要点一：系统定级与管理职责划分
云计算服务带来了“云主机”等虚拟计算资源，将传统IT环境中信息系统运营、使用单位的单一安全责任转变为云租户和云服务商双方“各自分担”的安全责任，使得云计算环境下定级工作相对比较复杂。
云计算系统的定级对象在原有定级对象基础上进行了扩展，原有定级对象主要是信息系统和相关基础网络，而云计算将定级对象扩展为云服务商的云平台和云租户的应用系统。
云计算系统定级时，云服务商的云平台和云租户的应用系统应分别定级，云平台等级应不低于应用系统的安全保护等级。对于公有云，定级流程为云平台先定级测评，再提供云服务。对于私有云，定级流程为云平台先定级测评，再将已定级应用系统向云平台迁移。
云计算系统定级的重点在于定级对象管理职责的划分，职责的划分根据不同云计算服务模式采取不同划分方式。
（一） 对于IaaS基础设施服务模式，云服务商的职责范围包括虚拟机监视器和硬件，云租户的职责范围包括操作系统、中间件和应用等。
（二） 对于PaaS平台即服务的服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统和中间件，云租户的职责范围为应用。
（三） 对于SaaS软件服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统、中间件和应用，云租户的职责范围包括部分应用职责及用户使用职责。
云计算服务模式以及角色的不同决定着定级对象的管理职责不同，从而决定着定级的系统范围的不同。
要点二：云计算系统保护对象的扩展
由于虚拟化等新技术的应用，IaaS/PaaS/SaaS按需服务模式的引入，相对于传统信息系统，云计算系统的保护对象有所增加。云计算系统的保护对象与传统信息系统保护对象对照如下表所示，其中加黑的对象为云计算系统所特有的保护对象：
层面 | 云计算系统保护对象 | 传统信息系统保护对象 |
物理和环境安全 | 机房及基础设施 | 机房及基础设施 |
网络和通信安全 | 网络结构、网络设备、安全设备、综合网管系统、虚拟化网络结构、虚拟网络设备、虚拟安全设备、虚拟机监视器、云管理平台 | 网络设备、安全设备、网络结构、综合网管系统 |
设备和计算安全 | 主机、数据库管理系统、终端、网络设备、安全设备、虚拟网络设备、虚拟安全设备、物理机、宿主机、虚拟机、虚拟机监视器、云管理平台、网络策略控制器 | 主机、数据库管理系统、终端、中间件、网络设备、安全设备 |
应用和数据安全 | 应用系统、中间件、配置文件、业务数据、用户隐私、鉴别信息、云应用开发平台、云计算服务对外接口、云管理平台、镜像文件、快照、数据存储设备、数据库服务器 | 应用系统、中间件、配置文件、业务数据、用户隐私、鉴别信息等 |
安全管理机构和人员 | 信息安全主管，相关文档 | 信息安全主管、相关文档 |
安全建设管理 | 系统建设负责人、服务水平协议、云计算平台、供应商资质、相关文档、相关资质、相关检测报告 | 系统建设负责人、记录表单类文档 |
安全运维管理 | 安全管理员、相关文档、运维设备、云计算平台、第三方审计结果 | 系统管理员、网络管理员、数据库管理员、安全管理员、运维负责人、相关文档 |
云等保实践
经过几年来的客户成功实践，我们站安全数据驱动安全方法论成为了满足客户云环境下网络安全合规的最佳指导思路，而基于“云计算安全可运营”的业务设计思路，更贴合了云等保安全体系要求，实现了在云计算环境中落地丰富的安全技术能力，有效解决了客户在云及云化业务面临的安全与合规挑战。
