云控制矩阵 4.0

定义和实施加密、加密和密钥管理的角色和职责。

云服务提供商必须提供能力，使客户可以管理自己的数据加密密钥。

使用经认证的加密库，为静态和传输中的数据提供加密保护，并符合批准的标准。

根据数据的分类、相关风险以及加密技术的可用性，使用适合数据保护的加密算法。

对加密和密钥管理系统、策略及流程进行审计，其频率应与系统的风险暴露程度相适应，审计最好持续进行，但至少每年进行一次，并在任何安全事件发生后进行审计。对加密和密钥管理系统、策略及流程进行审计，其频率应与系统的风险暴露程度相适应，审计最好持续进行，但至少要每年进行一次，并在发生任何安全事件后进行审计。

对加密和密钥管理系统、策略及流程进行审计，其频率应与系统的风险暴露程度相适应，审计最好持续进行，但至少每年进行一次，并在任何安全事件发生后进行审计。对加密和密钥管理系统、策略及流程进行审计，其频率应与系统的风险暴露程度相适应，审计最好持续进行，但至少要每年进行一次，并在发生任何安全事件后进行审计。

建立、记录、批准、传达、应用、评估并维护密码学、加密和密钥管理的政策和程序。至少每年审查并更新一次这些政策和程序。 建立、记录、批准、传达、应用、评估并维护密码学、加密和密钥管理的政策和程序。至少每年审查并更新一次这些政策和程序。

建立、记录、批准、传达、应用、评估并维护密码学、加密和密钥管理的政策和程序。至少每年审查并更新一次这些政策和程序。 建立、记录、批准、传达、应用、评估并维护密码学、加密和密钥管理的政策和程序。至少每年审查并更新一次这些政策和程序。

管理和采用与加密学、加密和密钥管理相关的系统（包括政策和程序）的变更，这些变更必须充分考虑拟议变更的下游影响，包括剩余风险、成本和收益分析。

建立标准的变更管理程序，以应对来自内部和外部的变更，对密码学、加密和密钥管理技术的变更进行审查、批准、实施和沟通。

建立并维护一个加密和密钥管理风险计划，该计划应包括风险评估、风险处理、风险背景、监控和反馈的相关条款。

定义、实施和评估流程、程序及技术措施，以在密钥已生成但尚未授权使用时将其置于预激活状态，其中包括法律和监管要求的规定。

定义、实施和评估用于在安全存储库中管理归档密钥的流程、程序和技术措施，该存储库需要最小权限访问，并包括符合法律和监管要求的条款。

定义、实施和评估流程、程序及技术措施，以便在受控情况下仅使用被泄露的密钥加密信息，之后仅用于解密数据，绝不用于加密数据，并包括符合法律和监管要求的条款。

定义、实施并评估在密钥到期时停用密钥的流程、程序和技术措施，其中包括符合法律和监管要求的条款。

定义、实施和评估流程、程序以及技术措施，以销毁存储在安全环境之外的密钥，并在硬件安全模块（HSM）中存储的密钥不再使用时撤销这些密钥，其中应包括法律和监管要求的规定。

使用业界认可的加密库生成加密密钥，并指定算法强度和所使用的随机数生成器。

定义、实施和评估流程、程序和技术措施，以便关键管理系统能够跟踪和报告所有加密材料及其状态变化，包括符合法律和监管要求的规定。

管理为特定用途配置的加密秘密和私钥。

定义、实施和评估流程、程序和技术措施，以评估运营连续性风险与密钥材料及其所保护的信息在密钥材料控制权丧失的情况下被泄露的风险，这些措施包括法律和监管要求的规定。

定义、实施和评估流程、程序及技术措施，在密钥到达设定的加密周期结束之前、密钥被泄露时，或某个实体不再属于组织时撤销和移除加密密钥，其中包括符合法律和监管要求的规定。

根据计算得出的加密周期轮换加密密钥，其中包括考虑信息泄露风险以及法律和监管要求的条款。

定义、实施和评估流程、程序和技术措施，以监控、审查和批准从任何状态到/从暂停的重要过渡，其中包括法律和监管要求的规定。