YD
中华人民共和国通信行业标准
YD/T3797.2-2025
[代替YD/T3797.2-2020]
云服务用户数据保护能力评估方法 第2部分：私有云
Cloud user data protection capability assessment methodPart2:Privatecloud
中华人民共和国工业和信息化部 发布
目次
前言.. II引言.... IⅢI1范围2规范性引用文件.3术语和定义4私有云分类5云服务用户数据保护能力指标6评估方法概述7具体指标或条款评估方法7.1私有云云服务提供者.7.2私有云云计算平台，附录A（资料性）各类型私有云的云服务用户数据保护指标参考
前言
本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草
本文件与YD/T3954-2021《云服务用户数据保护能力参考框架》、YD/T3797.1-2021《云服务用户数据保护能力评估方法第1部分：公有云》共同构成“云服务用户数据保护能力”系列行业标准.
本文件是YD/T3797《云服务用户数据保护能力评估方法》的第2部分，YD/T3797已经发布了以下部分：
一第1部分：公有云
第2部分：私有云
请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别这些专利的责任.
本文件代替YD/T3797.2-2020《云服务用户数据保护能力评估方法第2部分：私有云》，与YD/T3797.2相比，除编辑性修改外主要技术变化如下：
增加了私有云分类（见第5章）增加了数据隐私性评估方法（见第7.2.3）增加了数据知情权评估方法（见第7.2.4）增加了数据迁移安全性评估方法（见第7.2.9）增加了售后服务与技术支持评估方法（见第7.2.17） 增加了数据返还安全性评估方法（见第7.2.11）增加了服务可审查性评估方法（见第7.2.18）增加了各类型私有云的云服务用户数据保护指标参考（见附录A）
本文件由中国通信标准化协会提出并归口.
本文件起草单位：中国信息通信研究院、腾讯云计算（北京）有限责任公司、阿里云计算有限公司、华为云计算技术有限公司、北京百度网讯科技有限公司、中国移动通信集团有限公司、天翼云科技有限公司、优刻得科技股份有限公司、中移（苏州）软件技术有限公司、北京金山云网络技术有限公司、浪潮云信息技术股份公司、中国联合网络通信集团有限公司、网宿科技股份有限公司、北京升鑫网络科技有限公司、奇安信科技集团股份有限公司、中兴通讯股份有限公司、新华三技术有限公司、深信服科技 股份有限公司、佳讯飞鸿（北京）智能科技研究院有限公司、上海蓝云网络科技有限公司.
本文件主要起草人：孔松、吴倩琳、郭雪、王永霞、黄少青、耿涛、费宗藏、陈镇东、韩非、王睿宁、侯庆茹、吴诗浩、张敏、郑佳佳、李萌、程度、王彦丹、刘刚、曹建加、刘沛、王萃娟、朱锋、徐燕、赵万成、刘浩、王方、朱勇、张敏、万晓兰、杨恩众、钟昊、陈姝、陈澍、郭肠.
引言
随着产业数字化进程不断推进，云计算成为数据存储和处理的底座.在云计算架构下用户和服务商分离，数据的者和保管者分离，数据的权与保管权分离，从用户的视角看云计算数据安全问题，可概括为以下3个方面：一是传统数据安全间题仍然存在：二是数据上云后暴露面增大：三是云上数据处理的透明度不高.上述问题均加重了用户对于存储于云上的数据安全顾虑.
《云服务用户数据保护能力评估方法》标准规范了云上用户数据保护技术手段和管理手段，用于指导云服务提供商提供云计算服务或建设云计算平台，此标准由两个部分构成.
一第1部分：公有云.目的在于规范公有云环境中用户数据保护能力评估方法.
第2部分：私有云.目的在于规范私有云环境中用户数据保护能力评估方法.
云服务用户数据保护能力评估方法第2部分：私有云
1范围
本文件规定了云服务提供者在提供私有云平台时，其用户数据安全保护能力的评估方法，包括事前防范能力、事中保护能力和事后追溯能力.
本文件适用于第三方机构对云服务提供者提供的私有云平台，审查和评估其用户数据安全保护能力，也为云服务提供者建设私有云用户数据安全保护能力提供参考.
2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.其中，注日期的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本文件.
GB/T32400-2015信息技术云计算概览与词汇 YD/T3954-2021云服务用户数据保护能力参考框架
3术语和定义
下列术语和定义适用于本文件.
3.1
私有云private cloud
云服务仅被一个云服务客户使用，且资源被该云服务客户控制的一类云部署模型.[来源：GB/T32400-2015，定义3.2.32]
3.2
云服务用户数据cloud service userdata
在使用云服务过程中上传、存储、传输、处理和产生的数据.
注：如虚拟机镜像文件、代码、对象文件、数据库，用户鉴别信息、用户日志等.
3.3
云服务提供者数据cloud serviceprovider data
云服务提供者控制，与云服务运营相关的一类数据对象.
