系统搬到阿里云、腾讯云之后，不少单位以为等保由云厂商全包了。现实是：云平台只对它自己的基础设施负责，用户的操作系统、账号权限、日志留存、数据备份一项都没转移。责任划不清，测评时最容易卡在整改环节，来回返工多花一两个月。
一、云上等保的责任怎么分
| 事项 | 云服务商负责 | 用户负责 |
|---|---|---|
| 机房物理环境、服务器硬件 | 是 | 否 |
| 虚拟化层、云平台自身等保 | 是，可提供测评报告复印件 | 索取并归档 |
| 操作系统、中间件、数据库配置 | 否 | 是 |
| 账号口令、权限分配、双因子认证 | 否 | 是 |
| 应用代码安全、日志留存6个月以上 | 否 | 是 |
| 数据备份、加密、访问控制 | 否 | 是 |
二、云上系统定级备案4步
- 定级：二级由单位内部评审确定；三级需组织专家评审（不少于3名专家）并报主管部门审核。
- 备案：二级向市级公安机关网安部门备案，三级及以上向省级公安机关网安部门备案，拿到备案证明通常15到30天。
- 测评：二级原则上每两年测评一次，部分省份要求每年一次；三级每年至少一次。
- 整改复测：首次测评问题项限期整改，一般给30到60天，复测通过后出具正式报告。
三、云上做等保能省掉哪些事
- 物理环境部分（机房、门禁、消防、供电）可直接引用云厂商测评报告，约省掉三成测评项。
- 不用自建机房巡检台账，但要长期保存云平台的等保备案证明复印件备查。
- 费用参考：二级云上系统整体3到8万，三级10到25万（含测评费与整改投入）。
- 周期参考：材料齐全时，二级全流程30到60天，三级60到120天。
四、3个常见误区
- 买了云服务器就自动过等保：云厂商只对平台本身负责，用户系统必须单独定级备案。
- 拿云厂商的等保证明当自己的：它只能作为物理环境部分的佐证材料，不能替代本单位的备案证明。
- 三级系统按二级做：面向全国提供服务、注册用户超百万或处理公民个人敏感信息的系统，一般不低于三级，降级会被责令整改。
