9.2　云計算安全測評擴展要求

9.2　云計算安全測評擴展要求

9.2.1　安全物理環境

9.2.1.1　基礎設施位置

9.2.1.1.1　測評單元（L4-PES2-01）

該測評單元包括以下要求：
a) 測評指標：應保證云計算基礎設施位于中國境內；
b) 測評對象：機房管理員、辦公場地、機房和平臺建設方案；
c) 測評實施包括以下內容：
1) 應訪談機房管理員云計算服務器、存儲設備、網絡設備、云管理平臺、信息系統等運行業務和承載數據的軟硬件是否均位于中國境內；
2) 應核查云計算平臺建設方案，云計算服務器、存儲設備、網絡設備、云管理平臺、信息系統等運行業務和承載數據的軟硬件是否均位于中國境內。

9.2.2　安全通信網絡

9.2.2.1　網絡架構

9.2.2.1.1　測評單元（L4-CNS2-01）

該測評單元包括以下要求：
a) 測評指標：應保證云計算平臺不承載高于其安全保護等級的業務應用系統；
b) 測評對象：云計算平臺和業務應用系統定級備案材料；
c) 測評實施：應核查云計算平臺和云計算平臺承載的業務應用系統相關定級備案材料，云計算平臺安全保護等級是否不低于其承載的業務應用系統安全保護等級；

9.2.2.1.2　測評單元（L4-CNS2-02）

該測評單元包括以下要求：
a) 測評指標：應實現不同云服務客戶虛擬網絡之間的隔離；
b) 測評對象：網絡資源隔離措施、綜合網管系統和云管理平臺；
c) 測評實施包括以下內容：
1) 應核查云服務客戶之間是否采取網絡隔離措施；
2) 應核查云服務客戶之間是否設置并啟用網絡資源隔離策略；
3) 應測試驗證不同云服務客戶之間的網絡隔離措施是否有效。

9.2.2.1.3　測評單元（L4-CNS2-03）

該測評單元包括以下要求：
a) 測評指標：應具有根據云服務客戶業務需求提供通信傳輸、邊界防護、入侵防范等安全機制的能力；
b) 測評對象：防火墻、入侵檢測系統、入侵保護系統和抗APT系統等安全設備；
c) 測評實施包括以下內容：
1) 應核查云計算平臺是否具備為云服務客戶提供通信傳輸、邊界防護、入侵防范等安全防護機制的能力；
2) 應核查上述安全防護機制是否滿足云服務客戶的業務需求。

9.2.2.1.4　測評單元（L4-CNS2-04）

該測評單元包括以下要求：
a) 測評指標：應具有根據云服務客戶業務需求自主設置安全策略的能力，包括定義訪問路徑、選擇安全組件、配置安全策略；
b) 測評對象：云管理平臺、網絡管理平臺、網絡設備和安全訪問路徑；
c) 測評實施包括以下內容：
1) 應核查云計算平臺是否支持云服務客戶自主定義安全策略，包括定義訪問路徑、選擇安全組件、配置安全策略；
2) 應核查云服務客戶是否能夠自主設置安全策略，包括定義訪問路徑、選擇安全組件、配置安全策略。

9.2.2.1.5　測評單元（L4-CNS2-05）

該測評單元包括以下要求：
a) 測評指標：應提供開放接口或開放性安全服務，允許云服務客戶接入第三方安全產品或在云計算平臺選擇第三方安全服務；
b) 測評對象：相關開放性接口和安全服務及相關文檔；
c) 測評實施包括以下內容：
1) 應核查接口設計文檔或開放性服務技術文檔是否符合開放性及安全性要求；
2) 應核查云服務客戶是否可以接入第三方安全產品或在云計算平臺選擇第三方安全服務。

9.2.2.1.6　測評單元（L4-CNS2-06）

該測評單元包括以下要求：
a) 測評指標：應提供對虛擬資源的主體和客體設置安全標記的能力，保證云服務客戶可以依據安全標記和強制訪問控制規則確定主體對客體的訪問；
b) 測評對象：系統管理員、相關接口和相關服務；
c) 測評實施包括以下內容：
1) 應核查是否提供了對虛擬資源的主體和客體設置安全標記的能力；
2) 應核查是否對虛擬資源的主體和客體設置了安全標記；
3) 應測試驗證是否基于安全標記和強制訪問控制規則確定主體對客體的訪問。

9.2.2.1.7　測評單元（L4-CNS2-07）

該測評單元包括以下要求：
a) 測評指標：應提供通信協議轉換或通信協議隔離等的數據交換方式，保證云服務客戶可以根據業務需求自主選擇邊界數據交換方式；
b) 測評對象：網閘等提供通信協議轉換或通信協議隔離功能的設備或相關組件；
c) 測評實施包括以下內容：
1) 應核查是否采取通信協議轉換或通信協議隔離等方式進行數據交換；
2) 應通過發送帶通用協議的數據等測試方式，測試驗證設備是否能夠有效阻斷。

9.2.2.1.8　測評單元（L4-CNS2-08）

該測評單元包括以下要求：
a) 測評指標：應為第四級業務應用系統劃分獨立的資源池；
b) 測評對象：網絡拓撲和云計算平臺建設方案；
c) 測評實施包括以下內容：
1) 應核查云計算平臺建設方案中是否對承載四級業務系統的資源池做出獨立劃分設計；
2) 應核查網絡拓撲圖是否對第四級業務系統劃分獨立的資源池。

9.2.3　安全區域邊界

9.2.3.1　訪問控制

9.2.3.1.1　測評單元（L4-ABS2-01）

該測評單元包括以下要求：
a) 測評指標：應在虛擬化網絡邊界部署訪問控制機制，并設置訪問控制規則；
b) 測評對象：訪問控制機制、網絡邊界設備和虛擬化網絡邊界設備；
c) 測評實施包括以下內容：
1) 應核查是否在虛擬化網絡邊界部署訪問控制機制，并設置訪問控制規則；
2) 應核查并測試驗證云計算平臺和云服務客戶業務系統虛擬化網絡邊界訪問控制規則和訪問控制策略是否有效；
3) 應核查并測試驗證云計算平臺的網絡邊界設備或虛擬化網絡邊界設備安全保障機制、訪問控制規則和訪問控制策略等是否有效；
4) 應核查并測試驗證不同云服務客戶間訪問控制規則和訪問控制策略是否有效；
5) 應核查并測試驗證云服務客戶不同安全保護等級業務系統之間訪問控制規則和訪問控制策略是否有效。

9.2.3.1.2　測評單元（L4-ABS2-02）

該測評單元包括以下要求：
a) 測評指標：應在不同等級的網絡區域邊界部署訪問控制機制，設置訪問控制規則；
b) 測評對象：網閘、防火墻、路由器和交換機等提供訪問控制功能的設備；
c) 測評實施包括以下內容：
1) 應核查是否在不同等級的網絡區域邊界部署訪問控制機制，設置訪問控制規則；
2) 應核查不同安全等級網絡區域邊界的訪問控制規則和訪問控制策略是否有效；
3) 應測試驗證不同安全等級的網絡區域間進行非法訪問時，是否可以正確拒絕該非法訪問。

9.2.3.2　入侵防范

9.2.3.2.1　測評單元（L4-ABS2-03）

該測評單元包括以下要求：
a) 測評指標：應能檢測到云服務客戶發起的網絡攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等；
b) 測評對象：抗APT攻擊系統、網絡回溯系統、威脅情報檢測系統、抗DDoS攻擊系統和入侵保護系統或相關組件；
c) 測評實施包括以下內容：
1) 應核查是否采取了入侵防范措施對網絡入侵行為進行防范，如部署抗APT攻擊系統、網絡回溯系統和網絡入侵保護系統等入侵防范設備或相關組件；
2) 應核查部署的抗APT攻擊系統、網絡入侵保護系統等入侵防范設備或相關組件的規則庫升級方式，核查規則庫是否進行及時更新；
3) 應核查部署的抗APT攻擊系統、網絡入侵保護系統等入侵防范設備或相關組件是否具備異常流量、大規模攻擊流量、高級持續性攻擊的檢測功能，以及報警功能和清洗處置功能；
4) 應測試驗證抗APT攻擊系統、網絡入侵保護系統等入侵防范設備或相關組件對異常流量和未知威脅的監控策略是否有效（如模擬產生攻擊動作，驗證入侵防范設備或相關組件是否能記錄攻擊類型、攻擊時間、攻擊流量）；
5) 應測試驗證抗APT攻擊系統、網絡入侵保護系統等入侵防范設備或相關組件對云服務客戶網絡攻擊行為的報警策略是否有效（如模擬產生攻擊動作，驗證抗APT攻擊系統或網絡入侵保護系統是否能實時報警）；
6) 應核查抗APT攻擊系統、網絡入侵保護系統等入侵防范設備或相關組件是否具有對SQL注入、跨站腳本等攻擊行為的發現和阻斷能力；
7) 應核查抗APT攻擊系統、網絡入侵保護系統等入侵防范設備或相關組件是否能夠檢測出具有惡意行為、過分占用計算資源和帶寬資源等惡意行為的虛擬機；
8) 應核查云管理平臺對云服務客戶攻擊行為的防范措施，核查是否能夠對云服務客戶的網絡攻擊行為進行記錄，記錄應包括攻擊類型、攻擊時間和攻擊流量等內容；
9) 應核查云管理平臺或入侵防范設備是否能夠對云計算平臺內部發起的惡意攻擊或惡意外連行為進行限制，核查是否能夠對內部行為進行監控；
10) 通過對外攻擊發生器偽造對外攻擊行為，核查云租戶的網絡攻擊日志，確認是否正確記錄相應的攻擊行為，攻擊行為日志記錄是否包含攻擊類型、攻擊時間、攻擊者IP和攻擊流量規模等內容；
11) 應核查運行虛擬機監控器（VMM）和云管理平臺軟件的物理主機，確認其安全加固手段是否能夠避免或減少虛擬化共享帶來的安全漏洞。

9.2.3.2.2　測評單元（L4-ABS2-04）

該測評單元包括以下要求：
a) 測評指標：應能檢測到對虛擬網絡節點的網絡攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等；
b) 測評對象：抗APT攻擊系統、網絡回溯系統、威脅情報檢測系統、抗DDoS攻擊系統和入侵保護系統或相關組件；
c) 測評實施包括以下內容：
1) 應核查是否部署網絡攻擊行為檢測設備或相關組件對虛擬網絡節點的網絡攻擊行為進行防范，并能記錄攻擊類型、攻擊時間、攻擊流量等；
2) 應核查網絡攻擊行為檢測設備或相關組件的規則庫是否為最新；
3) 應測試驗證網絡攻擊行為檢測設備或相關組件對異常流量和未知威脅的監控策略是否有效。

9.2.3.2.3　測評單元（L4-ABS2-05）

該測評單元包括以下要求：
a) 測評指標：應能檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量；
b) 測評對象：虛擬機、宿主機、抗APT攻擊系統、網絡回溯系統、威脅情報檢測系統、抗DDoS攻擊系統和入侵保護系統或相關組件；
c) 測評實施包括以下內容：
1) 應核查是否具備虛擬機與宿主機之間、虛擬機與虛擬機之間的異常流量的檢測功能；
2) 應測試驗證對異常流量的監測策略是否有效。

9.2.3.2.4　測評單元（L4-ABS2-06）

該測評單元包括以下要求：
a) 測評指標：應在檢測到網絡攻擊行為、異常流量時進行告警；
b) 測評對象：虛擬機、宿主機、抗APT攻擊系統、網絡回溯系統、威脅情報檢測系統、抗DDoS攻擊系統和入侵保護系統或相關組件；
c) 測評實施包括以下內容：
1) 應核查檢測到網絡攻擊行為、異常流量時是否進行告警；
2) 應測試驗證其對異常流量的監測策略是否有效。

9.2.3.3　安全審計

9.2.3.3.1　測評單元（L4-ABS2-07）

該測評單元包括以下要求：
a) 測評指標：應對云服務商和云服務客戶在遠程管理時執行特權的命令進行審計，至少包括虛擬機刪除、虛擬機重啟；
b) 測評對象：堡壘機或相關組件；
c) 測評實施包括以下內容：
1) 應核查云服務商（含第三方運維服務商）和云服務客戶在 遠程管理時執行的遠程特權命令是否有相關審計記錄；
2) 應測試驗證云服務商或云服務客戶遠程刪除或重啟虛擬機后，是否有產生相應審計記錄。

9.2.3.3.2　測評單元（L4-ABS2-08）

該測評單元包括以下要求：
a) 測評指標：應保證云服務商對云服務客戶系統和數據的操作可被云服務客戶審計；
b) 測評對象：綜合審計系統或相關組件；
c) 測評實施包括以下內容：
1) 應核查是否能夠保證云服務商對云服務客戶系統和數據的操作（如增、刪、改、查等操作）可被云服務客戶審計；
2) 應測試驗證云服務商對云服務客戶系統和數據的操作是否可被云服務客戶審計。

9.2.4　安全計算環境

9.2.4.1　身份鑒別

9.2.4.1.1　測評單元（L4-CES2-01）

該測評單元包括以下要求：
a) 測評指標：當遠程管理云計算平臺中設備時，管理終端和云計算平臺之間應建立雙向身份驗證機制；
b) 測評對象：管理終端和云計算平臺；
c) 測評實施包括以下內容：
1) 應核查當進行遠程管理時是否建立雙向身份驗證機制；
2) 應測試驗證上述雙向身份驗證機制是否有效。

9.2.4.2　訪問控制

9.2.4.2.1　測評單元（L4-CES2-02）

該測評單元包括以下要求：
a) 測評指標：應保證當虛擬機遷移時，訪問控制策略隨其遷移；
b) 測評對象：虛擬機、虛擬機遷移記錄和相關配置；
c) 測評實施包括以下內容：
1) 應核查虛擬機遷移時訪問控制策略是否隨之遷移；
2) 應測試驗證虛擬機遷移后訪問控制措施是否隨其遷移。

9.2.4.2.2　測評單元（L4-CES2-03）

該測評單元包括以下要求：
a) 測評指標：應允許云服務客戶設置不同虛擬機之間的訪問控制策略；
b) 測評對象：虛擬機和安全組或相關組件；
c) 測評實施包括以下內容：
1) 應核查云服務客戶是否能夠設置不同虛擬機之間訪問控制策略；
2) 應測試驗證上述訪問控制策略的有效性。

9.2.4.3　入侵防范

9.2.4.3.1　測評單元（L4-CES2-04）

該測評單元包括以下要求：
a) 測評指標：應能檢測虛擬機之間的資源隔離失效，并進行告警；
b) 測評對象：云管理平臺或相關組件；
c) 測評實施：應核查是否能夠檢測到虛擬機之間的資源隔離失效并進行告警，如CPU、內存和磁盤資源之間的隔離失效；

9.2.4.3.2　測評單元（L4-CES2-05）

該測評單元包括以下要求：
a) 測評指標：應能檢測非授權新建虛擬機或者重新啟用虛擬機，并進行告警；
b) 測評對象：云管理平臺或相關組件；
c) 測評實施：應核查是否能夠檢測到非授權新建虛擬機或者重新啟用虛擬機，并進行告警；

9.2.4.3.3　測評單元（L4-CES2-06）

該測評單元包括以下要求：
a) 測評指標：應能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，并進行告警；
b) 測評對象：云管理平臺或相關組件；
c) 測評實施：應核查是否能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，并進行告警；

9.2.4.4　鏡像和快照保護

9.2.4.4.1　測評單元（L4-CES2-07）

該測評單元包括以下要求：
a) 測評指標：應針對重要業務系統提供加固的操作系統鏡像或操作系統安全加固服務；
b) 測評對象：虛擬機鏡像文件；
c) 測評實施：應核查是否對生成的虛擬機鏡像進行必要的加固措施，如關閉不必要的端口、服務及進行安全加固配置；

9.2.4.4.2　測評單元（L4-CES2-08）

該測評單元包括以下要求：
a) 測評指標：應提供虛擬機鏡像、快照完整性校驗功能，防止虛擬機鏡像被惡意篡改；
b) 測評對象：云管理平臺和虛擬機鏡像、快照或相關組件；
c) 測評實施包括以下內容：
1) 應核查是否對快照功能生成的鏡像或快照文件進行完整性校驗，是否具有嚴格的校驗記錄機制，防止虛擬機鏡像或快照被惡意篡改；
2) 應測試驗證是否能夠對鏡像、快照進行完整性驗證。

9.2.4.4.3　測評單元（L4-CES2-09）

該測評單元包括以下要求：
a) 測評指標：應采取密碼技術或其他技術手段防止虛擬機鏡像、快照中可能存在的敏感資源被非法訪問；
b) 測評對象：云管理平臺和虛擬機鏡像、快照或相關組件；
c) 測評實施：應核查是否對虛擬機鏡像或快照中的敏感資源采用加密、訪問控制等技術手段進行保護，防止可能存在的針對快照的非法訪問；

9.2.4.5　數據完整性和保密性

9.2.4.5.1　測評單元（L4-CES2-10）

該測評單元包括以下要求：
a) 測評指標：應確保云服務客戶數據、用戶個人信息等存儲于中國境內，如需出境應遵循國家相關規定；
b) 測評對象：數據庫服務器、數據存儲設備和管理文檔記錄；
c) 測評實施包括以下內容：
1) 應核查云服務客戶數據、用戶個人信息所在的服務器及數據存儲設備是否位于中國境內；
2) 應核查上述數據出境時是否符合國家相關規定。

9.2.4.5.2　測評單元（L4-CES2-11）

該測評單元包括以下要求：
a) 測評指標：應保證只有在云服務客戶授權下，云服務商或第三方才具有云服務客戶數據的管理權限；
b) 測評對象：云管理平臺、數據庫、相關授權文檔和管理文檔；
c) 測評實施包括以下內容：
1) 應核查云服務客戶數據管理權限授權流程、授權方式、授權內容；
2) 應核查云計算平臺是否具有云服務客戶數據的管理權限，如果具有，核查是否有相關授權證明。

9.2.4.5.3　測評單元（L4-CES2-12）

該測評單元包括以下要求：
a) 測評指標：應使用校驗技術或密碼技術保證虛擬機遷移過程中重要數據的完整性，并在檢測到完整性受到破壞時采取必要的恢復措施；
b) 測評對象：虛擬機；
c) 測評實施：應核查在虛擬資源遷移過程中，是否采取校驗技術或密碼技術等措施保證虛擬資源數據及重要數據的完整性，并在檢測到完整性受到破壞時采取必要的恢復措施；

9.2.4.5.4　測評單元（L4-CES2-13）

該測評單元包括以下要求：
a) 測評指標：應支持云服務客戶部署密鑰管理解決方案，保證云服務客戶自行實現數據的加解密過程；
b) 測評對象：密鑰管理解決方案；
c) 測評實施包括以下內容：
1) 當云服務客戶已部署密鑰管理解決方案，應核查密鑰管理解決方案是否能保證云服務客戶自行實現數據的加解密過程；
2) 應核查云服務商支持云服務客戶部署密鑰管理解決方案所采取的技術手段或管理措施是否能保證云服務客戶自行實現數據的加解密過程。
d) 單元判定：如果1）-2)均為肯定，則符合本單元測評指標要求，否則不符合或部分符合本單元測評指標要求。

9.2.4.6.1　測評單元（L4-CES2-14）

該測評單元包括以下要求：
a) 測評指標：云服務客戶應在本地保存其業務數據的備份；
b) 測評對象：云管理平臺或相關組件；
c) 測評實施：應核查是否提供備份措施保證云服務客戶可以在本地備份其業務數據；

9.2.4.6.2　測評單元（L4-CES2-15）

該測評單元包括以下要求：
a) 測評指標：應提供查詢云服務客戶數據及備份存儲位置的能力；
b) 測評對象：云管理平臺或相關組件；
c) 測評實施：應核查云服務商是否為云服務客戶提供數據及備份存儲位置查詢的接口或其他技術、管理手段；

9.2.4.6.3　測評單元（L4-CES2-16）

該測評單元包括以下要求：
a) 測評指標：云服務商的云存儲服務應保證云服務客戶數據存在若干個可用的副本 ，各副本之間的內容應保持一致；
b) 測評對象：云管理平臺、云存儲系統或相關組件；
c) 測評實施包括以下內容：
1) 應核查云服務客戶數據副本存儲方式，核查是否存在若干個可用的副本；
2) 應核查各副本內容是否保持一致。

9.2.4.6.4　測評單元（L4-CES2-17）

該測評單元包括以下要求：
a) 測評指標：應為云服務客戶將業務系統及數據遷移到其他云計算平臺和本地系統提供技術手段，并協助完成遷移過程；
b) 測評對象：相關技術措施和手段；
c) 測評實施包括以下內容：
1) 應核查是否有相關技術手段保證云服務客戶能夠將業務系統及數據遷移到其他云計算平臺和本地系統；
2) 應核查云服務商是否提供措施、手段或人員協助云服務客戶完成遷移過程。

9.2.4.7　剩余信息保護

9.2.4.7.1　測評單元（L4-CES2-18）

該測評單元包括以下要求：
a) 測評指標：應保證虛擬機所使用的內存和存儲空間回收時得到完全清除；
b) 測評對象：云計算平臺；
c) 測評實施包括以下內容：
1) 應核查虛擬機的內存和存儲空間回收時，是否得到完全清除；
2) 應核查在遷移或刪除虛擬機后，數據以及備份數據（如鏡像文件、快照文件等）是否已清理。

9.2.4.7.2　測評單元（L4-CES2-19）

該測評單元包括以下要求：
a) 測評指標：云服務客戶刪除業務應用數據時，云計算平臺應將云存儲中所有副本刪除；
b) 測評對象：云存儲和云計算平臺；
c) 測評實施：應核查當云服務客戶刪除業務應用數據時，云存儲中所有副本是否被刪除；

9.2.5　安全管理中心

9.2.5.1　集中管控

9.2.5.1.1　測評單元（L4-SMC2-01）

該測評單元包括以下要求：
a) 測評指標：應對物理資源和虛擬資源按照策略做統一管理調度與分配；
b) 測評對象：資源調度平臺、云管理平臺或相關組件；
c) 測評實施包括以下內容：
1) 應核查是否有資源調度平臺等提供資源統一管理調度與分配策略；
2) 應核查是否能夠按照上述策略對物理資源和虛擬資源做統一管理調度與分配。

9.2.5.1.2　測評單元（L4-SMC2-02）

該測評單元包括以下要求：
a) 測評指標：應保證云計算平臺管理流量與云服務客戶業務流量分離；
b) 測評對象：網絡架構和云管理平臺；
c) 測評實施包括以下內容：
1) 應核查網絡架構和配置策略能否采用帶外管理或策略配置等方式實現管理流量和業務流量分離；
2) 應測試驗證云計算平臺管理流量與業務流量是否分離。

9.2.5.1.3　測評單元（L4-SMC2-03）

該測評單元包括以下要求：
a) 測評指標：應根據云服務商和云服務客戶的職責劃分，收集各自控制部分的審計數據并實現各自的集中審計；
b) 測評對象：云管理平臺、綜合審計系統或相關組件；
c) 測評實施包括以下內容：
1) 應核查是否根據云服務商和云服務客戶的職責劃分，實現各自控制部分審計數據的收集；
2) 應核查云服務商和云服務客戶是否能夠實現各自的集中審計。

9.2.5.1.4　測評單元（L4-SMC2-04）

該測評單元包括以下要求：
a) 測評指標：應根據云服務商和云服務客戶的職責劃分，實現各自控制部分，包括虛擬化網絡、虛擬機、虛擬化安全設備等的運行狀況的集中監測；
b) 測評對象：云管理平臺或相關組件；
c) 測評實施：應核查是否根據云服務商和云服務客戶的職責劃分，實現各自控制部分，包括虛擬化網絡、虛擬機、虛擬化安全設備等的運行狀況的集中監測；

9.2.6　安全建設管理

9.2.6.1　云服務商選擇

9.2.6.1.1　測評單元（L4-CMS2-01）

該測評單元包括以下要求：
a) 測評指標：應選擇安全合規的云服務商，其所提供的云計算平臺應為其所承載的業務應用系統提供相應等級的安全保護能力；
b) 測評對象：系統建設負責人和服務合同；
c) 測評實施包括以下內容：
1) 應訪談系統建設負責人是否根據業務系統的安全保護等級選擇具有相應等級安全保護能力的云計算平臺及云服務商；
2) 應核查云服務商提供的相關服務合同是否明確其云計算平臺具有與所承載的業務應用系統具有相應或高于的安全保護能力。

9.2.6.1.2　測評單元（L4-CMS2-02）

該測評單元包括以下要求：
a) 測評指標：應在服務水平協議中規定云服務的各項服務內容和具體技術指標；
b) 測評對象：服務水平協議或服務合同；
c) 測評實施：應核查服務水平協議或服務合同是否規定了云服務的各項服務內容和具體指標等；

9.2.6.1.3　測評單元（L4-CMS2-03）

該測評單元包括以下要求：
a) 測評指標：應在服務水平協議中規定云服務商的權限與責任，包括管理范圍、職責劃分、訪問授權、隱私保護、行為準則、違約責任等；
b) 測評對象：服務水平協議或服務合同；
c) 測評實施：應核查服務水平協議或服務合同中是否規范了安全服務商和云服務供應商的權限與責任，包括管理范圍、職責劃分、訪問授權、隱私保護、行為準則、違約責任等；

9.2.6.1.4　測評單元（L4-CMS2-04）

該測評單元包括以下要求：
a) 測評指標：應在服務水平協議中規定服務合約到期時，完整提供云服務客戶數據，并承諾相關數據在云計算平臺上清除；
b) 測評對象：服務水平協議或服務合同；
c) 測評實施：應核查服務水平協議或服務合同是否明確服務合約到期時，云服務商完整提供云服務客戶數據，并承諾相關數據在云計算平臺上清除；

9.2.6.1.5　測評單元（L4-CMS2-05）

該測評單元包括以下要求：
a) 測評指標：應與選定的云服務商簽署保密協議，要求其不得泄露云服務客戶數據；
b) 測評對象：保密協議或服務合同；
c) 測評實施：應核查保密協議或服務合同是否包含對云服務商不得泄露云服務客戶數據的規定；

9.2.6.2　供應鏈管理

9.2.6.2.1　測評單元（L4-CMS2-07）

該測評單元包括以下要求：
a) 測評指標：應確保供應商的選擇符合國家有關規定；
b) 測評對象：記錄表單類文檔；
c) 測評實施：應核查云服務商的選擇是否符合國家的有關規定；

9.2.6.2.2　測評單元（L4-CMS2-08）

該測評單元包括以下要求：
a) 測評指標：應將供應鏈安全事件信息或威脅信息及時傳達到云服務客戶；
b) 測評對象：供應鏈安全事件報告或威脅報告；
c) 測評實施：應核查供應鏈安全事件報告或威脅報告是否及時傳達到云服務客戶，報告是否明確相關事件信息或威脅信息；

9.2.6.2.3　測評單元（L4-CMS2-09）

該測評單元包括以下要求：
a) 測評指標：應將供應商的重要變更及時傳達到云服務客戶，并評估變更帶來的安全風險，采取措施對風險進行控制；
b) 測評對象：供應商重要變更記錄、安全風險評估報告和風險預案；
c) 測評實施：應核查供應商的重要變更是否及時傳達到云服務客戶，是否對每次供應商的重要變更都進行風險評估并采取控制措施；

9.2.7　安全運維管理

9.2.7.1　云計算環境管理

9.2.7.1.1　測評單元（L4-MMS2-01）

該測評單元包括以下要求：
a) 測評指標：云計算平臺的運維地點應位于中國境內，境外對境內云計算平臺實施運維操作應遵循國家相關規定；
b) 測評對象：運維設備、運維地點、運維記錄和相關管理文檔；
c) 測評實施：應核查運維地點是否位于中國境內，從境外對境內云計算平臺實施遠程運維操作的行為是否遵循國家相關規定；