ISO 27017-2015 云服务信息安全控制模板 中文版（云服务商与客户双方责任）-1 - 副本

ISO27017_2015云服务信息安全控制模板中文版（云服务商与客户双方责任）一、标准概述与核心定位（资深深度解读）ISO/IEC27017:2015是全球首个、最权威的云计算通用信息安全国际标准，隶属于ISO27000信息安全管理体系家族，是ISO27002通用安全控制的云场景专项扩展规范，无独立体系架构，依托ISO27001ISMS体系落地生效。该标准核心解决云计算行业最大合规痛点：云安全责任边界模糊、服务商与客户权责真空、分层管控无标准依据，适用于公有云、私有云、混合云全场景，覆盖IaaS、PaaS、SaaS三类主流云服务模式。区别于通用安全标准，ISO27017:2015的核心价值是确立云安全责任共担模型，明确固化行业黄金准则：云服务商（CSP）负责云基础设施本身的安全（SecurityOFtheCloud），云服务客户（CSC）负责云上业务与数据的安全（SecurityINtheCloud）。标准在ISO27002原有控制项基础上，新增16项云计算专属安全控制措施，全方位补齐传统信息安全标准在云虚拟化、多租户、外包托管、远程运维场景的管控空白。在云合规体系矩阵中，ISO27017与ISO27018形成完美互补、缺一不可：ISO27017:2015管控云服务通用安全、双向权责划分，是云安全合规的基础框架；ISO27018:2019聚焦云端个人隐私（PII）专项保护，是云隐私合规的细化补充。二者叠加ISO27001底座，构成企业云服务合规认证、招投标审核、监管核查、甲乙双方权责界定的权威组合方案。标准核心目标：标准化云服务全场景安全管控要求，清晰划分云服务商与云客户的安全权责边界，杜绝责任推诿、管控盲区，建立适配三层云架构的安全防护体系，实现云计算环境安全可控、可审计、可追溯、可举证。二、核心体系边界与联动关系（避坑核心）行业普遍存在ISO27001、27017、27018三者混淆、落地重叠、权责错配的问题，本节精准厘清体系边界，适配审核与商务合规落地。2.1三大云安全核心标准差异化对比标准编号体系定位核心适用场景核心侧重点权责主体ISO27001通用信息安全体系底座全行业、本地/云端通用安全管控搭建PDCA管理框架，通用安全合规基础企业单方主体ISO27017:2015云服务通用安全专项规范所有云服务模式（IaaS/PaaS/SaaS）通用安全云安全双向权责划分、云基础设施安全、虚拟化安全、租户隔离云服务商+云客户双方共担ISO27018:2019云隐私保护专项规范公有云个人身份信息（PII）处理场景云端隐私授权、数据残留、泄露通知、用户权利保障以客户数据权属为核心，服务商配合履约2.2最优落地联动逻辑企业云安全合规标准化落地组合：ISO27001（体系框架）+ISO27017（双向安全权责）+ISO27018（云端隐私合规）。通用安全制度依托27001，云场景双向权责、虚拟化防护、租户隔离执行27017专属条款，云端个人数据隐私保护执行27018细则，三者无重叠、无盲区，完全适配国内外认证及监管要求。三、核心术语与双向权责角色定义（标准原版释义）3.1核心专有术语云服务：基于虚拟化、分布式技术，通过网络按需交付的算力、存储、应用服务，包含IaaS、PaaS、SaaS三类核心形态。多租户技术：云平台共享基础设施，通过逻辑隔离实现多客户独立使用的技术架构，是云安全管控核心难点。云安全责任共担：云服务安全由服务商与客户共同承担，根据云服务层级动态划分权责，无绝对单方全责模式。虚拟化安全：针对虚拟机、虚拟网络、虚拟存储、容器等云专属架构的安全管控场景。3.2双向核心权责角色CSP云服务提供者：阿里云、腾讯云、华为云等云厂商，负责云基础设施、物理环境、虚拟化平台、底层网络的安全保障，向客户提供合规安全能力与审计支撑。CSC云服务客户：上云企业、业务运营方，负责自身云上业务系统、数据、账号权限、应用配置、终端访问的安全管控。四、ISO27017:201516项云专属核心控制要求（审核必查）本标准在ISO27002通用控制基础上，新增16项云计算专属强制性控制措施，是认证外审、年度监督审核、客户合规审计的核心扣分点，本节为资深落地精简完整版合规细则。4.1云服务权责与合同管控（核心红线）必须以书面合同、服务协议、责任矩阵明确CSP与CSC的全部安全权责，禁止口头约定、权责模糊；合同需明确云安全服务范围、防护能力、审计权限、故障处置、赔偿机制、合规举证义务；云服务模式变更、服务范围调整时，同步更新权责划分文件。4.2多租户隔离安全控制云平台必须实现租户间逻辑隔离+物理资源隔离，杜绝跨租户数据泄露、越权访问、资源抢占；严格管控租户间通信权限，默认禁止跨租户访问，特殊场景需审批留痕；定期开展租户隔离有效性核查，杜绝虚拟化逃逸风险。4.3虚拟化与容器安全控制对虚拟机、虚拟交换机、虚拟存储、容器镜像进行专项安全加固，修复虚拟化层漏洞；禁止未授权虚拟机迁移、克隆、快照操作，所有虚拟化操作全程审计；容器环境实现最小镜像、漏洞扫描、运行监控、权限管控。4.4云客户安全权限与审计保障CSP必须向CSC开放合规审计权限，支持客户核查自身云上资源、操作日志、安全事件；禁止云服务商私自篡改、屏蔽客户审计日志，保障客户云上安全知情权与追溯权；为客户提供合规证明、安全报告、资质文件等审计支撑材料。4.5云资源配置与变更管控云上所有资源开通、变更、扩容、下线必须履行审批流程，禁止私自配置变更；建立云资源配置基线，定期核查合规性，整改弱配置、不安全配置；云资源变更全程留痕，留存变更工单、操作日志、复核记录。4.6云运维与远程访问安全云服务商运维人员访问客户云上资源，必须经过授权、限时访问、全程录像审计；禁用超权限远程运维、无记录运维操作，杜绝内部运维泄露客户数据；定期清理运维权限、运维账号，闭环处置运维安全风险。4.7云数据备份与灾难恢复明确双方备份责任：底层基础设施备份由CSP负责，业务数据自定义备份由CSC负责；定期开展云备份有效性校验、灾备切换演练，适配业务RTO/RPO指标；备份数据同等落实隔离、加密、销毁管控，杜绝备份残留风险。4.8云服务终止与资源清理云服务到期、解约终止后，CSP必须彻底清除客户所有资源、数据、快照、缓存；禁止私自留存、复用客户云上数据与业务资源，需向客户出具数据销毁证明；服务终止后同步关闭所有权限、终止所有运维通道，杜绝后续越权访问。五、三层云服务双向责任细分（核心落地黄金标准）ISO27017:2015核心审核重点为不同云模式下的权责差异化划分，绝大多数企业审核扣分均源于权责错配，本节输出可直接用于合同、制度、内审的标准化责任矩阵。5.1IaaS（基础设施即服务）责任划分场景说明：服务商提供服务器、存储、网络、机房基础设施，客户自主部署系统、业务、数据。CSP云服务商责任：机房物理安全、硬件设备安全、底层网络架构、虚拟化平台安全、基础设施灾备、物理环境运维、租户底层隔离。CSC云客户责任：操作系统加固、中间件安全、业务系统部署、账号权限管控、数据加密与备份、应用安全、终端访问安全、上层运维审计。5.2PaaS（平台即服务）责任划分场景说明：服务商提供开发平台、数据库、运行环境，客户仅负责业务开发与数据运营。CSP云服务商责任：包含IaaS全部责任+平台系统安全、运行环境加固、数据库底层安全、平台漏洞修复、平台运维安全。CSC云客户责任：业务代码安全、业务权限管控、业务数据安全、应用配置合规、用户访问安全。5.3SaaS（软件即服务）责任划分场景说明：服务商提供完整在线应用系统，客户仅使用系统、上传业务数据。CSP云服务商责任：基础设施、平台、应用系统三层全部安全防护，包含系统开发、加固、运维、灾备、审计、漏洞修复、数据底层防护。CSC云客户责任：账号密码保管、内部人员权限管控、业务数据合规使用、终端访问安全、用户操作规范。六、云服务全生命周期双向合规管控流程基于ISO27017:2015标准要求，搭建云服务选型-上线运维-变更管控-终止下线四阶段双向闭环管控流程，明确双方各环节合规义务。6.1云服务选型阶段：权责前置、合同固化客户选型云服务时，优先核查服务商ISO27017/27018合规资质、安全能力、审计支撑条件；双方签订专项云安全协议，书面固化分层安全责任矩阵、应急处置机制、数据清理规则、合规举证义务，从源头杜绝权责模糊问题。6.2云上运行阶段：分层防护、双向运维服务商落实底层基础设施、虚拟化、租户隔离、平台安全常态化运维；客户落实上层业务、数据、账号、应用安全管控；双方定期开展联合安全巡检、漏洞扫描、风险评估，同步留存运维与审计证据。6.3资源变更阶段：审批留痕、同步复核云上资源扩容、配置修改、权限变更、系统升级等操作，客户侧变更履行内部审批，服务商侧底层变更提前告知客户；所有变更全程日志留存，变更后开展安全复核，杜绝配置漏洞与安全盲区。6.4服务终止阶段：彻底清理、闭环验证云服务解约、到期后，服务商完成全量资源、数据、快照、缓存彻底销毁，出具官方数据销毁证明；客户完成业务迁移、权限关闭、账号注销，双方共同确认无数据残留、无权限遗留，形成闭环记录归档。七、ISO27017:2019全套落地控制模板（可直接复用）本节输出认证审核级制度、责任矩阵、自查台账全套模板，适配云服务商、云客户双向场景，可直接替换信息落地使用。7.1云服务双向安全管理制度（核心制度框架）1.制度目的

为规范企业云服务全生命周期安全管理，依据ISO27017:2015、《网络安全法》《云计算服务安全评估办法》，明确云服务商与云客户双向安全权责，防范云虚拟化风险、租户隔离风险、配置安全风险、数据残留风险，构建分层、闭环、可审计的云安全防护体系，满足体系认证、监管核查、商业合规要求。2.适用范围

适用于企业所有IaaS、PaaS、SaaS公有云、私有云、混合云服务场景，覆盖云服务选型、上线、运维、变更、终止全流程，约束云服务商、内部业务部门、运维部门全部相关主体。3.双向岗位职责

云服务商（CSP）：负责云基础设施、物理环境、虚拟化平台、底层网络、公共平台安全，提供审计支撑、灾备能力、漏洞修复、数据销毁服务；

云客户管理层：审批云安全策略、云服务选型、重大云风险处置；

云运维部门：落实云上资源配置、权限管控、安全巡检、日志审计、风险整改；

业务部门：规范云上数据使用、业务操作，落实终端访问安全管控。4.核心管控规则

包含双向权责固化、租户隔离、虚拟化安全、配置变更管控、远程运维审计、云备份恢复、服务终止清理、联合巡检八大核心规则，完全对齐ISO27017:201516项专属控制条款。5.持续改进机制

每年开展云安全专项内审、双向合规自查，针对权责缺失、隔离失效、配置漏洞、运维不规范等问题闭环整改，动态更新云安全责任矩阵与防护策略。7.2云服务安全责任矩阵模板（RACI审核专用）安全管控项IaaS责任方PaaS责任方SaaS责任方管控要求机房物理与硬件安全CSPCSPCSP基础设施防护、机房巡检、硬件运维虚拟化与租户隔离安全CSPCSPCSP杜绝跨租户访问、虚拟化逃逸风险操作系统与中间件安全CSCCSPCSP漏洞修复、安全加固、基线合规业务系统与代码安全CSCCSCCSP代码审计、应用加固、防注入攻击云上数据安全管控CSCCSCCSC数据加密、备份、权限、销毁全管控云资源配置变更管控双方协同双方协同CSP审批留痕、变更复核、合规校验远程运维审计安全双方协同双方协同CSP授权访问、全程留痕、定期复核服务终止数据清理CSP主责、CSC复核CSP主责、CSC复核CSP主责、CSC复核彻底销毁、出具证明、闭环验证7.3云服务安全合规自查台账（审核表单）序号核查控制项合规要求简述核查结果问题描述整改措施闭环时间1双向权责文件固化云服务协议明确双方安全责任矩阵，无模糊条款2多租户隔离防护租户间逻辑/物理隔离有效，无跨租户访问风险3虚拟化安全加固虚拟机/容器安全合规，无高危漏洞、未授权操作4云资源配置管控资源变更全程审批留痕，配置基线合规5远程运维审计服务商运维授权合规、全程日志留存、可追溯6云备份与灾备管理双向备份机制完善，备份有效、演练常态化7客户审计权限保障可正常核查云上日志、安全事件、资源状态8服务终止数据清理解约后全量数据彻底销毁，无残留、可举证八、行业高频落地误区与资深优化方案8.1高频审核不符合项（行业通用踩坑点）权责边界模糊：无书面责任矩阵，默认云服务商全权负责或企业自行全权负责，违反共担核心原则；云模式权责错配：IaaS场景依赖服务商做系统层防护，SaaS场景企业自行承担底层安全责任，逻辑混乱；租户隔离管控缺失：未核查云平台隔离有效性，存在跨租户数据泄露、虚拟化逃逸风险；运维审计失效：服务商远程运维无授权、无日志、无复核，无法追溯运维安全风险；服务终止残留风险：仅删除业务数据，未核查快照、缓存、备份数据，存在隐性数据残留；混淆27017与27018：仅做隐私防护，缺失云通用安全、虚拟化、双向权责核心管控项。8.2资深落地优化方案强制固化书面权责：所有云服务合同、协议必须附加27017责