上了云，等保义务没有跟着”上交”
不少单位把业务系统迁到云平台后，觉得安全责任已经交给云服务商，等保也可以一并”省了”。这个理解需要纠正：《网络安全法》第二十一条规定的等级保护义务，约束的是网络运营者，与系统部署在自建机房还是云上无关。等保 2.0 标准（GB/T 22239-2019）更是把云计算明确列为保护对象，在通用要求之外单独给出了云计算安全扩展要求。
换句话说，业务在云上，等保照做，只是做的方式与传统内网不同：一部分安全责任由云平台承担，另一部分仍留在租户手里。分清这条边界，是云上等保的起点。
责任共担：哪些归云平台，哪些归你
业界通行的责任共担模型可以概括为一句话：云服务商对”云本身”负责，租户对”云上的业务”负责。
云平台侧通常承担：物理机房与基础设施安全、虚拟化层与云平台组件的防护，以及云平台自身的定级备案与等级测评。正规云服务商一般可以提供云平台的等保备案证明与测评报告，供租户选型时核验。
租户侧通常承担：云主机与操作系统的安全配置基线、应用安全、数据库与中间件加固、账号权限与访问控制、数据备份与加密、日志采集与留存，以及本单位的定级备案与管理制度建设。很多云上失分项恰恰出在这里——云平台本身很安全，但租户的云主机弱口令、开放过宽的安全组策略、无人管理的运维账号，测评时照样算在租户头上。
需要提醒的是，责任划分应以合同与等级保护对象划分为准。同样是云服务，IaaS 与 SaaS 模式下的责任边界并不相同，签约前应要求服务商书面明确。
备案属地怎么定：跟运维团队走，不跟物理节点走
云上系统常见的困惑问题是”向哪里备案”。规则并不复杂：云上系统的备案地点，可在业务系统运维团队或其公司主体经营注册地向公安机关网安部门办理，与云资源所在物理节点的地点无关。
实操上有两个建议：一是优先选择经营主体注册地备案并匹配本地测评机构，便于属地监管沟通；二是若运维团队与注册地不在同一城市，也可选择运维团队所在地，关键是保持定级、备案、测评三者属地一致。备案前先完成定级报告；上级主管部门已有定级意见或审核批准的，可免去专家评审环节。
云计算扩展要求：租户侧重点核验六件事
对照等保 2.0 云计算安全扩展要求与测评实践，租户侧建议重点核验以下方向：
- 基础设施位置：确认云资源所在地域位于境内，涉及数据出境场景的另行评估合规路径。
- 镜像与快照保护：云主机镜像、快照是否有访问控制与防篡改措施，避免”带毒镜像”扩散。
- 数据备份恢复：云上数据库与关键数据的备份策略、恢复演练记录，重要数据是否落实异地或异可用区备份。
- 云服务商选择：核验云平台的等保备案证明与测评结论，留存选型评估记录备查。
- 访问控制与运维审计：云控制台与运维通道是否纳入统一管控，高危操作是否有堡垒机或云审计服务留痕，运维账号是否落实双因素认证。
- 日志留存：云主机、数据库与控制台操作日志是否集中采集，留存不少于 6 个月，并有防篡改手段。
这六项与传统内网的整改逻辑一脉相承，只是落点从物理设备换成了云服务配置。
上云租户自查清单
把上面的要点收拢成一张自查清单：
- 定级备案是否已完成，备案地与运维团队或注册地是否一致；
- 云平台的备案证明与测评报告是否已核验留档；
- 云主机配置基线、安全组策略、账号权限是否定期核查；
- 备份策略与恢复演练是否有记录可查；
- 运维通道是否有审计留痕与双因素认证；
- 日志是否集中采集并留存不少于 6 个月；
- 管理制度、培训与演练记录是否与线下系统同步维护。
云上等保不是把线下材料换个封面，而是把安全责任按边界重新落一遍。如果贵方正在评估云上系统的等保路径，欢迎通过等保建设方案了解差距分析与整改服务，或前往价格咨询获取针对性建议；更多合规与选型内容见洞察栏目。