在云计算环境中，云服务客户数据由云存储、传输和处理。因此，云服务客户的业务流程依赖于云服务的信息安全;如果对云服务没有足够的控制措施，云服务客户可能需要对其信息安全实践采取额外的预防措施。

      在与供应商建立合作关系之前，云服务客户需要选择一个云服务，选择考虑的因素时，云服务客户的信息安全要求与该服务实际提供的信息安全能力之间可能存在的差距。一旦选择了云服务，云服务客户应以满足其信息安全要求的方式管理云服务的使用。

      在这种关系中，云服务提供商应提供必要的信息和技术支持，以满足云服务客户的信息安全需求。当云服务供应商提供的信息安全控制是预置的并且云服务客户无法更改时，云服务客户可能需要实施附加控制措施以降低风险。

      云服务客户和云服务提供商都应具备信息安全风险管理流程。有关信息安全管理体系的风险管理要求，建议参阅IS0/IEC27001;有关信息安全风险管理本身的进一步指导，可参阅IS0/IEC27005。IS0/IEC 27001和IS0/1EC 27005都符合IS031000，也可帮助组织全面了解风险管理。

      与信息安全风险管理流程的通用性不同，云计算有其自身的风险来源类型，包括威胁和漏洞。这些风险和漏洞来源于网络、系统的可伸缩性和弹性、资源共享、自助服务供应、管理按需、跨管辖服务以及对控制措施实施可见性有限。附件B提供了有关在提供和使用云服务时的风险源和相关风险的参考信息。

     本标准控制措施和实施指南用于处理云计算特定的风险来源和风险。