云安全审计

《云安全审计》由会员分享，可在线阅读，更多相关《云安全审计（29页珍藏版）》请在金锄头文库上搜索。

1、云安全审计云计算作为一种新兴的计算资源利用方式逐渐被各 行业所接受和部署。采用了云计算技术的信息系统，称 为云计算平台（系统）。云计算平台由设施、硬件、资 源抽象控制层、虚拟化计算资源、软件平台和应用软件 等组成。软件即服务（SaaS）、平台即服务（ Pa a S ）、基础设施即服务（ Ia a S ）是三种基本的云 计算服务模式。在不同的服务模式中，云服务商和云服 务客户对计算资源拥有不同的控制范围，控制范围则决 定了安全责任的边界。由于云服务平台建设的复杂性以及传统信息系统安 全和云计算自身技术特点所引发的新的信息安全和风 险，与传统信息系统安全审计相比 ,对于云服务平台的 安全审计有其自

2、身的特点。本节将从云服务规划与需求 分析、供应商选择与合同签署、云服务平台开发测试与 交付、云计算平台的安全管理、云计算平台的迁移与部 署、云计算平台的安全运维、云计算服务关闭与数据迁 移等方面对云安全审计的方法与步骤进行描述。一、云服务规划与需求分析审计一）业务概述在规划与需求分析阶段 ,组织应根据自身的经营战略 与规划，通过对组织资产、云服务平台功能性、非功能 性和安全性等四个方面的需求分析，以及云服务的效益 评估,综合评判部署云计算服务平台的合理性及其建设 模式，并最终形成决策报告。（二）审计目标和内容1. 云服务综合评估该控制项旨在检查组织在部署云计算服务平台前， 是否综合评估采用云计

3、算服务后获得的效益（经济效益 和社会效益）、可能面临的信息安全风险、可以采取的 安全措施后做出决策，从而判断组织是否可在其可承 受、容忍的风险范围内 ,或在当安全风险引发信息安全 事件时有适当的控制或补救措施而采用云计算服务。2. 决策建议与审批该控制项旨在检查组织在部署云服务平台时，是否 在基于服务综合评估的基础之上，对其进行综合分析形 成采用云计算服务的决策报告 ,并经本单位最高领导批 准，从而成为指导采用云计算服务的重要依据。（三）常见问题和风险1. 云平台规划与建设时未充分考虑部署模式、服务 模式对于经济效益、功能性需求、现有资源利用、现有 流程的影响，导致项目建设与预期差距较大，经济

4、效益 较差。2. 云平台规划与建设时未充分考虑数据安全和整体 安全防护，导致云平台安全管控能力不足，容易造成数 据泄露或安全风险。3. 云平台建设缺乏严格的审批程度，导致需求模 糊、边界不清晰、性能不满足预期要求，严重影响云平 台的交付和使用。（四）审计的主要方法和程序1. 云服务综合评估（1）查阅组织项目建设的相关制度规范，了解涉及 科技项目建设的评价指标和流程。（2）检查组织是否对业务进行识别并进行优先级划 分，并访谈关键业务部门负责人，了解关键业务特点、 资源需求、时延、连续性以及安全保护的要求。（3）访谈信息科技建设负责人，了解组织在规划建 设云服务平台项目时是否基于部署模式（公有云、

5、私有 云和混合云）、服务模式（ IaaS 、PaaS 、SaaS ）对经 济效益、功能性需求、非功能性需求、安全需求、现有 资源利用/需求情况、现有信息系统管理流程是否受到 影响等方面进行综合评估，以及评估、审批的流程，参 与人员，并调阅项目建设的立项文档，从而判断效益评 估的合理性、科学性以及合规性，其中，效益评估应至 少包括建设成本、运维成本、人力成本、创新性以及对 业务性能和质量带来的优势。（4）检查组织与数据管理相关的规章制度，了解组 织是否明确数据类型，并查看数据存放的位置，从而判 断云平台数据是否涉及敏感信息以及数据存储的合规 性。（5）访谈云服务平台负责人，了解现有的云部署模 式

6、和服务模式，并询问其对在该模式下的安全风险和平 台运营者所应承担的安全责任知晓情况及其采取的常规 安全防护措施、平台可移植和互操作性，从而判断现有 云服务平台对业务的安全风险承受能力。（6）检查组织是否对其资产进行识别和归属分析， 从而明确其部署的软件所有权 /使用权，数据资产的归 属权。2. 决策建议与审批（1）查阅云计算服务平台建设项目的决策报告，检 查是否包括：背景描述，描述拟采用云计算服务的信息 和业务；效益分析，从场地、人员、设备、软件、运行 管理、维护升级、能耗等方面 , 对采用本地应用与云计 算服务所需费用进行综合分析；云计算服务模式、部署 模式选择，从而明确客户与云服务商的安全

7、措施、实施 边界和管理边界；数据和业务部署到云计算环境后可能 遇到的功能需求分析，不同模式下的资源需求分析，数 据的备份与数据的传输方式和网络带宽要求等；拟部署 到云服务平台中数据或系统的可用性、可靠性、恢复能 力、事务响应时间、吞吐率等指标；基于对拟部署到云 计算平台的信息和业务的安全能力要求；将业务系统迁 移到云计算平台后 ,为确保业务连续性进行的部署方案 ; 退出云计算服务或变更云服务商的初步方案；对客户相 关人员进行安全意识、技术和管理培训的方案；本单位 负责采用云计算服务的领导、工作机构及其责任；采购 和使用云计算服务过程中应该考虑的其他重要事项。（2）检查决策报告是否经过业务部门及

8、管理层或专 家团队的评审，以及审批流程是否完整；若存在改进建 议是否及时完善从而有效控制风险。二、供应商选择与合同签署审计（一）业务概述在服务商选择与合同部署阶段 , 客户应根据上阶段 所提的需求和决策报告，从服务能力、服务风险和服 务费用等三个方面评估云服务商的服务能力 , 选择并 与其协商和签署服务合同 （包括服务水平协议、安全需 求、保密要求等内容 ），从而完成云服务平台的开发、 建设、测试以及数据和业务向云计算平台的迁移与部 署。（二）审计目标和内容1. 云服务安全风险评估该控制项旨在重点检查组织是否从数据安全与存储 合规角度，结合自身对部署云服务平台后可能产生风 险的容忍度和处置能力

9、进行评估，并作为云服务商选 择和评估的参考依据。2. 服务安全能力评估 该控制项旨在检查组织在选择第三方云服务平台 时，是否对其基本的服务安全能力进行评估。3. 云安全控制措施责任的识别该控制项旨在检查组织是否基于所选择的云服务部 署模式，明确与服务提供方的责任。4. 云服务合同及保密协议签署该控制项旨在检查组织在选择第三方云服务商时， 是否与其签署服务合同，并检查其内容是否包含明确 的服务水平协议、安全需求、保密要求等关键内容， 从而保障组织的权益。（三）常见问题和风险1.组织没有对云环境下其数据所有权的保障能力进 行风险评估的风险。2.组织没有根据采用的服务模式（ IaaS 、PaaS S

10、aaS），明确云服务提供商与自身所承担安全责任的 风险，以及没有能力采取相应的控制措施所产生的风 险。3. 组织所选择的云服务商自身安全风险管控体系不 完善，自身的安全评估不足，导致存在较大风险隐 患。4. 云服务商第三方机构审计不到位，无法对云服务 商的风险进行识别与监督。5. 云服务商安全与应急响应机制不健全，导致发生 安全事件无法及时进行处置。（四）审计的主要方法和程序1.云服务安全风险评估（1）检查云服务平台存储的生产经营数据是否属 于国家规定的重要数据范畴，从而判断组织是否存在 可能的数据管辖风险。（数据管辖风险）（2）检查组织是否对其数据所有权的保障能力进 行风险评估。（数据所有权

11、保障风险）（3）检查组织所部署的云服务平台是否提供或具 有有效的机制、标准或工具来验证所删除的数据可否 完全删除，以防止其退出云计算服务后组织数据仍然 可能完整保存或残留在云计算平台上。（数据残留风 险评估）（4）评估是否存在单一云服务供应商的风险。 （供应商锁定的风险评估）2.服务安全能力评估（1）对云服务平台所处的机房物理与环境保护能 力进行检查或评估，确保云服务商机房位于中国境内 并符合国家标准规范，机房是否采取监控措施以确保 最低限度的人员物理接触。（物理安全，数据境内存 储）（2）检查云服务商或组织自身是否建立风险评估 体系和监控目标清单，从而确保在威胁环境发生变化 时，对云计算平台

12、定期进行风险评估 ,确保云计算平台 的安全风险处于可接受水平，并监控目标清单 ,对目标 进行持续安全监控，在发生异常和非授权情况时发出 警报。（风险管理，安全监控）（3）检查云服务商是否接受云租户以外的第三方 运行监管，并定期开展云安全审计，并向组织或社会 定期公布安全审计报告。（第三方安全监管，云安全 审计）（4）检查云服务商是否建立针对云计算平台设施 和软件维护所使用有效控制维护机制并具备相关能 力，包括制度、工具、技术、人员及能力。（云安全 监控）（5）检查云服务商是否提供通用的安全控制措 施，以及针对组织特定的应用需要及服务模式，提供 专用的安全控制措施，并制定每个应用或服务的安全 计

13、划。（通用安全控制措施，专用安全控制措施）（6）检查云服务商是否提供开放接口或开放性安 全服务，允许组织接入第三方安全产品或在云平台选 择第三方安全服务，支持异构方式对云租户的网络、 主机、应用、数据层的安全措施进行实施。（第三方 安全产品接入）（7）检查云服务商的云服务平台是否通过安全测 试及国家等级保护认证，以及其供应商通过安全测 评，从而对其安全措施的有效性进行验证和评估，并 检查相关资质证书和安全检测报告，必要时须向组织 提交供应商清单。（安全测试评估，等保安全测评， 产品及服务安全检查）（8）检查云服务商是否为云计算平台制定应急响 应计划并具备容灾恢复能力 , 建立必要的备份与恢复

14、设施和机制应急响应与灾备。（应急管理与应急处 置）（9）检查云服务商的对外沟通渠道与方式，从而 确保其具备在发生供应链安全事件信息、威胁信息、 重大或紧急变更时能及时传递给组织。（应急沟通）3. 云安全控制措施责任的识别检查在公有云环境下，组织是否根据采用的服务模 式（IaaS、PaaS、SaaS），明确云服务提供商与自身 所承担的安全责任，以及是否有能力采取相应的控制措施，如通用安全控制措施、专用安全控制措施和混 合安全措施。（安全控制措施）4. 云服务合同及保密协议签署检查组织与云服务商是否签署服务合同，以及合同 内容中是否包括：双方的安全责任和义务；客户方就 云计算服务的安全功能要求、强

15、度要求、保障要求、 保密要求；云服务商应遵从的安全技术和管理标准； 服务级别协议（SLA）及具体的参数，并对涉及术语、 指标、管理范围、职责划分、访问授权、隐私保护、 行为准则进行确定；约定提供给云服务商的数据、设 备等资源 ,以及云计算平台上客户业务运行过程中收 集、产生、存储的数据和文档等都属客户所有 ,云服务 商应保证客户对这些资源的访问、利用、支配等；约 定利用云服务商平台或与云服务商合作开发创造出成 果（软件、信息和计算成果）的所有权、使用权等归 属问题；约定云服务商不得依据其他国家的法律和司 法要求将客户数据及相关信息提供给他国政府及组 织；未经客户授权 ,不得访问、修改、披露、利

16、用、转 让、销毁客户数据 ;在服务合同终止时 ,应将数据、文 档等归还给客户 ,并按要求彻底清除数据。如果客户有 明确的留存要求,应按要求留存客户数据；采取有效管 理和技术措施确保客户数据和业务系统的保密性、完 整性和可用性。提供客户有效的安全监管、服务质量 下降及应急处置的沟通渠道；约定当发生安全事件并 造成损失时对客户的经济赔偿；不以持有客户数据相 要挟,配合做好客户数据和业务的迁移或退出；发生纠 纷时,在双方约定期限内仍应保证客户数据安全；合同 终止的条件及合同终止后云服务商应履行的责任和义 务；若云计算平台中的业务系统与客户其他业务系统 之间需要数据交互 ,约定交互方式和接口 ;云计算服务 的计费方式、标准 ,客户的支付方式等；安全审计的支 持与报告。检查组织是否对可访问客户信息或掌握客户业务运 行信息的云服务商签订保密协