ZStack Cloud 云平臺(tái)密評(píng)合規(guī)解決方案已經(jīng)在武漢市洪山區(qū)政務(wù)云成功落地，為政務(wù)云平臺(tái)上的業(yè)務(wù)系統(tǒng)提供統(tǒng)一的國(guó)產(chǎn)密碼服務(wù)，保障政務(wù)數(shù)據(jù)和公民信息存儲(chǔ)、傳輸和使用的安全，幫助政府節(jié)約財(cái)政投入數(shù)千萬(wàn)元。

　　近日，云軸科技ZStack 重磅發(fā)布云平臺(tái)密評(píng)合規(guī)解決方案，旨在幫助客戶快速搭建符合商用密碼應(yīng)用安全性評(píng)估(簡(jiǎn)稱(chēng)”密評(píng)“)要求的云平臺(tái)。這是業(yè)內(nèi)率先在IaaS層云平臺(tái)上實(shí)現(xiàn)密評(píng)合規(guī)模塊，通過(guò)建立以商用密碼為核心的云安全保障體系，充分滿足政府、運(yùn)營(yíng)商、企業(yè)用戶在密評(píng)場(chǎng)景的云平臺(tái)合規(guī)要求。

安全性挑戰(zhàn)推動(dòng)“密評(píng)”上升到戰(zhàn)略高度

　　密評(píng)指在采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設(shè)的網(wǎng)絡(luò)和信息系統(tǒng)中，對(duì)其密碼應(yīng)用的合規(guī)性、正確性和有效性等進(jìn)行評(píng)估。

　　近年來(lái)，隨著各行業(yè)信息技術(shù)的發(fā)展，互聯(lián)網(wǎng)技術(shù)、云計(jì)算大數(shù)據(jù)技術(shù)、物聯(lián)網(wǎng)技術(shù)等逐步應(yīng)用到重要信息系統(tǒng)，在給系統(tǒng)帶來(lái)便利的同時(shí)也帶來(lái)了安全性挑戰(zhàn)，為了增強(qiáng)系統(tǒng)的安全性，防止重要信息泄露，密碼技術(shù)及其應(yīng)用成為重中之重。但在發(fā)展過(guò)程中，出現(xiàn)了商業(yè)密碼應(yīng)用不廣泛、不規(guī)范、不安全的問(wèn)題。

　　為提供科學(xué)的網(wǎng)絡(luò)和信息系統(tǒng)安全評(píng)價(jià)方法、逐步規(guī)范商用密碼的使用和管理，國(guó)家頒布實(shí)施了一系列法律法規(guī)，對(duì)密碼應(yīng)用安全性評(píng)估提出要求。例如《中華人民共和國(guó)密碼法》第二十七條提到：法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定要求使用商用密碼進(jìn)行保護(hù)的關(guān)鍵信息基礎(chǔ)設(shè)施，其運(yùn)營(yíng)者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù)，自行或者委托商用密碼檢測(cè)機(jī)構(gòu)開(kāi)展商用密碼應(yīng)用安全性評(píng)估。商用密碼應(yīng)用安全性評(píng)估應(yīng)當(dāng)與關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測(cè)評(píng)估、網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)制度相銜接，避免重復(fù)評(píng)估、測(cè)評(píng)。

ZStack Cloud密評(píng)合規(guī)解決方案，率先在IaaS層實(shí)現(xiàn)密評(píng)合規(guī)

　　密評(píng)的測(cè)評(píng)對(duì)象是整個(gè)信息系統(tǒng)，從這個(gè)角度來(lái)看，ZStack Cloud云平臺(tái)部署在客戶側(cè)的形式是一套軟件。因此，對(duì)于密評(píng)測(cè)評(píng)，云平臺(tái)僅需要負(fù)責(zé)其中一部分，如應(yīng)用數(shù)據(jù)安全。

　　ZStack Cloud密評(píng)合規(guī)解決方案是通過(guò)產(chǎn)品化的模塊對(duì)接國(guó)家密碼管理局檢測(cè)認(rèn)證的硬件密碼機(jī)，以密碼機(jī)資源池為單位，提供統(tǒng)一的證書(shū)登錄和數(shù)據(jù)保護(hù)功能，滿足密評(píng)場(chǎng)景下的云平臺(tái)合規(guī)要求。其中，證書(shū)登錄功能基于SM2算法實(shí)現(xiàn)，開(kāi)啟該功能后，需使用UKey進(jìn)行登錄認(rèn)證，確保身份的真實(shí)性;數(shù)據(jù)保護(hù)功能基于SM3、HMAC- SM3和SM4算法實(shí)現(xiàn)，開(kāi)啟該功能后，可對(duì)日志、口令、鏡像等重要數(shù)據(jù)進(jìn)行加密保護(hù)，保障數(shù)據(jù)的機(jī)密性和完整性。

圖1：密評(píng)合規(guī)架構(gòu)圖

　　ZStack Cloud密評(píng)合規(guī)解決方案具備以下三類(lèi)密評(píng)能力：

　　1、身份認(rèn)證：支持口令+硬件 UKey 雙因素認(rèn)證;

　　2、數(shù)據(jù)傳輸：無(wú)縫兼容安全網(wǎng)關(guān)，支持通過(guò)國(guó)密瀏覽器 HTTPS 安全訪問(wèn)云平臺(tái);

　　3、數(shù)據(jù)保護(hù)：對(duì)云平臺(tái)重要數(shù)據(jù)進(jìn)行完整性和機(jī)密性保護(hù)。云平臺(tái)重要數(shù)據(jù)包括身份認(rèn)證信息、平臺(tái)配置信息、平臺(tái)日志記錄、平臺(tái)管理鏡像、平臺(tái)業(yè)務(wù)鏡像、平臺(tái)業(yè)務(wù)快照。

　　云平臺(tái)密評(píng)合規(guī)解決方案，除了需要使用ZStack Cloud密評(píng)合規(guī)增值模塊，還需要集成配套的第三方軟硬件：

　　1、應(yīng)用安全網(wǎng)關(guān)(硬件)：為進(jìn)出云平臺(tái)的管理面流量，使用國(guó)密協(xié)議，在傳輸過(guò)程中提供機(jī)密性、完整性的保護(hù);

　　2、簽名服務(wù)器(硬件)：提供簽名、加密能力。ZStack Cloud云平臺(tái)調(diào)用簽名服務(wù)器接口，對(duì)云平臺(tái)內(nèi)的重要數(shù)據(jù)進(jìn)行加密、簽名;

　　3、國(guó)密瀏覽器(軟件)：配合應(yīng)用安全網(wǎng)關(guān)(硬件)使用。國(guó)密瀏覽器與普通瀏覽器的一個(gè)主要區(qū)別是通過(guò)了國(guó)密算法的支持，訪問(wèn)云平臺(tái)的管控面流量，通過(guò)應(yīng)用安全網(wǎng)關(guān)進(jìn)行傳輸過(guò)程的機(jī)密性、完整性保護(hù)，對(duì)應(yīng)則需要使用國(guó)密瀏覽器對(duì)訪問(wèn)流量進(jìn)行解密、校驗(yàn)等處理;

　　4、UKey+數(shù)字證書(shū)(硬件)：作用類(lèi)似于銀行U盾，主要配合云平臺(tái)口令，對(duì)云平臺(tái)的用戶提供雙因子“身份鑒別”。

　　多場(chǎng)景適用，為客戶構(gòu)建符合密評(píng)要求的云

　　ZStack Cloud云平臺(tái)密評(píng)解決方案主要適用的場(chǎng)景有關(guān)鍵信息基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全保護(hù)第三級(jí)以上的系統(tǒng)、國(guó)家政務(wù)信息系統(tǒng)等方面使用的IaaS云平臺(tái)，具體包括：

　　1、基礎(chǔ)信息網(wǎng)絡(luò)所運(yùn)行的云：電信網(wǎng)、廣播電視網(wǎng)、互聯(lián)網(wǎng);

　　2、重要信息系統(tǒng)所在的云：能源、教育、公安、測(cè)繪地理信息、社保、交通、衛(wèi)生計(jì)生、金融等涉及國(guó)計(jì)民生和基礎(chǔ)信息資源的重要信息系統(tǒng);

　　3、重要工業(yè)控制系統(tǒng)所在的云：核設(shè)施、航空航天、先進(jìn)制造、石油石化、油氣管網(wǎng)、電力系統(tǒng)、交通運(yùn)輸、水利樞紐、城市設(shè)施等重要工業(yè)控制系統(tǒng)

　　4、面向社會(huì)服務(wù)的政務(wù)信息系統(tǒng)所在的云：黨政機(jī)關(guān)和使用財(cái)政性資金的事業(yè)單位和團(tuán)體組織使用的面向社會(huì)服務(wù)的信息系統(tǒng)。

　　通過(guò)采用ZStack Cloud云平臺(tái)密評(píng)合規(guī)解決方案，可以為政府、運(yùn)營(yíng)商、企業(yè)用戶帶來(lái)以下三方面的價(jià)值：

　　1、基于ZStack Cloud 產(chǎn)品化密評(píng)改造手段，避免項(xiàng)目制的定制化開(kāi)發(fā)，高效構(gòu)建符合密評(píng)要求的云;

　　2、基于ZStack Cloud產(chǎn)品化密評(píng)服務(wù)，降低用戶合規(guī)門(mén)檻，低成本實(shí)現(xiàn)密評(píng)合規(guī)能力;

　　3、基于ZStack Cloud構(gòu)建的云，積極響應(yīng)國(guó)家政策及相關(guān)法律法規(guī)，為政企用戶提供有效的安全防護(hù)。

　　結(jié)語(yǔ)

　　“沒(méi)有強(qiáng)大的網(wǎng)絡(luò)安全產(chǎn)業(yè)，國(guó)家網(wǎng)絡(luò)安全就缺乏支撐;沒(méi)有強(qiáng)大的網(wǎng)絡(luò)安全企業(yè)，就形成不了強(qiáng)大的網(wǎng)絡(luò)安全產(chǎn)業(yè)”。推動(dòng)信創(chuàng)產(chǎn)業(yè)的發(fā)展、保障國(guó)家信息網(wǎng)絡(luò)安全，離不開(kāi)商用密碼技術(shù)的蓬勃發(fā)展，更離不開(kāi)密評(píng)測(cè)評(píng)的有力保障。未來(lái)，云軸科技ZStack仍將發(fā)揮自己產(chǎn)品化的優(yōu)勢(shì)，提出更多密評(píng)合規(guī)的解決方案，充分滿足各行業(yè)用戶在密評(píng)場(chǎng)景的云平臺(tái)合規(guī)要求，為保障國(guó)家網(wǎng)絡(luò)信息安全添磚加瓦!

（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。 ）