云安全審計

云計算作為一種新興的計算資源利用方式逐漸被各行業(yè)所接受和部署。采用了云計算技術(shù)的信息系統(tǒng)，稱為云計算平臺（系統(tǒng)）。云計算平臺由設(shè)施、硬件、資源抽象控制層、虛擬化計算資源、軟件平臺和應(yīng)用軟件等組成。軟件即服務(wù)（SaaS）、平臺即服務(wù)（PaaS）、基礎(chǔ)設(shè)施即服務(wù)（IaaS）是三種基本的云計算服務(wù)模式。在不同的服務(wù)模式中，云服務(wù)商和云服務(wù)客戶對計算資源擁有不同的控制范圍，控制范圍則決定了安全責(zé)任的邊界。

由于云服務(wù)平臺建設(shè)的復(fù)雜性以及傳統(tǒng)信息系統(tǒng)安全和云計算自身技術(shù)特點所引發(fā)的新的信息安全和風(fēng)險，與傳統(tǒng)信息系統(tǒng)安全審計相比,對于云服務(wù)平臺的安全審計有其自身的特點。本節(jié)將從云服務(wù)規(guī)劃與需求分析、供應(yīng)商選擇與合同簽署、云服務(wù)平臺開發(fā)測試與交付、云計算平臺的安全管理、云計算平臺的遷移與部署、云計算平臺的安全運維、云計算服務(wù)關(guān)閉與數(shù)據(jù)遷移等方面對云安全審計的方法與步驟進行描述。

一、云服務(wù)規(guī)劃與需求分析審計

（一）業(yè)務(wù)概述

在規(guī)劃與需求分析階段,組織應(yīng)根據(jù)自身的經(jīng)營戰(zhàn)略與規(guī)劃，通過對組織資產(chǎn)、云服務(wù)平臺功能性、非功能性和安全性等四個方面的需求分析，以及云服務(wù)的效益評估,綜合評判部署云計算服務(wù)平臺的合理性及其建設(shè)模式，并最終形成決策報告。

（二）審計目標(biāo)和內(nèi)容

1.云服務(wù)綜合評估

該控制項旨在檢查組織在部署云計算服務(wù)平臺前，是否綜合評估采用云計算服務(wù)后獲得的效益（經(jīng)濟效益和社會效益）、可能面臨的信息安全風(fēng)險、可以采取的安全措施后做出決策，從而判斷組織是否可在其可承受、容忍的風(fēng)險范圍內(nèi),或在當(dāng)安全風(fēng)險引發(fā)信息安全事件時有適當(dāng)?shù)目刂苹蜓a救措施而采用云計算服務(wù)。

2.決策建議與審批

該控制項旨在檢查組織在部署云服務(wù)平臺時，是否在基于服務(wù)綜合評估的基礎(chǔ)之上，對其進行綜合分析形成采用云計算服務(wù)的決策報告,并經(jīng)本單位最高領(lǐng)導(dǎo)批準(zhǔn)，從而成為指導(dǎo)采用云計算服務(wù)的重要依據(jù)。

（三）常見問題和風(fēng)險

1.云平臺規(guī)劃與建設(shè)時未充分考慮部署模式、服務(wù)模式對于經(jīng)濟效益、功能性需求、現(xiàn)有資源利用、現(xiàn)有流程的影響，導(dǎo)致項目建設(shè)與預(yù)期差距較大，經(jīng)濟效益較差。

2.云平臺規(guī)劃與建設(shè)時未充分考慮數(shù)據(jù)安全和整體安全防護，導(dǎo)致云平臺安全管控能力不足，容易造成數(shù)據(jù)泄露或安全風(fēng)險。

3.云平臺建設(shè)缺乏嚴(yán)格的審批程度，導(dǎo)致需求模糊、邊界不清晰、性能不滿足預(yù)期要求，嚴(yán)重影響云平臺的交付和使用。

（四）審計的主要方法和程序

1.云服務(wù)綜合評估

（1）查閱組織項目建設(shè)的相關(guān)制度規(guī)范，了解涉及科技項目建設(shè)的評價指標(biāo)和流程。

（2）檢查組織是否對業(yè)務(wù)進行識別并進行優(yōu)先級劃分，并訪談關(guān)鍵業(yè)務(wù)部門負(fù)責(zé)人，了解關(guān)鍵業(yè)務(wù)特點、資源需求、時延、連續(xù)性以及安全保護的要求。

（3）訪談信息科技建設(shè)負(fù)責(zé)人，了解組織在規(guī)劃建設(shè)云服務(wù)平臺項目時是否基于部署模式（公有云、私有云和混合云）、服務(wù)模式（IaaS、PaaS、SaaS）對經(jīng)濟效益、功能性需求、非功能性需求、安全需求、現(xiàn)有資源利用/需求情況、現(xiàn)有信息系統(tǒng)管理流程是否受到影響等方面進行綜合評估，以及評估、審批的流程，參與人員，并調(diào)閱項目建設(shè)的立項文檔，從而判斷效益評估的合理性、科學(xué)性以及合規(guī)性，其中，效益評估應(yīng)至少包括建設(shè)成本、運維成本、人力成本、創(chuàng)新性以及對業(yè)務(wù)性能和質(zhì)量帶來的優(yōu)勢。

（4）檢查組織與數(shù)據(jù)管理相關(guān)的規(guī)章制度，了解組織是否明確數(shù)據(jù)類型，并查看數(shù)據(jù)存放的位置，從而判斷云平臺數(shù)據(jù)是否涉及敏感信息以及數(shù)據(jù)存儲的合規(guī)性。

（5）訪談云服務(wù)平臺負(fù)責(zé)人，了解現(xiàn)有的云部署模式和服務(wù)模式，并詢問其對在該模式下的安全風(fēng)險和平臺運營者所應(yīng)承擔(dān)的安全責(zé)任知曉情況及其采取的常規(guī)安全防護措施、平臺可移植和互操作性，從而判斷現(xiàn)有云服務(wù)平臺對業(yè)務(wù)的安全風(fēng)險承受能力。

（6）檢查組織是否對其資產(chǎn)進行識別和歸屬分析，從而明確其部署的軟件所有權(quán)/使用權(quán)，數(shù)據(jù)資產(chǎn)的歸屬權(quán)。

2.決策建議與審批

（1）查閱云計算服務(wù)平臺建設(shè)項目的決策報告，檢查是否包括：背景描述，描述擬采用云計算服務(wù)的信息和業(yè)務(wù)；效益分析，從場地、人員、設(shè)備、軟件、運行管理、維護升級、能耗等方面,對采用本地應(yīng)用與云計算服務(wù)所需費用進行綜合分析；云計算服務(wù)模式、部署模式選擇，從而明確客戶與云服務(wù)商的安全措施、實施邊界和管理邊界；數(shù)據(jù)和業(yè)務(wù)部署到云計算環(huán)境后可能遇到的功能需求分析，不同模式下的資源需求分析，數(shù)據(jù)的備份與數(shù)據(jù)的傳輸方式和網(wǎng)絡(luò)帶寬要求等；擬部署到云服務(wù)平臺中數(shù)據(jù)或系統(tǒng)的可用性、可靠性、恢復(fù)能力、事務(wù)響應(yīng)時間、吞吐率等指標(biāo)；基于對擬部署到云計算平臺的信息和業(yè)務(wù)的安全能力要求；將業(yè)務(wù)系統(tǒng)遷移到云計算平臺后,為確保業(yè)務(wù)連續(xù)性進行的部署方案;退出云計算服務(wù)或變更云服務(wù)商的初步方案；對客戶相關(guān)人員進行安全意識、技術(shù)和管理培訓(xùn)的方案；本單位負(fù)責(zé)采用云計算服務(wù)的領(lǐng)導(dǎo)、工作機構(gòu)及其責(zé)任；采購和使用云計算服務(wù)過程中應(yīng)該考慮的其他重要事項。

（2）檢查決策報告是否經(jīng)過業(yè)務(wù)部門及管理層或?qū)＜覉F隊的評審，以及審批流程是否完整；若存在改進建議是否及時完善從而有效控制風(fēng)險。

二、供應(yīng)商選擇與合同簽署審計

（一）業(yè)務(wù)概述

在服務(wù)商選擇與合同部署階段,客戶應(yīng)根據(jù)上階段所提的需求和決策報告，從服務(wù)能力、服務(wù)風(fēng)險和服務(wù)費用等三個方面評估云服務(wù)商的服務(wù)能力,選擇并與其協(xié)商和簽署服務(wù)合同(包括服務(wù)水平協(xié)議、安全需求、保密要求等內(nèi)容)，從而完成云服務(wù)平臺的開發(fā)、建設(shè)、測試以及數(shù)據(jù)和業(yè)務(wù)向云計算平臺的遷移與部署。

（二）審計目標(biāo)和內(nèi)容

1.云服務(wù)安全風(fēng)險評估

該控制項旨在重點檢查組織是否從數(shù)據(jù)安全與存儲合規(guī)角度，結(jié)合自身對部署云服務(wù)平臺后可能產(chǎn)生風(fēng)險的容忍度和處置能力進行評估，并作為云服務(wù)商選擇和評估的參考依據(jù)。

2.服務(wù)安全能力評估

該控制項旨在檢查組織在選擇第三方云服務(wù)平臺時，是否對其基本的服務(wù)安全能力進行評估。

3.云安全控制措施責(zé)任的識別

該控制項旨在檢查組織是否基于所選擇的云服務(wù)部署模式，明確與服務(wù)提供方的責(zé)任。

4.云服務(wù)合同及保密協(xié)議簽署

該控制項旨在檢查組織在選擇第三方云服務(wù)商時，是否與其簽署服務(wù)合同，并檢查其內(nèi)容是否包含明確的服務(wù)水平協(xié)議、安全需求、保密要求等關(guān)鍵內(nèi)容，從而保障組織的權(quán)益。

（三）常見問題和風(fēng)險

1.組織沒有對云環(huán)境下其數(shù)據(jù)所有權(quán)的保障能力進行風(fēng)險評估的風(fēng)險。

2.組織沒有根據(jù)采用的服務(wù)模式（IaaS、PaaS、SaaS），明確云服務(wù)提供商與自身所承擔(dān)安全責(zé)任的風(fēng)險，以及沒有能力采取相應(yīng)的控制措施所產(chǎn)生的風(fēng)險。

3.組織所選擇的云服務(wù)商自身安全風(fēng)險管控體系不完善，自身的安全評估不足，導(dǎo)致存在較大風(fēng)險隱患。

4.云服務(wù)商第三方機構(gòu)審計不到位，無法對云服務(wù)商的風(fēng)險進行識別與監(jiān)督。

5.云服務(wù)商安全與應(yīng)急響應(yīng)機制不健全，導(dǎo)致發(fā)生安全事件無法及時進行處置。

（四）審計的主要方法和程序

1.云服務(wù)安全風(fēng)險評估

（1）檢查云服務(wù)平臺存儲的生產(chǎn)經(jīng)營數(shù)據(jù)是否屬于國家規(guī)定的重要數(shù)據(jù)范疇，從而判斷組織是否存在可能的數(shù)據(jù)管轄風(fēng)險。（數(shù)據(jù)管轄風(fēng)險）

（2）檢查組織是否對其數(shù)據(jù)所有權(quán)的保障能力進行風(fēng)險評估。（數(shù)據(jù)所有權(quán)保障風(fēng)險）

（3）檢查組織所部署的云服務(wù)平臺是否提供或具有有效的機制、標(biāo)準(zhǔn)或工具來驗證所刪除的數(shù)據(jù)可否完全刪除，以防止其退出云計算服務(wù)后組織數(shù)據(jù)仍然可能完整保存或殘留在云計算平臺上。（數(shù)據(jù)殘留風(fēng)險評估）

（4）評估是否存在單一云服務(wù)供應(yīng)商的風(fēng)險。（供應(yīng)商鎖定的風(fēng)險評估）

2.服務(wù)安全能力評估

（1）對云服務(wù)平臺所處的機房物理與環(huán)境保護能力進行檢查或評估，確保云服務(wù)商機房位于中國境內(nèi)并符合國家標(biāo)準(zhǔn)規(guī)范，機房是否采取監(jiān)控措施以確保最低限度的人員物理接觸。

（物理安全，數(shù)據(jù)境內(nèi)存儲）

（2）檢查云服務(wù)商或組織自身是否建立風(fēng)險評估體系和監(jiān)控目標(biāo)清單，從而確保在威脅環(huán)境發(fā)生變化時，對云計算平臺定期進行風(fēng)險評估,確保云計算平臺的安全風(fēng)險處于可接受水平，并監(jiān)控目標(biāo)清單,對目標(biāo)進行持續(xù)安全監(jiān)控，在發(fā)生異常和非授權(quán)情況時發(fā)出警報。（風(fēng)險管理，安全監(jiān)控）

（3）檢查云服務(wù)商是否接受云租戶以外的第三方運行監(jiān)管，并定期開展云安全審計，并向組織或社會定期公布安全審計報告。（第三方安全監(jiān)管，云安全審計）

（4）檢查云服務(wù)商是否建立針對云計算平臺設(shè)施和軟件維護所使用有效控制維護機制并具備相關(guān)能力，包括制度、工具、技術(shù)、人員及能力。（云安全監(jiān)控）

（5）檢查云服務(wù)商是否提供通用的安全控制措施，以及針對組織特定的應(yīng)用需要及服務(wù)模式，提供專用的安全控制措施，并制定每個應(yīng)用或服務(wù)的安全計劃。（通用安全控制措施，專用安全控制措施）

（6）檢查云服務(wù)商是否提供開放接口或開放性安全服務(wù)，允許組織接入第三方安全產(chǎn)品或在云平臺選擇第三方安全服務(wù)，支持異構(gòu)方式對云租戶的網(wǎng)絡(luò)、主機、應(yīng)用、數(shù)據(jù)層的安全措施進行實施。（第三方安全產(chǎn)品接入）

（7）檢查云服務(wù)商的云服務(wù)平臺是否通過安全測試及國家等級保護認(rèn)證，以及其供應(yīng)商通過安全測評，從而對其安全措施的有效性進行驗證和評估，并檢查相關(guān)資質(zhì)證書和安全檢測報告，必要時須向組織提交供應(yīng)商清單。（安全測試評估，等保安全測評，產(chǎn)品及服務(wù)安全檢查）

（8）檢查云服務(wù)商是否為云計算平臺制定應(yīng)急響應(yīng)計劃并具備容災(zāi)恢復(fù)能力,建立必要的備份與恢復(fù)設(shè)施和機制應(yīng)急響應(yīng)與災(zāi)備。（應(yīng)急管理與應(yīng)急處置）

（9）檢查云服務(wù)商的對外溝通渠道與方式，從而確保其具備在發(fā)生供應(yīng)鏈安全事件信息、威脅信息、重大或緊急變更時能及時傳遞給組織。（應(yīng)急溝通）

3.云安全控制措施責(zé)任的識別

檢查在公有云環(huán)境下，組織是否根據(jù)采用的服務(wù)模式（IaaS、PaaS、SaaS），明確云服務(wù)提供商與自身所承擔(dān)的安全責(zé)任，以及是否有能力采取相應(yīng)的控制措施，如通用安全控制措施、專用安全控制措施和混合安全措施。（安全控制措施）

4.云服務(wù)合同及保密協(xié)議簽署

檢查組織與云服務(wù)商是否簽署服務(wù)合同，以及合同內(nèi)容中是否包括：雙方的安全責(zé)任和義務(wù)；客戶方就云計算服務(wù)的安全功能要求、強度要求、保障要求、保密要求；云服務(wù)商應(yīng)遵從的安全技術(shù)和管理標(biāo)準(zhǔn)；服務(wù)級別協(xié)議（SLA）及具體的參數(shù)，并對涉及術(shù)語、指標(biāo)、管理范圍、職責(zé)劃分、訪問授權(quán)、隱私保護、行為準(zhǔn)則進行確定；約定提供給云服務(wù)商的數(shù)據(jù)、設(shè)備等資源,以及云計算平臺上客戶業(yè)務(wù)運行過程中收集、產(chǎn)生、存儲的數(shù)據(jù)和文檔等都屬客戶所有,云服務(wù)商應(yīng)保證客戶對這些資源的訪問、利用、支配等；約定利用云服務(wù)商平臺或與云服務(wù)商合作開發(fā)創(chuàng)造出成果（軟件、信息和計算成果）的所有權(quán)、使用權(quán)等歸屬問題；約定云服務(wù)商不得依據(jù)其他國家的法律和司法要求將客戶數(shù)據(jù)及相關(guān)信息提供給他國政府及組織；未經(jīng)客戶授權(quán),不得訪問、修改、披露、利用、轉(zhuǎn)讓、銷毀客戶數(shù)據(jù);在服務(wù)合同終止時,應(yīng)將數(shù)據(jù)、文檔等歸還給客戶,并按要求徹底清除數(shù)據(jù)。如果客戶有明確的留存要求,應(yīng)按要求留存客戶數(shù)據(jù)；采取有效管理和技術(shù)措施確?？蛻魯?shù)據(jù)和業(yè)務(wù)系統(tǒng)的保密性、完整性和可用性。提供客戶有效的安全監(jiān)管、服務(wù)質(zhì)量下降及應(yīng)急處置的溝通渠道；約定當(dāng)發(fā)生安全事件并造成損失時對客戶的經(jīng)濟賠償；不以持有客戶數(shù)據(jù)相要挾,配合做好客戶數(shù)據(jù)和業(yè)務(wù)的遷移或退出；發(fā)生糾紛時,在雙方約定期限內(nèi)仍應(yīng)保證客戶數(shù)據(jù)安全；合同終止的條件及合同終止后云服務(wù)商應(yīng)履行的責(zé)任和義務(wù)；若云計算平臺中的業(yè)務(wù)系統(tǒng)與客戶其他業(yè)務(wù)系統(tǒng)之間需要數(shù)據(jù)交互,約定交互方式和接口;云計算服務(wù)的計費方式、標(biāo)準(zhǔn),客戶的支付方式等；安全審計的支持與報告。

檢查組織是否對可訪問客戶信息或掌握客戶業(yè)務(wù)運行信息的云服務(wù)商簽訂保密協(xié)議，以及對能夠接觸客戶信息或掌握客戶業(yè)務(wù)運行信息的云服務(wù)商內(nèi)部員工與其簽訂保密協(xié)議,并作為合同附件，保密協(xié)議應(yīng)至少包括：合規(guī)要求、敏感信息披露、發(fā)現(xiàn)與報告、保密協(xié)議的有效期。

三、云服務(wù)平臺開發(fā)測試與交付審計

（一）業(yè)務(wù)概述

組織部署云服務(wù)平臺可根據(jù)自身的能力，可選擇自建、二次開發(fā)或完全采購。因此，對該生命周期的檢查，重點在于檢查組織是否建立完善的開發(fā)、測試和驗收的管理流程，從而確保在云服務(wù)平臺交付后得以穩(wěn)定運行。

若組織直接從云服務(wù)商處采購的云服務(wù)不涉及二次開發(fā)，則該項審計內(nèi)容可不予考慮。

（二）審計目標(biāo)和內(nèi)容

1.云平臺開發(fā)規(guī)劃

該控制項旨在檢查組織進行云服務(wù)平臺開發(fā)建設(shè)時，是否將開發(fā)測試安全與平臺安全規(guī)劃納入到整體規(guī)劃建設(shè)方案當(dāng)中，并提前制定平臺開發(fā)的質(zhì)量管理、變更管理、測試與驗收以及開發(fā)全過程安全監(jiān)控等相關(guān)規(guī)范文檔。

2.開發(fā)安全風(fēng)險管理

該控制項旨在檢查組織進行云服務(wù)平臺開發(fā)建設(shè)時，是否實施平臺開發(fā)安全風(fēng)險管理，并將其集成到系統(tǒng)開發(fā)各生命周期活動中。

3.安全測試與培訓(xùn)

該控制項旨在檢查組織在進行云服務(wù)平臺開發(fā)建設(shè)時是否制定相關(guān)的平臺測試計劃和規(guī)程，并對其進行安全測試和平臺交付前的安全培訓(xùn)。

（三）常見問題和風(fēng)險

1.云服務(wù)平臺規(guī)劃與設(shè)計未同步考慮安全功能需求，導(dǎo)致安全整體保護能力不足。

2.云上應(yīng)用的相關(guān)安全需求、安全架構(gòu)和安全設(shè)計規(guī)范缺失，不利于落實各項安全要求，安全與功能建設(shè)未實現(xiàn)同步管理。

3.組織的云計算服務(wù)平臺由外部服務(wù)商進行開發(fā)建設(shè)時，未定義針對其安全措施有效性的持續(xù)監(jiān)控計劃，可能導(dǎo)致持續(xù)監(jiān)控失效的風(fēng)險。

4.云服務(wù)平臺的安全測試與培訓(xùn)不到位，未發(fā)現(xiàn)潛在的安全漏洞，一旦漏洞被利用，可能造成云平臺重要數(shù)據(jù)泄露。

（四）審計的主要方法和程序

1.平臺開發(fā)規(guī)劃

（1）檢查組織是否制定云服務(wù)平臺設(shè)計規(guī)范、安全架構(gòu)以及涉及開發(fā)過程的安全策略與規(guī)程等相關(guān)文檔,其應(yīng)定義各項安全功能、機制和服務(wù)如何協(xié)同工作,以提供完整一致的保護能力，并查看其是否定義各階段的信息安全角色及相應(yīng)責(zé)任人。

（2）檢查組織在進行云計算服務(wù)系統(tǒng)開發(fā)時，是否制定安全策略與規(guī)程等相關(guān)文檔,以及是否定義了系統(tǒng)生命周期,（如規(guī)劃階段、設(shè)計階段、實施階段、運維階段、廢止階段等），并提出各階段信息系統(tǒng)和服務(wù)的安全需求、安全架構(gòu)和安全設(shè)計規(guī)范，并檢查系統(tǒng)規(guī)劃文檔、系統(tǒng)設(shè)計說明書。

（3）檢查系統(tǒng)開發(fā)安全策略與規(guī)程等相關(guān)文檔，是否定義了在系統(tǒng)生命周期中使用的系統(tǒng)工程方法、軟件開發(fā)方法、測試技術(shù)和質(zhì)量控制過程，檢查開發(fā)測試文檔、變更文檔。

（4）檢查組織云計算服務(wù)平臺由外部服務(wù)商進行開發(fā)建設(shè)時，是否定義了針對其安全措施有效性的持續(xù)監(jiān)控計劃，并檢查持續(xù)監(jiān)控計劃的詳細(xì)程度。

（5）檢查系統(tǒng)開發(fā)安全策略與規(guī)程等相關(guān)文檔,是否對開發(fā)的環(huán)境和預(yù)期運行環(huán)境、驗收準(zhǔn)則及強制配置要求等進行了描述，并檢查云計算平臺信息系統(tǒng)、組件或服務(wù)開發(fā)清單中的相應(yīng)管理文檔。

2.開發(fā)安全風(fēng)險管理

（1）檢查系統(tǒng)開發(fā)安全策略與規(guī)程等相關(guān)文檔,查看其是否有將信息安全風(fēng)險管理過程集成到系統(tǒng)開發(fā)各生命周期活動中的要求，并訪談相關(guān)安全負(fù)責(zé)人，了解風(fēng)險管理的落實情況。

（2）訪談相關(guān)安全負(fù)責(zé)人，詢問組織是否對開發(fā)商說明的系統(tǒng)功能、端口、協(xié)議和服務(wù)進行必要的風(fēng)險評估,并基于該評估結(jié)果禁用不必要或高風(fēng)險的功能、端口、協(xié)議或服務(wù)。

3.安全測試與培訓(xùn)

（1）檢查組織或云服務(wù)平臺開發(fā)商是否制定測試計劃與測試規(guī)程等文檔，查看其是否定義了在單元、集成、系統(tǒng)以及回歸測試或評估時應(yīng)執(zhí)行的深度和覆蓋面，并檢查云計算服務(wù)系統(tǒng)的測試報告及代碼安全審查。

（2）檢查是否對云服務(wù)平臺部署前進行滲透測試和安全評估，了解其存在的脆弱性和威脅，并檢查測試和評估報告是否出自獨立第三方。

（3）檢查系統(tǒng)開發(fā)安全策略與規(guī)程等相關(guān)文檔,查看其是否定義了開發(fā)商需提供的有助于正確使用所交付系統(tǒng)或產(chǎn)品中的安全功能、措施和機制的培訓(xùn),是否要求開發(fā)商提供所定義的培訓(xùn)，并檢查相關(guān)培訓(xùn)記錄。

四、云計算平臺的安全管理審計

（一）業(yè)務(wù)概述

是指云計算平臺的安全合規(guī)管理，信息安全等級保護檢查測評及其他安全規(guī)范遵循工作。

（二）審計目標(biāo)和內(nèi)容

1.合規(guī)識別與制度制定

該控制項旨在檢查組織是否準(zhǔn)確識別與云計算相關(guān)的安全合規(guī)要求，如數(shù)據(jù)安全、數(shù)據(jù)存儲等內(nèi)容，同時制定云服務(wù)平臺安全管理的規(guī)章制度及安全監(jiān)督指標(biāo)。

2.云服務(wù)安全管理角色及責(zé)任

該控制項旨在檢查組織在其內(nèi)部是否識別并定義云服務(wù)管理的角色及其安全職責(zé)，特別關(guān)注是否涉及與客戶、云服務(wù)提供商共同確定的涉及云計算服務(wù)的安全職責(zé)，同時檢查職責(zé)設(shè)置的合理性。

3.信息安全等級保護落實檢查

該控制項旨在檢查組織部署的云服務(wù)平臺是否依據(jù)等保要求定級備案，并定期開展等保的落實檢查工作。

4.資源保障

該控制項旨在檢查組織是否為云服務(wù)平臺的開發(fā)部署和后期運行從制度層面提供保證機制并檢查工作的落實情況。

（三）常見問題和風(fēng)險

1.云服務(wù)平臺安全管理策略與制度不健全，無法有效發(fā)揮安全監(jiān)督作用。

2.云服務(wù)安全管理角色及責(zé)任定義不清晰，無法有效落實云平臺安全管控要求。

3.未定期開展信息安全等級保護檢查，無法及時發(fā)現(xiàn)現(xiàn)有控制措施與等保的差距，同時存在合規(guī)風(fēng)險。

（四）審計的主要方法和程序

1.合規(guī)識別與制度制定

（1）檢查組織是否制定了云服務(wù)平臺安全管理的規(guī)章制度，查看其內(nèi)容是否至少包括云服務(wù)平臺的安全制度與策略、安全組織與人員的相關(guān)規(guī)程、評審和更新信息安全規(guī)章制度的頻率。

（2）訪談系統(tǒng)安全負(fù)責(zé)人、外部服務(wù)提供商、開發(fā)商或客戶等內(nèi)外部相關(guān)人員,詢問傳達信息安全規(guī)章制度的情況，信息安全規(guī)章制度的評審和更新的情況，并檢查是否按要求進行了信息安全規(guī)章制度的評審和更新。

（3）檢查組織是否收集和整理相關(guān)的法律、法規(guī)、政策和標(biāo)準(zhǔn)要求,并形成合規(guī)文件清單。

2.云服務(wù)安全管理角色及責(zé)任

（1）調(diào)閱安全組織與人員策略與規(guī)程等相關(guān)文檔,查看是否明確崗位信息安全職責(zé)要求,定義需進行分離的關(guān)鍵職責(zé)從而滿足關(guān)鍵職責(zé)分離要求。

（2）訪談系統(tǒng)管理員、賬號管理員或安全管理員等相關(guān)人員,詢問通過訪問控制措施進行職責(zé)分離落實的情況。

（3）檢查崗位信息安全職責(zé)的相關(guān)文檔,查看其是否有與客戶和云服務(wù)提供商共同確定涉及云計算服務(wù)的安全職責(zé)。

（4）檢查組織是否對已確立的責(zé)任，包括組織自身、客戶和云服務(wù)提供商進行監(jiān)管與檢查，從而確保安全責(zé)任的落實。

3.信息安全等級保護落實檢查

（1）檢查組織是否基于已部署的云服務(wù)平臺上存儲數(shù)據(jù)和運行的重要性及受到侵害的程度對其進行等保定級。

（2）檢查組織是否基于云服務(wù)平臺的等保級別定期開展等保落實檢查工作，并調(diào)閱相關(guān)檢查文檔。

4.資源保障

（1）查閱組織的云服務(wù)管理制度文檔，檢查是否有為云服務(wù)平臺開發(fā)部署和后期運行提供資源保障的承諾描述。

（2）檢查工作計劃、預(yù)算管理過程文檔,查看是否有為保護信息系統(tǒng)和服務(wù)提供所需資源(如有關(guān)資金、場地、人力等)的項目。

（3）訪談信息安全負(fù)責(zé)人或系統(tǒng)安全負(fù)責(zé)人等相關(guān)人員,詢問為保護信息系統(tǒng)和服務(wù)所需資源的落實情況。

五、云計算平臺的遷移與部署審計

（一）業(yè)務(wù)概述

是指組織根據(jù)自身的安全需求和云計算服務(wù)的安全能力要求，制定云計算服務(wù)遷移與部署計劃并加以實施，確保數(shù)據(jù)和業(yè)務(wù)可以安全地向云計算平臺進行遷移與部署。

（二）審計目標(biāo)和內(nèi)容

1.遷移計劃

該控制項旨在檢查組織在進行云服務(wù)平臺遷移、部署前是否制定完善的遷移方案并對遷移過程可能產(chǎn)生的風(fēng)險進行分析并制定應(yīng)對方案，從而為后期執(zhí)行遷移部署提供保證。

2.平臺遷移測試與部署

該控制項旨在檢查組織是否依據(jù)已制定的遷移方案進行部署前的測試，并在部署完成后進行云服務(wù)平臺的運行測試，從而保證云服務(wù)平臺滿足既定的各項服務(wù)指標(biāo)。

（三）常見問題和風(fēng)險

1.未制定遷移部署方案或未嚴(yán)格執(zhí)行遷移部署方案，導(dǎo)致遷移失敗或遷移過程中業(yè)務(wù)中斷和數(shù)據(jù)丟失。

2.未開展針對遷移部署過程的風(fēng)險分析，無法根據(jù)識別出的風(fēng)險制定應(yīng)對方案和回退策略。

3.云服務(wù)平臺部署后，未依據(jù)既定的驗收標(biāo)準(zhǔn)對平臺的功能、性能和安全性進行測試，平臺功能未滿足預(yù)期要求并存在安全隱患。

（四）審計的主要方法和程序

1.遷移計劃

（1）檢查組織是否制定遷移部署方案（一次性遷移、階段性遷移）和實施進度計劃表，明確參與人員及職責(zé)，并查閱方案是否經(jīng)過審批。

（2）是否制定遷移部署的培訓(xùn)計劃并對參與人員進行相關(guān)培訓(xùn)。

（3）是否開展針對遷移部署過程的風(fēng)險分析，如數(shù)據(jù)丟失、業(yè)務(wù)中斷、部署過程中組織客戶數(shù)據(jù)和資源權(quán)限的泄露等，并根據(jù)識別出的風(fēng)險制定應(yīng)對方案和回退策略。

2.平臺遷移測試與部署

（1）檢查組織是否根據(jù)事前制定的平臺遷移測試計劃，組織技術(shù)力量或委托第三方對云服務(wù)平臺的遷移（包括數(shù)據(jù)和系統(tǒng)）進行部署前的測試，查看測試評估報告和整改建議并檢查具體整改措施的執(zhí)行情況。

（2）檢查組織是否采取技術(shù)手段，確保遷移前后數(shù)據(jù)的完整性與保密性，并調(diào)閱數(shù)據(jù)完整性測試報告。

（3）檢查組織在云服務(wù)平臺部署后，是否依據(jù)既定的驗收標(biāo)準(zhǔn)和監(jiān)控指標(biāo)對平臺的功能、性能和安全性進行監(jiān)控與測試，在滿足要求后投入運行，并調(diào)閱運行驗收測試報告。

六、云計算平臺的安全運維審計

（一）業(yè)務(wù)概述

云平臺投入運行后，雖然客戶將部分控制和管理任務(wù)轉(zhuǎn)移給云服務(wù)商,但最終安全責(zé)任還是由客戶自身承擔(dān)。因此需要對自身的云計算服務(wù)運維進行良好的安全管理。

（二）審計目標(biāo)和內(nèi)容

1.網(wǎng)絡(luò)與通信安全

該控制項旨在從兩種視角，針對網(wǎng)絡(luò)與通信安全，檢查組織或云服務(wù)商是否采取有效的措施，保證云服務(wù)平臺的安全，包括實施物理和虛擬網(wǎng)絡(luò)及主機的安全區(qū)域劃分、安全隔離、安全防護，并采取管理和技術(shù)措施確保網(wǎng)絡(luò)與通信的安全性和可用性。

2.身份鑒別

該控制項旨在檢查組織或云服務(wù)提供者是否在云計算環(huán)境中，針對云用戶、租戶和管理員采取多種身份鑒別手段，并確保在系統(tǒng)整個生命周期內(nèi)用戶標(biāo)識的唯一性，以及對主機、虛擬機監(jiān)視器和管理平臺采用證書技術(shù)，確保證書的可信度和系統(tǒng)的抗抵賴性，檢查整個身份鑒別機制的相關(guān)配置是否受到統(tǒng)一控制。

3.訪問控制

該控制項旨在檢查組織或云服務(wù)商是否針對物理資源、虛擬資源、網(wǎng)絡(luò)與通信和用戶與管理員制定相應(yīng)的訪問控制策略并據(jù)此執(zhí)行。

4.惡意代碼與入侵防范

該控制項旨在檢查組織或云服務(wù)商的云服務(wù)平臺是否具有從基礎(chǔ)設(shè)施層到資源抽象層的區(qū)域邊界和惡意代碼防護功能，并部署相應(yīng)的產(chǎn)品；是否制定惡意代碼庫的升級策略并主動進行更新，并對惡意代碼進行自動檢測、防范和響應(yīng)。

5.應(yīng)用與數(shù)據(jù)安全

該控制項旨在檢查云服務(wù)商或組織是否采取措施對云服務(wù)平臺涉及的重要數(shù)據(jù)進行有效識別和分類，并從平臺數(shù)據(jù)靜態(tài)存儲、動態(tài)傳輸與數(shù)據(jù)調(diào)用等三方面，檢查是否采取措施確保數(shù)據(jù)的機密性和完整性，以及為確保已識別出的重要數(shù)據(jù)的可用性采取備份與恢復(fù)措施，同時檢查云服務(wù)平臺對外接口的安全性。

6.安全監(jiān)控與審計

該控制項旨在檢查組織或云服務(wù)商是否對云服務(wù)平臺制定安全監(jiān)測的制度規(guī)范與策略，明確安全監(jiān)控指標(biāo)和監(jiān)控對象，至少應(yīng)包括資源類、安全事件和操作行為，并就云服務(wù)平臺的運營管理開展安全審計。（建立日志留痕記錄）

（三）常見問題和風(fēng)險

1.云計算服務(wù)系統(tǒng)安全區(qū)域劃分不合理，導(dǎo)致安全要求覆蓋不全面，存在安全風(fēng)險隱患。

2.云計算服務(wù)系統(tǒng)未部署流量檢測和清洗設(shè)備，無法對異常流量的監(jiān)控和統(tǒng)計分析，受異常流量影響，導(dǎo)致網(wǎng)絡(luò)不可用。

3.云計算服務(wù)系統(tǒng)身份鑒別機制不嚴(yán)格，導(dǎo)致身份認(rèn)證機制被繞過，造成重要數(shù)據(jù)或敏感信息的泄露。

4.云計算服務(wù)系統(tǒng)審計功能未開啟或?qū)徲嬋罩疚炊ㄆ诓榭矗瑹o法及時發(fā)現(xiàn)存在的違規(guī)操作或風(fēng)險隱患。

（四）審計的主要方法和程序

1.網(wǎng)絡(luò)與通信安全

（1）查閱網(wǎng)絡(luò)拓?fù)鋱D，并訪談安全管理人員，了解組織或云服務(wù)提供商是否對云計算服務(wù)系統(tǒng)根據(jù)業(yè)務(wù)安全需要對平臺資源層、服務(wù)層和應(yīng)用層進行安全區(qū)域的劃分，并在安全邊界進行隔離防護，同時，云租戶之間及租戶內(nèi)部也應(yīng)根據(jù)安全業(yè)務(wù)需要、等級保護原則和業(yè)務(wù)生命周期進一步劃分安全區(qū)域，制定各區(qū)域的安全策略并部署隔離防護設(shè)施，從而實現(xiàn)網(wǎng)絡(luò)隔離和虛擬機之間的隔離。（區(qū)域邊界劃分、網(wǎng)絡(luò)安全隔離與防護、虛擬安全域劃分）

（2）檢查虛擬機監(jiān)視器、云管理平臺，查看同一宿主機內(nèi)虛擬機之間、虛擬機與物理機之間流量是否能被識別、監(jiān)控，并查看不同宿主機的虛擬機之間、虛擬機與物理機之間流量是否能被識別、監(jiān)控。（流量監(jiān)管）

（3）檢查網(wǎng)絡(luò)架構(gòu)、配置策略和云管理平臺，查看是否實現(xiàn)管理流量和業(yè)務(wù)流量的分離，以及云平臺管理流量與云租戶業(yè)務(wù)流量的分離。（流量分離）

（4）檢查云服務(wù)提供商或組織是否對云計算系統(tǒng)各組成部分之間、虛擬機之間、云計算系統(tǒng)內(nèi)部通信網(wǎng)絡(luò)，通過通信完整性校驗、密碼技術(shù)和VPN技術(shù)確保網(wǎng)絡(luò)和通信的完整性與安全性。（網(wǎng)絡(luò)安全性）

（5）檢查云服務(wù)提供商或組織是否部署流量檢測和清洗設(shè)備，實現(xiàn)對異常流量的監(jiān)控和統(tǒng)計分析，防止因異常流量造成的網(wǎng)絡(luò)不可用。（網(wǎng)絡(luò)可用性）

（6）查閱網(wǎng)絡(luò)拓?fù)鋱D，檢查服務(wù)商或組織對網(wǎng)絡(luò)是否采用冗余技術(shù)，對關(guān)鍵鏈路、主要物理網(wǎng)絡(luò)設(shè)備、虛擬網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)核心和匯聚層等部署冗余設(shè)備，并根據(jù)租戶、主機和應(yīng)用的業(yè)務(wù)重要程度，劃分對應(yīng)的網(wǎng)絡(luò)帶寬優(yōu)先級，從而確保網(wǎng)絡(luò)的可用性。（網(wǎng)絡(luò)可用性）

2.身份鑒別

（1）檢查組織是否制定身份認(rèn)證和賬號策略，包括用戶身份與終端綁定、完整性驗證檢查、賬號鎖定、賬號時效、禁止重復(fù)登錄等策略,并采取兩種及兩種以上組合機制對用戶身份進行驗證，對系統(tǒng)管理員和安全管理員是否采用單點登錄的集中用戶驗證機制。（單點登錄、集中用戶認(rèn)證）

（2）檢查用戶的驗證信息是否加密存儲，限制登錄口令最小長度和更換周期。

（3）檢查云管理平臺，在進行遠(yuǎn)程管理時，是否對管理終端和云平臺邊界設(shè)備之間建立雙向身份驗證機制（如證書、共享密鑰等），并限制訪問重要物理資源及虛擬資源、安全管理中心的遠(yuǎn)程登錄地址。（遠(yuǎn)程登錄身份認(rèn)證）

（4）檢查網(wǎng)絡(luò)策略控制器和網(wǎng)絡(luò)設(shè)備（或設(shè)備代理）之間是否建立雙向身份驗證機制，并驗證網(wǎng)絡(luò)設(shè)備防護能力是否符合要求。（設(shè)備間的身份鑒別）

3.訪問控制

（1）檢查服務(wù)商或組織是否基于系統(tǒng)業(yè)務(wù)類型、重要性或信息的重要程度，根據(jù)安全域的劃分，制定訪問控制策略，并檢查不同安全等級網(wǎng)絡(luò)區(qū)域邊界訪問控制機制部署情況及訪問控制規(guī)則，從而判斷針對邊界訪問控制機制或邊界訪問控制設(shè)備、不同虛擬機間訪問控制、虛擬機遷移是否得到有效控制。

（網(wǎng)絡(luò)訪問控制，虛擬資源訪問控制）

（2）檢查服務(wù)商或組織是否對特權(quán)用戶、系統(tǒng)管理員、用戶和云租戶依據(jù)“最小授權(quán)”原則和“職責(zé)分離”原則進行訪問控制權(quán)限的設(shè)置。

（3）檢查服務(wù)商或組織是否對包括用戶、訪問協(xié)議實現(xiàn)對云服務(wù)平臺的網(wǎng)絡(luò)設(shè)備訪問進行控制。

（4）檢查服務(wù)商或組織是否制定并部署針對虛擬機和多租戶的訪問控制策略，并允許租戶在自身虛擬機上部署各自的訪問控制策略，或通過在虛擬機監(jiān)視器上集中部署訪問控制策略。（虛擬化和多租戶訪問控制）

4.惡意代碼與入侵防范

（1）檢查云服務(wù)提供商或組織內(nèi)部是否制定惡意代碼和入侵防范系統(tǒng)特征庫的更新策略，并檢查惡意代碼版本和入侵防范系統(tǒng)特征庫是否與其服務(wù)提供商的最新版本相一致。

（2）檢查惡意代碼防護系統(tǒng)是否采取集中管理、統(tǒng)一部署的方式，可自動對惡意代碼感染及其在虛擬機之間的蔓延進行檢測和告警，并在監(jiān)測到破壞后進行修復(fù)，同時為確保虛擬機安全系統(tǒng)建立惡意代碼傳播路徑的追蹤和安全隔離。（惡意代碼防范）

（3）檢查惡意代碼保護和入侵防范的對象，在基礎(chǔ)設(shè)施層到資源抽象層是否針對包括宿主機和虛擬主機以及虛擬機監(jiān)視器和云管理平臺。

（4）檢查云服務(wù)提供商或組織內(nèi)部是否在（高風(fēng)險）區(qū)域邊界和關(guān)鍵網(wǎng)絡(luò)節(jié)點處部署惡意代碼防護系統(tǒng)，從而實現(xiàn)對終端、web應(yīng)用、郵件系統(tǒng)、數(shù)據(jù)庫、中間件、網(wǎng)絡(luò)虛擬化軟件、虛擬機監(jiān)視器或云管理平臺惡意代碼檢測與清除，特別是虛擬服務(wù)器之間數(shù)據(jù)交換和云終端接入通信。

（5）檢查云服務(wù)提供商或組織內(nèi)部是否在區(qū)域邊界、關(guān)鍵業(yè)務(wù)系統(tǒng)采取相關(guān)技術(shù)措施，根據(jù)風(fēng)險大小，在其附近部署入侵檢測與防范系統(tǒng)，從而實現(xiàn)對用戶行為、惡意流量、惡意攻擊、惡意掃描及異常流量和未知威脅的識別、監(jiān)控、防護，同時對上述活動進行數(shù)據(jù)收集、存儲和分析。（入侵防范）

（6）檢查部署的入侵檢測與防范系統(tǒng)日志，審計日志記錄內(nèi)容是否與審計信息相關(guān)及是否受到安全保護和定期備份，防止非預(yù)期的修改、刪除和覆蓋，并檢查云服務(wù)提供商或組織是否對日志進行關(guān)聯(lián)分析并進行關(guān)聯(lián)響應(yīng)。

5.應(yīng)用與數(shù)據(jù)安全

（1）檢查組織是否制定針對云服務(wù)平臺對外接口的安全策略，并檢查接口設(shè)計文檔或開放性服務(wù)技術(shù)文檔，查看是否符合開放性及安全性要求。

（2）檢查組織是否對云服務(wù)平臺對外接口進行滲透測試或代碼審計并調(diào)閱測試或?qū)徲媹蟾?，從而驗證是否存在安全漏洞或安全隱患。

（3）檢查云服務(wù)商或組織是否針對系統(tǒng)管理數(shù)據(jù)（如鏡像文件、快照）、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)，在存儲、傳輸過程（包括云計算系統(tǒng)內(nèi)部和虛擬機之間的通信）中，使用具有完整性校驗和加密的技術(shù)與工具進行完整性校驗，從而防止在存儲和傳輸過程中遭到破壞、惡意篡改和泄露，并對不一致的數(shù)據(jù)進行恢復(fù)。（鏡像與快照保護）

（4）檢查是否采用完整性校驗算法和工具防止被惡意篡改。

（5）檢查云服務(wù)商或組織是否使用統(tǒng)一的調(diào)用接口，對存儲和使用環(huán)節(jié)的數(shù)據(jù)進行完整性檢查。

（6）檢查云服務(wù)商或組織對上層提供接口、操作云服務(wù)控制平臺、向云主機或云存儲系統(tǒng)及數(shù)據(jù)庫傳輸數(shù)據(jù)是否采用加密技術(shù)，包括加密協(xié)議、算法。

（7）檢查云服務(wù)商或組織是否針對云服務(wù)系統(tǒng)涉及的本地數(shù)據(jù)、在線數(shù)據(jù)、重要業(yè)務(wù)信息及軟件系統(tǒng)，根據(jù)重要程度和數(shù)據(jù)敏感性，制定分類分級策略及相應(yīng)的備份恢復(fù)策略，對不同等級的數(shù)據(jù)進行備份與恢復(fù)。

（8）檢查是否制定并實施針對虛擬資源數(shù)據(jù)級、系統(tǒng)級和應(yīng)用級的冗余備份。

6.安全監(jiān)控與安全審計

（1）訪談系統(tǒng)安全負(fù)責(zé)人，詢問制定哪些相關(guān)策略從而對安全措施有效性進行持續(xù)監(jiān)控，并檢查云平臺對安全措施有效性進行持續(xù)監(jiān)控，監(jiān)控應(yīng)至少包括漏洞與補丁監(jiān)控、宿主機監(jiān)控、網(wǎng)絡(luò)監(jiān)控、用戶/租戶/管理員的操作行為監(jiān)控、網(wǎng)絡(luò)安全事件監(jiān)控和系統(tǒng)行為監(jiān)控。（安全監(jiān)控）

（2）檢查審計策略與規(guī)程等相關(guān)文檔,查看是否可對上述監(jiān)控對象進行審計，并定義可（連續(xù)）審計事件,是否制定并維護該審計事件清單，及是否定義了需連續(xù)審計事件的審計頻率。（連續(xù)性審計）

（3）檢查審計范圍是否包括重要用戶行為、系統(tǒng)安全事件、數(shù)據(jù)庫行為、虛擬機的遷移、虛擬資源申請、虛擬資源調(diào)度、虛擬資源分配、虛擬資源異常使用和重要命令進行安全審計，以及是否可以實現(xiàn)集中審計或第三方審計。

（4）檢查審計策略與規(guī)程等相關(guān)文檔,查看是否對審計記錄內(nèi)容提出要求，應(yīng)至少包含:事件類型、事件發(fā)生的時間和地點、事件來源、事件結(jié)果以及與事件相關(guān)的用戶或主體的身份等相關(guān)信息，并檢查日志的存儲安全和存儲周期是否符合審計策略與規(guī)程。

（5）檢查審計策略與規(guī)程等相關(guān)文檔,查看是否建立了與其他組織針對安全審計的協(xié)調(diào)機制。（外部審計協(xié)調(diào)）

（6）檢查組織是否根據(jù)不同的審計對象部署審計產(chǎn)品，并登錄查看審計功能是否開啟并基于審計策略進行配置，查看審計記錄是否包含所規(guī)定的審計內(nèi)容。

（7）檢查審計記錄存儲容量配置信息,查看是否按照要求配置了相應(yīng)的存儲容量。

（8）檢查審計策略與規(guī)程等相關(guān)文檔,查看是否定義了當(dāng)審計過程失敗時接收報警信息的人員（角色）清單。

（9）檢查審計系統(tǒng)配置信息,查看是否有系統(tǒng)審計過程失敗的報警機制，并訪談云服務(wù)商定義的人員或角色,詢問接收到審計失敗告警信息的情況和處理機制與流程。

（10）檢查審計策略與規(guī)程、系統(tǒng)設(shè)計說明書等相關(guān)文檔,查看是否提供審計處理和審計報告生成的機制，以及是否支持實時或準(zhǔn)實時的審查、分析和報告,并對安全事件的事后調(diào)查。

（11）檢查審計策略與規(guī)程等相關(guān)文檔,查看是否定義了在線保存審計記錄的時間段,是否要求支持安全事件的事后調(diào)查,是否要求符合法律法規(guī)及客戶的信息留存的要求，并檢查記錄留存的時間配置信息,查看是否與定義的時間段一致。

七、服務(wù)關(guān)閉與數(shù)據(jù)遷移審計

（一）業(yè)務(wù)概述

是指組織在云服務(wù)關(guān)閉與數(shù)據(jù)遷移前應(yīng)當(dāng)制定關(guān)閉當(dāng)前云服務(wù)平臺或向其他云服務(wù)平臺遷移時相關(guān)流程，從而確保組織完整退出當(dāng)前云服務(wù)階段，同時確保原云服務(wù)商的相關(guān)責(zé)任和義務(wù)得到履行。

（二）審計目標(biāo)和內(nèi)容

1.關(guān)閉和遷移規(guī)劃

該控制項旨在檢查組織是否就云服務(wù)平臺關(guān)閉及其所涉及的平臺數(shù)據(jù)遷移制定相應(yīng)的規(guī)劃方案和應(yīng)急預(yù)案，從而確保數(shù)據(jù)遷移的妥善執(zhí)行以及服務(wù)的連續(xù)性、可用性。

2.數(shù)據(jù)遷移及完整性和保密性保障

該控制項旨在檢查組織在云服務(wù)平臺關(guān)閉時所進行的平臺數(shù)據(jù)遷移操作是否有效確保組織數(shù)據(jù)的完整性和保密性。

（三）常見問題和風(fēng)險

1.原有云平臺上存儲的數(shù)據(jù)完全未返回組織或執(zhí)行徹底清除程序，導(dǎo)致殘留數(shù)據(jù)泄露。

2.未制定云平臺數(shù)據(jù)遷移和資料移交清單，導(dǎo)致遷移數(shù)據(jù)不完整或資料不全面，影響遷移效果，也不利于遷移資料的規(guī)范化管理。

（四）審計的主要方法和程序

1.關(guān)閉和遷移規(guī)劃

（1）檢查組織是否制定云服務(wù)平臺關(guān)閉及其數(shù)據(jù)遷移的規(guī)劃、方案、流程，從而確保平臺數(shù)據(jù)和業(yè)務(wù)的可用性、連續(xù)性，如是否制定回退方案和應(yīng)急預(yù)案等。

（2）檢查組織是否對回退方案或應(yīng)急預(yù)案進行測試并調(diào)閱測試報告。

2.數(shù)據(jù)遷移及完整性和保密性保障

（1）檢查組織是否制定平臺數(shù)據(jù)遷移和資料移交清單，包括客戶移交給云服務(wù)商的數(shù)據(jù)和資料,以及客戶業(yè)務(wù)系統(tǒng)在云計算平臺上運行期間產(chǎn)生、收集的數(shù)據(jù)以及相關(guān)文檔資料,如數(shù)據(jù)文件、程序代碼、說明書、技術(shù)資料、運行日志等。

（2）檢查組織是否為確保遷移數(shù)據(jù)的完整性和保密性而采取相應(yīng)的措施。

（3）調(diào)閱組織平臺數(shù)據(jù)遷移的歷史記錄和遷移數(shù)據(jù)完整性、有效性測試報告。

（4）調(diào)閱原有云服務(wù)合同，了解組織對于原云服務(wù)商平臺數(shù)據(jù)存儲的時限要求和刪除要求，并查閱相關(guān)數(shù)據(jù)刪除與介質(zhì)銷毀的歷史記錄，判斷是否符合組織數(shù)據(jù)與介質(zhì)銷毀的服務(wù)要求。