GAT 2347-2025 信息安全技术　网络安全等级保护云计算测评指引标准立项发展报告

信息安全技术网络安全等级保护云计算测评指引标准立项发展报告EnglishTitle:StandardizationDevelopmentReport:InformationSecurityTechnology-GuidelinesforClassifiedProtectionofCybersecurityinCloudComputing摘要随着云计算技术的广泛应用与数字化转型战略的深入推进，云计算环境下的网络安全防护问题日益凸显。为有效指导云计算平台的安全测评工作，提升信息系统安全防护能力，公安部网络安全保卫局组织制定了行业标准GA/T2347-2025《信息安全技术网络安全等级保护云计算测评指引》。本报告系统梳理了该标准的立项背景、技术内容、编制原则及实施路径。标准围绕云计算安全等级保护测评的核心环节，明确了测评对象界定、测评指标选取、测试方法规范以及结果判定与整改要求等内容。报告指出，该标准的发布实施对于规范等级保护测评流程、统一测评基准、强化云平台安全合规能力具有重要的现实指导意义。同时，报告对未来标准与技术演进、政策协同及国际接轨等方面的发展趋势进行了展望。该标准已于2025年10月13日发布，将于2026年2月1日正式实施，属于现行有效的行业标准，由公安部第一研究所等主要单位参与编制。关键词网络安全等级保护；云计算测评；信息安全技术；行业标准；GA/T2347-2025；安全合规；测评指引；等级保护Keywords:ClassifiedProtectionofCybersecurity;CloudComputingEvaluation;InformationSecurityTechnology;IndustryStandard;GA/T2347-2025;SecurityCompliance;EvaluationGuidelines;ClassifiedProtection正文一、引言近年来，云计算作为新一代信息基础设施的核心支撑技术，已广泛应用于政府、金融、教育、医疗等关键行业。随着业务上云、数据入云、应用托云的加速推进，云平台面临的安全威胁日益复杂，针对云计算环境的网络攻击、数据泄露、权限滥用等事件频发。网络安全等级保护制度（以下简称“等保”）作为我国网络安全领域的基础性制度，要求对信息系统按照其重要程度和安全需求，实施分级保护。然而，云计算环境具有资源虚拟化、边界动态化、管理责任分担等独特特性，传统的等保测评方法难以直接适用。因此，制定专门针对云计算的安全测评指引，成为行业迫切需求。GA/T2347-2025《信息安全技术网络安全等级保护云计算测评指引》正是在这一背景下应运而生。该标准由公安部网络安全保卫局提出并归口，由公安部第一研究所牵头，联合多家科研院所、测评机构及安全企业共同起草。标准旨在为云计算服务提供者、测评机构以及运营使用单位提供一套科学、规范、可操作的测评工作指引，推动等保2.0体系在云计算场景下的落地执行。二、标准立项背景与必要性（一）政策法规的明确要求《中华人民共和国网络安全法》明确规定，国家实行网络安全等级保护制度。2019年，国家发布了等保2.0系列标准，包括GB/T22239-2019《信息安全技术网络安全等级保护基本要求》、GB/T28448-2019《信息安全技术网络安全等级保护测评要求》等，初步构建了覆盖云计算、移动互联、物联网等新技术的等保标准体系。然而，上述标准更多侧重于技术要求和测评要求的总体原则，对于云计算环境的具体测评实施过程中涉及的测评对象划分、安全控制解读、测试工具选择、结果量化判定等细节问题，尚缺乏统一的指引。GA/T2347-2025的立项，正是为了解决这一标准体系中的细分领域空白。（二）云计算安全测评的现实痛点在实际测评过程中，测评人员常面临以下问题：第一，多云环境下的资产边界模糊，难以准确界定测评范围；第二，虚拟化层与物理层的安全控制项存在重叠或空档，易导致漏评或重复测评；第三，测评结果受测评人员技术水平、经验差异的影响较大，导致测评结论的公正性和可比性不足。GA/T2347-2025通过明确测评指引，有助于缓解上述问题，提升测评工作的标准化水平。（三）行业标准定位的优势相较于国家标准，行业标准GA/T系列具有更强的行业针对性和灵活性。该标准紧密结合公安系统的管理需求和等保测评的实战经验，可快速响应新兴安全技术（如容器安全、微隔离、弹性和可扩展性、安全组策略等）带来的测评挑战，具有较高的指导价值和可操作性。三、标准技术内容及编制原则GA/T2347-2025全文结构严谨，逻辑清晰，主要涵盖以下几个核心章节：（一）范围与规范性引用文件标准明确了适用范围为在中国境内运营的云计算平台的信息安全等级保护测评工作。规范性引用文件包括GB/T22239-2019、GB/T28448-2019、GB/T32916-2016等，确保与现有等保标准体系的衔接一致。（二）术语和定义标准对云计算安全测评中涉及的关键术语进行了统一界定，例如“云计算服务模式（IaaS、PaaS、SaaS）”、“虚拟化安全”、“租户隔离”、“安全组”等。这些术语的标准化定义，有助于消除测评各方在理解上的歧义，提升测评效率和结论一致性。（三）测评对象与范围确定针对云计算环境的特殊性，标准详细说明了如何界定测评对象。建议根据租户模型、服务模式、数据分布等因素，将测评对象划分为物理基础设施层、虚拟化层、控制面、用户面、应用层等。同时，标准强调需关注云服务提供商（CSP）与租户之间的安全责任边界，避免测评盲区。（四）测评指标选取与权重分配标准在等保基本要求的基础上，结合云计算特点，补充了“弹性伸缩安全”、“多租户数据隔离”、“镜像安全”、“API安全”等新增测评指标。同时，根据安全风险等级，建议对各项指标赋予不同的测评权重，确保测评结果能够真实反映云平台的安全水平。（五）测评方法与测试工具标准推荐了多种测评方法，包括文档审查、配置核查、渗透测试、日志分析、压力测试等。针对云计算场景，特别强调了自动化合规检测工具的使用，例如基线检查工具、镜像扫描工具、流量分析工具等。标准还提供了常见测评用例示例，便于测评人员实际操作。（六）结果判定与安全整改指引标准规定了测评结果的判定原则，包括符合、基本符合、不符合三种情形。对于不符合项的整改，标准给出了分级整改建议，例如：对于高危漏洞（如未验证的API访问、敏感数据未加密等），要求立即整改；对于中等风险项（如日志审计不完整、权限分配不合理等），建议在限定期限内完成整改。同时，标准强调了整改后的复测要求，确保安全闭环管理。四、主要参与单位介绍公安部第一研究所是该标准的牵头起草单位，也是推动我国网络安全等级保护标准体系建设的重要技术支撑机构。在GA/T2347-2025的编制过程中，一所组织内部的网络安全专家团队进行了大量调研工作。团队走访了多个典型云计算平台运营单位，收集了全国范围内超过200份云计算安全测评案例，梳理出高频安全问题和测评难点。同时，一支与全国信息安全标准化技术委员会（TC260）保持密切协作，确保了标准与现有等保2.0系列标准的协调性。一所还联合了多家知名云服务商（如阿里云、华为云、腾讯云、中国电信天翼云等）及第三方测评机构进行技术验证，确保标准内容的可行性与先进性。除编制本标准外，一所还参与了GB/T22239-2019和GB/T28448-2019的修订工作，是我国网络安全等级保护制度的技术中坚力量。五、标准实施与推广建议GA/T2347-2025将于2026年2月1日正式实施。为确保标准能够在行业中得到有效推广应用，建议采取以下措施：1.组织专题培训：面向测评机构技术人员、云服务提供商安全负责人以及运营单位的等保管理人员，举办标准宣贯与实操培训，提高对标准内容的理解程度和应用能力。2.开发配套工具与指南：联合技术厂商开发基于标准要求的自动化测评工具与合规检测平台，降低人工测评误差，提高测评效率。3.建立测评案例库：依托标准开展测评实践，逐步建立云计算安全测评典型案例库，为后续标准修订和行业发展提供数据支撑。4.政策激励与监督并行：建议各级公安机关网络安全保卫部门将标准的执行情况纳入网络安全执法检查范畴，同时鼓励通过认证、评估等方式推动标准落地。结论GA/T2347-2025《信息安全技术网络安全等级保护云计算测评指引》的发布，标志着我国云计算安全等级保护测评工作步入标准化、规范化、精细化的新阶段。标准