為了確保云上安全，等保2.0的8.2.2.5涉及網絡架構的條款中明確表示，應提供開放接口或開放性安全服務，允許云服務客戶接入第三方安全產品或在云平臺選擇第三方安全服務。這說明了云服務客戶的安全問題不能完全依賴云平臺的安全保障。一定有一些是云平臺無法堅固的部分。

而在本條款中關于集中管控的要求中提出：

a) 應根據云服務商和云服務客戶的職責劃分 收集各自控制部分的審計數據并實現各自的集中審計；

b) 應根據云服務商和云服務客戶的職責劃分，實現各自控制部分，包括虛擬化網絡、虛擬機、虛擬化安全設備等的運行狀況的集中監測。

這個要求對云服務商與云上用戶關于數據的管控職責上做了切分要求，云服務商的責任無法是實現從邊界防護到核心數據的全面覆蓋，目前看，云服務商更注重邊界防護，以云應用服務器中的應用為防護重點。那么，用戶存儲在云數據庫服務器中的數據保護責任歸誰所有？首先，上云用戶自身的安全建設還遠沒有觸達這個領域；其次，即便云服務商有能力覆蓋數據安全層面的保障工作，它的身份也是尷尬的，因為其角色難以自證其中立、客觀、公正，所以，必須引入一個中立的第三方角色來構建云服務商與云服務客戶的信任基礎，這就是CDSP（Cloud Data Security Provider）概念：獨立的第三方云數據安全服務商。

首先，CDSP的角色定義，就是和上云用戶站在一起，不與云服務商有任何利益關系，因此可以更公正地維護用戶數據利益；其次，CDSP是站在第三方立場，以第三方視角，真正從數據層入手，保障上云用戶的云上數據使用時的安全，確定安全責任，做好定級和監管以及提供數據安全整體防護體系的設計；CDSP在數據安全保護層面具有非常高的專業性。以CDSP安華金和為例，作為一家專業做數據安全的廠商，已經具備十年大型數據庫產品研發基礎和技術儲備，并將專業能力轉移到云端，積累了豐富的云數據安全實踐經驗，能夠從專業角度捍衛用戶對數據的掌控權；此外，面對SaaS企業如何為其用戶掃清數據安全疑慮的困境，引入CDSP第三方安全服務可以實現為SaaS企業數據安全賦能，從根本上解決SaaS企業和其上用戶的后顧之憂。

等保2.0的條款8.2.3.2中關于訪問控制這一項的要求：應確保只有在云服務客戶授權下，云服務商或第三方才具有云服務客戶數據的管理權限。

本條款其實是在維護云服務客戶的數據所有權，但是真實場景卻不盡人意，因為數據一旦上云，云服務商能不能看到數據，能不能對用戶數據進行合理化管控，目前都沒有辦法保障，“我的數據我做主！”淪為一個美好而空洞的口號。數據不在自己的手里，安全問題誰來保障？如何保障？如果數據泄露了應該由誰來負責？CDSP的出現讓雙方的癥結有了解決之道，引入CDSP，它會站在云服務商和云服務客戶之外的第三方立場，以第三方視角，真正從數據層入手，保障SaaS企業和云上用戶的云上數據使用的安全性。

等保2.0關于數據保密性的相關條款中指出：應支持云服務客戶部署密鑰管理解決方案，確保云服務客戶自行實現數據的加解密過程。

云上用戶的核心數據資產加密之后，密鑰的管理問題是個難題，因為沒辦法保證云服務商沒有密鑰。所以要實現云上用戶自行管理自己的密鑰，必須由第三方安全產品部署在云服務當中，以鏡像或者SaaS方式提供數據安全防護服務，讓自己的鑰匙自己拿。

CDSP（cloud data security provider）是助力企業上云，幫助云服務客戶應對等保2.0合規要求，驅動Saas企業業務增長的有力技術伙伴。