《模块3：管理与计算安全与风险》由会员分享，可在线阅读，更多相关《模块3：管理与计算安全与风险（72页珍藏版）》请在金锄头文库上搜索。
1、模块3：管理云计算安全和风险 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.2模块目标风险管理框架无框架的自组织风险管理监管合同人为因素计划和保障服务中断最小化保持对知识产权的控制在云中事件如何变化定义职责和义务 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.在一切开始之前关于管理、风险、法律、合规和审计等的讨论中，始终记住：服务商和客户之间的合同，是客户提供内部控制的唯一途径。若没有对合同进行充分的论证，客户内部控制程序的
2、成功是渺茫的。3合同服务商客户内部控制 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.协商合同条款4在许多（大多数）情况下，云服务提供商与客户间的合同并没有经过充分的协商，甚至没有讨论合同条款的过程。例如：使用由一个服务商完成的SaaS服务时，客户组织可能根本不了解合同的情况 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.风险和管理5 2012 Securosis LLC and Cloud Security Allianc
3、eAll Rights Reserved.关键概念什么是风险？遭受损失的可能性几个结论：风险管理是很困难的，管理变化是必要的，有效的控制设计是困难的风险管理要点企业风险管理、信息风险管理、第三方管理风险管理需要涵盖：身份、实现、监控通过合适的组织结构、规程和控制措施实现6 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.风险管理需要考虑的问题审计供应链：确保没有供应链带来的服务提供商的风险。董事会以及管理结构和过程：一个云管理程序必须适合于组织本身。企业责任与合规：考虑所在地的法律要求，以及立法之外的合规性需求
4、财务状况与信息披露：云服务提供商的真实价值和生存能力，也是在进行风险管理时需要考虑的问题所有权的结构与控制权实施的一致性7管理的工具8SSAE16/SAS70：针对金融服务机构向客户提供服务的内部控制、安全保障、审计监督措施的标准。 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.风险管理9 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.风险决策（CSA方式）10 2012 Securosis LLC and Cloud Se
5、curity AllianceAll Rights Reserved.从风险到安全企业风险管理与信息安全管理程序间的联系一定如下：11 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.结构化的考虑12为了节约成本，我们放弃了对资产的直接拥有权，由于不拥有资产，我们的控制能力会降低，将资金投入到提高监控能力上（或其他的技术或法规控制举措），以弥补控制能力的欠缺，找到节约和花费的平衡点，以确保满足尽职调查和管理责任的标准。权衡考虑13一个传统的内部控制系统有两类控制措施：基本控制：确保系统/进程按预期执行的主要方法
6、。 通常描述为：阻止/发现/补偿缓解控制：当你不能使用基本控制措施的情况下采用。 在云计算环境中，组织明确的放弃直接控制而必须依赖缓解控制。这要求控制措施设计者花更多的时间考虑如何进行有效的远程控制。在云的世界中内部控制措施只能是监控和影响。 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.风险评估14Value of Information信息价值Risk Assessment Effort风险评估努力信息的价值越高就应该在风险评估方面付出更多的努力 2012 Securosis LLC and Cloud
7、Security AllianceAll Rights Reserved.风险评估的一致性15Methodology方法论Methodology方法论为了拥有相当的风险管理态度，服务商和客户应该拥有对等的：成熟度：使用能力成熟度模型类的语言服务商是否比客户更加成熟或不成熟？一致性：是否更成熟的组织拥有一个更广泛的风险管理能力成熟度基础？它是否严重违反相关法律和监管的要求？充分性：风险管理能力的完整视图是否能够满足信息资产保护的最小需求？ 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.理想的状态16风险管理计划
8、应该作为云服务合同的附录。确保服务商在销售过程中的承诺有明确的记录，并确保客户对服务中哪些包含、哪些不包含有明确的理解。 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.宏观问题不仅要对服务商，也要对服务进行风险评估。大多服务商实际上提供多个服务，其中一部分可能满足了你的风险管理要求，但另一部分却不能满足。因此，服务商的质量不等同于服务的质量，需要对两方面都进行仔细的审查。如果服务商不能清晰定义风险的管理责任，客户需要仔细的评估补偿成本应确保管理层对云服务的风险有清晰的理解，并且残余风险在可接受程度。以容易被管
9、理层理解的方式记录风险（使用它们的语言和词典），记录全部已消除或未消除的问题。17 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.不同交付模式的对比18 交付模式决定了哪些信息可以被收集，以及谁对收集信息负责：SaaS：信息源访问最少，提供信息的责任全部由服务商承担，客户唯一的抓手就是合同。PaaS：可以允许也可以不允许信息源的访问，可以提供额外的技术接口将决策信息在服务商不参与的情况下直接提供给客户。IaaS：可以利用许多传统IT部门中的工具和技术。对于不在客户控制或视图范围内的部分，服务合同可以要求信息/
10、指标被透明的传递给客户。 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.评估供应商19 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.估供应商评20 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.评估频率21Consider CloudAudit and other CSA tools and programs.考虑CloudAudit以及
11、其它CSA工具和程序 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.Third-Party Management第三方管理22 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.精简版的云风险管理23帮助你进行云使用的早期风险决策，不能替代完整的风险评估 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.评估资产：两类资产24 2012 Secur
12、osis LLC and Cloud Security AllianceAll Rights Reserved.六个关键问题25 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.勾画数据流CustomerExternal26需要考虑和画出的因素：1.参与方：你、云服务商、你的客户、相关组织2.信息：在哪里存储，如何保护3.信息如何流动，如何保护4.监管和合规性要求 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.不可接受风险 v
13、s. 残留风险在分析之后，你已经有一份不可控风险的列表其中的部分风险可以通过调整你的潜在部署选项而改变部分风险可以通过提高控制措施的有效性而得以缓解采取所有上述措施之后仍然剩余的风险将是你需要作出的最后决策27 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.法律及合规性28 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.关键概念29 2012 Securosis LLC and Cloud Security Alliance
14、All Rights Reserved.Legal Issues法律问题30 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.信息管理法律责任31 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.功能性问题32 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.司法问题33 2012 Securosis LLC and Cloud Security
15、 AllianceAll Rights Reserved.位置与司法权34Where does the data reside at the time of service?服务提供时数据存放在哪里？Anonymity or variability of provider?服务商匿名和可变化？Anonymity or variability of location?位置匿名和可变化？ 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.例：美国法律规定（发现和保留）35 2012 Securosis LLC and
16、 Cloud Security AllianceAll Rights Reserved.美国法律规定（2）36 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.合同问题Contract lifecycle management合同生命周期管理Prepare for unexpected termination异常终止准备Ownership of and swift access to data (and logging / metadata)拥有并快速访问数据（以及日志/元数据）As well as tradi
17、tional outsourcing issues传统外包问题Security policy/ procedures安全策略/流程Incident management事件管理Vulnerability management漏洞管理Secure operations安全运营Employee quality员工质量Right to audit审计权利Treat Cloud as you would other third-party像对待其它第三方一样对待云 37 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.
18、Compliance合规性38 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.Regulatory监管者39 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.Privacy Considerations隐私考虑40 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.Audit审计41 2012 Securosis LLC and Cloud Se
19、curity AllianceAll Rights Reserved.审计42 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.审计计划43审计计划应该在合同中约定 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.合规性构件44合规性构件是指你用来证明合规性的文档或报告，包括： 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.审计结果45要使用审
20、计结果，应进行如下工作：1.明白上下文和范围，然后看它是否适合你。2.评估你如何能基于审计上下文环境最小化风险。3.决定残留风险是否可以接受。 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.可移植性和互操作性46 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.关键问题做好一切的准备迁移需求的原因考虑所需的成本和时间服务提供商接口的可移植性问题47注意：虽然有一些标准，但大多云服务商在运营中并不支持互操作。因此，迁移你的基础设
21、施意味着很大的改变。现有的互操作仅是表面的。例如，Eucalyptus和OpenStack使用相同的API调用，但不是相同的底层实现。亚马逊EC2也匹配这些API，但他们仅仅是使用相似的语言，底层的东西都不相同。 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.可移植性和互操作性48 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.可移植性是重要的49 2012 Securosis LLC and Cloud Security
22、AllianceAll Rights Reserved.可移植性是昂贵的50 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.关键的可移植性考虑数据迁移延迟可能导致业务中断在同一服务商的不同位置间迁移数据都是足够困难的，更不要提在两个不同的服务商之间。网络带宽是有限的，因此你需要为大的应用启用物理介质传递。更糟的是，你可能根本无法获得你的数据。文档可能是不充分的两边的文档可能都不充分，从而使迁移更加困难，特别是安全控制有关的文档使用户定制最小化不要采用特定于某服务商的API库和模块，你越采用定制化的API库和其
23、它特定于服务商的特征，你拥有的可移植性就越差51 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.可移植性考虑52 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.可移植性考虑53 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.事件响应，通告和补救54 2012 Securosis LLC and Cloud Security Alliance
24、All Rights Reserved.事件在云环境中产生变化部分事件的可能性在上升，而另外一些在下降需要考虑针对云服务商的攻击会如何影响你的系统如果你的数据是离岸的，相关的立法或监管政体可能会有不同的需求55变化取决于不同的环境，需要考虑针对云服务商或者与你分享同一服务的其它用户的攻击。例如：针对你所在的云环境中的其它用户的DDOS攻击，不管你是否是攻击的目标，最终结果对你来说是相同的。 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.云对于事件响应的影响56 2012 Securosis LLC and C
25、loud Security AllianceAll Rights Reserved.事件响应生命周期57 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.58Preparation准备理解数据在哪里以及移植到哪里理解和澄清服务级别协议和合同这些成为你的基本通信和执行工具查找如下内容：联系方式，通信渠道。事件定义和通告标准。测试，范围，角色和职责。分享事件响应计划（如果可能），澄清模糊点测试计划弥补差距最重要的：知道出了事件应该打电话找谁！最重要的：知道出了事件应该打电话找谁！ 2012 Securosis LL
26、C and Cloud Security AllianceAll Rights Reserved.59Detection & Analysis检测&分析检测依赖于数据可用性知道你的数据源什么是服务商提供的，什么是你自己收集的。分析缺乏服务商设施透明性的影响数据源问题：什么应该记录以及什么已被记录？日志是否一致和完整？日志是否反映了云的动态特征？日志是否满足法律需求，防篡改，及格式需求？取证局限于你的虚拟实例，因此快照是很有用的 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.60Containment封锁云服务
27、商的基本职责是针对对全体客户的。封锁可能意味着封锁你。你将被牺牲以保持服务的稳定性。你对你自己的封锁、根除和恢复负责。服务商可能会帮助，但严重依赖于具体情况。暂停IaaS中的实例以隔离而不破坏证据。PaaS和SaaS要困难的多更多的依赖访问控制。Eradication & Recovery根除&恢复 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.事后响应评估事件的根本原因。与服务商响应小组一起纠正任何流程或通信问题识别差距以改进流程，如果需要，开展合同协商61 2012 Securosis LLC and C
28、loud Security AllianceAll Rights Reserved.总结调整你的风险管理流程以解决云架构带来的不同。法律问题典型的集中于司法和合同问题。可移植性和互操作性不是共同的，很大程度上依赖于你使用特定服务商的能力的多少。事件响应现在涉及多方，你可能会丧失你现有的部分监控和分析能力。62 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题对企业风险评估给予的关注和审查级别应直接与什么相关？云计算环境的规模面临风险的信息的价值操作系统和防火墙类型云是否为IaaS, PaaS, 或者 Sa
29、aSA and C云计算为客户提供了许多优点，包括成本节约，可伸缩性，和更短的新部署和实现周期。推荐你至少利用所节约成本的一部分做什么？将节约的成本再投资到强化系统安全审查中将节约的成本再投资到开发者中将节约的成本再投资到额外的营销材料中重新分配成本节约到其它项目中因为云环境不会导致额外的安全威胁将节约的成本回馈客户63 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题对企业风险评估给予的关注和审查级别应直接与什么相关？云计算环境的规模面临风险的信息的价值操作系统和防火墙类型云是否为IaaS, PaaS,
30、 或者 SaaSA and C云计算为客户提供了许多优点，包括成本节约，可伸缩性，和更短的新部署和实现周期。推荐你至少利用所节约成本的一部分做什么？将节约的成本再投资到强化系统安全审查中将节约的成本再投资到开发者中将节约的成本再投资到额外的营销材料中重新分配成本节约到其它项目中因为云环境不会导致额外的安全威胁将节约的成本回馈客户64 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题什么可授予一个客户审计云服务商的权利？联邦法律合同中的透明权利条款国际法客户从来没有权利审计一个云服务商合同中的审计权利条款当
31、考虑一个云项目时，互操作性可以获得和保持的程度依赖于什么？在每个云中使用的硬件系统的兼容性存储空间的数量是根据备用操作系统来分配的云服务商与来自其它云服务商的技术人员协同工作的程度加密系统的兼容性云服务商使用开放或公开架构，标准协议和标准API库的程度69 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题什么可授予一个客户审计云服务商的权利？联邦法律合同中的透明权利条款国际法客户从来没有权利审计一个云服务商合同中的审计权利条款当考虑一个云项目时，互操作性可以获得和保持的程度依赖于什么？在每个云中使用的硬件
32、系统的兼容性存储空间的数量是根据备用操作系统来分配的云服务商与来自其它云服务商的技术人员协同工作的程度加密系统的兼容性云服务商使用开放或公开架构，标准协议和标准API库的程度70 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题在大部分数据保护法律中，当数据被传送到一个第三方保管时，谁最终对数据的安全负责？第三方（目前存储数据的） 雇佣了第三方的原始数据管理员 第三方和初始管理人每个提交了个人信息的个人用户 国际的数据安全合规机构审计应该被精心设计以反映最佳的实践，适当的资源，及经测试的协议和标准。同时他
33、们应使用什么类型的审计员？为云客户的利益而工作的审计员独立的审计员由CSA认证为云服务商的利益而工作的审计员以上都不是71 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题在大部分数据保护法律中，当数据被传送到一个第三方保管时，谁最终对数据的安全负责？第三方（目前存储数据的） 雇佣了第三方的原始数据管理员 第三方和初始管理人每个提交了个人信息的个人用户 国际的数据安全合规机构审计应该被精心设计以反映最佳的实践，适当的资源，及经测试的协议和标准。同时他们应使用什么类型的审计员？为云客户的利益而工作的审计员独
34、立的审计员由CSA认证为云服务商的利益而工作的审计员以上都不是72 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题在认证中使用SAML或web服务安全提高了与其它基于标准的系统的 可伸缩性安全适口性内聚力互操作性在IaaS中，谁对客户系统监控负责？互联网服务提供商云服务商客户责任分享数据专员73 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题在认证中使用SAML或web服务安全提高了与其它基于标准的系统的 可伸缩
35、性安全适口性内聚力互操作性在IaaS中，谁对客户系统监控负责？互联网服务提供商云服务商客户责任分享数据专员74 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题云生态系统的不同组件协同实现预期结果的需求被称为什么？可移植性可伸缩性兼容性互操作性轻信（易受骗）期望云服务提供商为每一个客户创建事件响应计划是合理的。TrueFalse称为“点击生效协议（click-wrap agreement）”的书面合同中，合同条款可以协商和裁剪以精确的满足客户的需要。TRUEFALSE75 2012 Securosis LLC and Cloud Security AllianceAll Rights Reserved.练习题云生态系统的不同组件协同实现预期结果的需求被称为什么？可移植性可伸缩性兼容性互操作性轻信（易受骗）期望云服务提供商为每一个客户创建事件响应计划是合理的。TrueFalse称为“点击生效协议（click-wrap agreement）”的书面合同中，合同条款可以协商和裁剪以精确的满足客户的需要。TRUEFALSE76
