云计算服务安全能力要求

《云计算服务安全能力要求》由会员分享，可在线阅读，更多相关《云计算服务安全能力要求（49页珍藏版）》请在金锄头文库上搜索。

1、1 云计算服务安全能力要求 1 范围 本标准规定了以社会化方式提供云计算服务的服务商应满足的信息安全基本要求。 本标准适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务， 也适用于对云计算服 务进行安全审查。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。 凡是注日期的引用文件， 仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T XXXXX-XXXX 信息安全技术 云计算服务安全管理指南 GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 GB 50174-2008 电子信息系统机房设计

2、规范 GB/T 9361-2011 计算机场地安全要求 3 术语和定义 GB/T 25069-2010、GB/T XXXXX-XXXX确立的以及下列术语和定义适用于本标准。 3.1 云计算 cloud computing 云计算是一种通过网络便捷地访问海量计算资源（如网络、服务器、存储器、应用和服务）的模式， 使客户只需极少的管理工作或云服务商的配合即可实现计算资源的快速获得和释放。 3.2 云服务商 cloud service provider 为个人、组织提供云计算服务的企事业单位。云服务商管理、运营支撑云计算服务的计算基础设施 及软件，通过网络将云计算服务交付给客户。 3.3 客户 cl

3、oud consumer 使用云计算平台处理、存储数据和开展业务的组织。 3.4 第三方评估机构 third party assessment organization 独立于云服务商和客户的专业评估机构。 3.5 云基础设施 cloud infrastructure 云基础设施包括硬件资源层和资源抽象控制层。 硬件资源层包括所有的物理计算资源， 主要包括服 务器（CPU、内存等） 、存储组件（硬盘等） 、网络组件（路由器、防火墙、交换机、网络链接和接口等） 及其他物理计算基础元素。 资源抽象控制层由部署在硬件资源层之上， 对物理计算资源进行软件抽象的 系统组件构成，云服务商用这些组件提供和管

4、理物理硬件资源的访问。 3.6 云计算平台 cloud platform 由云服务商提供的， 包括向客户提供服务的云基础设施及其上的服务层软件， 即指提供云计算服务 的软硬件集合。 2 3.7 云计算环境 cloud environment 包括由云服务商提供的云基础设施，及客户在云基础设施之上部署的软件及相关组件的集合。 4 概述 4.1 云计算的安全责任 云计算服务的安全性由云服务商和客户共同保障。 在某些情况下， 云服务商还要依靠其他组织提供 计算资源和服务，其他组织也应承担信息安全责任。因此，云计算安全措施的实施主体有多个，各类主 体的安全责任因不同的云计算服务模式而异。 物理资源层物

5、理资源层云客户云提供商资源抽象和控制层资源抽象和控制层计算机、网络和存储等硬件SaaSPaaSIaaSIaaSPaaSSaaS控制范围IaaSPaaSSaaS控制范围服 务 层服 务 层图 4-1 云计算服务模式与控制范围的关系 软件即服务（SaaS） 、平台即服务（PaaS） 、基础设施即服务（IaaS）是3种基本的云计算服务模式。 如图4-1所示，在不同的服务模式中，云服务商和客户对计算资源拥有不同的控制范围，控制范围则决 定了安全责任的边界。云计算的物理资源层、资源抽象和控制层都处于云服务商的完全控制下，所有安 全责任由云服务商承担。服务层的安全责任责则由双方共同承担，越靠近底层（即Ia

6、aS）的云计算服务， 客户的管理和安全责任越大；反之，云服务商的管理和安全责任越大。 在SaaS中，云服务商需要承担物理资源层、资源抽象和控制层、操作系统、应用程序等的相关 责任。客户则需要承担自身数据安全、客户端安全等的相关责任； 在PaaS中，云服务商需要承担物理资源层、资源抽象和控制层、操作系统、开发平台等的相关 责任。客户则需要承担应用部署及管理，以及SaaS中客户应承担的相关责任； IaaS中，云服务商需要承担物理资源层、资源抽象和控制层等的相关责任，客户则需要承担操 作系统部署及管理，以及PaaS、SaaS中客户应承担的相关责任。 考虑到云服务商可能还需要其他组织提供的服务， 如S

7、aaS或PaaS服务提供商可能依赖于IaaS服务提 供商的基础资源服务。在这种情况下，一些安全措施由其他组织提供。 因此，云计算安全措施的实施责任有 4 类，如表 4-1 所示。 表 4-1 云计算安全措施的实施责任 责任 示例 云服务商承担 在 SaaS 模式中，云服务商对平台上安装的软件进行安全升级。 客户承担 在 IaaS 模式中，客户对其安装的应用中的用户行为进行审计。 云服务商和客户共同承担 云服务商的应急演练计划需要与客户的信息安全应急演练计划相协调。在实施应急演练时，需要客户与云服务商相互配合。 3 其他组织承担 有的 SaaS 服务提供商需要 IaaS 服务提供商的基础设施服务

8、， 相应的物理与环境保护措施应由 IasS服务提供商予以实施。 本标准不对客户承担的安全责任提出要求。客户应参照云计算服务安全指南及其他国家、行业 有关信息安全的标准规范落实其安全责任。 如云服务商依赖于其他组织提供的服务或产品， 则其所承担的信息安全责任直接或间接地转移至其 他组织，云服务商应以合同或其他方式对相应安全责任进行规定并予以落实。但是，云服务商仍是客户 监管的直接对象。 4.2 云计算安全措施的作用范围 在同一个云计算平台上，可能有多个应用系统，某些信息安全措施应作用于整个云计算平台，平台 上每个具体的应用系统直接继承该安全措施即可。 例如， 云服务商的人员安全措施即适用于云计算

9、平台 上每一个应用系统。这类安全措施称为通用安全措施。 某些安全措施则仅是针对特定的应用， 例如云计算平台上电子邮件系统的访问控制措施与字处理系 统的访问控制措施可能不同。这类安全措施称为专用安全措施。 在特殊情况下，某些安全措施的一部分属于通用安全措施，另一部分则属于专用安全措施，例如云 计算平台上电子邮件系统的应急响应计划既要利用云服务商的整体应急响应资源（如应急支援队伍） ， 也要针对电子邮件系统的备份与恢复作出专门考虑，这类安全措施称为混合安全措施。 云服务商申请为客户提供云计算服务时， 所申请的每一类云计算应用均应实现本标准规定的安全要 求， 并以通用安全措施、 专用安全措施或混合安

10、全措施的形式， 标明所采取的每项安全措施的作用范围。 4.3 安全要求的分类 本标准对云服务商提出了基本安全能力要求， 反映了云服务商在保障云计算平台上客户信息和业务 信息安全时应具有的基本能力。这些安全要求分为 10 类，每一类安全要求包含若干项具体要求。 10 类安全要求分别是： 系统开发与供应链安全： 云服务商应在开发云计算平台时对其提供充分保护， 为其配置足够的 资源，并充分考虑信息安全需求。云服务商确保其下级供应商采取了必要的安全措施。云服务商还应为 客户提供与安全措施有关的文档和信息，配合客户完成对信息系统和业务的管理。 系统与通信保护： 云服务商应在云计算平台的外部边界和内部关键

11、边界上监视、 控制和保护网 络通信，并采用结构化设计、软件开发技术和软件工程方法有效保护云计算平台的安全性。 访问控制： 云服务商应严格保护云计算平台的客户数据和用户隐私， 在授权信息系统用户及其 进程、设备（包括其他信息系统的设备）访问云计算平台之前，应对其进行身份标识及鉴别，并限制授 权用户可执行的操作和使用的功能。 配置管理： 云服务商应对云计算平台进行配置管理， 在系统生命周期内建立和维护云计算平台 （包括硬件、软件、文档等）的基线配置和详细清单，并设置和实现云计算平台中各类产品的安全配置 参数。 维护：云服务商应定期维护云计算平台设施和软件系统，并对维护所使用的工具、技术、机制 以及

12、维护人员进行有效的控制，且做好相关记录。 应急响应与灾备：云服务商应为云计算平台制定应急响应计划，并定期演练，确保在紧急情况 下重要信息资源的可用性。云服务商应建立事件处理计划，包括对事件的预防、检测、分析、控制、恢 复及用户响应活动等，对事件进行跟踪、记录并向相关人员报告。服务商应具备灾难恢复能力，建立必 要的备份设施，确保客户业务可持续。 审计：云服务商应根据安全需求和客户要求，制定可审计事件清单，明确审计记录内容，实施 审计并妥善保存审计记录，对审计记录进行定期分析和审查，还应防范对审计记录的未授权访问、篡改 和删除行为。 风险评估与持续监控： 云服务商应定期或在威胁环境发生变化时， 对

13、云计算平台进行风险评估， 确保云计算平台的安全风险处于可接受水平。服务商应制定监控目标清单，对目标进行持续安全监控， 并在异常和非授权情况发生时发出警报。 4 安全组织与人员：云服务商应确保能够接触客户信息或业务的各类人员（包括供应商人员）上 岗时具备履行其信息安全责任的素质和能力，在授予相关人员访问权限之前对其进行审查并定期复查， 在人员调动或离职时履行安全程序，对于违反信息安全规定的人员进行处罚。 物理与环境保护：云服务商应确保机房位于中国境内，机房选址、设计、供电、消防、温湿度 控制等符合相关标准的要求。 云服务商应对机房进行监控， 严格限制各类人员与运行中的云计算平台设 备进行物理接触

14、，确需接触的，需通过云服务商的明确授权。 4.4 安全要求的表述形式 本标准将云计算服务安全能力要求分为一般要求和增强要求。 组织应对拟迁移至云计算平台的信息 和业务系统进行分析，按照信息的敏感程度和业务的重要程度选择相应安全能力水平的云服务商。 GBXXXXX-XXXX云计算服务安全指南给出了数据、业务类型与安全保护要求之间的对应关系。 本标准中每一项安全要求均以一般要求和增强要求的形式给出。 增强要求是对一般要求的补充和强 化。在实现增强要求时，一般要求应首先得到满足。 有的安全要求只列出了增强要求，一般要求标为“无”。这表明具有一般安全能力的云服务商可以不 实现此项安全要求。 即使对同等

15、安全能力水平的云服务商，其实现安全要求的方式也可能会有差异。为此，本标准在描 述安全要求时引入了“赋值”和“选择”这两种变量，并以赋值：和选择：；的形式给出。 “赋值”表示云服务商在实现安全要求时，要由云服务商定义具体的数值或内容。“选择”表示云服务商在 实现安全要求时，应选择一个给定的数值或内容。 云服务商在向客户提供云计算服务前，应确定并实现“赋值”和“选择”的具体数值或内容。 “赋值”和“选择”示例如下： 云服务商应在赋值：云服务商定义的时间段赋值：云服务商定义的时间段后，自动选择：删除；禁用选择：删除；禁用临时和应急账号。 4.5 安全要求的调整 本标准提出的安全要求是通常情况下云服务

16、商应具备的基本安全能力。 在具体的应用场景下， 云服 务商有可能需要对这些安全要求进行调整。调整的方式有： 删减：未实现某项安全要求，或只实现了某项安全要求的一部分。 补充：某项基本安全要求不足以满足云服务商的特定安全目标，故增加新的安全要求，或对标 准中规定的某项安全要求进行强化。 替代：使用其他安全要求替代标准中规定的某项安全要求，以满足相同的安全目标。 调整的原因有多种，例如： 已知某些目标客户有特殊的需求。 云服务商的安全责任因 SaaS、PaaS 和 IaaS 这 3 种不同的云计算模式而不同，云服务商为了实 现本标准中规定的安全要求，所选择的安全措施的实施范围、实施强度可能不同。 出于成本等因素考虑，云服务商可能希望实现替代性的安全要求。 云服务商希望表现更强的安全能力，以便于吸引客户。 4.6 安全计划 为了建立向客户提供安全的云计算服