GB／T 31167-2025 中文版 云计算服务安全指南.docxVIP

GB/T31167-2025中文版云计算服务安全指南

云安全的讨论常陷入两个极端：一种认为“上云就安全了”，把责任交给云服务商；另一种认为“上云就不安全”，坚持所有系统自建。两种看法都忽略了一个基本事实：云安全是责任共担，边界划清、能力匹配、过程可控，才是关键。

这份指南站在云服务使用方（客户）的立场，回答“如何安全地采用云服务”：从需求分析、风险评估、服务商选择、合同签订，到迁移部署、运行监管、退出迁移。它不替代技术标准，而是给出采用云服务的流程与决策框架。

一、指南的定位：客户视角

云服务安全涉及两方：服务商建设与运营云平台，客户在平台上运行业务。指南关注后者，因为客户往往是风险承担者，却缺乏对平台内部的控制力。

（一）为什么需要客户视角

服务商的安全能力再强，客户配置错误、权限滥用、数据泄露仍会发生。客户需要一套方法，判断“我把什么放到云上、依赖服务商什么、自己还要做什么”。

（二）与能力要求标准的关系

指南讲“怎么选、怎么用”，配套的能力要求标准讲“服务商应具备什么”。两者配合，客户才能既选得对，又管得住。

二、服务模式与部署模式

模式决定责任边界，也决定安全控制的落点。

（一）三种服务模式

基础设施即服务，客户控制操作系统及以上；平台即服务，客户控制应用与数据；软件即服务，客户主要控制账号、配置与数据。模式越往上，客户的控制点越少，对服务商的依赖越强。

（二）部署模