国家云计算安全等级保护测评标准解读

《国家云计算安全等级保护测评标准解读》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、国家云计算安全等级保护测评标准解读(来源：国家信息中心网站作者：禄凯高亚楠章恒）引言云计算作为广泛应用的新技术，越来越深入的影响着社会生活的各个领域。全国各地政务云、金融云、教育云等建设的如火如荼，越来越多的云计算系统承担着重要的基础性服务。在高速发展的同时，安全隐患和威胁也如影随形，如：不安全接口、服务中断、越权、滥用与误操作、共享技术漏洞和信息残留等问题时刻影响着云计算的健康发展。云计算信息系统应具备什么样的安全防护措施，如何通过等级保护测评工作去检查和验证安全措施的合规性和有效性，已经成为云计

2、算系统建设者、运营者、监管者以及使用者所关心的重要问题。等级保护工作作为国家网络安全法明确的重要制度，已在我国信息系统安全保驾护航中发挥着重要作用。为应对新技术、新应用发展所带来的安全问题，公安部网络安全保卫局组织开展了大规模的等级保护系列标准的修订。云计算等级保护系列标准作为安全通用要求之后的第二分册，标准编制开始至今，受到相关各方的高度广泛关注，收到了很多宝贵意见和建议。由国家信息中心负责牵头编制的《网络安全等级保护测评要求第2部分：云计算安全扩展要求》（以下简称“云计算测评要求”）作为云计算安

3、全等级保护测评的实施依据备受瞩目。此文解读标准，希望作为云计算等级保护测评工作的实践指引，给大家提供指导和帮助，相关技术研讨和培训也将后续开展。《网络安全等级保护测评要求第2部分：云计算安全扩展要求》解读根据全国信息安全标准化技术委员会2013年10月确定的国家标准制修订计划，本次研编云计算等保系列标准包括三个：《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求》（以下简称“云计算基本要求”）、《信息安全技术网络安全等级保护测评要求第2部分：云计算安全扩展要求》、《信息安全技术网络安

4、全等级保护设计技术要求第2部分：云计算安全扩展要求》（以下简称“云计算设计要求”）。第二分册作为第一分册安全通用要求的扩展和补充，主要用以应对云计算技术所带来的威胁与风险，在测评实施中要以安全通用要求为基础，同时参考定级指南等相关标准，共同完成云计算安全等级保护的测评工作。要点一：系统定级与管理职责划分云计算服务带来了“云主机”等虚拟计算资源，将传统IT环境中信息系统运营、使用单位的单一安全责任转变为云租户和云服务商双方“各自分担”的安全责任，使得云计算环境下定级工作相对比较复杂。云计算系统的定级对

5、象在原有定级对象基础上进行了扩展，原有定级对象主要是信息系统和相关基础网络，而云计算将定级对象扩展为云服务商的云平台和云租户的应用系统。云计算系统定级时，云服务商的云平台和云租户的应用系统应分别定级，云平台等级应不低于应用系统的安全保护等级。对于公有云，定级流程为云平台先定级测评，再提供云服务。对于私有云，定级流程为云平台先定级测评，再将已定级应用系统向云平台迁移。云计算系统定级的重点在于定级对象管理职责的划分，职责的划分根据不同云计算服务模式采取不同划分方式。（一）对于IaaS基础设施服务模式，云

6、服务商的职责范围包括虚拟机监视器和硬件，云租户的职责范围包括操作系统、中间件和应用等。（二）对于PaaS平台即服务的服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统和中间件，云租户的职责范围为应用。（三）对于SaaS软件服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统、中间件和应用，云租户的职责范围包括部分应用职责及用户使用职责。云计算服务模式以及角色的不同决定着定级对象的管理职责不同，从而决定着定级的系统范围的不同。要点二：云计算系统保护对象的扩展由于虚拟化等新技术的应用，

7、IaaS/PaaS/SaaS按需服务模式的引入，相对于传统信息系统，云计算系统的保护对象有所增加。云计算系统的保护对象与传统信息系统保护对象对照如下表所示，其中加黑的对象为云计算系统所特有的保护对象：层面云计算系统保护对象传统信息系统保护对象物理和环境安全机房及基础设施机房及基础设施网络结构、网络设备、安全设备、网络设备、安全设备、综合网管系统、虚拟化网络结构、网络和通信安全网络结构、综合网管系虚拟网络设备、虚拟安全设备、统虚拟机监视器、云管理平台主机、数据库管理系统、终端、网络设备、安全设备、虚拟

8、网络主机、数据库管理系统、设备和计算安全设备、虚拟安全设备、物理机、终端、中间件、网络设宿主机、虚拟机、虚拟机监视器、备、安全设备云管理平台、网络策略控制器应用系统、中间件、配置文件、业务数据、用户隐私、鉴别信息、应用系统、中间件、配云应用开发平台、云计算服务对应用和数据安全置文件、业务数据、用外接口、云管理平台、镜像文件、户隐私、鉴别信息等快照、数据存储设备、数据库服务器安全管理机构和人信息安全主管、相关文信息安全主管，相关文档员档系统建设负责人、服务水平协议、系统