《阿里云安全策略解读》由会员分享，可在线阅读，更多相关《阿里云安全策略解读（16页珍藏版）》请在金锄头文库上搜索。
1、阿里云安全白皮书阿里云安全白皮书 V1.0V1.0前言.3 概览.3 阿里云安全策略解读 .3 组织安全.4 合规安全.5 数据安全.6 访问控制.8 人员安全.9 物理和环境安全.9 基础安全.11 系统和软件开发及维护 .14 灾难恢复及业务连续性 .16 总结.16前言前言阿里云以打造互联网数据分享第一平台为使命，借助自主创新的大规模分 布式存储和计算等核心云计算技术，为各行业、小企业、个人和开发者提供云 计算（包括云服务器、开放存储服务、关系型数据库、开放数据处理服务、开 放结构化数据服务、云盾、云监控等其他产品）产品及服务，这种随时、随地、 随需的高效云产品和服务同时具备安全方面的优
2、势。阿里云提供这些云产品及服务的方式来自于阿里巴巴集团在电子商务行业 的多年浸渍，而安全则是阿里云的首要和关键组件。本白皮书将介绍阿里云在 云安全方面的方法，具体涵盖安全策略、组织安全、合规安全、数据安全、访 问控制、人员安全、物理安全、基础设施安全、系统和软件开发及维护、灾难 恢复及业务连续性十个方面的主题。在本文里面所描述的策略、流程和技术将 以出版时为准。随着时间的推移，部分细节将随着产品和服务的创新而改变。概览概览阿里云遵循“生产数据不出生产集群”的安全策略，覆盖从数据存储、数 据访问、数据传输到数据销毁等多个环节的数据安全控制要求，这些控制要求 包含以下十个方面：（1） 阿里云安全策
3、略解读； （2） 组织安全； （3） 合规安全； （4） 数据安全； （5） 访问控制； （6） 人员安全； （7） 物理安全； （8） 基础安全； （9） 系统和软件开发及维护； （10） 灾难恢复及业务连续性阿里云安全策略解读阿里云安全策略解读“生产数据不出生产集群”-阿里云基于阿里巴巴集团十多年信息安 全风险管控经验，以保护数据的保密性、完整性、可用性为目标，制定防范数 据泄露、篡改、丢失等安全威胁的控制要求，根据不同类别数据的安全级别 （例如：生产数据是指安全级别最高的数据类型，其类别主要包括用户数据、 业务数据、系统数据等），设计、执行、复查、改进各项云计算环境下的安全 管理和技术控
4、制措施。组织安全组织安全阿里云安全团队由信息安全、安全审计、物理安全 3 个团队组成，阿里云 通过这些团队高效、协同的工作来给广大用户、中小网站站长和开发者打造安 全的云计算环境。2.1 信息安全团队阿里云全职信息安全团队由超过 50 名的 WEB 应用安全、系统和网络安全、 安全开发专家组成。这个团队负责设计、开发和运营基于阿里云云计算环境的 云安全服务（云盾）；防御各类对阿里云服务、系统和网络的安全攻击及入侵； 制定和监督云服务的安全开发流程。同时作为阿里云信息安全管理体系所有者 代表方在安全策略和流程方面的设计、归档和执行中扮演重要角色。（1） 设计、开发和运营采用云计算架构和技术的云安
5、全服务（云盾），对使 用阿里云云服务的各类网站和应用，提供全自动防攻击和入侵的安全服 务，例如防 DDoS、防入侵、以及网站安全检测； （2） 依据不同数据类别及其安全等级设计访问控制策略，制定技术隔离措施 和访问控制管理流程； （3） 依据代码、应用、系统、网络访问流程，审核访问申请，自动化监控可 疑活动（例如：数据的非授权访问及修改）并实时审计；定期复查其执 行情况； （4） 制定安全开发流程，并依据数据安全级别界定所有云服务的各环节安全 开发要求，通过配置管理系统保证各开发环节遵循其对应的安全要求， 并在上线前完成安全加固、通过安全审核； （5） 借助自动化运行在阿里云网络内部和外部的漏
6、洞扫描程序，及时发现问 题区域，并在预期的时间表内整治安全漏洞。 （6） 遵循信息安全事件管理标准要求，依据对数据安全性的危害程度定义安 全事件类别和响应流程，采用全天候系统和人工监控识别、分析和处理 信息安全事件； （7） 基于预防和纠正云安全威胁根本成因来制定所有安全策略和控制措施； （8） 采用不断演练的方式评估安全策略和控制措施的适用性，并及时更新； （9） 遵照阿里云安全策略，为员工开发和提供培训课程，包括个人信息保护、 数据安全认证和安全开发领域； （10） 通过第三方安全论坛接受外部安全专家的安全评估和建议；信息安全团队也积极参与阿里云之外的安全团体工作：（1） 举办和参与学术峰
7、会（例如：阿里云开发者大会、云安全国际联盟亚太 和中国区峰会）； （2） 参与云安全国际标准的试点工作（例如：由英国标准协会和云安全国际 联盟推出的 OCF 认证框架）； （3） 面向广大互联网门户网站、安全厂商、浏览器共享基础安全防护信息 （例如：以下厂商使用云盾的反钓鱼技术提升自身钓鱼侦测能力。腾讯、新浪、奇虎 360、金山、趋势科技、遨游、微软（IE）、谷歌 （Chrome）、苹果（Safari）、firefox、搜狗）； （4） 与顶尖高校合作开发云安全技术(例如清华、南大等)；2.2 安全审计团队安全审计团队是阿里云另外的一个全职安全团队，阿里云维护多个国际、 国内安全体系及标准的有
8、效性，通过审核和审计以满足合规性要求，如 GB/T 22080-2008/ISO/IEC 27001:2005、信息系统安全等级保护基本要求、 OCF。2.3 物理安全团队物理安全团队是设立在杭州，面向全国的一个员工团队，致力于保护阿里 云遍布全国的数据中心物理安全及云计算业务基础设施的高安全性。合规安全合规安全3.1 第三方认证：ISO27001：阿里云已取得 ISO27001 国际认证，我们的信息安全管理体系 （ISMS）涵盖云计算基础设施、数据中心和云服务，包括弹性计算、RDS（关系 型数据库服务）、ODPS（开放数据处理服务）、OSS（开放存储服务）、 OTS（开放结构化数据服务）、云
9、盾（云安全服务）以及云监控服务。ISO 27001 是一项被广泛采用的全球安全标准，采用以风险管理为核心的方法来管 理公司和客户信息，并通过定期评估风险和控制措施的有效性来保证体系的持 续运行。为了获得认证，公司必须表明它有一个系统的和持续的方法来管理信 息安全风险，保障公司及客户信息的保密性，完整性和可用性。该认证的取得 不但验证了阿里云云端技术框架、内部管理矩阵同国际信息安全最佳实践的符 合性，同时也是对阿里云云产品和服务从设计到交付的透明度、云安全服务的 自动化运营服务模式的肯定。OCF：阿里云已经成功通过了以 ISO27001 认证为基础的云安全评估，并且 获得了全球第一张 ISO27
10、001 以及云安全“金牌”证书。资质范围涵盖云计算基 础设施、数据中心和云服务，包括弹性计算、RDS（关系型数据库）、ODPS（开 放数据处理服务）、云盾（云安全服务）、OSS（开放存储服务）、OTS（开放 结构化数据服务）及云监控。OCF 是以 ISO/IEC 27001 认证为基础，结合 CCM 的要求，运用 bsi 提供的成熟度模型和评估方法，为提供和使用云计算的任何 组织，从沟通和利益相关者的参与 ，政策、计划和程序等系统性方法，技术和 知识，所有权、领导和管理，监督和测量等 5 个维度，分别评估 CCM 中的各控 制域与控制措施的能力和水平，给与 0-15 的分数评分结果，通过综合判定，最 终给出“没有奖牌-铜牌-银牌-金牌”四个级别的奖励。成熟度能力模型提供了 云安全控制措施绩效水平的证据，帮助提供和云计算的企业设定绩效基准，并且跟踪逐年的改善情况；并确保满足 CCM 不会成为最低要求，通过成熟度模型 显示了最好的安全要求和控制水平。信息安全等级保护：阿里云已通过信息安全等级保护测评，测评涵盖弹性 计算、OSS（开放存储服务）、基础网络、云搜索、云地图、云邮箱、云广告、 云盾。信息安全等级保护是指对国家安全、法人和其他组织及公民的专有信息 以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护， 对信息系统
