发布时间: 2024-05-20 00:14:04 作者: 乐鱼棋牌正版
等级保护工作作为国家网络安全法明确的重要制度,已在我国信息系统安全保驾护航中发挥着及其重要的作用。为应对新技术、新应用发展所带来的安全问题,公安部网络安全保卫局组织并且开展了大规模的等级保护系列标准的修订。云计算等级保护系列标准作为安全通用要求之后的第二分册,标准编制开始至今,受到相关各方的高度广泛关注,收到了很多宝贵意见和建议。
云计算等保系列标准包括三个:《信息安全技术网络安全等级保护基本要求 第2部分:云计算安全扩展要求》(以下简称“云计算基本要求”)、《信息安全技术 网络安全等级保护测评要求第2部分:云计算安全扩展要求》、《信息安全技术 网络安全等级保护设计技术方面的要求 第2部分:云计算安全扩展要求》(以下简称“云计算设计的基本要求”)。
第二分册作为第一分册安全通用要求的扩展和补充,主要用以应对云计算技术所带来的威胁与风险,在测评实施中要以安全通用要求为基础,同时参考定级指南等有关标准,共同完成云计算安全等级保护的测评工作。
云计算服务带来了“云主机”等虚拟计算资源,将传统IT环境中信息系统运营、使用单位的单一安全责任转变为云租户和云服务商双方“各自分担”的安全责任,使得云计算环境下定级工作相对来说还是比较复杂。
云计算系统的定级对象在原有定级对象基础上进行了扩展,原有定级对象主要是信息系统和相关基础网络,而云计算将定级对象扩展为云服务商的云平台和云租户的应用系统。
云计算系统定级时,云服务商的云平台和云租户的应用系统应分别定级,云平台等级应不低于应用系统的安全保护等级。对于公有云,定级流程为云平台先定级测评,再提供云服务。对于私有云,定级流程为云平台先定级测评,再将已定级应用系统向云平台迁移。
云计算系统定级的重点在于定级对象管理职责的划分,职责的划分根据不同云计算服务模式采取不同划分方式。
(一) 对于IaaS基础设施服务模式,云服务商的职责范围有虚拟机监视器和硬件,云租户的职责范围有操作系统、中间件和应用等。
(二) 对于PaaS平台即服务的服务模式,云服务商的职责范围有硬件、虚拟机监视器、操作系统和中间件,云租户的职责范围为应用。
(三) 对于SaaS软件服务模式,云服务商的职责范围有硬件、虚拟机监视器、操作系统、中间件和应用,云租户的职责范围有部分应用职责及用户使用职责。
云计算服务模式以及角色的不同决定着定级对象的管理职责不同,从而决定着定级的系统范围的不同。
由于虚拟化等新技术的应用,IaaS/PaaS/SaaS按需服务模式的引入,相对于传统信息系统,云计算系统的保护对象有所增加。
云计算系统保护对象除包含传统信息系统保护对象外,还包含云计算系统特有保护对象。在进行云计算系统等级保护测评时,针对不同保护对象实施不相同测评内容,既要对云计算系统特有保护对象依据云安全测评要求做测评,也要对云计算系统选取安全通用要求相关指标进行测评。
云计算等级测评参照通用测评要求的修订思路进行了修订,技术框架同样调整为单项测评和整体测评。同时依据GB/T22239.1标准的文本架构,从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全策略和管理制度、安全管理机构和人员、安全建设管理、安全运维管理等八个层面开展测评实施工作。同时,与其他测评要求统一编码,与通用测评要求的级差变动情况保持一致。
本标准与云计算基础要求一一对应,标准单项测评内容与云计算基础要求中条款相对应,针对云计算基本要求中每一条款,云测评要求给出具体测评对象,测评实施和结果判定。本标准与云计算设计的基本要求相融合,结合云计算设计的基本要求中技术实现细节,并结合实际测评情况给出云计算测评的具体实施内容。
另外,本标准同样适用于云计算系统建设时作为参考。在术语定义、云计算服务模式等方面,云计算基础要求、云计算测评要求和云计算设计的基本要求保持了思想的一致性。
本标准应与通用测评要求配合使用,对使用云计算有关技术的平台及应用系统,应根据真实的情况,对应通用测评要求和云计算测评要求,抽取相关测评要求,并按照这些测评要求编制测评指导书。
对于云计算系统中特有的保护对象:云管理平台、虚拟机监视器、虚拟网络设备和虚拟安全设备为例抽取测评项方式如下:
对于云管理平台,应从通用测评要求的应用和数据层面抽取测评项,并从云计算测评要求的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全层面抽取测评项。
对于虚拟机监视器,应从通用测评要求的设备和计算安全层面抽取测评项,并从云计算测评要求的网络和通信安全、设备和计算安全层面抽取测评项。
对于虚拟网络设备和虚拟安全设备,应从通用测评要求的网络和通信安全层面抽取测评项,并从云计算测评要求的网络和通信安全、设备和计算安全层面抽取测评项。
云计算测评要求主要是针对云计算技术和管理中的特殊性提出要求,相对于传统信息系统,测评单元和测评项均有所新增。云计算测评工作的开展首先要明确测评对象是云服务商还是云租户,对于同一条测评实施内容,针对云服务商与云租户具有不一样的含义,部分条款仅适用于云服务商,而部分条款仅适用于云租户。
例如测评实施中:“应检查云服务商的网络边界设备或虚拟化网络边界设备,查看安全保障机制、访问控制规则或访问控制策略等”仅适用于云服务商,而不适用于云租户。
其次,应明确测评的云计算系统的服务模式,根据云计算系统的服务模式进行职责划分。明确测评对象和服务模式后,云计算测评要求的条款就能够直接进行相应剪裁以适用于不同的云计算系统。根据裁剪后的结果形成作业指导书,从而指导云计算测评工作的实施。