云盒继承阿里公共云的安全可信保障和法律声明，在基础设施安全、数据安全、通信安全及合规性等方面提供全方位的安全保障。
安全可信保障
云盒可提供的安全可信保障如下：
| 安全可信保障 | 说明 |
|---|---|
| 访问控制 | 遵从最小授权原则，对用户账号实行严格管控。 |
| 数据安全 | 设备部署在用户自主可控的IDC机房。 |
| 安全审计 | 提供操作审计功能，云盒内部操作能够在控制台直观展示。 |
| 网络监控 | 云盒与公共云互联或与用户本地互联，都要经过用户的交换机，用户可在该交换机上设置白名单、ACL、防火墙等安全措施。 |
| 机柜加密 | 云盒的机柜在机房加锁封闭管理，不对外暴露，动环监控确保柜门打开后可第一时间通知到用户。 |
| 专线加密 | 提供基于阿里云智能接入网关SAG的方式接入阿里云，数据经过加密VPN传输，认证数据来源，防止重放攻击和数据篡改。 |
| 安全防护 | 借助阿里云的安全能力，对云盒进行安全防护。阿里云云安全中心提供一体机内实例基础信息（如桌面漏洞、病毒、攻击事件、主机资产等）的防护，并提供威胁分析和鉴定的能力。 |
安全认证及法律声明
阿里云安全认证及法律声明内容包括：
- 云盒是公共云的延伸，安全运维和数据隐私遵从阿里公共云的标准和流程，确保不触及用户的业务数据。
- 云盒已通过网络安全等级保护2.0的三级云计算安全评估。
- 数据隐私保护合规认证包括：ISO 27018、ISO 27710、ISO 29151、BS10012、HIPAA、PDPA、DPTM、PDPO等。
- 阿里云遵从欧盟数据保护条例GDPR（General Data Protection Regulation）要求。
- ISO认证：国际权威认证机构英国标准协会为云盒颁发的最新ISO证书，包含信息安全和隐私、质量和服务、业务连续性、云安全等多项认证。
阿里云法律声明及隐私权政策的更多内容，请参见法律声明及隐私权政策。
安全责任共担
云盒整体遵循阿里云公共云的安全责任共担模式，即阿里云负责云盒基础设施的安全，用户负责云盒内运行程序的安全。不同的是，由于云盒部署在用户本地IDC内，使用云盒时，用户还需要对云盒所在物理环境和相关基础设施的安全负责，并确保云盒与阿里云公共云的网络连接可用。
具体责任划分如下：
- 阿里云
- 云盒基础设施安全
- 云盒内数据安全
- 云平台安全性和稳定性
- 用户
- 本地IDC环境安全
- 云盒物理安全
- 云盒物理访问权限控制
- 云盒内运行程序安全
- 云盒网络连接可用性
- 共同
- 用户需提供阿里云现场工勘条件
- 用户运维团队对接阿里云现场安装验收
- 用户IDC对接阿里云现场硬件替换
- 用户运维团队对接阿里云专线连通性测试