政府部门云计算服务提供商安全基本要求研究报告

Size: px

Start display at page:

Download "政府部门云计算服务提供商安全基本要求研究报告"

底麻
5 years ago
Views:

1 云计算服务安全国家标准解读陈兴蜀教授四川大学网络空间安全研究院常务副院长 Cloud

2 主要内容 1 云计算服务安全审查 2 云计算服务安全指南 3 4 云计算服务安全能力要求云计算服务发展的机遇 2

3 云计算服务网络安全审查 1) 中央网信办会同有关部门建立云计算服务安全审查机制, 对为党政部门提供云计算服务的服务商, 参照有关网络安全国家标准, 组织第三方机构进行网络安全审查 2) 重点审查云计算服务的安全性可控性 3) 党政部门采购云计算服务时, 应逐步通过采购文件或合同等手段, 明确要求服务商应通过安全审查 4) 鼓励重点行业优先采购和使用通过安全审查的服务商提供的云计算服务 3

4 国发 [2015]5 号再促落实云网络安全审查统筹协调 : 探索电子政务云计算发展新模式, 政府部门要加大采购云计算服务的力度, 推动政务信息资源共享和业务协调保障安全 : 建立完善党政机关云计算服务安全管理制度, 制定信息收集存储转移删除跨境流动等管理规则 4

5 云计算服务安全审查的策略立足风险安全可控结合政策要求和技术标准, 基于云计算环境安全风险, 审查党政部门云计算服务的安全性可控性以审为主以测为辅分阶段审查 : 服务商提供证据 ; 第三方机构收集分析证据, 采用访谈测试等方式验证 ; 专家评审持续监督加强管理关注党政部门云计算服务采购和应用全生命周期的风险管理, 引导产业持续提升安全能力 5

6 云网络安全审查的工作思路组织结构协调组专家组审查办公室成员 : 中央网信办发改委财政部工信部等部门职责 : 负责云网络安全管理的指导协调和监督管理成员 : 方滨兴院士任组长, 组员来自网安和信息化领域职责 : 为云网络安全管理提供技术支撑和专业咨询成员 : 由中央网信办成立网络安全审查办公室职责 : 承担云网络安全审查的组织实施和日常工作 6

7 云网络安全审查的工作思路审查流程协调组专家组支撑网络安全审查办公室资质授权资质申请评价结果第三方评估机构第三方评价获取通过审查的 CSP 名单审查结果提交审查申请党政部门正式采购通过审查的 CSP 的云服务云服务商 (CSP) 对 CSP 持续监督

8 云网络安全审查的优势益处党政部门网络安全审查 - 统一的风险管理 - 全方位的背景供应链技术和管理安全 - 持续监督 - 政府级安全需求 : 节约成本, 增加有效性 : 形成规范的证据包, 部门间共享安全评估与审查结果 : 加快部门采购云过程云服务 : 政府部门安全需求统一化和持续监督 : 云服务商提升安全能力, 提升用户信心 8

9 已正式发布的云计算服务安全国家标准 9

10 云计算服务安全审查与标准的关系针对政府部门采用云计算服务要求采用通过审查的云计算服务两项已颁布的国家标准是基本准则, 重要的技术和管理参考云计算服务安全指南视角政府部门重点行业的客户云计算服务安全能力要求视角云服务提供商 10

11 主要内容 1 云计算服务安全审查 2 云计算服务安全指南 3 4 云计算服务安全能力要求云计算服务发展的机遇 11

12 信息安全技术云计算服务安全指南主要读者 : 政府部门用户目标 : 指导用户安全地使用云计算服务主要内容 : 在云计算服务的生命周期采取相应的安全技术和管理措施, 保障数据和业务的安全 12

13 标准的框架结构云计算基本概念介绍云计算的风险管理云计算安全风险分析云计算服务安全管理基本要求帮助读者认识和理解云计算和云计算服务阐明云计算的安全风险, 明确云计算服务安全管理基本要求云计算服务生命周期规划准备选择服务商与部署运行监管指导客户如何在各个关键环节采用管理和技术措施安全地使用云计算服务退出服务 13

14 明确云计算服务的安全管理基本要求云计算安全风险分析安全管理基本要求客户对数据和业务系统的控制能力减弱客户与云服务商之间的责任难以界定可能产生司法管辖权问题数据所有权保障面临风险数据保护更加困难数据残留容易产生对云服务商的过度依赖信息安全管理基本要求安全管理责任不变资源的所有权不变司法管辖关系不变安全管理水平不变坚持先审后用原则 14

15 云计算服务生命周期将客户采用云计算服务的过程划分 4 个关键阶段 : 规划准备选择服务商与部署运行监管退出服务变更服务商规划准备选择服务商与部署运行监管退出服务 15

16 规划准备阶段评估云采用云计算服务所带来的收益确定安全基本要求业务分类信息分类确定功能性能安全指标决策报告 16

17 分类政府信息政府信息 : 指政府机关, 包括受政府委托代行政府机关职能的机构, 在履行职责过程中, 以及政府合同单位在完成政府委托任务过程中产生获取的, 通过计算机等电子装置处理保存传输的数据, 相关的程序文档等涉密信息按国家保密法规执行 : 本标准将非涉密政府信息分为敏感信息和公开信息 17

18 分类政府业务确定了信息类型后, 还需要对承载相关信息的业务进行分类根据业务不能正常开展时可能造成的影响范围和程度, 本标准将政府业务划分为 : 一般业务重要业务关键业务 18

19 确定采用云计算服务的优先顺序客户应根据信息和业务的分类初步确定适合使用云计算服务的信息和业务的优先顺序信息类型敏感信息可采用暂不采用公开信息优先采用一般业务重要业务关键业务业务类型 19

20 确定云计算服务的安全保护要求基本要求具有通用性, 由信息安全技术云计算服务安全能力要求给出详细的要求, 并统一进行评估信息类型敏感信息增强保护公开信息一般保护一般业务重要业务业务类型 20

21 选择服务商与部署云服务商安全能力要求确定云服务商签订合同部署 21

22 合同是采购云计算服务的关键依据有效的合同可以保护客户云服务商的合法利益规范云服务商的行为和服务保障客户的数据业务安全客户在与云服务商签订合同时, 应该全面考虑采用云计算服务的整个生命周期中可能面临的安全风险, 并通过合同等形式对管理技术人员等进行约定, 要求云服务商为客户提供安全可靠的服务 22

23 合同模版的主要内容合同模版目录结构合同附件清单工作范围服务内容服务水平交付成果合同金额与支付方式权利与义务安全知识产权违约责任不可抗力通知与送达法律与争议解决其他事项合同附件服务水平协议信息保密协议接触甲方数据人员名单应急响应计划灾难恢复计划云计算服务部署方案运行监管计划退出服务方案 14 方面的内容 8 个附件 23

24 运行监管的目的在采用云计算服务时, 虽然客户将部分控制和管理任务转移给云服务商, 但最终安全责任还是由客户自身承担客户应加强对云服务商的运行监管, 同时对自身的云计算服务使用管理和技术措施进行监管运行监管的主要目标是确保 : 合同规定的责任义务和相关政策规定得到落实, 技术标准得到有效实施 ; 服务质量达到合同要求 ; 重大变更时客户数据和业务的安全 ; 及时有效地响应安全事件 24

25 运行监管阶段角色与责任客户云服务商所拥有管理的云计算平台承载着客户的客户数据和业务 ; 部署到云平台上的数据和业务的信息安全最终责任人协助客户的运行监管工作第三方评估机构云服务提供商对云计算环境进行安全评估 25

26 运行监管阶段任务一 : 客户自身的运行监管客户自身的运行监管对客户数据和业务用户的监管 ( 违规违约情况的监管 ) 客户负责实施的安全措施的监管 26

27 运行监管阶段任务二 : 对云服务商的监管第三方机构的测评安全事件响应重大变更处理应急响应演练运行状态监管整改记录应急响应计划更新信息安全策略更新 27

28 退出云计算服务是一个复杂的过程客户退出云计算服务重新选择云服务商, 需要将业务数据迁移到新的平台不再选择外包, 需要将业务数据迁移会自己的数据中心都需要云服务商的帮助和配合! 28

29 退出要求迁移过程中的业务可用性和持续性要求及时取消云服务商访问权限提醒云服务商仍应承担的责任及义务要求云服务商完整返还客户数据确保云服务商按要求保留数据或彻底清除数据提前与云服务商商定退出细节退出时客户需要注意的安全问题变更云服务商 : 先选定新服务商再迁移或退出 29

30 指南的配套材料云计算服务安全国家标准编制组标准解读与实施合同模版 30

31 主要内容 1 云计算服务安全审查 2 云计算服务安全指南 3 4 云计算服务安全能力要求云计算服务发展的机遇 31

32 信息安全技术云计算服务安全能力要求云计算服务安全能力要求描述了云服务商为政府客户提供云计算服务时, 应具备的信息安全技术和管理能力能力要求的读者: 云服务提供商, 也包括第三方测评机构客户等能力要求的目的: 配合政府部门云计算服务安全审查工作 32

33 能力要求关注的重点安全问题一是系统开发与供应链安全从系统开发角度, 强调了云服务商的安全保证 (assurance) 能力, 特别是对云计算平台上产品和服务的供应链安全提出了要求, 目的是增强关键环节使用国外产品和服务的可控性二是系统与通信保护要求在云计算平台的外部边界和内部关键边界上监视控制和保护网络通信, 并确保系统虚拟化网络虚拟化存储虚拟化的安全三是访问控制对云服务商保护客户数据和用户隐私限制授权行为等提出了要求 33

34 能力要求关注的重点安全问题 ( 续 ) 四是配置管理对云计算平台提出了配置管理要求五是维护要求云服务商应定期维护云计算平台设施和软件系统六是应急响应与灾备要求云服务商确保在紧急情况下重要信息资源的可用性有效处理安全事件, 以确保客户业务可持续七是审计强调了云计算平台上的审计功能, 并对审计的查阅提出了有别于传统信息系统的更强的要求 34

35 能力要求关注的重点安全问题 ( 续 ) 八是风险评估与持续监控要求云服务商对云计算平台进行风险评估, 并对受保护目标进行持续安全监控九是安全组织与人员强调了云服务商及第三方的人员安全, 重点是防范国外云服务商的人员安全风险十是物理与环境保护要求云服务商的机房位于中国境内, 并严格限制各类人员与运行中的云计算平台设备进行物理接触 35

36 起草标准时把握的主要原则充分参考国际和国外已有标准考虑到国内云计算安全标准相关资料欠缺, 同时也是为了有效应对今后可能出现的信息安全贸易争端, 能力要求充分吸收了已有国际和国外云安全相关标准符合我国云计算产业发展的实际, 技术上适当超前, 引导云计算安全措施的应用能力要求针对云计算服务的特别增加了系统虚拟化网络虚拟化存储虚拟化等方面的安全要求但考虑到技术发展趋势, 本标准总体上保持技术中立, 对一些疑难问题提出了原则性总体要求, 以指引技术进步 36

37 能力要求的主要参考标准参考 FedRAMP 基线 FedRAMP 基线取自 NIST v3 中的安全控制, 基本没有超出 NIST 的内容除个别项外, 能力要求吸收了 FedRAMP 云安全基线的绝大部分内容, 对安全要求的分类方式做了调整参考 CSA 的云计算安全指南 3.0 及 ISO/IEC 参考了国际云安全联盟 (CSA) 云计算安全指南 3.0 国际云安全标准 ISO/IEC 标准编制组建立了能力要求与这些标准的对比关系 37

38 安全要求的表述形式 -- 以举例等形式将能力要求转化为技术性要求对重要的信息系统组件或服务实施 [ 赋值 : 云服务商定义的供应链安全防护措施 ], 供应链安全防护措施包括但不限于 : 对开发商进行筛选, 对开发人员进行审核人员筛选的准则包括 : 无过失可靠或称职的官方证明良好的背景审查公民身份和国籍云服务商应实施 [ 赋值 : 云服务商定义的采购策略合同工具和采购方法 ] 可从以下方面考虑 : 对下级供应商关键组件和服务的安全提供了进一步的核查限制来自于特定供应商或国家的采购 38

39 安全要求的调整 - 为云服务商实现安全要求带来灵活性能力要求提出的安全要求是通常情况下云服务商应具备的基本安全能力在具体的应用场景下, 云服务商有可能需要对这些安全要求进行调整, 例如 : 已知某些目标政府用户有特殊的需求云服务商的安全责任因 SaaS PaaS 和 IaaS 这 3 种不同的云计算服务模式而不同, 云服务商为了实现标准中规定的安全要求, 所选择的安全措施的实施范围实施强度可能不同出于成本等因素考虑, 云服务商可能希望实现替代性的安全要求云服务商希望表现更强的安全能力, 以便于吸引客户 39

40 安全要求的调整 - 为云服务商实现安全要求带来灵活性调整可视为对本标准提出的基本安全能力要求的具体化调整的方式有 : 删减 : 未实现某项安全要求, 或只实现了某项安全要求的一部分补充 : 某项基本安全要求不足以满足云服务商的特定安全目标, 故增加新的安全要求, 或对标准中规定的某项安全要求进行强化替代 : 使用其他安全要求替代标准中规定的某项安全要求, 以满足相同的安全目标 40

41 安全计划模版为了建立向政府用户提供安全的云计算服务的能力, 云服务商应制定安全计划, 详细说明其安全能力要求的实现情况安全计划包括但不限于以下内容 : 云计算平台的基本描述为实现能力要求规定的安全要求而采取的安全措施的具体情况为实现能力要求规定的安全要求而采取的安全措施的作用范围对云服务商新增的安全目标及对应的安全措施的说明在具体云计算服务模式下, 对政府用户安全责任的说明, 以及对政府用户应实施的安全措施的建议 41

42 能力要求的配套材料标准解读与实施安全计划模版安全评估规范 ( 讨论稿 ) 42

43 主要内容 1 云计算服务安全审查 2 云计算服务安全指南 3 4 云计算服务安全能力要求云计算服务发展的机遇 43

44 提升用户信心是有效推广云服务的关键提高透明性 : 提供必需的运行监管接口数据, 供用户第三方机构进行运行监管提高云计算平台的运维水平, 保障用户的数据和业务安全解决云计算服务平台与用户的管理界面, 界定管理的责任和义务对用户进行有效的培训指导, 督促用户实施其负责的安全管理和责任保障云计算平台的供应链安全, 满足政府部门用户的安全合规性要求

45 解决不同云服务平台之间的迁移和共享问题用户希望能有效控制数据, 不希望被 CSP 绑架从目前的发展来看, 向云服务平台迁移云平台的共享和接口问题将是推动云服务的关键环节之一应开展云服务商之间的合作, 讨论相同服务模式下, 数据和业务的迁移接口和标准讨论不同云服务平台之间, 数据共享分发的接口和标准

46 安全是数据开放共享的基础李克强总理 2015 年 8 月 19 日主持召开国务院常务会议, 会议通过了关于促进大数据发展的行动纲要, 强调要推动政府信息系统和公共数据互联共享, 消除信息孤岛, 加快整合各类政府信息平台, 避免重复建设和数据打架, 增强政府公信力, 促进社会信用体系建设是 CSP 的强心剂, 也是风向标云服务商应加强安全, 保障数据的开放和共享云服务商应考虑, 是以提供云服务软硬件解决方案和产品为主, 还是应该转变思路以提供云服务为主? 美国的 FedRAMP 授权就是一个案例

47 实现不同云平台之间的安全威胁情报共享机制随着政府数据的集中, 安全威胁也将集中而云计算平台上会聚集了大量的厂商, 形成相应的生态环境每一家 CSP 很难独立应对网络攻击, 应建立云计算平台之间的安全威胁情报共享机制, 及时分发分享情报, 形成一个共赢互利的生态环境有利于云服务提供商及时对网络威胁做出响应有利于保护用户的数据和系统安全能有效保护政府数据所涉及到的国家企业民生等各个方面的信息

48 基于开放共享的理念和机制共建安全云计算服务商之间建立良好的合作生态环境基于开放共享互惠互利的原则, 进行安全情报信息共享共同打造云计算服务大数据环境下的安全需要进一步研究和制定云计算服务安全的技术和管理标准, 支撑云计算服务的发展让新技术新应用真正造福民众企业政府和国家!

49 谢谢! 2016 Cloud

092 司法论坛一常见的证据保全对象 windowsxp office2003 ( ) ( ) : : 二对证据保全申请的审查和处理 3 : ; ; ; ( )?

092 司法论坛一常见的证据保全对象 windowsxp office2003 ( ) ( ) : : 二对证据保全申请的审查和处理 3 : ; ; ; ( )? 091 知识产权诉讼证据保全制度研究文 / ( ) 5 11. 12. 教育机构侵权责任的免责事由 :1. 2. 7 3. 6. 4. 5. ; :1. 2. 3. 4. 5. ( : ) 092 司法论坛一常见的证据保全对象 windowsxp office2003 ( ) ( ) : : 二对证据保全申请的审查和处理 3 : ; ; ; ( )? 093 ( ) 75 : : 75? 094

政府部门云计算服务提供商 安全基本要求 研究报告

政府部门云计算服务提供商安全基本要求研究报告