冰球突破mg

GA/T 2347-2025《信息安全技术 网络安全等级
；ぴ仆扑悴馄乐敢-解读

随着云推算在政务、金融、能源、医疗、交通等关键信息基础设施领域的深杜爪用与规
；乒，云推算平台与云服务客户的业务利用系统的安全保险已成为等级
；すぷ鞯闹魈獬【
。为统一云推算环境劣等级
；げ馄莱叨取⒘肆税踩鹑翁烨怠⑶炕馄乐葱泄娣缎，公安部于2025年10月13日正式颁布GA/T 2347-2025《信息安全技术 网络安全等级
；ぴ仆扑悴馄乐敢，并于2026年2月1日正式执行
。作为等保2.0系统在云推算领域的专项落地细则，这份指引为云服务商、云服务客户、测评机构及行业监管单元提供了权威统一、科学可落地的操作凭据，对提升云推算安全防护能力、保险数字业务不变运杏注支持关键信息基础设施安全
；び涤兄匾馑
。

一、尺度出台布景与主题定位

在混合云、专有云、公有云多种部署模式与IaaS、PaaS、SaaS三层服务架构并行发展的布景下，虚构化、多租户、弹性伸缩、镜像快照、资源池化等云原生个性，突破了传统物理环境的安全天堑与责任模式
。传统等保测评在应对虚构网络隔离、数据跨境、资源回收算帐、云服务商责任界定、供给链安全等云场景特有风险时，存在覆盖不及、口径不一、操作吞吐等问题，导致测评工作出现尺度不统一、对象不清澈、责任不明确、执行不规范等情况
。

在此布景下，GA/T 2347-2025紧扣《网络安全法》《数据安全法》《幼我信息
；しā芬，依附 GB/T 22239-2019、GB/T 28449-2018、GB/T 31167-2023等主题国度尺度，聚焦云推算环境测评关键重点与实际需要，明确测评对象、指标拔取、执行流程、责任天堑、查抄重点五大内容，添补了我国云推算场景下网络安全等级
；げ馄赖某叨瓤杖
。

本指引的主题定位是等保2.0云场景测评执行手册，合用于测评机构对云推算平台、云服务客户的业务利用系统发展等级测评，同时为网络安全监管部门监督查抄、企业自主合规整改、安整个系建设提供权威参考，推动云安全防护与等保测评工作走向尺度化、规范化、精密化
。

二、尺度主题框架：测评对象与指标系统

(一) 两类测评对象，责任天堑清澈可辨

GA/T 2347-2025将云推算环境等级
；げ馄蓝韵笄宄夯治嚼啵

1) 一类是云推算平台，由云服务商运营治理，蕴含物理基础设施、虚构化平台、云治理系统、虚构网络设备、镜像与快照服务、安全组件等，覆盖IaaS、PaaS、SaaS全服务模式
；分歧服务模式测评重点各有侧重，IaaS重点测评虚构网络、虚构机、宿主机、数据存储与隔离能力
；PaaS新增利用开发平台、数据库服务、中央件安全等内容
；SaaS则聚焦业务利用安全、用户数据
；ぁ⒎务合规性与持续运营能力
。

2) 另一类是云服务客户的业务利用系统，即各单元在云平台上部署的业务利用、数据库、中央件、终端及治理系统
。

(二) 双轨测评指标，两全基础能力与云特有风险

指引同时构建 “安全通用要求 + 云推算安全扩大要求” 双轨并行的测评指标系统，二者不成相互代替
。

1) 通用要求覆盖传统等保主题节造点，保险基础安全底线
；

  2) 扩大要求针对云特有风险设计，蕴含基础设施地位、网络架构、虚构天堑接见节造、入侵防备、安全审计、镜像与快照
；ぁ⑹莅踩⒃倚畔⒈
；ぁ⒃品务商选择、供给链治理、云推算环境治理等关键内容，重点解决多租户隔离、虚构机迁徙、数据跨境、资源回收、远程治理等云原生安全难题
。

三、关键要求解读：云安全测评主题必查项

GA/T 2347-2025安身云推算环境安全性质与等保测评实际要求，以境内合规为底线、以数据安全为主题、以虚构化防护为关键、以责任划分为基础，系统性明确了云平台与云上业务系统在测评工作中的强造性要求与执行规范
。

1) 在境内合规方面，严格落实国度数据主权与网络安全监管要求，明确云推算基础设施必须部署在中国境内，客户数据与幼我信息须在境内存储，确需出境应遵循国度划定，同时云推算平台运维地址须位于境内，境表运维须按划定执行
。

2) 在数据安全方面，构建覆盖存储、接见、备份、断根、迁徙的全性命周期关环管控系统，要求数据接见须经客户授权，迁徙过程确保重要数据齐全性，平台提供数据备份与存储地位查问能力，保障多副本一致性，客户删除数据时平台须断根所有副本，杜绝残留，同时客户应在本地保留业务备份，防备平台故障导致数据迷失
。

3) 在虚构化防护方面，重点强化虚构网络与资源隔离，要求实现分歧客户虚构网络之距离离，在虚构天堑部署接见节造机造，虚构机迁徙时战术自动追随，为重要业务提供加固镜像并具备齐全性校验能力，可能检测虚构机间异常流量、资源隔离失效、非授权新建虚构机等风险并实时告警
。

4) 在责任划分方面，明确云服务商与客户的责任清单，云服务商掌管平台底层安全，蕴含物理环境、虚构化平台、宿主机、多租户隔离、基础安全服务
；客户掌管业务自身安全，蕴含利用防护、账号权限、数据
；ぁ⒃品务商合规审核
。双方须在服务和谈中明确服务内容、技术指标、权限天堑、责任划分、数据交付、违约责任、保密使命等，以合同大局固化安全责任
。

四、分级测评要求：匹配等级差距化防护

指引依照等保五级架构，为一至四级系统造订差距化指标
。第一级聚焦基础合规，重点落实境内部署、数据境内存储、虚构天堑接见节造等要求
；第二级强化安全能力，增参与侵防备、安全审计、镜像校验、渣滓信息
；さ饶谌
；第三级提升主题防护，要求双向身份甄别、资源隔仳离常告警、自主密钥治理、盛开安全接口、集中管控与供给链安全
；第四级执行最高档级防护，增长安全象征、独立资源池、强造接见节造、和谈隔离等要求，合用于关键信息基础设施主题业务系统
。

分级机造确保不一致级系统采取强度匹配的防护措施，预防防护不及或过度防护，提升合规效能
。

五、云环境测评总体发展步骤

GA/T 2347-2025凭据GB/T 22239-2019《信息安全技术 网络安全等级
；じ蟆，针对 IaaS、PaaS、SaaS 三类云服务模式，结合云服务商与云服务客户的安全责任天堑，细化测评指标与执行重点
。本文重点萦绕等保三级要求发展注明
。

针对云环境发展测评时，应同时把握 “云推算平台”与“云服务客户业务系统”两类对象，并结合服务模式差距，萦绕等保五级架构安全
；ひ，重点核查技术节造与治理节造是否有效落地
。以等保三级要求来看，测评重点不只是“有无造度、有无设备”，更强调身份甄别是否靠得住、资源隔离是否有效、天堑防护是否关环、审计纪录是否可追忆、密钥和数据是否可控、治理中心是否统一集中管控，以及云服务商与云服务客户之间安全责任是否清澈划分并形成可验证证据
。

(一) 云平台三级测评

发展云平台三级测评时，第一步是界定测评对象，明确本次测评针对的是云推算平台自身、云上业务系统，还是两者组合场景，并形成逻辑架构图、网络拓扑图
。第二步是鉴别服务模式，分辨基础设施即服务、平台即服务和软件即服务，由于分歧服务模式下云服务商与客户承担的安全职责显著分歧
。第三步是筛选三级重点指标，在GB/T 22239-2019通用要求基础上，叠加GA/T 2347-2025关于云场景的加强要求，出格关注虚构化安全、镜像安全、多租户隔离、接口安全、数据性命周期
；ず图性宋蠹
。第四步是组织证据核查，综合选取资料审查、配置核查、访谈核实、日志抽查、接口测试、缝隙验证和场景验证等方式，不仅看文档，还要看节造措施在真实资源池中的执行了局
。第五步是形成问题关环，对发现项逐项落实整改责任主体，分辨由云服务商整改、由云客户整改还是双方协同整改
。

1) IaaS云平台三级测评

萦绕三级要求，IaaS首先要重点核查身份甄别与接见节造
。测评时应查抄云治理平台、运维碉堡机、API 网关、工单平台和宿主机运维通路是否执行双成分身份甄别，是否实现系统治理员、安全治理员、审计治理员三权分立，是否对高危操作设置审批、复核或最幼授权节造
。同时抽查租户治理、项目空间、虚构机性命周期治理、快照与镜像复造、密钥申请等职能权限颗粒度，验证分歧客户之间是否存在越权接见风险
。

其次要重点核查网络与天堑隔离能力
。IaaS 平台三级测评不以物理天堑防火墙为唯一重点，而以虚构天堑为主题对象，验证分歧租户 VPC、子网、路由域和安全组之间是否相互隔离，验证南北向与器材向流量是否实现细粒度接见节造，验证虚构机迁徙、弹性扩容和漂移场景下原有安全战术能否自动追随
。测评中通常抽取两个以上租户环境发展配置比对和连通性测试，确认不存在跨租户接见、广播域泄露、共享治理平面露出等问题
。

再次要重点核查推算环境和虚构化防护能力
。第三级要求下，IaaS 平台应对虚构机镜像进行齐全性校验，对宿主机、Hypervisor、镜像仓库和模板库执行基线加固，对异常虚构机创建、资源隔离失效、虚构互换异常流量和宿主机高危配置调换进行监测告警
。测评既要审查造度流程，也要抽查镜像颁布审批纪录、宿主机补丁纪录、主机防护战术和异常告警措置关环，验证平台是否具备动态防护能力
。

第四个重点是数据与密钥安全
。IaaS环境中大量数据存放在云硬盘、对象存储、备份库和快照池中，第三级测评要关注重要数据传输和存储中的加密
；ぁ⒚茉恐卫碇霸鸹帧⒖突谌ń邮度ぴ臁⒍喔北疽恢滦浴⒈阜莞丛行砸约白试纯秃蟮牟辛粜畔⒍细
。测评时应抽查云硬盘开释、对象存储桶删除、备份销毁和快照回收等流程，验证平台是否可能彻底断根客户数据副本，预防后续租户复用时发生渣滓信息泄露
。

最后要重点核查集中安全治理与审计能力
。IaaS 三级测评必须确认平台将宿主机、治理平台、虚构网络设备、安全组件和关键云服务纳入统一监测领域，可能集中采集认证日志、配置调换日志、告警日志、运维操作日志和安全事务措置纪录
。日志不仅要“可留存”，更要“可关联、可追忆、可分析”，支持跨租户风险、批量操风格险和越权接见风险的责任界定
。

2) PaaS云平台三级测评

PaaS三级测评首先要核查平台身份系统和租户治理能力
。应重点查抄平台节造台、运维入口、CI/CD流水线、镜像仓库、数据库治理台和盛开API是否统一接入身份认证系统，是否支持双成分认证、细粒度授权和职责分离，是否可能将研发、测试、运维、安全审计等分歧角色分离治理
。对第三级系统来说，尤其要预防一个高权限平台账号同时具备代码颁布、配置批改、镜像上传、数据库运维和日志删除等过度集中权限
。

第二个重点是组件与镜像供给链安全
。PaaS平台往往以容器镜像、基础镜像、中央件镜像和组件模板大局大规模复用资源，第三级测评应关注镜像起源是否可信、镜像入库是否经过恶意代码扫描和齐全性校验、基础镜像是否定期更新、第三方组件是否成立缝隙传递和建复机造
。测评时可抽查镜像颁布流程、镜像署名验证、组件版本清单和高危缝隙整改纪录，判断平台是否具备可持续的供给链防护能力
。

第三个重点是运行环境隔离与平台服务安全
。对于容器PaaS、数据库PaaS和中央件PaaS，应重点查抄定名空距离离、容器网络隔离、服务接见节造、密文配置治理、数据库账号最幼授权、新闻队列主题权限和配置中心权限节造
。第三级要求下，测评应验证一个租户或一个利用定名空间中的异常行为是否会影响其他租户或其他业务域，验证平台是否可能对容器逃逸、异常横向接见、未授权服务挪用和敏感配置露出进行鉴别和告警
。

第四个重点是接口安全与审计追踪
。PaaS平台通常对上层利用盛开大量治理接口和服务挪用接口，第三级测评应核查API接口的认证鉴权、挪用频控、参数校验、传输加密和挪用日志留存情况，出格关注颁布接口、配置批改接口、数据库运维接口、密钥挪用接口和流水线触发接口
。测评时不应只看接口文档，而应抽样验证真实接口权限，查抄是否存在弱令牌、默认口令、越权挪用、调试接口未关关等风险
。

第五个重点是安全治理中心与持续运营能力
。PaaS平台的三级测评该当验证平台是否将容器节点、镜像仓库、流水线、数据库服务、中央件服务、API网关和日志中心统一纳入监测与运维审计领域，是否可能对异常颁布、恶意镜像、敏感配置泄露、组件高危缝隙和异常资源挪用进行集中告警和联动措置
。这一点直接决定平台是否具备持续支持多个上层三级系统安全运行的能力
。

3) SaaS云平台三级测评

SaaS三级测评首先要强化利用层身份甄别与接见节造核查
。应重点查抄租户治理员、业务治理员、通常用户、表部合作用户和运维人员的权限模型是否清澈，是否支持双成分认证、单点登录、强口令战术、会话超时、异常登录检测和敏感操作二次确认
。对于第三级系统而言，用户身份真实性和操作可追忆性是SaaS平台合规性的主题，尤其要预防云服务商内部运维人员绕过租户授权直接接见客户业务数据
。

第二个重点是数据安全与租户隔离
。SaaS平台多选取共享数据库、共享组件或共享存储架构，三级测评必必重点验证分歧租户数据接见天堑不变性，验证导入导出、报表下载、附件存储、备份复原、日志查看和接口挪用等场景无跨租户数据泄露风险
。同时核查重要数据传输与存储加密、密钥托管方式、备份副本地位、客户数据删除及合同终止后数据交赋予断根机造
。

第三个重点是利用安全与接口安全
。SaaS平台伴随大量 Web 接见、移动接见、盛开接口与第三方集成接口，三级测评应重点核查利用防注入、防越权、防恶意上传、防敏感信息泄露、防批量接口滥用等安全节造，核查盛开 API 身份认证、挪用授权、频率限度、日志审计和异常告警能力
。对承载重要业务的 SaaS平台，接口风险是最易形成系统性露出面的关键环节
。

第四个重点是审计与运维通明度
。SaaS平台的三级测评不能只看客户侧是否有日志，还要查抄云服务商是否可能向客户提供必要的安全审计能力，蕴含账号登录、权限调换、数据查问、数据导出、流程审批、配置批改、接口挪用和异常告警等审计纪录
。若平台不具备向客户提供必要审计接口或日志查问能力，客户就难以实现等级
；に蟮某中擞胧挛褡芬
。

第五个重点是责任天堑和合同约束
。SaaS 模式下客户对底层环境可见性较弱，三级测评须将服务和谈、数据处置和谈、运维表包和谈、保密和谈和安全承诺文件作为重要证据，核查云服务商是否明确承诺数据归属、备份复原、事务传递、缝隙建复、日志留存、人员治理和退出交付要求
。对 SaaS 模式而言，多项三级要求能否落地，最终取决于合同条款是否将安全使命固化为可执行责任
。

(二) 云平台测评事俘

以某市政务专有云平台为例，该平台选取IaaS模式，为多个委办局提供虚构机、云硬盘、对象存储和虚构专网服务，承载政务协同、行政审批和公共服务系统
７⒄谷恫馄朗，首吓爪将测评对象划分为“政务云平台”与“各委办局业务系统”两层，对云服务商和各委办局别离形成责任清单
。随后对云平台发展重点核查：一是抽查节造台、碉堡机和API接见是否选取双成分认证
；二是拔取两个以上租户测试VPC隔离、路由隔离和安全组隔离是否有效
；三是查抄镜像模板加固、宿主机补丁、Hypervisor配置和异常虚构机告警机造
；四是验证云硬盘开释后残留信息断根、对象存储接见授权和快照复原审计
；五是查抄统一日志平台是否可能回溯治理员创建事俘、批改安全组、导出快照等关键操作
。若上述能力关环有效，注明该IaaS平台在三级要求下具备较好的底座安全支持能力
。

(三) 云租户三级测评

1) IaaS云租户三级测评

从云租户视角看，IaaS模式下三级测评重点不在于反复验证云服务商底层物理与虚构化平台合规性，而在于核查租户在可控天堑内，是否将云主机、云网络、云安全组件和业务数据
；ひ舐涫档轿
。测评应先梳理租户已购及现实使用云资源清单，明确云服务商与租户各自掌管的节造项，再萦绕“身份甄别、接见节造、安全审计、入侵防备、数据
；ぁ⒈阜莞丛图性宋”七个方面组织证据核查
。

在身份甄别与接见节造方面，重点核查租户对云节造台子账号、RAM 权限、运维账号、VPN 接入账号和碉堡机账号是否执行双成分认证、最幼授权和分级分域治理，预防高权限账号由研发、运维、表包人员混用
。对三级系统，还应重点查抄安全组、网络 ACL、弹性公网接见战术、数据库白名单和对象存储接见战术是否遵循最幼盛开准则，排查全网盛开治理端口、一时运维战术持久保留、测试环境战术复用至出产等典型风险
。

在主机与网络安全方面，重点核查租户自建虚构机、操作系统、中央件、容器宿主机和自建数据库是否实现基线加固、补丁更新、恶意代码防护、口令战术配置和关键目录接见节造，持续收敛互联网露出面
。测评通常抽查典型业务主机、跳板机和治理节点配置，验证租户是否成立入侵告警、缝隙建复、天堑防护和日志集中留存机造，尤其关注是否充分启用云平台提供的主机防护、WAF、DDoS 防护、日志审计和安全告警能力
。

在数据与备份复原方面，核查租户是否对重要数据和幼我信息执行分类分级治理，是否对云硬盘、对象存储、数据库和备份库中的重要数据采取加密、接见授权、脱敏和导出审批节造，是否成创新地或跨可用区备份及复原演练机造
。IaaS 租户三级测评尤其关注客户自身备份责任落实情况，云服务商提供的底层高可用不等同于租户已实现业务级备份与能力建设
。

在三级测评执行步骤上，IaaS租户宜选取“配置核查加场景验证”相结合的方式推动，即通过抽查节造台权限、主机配置、天堑战术、审计日志和备份纪录，进一步验证异常登录告警、关键端口露出、快照复原、账号越权和敏感数据导出等场景是否可监测、可追踪、可措置
。只有租户侧节造链条关环，能力注明IaaS模式下云租户已经满足等保三级的重要要求
。

2) PaaS云租户三级测评

从云租户角度看，PaaS模式下三级测评重点在于核查租户安全使用平台能力，而非反复测评平台组件底层安全性
。租户测评天堑集中于利用系统、定名空间、容器工作负载、数据库事俘配置、新闻主题权限、密钥挪用方式、接口盛开战术和 CI/CD 流水线使用规范
。测评前应先形成平台责任项与租户责任项对应表，预防混合平台统一节造事项与租户自行配置事项
。

在身份甄别与权限节造方面，重点核查租户是否对研发、测试、运维和颁布账号分权治理，是否对代码仓库、流水线、制品库、镜像仓库、数据库节造台和利用颁布接口启用双成分认证及细粒度授权，排查开发人员直连出产、测试账号进入出产定名空间、共享服务账号持久不更换口令等问题
。对三级系统而言，PaaS 租户常见风险并非平台能力不及，而是租户对高权限接口、密钥痛处和颁布权限治理粗放
。

在利用部署与组件使用安全方面，重点核查租户提交至 PaaS 平台的镜像、代码包、配置文件和第三方组件是否经过安全审查，是否对敏感配置执行密文托管，是否在利用层关关调试接口、默认账号和不用要服务，是否对服务间接见执行零信赖或白名单节造
。测评还应抽查容器运行参数、资源配额、数据库接见账号、新闻队列权限和 API 网关路由战术，验证租户落实最幼露出面与最幼授权准则
。

在安全审计与数据
；し矫，核查租户是否将利用接见日志、颁布日志、接口挪用日志、数据库审计日志和异常告警接入本单元集中分析平台，是否可追忆未授权颁布、异
；毓觥⒚舾薪涌诟咂蹬灿煤兔茉恳斐Ｊ褂眯形
。对承载重要数据的三级系统，还应重点核查租户是否利用 PaaS 平台加密、备份、审计和灾备能力构建业务级数据
；す鼗，而非齐全依赖平台默认配置
。

在测评步骤上，PaaS租户宜以“租户配置面查抄、业务链路抽测、颁布运维过程验证”为主线发展三级测评
。也就是说，不仅要看节造台配置，还要对利用颁布、配置调换、接口挪用、数据库运维和异常告警措置过程进行穿透验证，确认租户在使用PaaS时已经把三级要求嵌入研发、颁布、运行和审计全流程之中
。

3) SaaS云租户三级测评

SaaS模式下，云租户对底层基础设施和平台层节造权最弱，三级测评重点应放在租户规范使用 SaaS 服务、通过治理与配置落实三级要求
。测评天堑重要蕴含租户治理怨厮号系统、组织架构与角色权限配置、业务流程配置、数据使用审批、接口对接方式、本地终端接入节造、日志留存使用和合同责任落实等内容
。

在身份甄别和权限治理方面，重点查抄租户是否对 SaaS系统治理员、业务治理员、审批人员、通常用户和表部合作账号分级授权，是否启用双成分认证、强口令和异常登录管控，是否定期算帐离岗、转岗和持久闲置账号
。对等保三级而言，SaaS租户易失分环节并非平台认证能力不及，而是租户未启用强认证、未细分角色权限，导致业务数据在租户内部过度共享或越权接见
。

在业务配置与数据
；し矫，重点核查租户是否对表单、流程、字段、报表、接口和附件接见领域细粒度管控，是否对重要数据导出、批量下载、表发共享、移动端接见和第三方接口对接设置审批或告警机造，是否落实本地备份、台账留存和敏感信息脱敏要求
。SaaS 平台配置能力丰硕，三级测评应重点关注因配置不当引发的越权、泄露或失控风险
。

在审计与持续运营方面，核查租户是否有效获取并使用 SaaS平台提供的登录日志、权限调换日志、数据导出日志、审批日志和接口挪用日志，是否成创新常告警核查、账户定期复审和供给商安全传递接管机造
。对三级系统，租户还应审查与 SaaS服务商签署的服务和谈、数据处置和谈和应急传递机造，确认日志可获取、事务可通知、数据可交付、退出可迁徙，添补底层不私见带来的合规短板
。

在具体测评执行上，SaaS租户宜选取“治理造度审查加租户配置查抄加业务场景抽测”的方式，重点验证账号权限配置、审批流配置、导出节造、表部接口传权、移动接入节造和日志取证能力是否满足三级要求
。只有当租户把平台提供的安全能力真正转化为本单元可执杏注可审计、可追责的业务节造措施时，SaaS模式下的云租户三级测评才算真正到位
。

(四) 云租户测评事俘

以某市政务专有云平台上的市政务服务中心行政审批系统为例，该系统选取IaaS模式，部署在政务云平台虚构专网中，由市政务服务中心作为云租户掌管系统运维
７⒄谷恫馄朗，凭据云平台基础能力，重点萦绕云租户侧节造措施发展核查：一是查抄云主机身份甄别与接见节造，核查系统治理怨厮号是否选取双成分认证，远程登录是否限度 IP 段、启用登录失败锁定战术，是否存在弱口令、默认账号或未授权治理怨厮号
；二是核查安全区域天堑防护配置，查抄虚构机防火墙战术、安全组规定是否按最幼权限配置，是否限度不用要端口与和谈，对接见审批系统的业务 IP 执行严格管控
；三是查抄主机与利用安全配置，核查操作系统是否实现补丁更新、关关无用服务与高危端口，中央件、数据库是否实现安全加固，是否部署主机防护、入侵检测或日志审计工具
；四是验证数据安全与备份复原，查抄业务数据是否按三级要求配置定期备份，是否在本地或云平台保留备份副本，是否定期发展复原演练，数据删除后确保无残留副本
；五是核查安全审计与事务追忆，查抄操作系统、数据库、利用系统审计日志是否开启并集中存储，治理员操作、用户接见、权限调换等关键操作是否齐全纪录，日志留存是否满足不少于 6 个月要求
。经核查，该系统已按三级等保要求落实 IaaS 模式下客户侧安全责任，节造措施关环有效，具备合规能力
。

六、企业云安全合规实际建议

作为云推算服务的使用者与提供者，企业应将 GA/T 2347-2025作为云安全合规建设的主题凭据，重点从四方面推动落地
。

1) 一是严格落实境内合规要求，全面核查云推算基础设施、数据存储、运维地址是否切合境内部署划定，规范数据出境安全评估与审批流程，坚守网络安全与数据主权底线
。

2) 二是强化数据安全全性命周期防护，成立数据分类分级、授权接见、备份复原、副本断根、迁徙校验机造，落实本地数据备份要求，确保数据全流程安全可控
。

3) 三是加固虚构化防护能力，强化虚构网络隔离与天堑接见节造，规范虚构机战术迁徙、镜像加固与齐全性校验，加强虚构机异常行为监测与告警，筑牢云环境安全樊篱
。

4) 四是明确责任划分天堑，结合 IaaS/PaaS/SaaS 服务模式明确企业与云服务商的安全职责，在服务合同中固化责任条款、数据交付、保密使命与违约要求，实现责任共担、风险共管
。

企业应依附指引要求定期发展自查自评与整改优化，共同测评机构实现等级测评工作，持续美满云安全防护系统
。

七、总结

GA/T 2347-2025 的颁布与执行，标志取我国云推算环境网络安全等级
；げ馄拦ぷ髀跞尺度化、专业化、精密化的全新阶段
。该指引既坚守国度网络安全与数据主权底线，又深度贴合云推算技术个性与行业发展示实需要，为云安全防护系统构建、等级测评规范发展、安全责任清澈落地提供了权威统一、科学可落地的行动遵循
。

面向将来，随着云推算技术持续创新与行业利用不休深入，各行业能够本指引为重要遵循，持续强化云上安全保险能力，规范落实等级
；ひ，以安全筑牢发展根基，以合规驱动业务创新，为我国数字经济高质量发展提供坚实靠得住的安全保险
。