云 计算 服务 安全 评估 办法
第一 条 为 提高 党政 机关 、 关键 信息 基础 设施 运营 者 采购 使用 云 计算 服务 的 安全 可控 水平 ， 制定 本 办法。
第二 条 云 计算 服务 安全 评估 坚持 事前 评估 与 持续 监督 相 结合 ， 保障 安全 与 促进 应用 相统一 ， 依据 有关 法律 法规 和 政策 规定 ， 参照 国家 有关 网络 安全 标准 ， 发挥 专业 技术 机构 、 专家 ， ， 评价、 严格 监督 云 计算 服务 平台 （以下 简称 “云 平台”） 的 安全 性 、 可控 性 ， 为 党政 机关 、 关键 信息 基础 设施 运营 者 采购 云 计算 服务 提供 参考。
本 办法 中 的 云 平台 包括 云 计算 服务 软硬件 设施 及其 相关 管理 制度 等。
第三 条 云 计算 服务 安全 评估 重点 评估 以下 内容 ：
（一） 云 平台 管理 运营 者 （以下 简称 “云 服务 商”） 的 征信 、 经营 状况 等 基本 情况 ；
（二） 云 服务 商 人员 背景 及 稳定性 ， 特别 是 能够 访问 客户 数据 、 能够 收集 相关 元 数据 的 人员 ；
（三） 云 平台 技术 、 产品 和 服务 供应 链 安全 情况 ；
（四） 云 服务 商 安全 管理 能力 及 云 平台 安全 防护 情况 ；
（五） 客户 迁移 数据 的 可行性 和 便捷 性 ；
（六） 云 服务 商 的 业务 连续性 ；
（七） 其他 可能 影响 云 服务 安全 的 因素。
第四 条 国家 互联网 信息 办公室 会同 国家 发展 和 改革 委员会 、 工业 和 信息 化 部 、 财政部 建立 云 计算 服务 安全 评估 工作 协调 机制 （以下 简称 “协调 机制” ， ， 审议 云 计算 服务 安全 评估 政策 ， ，云 计算 服务 安全 评估 结果 ， 协调 处理 云 计算 服务 安全 评估 有关 重要 事项。
云 计算 服务 安全 评估 工作 协调 机制 办公室 （以下 简称 “办公室”） 设 在 国家 互联网 信息 办公室 网络 安全 协调 局。
第五 条 云 服务 商 可 申请 对 面向 党政 机关 、 关键 信息 基础 设施 提供 云 计算 服务 的 云 平台 进行 安全 评估。
第六 条 申请 安全 评估 的 云 服务 商 应向 办公室 提交 以下 材料 ：
（一） 申报 书 ；
（二） 云 计算 服务 系统 安全 计划 ；
（三） 业务 连续性 和 供应 链 安全 报告 ；
（四） 客户 数据 可 迁移 性 分析 报告 ；
（五） 安全 评估 工作 需要 的 其他 材料。
第七 条 办公室 受理 云 服务 商 申请 后 ， 组织 专业 技术 机构 参照 国家 有关 标准 对 云 平台 进行 安全 评价。
第八 条 专业 技术 机构 应 坚持 客观 、 公正 、 公平 的 原则 ， 按照 国家 有关 规定 ， 在 办公室 指导 监督 下 ， 参照 《云 计算 服务 安全 指南》 《云 计算 服务 安全 能力 要求》 等 国家 标准 ， 评价 评价办法 第三 条 所述 内容 ， 形成 评价 报告 ， 并对 评价 结果 负责。
第九条 办公室 在 专业 技术 机构 安全 评价 基础 上 ， 组织 云 计算 服务 安全 评估 专家组 进行 综合 评价。
第十 条 云 计算 服务 安全 评估 专家组 根据 云 服务 商 申报 材料 、 评价 报告 等 ， 综合 评价 云 计算 服务 的 安全 性 、 可控 性 ， 提出 是否 通过 安全 评估 的 建议。
第十一条 云 计算 服务 安全 评估 专家组 的 建议 经 协调 机制 审议 通过 后 ， 办公室 按 程序 报 国家 互联网 信息 办公室 核准。
云 计算 服务 安全 评估 结果 由 办公室 发布。
第十二 条 云 计算 服务 安全 评估 结果 有效期 3 年。 有效期 届满 需要 延续 保持 评估 结果 的 ， 云 服务 商 应 在 届满 前 至少 6 个 月 向 办公室 申请 复 评。
有效期 内 ， 云 服务 商 因 股权 变更 、 企业 重组 等 导致 实 控 人 或 控股 权 发生 变化 的 ， 应 重新 申请 安全 评估。
第十三 条 办公室 通过 组织 抽查 、 接受 举报 等 形式 ， 对 通过 评估 的 云 平台 开展 持续 监督 ， 重点 监督 有关 安全 控制 措施 有效性 、 重大 变更 、 应急 响应 、 风险 处置 等 内容。
通过 评估 的 云 平台 已 不再 满足 要求 的 ， 经 协调 机制 审议 、 国家 互联网 信息 办公室 核准 后 撤销 通过 评估 的 结论。
第十四 条 通过 评估 的 云 平台 停止 提供 服务 时 ， 云 服务 商 应 至少 提前 6 个 月 通知 客户 和 办公室 ， 并 配合 客户 做好 迁移 工作。
第十五 条 云 服务 商 对 所 提供 申报 材料 的 真实性 负责。 在 评估 过程 中 拒绝 按 要求 提供 材料 或 故意 提供 虚假 材料 的 ， 按 评估 不 通过 处理。
第十六 条 未经 云 服务 商 同意 ， 参与 评估 工作 的 相关 机构 和 人员 不得 披露 云 服务 商 提交 的 未 公开 材料 以及 评估 工作 中 获悉 的 其他 非 公开 信息 ， 不得 将 云 服务 商 提供 的 信息 用于评估 以外 的 目的。
第十七 条 本 办法 自 2019 年 9 月 1 日 起 施行。