GxP欧盟附录11标准合规包 - 配置审计

本文为您介绍GxP欧盟附录11标准合规包的业务背景、应用场景，以及合规包中的默认规则。

业务背景

GxP欧盟附录11（GxP EU Annex 11）是欧盟对于计算机化系统使用的规范性要求，主要针对在制药、生物技术和医疗器械领域中使用计算机化系统的企业和组织。他要求涵盖了计算机化系统的开发、验证、操作、维护和监测等方面，以确保这些系统符合相关法规和标准，用于生产、控制和保证产品质量和可靠性。Annex 11是GMP（Good Manufacturing Practice）的一部分，作为药品生产过程中的重要指导标准之一，被广泛应用于欧洲及全球制药和生物技术领域。

GxP欧盟附录11标准合规包基于GxP欧盟附录11对账号数据保护的基线标准，从云上资源使用和管控方面提供部分建议的合规性检测。

关于GxP欧盟附录11合规标准的更多信息，请参见GxP EU Annex 11。

应用场景

GxP欧盟附录11标准合规包应用于制药、生物技术和医疗器械领域中使用计算机化系统的企业和组织。

默认规则

说明

合规包模板为您提供通用的合规性框架，帮助您快速创建符合目标场景的合规包。规则的“合规”仅指资源符合规则定义本身的合规性描述，不确保符合特定法规或行业标准的所有要求。

规则名称	规则描述	建议项编号	建议项说明
操作审计开启全量日志跟踪	操作审计中存在开启状态的跟踪，且跟踪全部地域和全部事件类型，视为“合规”。	1.1	风险管理应贯穿计算机化系统的整个生命周期，同时考虑到患者安全、数据完整性和产品质量。作为风险管理系统的一部分，关于验证范围和数据完整性控制的决定应基于对计算机化系统的合理和有据可查的风险评估。
		4.2	验证文档应包括变更控制记录（如果适用）和关于验证过程中观察到的任何偏差的报告。
		9.1	应考虑在风险评估的基础上，在系统中建立所有与GMP相关的变更和删除的记录（系统生成的 “审计线索”）。要更改或删除GMP相关数据，应记录原因。审计线索必须可用，可转换为一般易懂的形式，并定期进行审查。
		11.1	应定期评估计算机化系统，以确认它们保持有效状态并符合GMP。此类评估应酌情包括当前的功能范围、偏差记录、事件、问题、升级历史记录、性能、可靠性、安全性和验证状态报告。
		12.3	应记录访问授权的创建、更改和取消。
		12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
		13.1	应报告和评估所有事件，而不仅仅是系统故障和数据错误。应确定重大事件的根本原因，并应成为纠正和预防行动的基础。
使用云安全中心企业版	使用云安全中心企业版或者更高级别的版本，视为“合规”。	1.1	风险管理应贯穿计算机化系统的整个生命周期，同时考虑到患者安全、数据完整性和产品质量。作为风险管理系统的一部分，关于验证范围和数据完整性控制的决定应基于对计算机化系统的合理和有据可查的风险评估。
		11.1	应定期评估计算机化系统，以确认它们保持有效状态并符合GMP。此类评估应酌情包括当前的功能范围、偏差记录、事件、问题、升级历史记录、性能、可靠性、安全性和验证状态报告。
		13.1	应报告和评估所有事件，而不仅仅是系统故障和数据错误。应确定重大事件的根本原因，并应成为纠正和预防行动的基础。
运行中的ECS实例开启云安全中心防护	运行中的ECS实例开启云安全中心防护，视为“合规”。	4.3	应提供所有相关系统及其GMP功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流和与其他系统或进程的接口、任何硬件和软件先决条件以及安全措施。
运行中的ECS实例无待修复漏洞	ECS实例在云安全中心无指定类型和指定等级的待修复漏洞，视为“合规”。	4.3	应提供所有相关系统及其GMP功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流和与其他系统或进程的接口、任何硬件和软件先决条件以及安全措施。
ECS实例状态不是已停止状态	ECS实例状态为运行中，视为“合规”。	4.3	应提供所有相关系统及其GMP功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流和与其他系统或进程的接口、任何硬件和软件先决条件以及安全措施。
检测闲置弹性公网IP	弹性公网IP均已绑定到ECS实例或NAT网关实例，视为“合规”。	4.3	应提供所有相关系统及其GMP功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流和与其他系统或进程的接口、任何硬件和软件先决条件以及安全措施。
检查闲置安全组	安全组绑定的ECS实例数量大于0，视为“合规”。	4.3	应提供所有相关系统及其GMP功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流和与其他系统或进程的接口、任何硬件和软件先决条件以及安全措施。
RDS实例开启日志备份	RDS实例开始日志备份，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
PolarDB集群日志备份保留周期满足指定要求	PolarDB集群日志备份保留周期大于等于指定天数，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
Redis实例开启增量备份	Redis实例开启增量备份，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
Elasticsearch实例开启自动备份	Elasticsearch实例开启了自动备份，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
ADB集群开启日志备份	ADB集群开启日志备份，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
MongoDB实例打开日志备份	MongoDB实例开启日志备份，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
为NAS文件系统创建备份计划	为NAS文件系统创建备份计划，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
ECS磁盘设置自动快照策略	ECS磁盘已设置自动快照策略，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
OceanBase集群开启数据库备份	OceanBase集群开启数据库备份，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
OSS存储空间开启版本控制	OSS存储空间开启版本控制，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
OSS存储空间开启同城冗余存储	OSS存储空间开启同城冗余存储，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
		5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
		7.2	应定期备份所有相关数据。应在验证期间检查备份数据的完整性和准确性以及恢复数据的能力，并定期进行监控。
		16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
		17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
DTS同步任务源库和目标库使用SSL安全链接	DTS实例下同步任务源库和目标库均使用SSL安全链接，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
DTS同步任务源库和目标库使用SSL安全链接	DTS实例下同步任务源库和目标库均使用SSL安全链接，视为“合规”。	5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
DTS迁移任务源库和目标库使用SSL安全链接	DTS实例下迁移任务源库和目标库均使用SSL安全链接，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
DTS迁移任务源库和目标库使用SSL安全链接	DTS实例下迁移任务源库和目标库均使用SSL安全链接，视为“合规”。	5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
CDN域名开启TLS13版本检测	检测CDN域名是否启用TLS 1.3版本，启用视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
CDN域名开启TLS13版本检测	检测CDN域名是否启用TLS 1.3版本，启用视为“合规”。	5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
Elasticsearch实例使用HTTPS传输协议	Elasticsearch实例使用HTTPS传输协议，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
函数计算函数绑定到自定义域名且开启TLS指定版本	函数计算中函数绑定的自定义域名能够访问公网且开启TLS指定版本，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
函数计算函数绑定到自定义域名且开启TLS指定版本	函数计算中函数绑定的自定义域名能够访问公网且开启TLS指定版本，视为“合规”。	5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
PolarDB集群设置SSL加密	PolarDB集群已设置SSL加密，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
PolarDB集群设置SSL加密	PolarDB集群已设置SSL加密，视为“合规”。	5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
Redis实例设置SSL加密	Redis实例已设置SSL加密，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
Redis实例设置SSL加密	Redis实例已设置SSL加密，视为“合规”。	5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
API网关中开启公网访问的API请求方式为HTTPS	API网关中开启公网访问的API请求方式设置为HTTPS，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
API网关中开启公网访问的API请求方式为HTTPS	API网关中开启公网访问的API请求方式设置为HTTPS，视为“合规”。	5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
RDS实例使用SSL证书	RDS实例已使用SSL证书，视为“合规”。	4.8	如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的价值和含义是否没有改变。
RDS实例使用SSL证书	RDS实例已使用SSL证书，视为“合规”。	5.1	以电子方式与其他系统交换数据的计算机化系统应包括适当的内置检查，以确保数据的正确和安全输入和处理，以最大限度地减少风险。
使用中的ECS数据磁盘开启加密	使用中的ECS数据磁盘已开启加密，视为“合规”。	7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
使用中的ECS数据磁盘开启加密	使用中的ECS数据磁盘已开启加密，视为“合规”。	17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
RDS实例开启TDE加密	RDS实例已开启TDE加密，视为“合规”。	7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
RDS实例开启TDE加密	RDS实例已开启TDE加密，视为“合规”。	17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
VPN连接使用的加密算法不为None	VPN连接使用的加密算法不为None，视为“合规”。	7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
Elasticsearch实例数据节点开启云盘加密	Elasticsearch实例数据节点开启云盘加密，视为“合规”。	7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
Elasticsearch实例数据节点开启云盘加密	Elasticsearch实例数据节点开启云盘加密，视为“合规”。	17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
PolarDB集群开启TDE	PolarDB集群开启TDE加密，视为“合规”。	7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
PolarDB集群开启TDE	PolarDB集群开启TDE加密，视为“合规”。	17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
Redis实例使用自定义密钥开启TDE加密	Redis实例使用自定义密钥开启TDE加密，视为”合规“。	7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
Redis实例使用自定义密钥开启TDE加密	Redis实例使用自定义密钥开启TDE加密，视为”合规“。	17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
日志服务日志库设置数据加密	日志服务中的日志库设置了数据加密，视为“合规”。	7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
日志服务日志库设置数据加密	日志服务中的日志库设置了数据加密，视为“合规”。	17.1	数据可以存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统进行相关更改（例如计算机设备或程序），则应确保和测试检索数据的能力。
RDS实例开启删除保护	RDS实例开启删除保护，视为“合规”。	7.1	应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内访问数据。
PolarDB集群开启删除保护	PolarDB集群开启删除保护，视为“合规”。	10.1	对计算机化系统的任何更改，包括系统配置，都只能按照规定的程序以受控的方式进行。
PolarDB集群开启删除保护	PolarDB集群开启删除保护，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
ECS实例开启释放保护	ECS实例开启释放保护，视为“合规”。	10.1	对计算机化系统的任何更改，包括系统配置，都只能按照规定的程序以受控的方式进行。
ECS实例开启释放保护	ECS实例开启释放保护，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
HBase集群开启删除保护	HBase集群开启删除保护，视为“合规”。	10.1	对计算机化系统的任何更改，包括系统配置，都只能按照规定的程序以受控的方式进行。
HBase集群开启删除保护	HBase集群开启删除保护，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
MongoDB实例开启释放保护	MongoDB实例开启释放保护，视为“合规”。	10.1	对计算机化系统的任何更改，包括系统配置，都只能按照规定的程序以受控的方式进行。
MongoDB实例开启释放保护	MongoDB实例开启释放保护，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
Redis实例开启释放保护	Redis实例开启释放保护，视为“合规”。	10.1	对计算机化系统的任何更改，包括系统配置，都只能按照规定的程序以受控的方式进行。
Redis实例开启释放保护	Redis实例开启释放保护，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
SLB实例开启释放保护	SLB实例开启释放保护，视为“合规”。	10.1	对计算机化系统的任何更改，包括系统配置，都只能按照规定的程序以受控的方式进行。
SLB实例开启释放保护	SLB实例开启释放保护，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
运行中的ECS实例安装了云监控插件	运行中的ECS实例已安装云监控插件，视为“合规”。	11.1	应定期评估计算机化系统，以确认它们保持有效状态并符合GMP。此类评估应酌情包括当前的功能范围、偏差记录、事件、问题、升级历史记录、性能、可靠性、安全性和验证状态报告。
运行中的ECS实例安装了云监控插件	运行中的ECS实例已安装云监控插件，视为“合规”。	13.1	应报告和评估所有事件，而不仅仅是系统故障和数据错误。应确定重大事件的根本原因，并应成为纠正和预防行动的基础。
RDS实例开启历史事件	RDS实例开启历史事件日志，视为“合规”。	11.1	应定期评估计算机化系统，以确认它们保持有效状态并符合GMP。此类评估应酌情包括当前的功能范围、偏差记录、事件、问题、升级历史记录、性能、可靠性、安全性和验证状态报告。
RDS实例开启历史事件	RDS实例开启历史事件日志，视为“合规”。	12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
阿里云账号开启MFA	阿里云账号开启多因素认证MFA（Multi-factor authentication），视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
RAM用户开启MFA	RAM用户开启多因素认证MFA（Multi-factor authentication），视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
OSS存储空间ACL禁止公共读写	OSS存储空间的ACL策略为私有，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
OSS存储空间不能为匿名账号授予任何权限	OSS存储空间授权策略中未授予匿名账号任何读写权限，视为“合规”；OSS存储空间未设置任何授权策略，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
ECS实例被授予实例RAM角色	ECS实例被授予了实例RAM角色，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
函数计算服务配置了服务角色	函数计算服务配置了服务角色，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
ACK集群启用RRSA功能	启用ACK集群的RRSA功能，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
RAM用户登录检查	RAM用户未同时开启控制台访问和OpenAPI调用访问，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
MSE集群开放公网访问且开启鉴权	MSE集群开放公网访问且开启鉴权或未开启公网访问，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
RAM用户不存在闲置AccessKey	RAM用户的AccessKey的最后使用时间与当前时间之差小于参数设置的时间，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
RAM用户密码策略符合要求	RAM用户密码策略中各项配置均满足您设置的参数值，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
RAM用户在指定时间内有登录行为	RAM用户在最近90天有登录行为，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
RAM用户的AccessKey在指定时间内轮换	RAM用户的AccessKey的创建时间距离检查时间不超过指定天数，视为“合规”。	12.1	应采取物理和/或逻辑控制措施，限制授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人密码、生物识别、限制进入计算机设备和数据存储区。
Redis实例开启审计日志	Redis实例开启审计日志，视为“合规”。	12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
MongoDB集群开启审计日志	MongoDB实例开启审计日志，视为“合规”。	12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
OSS存储空间开启日志存储	OSS存储空间的日志管理中开启日志存储，视为“合规”。	12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
WAF实例开启日志采集	已接入WAF进行防护的域名均已开启日志采集，视为“合规”。	12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
RDS实例SQL审计日志保留天数满足指定要求	RDS MySQL类型实例开启SQL审计，且日志保留天数大于等于指定值，视为“合规”。	12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
ADB集群开启SQL审计日志	ADB集群开启SQL审计日志，视为“合规”。	12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
SLB实例开启访问日志	SLB传统型负载均衡实例开启访问日志，视为“合规”。	12.4	应设计数据和文件管理系统，以记录输入、更改、确认或删除数据（包括日期和时间）的操作者的身份。
使用多可用区的RDS实例	RDS实例支持多个可用区，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
Redis实例为多可用区实例	Redis实例为多可用区实例，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
使用多可用区的SLB实例	SLB实例是多可用区实例，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
使用多可用区的ALB实例	ALB实例为多可用区实例，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
使用多可用区MongoDB实例	使用多可用区的MongoDB实例，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
弹性伸缩组关联至少两个交换机	弹性伸缩组关联至少两个交换机，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
为终端节点服务配置多个可用区	终端节点服务配置多个可用区，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
为PolarDB集群开启热备集群	PolarDB集群开启存储热备集群，数据分布在多个可用区，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
SLB负载均衡的虚拟服务器组添加多个可用区资源	SLB负载均衡的虚拟服务器组挂载资源分布在多个可用区，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。
ALB负载均衡服务器组添加多个可用区资源	ALB负载均衡的服务器组挂载资源分布在多个可用区，视为“合规”。	16.1	为了提供支持关键过程的计算机化系统，应作出规定，确保在系统出现故障（例如手动或替代系统）时继续为这些流程提供支持。采用替代安排所需的时间应视风险而定，并适合特定系统及其所支持的业务流程。应充分记录和测试这些安排。