ICS03.080.01 CCSN02 HBSGX 湖北省光电显示行业协会团体标准 T/HBSGX006—2025 云计算信息技术服务规范 Cloudcomputinginformationtechnologyservicespecification 2025-12-25发布 2025-12-25实施 湖北省光电显示行业协会  发布 全国团体标准信息平台 T/HBSGX006—2025 I前言 本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意除上述专利外，本文件的某些内容仍可能涉及专利。本文件的发布机构不承担识别专利的责 任。 本文件由美华世纪（成都）科技有限公司提出。 本文件由湖北省光电显示行业协会归口。 本文件起草单位：美华世纪（成都）科技有限公司、四川常乐帮网络科技有限公司、成都智为铭川 科技有限公司、四川楠楠智羽科技有限公司、成都肖先生科技有限公司 本文件主要起草人：陈洁、邓涛、吴志华、吴志毅、黄秋明 全国团体标准信息平台 T/HBSGX006—2025 1云计算信息技术服务规范 1范围 本文件规定了云计算信息技术服务的信息安全管理、数据保护和隐私保护、服务可用性和性能、服 务的合规性以及服务级别协议的要求。 本文件适用于云计算信息技术服务的应用与验收。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T20273 信息安全技术数据库管理系统安全技术要求 GB/T25000.51-2016系统与软件工程系统与软件质量要求和评价（SQuaRE）第51部分：就 绪可用软件产品（RUSP）的质量要求和测试细则 GB/T36326-2018 信息技术云计算云服务运营通用要求 GB/T37741-2019 信息技术云计算云服务交付要求 GB/T42493-2023 管理咨询服务指南 3术语和定义 GB/T36326-2018界定的以及下列术语和定义适用于本文件。 3.1 风险评估riskassessment 风险评估是一个系统性的过程，用于识别、分析和评估与特定活动、项目或决策相关的潜在风险 3.2 云计算cloudcomputering 通过互联网使用公共的计算资源来提供各种服务，从而帮助企业实现更高效的数据处理和资源利用。 4信息安全管理 4.1信息安全政策 4.1.1云服务提供商应制定明确的信息安全政策，明确组织对信息安全的承诺和期望。 4.1.2数据库管理的安全应满足GB/T20273第7章要求。 4.2风险评估和处理 云服务提供商应定期进行风险评估，确定可能出现的威胁和漏洞，并采取适当的控制措施来减轻或 消除风险。 4.2.1风险识别 云服务提供商需要识别与云计算服务相关的潜在风险，包括技术风险、操作风险、法律合规风险等。 对于每个风险事件，要明确其可能性和影响程度。 4.2.2风险分析 分析已识别的风险事件，了解其成因、发生的环境和影响，并对其进行分类和排序。重点分析对系 统机密性、完整性、可用性以及用户数据隐私等方面的影响。 4.2.3风险评估 全国团体标准信息平台 T/HBSGX006—2025 2根据风险识别和分析的结果，对每个风险事件的风险等级进行评估。通常采用定性或定量方法，确 定风险的优先级和紧急度，以便针对不同风险采取相应的控制策略。 4.2.4风险控制策略制定 根据风险评估的结果，制定相应的风险控制策略。这包括确定适当的防范控制措施，如访问控制、 加密技术、网络安全设备等，以及实施监控和审计机制。 4.2.5风险处理 根据已确定的风险控制策略，执行相应的控制措施，并建立适当的风险处理机制。这包括监测风险 状况，进行预警和追踪，及时处理风险事件，减轻或消除其影响。 4.2.6风险监督与改进 定期对已实施的风险控制措施进行监督与评估，确保其有效性。同时收集和分析相关数据，进行持 续改进和优化，提高整体的信息安全水平。 4.3安全组织架构 4.3.1云服务提供商应建立与信息安全相关的组织架构，明确安全责任与权限，并设立专业的信息安 全团队。 4.3.2统架构的功能设计应满足GB/T37741-2019中第6章的规定。 4.4资产管理 云服务提供商应识别和管理关键的信息资产，包括标记、分类、存储和保护数据，在数据使用、共 享和备份过程中确保其机密性、完整性和可用性。 4.4.1资产清单 建立并维护一个详尽的资产清单，包括硬件设备、软件程序、网络资源等。清单应包含资产的名称、 型号、规格、序列号、位置等详细信息。 4.4.2资产登记与归还流程 对于借用或租赁的资产，制定明确的登记与归还流程，记录资产的借用人、借用日期和归还日期， 以确保资产的追踪和控制。 4.4.3资产分类与标识 对资产进行分类和标识，以便更好地管理和跟踪。例如，分为硬件设备、软件程序、网络资源等， 可以通过编号、标签或条形码进行标识。 4.4.4资产使用权限管理 为了确保安全性和机密性，对资产的使用进行权限管理。只有经过授权的员工才能访问和使用特定 的资产，而且需要严格控制敏感信息的访问权限。 4.4.5定期设备检查和维护 制定定期的设备检查和维护计划，确保设备的正常运行和及时发现潜在问题。包括定期更新软件程 序、杀毒软件、系统补丁等。 4.4.6资产保护与安全措施 采取适当的安全措施来保护资产免受非法访问、损坏或丢失。例如，加密重要数据、建立防火墙、 安装视频监控等。 4.4.7资产报废与处置 制定明确的资产报废与处置流程，包括数据清除、硬盘销毁和合规性检查等。同时，确保遵守相关 环保法律法规进行合规的资产处置。 全国团体标准信息平台 T/HBSGX006—2025 34.5访问控制 云服务提供商应建立严格的访问控制策略和授权机制，限制系统和数据的访问权限，并监控和审计 操作日志，以确保只有授权人员能够进行合法访问。 4.5.1身份验证 在用户访问云服务之前，需要进行有效的身份验证，以确保用户具有访问云服务所必需的权限。 4.5.2授权管理 确定用户可以访问的资源和权限，并根据这些权限来限制用户的操作。 4.5.3访问审计 记录用户对云服务的访问，以便监控和审计用户的活动。 4.5.4数据加密 对敏感数据进行加密保护，确保数据的机密性和完整性。 4.5.5安全更新 及时更新云服务的安全程序和补丁，以保障安全性。 4.5.6防火墙控制 通过防火墙策略来限制网络流量，防止未经授权的访问。 4.5.7网络隔离 将云服务部署在隔离的网络环境中，防止网络攻击对整个系统造成威胁。 4.5.8备份和恢复 实施备份和恢复策略，确保数据丢失时能够及时恢复。 4.6系统开发和维护 云服务提供商应采取安全的系统开发和维护措施，包括安全编码规范、漏洞修复策略、系统更新和 补丁管理等。 4.7安全监控和事件响应 云服务提供商应建立并操作安全监控系统，及时检测和响应潜在的安全事件，并能有效应对和处置 安全事件。 4.8信息安全培训与意识 云服务提供商应定期开展信息安全培训和教育活动，提高员工的信息安全意识和技能水平。 4.9合规性和审计 服务提供商应遵守相关法律法规和合规性要求，接受第三方审计机构的安全审计，以验证其符合性。 5数据保护和隐私保护 5.1数据保护 5.1.1云计算服务提供者应采取合理的技术和组织措施，确保客户数据的机密性、完整性和可用性。 5.1.2应制定数据备份和恢复机制，以防止数据丢失或意外访问。 5.1.3应实施访问控制、身份验证和加密等安全措施来保护客户数据。 5.2隐私保护 全国团体标准信息平台 T/HBSGX006—2025 45.2.1云计算服务提供者应明确收集、使用、存储和传输客户个人信息的目的，并获得客户的明示同 意。提供者不得未经客户授权将其个人信息转移给第三方。 5.2.2应采取适当的安全措施，确保客户个人信息的安全。 5.3合规审查 云计算服务提供者应接受有关部门的监督和审查。他们应向有关部门履行报告义务，并协助调查有 关数据保护和隐私保护方面的违法行为。 6服务可用性和性能 6.1保障服务的可用性 6.1.1云计算服务提供商应当提供稳定可靠的服务，确保用户可以在需要时随时获取到云计算资源。 6.1.2服务提供商应当采取必要的措施，如备份数据、设立冗余系统等，预防因故障或自然灾害而导 致服务中断的情况。 6.1.3云计算信息技术服务系统在人员、流程、技术及资源方面应具备的条件和能力应满足GB/T 36326-2018的要求。 6.2提供良好的性能 6.2.1云计算服务应当具备较高的性能水平，以满足用户的需求。 6.2.2服务提供商应当确保云计算资源的处理速度、存储容量、网络传输带宽等指标符合合同约定， 并持续改进技术及硬件设施，提升服务性能。 6.2.3提供在线信息技术服务的项目及要求应符合GB/T42493-2023的规定。 6.3安全保密要求 云计算服务提供商应当采取必要的安全措施，保护用户的数据不被非法获取、篡改或泄露。服务提 供商在数据传输、存储、处理等环节应当采用加密等安全手段，确保用户数据的完整性和保密性。 6.4合规性和透明度 6.4.1按GB/T25000.51-2016进行系统质量的验证，验证项目应符合第5章的要求。云计算服务提供 商应当确保服务的合规性，并向用户提供相关证明材料。 6.4.2服务提供商应当及时公示自身的服务内容、价格、服务水平承诺等信息，提高服务的透明度。 7合规性要求 7.1保护用户隐私和