技有限公司、网神信息技术（北京）股份有限公司、北京网康科技有限公司，以及上述主体直接或者间接控制的法律实体。
奇安信集团在此特别声明，对如下事宜不承担任何法律责任：1、本产品经过详细的测试，但不能保证与所有的软硬件系统或产品完全兼容，不能保证本产品完全没有错误。
如果出现不兼容或错误的情况，用户可拨打技术支持电话将情况报告奇安信集团，获得技术支持。
2、在适用法律允许的最大范围内，对因使用或不能使用本产品所产生的损害及风险，包括但不限于直接或间接的个人损害、商业盈利的丧失、贸易中断、商业信息的丢失或任何其它经济损失，奇安信集团不承担任何责任。
3、对于因电信系统或互联网网络故障、计算机故障或病毒、信息损坏或丢失、计算机系统问题或其它任何不可抗力原因而产生的损失，奇安信集团不承担任何责任，但将尽力减少因此而给用户造成的损失和影响。
4、对于用户违反本协议规定，给奇安信集团造成损害的，奇安信集团将有权采取包括但不限于中断使用许可、停止提供服务、限制使用、法律追究等措施。
信息安全技术 网络基础安全技术要求
GB/T20270-2006信息安全技术网络基础安全技术要求Information security technology—Basis security techniques requirements for network自2006-12-1 起执行目次前言引言1 范围2 规范性引用文件3 术语、定义和缩略语3.1 术语和定义3.2 缩略语4 网络安全组成与相互关系5 网络安全功能基本要求5.1 身份鉴别5.1.1 用户标识5.1.2 用户鉴别5.1.3 用户—主体绑定5.1.4 鉴别失败处理5.2 自主访问控制5.2.1 访问控制策略5.2.2 访问控制功能5.2.3 访问控制范围5.2.4 访问控制粒度5.3 标记5.3.1 主体标记5.3.2 客体标记5.3.3 标记完整性5.3.4 有标记信息的输出5.4 强制访问控制5.4.1 访问控制策略5.4.2 访问控制功能5.4.3 访问控制范围5.4.4 访问控制粒度5.4.5 访问控制环境5.5 数据流控制5.6 安全审计5.6.1 安全审计的响应5.6.2 安全审计数据产生5.6.3 安全审计分析5.6.4 安全审计查阅5.6.5 安全审计事件选择5.6.6 安全审计事件存储5.7 用户数据完整性5.7.1 存储数据的完整性5.7.2 传输数据的完整性5.7.3 处理数据的完整性5.8 用户数据保密性5.8.1 存储数据的保密性5.8.2 传输数据的保密性5.8.3 客体安全重用5.9 可信路径5.10 抗抵赖5.10.1 抗原发抵赖5.10.2 抗接收抵赖5.11 网络安全监控6 网络安全功能分层分级要求6.1 身份鉴别功能6.2 自主访问控制功能6.3 标记功能6.4 强制访问控制功能6.5 数据流控制功能6.6 安全审计功能6.7 用户数据完整性保护功能6.8 用户数据保密性保护功能6.9 可信路径功能6.10 抗抵赖功能6.11 网络安全监控功能7 网络安全技术分级要求7.1 第一级：用户自主保护级7.1.1 第一级安全功能要求7.1.2 第一级安全保证要求7.2 第二级：系统审计保护级7.2.1 第二级安全功能要求7.2.2 第二级安全保证要求7.3 第三级：安全标记保护级7.3.1 第三级安全功能要求7.3.2 第三级安全保证要求7.4 第四级：结构化保护级7.4.1 第四级安全功能要求7.4.2 第四级安全保证要求7.5 第五级：访问验证保护级7.5.1 第五级安全功能要求7.5.2 第五级安全保证要求附录A(资料性附录) 标准概念说明A.1 组成与相互关系A.2 关于网络各层协议主要功能的说明A.3 关于安全保护等级划分A.4 关于主体和客体A.5 关于SSON、SSF、SSP、SFP及其相互关系A.6 关于数据流控制A.7 关于密码技术A.8 关于安全网络的建议参考文献前言本标准的附录A是资料性附录.本标准由全国信息安全标准化技术委员会提出并归口。
《网络安全等级保护测评要求第2部分：云计算安全扩展要求》解读
《网络安全等级保护测评要求第2部分：云计算安全扩展要求》解读《网络安全等级保护测评要求第2部分：云计算安全扩展要求》解读「编者按Editors Note」由国家信息中心负责牵头编制的《网络安全等级保护测评要求第2部分：云计算安全扩展要求》（以下简称“云计算测评要求”）作为云计算安全等级测评的重要合规性评价标准备受瞩目。
本期我们邀请第一编制人国家信息中心禄凯处长为大家作详细解读。
云计算安全等级保护测评标准要点解读╱引言╱云计算作为广泛应用的新技术，越来越深入的影响着社会生活的各个领域。
全国各地政务云、金融云、教育云等建设的如火如荼，越来越多的云计算系统承担着重要的基础性服务。
在高速发展的同时，安全隐患和威胁也如影随形，如：不安全接口、服务中断、越权、滥用与误操作、共享技术漏洞和信息残留等问题时刻影响着云计算的健康发展。
云计算信息系统应具备什么样的安全防护措施，如何通过等级保护测评工作去检查和验证安全措施的合规性和有效性，已经成为云计算系统建设者、运营者、监管者以及使用者所关心的重要问题。
等级保护工作作为国家网络安全法明确的重要制度，已在我国信息系统安全保驾护航中发挥着重要作用。
为应对新技术、新应用发展所带来的安全问题，公安部网络安全保卫局组织开展了大规模的等级保护系列标准的修订。
云计算等级保护系列标准作为安全通用要求之后的第二分册，标准编制开始至今，受到相关各方的高度广泛关注，收到了很多宝贵意见和建议。
由国家信息中心负责牵头编制的《网络安全等级保护测评要求第2部分：云计算安全扩展要求》（以下简称“云计算测评要求”）作为云计算安全等级保护测评的实施依据备受瞩目。
下面由标准的主要编制人员为大家解读标准，希望作为云计算安全等级保护测评工作的实践指引，给大家提供指导和帮助。
云计算等级保护测评的讲解和技术研讨也将后续开展，也希望大家踊跃参加。
根据全国信息安全标准化技术委员会2013年10月确定的国家标准制修订计划，本次研编云计算等保系列标准包括三个：《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求》（以下简称“云计算基本要求”）、《信息安全技术网络安全等级保护测评要求第2部分：云计算安全扩展要求》、《信息安全技术网络安全等级保护设计技术要求第2部分：云计算安全扩展要求》（以下简称“云计算设计要求”）。
等级保护2.0——云计算安全扩展要求（上）
等级保护2.0——云计算安全扩展要求（上）概述云计算安全扩展要求是在安全通⽤要求的基础上针对云计算的特点提出特殊保护要求。
也就是说，在云计算环境中为了满⾜等保2.0的保准要求，既要满⾜安全通⽤要求，也要满⾜针对云计算提出的特殊保护要求。
云计算安全扩展要求也分为技术要求和管理要求两⼤类。
安全物理环境云计算安全扩展要求安全物理环境中的基础设施位置要求云计算基础设施位于中国境内。
这是对提供云计算服务的云服务商提出的要求，由于在云计算环境中，数据的实际存储位置往往是不受客户控制的，客户的数据可能存储在境外数据中⼼，这就改变了数据和业务的司法管辖关系，需要注意的是，有些国家的政府可能依据本国法律要求云服务商提供可以访问这些数据中⼼的途径，甚⾄要求云服务商提供位于他国数据中⼼的数据。
这使得客户的业务和数据隐私安全不能得到有效的保障。
安全通信⽹络——⽹络架构应保证云计算平台不承载⾼于其安全保护等级的业务应⽤系统】解读：云计算环境中云服务商提供的云平台与客户的业务系统是需要分别单独定级的，那么云计算平台的等级保护等级必然不能低于其承载的客户业务系统的安全保护等级。
【应实现不同云客户虚拟⽹络之间的隔离】解读：除私有云外，整个云计算平台是由多个客户共享的，因此云服务商提供的云计算平台应具备隔离不同客户系统的能⼒，使得客户的虚拟⽹络在逻辑上实现独享。
【应具有根据云服务客户业务需求提供通信传输、边界防护、⼊侵防范等安全机制的能⼒】解读：云服务商在保证云计算平台达到相应等级的安全防护⽔平外，还应将相应的安全防护机制提供给客户。
【应具有根据云服务客户业务需求⾃主设置安全策略的能⼒，包括定义访问路径、选择安全组件、配置安全策略】解读：客户的业务系统也是根据其对应的安全保护级别来部署安全防护措施，因此云计算平台应将相应的安全能⼒提供给客户，使⽤户可以根据需求进⾏⾃主选择、部署、配置。
【应提供开放接⼝或开放性安全服务，允许云服务客户接⼊第三⽅安全产品或在云计算平台选择第三⽅安全服务】解读：这⾥是对云计算平台的兼容性提出的要求，有些客户可能根据其特殊的安全需求，需要引⼊云平台提供的安全防护之外的安全技术或产品，云计算平台应提供相应的开放接⼝供产品或服务的接⼊。
等保2.0测评手册之云计算安全扩展要求
控制点安全要求要求解读基础设施位置应保证云计算基础设施位于中国境内云服务商对机房选址时，应确保机房位于中国境内、确保云计算服务器及运行关键业务和数据的物理设备等基础设施位位于中国境内a)应保证云计算平台不承载高于其安全保护等级的业务应用系统云服务方侧的云计算平台单独作为定级对象定级,云租户侧等级保护对象也应作为单独的定级对象定级,云平台的等级要不低于云上租户的业务应用系统最高级b)应实现不同云服务客户虚拟网络之间的隔离同一个物理主机上的虚拟机间可能通过硬件背板、不同物理机上的虛拟机可能通过网络进行通信，这些通信流量对传统的网络安全控制而言是不可见的，无法进行监控或封堵，为防止多租户间的相互影响及恶意攻击，确保租户安全及云平台安全，应对不同的云服务客户网络间进行有效的网络隔离，以保证云服务客户的访问与其他租户能够实现有效隔离c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范制等安全机制的能力为应对源自各个层面的攻击，云服务商应该为云服务客户提供通信传输、边界防护、入侵防范等安全防护措施，云服务客户可根据业务安全防护需求选择适当的安全防护措施，提升业务系统的安全防护能力以应对外来的威胁攻击d)应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略云服务客户可以根据自身的业务需求,在云服务商提供的安全组件上自定义安全策略，如定义安全访问路径、选择安全组件、配置安全策略e)应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或云计算平台选择第三方安全服务API(Application Ppogramming Interface,应用程序编程接口)是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件的以访问一组例程的能力,而又无需访问源码，或理解为内部工作机制的细节,API本身是抽象，仅定义了一个接口，云计算目前面临的互操作性问题的重要原因就是缺乏标准化和被广泛认可接受的API标准，因而云服务商应提供开放和公开的APIs,允许第三方安全产品或服务接入a)应在虚拟化部署访问控制机制，并设置访问控制机则位于云平台边界外，云平台缺乏或缺失控制和管理的网络环境，被认为是不可信网络，与之对应的是可信网络，在可信与不可信网络间实施有效的安全控制，对，网络安全来说至关重要。
(完整word版)信息安全技术网络安全等级保护测评要求
信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。
但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。
根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。
1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。
这就要求等级测评过程规范、测评结论准确、公正及可重现。
《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。
作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。
信息安全技术—网络安全等级保护基本要求
2019年实施的中国国家标准
01 制定过程
03 内容范围 05 意义价值
目录
02 标准目次 04 引用文件
《信息安全技术—网络安全等级保护基本要求》（GB/T 22239-2019）是2019年12月1日实施的一项中国国 家标准，归口于全国信息安全标准化技术委员会。
标准目次
参考资料：
ቤተ መጻሕፍቲ ባይዱ
内容范围
《信息安全技术—网络安全等级保护基本要求》（GB/T 22239-2019）规定了第一级到第四级等级保护对象 的安全保护的基本要求，每个级别的基本要求均由安全通用要求和安全扩展要求构成。
安全要求细分为技术要求和管理要求。其中技术要求部分为“安全物理环境”、“安全通信网络”、“安全 区域边界”、“安全计算环境”、“安全管理中心”；管理要求部分为“安全管理制度”、“安全管理机构”、 “安全管理人员”、“安全建设管理”、“安全运维管理”，两者合计共分为10大类。
《信息安全技术—网络安全等级保护基本要求》（GB/T 22239-2019）规定了网络安全等级保护的第一级到 第四级等级保护对象的安全通用要求和安全扩展要求。该标准适用于指导分等级的非涉密对象的安全建设和监督 管理。
制定过程
1
修订背景
2
编制进程
3
修订依据
4
修订情况
5
起草工作
《信息安全技术—信息系统安全等级保护基本要求》（GB/T22239-2008）在中国推行信息安全等级保护制度 的过程中起到了非常重要的作用，被广泛应用于各个行业或领域指导用户开展信息系统安全等级保护的建设整改、 等级测评等工作。但是随着信息技术的发展，采用新技术、新应用构建的云计算平台、移动互联接入、物联网、 工业控制系统和大数据应用等系统的大量出现，已有10年历史的这三项标准在时效性、易用性、可操作性上需要 进一步修订完善。同时，2017年6月1日，《网络安全法》正式实施，进一步明确了网络安全等级保护制度的法律 地位，网络安全等级保护对象、保护措施要求、范围等都发生了很大的变化，需要修订原来的标准，以适应网络 安全等级保护制度要求。
教育“三通两平台”网络安全解决方案
新形势下的等级保护
等保2.0规章
《网络安全等级保护定级指南》
《网络安全等级保护实施指南》
《网络安全等级保护基本要求第1部分：安全通用要求》《网络安全等级保护基本要求第2部分：云计算安全扩展要求》《网络安全等级保护基本要求第3部分：移动互联安全扩展要求》《网络安全等级保护基本要求第4部分：物联网安全扩展要求》《网络安全等级保护基本要求第5部分：工业控制系统安全扩展要求》《网络安全等级保护基本要求第6部分：大数据安全扩展要求》
审计风险审计记录不足身份验证不足数据无法采集异常操作
脆弱性风险平台漏洞数据库协议漏洞弱配置、弱口令
外部攻击威胁SQL注入攻击拒绝服务攻击远程访问攻击
通用数据库
国产数据库
专用数据库
MongoDB
SOC运维管理系统
统一监控
网络行为分析流量统计分析实时流量监测基于流量识别网络攻击内置威胁模型
流量分析
防火墙
学校区域N
网络安全解决方案拓扑图源自业务服务器群公共服务数据库
数据库审计
数据备份
服务器区
互联网接入区
IPS
防火墙
LLB
ISP1
ISP2
ACG
教育资源公共平台和教育管理公共平台
终端安全管理，杀毒软件
终端安全管理，杀毒软件
区核心机房
IPS/ACG
IPS/ACG
教育行业网络安全产品线
帐号集中管理堡垒机
安全法及等保2.0三通二平台分析解决方案方案讨论
安全域功能要求及对应安全产品
安全域划分通过网络安全域的划分，可以把一个复杂的大型网络系统安全问题转化为较小区域更为单纯的安全保护问题，从而更好地控制网络安全风险，降低系统风险
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
采纳。其中关键网络节点包括互联网边界、关键第三方边界和虚拟网络的关键节点
16.
IBM
未采纳。网络和通信安全中，“网络结构”中的e条和入侵防范的a条已满足这样的需求
17.
8.1.2.4安全审计
IBM
未采纳。在入侵防范和网络结构中已经包含。
18.
IBM
未采纳。安全通用要求已经涵盖此内容，对四级虚拟网络也要落实安全通用要求。
意见汇总处理表
标准项目名称：《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求》
承办人：张振峰共14页
标准项目负责起草单位：公安部第三研究所电话：186****71092016年9月28日填写
序号
标准章条编号
意见内容
提出单位
处理意见
备注
1.
全文
因22239.2是22239的一部分，文本中“本标准”应改为“本部分”
37.
采纳
38.
采纳。同时将后面供应链管理a)也做相同修改
39.
采纳
40.
采纳
41.
部分采纳。为体现出不同等级对抗威胁能力的不同，在措施上高级别系统有所加强，在第三级要求实现资源池之间网络隔离，在第四级要求实现资源池之间物理隔离。
19.
山石网科
部分采纳。1.关于边界的防护要求已有相关条款，有关测评的要求不在本标准考虑范围。2.责任划分在附录中给出参考。
20.
微软
采纳
21.
微软
未采纳。与管理员的管理范围和权限职责划分有关，并不特质某一设备和软件产品。云租户和云服务商执行特权命令均存在被审计需求。
22.
微软
未采纳。与管理员的管理范围和权限职责划分有关，并不特质某一设备和软件产品。云租户和云服务商执行特权命令均存在防止远程管理设备同时直接连接其他网络。
国家信息中心
采纳
2.
建议在术语和定义中给出“社会化云服务”的定义
国家信息中心
未采纳。与中网办发文【2015】14号及31168保持一致
3.
建议加入一句话，说明使用时需与22239.1同时使用
国家信息中心
采纳
4.
全文
建议在术语和定义中给出“云租户”的定义；建议根据不同的部署模式和商业模式分开写标准内容。
IBM
部分采纳。与GB/T31167保持一致
13.
除了党政及涉及国家安全部门的云计算机房须位于中国境内外，用于纯商用云计算的机房不一定要求必须位于中国境内。
IBM
未采纳。1.与31168把持一致。
2等保二级以上的系统涉及社会秩序、公众利益，不是纯商业问题。
14.
和4.1相同，IaaS, PaaS, SaaS是NIST的老提法。这些术语已在GB/T 32400-2015云计算概览与词汇中被规范。云能力类型有3个基础设施（Infrastructure），平台（Platform）和应用（Application）。7个云服务类别除了IaaS，PaaS，SaaS还有DaaS, NaaS, CaaS etc.在GB/T 32400-2015云计算概览与词汇中，描述了7个云服务类别与3个云能力类型之间的关系。
23.
微软
采纳。去掉g)
24.
微软
未采纳。本部分关注整个云计算环境下的安全，包括云服务商和云租户两方面的要求。
25.
微软
部分采纳。责任划分在附录中给出参考。标准关注全集，在使用时可根据实际情况进行“不适用”处理。
26.
3.4
中国电子技术标准化研究院
未采纳。因为在私有云情况下，特别是四级系统采用的内部私有云，不能引入云服务商，因此本部分统一采用云服务方的说法。
27.
采纳
28.
采纳
29.
采纳
30.
未采纳。这里对能力提出要求，具体如何实现在设计要求中给出。云计算安全很大程度上是信任问题，如何让云租户信任云服务方，而这条要求的能力就是提升云服务方操作的透明度，也在一定程度上对云服务方的操作施加压力，不能随便操作，因此还是有必要保留的。
31.
采纳。
32.
采纳
33.
采纳。删除本条要求
34.
采纳
35.
未采纳。这里对能力提出要求，具体如何实现在设计要求中给出。云计算安全很大程度上是信任问题，如何让云租户信任云服务方，而这条要求的能力就是提升云服务方操作的透明度，也在一定程度上对云服务方的操作施加压力，不能随便操作，因此还是有必要保留的。
36.
部分采纳。改为从第三级开始要求。针对本条，对云服务商做不适用处理。
IBM
部分采纳。与GB/T31167保持一致
15.
关键网络节点在物理网络中可以从物理上与其它节点区隔，但在云环境的虚拟网络中这种区隔及防护手段将失效
在云计算安全扩展要求中6.1.2.4，7.1.2.4，8.1.2.3中仅提到应能检测并阻断云租户对外的攻击行为，并能记录攻击类型、攻击时间、攻击流量；
需要针对云计算虚拟网络特点检测、防止或限制从外部或内部发起的网络攻击行为。建议增加对云计算虚拟网络的检测。
IBM
未采纳。概念上保持一致，不直接引用非安全标准
11.
应参照GB/T 32400-2015云计算概览与词汇和GB/T 32399-2015云计算参考架构
IBM
部分采纳。保持一致性，但主要术语和定义以31167和31168为准
12.
IaaS, PaaS, SaaS是NIST的老提法。这些术语已在GB/T 32400-2015云计算概览与词汇中被规范。云能力类型有3个基础设施（Infrastructure），平台（Platform）和应用（Application）。7个云服务类别除了IaaS，PaaS，SaaS还有DaaS, NaaS, CaaS等。在GB/T 32400-2015云计算概览与词汇中，描述了7个云服务类别与3个云能力类型之间的关系。
中科院信工所
采纳
5.
全文
私有云和公有云的适用条款应该有描述。不同的部署模式应如何使用标准，要考虑商业模式。
中科院信工所
未采纳。私有云和公有云的威胁场景不适合在在本标准区分，只有极个别条款会区分公有云和私有云。私有云也有多租户的概念。
6.
建议本部分名称改为“指南”
中软信息系统工程公司
未采纳。本部分作为22239的一部分，名称需保持一致
7.
全文
建议加入SLA相关的条款
中国信息安全认证中心
采纳
8.
条款中不涉及审批内容，建议标题去掉“审批”
国家信息技术安全研究中心
采纳
9.
6.1.1、7.1.1、8.1.1
建议细化明确对于云租户的数据和云平台管理运行数据处境的要求
IBM
采纳
10.
2规范性引用文件
应包括GB/T 32400-2015云计算概览与词汇和GB/T 32399-2015云计算参考架构