相关法规、标准和认证
目前已经有若干法规对云服务的提供商和使用者提出了安全要求，相关政府机构、标准组织和业界团体也制定了多项云安全技术标准，并有多项针对云服务产品和解决方案提供商的认证。
云等保，GA/T 1390.2-2017
《网络安全法》规定，“国家实行网络安全等级保护制度”。
为了适应和规范云计算相关技术和应用的发展，公安部在2017年5月8日正式发布GA/T 1390.2-2017《信息安全技术网络安全等级保护基本要求第2 部分:云计算安全扩展要求》，规定了不同等级云计算系统的安全要求，适用于指导分等级的非涉密云计算系统的安全建设和监督管理，并在附录C中明确了不同服务模式下云服务方和云租户的安全管理责任主体。
GB/T 31167-2014《信息安全技术云计算服务安全指南》
本标准面向政府部门，提出了使用云计算服务时的信息安全管理和技术要求，适用于政府部门采购和使用云计算服务，也可供重点行业和其他企事业单位参考。本标准描述了云计算服务可能面临的主要安全风险，提出了政府部门采用云计算服务的安全管理基本要求，及云计算服务的生命周期各阶段的安全管理和技术要求，为政府部门采用云计算服务，特别是采用社会化的云计算服务提供全生命周期的安全指导。
GB/T 31168-2014《信息安全技术云计算服务安全能力要求》
本标准面向云服务商，提出了为政府部门提供服务时应该具备的信息安全能力要求。标准描述了以社会化方式为特定客户提供云计算服务时云服务商应具备的安全技术能力，适用于对政府部门使用的云计算服务进行安全管理，也可供重点行业和其他企事业单位使用云计算服务时参考，还适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务。
本标准分一般要求和增强要求。根据云计算平台上的信息敏感度和业务重要性的不同，云服务商应具备的安全能力也各不相同。
国家标准《信息安全技术 云计算安全参考架构》（征求意见稿）
与NIST《云计算安全参考架构（草案）》类似，本标准将规范云计算安全参考架构，包括云计算角色、安全职责、安全功能组件以及它们之间的关系。
国家标准《信息安全技术 云计算服务安全能力评估方法》（征求意见稿）
本标准将给出依据GB/T 31168-2014《信息安全技术云计算服务安全能力要求》，开展评估的原则、实施过程以及针对各项具体安全要求进行评估的方法。标准适用于第三方评估机构对云服务商提供云计算服务时具备的安全能力进行评估，和对政府部门使用的云计算服务进行安全管理，并可供云服务商在对自身云计算服务安全能力进行自评估、重点行业和其他企事业单位使用云计算服务等参考。
ISO/IEC 27001信息安全管理体系和认证
ISO/IEC 27001是全球最受认可的信息安全管理系统（Information Security Management System，ISMS）规范，详述了建立、实施、维护和持续改进信息安全管理系统的各种需求。通过经过整体规划的系统化信息安全管理体系，ISO/IEC 27001从预防控制的角度出发，保障信息系统与业务的安全和正常运作，并规定了为适应不同组织或其部门需要所制定的安全控制措施的实施要求。
通过ISO/IEC 27001认证，表明企业（或其他各种类型和规模的组织）遵守了各种信息安全最佳实践，对数据的保护通过了独立的专家评审。
ISO/IEC 27000 系列标准
ISO/IEC 27000系列标准包含了ISO（International Organization for Standardization，国际标准组织）和IEC（International Electrotechnical Commission，国际电工委员会）联合制定的系列信息安全标准。这些标准提供了在信息安全管理系统（ISMS）体系下通过各种控制措施对信息风险进行管理的最佳实践，其具体范围不局限于隐私、保密性和IT/技术/网络安全问题等。目前，其中有三个标准专门针对云服务：
- ISO/IEC 27017《基于ISO/IEC 27002的云服务信息安全控制的实施规程》
在ISO/IEC 27002的基础上，本标准为云服务提供商和使用者提供各种信息安全相关控制的实施指南，具体包括ISO/IEC27002中列出的相关控制和与云服务相关的其他控制
- ISO/IEC 27018《公有云作为个人可识别信息（PII）处理器时个人身份信息保护的实施规程》
为了与ISO/IEC 29100中的隐私原则一致，本标准基于ISO/IEC 27002，为公有云计算环境建立了通用的控制目标、控制和保护PII的实施指南，并涵盖为保护PII而可能对公有云服务提供商的监管需求。
- ISO/IEC 27036-4《供应商关系的信息安全-第4部分:云服务的安全指南》
本标准定义了在使用云服务时实施信息安全管理的指南，具体而言，为云服务使用者和云服务提供商提供以下方面的指导：
- 获知与使用云服务相关的信息安全风险并有效管理那些风险
- 对获得和提供云服务的风险做出反应
注意：ISO/IEC 27036-4不包括与云服务相关的业务连续性管理/复原问题，也不对云服务提供商应该如何实施、管理和运营信息安全提供指导。
CSA-STAR
CSA STAR认证是在ISO/IEC 27001的基础上针对云服务特有问题的加强认证，用以表明CSP能够很好地处理安全相关问题。CSA STAR认证由CSA和BSI联合开发，以CSA提出的云控制矩阵（Cloud Control Matrix，CCM）为审核的准则，涵盖法令法规、风险管理、设施齐全、人力资源、信息安全、营运管理、发布管理、安全架构等16个控制区域。CSA认证官为CSP在每个控制区域的能力成熟度分别打分，然后根据最终的平均分决定CSP的等级为金、银或铜。
C-STAR云安全评估
C-STAR是在CSA开放认证框架（Open Certification Framework，OCF）下，由第三方机构确认云服务提供商满足CSA CCM要求的一种认证，主要用于大中华地区，由赛宝认证中心与CSA大中华区（CSA-GCR）合作开展。C-STAR 云安全评估主要参考GB/T 22080-2008管理体系标准及CSA CCM要求，以及选自中国国家标准GB/T 22239-2008《信息安全技术—信息系统安全等级保护基本要求》和GB/Z 28828-2012《信息安全技术—公共及商用服务信息系统个人信息保护指南》的29个相关控制措施，进行评价。
CS-CMMI云安全能力成熟度模型集成
根据官方说明，CS-CMMI“由CSA大中华区、亚太区与全球共同开发和研制的，在ISO / IEC21827 : 2002 《信息技术系统安全工程能力成熟度模型》的基础上，把《CSA CSTR云计算安全技术标准要求》（草案）和《CSA CCM 云安全控制矩阵》的技术能力成熟度模型，集成到治理一个框架中去，形成云安全能力成熟度评估模型。作为云安全能力成熟度评估的依据，为客户选择云安全服务组织提供参考，也可供云安全服务组织改善和提高云安全服务能力提供指引。指南考虑了云计算系统安全威胁与脆弱性分析能力、云安全解决方案设计能力、云计算系统测试和验证能力、云计算系统运维和应急响应能力、云计算系统安全工程过程能力等云安全技术服务能力要求，并根据不同的能力要求，由低到高分为1到5级。”
可信云服务
可信云服务（TRUCS）认证由数据中心联盟和云计算发展与政策论坛联合组织、面向云服务提供商提供的自愿认证。可信云服务认证从数据安全、服务质量、服务性能、运维管理和权益保障等多维度评估云服务商的技术指标和水平，涵盖云服务商需要向用户承诺或告知的绝大多数问题，为用户选择安全、可信的云服务商提供参考。
其他资料
除了前面提到的相关法规和标准文档，推荐读者进一步阅读以下资料：
NIST，NIST Cloud Computing Security Reference Architecture-Draft
https://csrc.nist.gov/publications/detail/sp/500-299/draft
NCC-SRA（NIST Cloud Computing Security Reference Architecture，NIST云计算安全参考架构）为NIST SP 500-292 《NIST 云计算参考模型》增加一个安全层，定义了一个以安全为中心的架构模型，指出保护云计算环境、运行和数据的核心安全组件，说明在不同部署和服务模式下各方职责范围内的核心安全组件，并为分析所收集和汇聚的数据提供了一些方法。
CSA，Cloud Control Matrix
https://cloudsecurityalliance.org/download/cloud-controls-matrix-v3-0-1/
CSA CCM（Cloud Control Matrix，云控制矩阵）提供了评估云提供商整体安全风险的基本安全准则。通过对其他行业标准和监管要求的定制，CSA CCM 在16个安全域内构建了统一的控制框架，通过减少云中的安全威胁和弱点加强现有的信息安全控制环境，提供标准化的安全和运营风险管理，并寻求将安全期望、云分类和术语体系，以及云中实施的安全措施等标准化。
CSA，Security Guidance for Critical Areas of Focus in Cloud Computing
https://cloudsecurityalliance.org/download/security-guidance-v4/
CSA发布的《云计算关键区域安全指南》为管理和应对云计算技术相关的风险提供指导和启发，自2009年以来一直被广泛视作云安全的权威指南。2017年7月发布的最新版在介绍了云计算相关的主要概念和架构后，强调了治理和运营中共13个领域的重点区域，以解决云环境中策略和实施两方面的安全“痛点”。
Microsoft，Shared Responsibilities for Cloud Computing
https://gallery.technet.microsoft.com/Shared-Responsibilities-81d0ff91
https://www.trustcenter.cn/file/云计算中的共担责任.pdf
微软的这份白皮书解释了CSP和客户在合作中各自的角色和责任，以及在选择不同云服务模式（IaaS、PaaS或SaaS）时需要关注的责任分配和合规需求。
Microsoft，A Solution for Private Cloud Security
https://social.technet.microsoft.com/wiki/contents/articles/6642.a-solution-for-private-cloud-security.aspx
以其私有云参考模型为框架，微软通过三篇文章全面地解释了在私有云的设计和运行中需要考虑的各种安全问题和解决方案：
CSA大中华区,《云计算安全技术要求》
http://www.c-csa.org/forum.php?mod=viewthread&tid=15
本系列标准由CSA大中华区组织国内相关单位编写，由《总则》、《IaaS安全技术要求》、《PaaS安全技术要求》和《SaaS安全技术要求》四部分组成，“适用于云服务开发者在设计开发云计算产品和解决方案时使用，也可供云服务商选择云计算产品和解决方案时参考，还可为云服务客户选择云服务时判断云服务提供商提供的安全能力是否满足自身业务安全需求提供参考”。
mark