阿里云等保怎么做：责任分担与材料准备-等保测评网

很多单位把业务迁到阿里云之后会以为，机房和物理服务器都不归自己管了，等保是不是也转给了云服务商。实际并非如此。系统搬到云上，改变的是承载方式，安全保护的责任主体没有变，仍是运营、使用单位。云上做等保真正要花心思的，是划清楚哪些由云平台承担、哪些必须自己补齐。

一、先弄清楚云上的责任分担模型

云上的安全分工通常用"责任共担"来描述，等保同理。

云平台一侧承担云计算基础设施本身的安全：机房物理环境与门禁、物理设备、虚拟化层、云平台自身的网络与计算资源调度。这部分在测评时以云服务商已取得的云平台等级测评证明及资质材料体现，向服务商索取即可。

用户一侧承担云资源之上的所有内容：操作系统的账号口令策略与补丁、数据库配置与权限、中间件和应用自身的安全、业务数据分类与保护、密钥与证书管理、安全组与访问控制策略、日志审计的开启与留存，以及整套安全管理制度。

一句话概括：云平台负责"云的安全"，用户负责"云里内容的安全"。测评关注的是后者，即用户在阿里云上实际构建出来的信息系统。

需注意：云服务商的合规材料只能说明"云平台本身合格"，不能替代用户系统自身的等级测评。即便选用已通过高等级测评的云平台，部署其中的业务系统仍要单独走完定级、备案、整改、测评的完整流程。

定级是等保第一步，云上定级最关键的动作是把系统边界划清楚。

常见做法是把同一业务目标下协同工作的一组云资源视为一个定级对象。例如某系统使用了若干云服务器、一个数据库实例、一个对象存储桶和一套负载均衡，通常划为一个定级对象，而非拆开分别定级。

云上划边界常有三类争议：

等级确定后，第二级以上的信息系统应在等级确定之日起 30 日内，由运营使用单位到所在地设区的市级以上公安机关办理备案，具体要求以属地公安机关为准。

云上等保提交的材料与自建机房基本一致，只多了几项云环境特有的说明，建议提前整理：

拓扑图和云资源清单最容易返工：临时绘制的图纸常与实际部署对不上，现场核查时会暴露出安全组规则、公网暴露面、日志配置与图纸不符。建议测评前自查，确保图纸与控制台一致。

结合云上系统的特点，以下几类问题出现频率较高，可作为自查重点：

身份鉴别与访问控制。 使用主账号或共享账号登录、未开启多因素认证、子账号权限过宽、运维共用凭证。整改方向是按最小权限原则重建账号体系，区分管理、运维与应用账号，保留授权记录。

公网暴露面过大。 安全组全端口放行、数据库开通公网访问、管理后台直接暴露。整改方向是收敛出入口，数据库与中间件置于内网，管理入口经堡垒机访问并限制来源地址。

安全审计缺失。 未开启操作审计、日志留存周期不足、缺少集中审计。等保要求审计记录至少保存 6 个月，云上一般通过操作审计服务配合日志留存，并把主机与应用日志统一收集来实现。

数据与备份。 对象存储桶设为公共读、未配置跨地域备份、备份未做恢复验证、传输与存储未加密。整改方向是核查存储桶权限，配置定期备份与恢复演练，敏感数据启用加密存储。

主机与镜像。 主机安全agent未全覆盖、镜像残留弱口令或历史漏洞、补丁更新无记录。

管理制度与人员。 制度照抄模板、与云上运维实际脱节；缺少云环境应急预案与演练记录；未与云服务商明确责任界面。

首次开展等级保护工作的单位，从定级到取得测评结论，整体周期通常在 6 至 24 个月之间，差异主要取决于整改工作量：基础较好的半年左右可完成，涉及应用改造或大额采购的会明显拉长。

测评不是一次性的。第三级系统每年至少测评一次，第二级系统原则上每两年一次，执行频率以属地公安机关要求为准。

费用方面，云上等保通常可省掉部分物理环境与安全设备投入，但测评费用、整改所需安全组件、制度与运维体系建设的人力成本依然存在，整体投入需结合系统等级与规模评估，以属地要求和实际方案为准。

给准备在阿里云上推进等保的单位几条建议：

如需了解定级流程、备案材料或整改实施的做法，可参考站内内容：等保定级流程与常见卡点、备案材料怎么准备、整改实施的关键步骤。