GBT 34942-2017 信息安全技术 云计算服务安全能力评估方法

GB/T349422017

原则。 客观公正是指第三方评估机构在评估活动中应充分收集证据，对云计算服务安全措施的有效性和 云计算平台的安全性做出客观公正的判断。 可重用是指在适用的情况下，第三方评估机构对云计算平台中使用的系统、组件或服务等采用或参 考其已有的评估结果 可重复和可再现是指在相同的环境下，不同的评估人员依照同样的要求，使用同样的方法，对每个 评估实施过程的重复执行都应得到同样的评估结果。 灵活是指在云服务商进行安全措施裁剪、替换等情况下，第三方评估机构应根据具体情况制定评估 用例并进行评估。 最小影响是指第三方评估机构在评估时尽量小地影响云服务商现有业务和系统的正常运行，最大 程度降低对云服务商的风险。 保密原则是指第三方评估机构应对涉及云服务商利益的商业信息以及云服务客户信息等严格 保密。

第三方评估机构依据国家相关规定和GB/T31168一2014，主要对系统开发与供应链安全、系统与 通信保护、访问控制、配置管理、维护、应急响应和灾备、审计、风险评估与持续监控、安全组织与人员、物 理与环境安全等安全措施实施情况进行评估。 第三方评估机构在开展安全评估工作中宜综合采用访谈、检查和测试等基本评估方法，以核实云服 务商的云计算服务安全能力是否达到了一般安全能力或增强安全能力。 访谈是指评估人员对云服务商等相关人员进行谈话的过程，对云计算服务安全措施实施情况进行 了解、分析和取得证据。访谈的对象为个人或团体，例如：信息安全的第一负责人、人事管理相关人员、 系统安全负责人、网络管理员、系统管理员、账号管理员、安全管理员、安全审计员、维护人员、系统开发 人员、物理安全负责人和用户等。 检查是指评估人员通过对管理制度、安全策略和机制、安全配置和设计文档、运行记录等进行观察 查验、分析以帮助评估人员理解、分析和取得证据的过程。检查的对象为规范、机制和活动，例如：评审 言息安全策略规划和程序；分析系统的设计文档和接口规范；观测系统的备份操作；审查应急响应演练 结果；观察事件处理活动；研究设计说明书等技术手册和用户/管理员文档；查看、研究或观察信息系统 的硬件/软件中信息技术机制的运行；查看、研究或观察信息系统运行相关的物理安全措施等， 测试是指评估人员进行技术测试（包括渗透测试），通过人工或自动化安全测试工具获得相关信息 并进行分析以帮助评估人员获取证据的过程。测试的对象为机制和活动，例如：访问控制、身份鉴别和 验证、审计机制；测试安全配置设置，测试物理访问控制设备；进行信息系统的关键组成部分的渗透测

评估证据是指对评估结果起到佐证作用的任何实体公共安全标准，包括但不限于各种文档、图片、录音、录像、实 物等，其载体可以是任何能够保存的形式，包括但不限于纸质的、电子的等。证据是在评估活动的过程 中筛选或生成而来。所有评估活动产生的结果都应有相应的证据支持。证据应得到妥善保管，以防止 篡改、泄密、损坏、丢失等有损证据的行为

评估实施过程主要包括：评估准备、方案编制、现场实施和分析评估四个阶段，与云服务商的沟通

GB/T 349422017

洽谈贯穿整个过程，评估实施过程见图1。 在评估准备阶段，第三方评估机构应接收云服务商提交的《系统安全计划》，从内容完整性和准确性 等方面审核《系统安全计划》，审核通过后，第三方评估机构与云服务商沟通被测对象、拟提供的证据、评 古进度等相关信息，并组建评估实施团队。 在方案编制阶段，第三方评估机构应确定评估对象、评估内容和评估方法，并根据需要选择、调整， 开发和优化测试用例，形成相应安全评估方案。此阶段根据具体情况，可能还需要进行现场调研，主要 目的是：确定评估边界和范围，了解云服务商的系统运行状况、安全机构、制度、人员等现状，以便制定安 全评估方案。 在现场实施阶段，第三方评估机构主要依据《系统安全计划》等文档，针对系统开发与供应链保护 系统与通信保护、访问控制、配置管理、维护、应急响应与灾备、审计、风险评估与持续监控、安全组织与 人员、物理与环境安全等方面的安全措施实施情况进行评估。该阶段主要由云服务商提供安全措施实 施的证据，第三方评估机构审核证据并根据需要进行测试。必要时，应要求云服务商补充相关证据，双 方对现场实施结果进行确认。 在分析评估阶段，第三方评估机构应对现场实施阶段所形成的证据进行分析，首先给出对每项安全 要求的判定结果。在GB/T31168一2014附录A中，云服务商安全要求实现情况包括：满足、部分满 足、计划满足、替代满足、不满足和不适用。第三方评估机构在判定时，计划满足视为不满足，替代满足 视为满足。第三方评估机构在判定是否满足适用的安全要求时，如有测试和检查，原则上测试结果和检 查结果满足安全要求的视为满足，否则视为不满足或部分满足。若无测试有检查，原则上检查结果满足 安全要求的视为满足，否则视为不满足或部分满足。若无测试无检查，访谈结果满足安全要求的视为满 足，否则视为不满足或部分满足。然后，根据对每项安全要求的判定结果，参照相关国家标准进行风险 平估，最后综合客项评估结果形成安全评估报告，给出是否达到GB/T31168一2014相应能力要求的评 估结论。 在云服务商通过安全评估后，并与客户签订合同提供服务时，第三方评估机构也可按照相关规定 客户委托或其他情况积极参与和配合运行监管工作，具体实施应参照GB/T31167一2014及运行监管 相关规定

GB/T349422017

5系统开发与供应链安全评估方法

5.1.1 ± 一般要求

5.1.1.1评估内容

详见GB/T31168一2014中5.1.1的a)和b）

GB/T 349422017

5.1.1.2评估方法

5.1.1.2.1对a)的评估方法为

检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了所分发的人员或角色； 访谈云服务商定义的人员或角色，询问其是否收到过相应的策略与规程； 1） 检查系统开发与供应链安全策略（包括采购策略等），查看其是否涉及：目的、范围、角色 责任、管理层承诺、内部协调、合规性等内容； 2 检查系统开发与供应链安全的相关规程，查看其是否有推动系统开发与供应链安全策略 及有关安全措施实施的内容

5.1.1.2.2对b)的评估方法为：

5.2.1.1评估内容

详见GB/T31168—2014中5.2.1的a）、b)和c）

5.2.1.2评估方法

2.1对a)的评估方法买

检查系统开发与供应链安全策略与规程等相关文档，查看其是否有在规划系统建设时考虑系 统安全需求的要求； 检查系统规划阶段相关文档，查看其是否明确指出该系统的安全需求。 5.2.1.2.2对b）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查者其是否有确定并分配为保护信息系 统和服务所需的资源，并在预算管理过程中予以重点考虑的要求； 检查工作计划、预算管理过程文档，查看其是否有保护信息系统和服务所需资源（如有关资金 场地、人力等）的内容； 访谈信息安全的第一负责人或系统安全负责人等相关人员，询问保护信息系统和服务所需资 源的落实情况

5.2.1.2.3对c)的评估方法为：

检查系统升发与供应销 将信息安全作为单列项予以考虑的要求； 检查工作计划和预算文件，查看其是否将信息安全作为单列项予以说明

5.3.1 一般要求

5.3.1.1评估内容

GB/T31168—2014中5.3.1的a)、b)、c)和d)

5.3.1.2评估方法

2.1对a)的评估方法为

GB/T349422017

检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了系统生命周期，如规划 价段、设计阶段、实施阶段、运维阶段、废止阶段等；是否将信息安全纳入所定义的系统生命 周期； 检查云服务商定义的系统生命周期中的各阶段相关文档，查看其是否明确提出信息系统和服 务的安全需求，以确保信息安全措施同步规划、同步建设、同步运行； 访谈信息安全的第一负责人或系统安全负责人等相关人员，询问信息安全措施的同步规划、同 步建设、同步运行的情况。 5.3.1.2.2对b)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有确定整个信息系统生命周 期内的信息安全角色和责任的要求； 一 检查信息系统生命周期各阶段的相关文档，查看其是否明确提出各阶段的信息安全角色和 责任。 5.3.1.2.3对c)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有将信息安全角色明确至相 应责任人的要求； 检查信息系统生命周期各阶段相关文档，查看其是否将各阶段的信息安全角色明确至相应责 任人。 5.3.1.2.4对d)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有将信息安全风险管理过程 集成到系统生命周期活动中的要求； 检查信息系统生命周期各阶段相关文档，查看其是否有信息安全风险管理内容，查看其是否有 相应风险评估报告； 访谈信息安全的第一负责人或系统安全负责人等相关人员，询问其在系统生命周期的各阶段 中信息安全风险管理情况

5.3.1.2.4对d)的评估方法为

GB/T 349422017

5.4.1.1评估内容

详见GB/T31168—2014的5.4.1

详见GB/T31168—2014的5.4.1

5.4.1.2评估方法

评估方法如下： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有根据相关法律、法规、政策 和标准的要求，以及可能的客户需求，并在风险评估的基础上，将GB/T31168一2014中5.4.1 的a）、b）、c）、d)、e）、f）、g）、h)的内容列人信息系统采购合同的要求； 访谈系统安全负责人等相关人员，询问其是否收集和整理相关的法律、法规、政策和标准要求 并形成合规文件清单； 访谈负责采购业务的相关人员，询问其在拟定信息系统采购合同之前，是否已充分考虑合规文 件清单、可能的客户需求，以及相关的风险评估结果； 检香采购合同.香看其是否包含所要求的内容

5.4.2.1评估内容

详见GB/T31168—2014中5.4.2的a）、b）、c）、

5.4.2.2评估方法

5.4.2.2.1对a)的评估方法为

检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求开发商对其使用的安 全措施进行功能描述的内容； 访谈系统安全负责人等相关人员，询问其有哪些信息系统、组件或服务由开发商开发，是否形 成云计算平台信息系统、组件或服务开发清单； 检查云服务商收到的对安全措施进行功能描述的文档，查看开发商是否按要求进行了描述 5.4.2.2.2对b)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求开发商提供所使用的 安全措施的设计和实现信息的内容，是否定义了设计和实现信息的详细程度； 检查云服务商收到的安全措施的设计和实现信息，查看其是否满足云服务商定义的详细程度 5.4.2.2.3对c)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了在系统生命周期中使 用的系统工程方法、软件开发方法、测试技术和质量控制过程； 检查系统并发与供应链安全策略与规程等相关文档，查看其是否有要求开发商提供相关证据 的内容； 检查云服务商收到的证据，查看该证据是否足以证明开发商在系统生命周期中使用了云服务 商定义的系统工程方法、软件开发方法、测试技术和质量控制过程。 5.4.2.2.4对d)的评估方法为

GB/T349422017

检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了开发商在交付信息系 统、组件或服务时应实现的安全配置，是否有将这些安全配置作为信息系统、组件或服务在重 新安装或升级时的缺省配置的要求； 检查开发商在交付、重新安装或升级信息系统、组件或服务时使用的缺省安全配置文件和记录 等相关文档，查看其是否符合云服务商定义的安全配置。 5.4.2.2.5对e）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了对开发商安全措施有 效性的持续监控计划的详细程度，是否要求开发商制定的持续监控计划满足该详细程度； 检查云服务商收到的持续监控计划，查看其是否满足云服务商定义的详细程度。 5.4.2.2.6对f)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求开发商在系统生命周 期的早期阶段说明系统中的功能、端口、协议和服务的内容； 访谈系统安全负责人等相关人员，询问其是否对开发商说明的系统功能、端口、协议和服务进 行必要的风险评估，并基于该评估结果禁用不必要或高风险的功能、端口、协议或服务； 检查禁用不必要或高风险的功能、端口、协议或服务的操作记录，查看其是否符合要求； 则试不必要的或高风险的功能、端口、协议或服务，验证其是否已被禁止使用

5.4.2.2.5对c）的评估方法为

5.5.1.1 评估内容

详见GB/T31168—2014中5.5.1的a）、b）、c)和d)

5.5.1.2评估方法

5.5.1.2.1对a）的评估方法为：

检查系统开发与供应链安全策略与规程等相关文档，查看其是否要求开发商制定云计算平台 信息系统、组件或服务开发清单中的相应管理员文档； 检查管理员文档，查看其是否涵盖以下信息： 1）信息系统、组件或服务的安全配置，以及安装和运行说明； 2）安全特性或功能的使用和维护说明； 3）与管理功能有关的配置和使用方面的注意事项。 5.5.1.2.2对b)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否要求开发商制定云计算平台 信息系统、组件或服务开发清单中的相应用户文档；

2.2对b)的评估方法光

检查系统开发与供应链安全策略与规程等相关文档，查看其是否要求开发商制定云计算平台 信息系统、组件或服务开发清单中的相应用户文档； 检查用户文档，查看其是否涵盖以下信息： 1）用户可使用的安全功能或机制，以及对如何有效使用这些安全功能或机制的说明； 2）有助于用户更安全地使用信息系统、组件或服务的方法或说明； 3）对用户安全责任和注意事项的说明

5.5.1.2.3对c)的评估方法为

访谈系统安全负责人等相关人员，询问其是否将开发商提供的管理员文档和用户文档作为 要资产予以识别，并按照风险管理策略进行保护：

GB/T 349422017

5.1.2.4对d）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了文档分发的人员或 角色； 访谈系统安全负责人等相关人员，询问其开发商提供的管理员文档和用户文档的分发范围，验 证其是否明确到人员或角色； 访谈所定义的人员或角色，询问其是否已接收到相关文档； 检查分发记录，查看其是否按照所定义的人员或角色分发文档

5.6.1.1评估内容

详见GB/T31168—2014的5.6.1

5.6.1.2评估方法

评估方法如下： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有应用安全工程原则的要求； 访谈系统安全负责人或系统开发人员等相关人员，询问其所使用的安全工程原则； 检查信息系统的规划、设计、开发、实现和修改过程中的主要技术文档，例如：系统规划文档、系 统设计说明书、实施文档、培训记录、风险评估报告等相关文档，查看其是否按照实际情况应用 安全工程原则

5.7.2.1评估内容

5.7.2.2评估方法

评估方法如下： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了系统生命周期中的 策点，是否定义了在该决策点进行关键性分析的信息系统、组件或服务，以确定关键信息系

GB/T349422017

组件和功能； 访谈系统安全负责人等相关人员，询问其进行关键性分析的情况； 检查关键性分析报告等相关文档，查看其关键性分析的时间点与云服务商定义的系统生命周 期中的决策点是否一致； 检查系统设计说明书、关键性分析报告等相关文档，查看其是否有关键信息系统组件和功能 清单。

5.8.1.1评估内容

5.8.1.2评估方法

5.8.1.2.1对a)的评估方法为

5.8.1.2.1对a）的评估法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求外部服务（如电信服 务、安全运维、安保服务等）提供商遵从并实施云服务商安全要求的内容； 访谈信息安全的第一负责人或系统安全负责人等相关人员，询问其是否有外部服务提供商清 单，以及外部服务提供商遵从并实施云服务商的安全要求的情况； 检查外部服务提供商清单、外部服务提供商管理规定等相关文档，查看其是否有相关要求。 5.8.1.2.2对b）的评估方法为： 一检查与外部服务提供商的服务合同等相关文档，查看其是否明确了外部服务提供商的安全分 工与责任，是否要求外部服务提供商接受相关客户监督； 访谈信息安全的第一负责人或系统安全负责人等相关人员，询问其外部服务提供商的安全分 工与责任，以及外部服务提供商接受相关客户监督的情况。 5.8.1.2.3对c）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否针对外部服务提供商定义了 对其持续监控的具体过程、方法和技术； 检查针对外部服务提供商的持续监控计划和持续监控报告，查看其是否按照所定义的过程、方 法和技术对外部服务提供商提供的安全措施的合规性进行了持续监控； 访谈系统安全负责人等相关人员，询问其是否具备足够资源（技术、人力等），以满足对外部服 务提供商提供的安全措施的合规性进行持续监控的需求

8.1.2.3对 c)的评估方

5.8.2.2评估方法

5.8.2.2.1对a)的评估方法为

对a）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了拟采购或外包的安 服务，是否要求针对该安全服务进行风险评估；

GB/T 349422017

访谈系统安全负责人或负责采购业务的相关人员，询问其在采购或外包（如应急志愿服务等） 安全服务之前，是否对其进行全面的风险评估： 检查风险评估报告，查看其是否按要求进行了风险评估。 5.8.2.2.2对b）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了批准拟采购或外包的 安全服务的人员或角色； 检查审批记录，查看其是否由所定义的人员或角色予以批准

5.8.2.2.3对c)的评估方法为：

检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了外部服务，是否要求外 部服务提供商以文档形式具体说明该外部服务涉及的功能、端口、协议和其他服务； 检查外部服务提供商提供的说明文档，查着其是否对所定义的外部服务涉及的功能、端口、协 议和其他服务予以说明

5.8.2.2.4对d)的评估方法为：

2.2.5对e)的评估方法

签查系统开发与供应链安全策略与规程争相大 工省其定百定文安主拍施 义的外部服务提供商损害本组织的利益，安全措施可以是： 1） 对外部服务提供商进行人员背景审查，或要求外部服务提供商提供可信的人员背景审查结果 2） 检查外部服务提供商资本变更记录。 3）选择可信赖的外部服务提供商，如有过良好合作的提供商。 4）定期或不定期检查外部服务提供商的设施 检查云服务商定义的安全措施的实施记录等相关文档，查看其是否符合要求； 访谈系统安全负责人等相关人员，询问其针对不同外部服务提供商所选择的安全防护措施的 落实情况。

5.8.2.2.6对)的评估方法为

检查合同、系统开发与供应链安全策略与规程等相关文档，查看其是否定义了限制信息处理 信息或数据/信息系统服务地点的要求或条件： 访谈系统安全负责人或负责采购业务的人员等相关人员，询问其限制外部服务提供商信息交 理、信息或数据存储、信息系统服务地点的安全措施，查看其是否符合所定义的要求或条件，

5.9开发商安全体系架构

5.9.2.1评估内容

详见GB/T31168—2014中5.9.2的a)、b)、c)和d) 12

5.9.2.2评估方法

5.9.2.2.1对a)的评估方法为：

GB/T349422017

检查系统并发与供应链安全策略与规程，查看其是否要求开发商制定设计规范和安全架构，是 否要求该架构符合下列条件： 1）该架构应符合或持云服务商的安全架构。 2）准确完整地描述了所需的安全功能，并且为物理和逻辑组件分配了安全措施。 3）说明各项安全功能、机制和服务如何协同工作，以提供完整一致的保护能力。 检查云服务商收到的设计规范和安全架构以及云服务商的安全架构相关文档，查看其是否符 合上述1）、2)和3）的要求。 5.9.2.2.2对b)的评估方法为： 检查系统开发与供应链安全策略与规程，查看其是否有要求开发商提供云服务所需的与安全 相关的硬件、软件和固件的相关信息说明的内容； 检查云服务商收到的相关文档，例如设计规范、管理员文档等，查看其是否符合要求。 5.9.2.2.3对c)的评估方法为： 检查系统并发与供应链安全策略与规程，查看其是否要求并发商编制非形式化的高层说明书， 说明安全相关的硬件、软件和固件的接口；是否要求开发商通过非形式化的证明，说明该高层 说明书完全覆盖了与安全相关的硬件、软件和固件的接口； 检查云服务商收到的非形式化高层说明书，查看其是否说明安全相关的硬件、软件和固件的 接口； 检查云服务商收到的非形式化的证明文档，查看其是否完全覆盖了与安全相关的硬件、软件和 固件的接口。

检查系统开发与供应链安全策略与规程，查看其是否要求开发商制定设计规范和安全架构，是 否要求该架构符合下列条件： 1）该架构应符合或持云服务商的安全架构。 2）准确完整地描述了所需的安全功能，并且为物理和逻辑组件分配了安全措施 3）说明各项安全功能、机制和服务如何协同工作，以提供完整一致的保护能力。 检查云服务商收到的设计规范和安全架构以及云服务商的安全架构相关文档，查看其是否符 合上然2和3的要或

5.9.2.2.2对b)的评估方法为！

5.9.2.2.4对d)的评估方法为

检查系统开发与供应链安全策略与规程，查看其是否有要求开发商在构造安全相关的硬件、软 件和固件时，须考虑便于测试、便于实现最小特权访问控制等因素的内容； 访谈云服务商的系统开发人员或开发商等相关人员，询问其在构造安全相关的硬件、软件和固 件时，考虑的便于测试、便于实现最小特权访问控制等因素的实现情况

5.10开发过程、标准和

5.10. 1 一般要求

5.10.2.1评估内容

详见GB/T31168—2014中5.10.2的a）、b）、c）、d）、e）、)、g）h）、)、i)和K

5.10.2.2评估方法

5.10.2.2.1对a)的评估方法为

检查系统开发与供应链安全策略与规程，查看其是否要求开发商制定明确的开发规范，是否 求在开发规范中明确以下事项： 1）所开发系统的安全需求：

GB/T 349422017

2）开发过程中使用的标准和工具； 3）开发过程中使用的特定工具选项和工具配置。 检查云服务商收到的开发规范，查看其是否明确了上述相应事项。 5.10.2.2.2对b)的评估方法为： 检查系统开发与供应链安全策略与规程，查看其是否有确保开发过程完整性和工具变更完整 性相关措施的要求； 访谈云服务商的系统开发人员等相关人员，询问其确保开发过程完整性和工具变更完整性的 相关措施； 检查云服务商收到的开发规范、开发过程文档和工具变更记录，查看开发过程和工具变更是否 完整

5.10.2.2.3对c)的评估方法为：

检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了审查开发过程、标准、 工具以及工具选项和配置的频率，是否定义了安全需求； 检查云服务商收到的开发规范，查看其开发过程、标准、工具以及工具选项和配置是否符合云 服务商定义的安全需求； 检查审查记录，查看其是否按照所定义的频率进行审查， 10.2.2.4对d)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否规定了检查质量度量标准落 实情况的节点，是否要求开发商在开发过程的初始阶段定义检查质量度量标准，是否要求在规 定的节点检查质量度量标准的落实情况； 检查云服务商收到的开发规范等相关文档，查看开发商在开发过程的初始阶段是否定义了质 量度量标准； 检查云服务商收到的开发规范、设计文档、测评文档等相关文档，查看其是否按要求落实了质 量度量标准； 访谈云服务商的系统安全负责人或负责质量管理的人员等相关人员，询问其质量度量标准的 落实情况， 10.2.2.5对e）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否要求开发商确定了安全问题 追踪工具，是否要求开发商在开发过程期间使用： 检查云服务商收到的安全问题追踪清单及工具使用记录，查看其是否按要求使用。 10.2.2.6对f)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了对信息系统进行威胁

检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了审查开发过程、标 工具以及工具选项和配置的频率，是否定义了安全需求； 检查云服务商收到的开发规范，查看其开发过程、标准、工具以及工具选项和配置是否符合 服务商定义的安全需求； 检查审查记录，查看其是否按照所定义的频率进行审查

5.10.2.2.4对d)的评估方法为：

检查系统开发与供应链安全策略与规程等相关文档，查看其是否规定了检查质量度量标准落 实情况的节点，是否要求开发商在开发过程的初始阶段定义检查质量度量标准，是否要求在规 定的节点检查质量度量标准的落实情况； 检查云服务商收到的开发规范等相关文档，查看开发商在开发过程的初始阶段是否定义了质 量度量标准： 检查云服务商收到的开发规范、设计文档、测评文档等相关文档，查看其是否按要求落实了质 量度量标准； 访谈云服务商的系统安全负责人或负责质量管理的人员等相关人员，询问其质量度量标准的 落实情况。 1025对湿法

5.10.2.2.5对e)的评估方法为

检查系统开发与供应链安全策略与规程等相关文档，查看其是否要求开发商确定了安全问题 追踪工具，是否要求开发商在开发过程期间使用； 检查云服务商收到的安全问题追踪清单及工具使用记录，查看其是否按要求使用。 5.10.2.2.6对f)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了对信息系统进行威胁 和脆弱性分析的广度和深度； 检查威胁和脆弱性分析报告等相关文档，查看其是否按照所定义的广度和深度对信息系统进 行威胁和脆弱性分析。 5.10.2.2.7对g）的评估方法为：

2.2.7对g)的评估方法

检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求开发商制定用来持统 改进开发过程的清晰流程的内容； 检查云服务商收到的流程管理相关文档，查看其是否能够通过该流程来持续改进开发过程， 5.10.2.2.8对h）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了执行漏洞分析工具

GB/T349422017

是否定义了工具的输出和分析结果提交的人员和角色： 检查漏洞分析记录，查看开发商是否使用所定义的工具执行漏洞分析，明确漏洞利用的可能 性，确定漏洞消减措施； 访谈所定义的人员或角色，询问其接收工具输出和分析结果的情况。 5.10.2.2.9对i)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否要求信息系统、组件或服务的 开发商即使在交付信息系统、组件或服务后，也应跟踪漏洞情况；是否要求开发商在发布漏洞 补丁前便通知云服务商；是否要求将漏洞补丁交由云服务商审查、验证并充许云服务商自行 安装； 检查云服务商收到的漏洞跟踪记录、漏洞发布记录，查看开发商是否在交付后持续跟踪了 漏洞； 检查云服务商收到的漏洞补丁的发布记录，查看其是否在开发商发布漏洞补丁前便接到通知； 查看在发布记录里是否包含了审查、验证，以及允许云服务商自行安装漏洞补丁的内容； 一 检查漏洞补丁的审查和验证记录，查看云服务商是否对漏洞补丁进行审查、验证； 访谈云服务商的维护人员，询问其是否可以自行安装漏洞补丁。 5.10.2.2.10对j)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有在信息系统、组件或服务的 开发和测试环境使用生产数据时，先行批准、记录并进行保护的要求； 检查在信息系统、组件或服务的开发和测试环境使用生产数据的记录文档，查看其是否按照要 求先行批准、记录并进行保护； 访谈云服务商的系统安全负责人或系统开发人员等相关人员，询问其在开发和测试环境使用 生产数据的保护措施。 5.10.2.2.11对k）的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否要求开发商制定应急预案，并 将应急预案纳人云服务商的事件响应计划中； 检查事件响应计划，查看其是否包含了开发商的应急预案

5.10.2.2.10对i)的评估方法为

5.10.2.2.11对k)的评估方法为！

5.11开发商配置管理

5.11.1.1评估内容

5.11.1.2评估方法

5.11.1.2.1对a)的评估方法为

检查系统开发与供应链安全策略与规程等相关文档查看其是否选择了实施配置管理的过程 是否有要求开发商在信息系统、组件或服务的设计、开发、实现或运行过程中实施配置管理的 内容； 检查云服务商收到的配置管理相关文档，例如配置管理计划，查看配置管理文档是否涉及了设 计、开发、实现或运行过程。 111 2 2对 h的评估方注为

5.11.1.2.2对b)的评估方法为

GB/T 349422017

检查系统开发与供应链安全策略与规程等相关文档，查看其是否定义了开发商需要记录、管理 和控制的配置项；是否有要求开发商记录、管理和控制配置项变更完整性的内容； 检查云服务商收到的配置项变更记录，查看所定义的配置项的变更是否完整

检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求开发商得到批准后，才 能对所提供的信息系统、组件或服务进行变更的内容； 检查云服务商收到的配置项变更记录等相关文档，例如配置项变更申请表，查看变更是否得到 云服务商的批准。

5.11.1.2.4对d)的评估方法为

检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求开发商记录对信息 统、组件或服务的变更及其所产生的安全影响的内容， 检查云服务商收到的配置项变更记录等相关文档，查看其是否对变更产生的安全影响进行 分析。

5.11.1.2.5对e)的评估方法为：

检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求开发商跟踪信息系统、 组件或服务中的安全缺陷和解决方案的内容。 检查云服务商收到的安全缺陷跟踪记录和解决方案，查看其是否对安全缺陷进行了跟踪，并解 决了安全缺陷

5.11.2.1评估内容

T31168—2014中5.11.2的a)、b)、c)、d)、e)和f)

5.11.2.2评估方法

闸阀标准5.11.2.2.1对a)的评估方法为

检查系统开发与供应链安全策略与规程等相关文档，查看其是否有要求开发商提供能够验证 软件和固件组件完整性方法的内容； 访谈云服务商的系统安全负责人或系统开发人员等相关人员，询问其验证软件和固件组件完 整性的方法； 检查云服务商收到的设计说明书等相关文档，查看其是否对软件和固件组件完整性验证方法 进行了详细的说明。

软件和固件组件完整性方法的内容； 访谈云服务商的系统安全负责人或系统开发人员等相关人员，询问其验证软件和固件组件完 整性的方法； 检查云服务商收到的设计说明书等相关文档，查看其是否对软件和固件组件完整性验证方法 进行了详细的说明。 5.11.2.2.2对b)的评估方法为： 检查系统开发与供应链安全策略与规程等相关文档，查看其是否有在没有专用的开发商配置 团队支持的情况下，由云服务商的人员建立相应配置管理流程的要求； 访谈云服务商的系统安全负责人或配置管理相关人员，询问其开发商配置管理情况，以及云服 务商相应的配置管理情况； 检查云服务商的配置管理计划等相关文档，查看其是否在没有专用的开发商配置团队支持的 情况下，由云服务商的人员建立相应配置管理流程

5.11.2.2.2对b)的评估方法为

检查系统开发与供应链安全策略与规程等相关文档，查看其是否有在没有专用的开 团队支持的情况下，由云服务商的人员建立相应配置管理流程的要求； 访谈云服务商的系统安全负责人或配置管理相关人员，询问其开发商配置管理情况 务商相应的配置管理情况； 检查云服务商的配置管理计划等相关文档，查看其是否在没有专用的开发商配置团 情况下，由云服务商的人员建立相应配置管理流程

5.11.2.2.3对c)的评估方法为

检查系统开发与供应链安全策略与规程等相关文档评定标准，查看其是否有要求开发商提供对硬件 件完整性验证方法的内容；