云計(jì)算保險(xiǎn)風(fēng)險(xiǎn)評估指引

T/IACCCSA36—2019

目次

前言......................................................................II

引言.....................................................................III

1范圍...............................................................................1

2規(guī)范性引用文件.....................................................................1

3術(shù)語和定義.........................................................................1

4概述...............................................................................2

5風(fēng)險(xiǎn)評估...........................................................................3

附錄A(資料性附錄)云計(jì)算風(fēng)險(xiǎn)管理能力評估指標(biāo)及權(quán)重.................................10

附錄B(資料性附錄)云計(jì)算保險(xiǎn)風(fēng)險(xiǎn)評估系數(shù)...........................................14

參考文獻(xiàn)....................................................................15

云計(jì)算保險(xiǎn)風(fēng)險(xiǎn)評估指引

Guidanceoncloudcomputinginsuranceriskassessment

I

T/IACCCSA36—2019

前言

本標(biāo)準(zhǔn)按照GB/T1.1-2009給出的規(guī)則起草

本標(biāo)準(zhǔn)由中國保險(xiǎn)行業(yè)協(xié)會、中國通信標(biāo)準(zhǔn)化協(xié)會提出并歸口

本標(biāo)準(zhǔn)起草單位：中國信息通信研究院、中國人民財(cái)產(chǎn)保險(xiǎn)股份有限公司、中國太平洋保險(xiǎn)（集團(tuán)）

股份有限公司、中國人壽保險(xiǎn)股份有限公司數(shù)據(jù)中心、安心財(cái)產(chǎn)保險(xiǎn)有限責(zé)任公司、中國再保險(xiǎn)（集團(tuán)）

股份有限公司、陽光保險(xiǎn)集團(tuán)股份有限公司、泰康保險(xiǎn)集團(tuán)股份有限公司、華為技術(shù)有限公司、深圳市

騰訊計(jì)算機(jī)系統(tǒng)有限公司、北京青云科技股份有限公司、云棧科技（北京）有限公司、杭州數(shù)夢工場科

技有限公司。

本標(biāo)準(zhǔn)起草人：栗蔚、郭雪、孔松、衛(wèi)斌、方曉棟、高曉鵬、潘沛宇、胡罡、顧睿、張寧軍、袁紅、

于希金、李文鵬、張?jiān)讫?、馮鍵、成宇、劉洋、王玉東、黃建坤、段紅帥、白陽、趙華、符海芳、蔣增

增、武獻(xiàn)雨、傅帥、張春源、杜建偉、李小慶、宋敬海。

云計(jì)算保險(xiǎn)風(fēng)險(xiǎn)評估指引

Guidanceoncloudcomputinginsuranceriskassessment

II

T/IACCCSA36—2019

引言

本標(biāo)準(zhǔn)規(guī)定了云計(jì)算風(fēng)險(xiǎn)管理框架，針對云計(jì)算運(yùn)行過程中面臨的服務(wù)不可用、數(shù)據(jù)丟失、數(shù)據(jù)泄

露等風(fēng)險(xiǎn)，提出風(fēng)險(xiǎn)管理方法。云計(jì)算風(fēng)險(xiǎn)管理流程包括風(fēng)險(xiǎn)評估、風(fēng)險(xiǎn)處置、風(fēng)險(xiǎn)接受、風(fēng)險(xiǎn)溝通以

及風(fēng)險(xiǎn)監(jiān)視和評審等內(nèi)容。

III

T/IACCCSA36—2019

云計(jì)算保險(xiǎn)風(fēng)險(xiǎn)評估指引

1范圍

本標(biāo)準(zhǔn)規(guī)定了云計(jì)算風(fēng)險(xiǎn)評估辦法，針對云計(jì)算運(yùn)行過程中面臨出現(xiàn)的服務(wù)不可用、數(shù)據(jù)丟失、數(shù)

據(jù)泄露等風(fēng)險(xiǎn)后果提出管理方法。

本標(biāo)準(zhǔn)適用于保險(xiǎn)公司在云服務(wù)商為云平臺投保時(shí)，由保險(xiǎn)公司或第三方評估機(jī)構(gòu)進(jìn)行云服務(wù)商風(fēng)

險(xiǎn)管理水平的評估，以作為投保的有效依據(jù)。

注：本標(biāo)準(zhǔn)不適用于技術(shù)路線風(fēng)險(xiǎn)和政治風(fēng)險(xiǎn)的風(fēng)險(xiǎn)評估。

2規(guī)范性引用文件

下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文

件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

GB/T22081-2008信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則

GB/T32400-2015信息技術(shù)云計(jì)算概覽與詞匯

JR/T0166-2018云計(jì)算技術(shù)金融應(yīng)用規(guī)范技術(shù)架構(gòu)

YDB144–2014云計(jì)算協(xié)議參考框架

3術(shù)語和定義

下列術(shù)語和定義適用于本文件。

3.1

云計(jì)算cloudcomputing

一種通過網(wǎng)絡(luò)將可伸縮、彈性的共享物理和虛擬資源池按需自服務(wù)的方式供應(yīng)和管理的模式。

注：資源包括服務(wù)器、操作系統(tǒng)、網(wǎng)絡(luò)、軟件、應(yīng)用和存儲設(shè)備等。

[GB/T32400-2015，定義3.2.5]

3.2

云計(jì)算服務(wù)cloudcomputingservice

使用定義的接口，借助云計(jì)算提供一種或多種資源的能力。

注：資源實(shí)例包括服務(wù)器、操作系統(tǒng)、網(wǎng)絡(luò)、軟件、應(yīng)用和存儲設(shè)備等。

[GB/T32400-2015，定義3.2.5]

3.3

云服務(wù)提供者cloudserviceprovider

提供云服務(wù)的的方。

[GB/T32400-2015，定義3.2.15]

1

T/IACCCSA36—2019

3.4

云計(jì)算平臺cloudcomputingplatform

云服務(wù)提供者和云服務(wù)合作者提供的云計(jì)算基礎(chǔ)設(shè)施及其上服務(wù)軟件的集合。

[JR/T0166-2018，定義3.8]

3.5

風(fēng)險(xiǎn)risk

事態(tài)的概率及其結(jié)果的組合。

[GB/T22081-2008，定義2.9]

3.6

風(fēng)險(xiǎn)評估riskassessment

風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評價(jià)的整個(gè)過程。

[GB/T22081-2008，定義2.11]

3.7

風(fēng)險(xiǎn)管理riskmanagement

指導(dǎo)和控制一個(gè)組織相關(guān)風(fēng)險(xiǎn)的協(xié)調(diào)活動。

注：風(fēng)險(xiǎn)管理一般包括風(fēng)險(xiǎn)評估、風(fēng)險(xiǎn)處置、風(fēng)險(xiǎn)接受和風(fēng)險(xiǎn)溝通。

[GB/T22081-2008，定義2.13]

3.8

風(fēng)險(xiǎn)處置risktreatment

選擇并且執(zhí)行措施來更改風(fēng)險(xiǎn)的過程。

[GB/T22081-2008，定義2.14]

3.9

威脅treat

可能導(dǎo)致對系統(tǒng)或組織的損害的不期望事件發(fā)生的潛在原因。

[GB/T22081-2008，定義2.16]

3.10

脆弱性vulnerability

可能會被一個(gè)或多個(gè)威脅所利用的資產(chǎn)或一組資產(chǎn)的弱點(diǎn)。

[GB/T22081-2008，定義2.17]

4概述

2

T/IACCCSA36—2019

本標(biāo)準(zhǔn)規(guī)定了云計(jì)算風(fēng)險(xiǎn)評估方法。風(fēng)險(xiǎn)評估需要對云計(jì)算關(guān)鍵點(diǎn)包括基礎(chǔ)設(shè)施、網(wǎng)絡(luò)、計(jì)算資源、

存儲資源、應(yīng)用、業(yè)務(wù)、數(shù)據(jù)、管理規(guī)范、運(yùn)維運(yùn)營、風(fēng)險(xiǎn)整合劃分等進(jìn)行識別，云計(jì)算風(fēng)險(xiǎn)管理能力

框架見圖1。并對風(fēng)險(xiǎn)管控措施進(jìn)行識別，根據(jù)風(fēng)險(xiǎn)識別結(jié)果估算出風(fēng)險(xiǎn)概率。

圖1云計(jì)算風(fēng)險(xiǎn)管理流程

5風(fēng)險(xiǎn)評估

5.1風(fēng)險(xiǎn)識別

風(fēng)險(xiǎn)識別的目的是確定可能發(fā)生什么將導(dǎo)致潛在的損失，包括云計(jì)算關(guān)鍵點(diǎn)識別、威脅識別、脆弱

點(diǎn)識別、風(fēng)險(xiǎn)管控措施識別。

5.1.1云計(jì)算關(guān)鍵點(diǎn)識別

云計(jì)算涉及基礎(chǔ)設(shè)施、網(wǎng)絡(luò)、計(jì)算資源、存儲、應(yīng)用、業(yè)務(wù)、數(shù)據(jù)、人員、管理規(guī)范、運(yùn)維運(yùn)營等

多個(gè)關(guān)鍵環(huán)節(jié)，有些屬于云服務(wù)提供者自身資產(chǎn)，有些涉及第三方合作單位。云計(jì)算關(guān)鍵點(diǎn)分類見表1。

表1云計(jì)算關(guān)鍵點(diǎn)

類別描述

基礎(chǔ)設(shè)施數(shù)據(jù)中心

網(wǎng)絡(luò)網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)運(yùn)營商、網(wǎng)絡(luò)架構(gòu)

計(jì)算資源物理服務(wù)器、虛擬主機(jī)、容器

存儲資源存儲設(shè)備、存儲架構(gòu)

應(yīng)用云計(jì)算門戶網(wǎng)站等

業(yè)務(wù)云計(jì)算

數(shù)據(jù)用戶數(shù)據(jù)、系統(tǒng)數(shù)據(jù)

3

T/IACCCSA36—2019

人員運(yùn)維人員

管理規(guī)范運(yùn)維管理規(guī)范、應(yīng)急事件響應(yīng)管理規(guī)范

運(yùn)維運(yùn)營云計(jì)算平臺運(yùn)維

風(fēng)險(xiǎn)整合劃分云計(jì)算面臨風(fēng)險(xiǎn)的責(zé)任劃分

云計(jì)算關(guān)鍵點(diǎn)應(yīng)依據(jù)在業(yè)務(wù)價(jià)值和可用性上的影響程度進(jìn)行賦值。云計(jì)算關(guān)鍵點(diǎn)的權(quán)重見表2。

表2云計(jì)算關(guān)鍵點(diǎn)權(quán)重

權(quán)重標(biāo)識定義

3高非常重要，被破壞后可能對云計(jì)算造成非常嚴(yán)重的損失

2中比較重要，被破壞后可能對云計(jì)算造成中等程度的損失

1低不太重要，被破壞后可能對云計(jì)算造成較低的損失

5.1.2云計(jì)算威脅識別

威脅是一種對云計(jì)算構(gòu)成潛在破壞的可能性因素，是客觀存在的。造成威脅的因素包括環(huán)境因素、

技術(shù)故障和人為因素等。威脅分類見表3。

表3威脅分類

威脅類型描述

環(huán)境因素?cái)嚯姟㈧o電、灰塵、潮濕、溫度、洪災(zāi)、火災(zāi)、地震等環(huán)境條件和自然災(zāi)害

技術(shù)故障硬件故障、云平臺軟件漏洞

人為外部人員威脅黑客攻擊、系統(tǒng)入侵、未經(jīng)授權(quán)的系統(tǒng)訪問、系統(tǒng)篡改、竊取信息

因素內(nèi)部人員威脅誤操作、惡意行為

判斷威脅出現(xiàn)的頻率是威脅識別的重要工作。威脅頻率等級劃分為三級，分別代表威脅出現(xiàn)的頻率

的高低，等級數(shù)值越大，威脅出現(xiàn)的頻率越高，對云計(jì)算關(guān)鍵點(diǎn)的影響越大。威脅發(fā)生可能性的權(quán)重見

表4。

表4威脅發(fā)生可能性

權(quán)重標(biāo)識定義

3高威脅出現(xiàn)的頻率很高，在大多數(shù)情況下幾乎不可避免或者可

以證實(shí)經(jīng)常發(fā)生過

2中威脅出現(xiàn)的頻率中等，在某種情況下可能會發(fā)生或被證實(shí)曾

經(jīng)發(fā)生過

1低威脅出現(xiàn)的頻率較低，一般不太可能發(fā)生，也沒有被證實(shí)發(fā)

生過

5.1.3云計(jì)算脆弱性識別

脆弱性是對云計(jì)算所依托的一個(gè)或多個(gè)系統(tǒng)、管理流程的弱點(diǎn)總稱。威脅利用云計(jì)算的脆弱性才能

造成危害，如果沒有相應(yīng)的威脅發(fā)生，單純的脆弱性本身不會對云計(jì)算造成損害，如果云計(jì)算足夠健壯，

再嚴(yán)重的威脅也不對云計(jì)算造成損失。

4

T/IACCCSA36—2019

脆弱性的識別方法包括問卷調(diào)查、工具檢測、人工核查、文檔查閱、滲透性測試等。

脆弱性的識別按照云計(jì)算的關(guān)鍵點(diǎn)進(jìn)行對應(yīng)識別，脆弱性與云計(jì)算商的風(fēng)險(xiǎn)管控措施相對應(yīng)，對于

風(fēng)險(xiǎn)管理措施強(qiáng)的環(huán)節(jié)，往往脆弱性較低或者不存在。

5.1.4風(fēng)險(xiǎn)管理能力識別

云計(jì)算商已采取的風(fēng)險(xiǎn)管控措施，包括基礎(chǔ)設(shè)施風(fēng)險(xiǎn)管控、網(wǎng)絡(luò)風(fēng)險(xiǎn)管控、計(jì)算資源風(fēng)險(xiǎn)管控、存

儲資源風(fēng)險(xiǎn)管控、應(yīng)用風(fēng)險(xiǎn)管控、業(yè)務(wù)風(fēng)險(xiǎn)管控、數(shù)據(jù)風(fēng)險(xiǎn)管控、人員風(fēng)險(xiǎn)管控、管理流程規(guī)范、運(yùn)維

運(yùn)營、風(fēng)險(xiǎn)整合劃分，與云計(jì)算關(guān)鍵點(diǎn)一一對應(yīng)。

控制能力的強(qiáng)弱劃分為三級，分別代表抵御威脅的能力高低，等級數(shù)值越大，控制能力越強(qiáng)，反之

越弱。風(fēng)險(xiǎn)控制能力系數(shù)的權(quán)重見表5。

表5風(fēng)險(xiǎn)控制能力系數(shù)

權(quán)重標(biāo)識定義

3高控制能力強(qiáng)，在大多數(shù)情況下抵御風(fēng)險(xiǎn)事故

2中控制能力中等，在某種情況下可能會發(fā)生無法抵御風(fēng)險(xiǎn)的情

況

1低控制能力弱，一般無法抵御相應(yīng)風(fēng)險(xiǎn)

5.1.4.1云計(jì)算外部環(huán)境風(fēng)險(xiǎn)管理能力

5.1.4.1.1基礎(chǔ)設(shè)施風(fēng)險(xiǎn)管理

基礎(chǔ)設(shè)施風(fēng)險(xiǎn)管理指對云計(jì)算所依托數(shù)據(jù)中心的管理能力，包括是否具備災(zāi)備數(shù)據(jù)中心以及在建筑

結(jié)構(gòu)、電力、空調(diào)、消防、物理安全等方面的風(fēng)險(xiǎn)管控能力，具體分類如下：

a)災(zāi)備數(shù)據(jù)中心

本指標(biāo)定義為數(shù)據(jù)中心機(jī)房應(yīng)具備災(zāi)備數(shù)據(jù)中心，至少保證同城雙中心；

b)建筑結(jié)構(gòu)

數(shù)據(jù)中心在建筑設(shè)計(jì)方面抗擊突發(fā)事件的能力，包括數(shù)據(jù)中心抗震設(shè)防情況、數(shù)據(jù)中心耐火等級、

數(shù)據(jù)中心主機(jī)房吊掛負(fù)載情況、數(shù)據(jù)中心屋面防水等級、數(shù)據(jù)中心防靜電等級；

c)電力冗余

本指標(biāo)定義為數(shù)據(jù)中心抵御電力事故的能力，包括市電供電條件、數(shù)據(jù)中心電源供電情況、變壓器

冗余、后備柴油發(fā)電機(jī)冗余、后備柴油發(fā)電機(jī)基本容量、柴油發(fā)電機(jī)燃料存儲量、不間斷電源系統(tǒng)配置

冗余、不間斷電源系統(tǒng)電池備用長度等；

d)空調(diào)冗余

本指標(biāo)定義為數(shù)據(jù)中心抵御空調(diào)風(fēng)險(xiǎn)事故能力，包括機(jī)房空調(diào)冗余情況，冷水機(jī)組、冷凍和冷卻水

泵冗余情況；

e)消防

本指標(biāo)定義為數(shù)據(jù)中心抵御火災(zāi)風(fēng)險(xiǎn)事故能力，包括自動滅火系統(tǒng)和火災(zāi)報(bào)警系統(tǒng)設(shè)置情況，滅火

設(shè)備或系統(tǒng)應(yīng)使用獨(dú)立的電源；

f)物理安全

本指標(biāo)定義為數(shù)據(jù)中心對人員進(jìn)出的管理能力，包括出入控制，制定和維護(hù)具有機(jī)房訪問權(quán)限的人

員名單，及時(shí)從授權(quán)訪問名單中刪除不再需要訪問機(jī)房的人員。

5.1.4.1.2網(wǎng)絡(luò)風(fēng)險(xiǎn)管理能力

網(wǎng)絡(luò)風(fēng)險(xiǎn)管控指對云計(jì)算所使用的外部網(wǎng)絡(luò)以及內(nèi)部網(wǎng)絡(luò)的風(fēng)險(xiǎn)管理能力，具體分類如下：

a)外部網(wǎng)絡(luò)質(zhì)量控制

5

T/IACCCSA36—2019

本指標(biāo)定義為云服務(wù)提供者應(yīng)選擇網(wǎng)絡(luò)連通穩(wěn)定的網(wǎng)絡(luò)運(yùn)營商，支持多線BGP；

b)網(wǎng)絡(luò)冗余

本指標(biāo)定義為云計(jì)算網(wǎng)絡(luò)層應(yīng)具備網(wǎng)絡(luò)設(shè)備級冗余、網(wǎng)路鏈路級冗余、網(wǎng)關(guān)級冗余；

c)網(wǎng)絡(luò)架構(gòu)

本指標(biāo)定義為云服務(wù)提供者網(wǎng)絡(luò)應(yīng)支持安全域劃分，包括云平臺生產(chǎn)域、運(yùn)維管理域、辦公域、DMZ

域、Internet域；云平臺支持多租戶網(wǎng)絡(luò)隔離。將允許外部公開直接訪問的組件，劃分在一個(gè)與內(nèi)部網(wǎng)

絡(luò)邏輯隔離的子網(wǎng)絡(luò)上。并確保允許外部人員訪問的組件與允許客戶訪問的組件在邏輯層面實(shí)現(xiàn)嚴(yán)格的

網(wǎng)絡(luò)隔離；

d)訪問控制

本指標(biāo)定義為在不同網(wǎng)絡(luò)區(qū)域邊界部署訪問控制機(jī)制，設(shè)置訪問控制規(guī)則；

e)遠(yuǎn)程訪問控制

本指標(biāo)定義為云服務(wù)提供者能實(shí)時(shí)監(jiān)視云計(jì)算平臺的遠(yuǎn)程訪問，并對遠(yuǎn)程執(zhí)行特權(quán)命令進(jìn)行限制；

f)攻擊防御

本指標(biāo)定義為云服務(wù)提供者應(yīng)監(jiān)測到云平臺的網(wǎng)絡(luò)攻擊行為，能記錄攻擊類型、攻擊時(shí)間、攻擊流

量等，并采取相應(yīng)的防御措施，包括防DDoS攻擊、防ARP攻擊、防CC攻擊等；

g)入侵防御

本指標(biāo)定義為云服務(wù)提供者應(yīng)監(jiān)測到網(wǎng)絡(luò)入侵行為，并記錄入侵行為的源IP、時(shí)間、類型等，并采

取相應(yīng)的防御措施，入侵行為包括端口掃描、木馬后門攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊、SQL注入、

命令執(zhí)行、代碼注入、XSS跨站攻擊、異常文件上傳、Webshell和網(wǎng)絡(luò)蠕蟲攻擊等；

h)成本管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)使用一定的防護(hù)措施進(jìn)行成本管理，如避免因服務(wù)器未設(shè)置流量上限，

出現(xiàn)DDoS攻擊導(dǎo)致網(wǎng)絡(luò)流量計(jì)費(fèi)激增的情況；

i)通信線路保護(hù)

本指標(biāo)定義為云服務(wù)提供者應(yīng)使用一定的安全防護(hù)手段對云計(jì)算平臺通信線路進(jìn)行保護(hù)。

5.1.4.2云計(jì)算平臺風(fēng)險(xiǎn)管理能力

5.1.4.2.1云計(jì)算平臺建設(shè)風(fēng)險(xiǎn)管理

本指標(biāo)定義為云計(jì)算平臺研發(fā)或優(yōu)化過程中，應(yīng)采取一定措施控制風(fēng)險(xiǎn)，具體分類如下：

a)需求評審

云服務(wù)提供者在開發(fā)前，應(yīng)對需求進(jìn)行評審，控制潛在風(fēng)險(xiǎn)；

b)開發(fā)測試

云服務(wù)提供者應(yīng)采取一定措施控制開發(fā)過程中的風(fēng)險(xiǎn)。

5.1.4.2.2計(jì)算資源風(fēng)險(xiǎn)管理能力

計(jì)算資源風(fēng)險(xiǎn)管理包括宿主機(jī)、云主機(jī)的風(fēng)險(xiǎn)管理，具體分類如下：

a)計(jì)算資源冗余

本指標(biāo)定義為計(jì)算資源應(yīng)具備冗余，包括計(jì)算資源高可用設(shè)計(jì)等手段；

b)漏洞管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備漏洞掃描和修復(fù)能力，包括CVE等公共漏洞庫公示漏洞、系統(tǒng)軟

件漏洞以及其它漏洞；

c)基線檢查

本指標(biāo)定義為云服務(wù)提供者對宿主機(jī)、云計(jì)算管理平臺等，應(yīng)具備賬號安全檢查、弱口令檢查、配

置風(fēng)險(xiǎn)檢查、端口狀態(tài)檢查、進(jìn)程狀態(tài)檢查；

d)病毒管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備病毒檢查和查殺能力，包括網(wǎng)站后門、木馬等。

6

T/IACCCSA36—2019

5.1.4.2.3存儲資源風(fēng)險(xiǎn)管理能力

本指標(biāo)定義為云服務(wù)提供者應(yīng)對云計(jì)算存儲資源具備管理手段措施，具體分類如下：

a)存儲設(shè)備冗余

本指標(biāo)定義為云服務(wù)提供者存儲設(shè)備應(yīng)具備冗余，使用磁盤陣列或分布式存儲；

b)數(shù)據(jù)備份策略

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備對數(shù)據(jù)備份和恢復(fù)的能力。一方面，云服務(wù)商應(yīng)周期性對云計(jì)算

平臺的備份系統(tǒng)和備份數(shù)據(jù)進(jìn)行恢復(fù)測試；另一方面，應(yīng)支持云服務(wù)客戶自行備份和恢復(fù)數(shù)據(jù)。

5.1.4.2.4應(yīng)用風(fēng)險(xiǎn)管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)對門戶網(wǎng)站以及對外提供的軟件服務(wù)具備風(fēng)險(xiǎn)管理措施，具體分類如

下：

a)Web漏洞管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備Web漏洞掃描及修復(fù)能力，包括注入漏洞、跨站腳本漏洞、失效

身份認(rèn)證和會話管理、不安全的直接對象引用、安全配置錯(cuò)誤、敏感信息泄露、缺少功能性的訪問控制、

跨站請求偽造、含有已知漏洞的組件、未驗(yàn)證的重定向和轉(zhuǎn)發(fā)；

b)Web防護(hù)

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備Web應(yīng)用防御系統(tǒng)，應(yīng)具備的能力包括抗DDoS攻擊能力、入侵檢

測能力等；

c)賬號安全

本指標(biāo)定義為云服務(wù)提供者應(yīng)對用戶賬號具備安全檢查能力，包括弱口令檢查、防暴力破解、防惡

意注冊等。

5.1.4.2.5數(shù)據(jù)風(fēng)險(xiǎn)管理能力

本指標(biāo)定義為云服務(wù)提供者對用戶數(shù)據(jù)的風(fēng)險(xiǎn)管控，具體分類如下：

a)數(shù)據(jù)持久性管理

指標(biāo)定義為云服務(wù)提供者應(yīng)具備控制手段確保數(shù)據(jù)不丟失，包括數(shù)據(jù)備份、數(shù)據(jù)防篡改；

b)數(shù)據(jù)可用性管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備控制手段確保數(shù)據(jù)正常使用；

c)數(shù)據(jù)私密性管理

本指標(biāo)定義為云服務(wù)提供者對數(shù)據(jù)的隱私保護(hù)能力，包括數(shù)據(jù)隔離、數(shù)據(jù)加密。

5.1.4.2.6運(yùn)維風(fēng)險(xiǎn)管理能力

本指標(biāo)定義為云服務(wù)提供者運(yùn)維風(fēng)險(xiǎn)管理措施，具體分類如下：

a)監(jiān)控能力

本指標(biāo)定義為云服務(wù)提供者應(yīng)對云平臺涉及的各硬件、系統(tǒng)具備監(jiān)控能力，包括動力環(huán)境監(jiān)控、物

理設(shè)備監(jiān)控、網(wǎng)絡(luò)流量監(jiān)控、數(shù)據(jù)庫監(jiān)控、應(yīng)用層監(jiān)控；具備可視化的監(jiān)控平臺；

b)告警管理

本指標(biāo)定義為云服務(wù)提供者各管理平臺應(yīng)具備告警管理，包括告警內(nèi)容管理、故障檢測和處理等；

c)權(quán)限管理

本指標(biāo)定義為云服務(wù)提供者對運(yùn)維人員權(quán)限的管理，包括賬號管理、認(rèn)證管理、權(quán)限管理、審計(jì)管

理；

d)日志管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備日志記錄、日志查看以及日志審計(jì)功能，包括用戶訪問日志、運(yùn)

維人員操作日志、系統(tǒng)日志和服務(wù)日志；

e)資產(chǎn)管理

7

T/IACCCSA36—2019

本指標(biāo)定義為云服務(wù)提供者能夠?qū)崿F(xiàn)對云平臺相關(guān)的軟硬件信息資產(chǎn)進(jìn)行管理，包括信息收集、資

產(chǎn)變更管理以及統(tǒng)計(jì)報(bào)表；

f)計(jì)費(fèi)管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備準(zhǔn)確的計(jì)費(fèi)能力，具體包括計(jì)費(fèi)規(guī)則設(shè)置、計(jì)費(fèi)項(xiàng)配置等；

g)運(yùn)維工具管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)審批、控制并監(jiān)視信息系統(tǒng)維護(hù)工具的使用。

5.1.4.3云計(jì)算管理流程風(fēng)險(xiǎn)管理能力

本指標(biāo)定義為云服務(wù)提供者內(nèi)部管理流程風(fēng)險(xiǎn)管理能力，具體分類如下：

a)管理制度體系

本指標(biāo)定義為云服務(wù)提供者應(yīng)針對研發(fā)、測試、運(yùn)維、評審等多個(gè)環(huán)節(jié)制定相關(guān)管理制度；

b)事件管理

本指標(biāo)定義為云服務(wù)提供者需要具備事件管理規(guī)范，包括事件記錄和分類、事件處理、事件關(guān)閉、

事件總結(jié)、突發(fā)事件處理機(jī)制；

c)問題管理

本指標(biāo)定義為云服務(wù)提供者需要具備問題管理規(guī)范，針對云平臺薄弱環(huán)節(jié)具備查明原因，制定解決

方案的能力，包括問題確定、問題分析、問題監(jiān)控、問題處理、問題錄入；

d)變更管理

本指標(biāo)定義為云服務(wù)提供者需要具備變更過程管理流程，包括變更分類與記錄、變更控制、變更分

析、改進(jìn)措施等；

e)配置管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)具備云平臺各系統(tǒng)配置項(xiàng)管理規(guī)范，包括配置項(xiàng)管理和工作程序管理；

f)發(fā)布管理

本指標(biāo)定義為云服務(wù)提供者具備規(guī)范的流程確保測試的軟硬件進(jìn)入正式運(yùn)行環(huán)境，包括版本測試、

版本控制、版本部署及發(fā)布、回滾等。

5.1.4.4云計(jì)算人員風(fēng)險(xiǎn)管理能力

本指標(biāo)定義為云服務(wù)提供者對內(nèi)部員工的風(fēng)險(xiǎn)管理措施，具體分類如下：

a)人員背景調(diào)查

本指標(biāo)定義為云服務(wù)提供者應(yīng)對內(nèi)部員工進(jìn)行審查；

b)崗位風(fēng)險(xiǎn)管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)標(biāo)識出相關(guān)崗位的風(fēng)險(xiǎn)；建立上崗人員的篩選準(zhǔn)則；按照一定的頻率，

評審和更新各崗位的風(fēng)險(xiǎn)標(biāo)識；根據(jù)崗位風(fēng)險(xiǎn)，明確并分配所有崗位的信息安全職責(zé)，并與客戶共同確

定涉及云服務(wù)的風(fēng)險(xiǎn)責(zé)任；

c)人員離職

本指標(biāo)定義為云服務(wù)提供者一旦決定終止某人員的雇傭，應(yīng)在一定的期限內(nèi)，禁止該人員對信息系

統(tǒng)的訪問；終止或撤銷與該人員相關(guān)的任何身份鑒別物或憑證；與該人員進(jìn)行離職面談；收回該人員所

有涉及安全的本組織信息系統(tǒng)相關(guān)資產(chǎn)；確保之前由該人員控制的信息和信息系統(tǒng)仍然可用；

d)安全培訓(xùn)

本指標(biāo)定義為云服務(wù)提供者應(yīng)對內(nèi)部員工定期開展安全培訓(xùn)，包括環(huán)境風(fēng)險(xiǎn)、軟件漏洞、員工責(zé)任

意識等；保存人員的培訓(xùn)記錄；

e)保密管理

本指標(biāo)定義為云服務(wù)提供者應(yīng)要求員工簽署保密條款。

5.1.4.5云計(jì)算合規(guī)風(fēng)險(xiǎn)管理能力

本指標(biāo)定義為云服務(wù)提供者對合規(guī)風(fēng)險(xiǎn)的管理能力，具體分類如下：

8

T/IACCCSA36—2019

a)審計(jì)

云服務(wù)提供者應(yīng)制定并維護(hù)審計(jì)記錄，如賬號登錄、賬號管理、客體訪問、策略變更、特權(quán)功能、

系統(tǒng)事件等；建立協(xié)調(diào)機(jī)制，與本組織內(nèi)外需要審計(jì)信息的其他組織就安全審計(jì)功能進(jìn)行協(xié)調(diào)，以增強(qiáng)

相互間的支持，協(xié)調(diào)確定可審計(jì)事件清單；制定信息系統(tǒng)內(nèi)需連續(xù)審計(jì)的事件清單，并確定各事件的審

計(jì)頻率，該清單為上述可審計(jì)事件清單的子集；

b)審計(jì)分析

云服務(wù)提供者應(yīng)對審計(jì)記錄進(jìn)行審查和分析，以發(fā)現(xiàn)不當(dāng)或異?；顒?，并向相關(guān)人員報(bào)告；當(dāng)法律

法規(guī)、客戶的需求或信息系統(tǒng)面臨的威脅環(huán)境發(fā)生變化時(shí)，調(diào)整對審計(jì)記錄進(jìn)行審查、分析、報(bào)告的策

略；

c)合規(guī)備案審計(jì)

本指標(biāo)定義為云服務(wù)提供者應(yīng)對使用云資源從事經(jīng)營性的互聯(lián)網(wǎng)信息服務(wù)的用戶具備合規(guī)備案排

查能力。

5.1.4.6云計(jì)算業(yè)務(wù)連續(xù)性風(fēng)險(xiǎn)管理能力

本指標(biāo)定義為云服務(wù)提供者對業(yè)務(wù)連續(xù)性的管理能力，具體分類如下：

a)業(yè)務(wù)連續(xù)性計(jì)劃

本指標(biāo)定義為云服務(wù)提供者應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性計(jì)劃，以確

保在出現(xiàn)無法預(yù)見的中斷時(shí)，系統(tǒng)仍能持續(xù)運(yùn)行并提供服務(wù)；

b)應(yīng)急演練

本指標(biāo)定義為云服務(wù)提供者應(yīng)制定詳盡的應(yīng)急預(yù)案，并定期開展應(yīng)急演練工作，確保應(yīng)急預(yù)案切實(shí)

可行，提高工程師應(yīng)急能力，降低故障影響程度。

5.1.4.7云計(jì)算風(fēng)險(xiǎn)整合劃分能力

5.1.4.7.1風(fēng)險(xiǎn)整合能力

云服務(wù)提供者應(yīng)及時(shí)發(fā)現(xiàn)新的威脅及脆弱點(diǎn)，定期評審風(fēng)險(xiǎn)處置手段。

a)威脅情報(bào)

本指標(biāo)定義為云服務(wù)提供者應(yīng)及時(shí)關(guān)注相關(guān)廠商的安全預(yù)警通告、漏洞通告、威脅通告等威脅情報(bào)；

b)風(fēng)險(xiǎn)上報(bào)

本指標(biāo)定義為云服務(wù)提供者應(yīng)定期生成風(fēng)險(xiǎn)報(bào)備表，以供監(jiān)管機(jī)構(gòu)或第三方機(jī)構(gòu)審查。

5.1.4.7.2風(fēng)險(xiǎn)劃分能力

云服務(wù)提供者內(nèi)部以及云服務(wù)提供者與客戶交換和共享風(fēng)險(xiǎn)信息達(dá)成協(xié)議的活動。風(fēng)險(xiǎn)信息包括風(fēng)

險(xiǎn)存在、形式、可能性、嚴(yán)重性、處置和可接受性。

a)風(fēng)險(xiǎn)告知

本指標(biāo)定義為對于云服務(wù)用戶端安全風(fēng)險(xiǎn)事件，云服務(wù)提供者應(yīng)及時(shí)告知用戶；

b)安全責(zé)任劃分

本指標(biāo)定義為云服務(wù)提供者應(yīng)提前告知用戶不在云服務(wù)提供者責(zé)任范圍內(nèi)的風(fēng)險(xiǎn)事件。

5.2風(fēng)險(xiǎn)估算

在完成了云計(jì)算關(guān)鍵技術(shù)識別、威脅識別、脆弱點(diǎn)、風(fēng)險(xiǎn)管控措施識別后，結(jié)合云計(jì)算應(yīng)用價(jià)值，

將采用適當(dāng)?shù)姆椒ù_定風(fēng)險(xiǎn)事件發(fā)生的可能性，綜合云服務(wù)關(guān)鍵技術(shù)權(quán)重及威脅發(fā)生可能性判風(fēng)險(xiǎn)一旦

發(fā)生造成的損失，最終得到風(fēng)險(xiǎn)值。

云計(jì)算風(fēng)險(xiǎn)值=云計(jì)算關(guān)鍵點(diǎn)權(quán)重×威脅出現(xiàn)概率×風(fēng)險(xiǎn)管控能力系數(shù)

注：實(shí)際估算過程中，威脅點(diǎn)對于不同云計(jì)算差異不大，因此風(fēng)險(xiǎn)估算過程可簡化為：

云計(jì)算風(fēng)險(xiǎn)值=云計(jì)算關(guān)鍵點(diǎn)權(quán)重×風(fēng)險(xiǎn)管控能力系數(shù)。

9

T/IACCCSA36—2019

附錄A

(資料性附錄)

云計(jì)算風(fēng)險(xiǎn)管理能力評估指標(biāo)及權(quán)重

表A.1風(fēng)險(xiǎn)管理能力評估指標(biāo)及權(quán)重

評估項(xiàng)權(quán)重評估子項(xiàng)

一、風(fēng)險(xiǎn)管理組織架構(gòu)

組織架構(gòu)合理1組織架構(gòu)合理

制定風(fēng)險(xiǎn)管理策略1制定風(fēng)險(xiǎn)管理策略

執(zhí)行風(fēng)險(xiǎn)管理要求1執(zhí)行風(fēng)險(xiǎn)管理要求

二、云計(jì)算外部環(huán)境風(fēng)險(xiǎn)管理能力

災(zāi)備數(shù)據(jù)中心1災(zāi)備數(shù)據(jù)中心

建筑結(jié)構(gòu)1抗震能力

耐火能力

主機(jī)房負(fù)載

防水能力

防靜電能力

電力冗余3市電供電條件

電源供電情況

變壓器冗余

柴油發(fā)電機(jī)冗余

后備柴油發(fā)電機(jī)基本容量

柴油發(fā)電機(jī)燃料存儲量

不間斷電源系統(tǒng)配置冗余

不間斷電源系統(tǒng)電池備用時(shí)長

空調(diào)冗余2機(jī)房空調(diào)冗余

冷水機(jī)組、冷凍和冷卻水泵冗余

消防1自動滅火系統(tǒng)

火災(zāi)報(bào)警系統(tǒng)

獨(dú)立電源

物理安全1出入控制

視頻監(jiān)控系統(tǒng)

機(jī)械鎖安裝

設(shè)備訪問控制

外部網(wǎng)絡(luò)質(zhì)量控制2電信運(yùn)營商網(wǎng)路質(zhì)量

支持多線BGP

網(wǎng)絡(luò)冗余1網(wǎng)絡(luò)設(shè)備冗余

網(wǎng)絡(luò)鏈路級冗余

網(wǎng)關(guān)級冗余

網(wǎng)絡(luò)架構(gòu)1安全域劃分

租戶隔離

10

T/IACCCSA36—2019

網(wǎng)絡(luò)拓?fù)鋱D

訪問控制1訪問控制

遠(yuǎn)程訪問1遠(yuǎn)程訪問控制

攻擊防范2防DDoS攻擊、防ARP攻擊、防CC攻擊

入侵防范1入侵防御

通信線路保護(hù)1通信線路保護(hù)

三、云計(jì)算平臺風(fēng)險(xiǎn)管理能力

3.1云計(jì)算平臺建設(shè)風(fēng)險(xiǎn)管理

需求評審1需求評審

開發(fā)測試1開發(fā)測試

3.2計(jì)算資源風(fēng)險(xiǎn)管理

計(jì)算資源冗余2計(jì)算資源冗余

漏洞管理3漏洞掃描

漏洞修復(fù)

基線檢查2基線檢查

病毒管理2病毒檢查

病毒查殺

3.3存儲資源風(fēng)險(xiǎn)管理

存儲設(shè)備冗余3存儲設(shè)備冗余

異地存儲

數(shù)據(jù)備份策略2數(shù)據(jù)備份方式

3.4應(yīng)用風(fēng)險(xiǎn)管理

Web型漏洞檢測及修復(fù)2Web漏洞掃描

Web漏洞修復(fù)

Web防護(hù)2Web防護(hù)

賬號安全3弱口令檢查

防暴力破解

防惡意注冊

3.5數(shù)據(jù)風(fēng)險(xiǎn)管理

數(shù)據(jù)存儲持久性3數(shù)據(jù)備份

數(shù)據(jù)完整性

數(shù)據(jù)可用性3數(shù)據(jù)可用性

數(shù)據(jù)私密性3數(shù)據(jù)加密

3.6運(yùn)維風(fēng)險(xiǎn)管理

監(jiān)控管理3動力環(huán)境監(jiān)控

物理設(shè)備層

系統(tǒng)層監(jiān)控

網(wǎng)絡(luò)監(jiān)控

數(shù)據(jù)庫監(jiān)控

云平臺監(jiān)控

應(yīng)用層監(jiān)控

11

T/IACCCSA36—2019

告警管理1告警內(nèi)容管理

故障檢測和處理

權(quán)限管理1統(tǒng)一賬號管理

身份認(rèn)證

權(quán)限管理

審計(jì)管理

日志管理1用戶訪問日志

運(yùn)維人員操作日志

系統(tǒng)運(yùn)行日志

日志審計(jì)

資產(chǎn)管理1信息收集

資產(chǎn)變更管理

統(tǒng)計(jì)報(bào)表

計(jì)費(fèi)管理1計(jì)費(fèi)規(guī)則

計(jì)費(fèi)配置

運(yùn)維工具管理1運(yùn)維工具管理

四、云計(jì)算人員風(fēng)險(xiǎn)管理能力

人員背景調(diào)查2人員背景調(diào)查

崗位風(fēng)險(xiǎn)管理2崗位風(fēng)險(xiǎn)管理

人員離職1人員離職

安全培訓(xùn)2安全教育培訓(xùn)

保密管理1保密管理

五、云計(jì)算管理流程風(fēng)險(xiǎn)管理能力

管理制度體系2管理制度體系

事件管理流程2事件記錄和分類

事件處理

事件關(guān)閉

事故總結(jié)

應(yīng)急響應(yīng)

問題管理流程2問題確定和記錄

問題分析和轉(zhuǎn)交

監(jiān)控問題

問題處理

問題錄入

變更管理流程2變更分類和記錄

變更控制

變更分析

改進(jìn)措施

配置管理流程1配置項(xiàng)管理

工作程序管理

發(fā)布管理流程2版本測試

12

T/IACCCSA36—2019

版本控制

版本部署及發(fā)布

六、云計(jì)算合規(guī)風(fēng)險(xiǎn)管理能力

審計(jì)2審計(jì)能力

審計(jì)分析2審計(jì)分析

合規(guī)備案2合規(guī)備案

七、風(fēng)險(xiǎn)溝通與監(jiān)測

業(yè)務(wù)連續(xù)性計(jì)劃2業(yè)務(wù)連續(xù)性能力

應(yīng)急演練2應(yīng)急演練

風(fēng)險(xiǎn)告知2風(fēng)險(xiǎn)告知

安全責(zé)任劃分1安全責(zé)任劃分

威脅情報(bào)3威脅情報(bào)能力

持續(xù)監(jiān)測2持續(xù)監(jiān)測能力

八、風(fēng)險(xiǎn)處置

風(fēng)險(xiǎn)處置2風(fēng)險(xiǎn)處置

13

T/IACCCSA36—2019

附錄B

(資料性附錄)

云計(jì)算保險(xiǎn)風(fēng)險(xiǎn)評估系數(shù)

表B.1云計(jì)算保險(xiǎn)風(fēng)險(xiǎn)評估系數(shù)

風(fēng)險(xiǎn)管理能力等級分?jǐn)?shù)風(fēng)險(xiǎn)系數(shù)

先進(jìn)級95分以上0.7

增強(qiáng)級(90,95]0.8

增強(qiáng)級(85,90]0.9

增強(qiáng)級(80,85]1.0

基礎(chǔ)級(75,80]1.1

基礎(chǔ)級(70,75]1.2

基礎(chǔ)級(60,70]1.3

——60分以下--

注：以上風(fēng)險(xiǎn)系數(shù)可理解為企業(yè)的投保系數(shù)，分?jǐn)?shù)越高，風(fēng)險(xiǎn)系數(shù)越低，投保保費(fèi)越低；分?jǐn)?shù)越低，風(fēng)險(xiǎn)系數(shù)

越高，投保保費(fèi)越高。

14

T/IACCCSA36—2019

參考文獻(xiàn)

[1]GB/T31167-2014信息安全技術(shù)云計(jì)算服務(wù)安全指南

[2]GB/T31168-2014信息安全技術(shù)云計(jì)算服務(wù)安全能力要求

[3]GA/T1390.2-2017信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求第2部分：云計(jì)算安全擴(kuò)展要求

[4]GB/T22080-2008信息技術(shù)安全技術(shù)信息安全管理體系要求

[5]GB/T22081-2008信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則

[6]GB/T31496-2015信息技術(shù)安全技術(shù)信息安全管理體系實(shí)施指南

[7]JR/T0071-2012金融行業(yè)信息系統(tǒng)信息安全等級保護(hù)實(shí)施指引

[8]JR/T0072-2012金融行業(yè)信息系統(tǒng)信息安全等級保護(hù)測評指南

[9]JR/T0073-2012金融行業(yè)信息安全等級保護(hù)測評服務(wù)安全指引

[10]JR/T0167-2018云計(jì)算技術(shù)金融應(yīng)用規(guī)范安全技術(shù)要求

[11]JR/T0166-2018云計(jì)算技術(shù)金融應(yīng)用規(guī)范技術(shù)架構(gòu)

[12]JR/T0168-2018云計(jì)算技術(shù)金融應(yīng)用規(guī)范容災(zāi)

[13]ISO/IECTR27015:2012信息技術(shù)安全技術(shù)金融服務(wù)信息安全管理指南

_________________________________

15

ICS35.240.40

L79,A11

IAC

CCSA

中國保險(xiǎn)行業(yè)協(xié)會標(biāo)準(zhǔn)

中國通信標(biāo)準(zhǔn)化協(xié)會標(biāo)準(zhǔn)

T/IACCCSA36—2019

云計(jì)算保險(xiǎn)風(fēng)險(xiǎn)評估指引

Guidanceoncloudcomputinginsuranceriskassessment

水質(zhì)65種元素的測定電感耦合等離子體質(zhì)譜法HJ700-2014

水質(zhì)銅、鋅、鉛、鎘的測定原子吸收分光光度法度法GB/T7485-1987

12總砷水質(zhì)汞、砷、硒、鉍和銻的測定原子熒光法HJ694-2014

水質(zhì)65種元素的測定電感耦合等離子體質(zhì)譜法HJ700-2014

水質(zhì)鎳的測定丁二酮肟分光光度法GB/T11910-1989

13總鎳

水質(zhì)鎳的測定火焰原子吸收分光光度法GB/T11912-1989

水質(zhì)銅、鋅、鉛、鎘的測定原子吸收分光光度法GB/T7475-1987

14總鎘水質(zhì)鎘的測定雙硫腙分光光度法GB/T7471-1987

水質(zhì)65種元素的測定電感耦合等離子體質(zhì)譜法HJ700-2014

水質(zhì)總鉻的測定GB/T7466-1987

15總鉻

水質(zhì)65種元素的測定電感耦合等離子體質(zhì)譜法HJ700-2014

水質(zhì)總汞的測定冷原子吸收分光光度法GB/T7468-1987

16總汞

水質(zhì)總汞的測定高錳酸鉀-過硫酸鉀消解法雙硫腙分光光度GB/T7469-1987

5.3大氣污染物監(jiān)測要求

5.3.1排氣筒中大氣污染物的監(jiān)測采樣按GB/T16157、HJ/T397或HJ/T75規(guī)定執(zhí)行；大氣污

染物無組織排放的監(jiān)測按HJ/T55規(guī)定執(zhí)行。

5.3.2對企業(yè)排放大氣污染物濃度的測定采用表9所列的方法標(biāo)準(zhǔn)

表9大氣污染物濃度測定方法標(biāo)準(zhǔn)

序號