伴隨著網(wǎng)絡(luò)安全法的出臺,等級保護工作進入2.0時代,其中最引人注目的變化:
等級保護對象從原來單純的信息系統(tǒng)拓展到了很多個領(lǐng)域,其中云計算系統(tǒng)是等級保護重點要關(guān)注的一個領(lǐng)域;
而等級保護的標(biāo)準體系也進行了大的升級,在原等級保護核心標(biāo)準(基本要求、測評要求、設(shè)計要求)的基礎(chǔ)上,進行重新修訂,整個標(biāo)準體系制定為一個矩陣,針對每一個特定的安全領(lǐng)域,做了相應(yīng)的擴展要求,比如云計算領(lǐng)域,制定云計算擴展要求。
在這種情況下,云等保如何落地?云服務(wù)商該如何做?云租戶該如何做?
首先,需要對云計算環(huán)境中的安全責(zé)任進行明確
不同的服務(wù)模式下,不同責(zé)任主體的責(zé)任也是不同的。云服務(wù)商,云租戶的責(zé)任劃分需要明晰。
IaaS服務(wù)下,云服務(wù)方責(zé)任硬件及虛擬化層的防護;虛擬化以上的客戶機的安全防護,數(shù)據(jù)庫防護以及中間件和應(yīng)用及數(shù)據(jù)的防護,這都是租戶需要去面對的問題。
PaaS服務(wù)模式下,客戶虛擬機的安全防護責(zé)任交給了云服務(wù)商,云租戶關(guān)心的是在這之上的,如軟件開發(fā)平臺中間件以及應(yīng)用和數(shù)據(jù)本身的安全防護。
SaaS服務(wù)模式下,進一步上移,這個時候作為租戶來講他需要關(guān)心的其實就是跟一些應(yīng)用的簡單的安全配置相關(guān)了,以及數(shù)據(jù)安全的防護,這都是租戶需要考慮的內(nèi)容了。
數(shù)據(jù)安全防護,無論IaaS、PaaS到SaaS,對于云租戶來講,是始終要面對的一個很重要的問題。
不同的責(zé)任劃分下,云等保究竟該怎么做?
云等保不是新鮮的事物,而是在原等保框架下對新事物的擴展,云計算架構(gòu)之下,等級保護依然需要落地,包括定級、備案、建設(shè)整改、等級測評、監(jiān)督檢查五個規(guī)定動作。不同的是等??蚣芟滦略黾拥脑匦枰獙υ械燃壉Wo相關(guān)工作的具體內(nèi)容進行擴充并統(tǒng)一。
一、系統(tǒng)的定級;
傳統(tǒng)的信息系統(tǒng),強調(diào)分區(qū)分域、縱深防御,網(wǎng)絡(luò)架構(gòu)伴隨業(yè)務(wù)變化而變化,系統(tǒng)各組件能與硬件緊耦合。信息系統(tǒng)的系統(tǒng)劃分其實是以物理網(wǎng)絡(luò)/安全設(shè)備為邊界的硬件設(shè)備的劃分。
云的環(huán)境下,把虛擬邊界作為系統(tǒng)定級的變界。云計算系統(tǒng)網(wǎng)絡(luò)架構(gòu)扁平化,業(yè)務(wù)應(yīng)用系統(tǒng)與硬平臺松耦合。信息系統(tǒng)的系統(tǒng)劃分,單純的以物理網(wǎng)絡(luò)/安全設(shè)備為邊界的劃分方法無法體現(xiàn)出業(yè)務(wù)應(yīng)用系統(tǒng)的邏輯關(guān)系,無法體現(xiàn)對業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全。
定級需要從業(yè)務(wù)應(yīng)用的角度出發(fā),梳理有哪些業(yè)務(wù)應(yīng)用,及對應(yīng)哪些模塊。
常見的場景有兩種:
場景一:如每種應(yīng)用都需要使用物理基礎(chǔ)支撐平臺,則業(yè)務(wù)應(yīng)用系統(tǒng)可不包含基礎(chǔ)支撐的物理硬件部分,根據(jù)業(yè)務(wù)應(yīng)用的關(guān)聯(lián)性,進行切分定級。像很多公共云就是這種狀態(tài),如果定級系統(tǒng)C的運行主體是云服務(wù)商的話,上面就是云租戶的業(yè)務(wù)應(yīng)用系統(tǒng)。
場景2:如基礎(chǔ)支撐平臺可以對應(yīng)到不同業(yè)務(wù)應(yīng)用系統(tǒng),則將基礎(chǔ)支撐平臺的物理設(shè)備一同劃入相應(yīng)定級系統(tǒng)。就是業(yè)務(wù)應(yīng)用是可以跟承載的硬件平臺有對應(yīng)關(guān)系的,比如說某一個應(yīng)用固定的使用一堆的硬件服務(wù)器,獨立成一個平臺,那這個時候就可以一刀切,作為一個單獨的定級系統(tǒng),比如說像阿里淘寶的很多系統(tǒng)就是這樣的架構(gòu),比如說我們可以在定級系統(tǒng)B這一塊還可以在切分一下,那可能這一邊又變成一個小的一朵云,下面是一個云平臺。上面是整個的各個的承載的業(yè)務(wù)應(yīng)用系統(tǒng),就是云租戶的系統(tǒng)。
在定級當(dāng)中存在兩個重要誤區(qū):
誤區(qū)一:我的系統(tǒng)已經(jīng)上云了,系統(tǒng)就不用去定級了?
答案是不行,要分開定級,新的定級指南里明確說明,云計算平臺和云上的租戶應(yīng)用系統(tǒng)要分開定級。
誤區(qū)二,云平臺的等級跟云租戶的等級沒有關(guān)系
云平臺的等級要不低于云上租戶的業(yè)務(wù)應(yīng)用系統(tǒng)的最高級。且,明確規(guī)定“國家關(guān)鍵信息基礎(chǔ)設(shè)施(重要云計算平臺)的安全保護等級應(yīng)不低于第三級”。比如一個互聯(lián)網(wǎng)金融公司,運營的系統(tǒng)定到了四級,那么選擇上的云平臺必須是四級的云平臺,如果去三級的云平臺去備案的時候會遇到一些問題,而且即便是上了以后,云平臺在監(jiān)管這塊也是是不合規(guī)的。
二、備案
去哪備案?傳統(tǒng)的系統(tǒng)備案很簡單,IT基礎(chǔ)設(shè)施、運維地點、工商注冊地基本上都是一致的,很明確,直接去所在地市局、網(wǎng)安或者是分局去備案就可以。但是云的這種狀態(tài)下,特別是對于云服務(wù)商來講就比較典型了,工商注冊地、辦公地點都不一樣。比如說像阿里云,注冊地在北京,運維地點在杭州,然后機房遍布全國各地。云租戶也是這個問題,公司開在北京,可能技術(shù)人員、運維人員都在北京,但是你上的這種云可能他的物理位置或者不知道,或者是即便知道有可能也不在北京,那這個時候怎么辦?所以我們現(xiàn)在有這樣一個原則,對于云上的系統(tǒng),不管是云平臺還是云租戶,就是以你的運維人員的所在地為備案地點。原因與公安機關(guān)方便監(jiān)管相關(guān),案件發(fā)生后,公安機關(guān)需要運維人員配合去調(diào)取相關(guān)證據(jù),做證據(jù)固定、數(shù)據(jù)采集。
三、建設(shè)整改
云計算系統(tǒng)等級保護標(biāo)準制定專家建議可以從這幾個方面入手,
1、思維,統(tǒng)一思維去考量,統(tǒng)一認證、統(tǒng)一賬戶管理、統(tǒng)一授權(quán),統(tǒng)一安全審計。其中關(guān)于安全審計方面,標(biāo)準條款里有明確要求,主機的安全審計、網(wǎng)絡(luò)的審計、數(shù)據(jù)庫的安全審計都必不可少。
2、側(cè)重動態(tài)監(jiān)測預(yù)警、快速應(yīng)急響應(yīng)能力建設(shè)以及服務(wù)安全產(chǎn)品合規(guī),如果想自己搭一個私有云的話,那么建議一定要有這樣的能力。
3、重點保護的就是業(yè)務(wù)數(shù)據(jù)安全和用戶的隱私安全。數(shù)據(jù)安全這塊真的是很重要。我們在安全擴展里有明確要求,一個是數(shù)據(jù)庫的安全審計。要求云服務(wù)商開放第三方接口,支持第三方的安全審計的產(chǎn)品接入;還有一個就是對于云租戶,同樣要求要有自己的審計。在做云租戶的系統(tǒng)檢查或者測評的時候,一樣要看你有沒有做安全審計。
四、測評
云計算系統(tǒng)保護措施通常是以系統(tǒng)整體能力體現(xiàn),云計算安全擴展要求作為全局對待,在報告結(jié)構(gòu)上等同于全局測評,各測評項不再重復(fù)對應(yīng)一個或多個測評對象。
- 蜜度索驥:以跨模態(tài)檢索技術(shù)助力“企宣”向上生長
- 美媒聚焦比亞迪“副業(yè)”:電子代工助力蘋果,下個大計劃瞄準AI機器人
- 微信零錢通新政策:銀行卡轉(zhuǎn)入資金提現(xiàn)免手續(xù)費引熱議
- 消息稱塔塔集團將收購和碩印度iPhone代工廠60%股份 并接管日常運營
- 蘋果揭秘自研芯片成功之道:領(lǐng)先技術(shù)與深度整合是關(guān)鍵
- 英偉達新一代Blackwell GPU面臨過熱挑戰(zhàn),交付延期引發(fā)市場關(guān)注
- 馬斯克能否成為 AI 部部長?硅谷與白宮的聯(lián)系日益緊密
- 余承東:Mate70將在26號發(fā)布,意外泄露引發(fā)關(guān)注
- 無人機“黑科技”亮相航展:全球首臺低空重力測量系統(tǒng)引關(guān)注
- 賽力斯發(fā)布聲明:未與任何伙伴聯(lián)合開展人形機器人合作
- 賽力斯觸及漲停,汽車整車股盤初強勢拉升
免責(zé)聲明:本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿,凡在本網(wǎng)站出現(xiàn)的信息,均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性,但不保證有關(guān)資料的準確性及可靠性,讀者在使用前請進一步核實,并對任何自主決定的行為負責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏,概不負任何法律責(zé)任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時,應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明,并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后,將會依法盡快聯(lián)系相關(guān)文章源頭核實,溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。