国家标准《信息安全技术 云计算服务安全能力评估方法》征求意见稿发布
内容提要
2023年2月4日，全国信息安全标准化技术委员会发布了《信息安全技术 云计算服务安全能力评估方法》征求意见稿。该文件适用于第三方评估机构对云服务商的安全能力进行评估，也可供云服务商自评估参考。标准主要参考了国外相关标准和实践，以及我国云计算服务安全评估工作的经验。
延伸解读
标准修订的承上启下作用
本次征求意见稿是对GB/T 34942-2017的修订，依据更新后的GB/T 31168-2023《信息安全技术 云计算服务安全能力要求》。这意味着评估方法需与新版安全能力要求保持一致，原有基于2014版标准的评估实践将面临调整。对于已通过或正在开展云计算服务安全评估的云服务商，需关注标准换版带来的评估要点变化，及时更新自评估和迎评准备。
与现行监管制度的衔接
该标准是落实《云计算服务安全评估办法》和《网络安全审查办法》的主要支撑标准，已在云计算服务安全评估中广泛使用。其修订不仅影响第三方评估机构的具体操作，也关系到党政机关、关键信息基础设施运营者采购云计算服务时的安全审查。读者可留意标准正式发布后，相关评估工作是否随之调整，以及云服务商如何依据新标准证明自身安全能力。
国际经验与本土实践的结合
编制背景显示，标准既参考了美国FedRAMP、欧盟云战略及ISO/IEC 27017、27018等国际标准和实践，也凝聚了我国云计算服务安全评估工作的经验。这种结合意味着评估方法在借鉴国际通行做法的同时，需适应国内监管框架和产业环境。对于跨国云服务商或采用国际安全体系的机构，需注意国内外评估要求之间的对应与差异，避免简单套用。
Q&A
《信息安全技术 云计算服务安全能力评估方法》征求意见稿是什么时候发布的？
2023年2月4日，全国信息安全标准化技术委员会发布了该征求意见稿。
这个评估方法标准适用于哪些对象？
适用于第三方评估机构对云服务商提供云计算服务时具备的安全能力进行评估，云服务商自评估时也可参考。
该评估方法标准依据哪个标准制定？
依据GB/T 31168-2023《信息安全技术 云计算服务安全能力要求》制定。
编制该标准的背景是什么？
云计算是信息技术产业发展的战略重点，国外政府重视云计算应用并制定相关政策法规，我国也发布了《云计算服务安全评估办法》等要求对云服务进行安全评估，本标准是落实这些规定的主要支撑标准。
该标准与GB/T 34942-2017版有什么关系？
本标准原来版本即GB/T 34942-2017版，是依据GB/T 31168-2014版进行的评估，现根据GB/T 31168-2023对GB/T 34942-2017进行修订。
该标准主要参考了哪些国外标准和实践？
参考了美国联邦云计算战略、FedRAMP、欧盟云战略等政策，以及ISO/IEC JTC1 SC27发布的ISO 27017和ISO 27018等国际标准。
