阿里云计算有限公司云服务体系系统和机构控制报告SOC3类型三.PDF

阿里云计算有限公司 云服务体系 系统和机构控制报告(SOC3)类型三 2016年11月1日至2017年10月31日，阿里云计算有限公司对其云服务体系的安全性、可用 性和必威体育官网网址性原则相关的控制的设计适当性和运行有效性报告 本报告以英文版形式出具，中文翻译版仅作为参考，如有任何差异，以英文版报告为准 独立服务审计师报告 致:阿里云计算有限公司管理层： 我们根据由美国注册会计师协会颁布的TSP第100条，针对安全性、可用性、过程完整性、必威体育官网网址性和隐私性 的2017版信托服务标准(AICPA，信托服务标准，于2017年4月发布) (以下简称 “适用的信托服务标准”)中 所列示的安全性、可用性和必威体育官网网址性的标准，检查了后附的2016年11月1日至2017年10月31日的阿里云计算有 限公司（以下简称 “阿里云计算”）的管理层认定。阿里云计算对云服务体系的（以下简称“该体系”） 的相关控制设计合理且运行有效，从而对以下事项提供合理保证： • 该体系得到了如承诺或所要求的保护，使其免于未经授权的访问、使用或更改。 • 在该体系中被认定为必威体育官网网址的信息得到了如承诺或约定所述的保护。 • 该体系达到了如承诺或约定所述的运营和使用之可用性。 编制该认定是阿里云管理层的责任。我们的责任是，基于我们的程序，对该认定发表意见。 我们根据美国注册会计师协会建立的鉴证准则执行本检查。这些准则要求我们计划和执行检查，在所有重 大方面，以就管理层认定是否公允表达、控制的设计是否适当以满足适用的信托服务标准，获取合理保证。 为获取管理层认定的相关证据，我们的检查包括（1）了解阿里云计算针对安全性、可用性和必威体育官网网址性所设 的控制，（2）测试与评估控制执行之有效性以及（3）执行其他我们认为必要的程序。我们相信，我们 获取的证据是充分和适当的，为我们发表意见提供了合理的基础。 由于其性质和固有限制，服务机构的控制可能无法始终运行有效以实现适用的信托服务标准。此外，根 据对管理层认定表达公允性的任何评估或者关于控制就满足适用的信托服务标准的设计适当性或运行有 效性的任何结论来推断未来期间的状况，将面临服务机构的控制有效性有所降低或失效的风险。 我们认为，在所有重大方面，阿里云计算管理层的认定基于安全性、可用性和必威体育官网网址性标准的陈述是公允的。 罗兵咸永道会计师事务所 中国 香港 2017 年12 月8 日 1 阿里云计算有限公司的管理层就其云服务体系在2016年11月1日至2017年10月31日期间的认定 根据TSP 第 100 条，针对安全性、可用性、过程完整性、必威体育官网网址性和隐私性的2017 版信托服务标准(AICPA， 信托服务标准，于2017 年4 月发布) (以下简称 “适用的信托服务标准”)中所列示的安全性、可用性和必威体育官网网址 性的标准，阿里云计算有限公司（以下简称“阿里云计算”）负责在2016 年 11 月 1 日至2017 年 10 月31 日期间，维护其云服务体系的（以下简称“该体系”）的相关控制设计合理且运行有效，以提供合理保证： • 该体系得到了如承诺或所要求的保护，使其免于未经授权的访问、使用或更改。 • 在该体系中被认定为必威体育官网网址的信息得到了如承诺或约定所述的保护。 • 该体系达到了如承诺或约定所述的运营和使用之可用性。 随附之体系的描述定义了本认定所涵盖的体系方面。 根据适用的信托服务标准，我们评估了自2016 年11 月1 日至2017 年 10 月31 日止期间，控制是否得到了 适当的设计和有效的运行，以确保该体系得到了如承诺或所要求的保护，使其免于未经授权的访问、使用 或更改，在该体系中被认定为必威体育官网网址的信息得到了如承诺或约定所述的保护，该体系达到了如承诺或约定所 述的运营和使用之可用性。基于评估，自2016 年11 月1 日至2017 年 10 月31 日止期间关于安全性、可用 性和必威体育官网网址性所设控制设计合理且运行有效，根据适用的信托服务标准，我们合理保证该体系得到了如承诺 或所要求的保护，使其免于未经授权的访问、使用或更改，在该体系中被认定为必威体育官网网址的信息得到了如承诺 或约定所述的保护，该体系达到了如承诺或约定所述的运营和使用之可用性。 阿里云计算有限公司 2017 年12 月8 日