云控制矩阵(Cloud Controls Matrix, CCM)

Cloud Controls Matrix (CCM) 是由云安全联盟（Cloud Security Alliance, CSA）制定的一套全面、权威的云安全控制框架，旨在协助云服务提供商（CSPs）和云客户（Consumers）评估、管理和沟通云环境中的安全风险。

一、核心定义（中英文）

术语	英文	中文
CCM	Cloud Controls Matrix	云控制矩阵
CSA	Cloud Security Alliance	云安全联盟
Control Domain	控制域	安全控制的高层分类（如治理、数据安全等）
Control Specification	控制规范	每个控制域下的具体安全要求

二、CCM 的目标

提供统一的安全基准：为 IaaS、PaaS、SaaS 提供一致的安全控制参考。
促进 CSP 与客户之间的信任：通过标准化语言沟通安全能力。
支持合规映射：自动关联 GDPR、HIPAA、ISO 27001、NIST、PCI DSS 等法规。
推动云原生安全实践：覆盖容器、Serverless、微服务等现代架构。

三、CCM 结构（以最新版 CCM v4.0 为例）

✅ 17 个控制域（Control Domains）

每个域聚焦一个安全主题：

编号	控制域（英文）	中文含义	关键内容示例
APP	Application & Interface Security	应用与接口安全	API 安全、输入验证、安全开发生命周期（SDL）
AUD	Audit Assurance & Compliance	审计保证与合规	独立审计、日志保留、合规报告
CIS	Change Control & Configuration Management	变更与配置管理	基线配置、变更审批、版本控制
DAT	Data Security & Information Lifecycle Management	数据安全与信息生命周期	加密（静态/传输）、数据分类、销毁
DCO	Datacenter Security	数据中心安全	物理访问控制、环境监控
ENT	Enterprise Risk Management	企业风险管理	风险评估、业务连续性
GRC	Governance, Risk & Compliance	治理、风险与合规	安全策略、第三方风险管理
HUM	Human Resources Security	人力资源安全	背景调查、离职流程、安全培训
IAM	Identity & Access Management	身份与访问管理	MFA、最小权限、会话管理
INF	Infrastructure & Virtualization Security	基础设施与虚拟化安全	Hypervisor 安全、网络隔离、微隔离
INT	Interoperability & Portability	互操作性与可移植性	数据导出、API 标准化
LOG	Logging & Monitoring	日志与监控	SIEM 集成、异常检测、审计日志
MOB	Mobile Security	移动安全	BYOD 策略、移动设备管理（MDM）
NET	Network Security	网络安全	防火墙、DDoS 防护、零信任网络
SEC	Security Incident Management	安全事件管理	事件响应计划、取证、通知流程
STA	Security Training & Awareness	安全培训与意识	定期培训、钓鱼演练
TVM	Threat & Vulnerability Management	威胁与漏洞管理	扫描、补丁管理、渗透测试

📌 总计 197 项具体控制措施（v4.0），每项包含：

控制 ID（如 IAM-02）

控制描述

实施指南

合规映射（到 ISO、NIST、GDPR 等）

四、CCM 的核心价值

✅ 对云服务提供商(CSP)

展示安全能力，赢得客户信任；
指导安全架构设计与产品开发；
简化合规认证（如 SOC 2、ISO 27001）。

✅ 对云客户(Enterprise)

评估 CSP 安全水平（用于 RFP/供应商审核）；
制定自身云安全策略；
明确双方安全责任边界（结合 Shared Responsibility Model）。

✅ 对审计方/监管机构

提供标准化评估框架；
减少重复审计工作。

五、CCM 与其他框架的关系

框架	与 CCM 的关系
ISO/IEC 27001	CCM 包含 ISO 27001 全部控制，并扩展云特有要求
NIST SP 800-53	CCM 映射 NIST 控制，但更聚焦云场景
CIS Controls	CCM 整合 CIS 最佳实践（如服务器加固）
GDPR / HIPAA	CCM 提供数据保护控制，支持合规落地
CSA STAR	CCM 是 STAR 认证（Security, Trust & Assurance Registry）的核心依据

💡 STAR 认证 = CCM 自评 + 第三方审计 + 公开注册

六、实际应用场景

场景 1：企业选型云服务商

要求云服务商提供 CCM 合规报告；
对比各厂商在 DAT-02（数据加密）、IAM-04（MFA）等关键控制上的实现。

场景 2：云安全架构设计

在设计 SaaS 平台时，参考 APP-03（安全编码）、LOG-02（日志完整性）实施安全功能。

场景 3：内部审计

使用 CCM 检查清单，验证私有云是否满足 INF-06（虚拟机隔离）要求。

七、获取与使用

官方下载： cloudsecurityalliance.org
格式：Excel / PDF / CSV（含完整控制描述与合规映射）
工具支持：
- CAIQ(Consensus Assessments Initiative Questionnaire)：基于 CCM 的问卷，用于 CSP 自评；
- STAR Registry：公开查询 CSP 的 CCM 实施状态。