信息安全技术云计算服务安全能力评价方法.pdfVIP

信息安全技术云计算服

务安全能力评估方法

SANY标准化小组#QS8QHH-HHGX8Q8-GNHHJ8-HHMHGN#

标准项目名称：《信息安全技术云计算服务安全能力评估方法》承办人：王惠莅共23页标准项目负责起草单位：中国电子技术标准

化研究院电话：12016年6月13日填写

标准章条编号

序号意见内容提出单位处理意见备注

标准草案，2015年5月20日发编制组内部征求意见

依据当前评估条目的适用性，提取共性项，CETC30所未采纳。对服务类型进行区分

1.对仅适用于特殊场景下的评估点标注其使用超出本标准的范围。

建议，或单独章节形成特定测评点要求。

当前稿中涉及的角色称谓名称较多，各称谓

代表的对象范畴没有明示，容易混淆，比如

用户、客户、租户之间的差异。未采纳。按照《能力要求》相

2.CETC30所

修改建议：对用户、租户、客户、外部人关规定。

员、特权用户、特权账户等各称谓明确含义

范畴，规范其使用。

建议将“对以社会化方式”去掉阿里云计

未采纳。与《能力要求》保持

3.1算有限公

一致。

司

综合考虑原则不是原则，可重复和可充用、中国信息

4.4.1可再现比较理想，比较难实现。安全测评部分采纳。

中心

标准章条编号

序号意见内容提出单位处理意见备注

建议改为“采用或参考其已有的公正第二方阿里云计

5.4.1的测评结果”。算有限公部分采纳。

司

建议改为“灵活是指在对云服务商进行安全阿里云计

未采纳。应是由云服务商裁

6.4.1控制措施裁剪、替换等情况下，”算有限公

剪、替换安全控制措施等。

司

增加相应章节，

未采纳。本标准只规范评估方

7.4.21、描述安全评估系统要求，成都大学

法，不涉及评估系统。

安全配件要求。

国家信息

8.建议修改格式，“