云计算服务安全能力要求(共54页).doc
《云计算服务安全能力要求(共54页).doc》由会员分享,可在线阅读,更多相关《云计算服务安全能力要求(共54页).doc(54页珍藏版)》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、精选优质文档-倾情为你奉上云计算服务安全能力要求1 范围本标准规定了以社会化方式提供云计算服务的服务商应满足的信息安全基本要求。本标准适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务,也适用于对云计算服务进行安全审查。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅所注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T XXXXX-XXXX 信息安全技术 云计算服务安全管理指南GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求GB 50174-2008 电子信息系统机房设计规范
2、GB/T 9361-2011 计算机场地安全要求3 术语和定义GB/T 25069-2010、GB/T XXXXX-XXXX确立的以及下列术语和定义适用于本标准。3.1云计算 cloud computing云计算是一种通过网络便捷地访问海量计算资源(如网络、服务器、存储器、应用和服务)的模式,使客户只需极少的管理工作或云服务商的配合即可实现计算资源的快速获得和释放。3.2云服务商 cloud service provider为个人、组织提供云计算服务的企事业单位。云服务商管理、运营支撑云计算服务的计算基础设施及软件,通过网络将云计算服务交付给客户。3.3客户 cloud consumer使用云
3、计算平台处理、存储数据和开展业务的组织。3.4第三方评估机构 third party assessment organization独立于云服务商和客户的专业评估机构。3.5云基础设施 cloud infrastructure云基础设施包括硬件资源层和资源抽象控制层。硬件资源层包括所有的物理计算资源,主要包括服务器(CPU、内存等)、存储组件(硬盘等)、网络组件(路由器、防火墙、交换机、网络链接和接口等)及其他物理计算基础元素。资源抽象控制层由部署在硬件资源层之上,对物理计算资源进行软件抽象的系统组件构成,云服务商用这些组件提供和管理物理硬件资源的访问。3.6云计算平台 cloud platf
4、orm由云服务商提供的,包括向客户提供服务的云基础设施及其上的服务层软件,即指提供云计算服务的软硬件集合。3.7云计算环境 cloud environment包括由云服务商提供的云基础设施,及客户在云基础设施之上部署的软件及相关组件的集合。4 概述4.1 云计算的安全责任云计算服务的安全性由云服务商和客户共同保障。在某些情况下,云服务商还要依靠其他组织提供计算资源和服务,其他组织也应承担信息安全责任。因此,云计算安全措施的实施主体有多个,各类主体的安全责任因不同的云计算服务模式而异。图4-1 云计算服务模式与控制范围的关系软件即服务(SaaS)、平台即服务(PaaS)、基础设施即服务(IaaS
5、)是3种基本的云计算服务模式。如图4-1所示,在不同的服务模式中,云服务商和客户对计算资源拥有不同的控制范围,控制范围则决定了安全责任的边界。云计算的物理资源层、资源抽象和控制层都处于云服务商的完全控制下,所有安全责任由云服务商承担。服务层的安全责任责则由双方共同承担,越靠近底层(即IaaS)的云计算服务,客户的管理和安全责任越大;反之,云服务商的管理和安全责任越大。在SaaS中,云服务商需要承担物理资源层、资源抽象和控制层、操作系统、应用程序等的相关责任。客户则需要承担自身数据安全、客户端安全等的相关责任;在PaaS中,云服务商需要承担物理资源层、资源抽象和控制层、操作系统、开发平台等的相关
6、责任。客户则需要承担应用部署及管理,以及SaaS中客户应承担的相关责任;IaaS中,云服务商需要承担物理资源层、资源抽象和控制层等的相关责任,客户则需要承担操作系统部署及管理,以及PaaS、SaaS中客户应承担的相关责任。考虑到云服务商可能还需要其他组织提供的服务,如SaaS或PaaS服务提供商可能依赖于IaaS服务提供商的基础资源服务。在这种情况下,一些安全措施由其他组织提供。因此,云计算安全措施的实施责任有4类,如表4-1所示。表4-1 云计算安全措施的实施责任责任示例云服务商承担在SaaS模式中,云服务商对平台上安装的软件进行安全升级。客户承担在IaaS模式中,客户对其安装的应用中的用户
7、行为进行审计。云服务商和客户共同承担云服务商的应急演练计划需要与客户的信息安全应急演练计划相协调。在实施应急演练时,需要客户与云服务商相互配合。其他组织承担有的SaaS服务提供商需要IaaS服务提供商的基础设施服务,相应的物理与环境保护措施应由IasS服务提供商予以实施。本标准不对客户承担的安全责任提出要求。客户应参照云计算服务安全指南及其他国家、行业有关信息安全的标准规范落实其安全责任。如云服务商依赖于其他组织提供的服务或产品,则其所承担的信息安全责任直接或间接地转移至其他组织,云服务商应以合同或其他方式对相应安全责任进行规定并予以落实。但是,云服务商仍是客户监管的直接对象。4.2 云计算安
8、全措施的作用范围在同一个云计算平台上,可能有多个应用系统,某些信息安全措施应作用于整个云计算平台,平台上每个具体的应用系统直接继承该安全措施即可。例如,云服务商的人员安全措施即适用于云计算平台上每一个应用系统。这类安全措施称为通用安全措施。某些安全措施则仅是针对特定的应用,例如云计算平台上电子邮件系统的访问控制措施与字处理系统的访问控制措施可能不同。这类安全措施称为专用安全措施。在特殊情况下,某些安全措施的一部分属于通用安全措施,另一部分则属于专用安全措施,例如云计算平台上电子邮件系统的应急响应计划既要利用云服务商的整体应急响应资源(如应急支援队伍),也要针对电子邮件系统的备份与恢复作出专门考
9、虑,这类安全措施称为混合安全措施。云服务商申请为客户提供云计算服务时,所申请的每一类云计算应用均应实现本标准规定的安全要求,并以通用安全措施、专用安全措施或混合安全措施的形式,标明所采取的每项安全措施的作用范围。4.3 安全要求的分类本标准对云服务商提出了基本安全能力要求,反映了云服务商在保障云计算平台上客户信息和业务信息安全时应具有的基本能力。这些安全要求分为10类,每一类安全要求包含若干项具体要求。10类安全要求分别是:系统开发与供应链安全:云服务商应在开发云计算平台时对其提供充分保护,为其配置足够的资源,并充分考虑信息安全需求。云服务商确保其下级供应商采取了必要的安全措施。云服务商还应为
10、客户提供与安全措施有关的文档和信息,配合客户完成对信息系统和业务的管理。系统与通信保护:云服务商应在云计算平台的外部边界和内部关键边界上监视、控制和保护网络通信,并采用结构化设计、软件开发技术和软件工程方法有效保护云计算平台的安全性。访问控制:云服务商应严格保护云计算平台的客户数据和用户隐私,在授权信息系统用户及其进程、设备(包括其他信息系统的设备)访问云计算平台之前,应对其进行身份标识及鉴别,并限制授权用户可执行的操作和使用的功能。配置管理:云服务商应对云计算平台进行配置管理,在系统生命周期内建立和维护云计算平台(包括硬件、软件、文档等)的基线配置和详细清单,并设置和实现云计算平台中各类产品
11、的安全配置参数。维护:云服务商应定期维护云计算平台设施和软件系统,并对维护所使用的工具、技术、机制以及维护人员进行有效的控制,且做好相关记录。应急响应与灾备:云服务商应为云计算平台制定应急响应计划,并定期演练,确保在紧急情况下重要信息资源的可用性。云服务商应建立事件处理计划,包括对事件的预防、检测、分析、控制、恢复及用户响应活动等,对事件进行跟踪、记录并向相关人员报告。服务商应具备灾难恢复能力,建立必要的备份设施,确保客户业务可持续。审计:云服务商应根据安全需求和客户要求,制定可审计事件清单,明确审计记录内容,实施审计并妥善保存审计记录,对审计记录进行定期分析和审查,还应防范对审计记录的未授权
12、访问、篡改和删除行为。风险评估与持续监控:云服务商应定期或在威胁环境发生变化时,对云计算平台进行风险评估,确保云计算平台的安全风险处于可接受水平。服务商应制定监控目标清单,对目标进行持续安全监控,并在异常和非授权情况发生时发出警报。安全组织与人员:云服务商应确保能够接触客户信息或业务的各类人员(包括供应商人员)上岗时具备履行其信息安全责任的素质和能力,在授予相关人员访问权限之前对其进行审查并定期复查,在人员调动或离职时履行安全程序,对于违反信息安全规定的人员进行处罚。物理与环境保护:云服务商应确保机房位于中国境内,机房选址、设计、供电、消防、温湿度控制等符合相关标准的要求。云服务商应对机房进行
13、监控,严格限制各类人员与运行中的云计算平台设备进行物理接触,确需接触的,需通过云服务商的明确授权。4.4 安全要求的表述形式本标准将云计算服务安全能力要求分为一般要求和增强要求。组织应对拟迁移至云计算平台的信息和业务系统进行分析,按照信息的敏感程度和业务的重要程度选择相应安全能力水平的云服务商。GBXXXXX-XXXX云计算服务安全指南给出了数据、业务类型与安全保护要求之间的对应关系。本标准中每一项安全要求均以一般要求和增强要求的形式给出。增强要求是对一般要求的补充和强化。在实现增强要求时,一般要求应首先得到满足。有的安全要求只列出了增强要求,一般要求标为“无”。这表明具有一般安全能力的云服务
14、商可以不实现此项安全要求。即使对同等安全能力水平的云服务商,其实现安全要求的方式也可能会有差异。为此,本标准在描述安全要求时引入了“赋值”和“选择”这两种变量,并以赋值:和选择:;的形式给出。“赋值”表示云服务商在实现安全要求时,要由云服务商定义具体的数值或内容。“选择”表示云服务商在实现安全要求时,应选择一个给定的数值或内容。云服务商在向客户提供云计算服务前,应确定并实现“赋值”和“选择”的具体数值或内容。“赋值”和“选择”示例如下:云服务商应在赋值:云服务商定义的时间段后,自动选择:删除;禁用临时和应急账号。4.5 安全要求的调整本标准提出的安全要求是通常情况下云服务商应具备的基本安全能力
15、。在具体的应用场景下,云服务商有可能需要对这些安全要求进行调整。调整的方式有:删减:未实现某项安全要求,或只实现了某项安全要求的一部分。补充:某项基本安全要求不足以满足云服务商的特定安全目标,故增加新的安全要求,或对标准中规定的某项安全要求进行强化。替代:使用其他安全要求替代标准中规定的某项安全要求,以满足相同的安全目标。调整的原因有多种,例如:已知某些目标客户有特殊的需求。云服务商的安全责任因SaaS、PaaS和IaaS这3种不同的云计算模式而不同,云服务商为了实现本标准中规定的安全要求,所选择的安全措施的实施范围、实施强度可能不同。出于成本等因素考虑,云服务商可能希望实现替代性的安全要求。
16、云服务商希望表现更强的安全能力,以便于吸引客户。4.6 安全计划为了建立向客户提供安全的云计算服务的能力,云服务商应制定安全计划,详细说明对本标准提出的安全能力要求的实现情况。云服务商应在安全计划中对“赋值”和“选择”给出具体的数值或内容,必要时还应对本标准提出的安全要求进行调整。当云计算平台上有多个应用系统时,云服务商应分别制定每个系统的安全计划。安全计划包括但不限于以下内容:云计算平台的基本描述,包括:l 系统拓扑;l 系统运营单位;l 与外部系统的互联情况;l 云服务模式和部署模式;l 系统软硬件清单;l 数据流等。为实现本标准规定的安全要求而采取的安全措施的具体情况。对每项安全要求,云
17、服务商均应在以下5个选项中选择其一作为对实现情况的整体描述,并针对性地提供详细说明:l 满足,说明为满足安全要求而采取的具体措施;l 部分满足,对已满足的安全要求应说明所采取的具体措施,对不满足的安全要求应说明理由;l 计划满足,说明时间进度安排以及在此期间的风险管控措施;l 替代,说明替代理由并说明所实现的安全目标与原安全要求之间的关系;l 不满足,说明理由。为实现本标准提出的安全要求而采取的安全措施的作用范围。对通用安全措施或混合安全措施中的通用部分,可只在其中一个应用系统的安全计划中说明该措施的实施情况,其余安全计划中不再详细说明,或针对通用安全措施制定一份专门的安全计划。对云服务商新增
18、的安全目标及对应的安全措施的说明。对客户安全责任的说明,以及对客户应实施的安全措施的建议。附录A给出了安全计划的模板。4.7 本标准的结构本标准共包括10个安全要求章节(第5章至第14章)。每个章节名称及其所含主要安全要求的数目是: 第5章 系统开发与供应链安全(17个)第6章 系统与通信保护(14个)第7章 访问控制(27个)第8章 配置管理(7个)第9章 维护(9个)第10章 应急响应与灾备(13个)第11章 审计(11个)第12章 风险评估与持续监控(6个)第13章 安全组织与人员(14个)第14章 物理与环境保护(15个)本标准还包括附录A:安全计划模板。注:本标准中章节的顺序不表明其
19、重要性。另外,本标准的其他排列也没有优先顺序,除非特别注明。5 系统开发与供应链安全5.1 策略与规程5.1.1 一般要求云服务商应:a)制定如下策略与规程,并分发至赋值:云服务商定义的人员或角色:1)系统开发与供应链安全策略(包括采购策略等),涉及以下内容:目的、范围、角色、责任、管理层承诺、内部协调、合规性。2)相关规程,以推动系统开发与供应链安全策略及与有关安全措施的实施。b)按照赋值:云服务商定义的频率审查和更新系统开发与供应链安全策略及相关规程。5.1.2 增强要求无。5.2 资源分配5.2.1 一般要求云服务商应:a)在系统建设规划中考虑系统的安全需求。b)确定并分配保护信息系统和
20、服务所需的资源(如有关资金、场地、人力等),并在预算管理过程中予以重点考虑。c)在工作计划和预算文件中,将信息安全作为单列项予以说明。5.2.2 增强要求无。5.3 系统生命周期5.3.1 一般要求云服务商应:a)将信息安全纳入赋值:云服务商定义的系统生命周期,确保信息安全措施同步规划、同步建设、同步运行。b)确定整个信息系统生命周期内的信息安全角色和责任。c)将信息安全角色明确至相应责任人。d)将信息安全风险管理过程集成到系统生命周期活动中。5.3.2 增强要求无。5.4 采购过程5.4.1 一般要求云服务商应根据相关法律、法规、政策和标准的要求,以及可能的客户需求,并在风险评估的基础上,将
21、以下内容列入信息系统采购合同:a)安全功能要求。b)安全强度要求。c)安全保障要求。d)安全相关文档要求。e)保密要求。f)开发环境和预期运行环境描述。g)验收准则。h)强制配置要求,如功能、端口、协议和服务。5.4.2 增强要求云服务商应:a)提供或要求信息系统、组件或服务的开发商提供所使用的安全措施的功能描述,如对外提供的安全功能或机制。b)提供或要求信息系统、组件或服务的开发商提供所使用的安全措施的设计和实现信息,包括:选择(可多选):安全相关的外部系统的接口;高层设计;低层设计;源代码或硬件原理图;赋值:云服务商定义的其他设计或实现信息 ,其详细程度应满足赋值:云服务商定义的详细程度。
22、c)提供或要求信息系统、组件或服务的开发商提供证据,证明其在系统生命周期中使用了赋值:云服务商定义的系统工程方法、软件开发方法、测试技术和质量控制过程。d)实现或要求信息系统、组件或服务的开发商交付信息系统、组件或服务时实现赋值:云服务商定义的安全配置,且这些安全配置应作为信息系统、组件或服务进行重新安装或升级时的缺省配置。e)要求信息系统、组件或服务的开发商制定对安全措施有效性的持续监控计划,其详细程度满足赋值:云服务商定义的详细程度。f)说明或要求信息系统、组件或服务的开发商在系统生命周期的早期阶段说明系统中的功能、端口、协议和服务,云服务商应禁用不必要或高风险的功能、端口、协议或服务。5
23、.5 系统文档5.5.1 一般要求云服务商应:a)制定或要求信息系统、组件或服务的开发商制定管理员文档,且涵盖以下信息:1)系统、组件或服务的安全配置,以及安装和运行说明。2)安全特性或功能的使用和维护说明。3)与管理功能有关的配置和使用方面的注意事项。b)制定或要求信息系统、组件或服务的开发商制定用户文档,且涵盖以下信息:1)用户可访问的安全功能或机制,以及对如何有效地使用这些安全功能或机制的说明。2)有助于用户以更加安全的方式使用系统、组件或服务的用户交互方法。3)对用户安全责任和注意事项的说明。c)基于风险管理策略,按照要求保护上述文档。d)将上述文档分发至赋值:云服务商定义的人员或角色
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 计算 服务 安全 能力 要求 54
限制150内