上云之后还要过等保吗？云上合规的责任划分

等保 · 等保2.0 · 云等保 · 云计算安全扩展要求 · 责任划分 · 定级备案

很多企业以为"系统搬到云上，等保由云厂商负责"。这是个危险误解：云平台通过测评，不等于你的业务系统合规。本文讲清等保 2.0 的云计算扩展要求，以及责任到底怎么分。

获取云合规方案

一、一个常见误解

误解：云厂商的机房通过了等保三级，我的系统也就合规了。

事实：等保测评针对的是具体的业务系统。云厂商通过测评，证明的是它作为基础设施提供方满足了相应要求；你的业务系统仍然要单独定级、单独测评。云只是把"机房、网络、物理环境"这部分责任转移了一部分，账号、权限、数据、审计这些还是要自己管。

二、等保 2.0 的"扩展要求"是什么

等保 2.0（GB/T 22239-2019）除了通用的安全要求，还针对新技术场景增加了扩展要求：云计算、移动互联、物联网、工业控制。也就是说，"上云"这件事本身在标准里就有专门条款——不是把传统机房那套照搬过来就行。

三、责任怎么分？按服务模式看

这条线可以记成一句话：越往上层，企业自己的责任越重。哪怕用的是 SaaS，账号开给谁、数据给谁看，仍是企业的事。

四、上云企业必须自己做的五件事

1. 单独定级备案：把云上的业务系统当独立对象定级，而不是沿用旧的备案；
2. 账号与权限治理：唯一身份、最小权限、离岗及时回收；
3. 数据分类与加密：分清哪些是敏感数据，明确加密与访问策略；
4. 日志与审计：关键操作留痕、可查询、保存周期符合要求；
5. 备份与退出机制：能备份、能恢复，并且想换云时数据能拿走。

五、选云服务商，先问四句话

• 你们的云平台通过了几级等保测评？测评范围包含哪些组件？
• 责任划分清单能不能书面给我，明确哪些是我的义务？
• 审计日志能给我多少、留多久，能否导出？
• 如果我要迁走，数据怎么拿回，格式是否通用？

六、Filez 如何帮企业把这条线走稳

联想 Filez 企业网盘支持私有化与混合云部署：文件与数据可留在企业内网，企业自己掌握账号、权限、审计的完整控制权，减少"责任说不清"的麻烦；在需要上云的场景下，也能按企业合规要求配置细粒度权限、操作审计、传输与存储加密、版本与备份恢复等能力，配合完成等保测评与整改。

七、总结

上云不等于免责，等保也不会因为"用了云"而自动通过。判断标准只有一条：你能不能自己说清"哪些要求我做到了、证据在哪"。责任清单、审计日志、数据可迁移——这三样东西齐了，云上合规才算站稳。

立即试用，体验合规云盘

关于 Filez

Filez 是联想集团旗下的协同办公品牌，专注"文件 + 内容 + 知识"全链智能协同，业务覆盖企业网盘、在线文档、非结构化数据平台。企业网盘自 2006 年面世，是国内投身研发最早、运营时间最长的产品；在线文档于 2017 年国内首发。

深耕近二十年，Filez 的行业地位持续获得权威机构认可：国际方面，入选 Gartner《Magic Quadrant™ for Document Management》，为本次报告唯一来自东亚地区的厂商；国内方面，在 IDC《中国智能企业内容与知识平台市场份额，1H26》中，Filez 私有化部署细分市场份额位居第一。

免责声明：本文为科普内容，关于等保 2.0 与云计算安全扩展要求的介绍基于公开资料整理（GB/T 22239-2019），具体定级、测评与责任划分以主管部门、测评机构及云服务协议的最新规定为准；本文不构成合规承诺或采购建议。