《信息安全技术云计算服务安全能力评估方法》
- 格式：docx
- 大小：42.43 KB
- 文档页数：55
下载文档原格式
合集下载
云计算服务安全性与合规性评估指南
云计算服务安全性与合规性评估指南随着数字化转型浪潮的加速推进，云计算服务已成为企业信息技术基础设施的核心组成部分。
然而，数据安全与合规性问题也随之成为企业关注的重点。
为了确保企业云上业务的安全与合规，制定一套全面的云计算服务安全性与合规性评估指南显得尤为重要。
以下为六个关键评估点：一、数据保护与加密策略在云计算环境中，数据保护是安全体系的基石。
企业应评估云服务商是否提供多层次的数据加密机制，包括数据传输过程中的SSL/TLS加密、静止数据的存储加密以及客户密钥管理服务。
同时，需确认服务商是否支持符合行业标准的加密算法，并能根据企业的特定需求灵活配置加密策略。
此外，评估数据备份与恢复方案的可靠性，以及服务商在数据泄露事件中的应急响应能力，也是至关重要的。
二、访问控制与身份验证确保只有授权人员能访问敏感数据和应用程序是防止数据泄露的关键。
评估时应重点关注云平台的多因素身份验证机制、细粒度访问控制策略（RBAC或ABAC）、以及基于角色或属性的权限管理功能。
此外，服务商是否提供日志审计和监控服务，以便跟踪和记录所有访问活动，也是评估的一部分，这有助于及时发现异常行为并采取相应措施。
三、物理与网络安全虽然云环境中的硬件设施通常由服务商管理，但企业仍需了解数据中心的物理安全措施，如安全围栏、生物识别门禁、24/7监控等。
在网络安全方面，评估应涵盖网络隔离技术（VPC、子网划分）、防火墙规则配置灵活性、DDoS防护能力以及入侵检测与预防系统。
确保服务商能够提供稳定且高度安全的网络架构，以防止外部攻击和内部威胁。
四、合规性与认证鉴于不同行业和地区存在特定的法律法规要求（如GDPR、HIPAA、PCI DSS等），选择云服务商时，企业需确认其是否具备相应的合规认证，以及是否能提供必要的合规支持服务。
评估应涉及服务商的合规报告、数据主权策略、跨境数据转移机制以及是否遵守国际数据保护标准。
此外，服务商的透明度，即是否愿意分享其安全控制措施的审计结果和第三方评估报告，也反映了其对合规承诺的重视程度。
云计算平台下的安全风险评估与控制
云计算平台下的安全风险评估与控制在云计算平台下的安全风险评估与控制云计算平台的发展为企业提供了更加高效、灵活和经济的信息技术解决方案。
然而，云计算平台也面临着安全风险的挑战。
本文将探讨云计算平台下的安全风险评估与控制的重要性，并提供一些有效的方法与措施。
一、背景介绍随着信息技术的不断发展，云计算平台作为一种新型的资源共享和服务模式，获得了广泛的应用。
云计算平台的出现，将企业的IT资源从本地环境中释放出来，通过Internet进行远程访问和管理，大大降低了企业的IT成本。
然而，云计算平台也存在着一些安全风险，包括数据泄露、虚拟机攻击、网络安全等问题。
因此，对云计算平台的安全风险进行评估与控制是至关重要的。
二、安全风险评估云计算平台安全风险评估是指对云计算平台的各种安全威胁进行分析与评估，以确定潜在的威胁和脆弱点，并为后续的风险控制措施提供依据。
下面是一些常用的安全风险评估方法：1.威胁建模：通过对云计算平台的各种威胁进行建模，识别可能的安全漏洞和攻击路径。
这可以帮助企业理解其面临的安全风险，并采取相应的控制措施。
2.安全性扫描：通过扫描云计算平台的各种组件和配置，发现存在的安全漏洞和配置错误。
这种方法可以帮助企业及时发现并解决安全风险。
3.风险评估矩阵：通过评估各种安全威胁的概率和影响程度，制定相应的风险评估矩阵。
这有助于企业确定哪些风险需要优先考虑，并采取相应的防范措施。
三、安全风险控制云计算平台的安全风险控制是指通过各种措施，减少潜在的安全威胁和风险。
下面是一些常用的安全风险控制方法：1.访问控制：建立严格的访问控制策略，限制用户和管理员的权限。
采用强密码、多因素认证等措施，确保只有合法的用户才能访问云计算平台。
2.数据加密：对在云计算平台上存储和传输的数据进行加密，有效保护数据的机密性和完整性。
同时，定期备份和恢复数据，以应对可能的数据丢失和灾难恢复。
3.监控与审计：建立实时监控和审计系统，及时发现和响应安全事件。
《云计算服务安全能力评估方法》解读
1. 云计算的发展与应用时至今日，云计算已经成为许多企业和个人使用的重要技术。
它通过虚拟化技术将计算、存储和网络资源整合在一起，为用户提供各种各样的服务，包括数据存储、应用部署、虚拟机管理等。
云计算的发展不仅带来了便利，同时也带来了一系列安全隐患和挑战。
评估云计算服务的安全能力成为了当前云计算行业中的一个重要课题。
2. 云计算服务安全能力的评估意义云计算服务的安全能力评估是为了保障用户在使用云计算服务时的数据和隐私安全，提高云计算服务的信任度和可靠性。
通过评估云计算服务的安全能力，用户可以在选择云计算服务提供商时有依据，同时云计算服务提供商也可以加强自身的安全能力，以满足用户的需求。
3. 云计算服务安全能力的评估指标云计算服务安全能力评估主要涉及以下几个方面的指标：- 数据加密能力：评估云计算服务提供商对用户数据的加密能力，包括数据传输加密和数据存储加密。
- 访问控制能力：评估云计算服务提供商对用户数据的访问控制能力，包括用户身份认证、权限管理等。
- 安全监控能力：评估云计算服务提供商对用户数据和系统的安全监控能力，包括异常检测、日志记录等。
- 安全审计能力：评估云计算服务提供商对用户数据和系统的安全审计能力，包括合规性审计、日志分析等。
4. 云计算服务安全能力评估的方法云计算服务安全能力评估的方法主要包括定性评估和定量评估两种方式。
- 定性评估：通过对云计算服务提供商的安全政策、安全机制、安全技术等进行分析和比较，进行主观评估。
- 定量评估：通过对云计算服务提供商的安全能力指标进行量化分析和测算，进行客观评估。
5. 云计算服务安全能力评估的实施步骤云计算服务安全能力评估的实施步骤主要包括以下几个步骤：- 确定评估范围：确定评估的云计算服务提供商和评估的具体内容。
- 收集评估信息：收集相关的安全政策、安全机制、技术文档等信息。
- 进行评估分析：对收集的信息进行分析和比较，评估云计算服务提供商的安全能力。
云计算服务安全评估办法【最新版】
云计算服务安全评估办法为提高党政机关、关键信息基础设施运营者采购使用云计算服务的安全可控水平，国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、财政部制定了《云计算服务安全评估办法》，现予以发布。
附件：云计算服务安全评估办法国家互联网信息办公室国家发展和改革委员会工业和信息化部财政部2019年7月2日云计算服务安全评估办法第一条为提高党政机关、关键信息基础设施运营者采购使用云计算服务的安全可控水平，制定本办法。
第二条云计算服务安全评估坚持事前评估与持续监督相结合，保障安全与促进应用相统一，依据有关法律法规和政策规定，参照国家有关网络安全标准，发挥专业技术机构、专家作用，客观评价、严格监督云计算服务平台（以下简称“云平台”）的安全性、可控性，为党政机关、关键信息基础设施运营者采购云计算服务提供参考。
本办法中的云平台包括云计算服务软硬件设施及其相关管理制度等。
第三条云计算服务安全评估重点评估以下内容：（一）云平台管理运营者（以下简称“云服务商”）的征信、经营状况等基本情况；（二）云服务商人员背景及稳定性，特别是能够访问客户数据、能够收集相关元数据的人员；（三）云平台技术、产品和服务供应链安全情况；（四）云服务商安全管理能力及云平台安全防护情况；（五）客户迁移数据的可行性和便捷性；（六）云服务商的业务连续性；（七）其他可能影响云服务安全的因素。
第四条国家互联网信息办公室会同国家发展和改革委员会、工业和信息化部、财政部建立云计算服务安全评估工作协调机制（以下简称“协调机制”），审议云计算服务安全评估政策文件，批准云计算服务安全评估结果，协调处理云计算服务安全评估有关重要事项。
云计算服务安全评估工作协调机制办公室（以下简称“办公室”）设在国家互联网信息办公室网络安全协调局。
第五条云服务商可申请对面向党政机关、关键信息基础设施提供云计算服务的云平台进行安全评估。
第六条申请安全评估的云服务商应向办公室提交以下材料：（一）申报书；（二）云计算服务系统安全计划；（三）业务连续性和供应链安全报告；（四）客户数据可迁移性分析报告；（五）安全评估工作需要的其他材料。
网络安全知识竞赛考试题及答案(完整版)
网络安全知识竞赛考试题及答案（完整版）1.在日常生活中，以下哪些选项容易造成我们的敏感信息被非法窃取？（）A.随意丢弃快递单或包裹（正确答案）B.定期更新各类平台的密码，密码中涵盖数字、大小写字母和特殊符号C.电脑不设置锁屏密码（正确答案）D.在网上注册网站会员后详细填写真实姓名、电话、身份证号、住址等信息（正确答案）2.数据安全能力成熟度模型的安全能力维度包括（）A.组织建设（正确答案）B.制度流程（正确答案）C.技术工具（正确答案）D.人员能力（正确答案）3.数据权限申请、审批、使用、展示数据需（）原则A.看看就行B,敏感信息脱敏（正确答案）C.随便发生D,遵循最小化够用（正确答案）4.数据安全中的数据指什么（）A,数字（正确答案）B,设计文档（正确答案）C.客户信息（正确答案）D.企业组织机构（正确答案）5.GB/T31168《信息安全技术云计算服务安全能力要求》提出的安全要求是通常情况下云服务商应具备的基本安全能力。
在具体的应用场景下，云服务商有可能需要对这些安全要求进行调整。
调整的方式有（）oA.删减（正确答案）B,补充（正确答案）C.忽视D,替代（正确答案）6.GB/T31168《信息安全技术云计算服务安全能力要求》规定的安全计划所包含的内容包括但不限于（）oA.云平台的基本描述（正确答案）B.所采取的安全措施的具体情况（正确答案）C.对云服务商新增的安全目标及对应的安全措施的说明（正确答案）D.对客户安全责任的说明，以及对客户应实施的安全措施的建议（正确答案）7.在不同情况下，实施云计算安全措施的主体可能包括（）oA.云服务商（正确答案）B.客户（正确答案）C.云服务商和客户共同承担（正确答案）D.其他组织承担（正确答案）8.即使对同等安全能力水平的云服务商，其实现安全要求的方式也可能会有差异。
为此，GB/T31168《信息安全技术云计算服务安全能力要求》在描述安全要求时引入了（）oA.赋值（正确答案）B.重复C.细化D.选择（正确答案）9.下列场景，外单位人员可能接触到数据的有：（）A.内部使用B.领地公开共享（正确答案）C.受控公开共享（正确答案）D.完全公开共享（正确答案）10.去标识化的目标包括：（）A,删除所有标识符B,数据重标识风险尽可能低（正确答案）C,将数据尽可能泛化处理D,数据尽可能有用（正确答案）11.重标识的主要方法有：（）A,分离（正确答案）B,泛化C.关联（正确答案）D.推断（正确答案）12.重标识的主要工作包括：（）A.选取属性特征，确保区分度足够小B.选取属性特征，确保区分度足够大（正确答案）C.基于选取的属性特征，与身份信息关联（正确答案）D.基于选取的属性特征，去掉与身份信息的关联13.数据时效性一般要求包括（）A,制定数据存储时效性管理策略和规程（正确答案）B,明确存储数据分享、禁止使用和数据清除有效期，具备数据存储时效性授权与控制能力（正确答案）C.具备数据时效性自动检测能力D.建立过期存储数据的安全保护机制（正确答案）14.数据服务中的逻辑存储安全能力包括（）A.建立了数据逻辑存储管理安全规范和机制（正确答案）B.建立数据分片和分布式存储安全规范和规则（正确答案）C,明确了多租户数据逻辑存储隔离授权与操作规范（正确答案）D,提供了细粒度安全审计和数据操作溯源技术与机制15.在国际标准化组织（ISO）出版物类型中，技术规范（TS）指（1）,公开可用规范（PAS）指（2）,技术报告（TR）指（3）o（）A.当所讨论的技术主题仍在开发中，或者由于任何其他原因，将来有可能但不是立即能达成可发布的国际标准时发布的出版物（正确答案）B.技术委员会或分委员会收集的数据不同于能作为国际标准正式发布的数据时发布的出版物（正确答案）C.制定完整的国际标准之前作为中间规范发布的出版物（正确答案）D.技术委员会或分委员会下工作组层面提交的出版物16.IS0/IECJTC1/SC27/WG4是安全服务与控制工作组，涵盖的主题域包括（）等。
信息安全技术 云计算服务安全能力评估方法
信息安全技术云计算服务安全能力评估方法下载提示：该文档是本店铺精心编制而成的，希望大家下载后，能够帮助大家解决实际问题。
文档下载后可定制修改，请根据实际需要进行调整和使用，谢谢!本店铺为大家提供各种类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by this editor. I hope that after you download it, it can help you solve practical problems. The document can be customized and modified after downloading, please adjust and use it according to actual needs, thank you! In addition, this shop provides you with various types of practical materials, such as educational essays, diary appreciation, sentence excerpts, ancient poems, classic articles, topic composition, work summary, word parsing, copy excerpts, other materials and so on, want to know different data formats and writing methods, please pay attention!信息安全技术：云计算服务安全能力评估方法引言随着云计算的迅速发展，各种类型的数据和应用程序都越来越多地迁移到了云端。
信息安全技术云计算服务安全能力评价方法
CETC30所
采纳。
39.
6.15.1e)
修改建议：
对6.15.1e）的评估方法第二条修改为：
——模拟虚拟存储数据的常规操作和异常操 作，检测是否有审计记录，审计记录信息要 素是否完备，审计记录是否不能被修改和删 除。
CETC30所
未采纳。标准是宏观共性的评 估方法，不涉及具体用例。
40.
6.15.2a)
西安未来 国际有限 公司
未采纳。不强调使用强制手 段。
54.
检查是否建立备品备件列表并对备件进行抽 样检测确保其可用性。
西安未来 国际有限 公司
部分采纳。
55.
a
检查应急响应计划文档，查看其是否包含了 容量规划的内容；检查容量规划文档是否明 确了必要的信息处理容量、通信容量和环境 支持能力。
西安未来 国际有限 公司
——测试云服务商所使用到的通信加密和签 名验签设施是否与设计文档要求相一致；
CETC30所
采纳。
22.
建议收敛测试方法，因密码设备测试认可有 一套严格管理规定，建议以审查相关权威机 构发放的认可证书为准。（具体需要进一步 落实国家密码管理局、涉密信息系统相关管 理规定）。
CETC30所
采纳。
23.
修改建议：
提出单位
处理意见
备注
标准草案，2015年5月20日发编制组内部征求意见
1.
依据当前评估条目的适用性，提取共性项， 对仅适用于特殊场景下的评估点标注其使用 建议，或单独章节形成特定测评点要求。
CETC30所
未采纳。对服务类型进行区分 超出本标准的范围。
2.
当前稿中涉及的角色称谓名称较多，各称谓 代表的对象范畴没有明示，容易混淆，比如 用户、客户、租户之间的差异。
采纳。
39.
6.15.1e)
修改建议：
对6.15.1e）的评估方法第二条修改为：
——模拟虚拟存储数据的常规操作和异常操 作，检测是否有审计记录，审计记录信息要 素是否完备，审计记录是否不能被修改和删 除。
CETC30所
未采纳。标准是宏观共性的评 估方法，不涉及具体用例。
40.
6.15.2a)
西安未来 国际有限 公司
未采纳。不强调使用强制手 段。
54.
检查是否建立备品备件列表并对备件进行抽 样检测确保其可用性。
西安未来 国际有限 公司
部分采纳。
55.
a
检查应急响应计划文档，查看其是否包含了 容量规划的内容；检查容量规划文档是否明 确了必要的信息处理容量、通信容量和环境 支持能力。
西安未来 国际有限 公司
——测试云服务商所使用到的通信加密和签 名验签设施是否与设计文档要求相一致；
CETC30所
采纳。
22.
建议收敛测试方法，因密码设备测试认可有 一套严格管理规定，建议以审查相关权威机 构发放的认可证书为准。（具体需要进一步 落实国家密码管理局、涉密信息系统相关管 理规定）。
CETC30所
采纳。
23.
修改建议：
提出单位
处理意见
备注
标准草案，2015年5月20日发编制组内部征求意见
1.
依据当前评估条目的适用性，提取共性项， 对仅适用于特殊场景下的评估点标注其使用 建议，或单独章节形成特定测评点要求。
CETC30所
未采纳。对服务类型进行区分 超出本标准的范围。
2.
当前稿中涉及的角色称谓名称较多，各称谓 代表的对象范畴没有明示，容易混淆，比如 用户、客户、租户之间的差异。
信息安全技术 工业互联网平台安全要求及评估规范-编制说明
国家标准《信息安全技术工业互联网平台安全要求及评估规范》（征求意见稿）编制说明一、工作简况1.1任务来源《信息安全技术工业互联网平台安全要求及评估规范》是全国信息安全标准化技术委员会2018年下达的信息安全国家标准制定项目，由树根互联技术有限公司负责承担。
1.2主要起草单位和工作组成员由树根互联技术有限公司负责起草，中国电子技术标准化研究院、国家工业信息安全发展研究中心、华为技术有限公司、阿里巴巴网络技术有限公司、青岛海尔股份有限公司、北京天融信科技有限公司、深信服科技股份有限公司等单位共同参与了该标准的起草工作。
1.3主要工作过程1.2018年5-7月，项目组承接项目后，联系各个参与单位，进行任务分工和任务组织；研究现有国内外工业互联网平台安全相关标准，分析各自特点，学习借鉴。
2.2018年8月，调研国内工业互联网平台安全现状，学习、研究、讨论国内外相关的标准及研究成果, 确定并编写总体框架。
3.2018年9月，根据各参与单位优势领域，确定标准编写任务分工，开展标准草案初稿编写工作。
4.2018年10月，编写标准初稿，在工作组内征求意见，根据组内意见进行修改。
5.2018年12月，标准编制组召开第一次研讨会，根据专家在会上提出的修改意见，对标准进行修改。
6.2019年1月，在“工业信息安全产业发展联盟信息安全标准工作组闭门会”上介绍了标准草案，听取了来自轨交、石化、电力、冶金、制造业、汽车等行业专家对标准草案的意见并根据专家在会上和会后提出的修改意见，对标准进行修改。
7.2019年4月，在北京召开了《信息安全技术工业互联网平台安全要求及评估规范》（草案）评审会，听取了来自中国软件评测中心、北京和利时系统工程有限公司、启明星辰信息技术集团股份有限公司、百度在线网络技术（北京）有限公司、北京东方国信科技股份有限公司、联想（北京）有限公司等单位专家对标准草案的意见，并根据专家在会上和会后提出的修改意见，对标准进行修改。
云计算服务安全能力要求
云计算服务安全能⼒要求云计算服务安全能⼒要求1 范围本标准规定了以社会化⽅式提供云计算服务的服务商应满⾜的信息安全基本要求。
本标准适⽤于指导云服务商建设安全的云计算平台和提供安全的云计算服务，也适⽤于对云计算服务进⾏安全审查。
2 规范性引⽤⽂件下列⽂件对于本⽂件的应⽤是必不可少的。
凡是注⽇期的引⽤⽂件，仅所注⽇期的版本适⽤于本⽂件。
凡是不注⽇期的引⽤⽂件，其最新版本（包括所有的修改单）适⽤于本⽂件。
GB/T XXXXX-XXXX 信息安全技术云计算服务安全管理指南GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求GB 50174-2008 电⼦信息系统机房设计规范GB/T 9361-2011 计算机场地安全要求3 术语和定义GB/T 25069-2010、GB/T XXXXX-XXXX确⽴的以及下列术语和定义适⽤于本标准。
3.1云计算cloud computing云计算是⼀种通过⽹络便捷地访问海量计算资源（如⽹络、服务器、存储器、应⽤和服务）的模式，使客户只需极少的管理⼯作或云服务商的配合即可实现计算资源的快速获得和释放。
3.2云服务商cloud service provider为个⼈、组织提供云计算服务的企事业单位。
云服务商管理、运营⽀撑云计算服务的计算基础设施及软件，通过⽹络将云计算服务交付给客户。
3.3客户cloud consumer使⽤云计算平台处理、存储数据和开展业务的组织。
3.4第三⽅评估机构third party assessment organization独⽴于云服务商和客户的专业评估机构。
3.5云基础设施cloud infrastructure云基础设施包括硬件资源层和资源抽象控制层。
硬件资源层包括所有的物理计算资源，主要包括服务器（CPU、内存等）、存储组件（硬盘等）、⽹络组件（路由器、防⽕墙、交换机、⽹络链接和接⼝等）及其他物理计算基础元素。
资源抽象控制层由部署在硬件资源层之上，对物理计算资源进⾏软件抽象的系统组件构成，云服务商⽤这些组件提供和管理物理硬件资源的访问。
常用网络安全标准
常用网络安全标准- 等级保护《计算机信息系统安全保护等级划分准则》（GB 17859-1999）《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019)《信息安全技术网络安全等级保护安全设计技术要求》（GB/T 25070-2019)《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019）《信息安全技术网络安全等级保护测评过程指南》（GB/T 28449-2018）《信息安全技术网络安全等级保护定级指南》（GB/T 22240-2008)《信息安全技术网络安全等级保护测试评估技术指南》（GB/T 36627-2018）《信息安全技术网络安全等级保护安全管理中心技术要求》（GB/T 36958-2018）《信息安全技术网络安全等级保护测评机构能力要求和评估规范》（GB/T 36959-2018）- 风险评估《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）《信息安全技术信息安全风险评估实施指南》（GB/T 31509-2015）《信息安全技术信息安全风险处理实施指南》（GB/T 33132-2016）- 应急响应《信息安全技术信息安全应急响应计划规范》（GB/T 24363-2009）《信息技术安全技术信息安全事件管理指南》（GB/Z 20985-2007）《信息安全技术信息安全事件分类分级指南》（GB/Z 20986-2007）- 业务连续性/灾难恢复《公共安全业务连续性管理体系要求》（GB/T 30146-2013）《信息安全技术信息系统灾难恢复规范》（GB/T 20988-2007）《信息安全技术灾难恢复服务要求》（GB/T 36957-2018）《信息安全技术灾难恢复服务能力评估准则》（GB/T 37046-2018）- 系统安全工程《信息技术系统安全工程能力成熟度模型》（GB/T 20261-2006）- 风险管理《信息安全技术信息安全风险管理指南》（GB/Z 24364-2009）《信息技术安全技术信息安全治理》（GB/T 32923-2016）- 信息安全管理体系《信息技术安全技术信息安全管理体系要求》（GB/T 22080-2016）《信息技术安全技术信息安全控制实践指南》（GB/T 22081-2016）《信息技术安全技术信息安全管理体系审核和认证机构要求》（GB/T 25067-2016）《信息技术安全技术信息安全控制措施审核员指南》（GB/Z 32916-2016）《信息安全技术信息系统安全管理评估要求》（GB/T 28453-2012）《信息技术信息技术安全管理指南》（GB/T 19715-2005）《信息技术信息安全管理实用规则》（GB/T 19716-2005）- 安全保障评估《信息系统安全保障评估框架》（GB/T 20274-2008）- 应用系统安全《信息安全技术电子邮件系统安全技术要求》（GB/T 37002-2018）《信息安全技术办公信息系统安全管理要求》（GB/T 37094-2018）《信息安全技术办公信息系统安全基本技术要求》（GB/T 37095-2018）《信息安全技术办公信息系统安全测试规范》（GB/T 37096-2018）《信息安全技术计算机终端核心配置基线结构规范》（GB/T 35283-2017）- 机房/数据中心《数据中心设计规范》（GB 50174-2017）- 个人信息安全《信息安全技术个人信息安全规范》（GB/T 35273-2017)《信息安全技术个人信息去标识化指南》（GB/T 37964-2019）- 移动安全《信息安全技术移动终端安全保护技术要求》（GB/T 35278-2017)）《信息安全技术移动互联网应用服务器安全技术要求》（GB/T 35281-2017）《信息安全技术电子政务移动办公系统安全技术规范》（GB/T 35282-2017）《信息安全技术移动智能终端安全架构》（GB/T 32927-2016）- 物联网安全《信息安全技术物联网安全参考模型及通用要求》（GB/T 37044-2018）- 工业控制安全《信息安全技术工业控制系统安全检查指南》（GB/T 37980-2019）《信息安全技术工业控制系统产品信息安全通用评估准则》（GB/T 37962-2019) 《信息安全技术工业控制系统安全管理基本要求》（GB/T 36323-2018)《信息安全技术工业控制系统信息安全分级规范》（GB/T 36324-2018)《信息安全技术工业控制系统风险评估实施指南》（GB/T 36466-2018)《信息安全技术工业控制系统安全控制应用指南》（GB/T 32919-2016)- 数据安全《信息安全技术数据安全能力成熟度模型》（GB/T 37988-2019）《信息安全技术大数据安全管理指南》（GB/T 37973-2019）《信息安全技术大数据服务安全能力要求》（GB/T 35274-2017）- 云计算安全《信息安全技术云计算安全参考架构》（GB/T 35279-2017）《信息安全技术云计算服务安全能力评估方法》（GB/T 34942-2017）《信息安全技术云计算服务安全指南》（GB/T 31167-2014）《信息安全技术云计算服务安全能力要求》（GB/T 31168-2014）- 安全攻防《信息安全技术网络攻击定义及描述规范》（GB/T 37027-2018）《信息安全技术网络安全威胁信息格式规范》（GB/T 36643-2018）《信息安全技术网络安全预警指南》（GB/T 32924-2016）- 漏洞管理《信息安全技术安全漏洞分类》（GB/T 33561-2017）《信息安全技术安全漏洞等级划分指南》（GB/T 30279-2013）《信息安全技术安全漏洞管理规范》（GB/T 30276-2013）《信息安全技术安全漏洞标示与描述规范》（GB/T 28458-2012）- 信息技术安全评估《信息技术安全技术信息技术安全性评估准则》（GB/T 18336-2015）《信息技术安全技术信息技术安全性评估方法》（GB/T 30270-2013）《信息安全技术保护轮廓和安全目标的产生指南》（GB/Z 20283-2006）。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
CETC30所
采纳。
42.
e)
修改建议：
e)的评估方法为修改为：
——在[赋值：云服务商定义的时间段]用户处于不活动状态，测试该用户是否被禁止使用。
CETC30所
采纳。
43.
b)
修改建议：
b)的评估方法为第一条：
——检查访问脚本是否包含未加密的静态鉴别凭证。
CETC30所
采纳。
44.
c)
修改建议：
c)的评估方法为第二条修改为：
意见汇总处理表
标准项目名称：《信息安全技术云计算服务安全能力评估方法》承办人：王惠莅共23页
标准项目负责起草单位：中国电子技术标准化研究院电话：12016年6月13日填写
序号
标准章条编号
意见内容
提出单位
处理意见
备注
标准草案，2015年5月20日发编制组内部征求意见
1.
依据当前评估条目的适用性，提取共性项，对仅适用于特殊场景下的评估点标注其使用建议，或单独章节形成特定测评点要求。
CETC30所
采纳。
23.
修改建议：
增加
--测试云计算平台用户和系统安全功能之间是否建立了一条可信的通信路径。
CETC30所
采纳。
24.
6.8.2b)
修改建议：
验证禁止自动执行机制是否有效；
西安未来国际有限公司
采纳。云服务的云服务管理平台难于验证。
25.
修改建议：
对6.11.1c)的评估方法增加
--在网络出入口以及系统中的主机、移动计算设备上放置一段恶意代码，测试防护措施是否能够检测并予以响应。
56.
检查异地系统级热备设计文档、管理平台，对热备设施进行测试验证是否按照云服务商定义的频率对系统级信息进行增量备份，是否按照云服务商定义的频率对系统级信息进行全量备份。
西安未来国际有限公司
部分采纳。
57.
a)
——检查实际的脆弱性扫描工具，查看其是否开启了自动升级功能，当前使用漏洞库的发布时间、版本。
——利用网络抓包等技术手段测试会话数据是否进行了加密保护。
CETC30所
采纳。
47.
7.21.1a)
检查是否列出了何种情况可以授权外部访问云平台；
西安未来国际有限公司
采纳。
48.
b)
检查是否列出了何种情况可以授权外部访问对云计算平台上的信息进行处理、存储或存储；
西安未来国际有限公司
采纳。
49.
）
检查配置管理计划的保护措施是否可以防止非授权的泄露和变更。
CETC30所
未采纳。对服务类型进行区分超出本标准的范围。
2.
当前稿中涉及的角色称谓名称较多，各称谓代表的对象范畴没有明示，容易混淆，比如用户、客户、租户之间的差异。
修改建议：对用户、租户、客户、外部人员、特权用户、特权账户等各称谓明确含义范畴，规范其使用。
CETC30所
未采纳。按照《能力要求》相关规定。
59.
a)
——检查管理垃圾信息机制是否有集中管控的手段。
——检查管理垃圾信息机制集中管控的手段是否有效。
西安未来国际有限公司
采纳。
60.
b)
——检查管理垃圾信息机制是否有自动升级功能。
——检查管理垃圾信息机制历史升级记录。
西安未来国际有限公司
采纳。
标准草案，2015年6月11日，信安标委秘书处中期检查
修改建议：
6.13.2d)的评估方法第四条删除。
CETC30所
采纳。
35.
6.14.1a)
修改建议：
对6.14.1a)的第二条评估方法修改为：
——检查虚拟网络资源实际配置是否与文档中规定的网络隔离和访问控制策略相符；
——对虚拟网络资源进行数据访问或网络扫描，测试网络隔离和访问控制措施是否生效。
CETC30所
国家信息技术安全研究中心
未采纳。
15.
5.12.2a)
修改建议：
检查开发阶段所使用的静态代码分析工具配置；
西安未来国际有限公司
部分采纳。
16.
5.12.2e)
修改建议：
检查开发商的渗透性测试相关文档（测试计划、测试报告）
西安未来.1b)评估方法
是否对外公开的组件与内部网络划分为不同的子网络，
——测试当虚拟机镜像文件被恶意篡改时，是否有完整性校验机制能够防止对镜像文件的恶意篡改。
CETC30所/张玲
采纳。
29.
6.13.1b)
对6.13.1b)的评估方法第四条
修改建议：
对6.13.1b)的评估方法第四条文字修改：
——测试已经被一台虚拟机挂载的逻辑卷是否能够被其它虚拟机挂载。
CETC30所/张玲
阿里云计算有限公司
未采纳。应是由云服务商裁剪、替换安全控制措施等。
7.
4.2
增加相应章节，
1、描述安全评估系统要求，
安全配件要求。
成都大学
未采纳。本标准只规范评估方法，不涉及评估系统。
8.
建议修改格式，“涉及”格式为斜体
国家信息技术安全研究中心
采纳。
9.
5.3.1a)
修改建议：
检查云服务商是否定义系统生命周期、并定义生命周期各节点及特征；
3.
1
建议将“对以社会化方式”去掉
阿里云计算有限公司
未采纳。与《能力要求》保持一致。
4.
4.1
综合考虑原则不是原则，可重复和可充用、可再现比较理想，比较难实现。
中国信息安全测评中心
部分采纳。
5.
4.1
建议改为“采用或参考其已有的公正第三方的测评结果”。
阿里云计算有限公司
部分采纳。
6.
4.1
建议改为“灵活是指在对云服务商进行安全控制措施裁剪、替换等情况下，”
CETC30所
采纳。
39.
6.15.1e)
修改建议：
对6.15.1e)的评估方法第二条修改为：
——模拟虚拟存储数据的常规操作和异常操作，检测是否有审计记录，审计记录信息要素是否完备，审计记录是否不能被修改和删除。
CETC30所
未采纳。标准是宏观共性的评估方法，不涉及具体用例。
40.
6.15.2a)
修改建议：
——测试客户是否无法发现并访问其他客户所使用的存储资源，客户间的存储资源访问性能是否相互影响。
CETC30所
采纳。
38.
6.15.1d)
对6.15.1d)的评估方法的第三条和第四条内容重复。建议合并
修改建议：
对6.15.1d)的评估方法第三条和第四条修改为：
——在租户解除存储资源的使用后，例如释放存储空间、虚拟机迁移或删除等，检测原物理存储资源上的数据（如镜像文件、快照文件、备份文件等数）是否被清除。
西安未来国际有限公司
未采纳。系统生命周期定义可参考已有国标。
10.
5.4.2f)
修改建议：
检查开发商提供的说明文档是否有对功能、端口、协议和服务的详细说明，并列出不必要和高风险的功能、端口、协议或服务，并查看是否已禁用。
西安未来国际有限公司
采纳。
11.
修改建议：
测试应用信息系统设计、开发、实现和修改过程中的机制，是否实现自动化机制。
西安未来国际有限公司
未采纳。不强调使用强制手段。
54.
检查是否建立备品备件列表并对备件进行抽样检测确保其可用性。
西安未来国际有限公司
部分采纳。
55.
a
检查应急响应计划文档，查看其是否包含了容量规划的内容；检查容量规划文档是否明确了必要的信息处理容量、通信容量和环境支持能力。
西安未来国际有限公司
未采纳。原评估方法已体现。
采纳。
30.
6.13.1c)
对6.13.1c)的评估方法第四条文字修改为：
——检查安全计划书、信息系统架构设计文档、或其他相关文档是否提供虚拟机只能访问分配给该虚拟机的物理磁盘的技术机制；
CETC30所
采纳。
31.
6.13.1c)
修改建议：
的评估方法为第五条和第六条建议删除。
CETC30所
采纳。
32.
西安未来国际有限公司
部分采纳。
58.
c)
——检查风险评估和持续监控策略，是否明确定义了脆弱性扫描额广度和深度；
——检查脆弱性扫描工具扫描策略，所定义的扫描广度和深度是否满足系统风险评估安全策略要求。
——检查脆弱性扫描历史结果，核查扫描使用的策略是否满足系统风险评估安全策略要求。
西安未来国际有限公司
未采纳。评估方法按照《能力要求》的评估内容来定。
西安未来国际有限公司
采纳。
21.
——检查安全计划书、安全设计文档，是否使用符合国家密码管理法律法规的通信加密和签名验签算法及设施，是否有国家密码管理局认定测评机构出具的检测报告或证书。
——测试云服务商所使用到的通信加密和签名验签设施是否与设计文档要求相一致；
CETC30所
采纳。
22.
建议收敛测试方法，因密码设备测试认可有一套严格管理规定，建议以审查相关权威机构发放的认可证书为准。（具体需要进一步落实国家密码管理局、涉密信息系统相关管理规定）。
西安未来国际有限公司
采纳。
50.
8.4.2.b
检查云计算平台相关设备系统的日志、配置记录等信息，证明对云计算平台上的变更实施物理和逻辑访问控制；
西安未来国际有限公司
未采纳。原评估方法已经包含了此内容。
51.
8.5.2.a
设置测试用例测试自动机制可以有效地对配置参数进行集中管理、应用和验证的功能。
西安未来国际有限公司
对6.15.2a)的评估方法第二条修改为：
采纳。
42.
e)
修改建议：
e)的评估方法为修改为：
——在[赋值：云服务商定义的时间段]用户处于不活动状态，测试该用户是否被禁止使用。
CETC30所
采纳。
43.
b)
修改建议：
b)的评估方法为第一条：
——检查访问脚本是否包含未加密的静态鉴别凭证。
CETC30所
采纳。
44.
c)
修改建议：
c)的评估方法为第二条修改为：
意见汇总处理表
标准项目名称：《信息安全技术云计算服务安全能力评估方法》承办人：王惠莅共23页
标准项目负责起草单位：中国电子技术标准化研究院电话：12016年6月13日填写
序号
标准章条编号
意见内容
提出单位
处理意见
备注
标准草案，2015年5月20日发编制组内部征求意见
1.
依据当前评估条目的适用性，提取共性项，对仅适用于特殊场景下的评估点标注其使用建议，或单独章节形成特定测评点要求。
CETC30所
采纳。
23.
修改建议：
增加
--测试云计算平台用户和系统安全功能之间是否建立了一条可信的通信路径。
CETC30所
采纳。
24.
6.8.2b)
修改建议：
验证禁止自动执行机制是否有效；
西安未来国际有限公司
采纳。云服务的云服务管理平台难于验证。
25.
修改建议：
对6.11.1c)的评估方法增加
--在网络出入口以及系统中的主机、移动计算设备上放置一段恶意代码，测试防护措施是否能够检测并予以响应。
56.
检查异地系统级热备设计文档、管理平台，对热备设施进行测试验证是否按照云服务商定义的频率对系统级信息进行增量备份，是否按照云服务商定义的频率对系统级信息进行全量备份。
西安未来国际有限公司
部分采纳。
57.
a)
——检查实际的脆弱性扫描工具，查看其是否开启了自动升级功能，当前使用漏洞库的发布时间、版本。
——利用网络抓包等技术手段测试会话数据是否进行了加密保护。
CETC30所
采纳。
47.
7.21.1a)
检查是否列出了何种情况可以授权外部访问云平台；
西安未来国际有限公司
采纳。
48.
b)
检查是否列出了何种情况可以授权外部访问对云计算平台上的信息进行处理、存储或存储；
西安未来国际有限公司
采纳。
49.
）
检查配置管理计划的保护措施是否可以防止非授权的泄露和变更。
CETC30所
未采纳。对服务类型进行区分超出本标准的范围。
2.
当前稿中涉及的角色称谓名称较多，各称谓代表的对象范畴没有明示，容易混淆，比如用户、客户、租户之间的差异。
修改建议：对用户、租户、客户、外部人员、特权用户、特权账户等各称谓明确含义范畴，规范其使用。
CETC30所
未采纳。按照《能力要求》相关规定。
59.
a)
——检查管理垃圾信息机制是否有集中管控的手段。
——检查管理垃圾信息机制集中管控的手段是否有效。
西安未来国际有限公司
采纳。
60.
b)
——检查管理垃圾信息机制是否有自动升级功能。
——检查管理垃圾信息机制历史升级记录。
西安未来国际有限公司
采纳。
标准草案，2015年6月11日，信安标委秘书处中期检查
修改建议：
6.13.2d)的评估方法第四条删除。
CETC30所
采纳。
35.
6.14.1a)
修改建议：
对6.14.1a)的第二条评估方法修改为：
——检查虚拟网络资源实际配置是否与文档中规定的网络隔离和访问控制策略相符；
——对虚拟网络资源进行数据访问或网络扫描，测试网络隔离和访问控制措施是否生效。
CETC30所
国家信息技术安全研究中心
未采纳。
15.
5.12.2a)
修改建议：
检查开发阶段所使用的静态代码分析工具配置；
西安未来国际有限公司
部分采纳。
16.
5.12.2e)
修改建议：
检查开发商的渗透性测试相关文档（测试计划、测试报告）
西安未来.1b)评估方法
是否对外公开的组件与内部网络划分为不同的子网络，
——测试当虚拟机镜像文件被恶意篡改时，是否有完整性校验机制能够防止对镜像文件的恶意篡改。
CETC30所/张玲
采纳。
29.
6.13.1b)
对6.13.1b)的评估方法第四条
修改建议：
对6.13.1b)的评估方法第四条文字修改：
——测试已经被一台虚拟机挂载的逻辑卷是否能够被其它虚拟机挂载。
CETC30所/张玲
阿里云计算有限公司
未采纳。应是由云服务商裁剪、替换安全控制措施等。
7.
4.2
增加相应章节，
1、描述安全评估系统要求，
安全配件要求。
成都大学
未采纳。本标准只规范评估方法，不涉及评估系统。
8.
建议修改格式，“涉及”格式为斜体
国家信息技术安全研究中心
采纳。
9.
5.3.1a)
修改建议：
检查云服务商是否定义系统生命周期、并定义生命周期各节点及特征；
3.
1
建议将“对以社会化方式”去掉
阿里云计算有限公司
未采纳。与《能力要求》保持一致。
4.
4.1
综合考虑原则不是原则，可重复和可充用、可再现比较理想，比较难实现。
中国信息安全测评中心
部分采纳。
5.
4.1
建议改为“采用或参考其已有的公正第三方的测评结果”。
阿里云计算有限公司
部分采纳。
6.
4.1
建议改为“灵活是指在对云服务商进行安全控制措施裁剪、替换等情况下，”
CETC30所
采纳。
39.
6.15.1e)
修改建议：
对6.15.1e)的评估方法第二条修改为：
——模拟虚拟存储数据的常规操作和异常操作，检测是否有审计记录，审计记录信息要素是否完备，审计记录是否不能被修改和删除。
CETC30所
未采纳。标准是宏观共性的评估方法，不涉及具体用例。
40.
6.15.2a)
修改建议：
——测试客户是否无法发现并访问其他客户所使用的存储资源，客户间的存储资源访问性能是否相互影响。
CETC30所
采纳。
38.
6.15.1d)
对6.15.1d)的评估方法的第三条和第四条内容重复。建议合并
修改建议：
对6.15.1d)的评估方法第三条和第四条修改为：
——在租户解除存储资源的使用后，例如释放存储空间、虚拟机迁移或删除等，检测原物理存储资源上的数据（如镜像文件、快照文件、备份文件等数）是否被清除。
西安未来国际有限公司
未采纳。系统生命周期定义可参考已有国标。
10.
5.4.2f)
修改建议：
检查开发商提供的说明文档是否有对功能、端口、协议和服务的详细说明，并列出不必要和高风险的功能、端口、协议或服务，并查看是否已禁用。
西安未来国际有限公司
采纳。
11.
修改建议：
测试应用信息系统设计、开发、实现和修改过程中的机制，是否实现自动化机制。
西安未来国际有限公司
未采纳。不强调使用强制手段。
54.
检查是否建立备品备件列表并对备件进行抽样检测确保其可用性。
西安未来国际有限公司
部分采纳。
55.
a
检查应急响应计划文档，查看其是否包含了容量规划的内容；检查容量规划文档是否明确了必要的信息处理容量、通信容量和环境支持能力。
西安未来国际有限公司
未采纳。原评估方法已体现。
采纳。
30.
6.13.1c)
对6.13.1c)的评估方法第四条文字修改为：
——检查安全计划书、信息系统架构设计文档、或其他相关文档是否提供虚拟机只能访问分配给该虚拟机的物理磁盘的技术机制；
CETC30所
采纳。
31.
6.13.1c)
修改建议：
的评估方法为第五条和第六条建议删除。
CETC30所
采纳。
32.
西安未来国际有限公司
部分采纳。
58.
c)
——检查风险评估和持续监控策略，是否明确定义了脆弱性扫描额广度和深度；
——检查脆弱性扫描工具扫描策略，所定义的扫描广度和深度是否满足系统风险评估安全策略要求。
——检查脆弱性扫描历史结果，核查扫描使用的策略是否满足系统风险评估安全策略要求。
西安未来国际有限公司
未采纳。评估方法按照《能力要求》的评估内容来定。
西安未来国际有限公司
采纳。
21.
——检查安全计划书、安全设计文档，是否使用符合国家密码管理法律法规的通信加密和签名验签算法及设施，是否有国家密码管理局认定测评机构出具的检测报告或证书。
——测试云服务商所使用到的通信加密和签名验签设施是否与设计文档要求相一致；
CETC30所
采纳。
22.
建议收敛测试方法，因密码设备测试认可有一套严格管理规定，建议以审查相关权威机构发放的认可证书为准。（具体需要进一步落实国家密码管理局、涉密信息系统相关管理规定）。
西安未来国际有限公司
采纳。
50.
8.4.2.b
检查云计算平台相关设备系统的日志、配置记录等信息，证明对云计算平台上的变更实施物理和逻辑访问控制；
西安未来国际有限公司
未采纳。原评估方法已经包含了此内容。
51.
8.5.2.a
设置测试用例测试自动机制可以有效地对配置参数进行集中管理、应用和验证的功能。
西安未来国际有限公司
对6.15.2a)的评估方法第二条修改为：