举例说明｜云平台和云上应用过密评时，责任范围如何划分？

随着信息技术的发展，云计算已经被广泛应用。

为降低系统成本，打通数据融合，越来越多的企业事业单位的系统选择部署在云上。

云计算技术融合了软硬件资源，采用了虚拟化技术，主机边界和网络边界相对于传统数据中心来讲变得非常模糊，风险不但来自南北流量，还来自东西流量，部署在云平台上的系统，其安全风险也随之增加。

实际测评中，经常会碰到云平台和云租户业务应用系统密码应用（以下称为“云上应用”）的密评，但是相对于传统的信息系统，云平台和云上应用的运营者一般不同。

云平台系统的密码应用较为复杂，云平台系统的密码应用分为两个层面：

一是云平台系统为满足自身安全需求所采用的密码技术；

二是云租户通过调用云平台提供的密码服务，为自身业务应用提供密码保障。

因此，对运行在云平台上的云上应用进行密评时，原则上需要完成两部分测评工作：

(1) 针对云平台自身密码应用的测评（以下简称“云平台测评”），该部分测评的责任主体为云平台的运营者。

(2) 针对云上应用系统密码应用的测评（以下简称“云上应用测评”），该部分测评的责任主体为云上应用的运营者。

同时，原则上：

(1) 云上应用系统所处的云平台通过密评（即获得“符合”或“基本符合”的结论）后，云上应用系统才能通过密评；

(2) 云上应用系统所处的云平台的安全级别，应不低于云上应用系统。

云平台密评

云平台测评与一般信息系统基本一致，但由于云平台还需要为云上应用提供计算、存储、网络、密码等资源，还应关注云平台自身的密码应用以及对云租户提供的密码服务。

对于云平台自身而言，除了从物理和环境、网络和通信、设备和计算、应用和数据四个技术层面的密码应用进行测评外，还要兼顾云平台的服务模式，即要分别对云平台支持的每类服务模式（IaaS、PaaS、SaaS）进行密码应用测评，并关注对云租户提供的密码服务都有哪些，每台密码设备服务的边界。

因此，在测评结论中还须包含“云平台密码支撑能力说明”，“云平台密码支撑能力说明”分为两类情况：

(1) 被完全评估的支撑能力： 指的是云平台中的某些测评对象，这些测评对象同时用于支撑云平台和云上应用，将同时作为云平台和云上应用的测评对象。

由于此时该支撑能力是云平台密码应用的一部分，它将在云平台密评时被“完全评估”，即该支撑能力有明确的测评结果（包括量化评估、风险评价等）。

(2) 被部分评估的支撑能力： 指的是云平台提供的某些支撑服务，这些支撑服务仅用于云上应用而不用于云平台，或者将服务于云平台和云上应用的不同测评对象。

由于这种情况下，该支撑能力必须结合云上应用的密码应用一起评估，因此无法在云平台测评时进行“完全评估”，只能进行“部分评估”，评估的内容包括：

1)支撑能力相应的部分量化评估情况，包括《商用密码应用安全性量化评估规则》中定义的A和K的赋值和适用情况：

2)支撑能力相应应的风险评价和适用情况（即，在何种情况下可以取得相应风险评价结论）。

云上应用密评

云上应用测评则与一般信息系统测评略有不同，其部分测评结论依赖于云平台测评的结果。

测评过程中，需要根据云平台测评结论中的“云平台支撑能力说明”给定相应的测评结果。

云上应用密评时，应重点关注应用本身在各个安全层面的密码应用情况。

根据所使用支撑能力的不同，存在以下几种情况：

(1) 云上应用被完全评估的支撑能力所支撑：

此时，云上应用测评对象的测评结论完全被云平台对应对象的测评结论覆盖；

如果云平台已经通过密评（即获得“符合”或“基本符合”的结论）且安全等级不低于云上应用，则云上应用测评对象的测评结论可以为“不适用”。

(2) 云上应用被部分评估的支撑能力所支撑：

此时，云上应用测评对象的测评结论需要结合“云平台支撑能力说明”对测评对象进行充分测评并给定结果。

(3) 云上应用系统调用了非云平台提供的支撑能力：

此时，云上应用测评对象的测评方式与一般信息系统类似，需要进行单独测评；

但是要重点关注该支撑能力与云平台、云上应用进行整合时是否安全，避免可能存在的安全风险。

特别注意

需要说明的是，实际测评过程中，上述规则可能存在以下无法适用或不能适用的情况：

(1) 云平台通过密评（即获得“符合”或“基本符合”的结论），但是其安全级别低于云上应用；此时，在对云上应用测评时，云平台的“云平台支撑能力说明”不再有效，仍需要对云平台相关的密码应用进行重新测评。

(2) 云平台未通过密评（没有开展密评，或未获得“符合”或“基本符合”的结论）；此时，在对云上应用测评时，仍需要对云平台相关的密码应用进行（重新）测评。

说明模版

云平台支撑能力说明模版如下：