GB／T 31168-2025 中文版 云计算服务安全能力要求.docxVIP

GB/T31168-2025中文版云计算服务安全能力要求

云服务商的安全能力，不能只靠一句“我们通过了某某认证”来证明。客户把业务和数据交出去，需要知道服务商在开发、运维、供应链、事件响应各环节到底做了什么、做到什么程度、能否被验证。能力要求标准的作用，就是把这些“到底”变成可评估的条目。

与面向客户的采用指南不同，这份标准站在服务商一侧，规定提供云服务应具备的安全能力。它既是服务商自我建设的参照，也是客户选择与监管评估的依据。本文按能力域展开，重点讲能力之间的依赖关系，以及评估时最容易被追问的地方。

一、标准的定位

这是一份能力基线，不是产品功能清单。它描述的是服务商“持续提供安全服务”的组织能力与技术能力，而不是某一款产品的参数。

（一）能力而非合规

合规回答“有没有做”，能力回答“做得好不好、能不能持续”。例如都有日志，能力差异体现在采集范围、留存期限、分析规则、告警处置。

（二）与等级保护的关系

云平台通常按较高等级开展保护，等级保护提供控制点基线，能力要求提供云场景下的细化与增强。两者可以映射，但不能互相替代。

二、能力模型

能力可以按治理、技术、运营三个维度理解。

（一）治理能力

安全策略、组织架构、责任分配、风险管理、合规管理、供应链治理。治理能力决定安全投入能否持续，而不是靠某个项目突击。

（二）技术能力

身份与访问、数据保护、网络隔离、加密、审计、漏洞管理、