云平台等保级别分别对应哪些要求

第一级（自主保护级）

• 安全通用要求：
  • 技术要求：物理环境方面，机房选址要避免在易受自然灾害影响等区域，要能防止物理设备被盗、被毁等。网络架构上要保证网络的基本连通，通信传输要能保障数据的完整性和保密性。边界防护要能防止外部未经授权的访问。计算环境中要对用户进行身份鉴别，实现基本的访问控制，对重要数据进行备份等。
  • 管理要求：要制定基本的安全策略和管理制度，明确各岗位的安全职责。人员录用时要进行背景审查，对员工进行基本的安全意识培训。在系统建设过程中，要进行定级备案，选择符合要求的安全产品等。运维过程中要对设备进行定期维护，对漏洞进行管理等。
• 安全扩展要求：相对较少，主要是在一些特定场景下，如云计算平台的资源分配要保证用户之间的基本隔离等。

第二级（指导保护级）

• 安全通用要求：
  • 技术要求：物理环境上，要加强机房的访问控制，采用电子门禁等系统。网络架构要具备一定的冗余能力，通信传输要采用加密技术。边界防护要能检测并防范常见的网络攻击。计算环境中要强化身份鉴别机制，如采用多因素认证，要对系统和数据进行审计，对重要数据要进行异地备份。
  • 管理要求：管理制度要更加完善，定期对制度进行评审和修订。安全管理机构要明确各部门的安全职责，加强部门之间的沟通与协作。人员管理方面，要对员工进行定期的安全培训和考核。在系统建设中，要对安全方案进行详细设计，严格进行测试验收等。运维管理中，要建立资产清单，加强对介质的管理。
• 安全扩展要求：在云计算环境中，要实现不同租户之间的资源隔离，提供资源使用的监控和审计功能。

第三级（监督保护级）

• 安全通用要求：
  • 技术要求：物理环境要位于安全的区域，有完善的消防、防水、防雷等设施，机房要采用多重访问控制措施。网络架构要具备高可用性和可靠性，通信传输要采用高强度的加密算法。边界防护要部署防火墙、入侵检测 / 预防系统等，能防范复杂的网络攻击。计算环境中要对用户和设备进行严格的身份认证和授权，要对系统进行深度审计，对数据要进行实时备份和恢复，要保护数据的完整性和保密性。
  • 管理要求：安全管理制度要形成体系，定期进行风险评估和安全检查。安全管理机构要设立专门的安全管理岗位，加强对人员的安全考核。人员录用要进行严格的背景调查和安全审查。系统建设要选择具有自主知识产权的安全产品，要对系统进行安全加固。运维管理要建立应急响应机制，定期进行应急演练。
• 安全扩展要求：对于云计算平台，要提供更高级别的租户隔离，保障云平台的资源弹性和稳定性，要对云服务的可用性和性能进行监控和管理。

第四级（强制保护级）

• 安全通用要求：
  • 技术要求：物理环境要具备极高的安全性，如采用专用的物理防护设施，防止电磁泄漏等。网络架构要具备抗攻击和抗破坏的能力，通信传输要采用加密和签名技术。边界防护要能抵御高级持续性威胁，计算环境中要采用可信计算技术，对数据要进行严格的分类和保护，要建立数据容灾中心。
  • 管理要求：安全管理制度要非常严格，对安全事件要进行快速响应和处理。安全管理机构要具备高度的专业性和权威性，人员管理要进行严格的安全培训和资质认证。系统建设要遵循严格的安全标准和规范，要进行全面的安全测试和评估。运维管理要建立严格的配置管理和变更管理流程。
• 安全扩展要求：云计算平台要提供全方位的安全保障，包括安全的虚拟机迁移、安全的云存储等，要对云平台的安全态势进行实时感知和分析。

第五级（专控保护级）

• 安全通用要求：
  • 技术要求：物理环境要处于高度保密的区域，有严格的物理安全防护措施，如采用生物识别技术等进行访问控制。网络架构要具备高度的保密性和完整性，通信传输要采用高强度的加密和认证技术。边界防护要能防范国家级的网络攻击，计算环境中要采用高安全级别的操作系统和数据库管理系统，要对数据进行严格的访问控制和保护。
  • 管理要求：安全管理制度要由国家相关部门进行严格管理和监督，人员管理要进行严格的政治审查和安全培训。系统建设要采用国家指定的安全产品和技术，要进行严格的安全审计和评估。运维管理要建立高度可靠的备份和恢复机制，要对安全事件进行及时的报告和处理。