本文件规定了电子政务云平台安全管理的技术方面的要求，描述了安全体系及责任划分、政务云平台管理等。
本文件适用于各级政务云平台安全建设和安全管理，各级电子政务云管理单位、建筑设计企业及使用单位可参照执行。
政务云平台承载各级政府部门非涉密政务信息系统、政务数据资源和政务大数据应用。出于安全性要求，政务云平台建设采取1+N的方式，即一个政务云监管平台和N家云服务商。各云服务商应明确安全责任边界，各自保障政务云平台可靠运行，在安全体系保障下实现相互连通和信息共享。各云服务商提供的政务云平台应具有兼容性，应用软件在政务云平台之间可实现跨平台的兼容 部署和调度。
政务云平台分为互联网和政务外网两个区域，应在两个区域分别建立安全池。两区之间通过网闸等设备做隔离及数据交换。政务云平台与安全资源池深度对接，可通过政务云平台实现对安全资源池的统一管理。通过政务云平台即可申请开通安全服务，满足云使用单位对于网络安全、主机安全、业务安全、数据安全和管理安全的需求。
云服务商可提供的安全服务内容有云防火墙、DDoS高防、Web应用实时防护、Web安全监测、应用性能监测、网页防篡改、主机加固、云主机杀毒、云主机防御、数据库审计、日志审计、SSL证书和CA认证等，且服务内容应根据云使用单位需求持续性增加。
政务云平台包括云服务商和云使用单位两大责任主体，包含不同的服务模式和部署模式。主要的部署模式包括共有云和专享云，主要的服务模式包括基础设施即服务、平台即服务和软件即服务。政务云平台的安全由云服务商和云使用单位共同保障。针对不同服务模式，云服务商和云使用单位的安全责任边界不同，由二者对云服务各组件的管理和控制权限范围决定各自的安全责任边界。
无论采用何种服务模式，数据保护是关系到政务云平台能否安全可靠进行交互的关键，从应用系统迁移开始就应保障应用系统和数据的安全。迁移上云后，对应用系统的访问，应采取身份认证、授权管理、账户保护、数据加密、密钥管理、剩余信息清除、完整性校验、灾备与恢复、通信安全、安全审计、数据交换安全等技术方法实现应用和数据的保护要求。云使用单位负责自身账号、密码、秘钥的安全保护，其他数据安全由云服务商负责。
a）云服务商的云管平台应接入政务云监管平台，实现统一的运行监管、宏观调度、资源监控和安全审计。发生安全事件时，通过监管平台及时通知政务云监管部门；
c）具备GB/T 31168《信息安全技术 云计算服务安全能力要求》中的安全服务能力；
d）对所有设备相关的安全策略定期或不定期备份，并制定管理办法。保证政务云平台计算、网络、存储及其他各基础设施安全并满足云使用单位业务的需要；
e）为云使用单位定制培训计划并提供定期的培训，培训内容至少包括数据维护、系统维护和安全管理及事件处理流程要求等；
f）为云使用单位制定应急预案及安全事件处置响应计划，对数据的使用进行实时的监测及审计；
g）与本单位负责云服务的技术人员或指派的代维机构和人员签订保密协议，确保不泄露政务云平台承载的信息；
h）严格限制云服务管理员的管理权限，按职能划分系统管理员、网络管理员、安全管理员及审计员等，明确各管理员的岗位工作职责和作业流程。需要远程管理时，应限制权限，并进行审计，防止云服务管理权限的滥用；
i）为避免云服务商管理员账户和云使用单位管理员账户被恶意劫持，应予重点保护，对管理员信息、登录密码等数据来进行加密保护，并做好备份；
j）针对网络、系统和业务，均应提供实时监测、分析、预警和应急处置的服务，保证各类业务的连续性。包括对开放云管理系统API接口的实时监测，发现异常及时告警；
k）可提供基于应用的漏洞检测、行为及数据不正常的情况的告警，察觉缺陷及时通知云使用单位， 并协助云使用单位及时处置；
l）对政务云平台做7*24小时的实时行为监测，对已知特征的网络攻击行为进行预警。能利用入侵节点的告警进行汇总分析，发现不同告警日志内在联系，并对相关云使用单位提出预警信息。对确定的安全事件，协助云使用单位及时处置并形成事件处置报告，并及时通知政务云监管部门和相关云使用单位；
m）对各类安全事件进行分类分级，不论是被安全设备阻断的各类网络攻击行为，还是安全主管部门网络安全检查及第三方相应机构授权检测，或云服务商主动扫描检验测试发现的异常等，均有必要进行归类分析、预警及统一的报告；
n）云使用单位终止服务后，对云使用单位的应用系统、数据的处置，应有书面协议，说明应用系统、数据、管理员的账号密码的处理过程及安全要求。