下载文档原格式
云安全管理平台产品白皮书版本信息文档名称密级创建人云安全管理平台产品技术白皮书2.0.3V1.0公开云安全公司修订记录修订日期修订内容修订人2019.7新建，适用于云安全管理平台V2.0.3，文档版本2.0.3V1.0云安全公司版权声明：奇安信集团及其关联公司对其发行的或与合作伙伴共同发行的产品享有版权，本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程描述等内容，除另有特别注明外，所有版权均属奇安信集团及其关联公司所有；受各国版权法及国际版权公约的保护。
对于上述版权内容，任何个人、机构未经奇安信集团或其关联公司的书面授权许可，不得以任何方式复制或引用本文的任何片断；超越合理使用范畴、并未经上述公司书面许可的使用行为，奇安信集团或其关联公司均保留追究法律责任的权利。
免责声明奇安信集团，是专注于为政府、军队、企业，教育、金融等机构和组织提供企业级网络安全技术、产品和服务的网络安全公司，包括但不限于以下主体：北京奇安信科技有限公司、网神信息技术（北京）股份有限公司、北京网康科技有限公司，以及上述主体直接或者间接控制的法律实体。
奇安信集团在此特别声明，对如下事宜不承担任何法律责任：1、本产品经过详细的测试，但不能保证与所有的软硬件系统或产品完全兼容，不能保证本产品完全没有错误。
如果出现不兼容或错误的情况，用户可拨打技术支持电话将情况报告奇安信集团，获得技术支持。
2、在适用法律允许的最大范围内，对因使用或不能使用本产品所产生的损害及风险，包括但不限于直接或间接的个人损害、商业盈利的丧失、贸易中断、商业信息的丢失或任何其它经济损失，奇安信集团不承担任何责任。
3、对于因电信系统或互联网网络故障、计算机故障或病毒、信息损坏或丢失、计算机系统问题或其它任何不可抗力原因而产生的损失，奇安信集团不承担任何责任，但将尽力减少因此而给用户造成的损失和影响。
4、对于用户违反本协议规定，给奇安信集团造成损害的，奇安信集团将有权采取包括但不限于中断使用许可、停止提供服务、限制使用、法律追究等措施。
GB/T20270-2006信息安全技术网络基础安全技术要求Information security technology—Basis security techniques requirements for network自2006-12-1 起执行目次前言引言1 范围2 规范性引用文件3 术语、定义和缩略语3.1 术语和定义3.2 缩略语4 网络安全组成与相互关系5 网络安全功能基本要求5.1 身份鉴别5.1.1 用户标识5.1.2 用户鉴别5.1.3 用户—主体绑定5.1.4 鉴别失败处理5.2 自主访问控制5.2.1 访问控制策略5.2.2 访问控制功能5.2.3 访问控制范围5.2.4 访问控制粒度5.3 标记5.3.1 主体标记5.3.2 客体标记5.3.3 标记完整性5.3.4 有标记信息的输出5.4 强制访问控制5.4.1 访问控制策略5.4.2 访问控制功能5.4.3 访问控制范围5.4.4 访问控制粒度5.4.5 访问控制环境5.5 数据流控制5.6 安全审计5.6.1 安全审计的响应5.6.2 安全审计数据产生5.6.3 安全审计分析5.6.4 安全审计查阅5.6.5 安全审计事件选择5.6.6 安全审计事件存储5.7 用户数据完整性5.7.1 存储数据的完整性5.7.2 传输数据的完整性5.7.3 处理数据的完整性5.8 用户数据保密性5.8.1 存储数据的保密性5.8.2 传输数据的保密性5.8.3 客体安全重用5.9 可信路径5.10 抗抵赖5.10.1 抗原发抵赖5.10.2 抗接收抵赖5.11 网络安全监控6 网络安全功能分层分级要求6.1 身份鉴别功能6.2 自主访问控制功能6.3 标记功能6.4 强制访问控制功能6.5 数据流控制功能6.6 安全审计功能6.7 用户数据完整性保护功能6.8 用户数据保密性保护功能6.9 可信路径功能6.10 抗抵赖功能6.11 网络安全监控功能7 网络安全技术分级要求7.1 第一级：用户自主保护级7.1.1 第一级安全功能要求7.1.2 第一级安全保证要求7.2 第二级：系统审计保护级7.2.1 第二级安全功能要求7.2.2 第二级安全保证要求7.3 第三级：安全标记保护级7.3.1 第三级安全功能要求7.3.2 第三级安全保证要求7.4 第四级：结构化保护级7.4.1 第四级安全功能要求7.4.2 第四级安全保证要求7.5 第五级：访问验证保护级7.5.1 第五级安全功能要求7.5.2 第五级安全保证要求附录A(资料性附录) 标准概念说明A.1 组成与相互关系A.2 关于网络各层协议主要功能的说明A.3 关于安全保护等级划分A.4 关于主体和客体A.5 关于SSON、SSF、SSP、SFP及其相互关系A.6 关于数据流控制A.7 关于密码技术A.8 关于安全网络的建议参考文献前言本标准的附录A是资料性附录.本标准由全国信息安全标准化技术委员会提出并归口。
《网络安全等级保护测评要求第2部分：云计算安全扩展要求》解读《网络安全等级保护测评要求第2部分：云计算安全扩展要求》解读「编者按Editors Note」由国家信息中心负责牵头编制的《网络安全等级保护测评要求第2部分：云计算安全扩展要求》（以下简称“云计算测评要求”）作为云计算安全等级测评的重要合规性评价标准备受瞩目。
本期我们邀请第一编制人国家信息中心禄凯处长为大家作详细解读。
云计算安全等级保护测评标准要点解读╱引言╱云计算作为广泛应用的新技术，越来越深入的影响着社会生活的各个领域。
全国各地政务云、金融云、教育云等建设的如火如荼，越来越多的云计算系统承担着重要的基础性服务。
在高速发展的同时，安全隐患和威胁也如影随形，如：不安全接口、服务中断、越权、滥用与误操作、共享技术漏洞和信息残留等问题时刻影响着云计算的健康发展。
云计算信息系统应具备什么样的安全防护措施，如何通过等级保护测评工作去检查和验证安全措施的合规性和有效性，已经成为云计算系统建设者、运营者、监管者以及使用者所关心的重要问题。
等级保护工作作为国家网络安全法明确的重要制度，已在我国信息系统安全保驾护航中发挥着重要作用。
为应对新技术、新应用发展所带来的安全问题，公安部网络安全保卫局组织开展了大规模的等级保护系列标准的修订。
云计算等级保护系列标准作为安全通用要求之后的第二分册，标准编制开始至今，受到相关各方的高度广泛关注，收到了很多宝贵意见和建议。
由国家信息中心负责牵头编制的《网络安全等级保护测评要求第2部分：云计算安全扩展要求》（以下简称“云计算测评要求”）作为云计算安全等级保护测评的实施依据备受瞩目。
下面由标准的主要编制人员为大家解读标准，希望作为云计算安全等级保护测评工作的实践指引，给大家提供指导和帮助。
云计算等级保护测评的讲解和技术研讨也将后续开展，也希望大家踊跃参加。
根据全国信息安全标准化技术委员会2013年10月确定的国家标准制修订计划，本次研编云计算等保系列标准包括三个：《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求》（以下简称“云计算基本要求”）、《信息安全技术网络安全等级保护测评要求第2部分：云计算安全扩展要求》、《信息安全技术网络安全等级保护设计技术要求第2部分：云计算安全扩展要求》（以下简称“云计算设计要求”）。
等级保护2.0——云计算安全扩展要求（上）概述云计算安全扩展要求是在安全通⽤要求的基础上针对云计算的特点提出特殊保护要求。
也就是说，在云计算环境中为了满⾜等保2.0的保准要求，既要满⾜安全通⽤要求，也要满⾜针对云计算提出的特殊保护要求。
云计算安全扩展要求也分为技术要求和管理要求两⼤类。
安全物理环境云计算安全扩展要求安全物理环境中的基础设施位置要求云计算基础设施位于中国境内。
这是对提供云计算服务的云服务商提出的要求，由于在云计算环境中，数据的实际存储位置往往是不受客户控制的，客户的数据可能存储在境外数据中⼼，这就改变了数据和业务的司法管辖关系，需要注意的是，有些国家的政府可能依据本国法律要求云服务商提供可以访问这些数据中⼼的途径，甚⾄要求云服务商提供位于他国数据中⼼的数据。
这使得客户的业务和数据隐私安全不能得到有效的保障。
安全通信⽹络——⽹络架构应保证云计算平台不承载⾼于其安全保护等级的业务应⽤系统】解读：云计算环境中云服务商提供的云平台与客户的业务系统是需要分别单独定级的，那么云计算平台的等级保护等级必然不能低于其承载的客户业务系统的安全保护等级。
【应实现不同云客户虚拟⽹络之间的隔离】解读：除私有云外，整个云计算平台是由多个客户共享的，因此云服务商提供的云计算平台应具备隔离不同客户系统的能⼒，使得客户的虚拟⽹络在逻辑上实现独享。
【应具有根据云服务客户业务需求提供通信传输、边界防护、⼊侵防范等安全机制的能⼒】解读：云服务商在保证云计算平台达到相应等级的安全防护⽔平外，还应将相应的安全防护机制提供给客户。
【应具有根据云服务客户业务需求⾃主设置安全策略的能⼒，包括定义访问路径、选择安全组件、配置安全策略】解读：客户的业务系统也是根据其对应的安全保护级别来部署安全防护措施，因此云计算平台应将相应的安全能⼒提供给客户，使⽤户可以根据需求进⾏⾃主选择、部署、配置。
【应提供开放接⼝或开放性安全服务，允许云服务客户接⼊第三⽅安全产品或在云计算平台选择第三⽅安全服务】解读：这⾥是对云计算平台的兼容性提出的要求，有些客户可能根据其特殊的安全需求，需要引⼊云平台提供的安全防护之外的安全技术或产品，云计算平台应提供相应的开放接⼝供产品或服务的接⼊。
控制点安全要求要求解读基础设施位置应保证云计算基础设施位于中国境内云服务商对机房选址时，应确保机房位于中国境内、确保云计算服务器及运行关键业务和数据的物理设备等基础设施位位于中国境内a)应保证云计算平台不承载高于其安全保护等级的业务应用系统云服务方侧的云计算平台单独作为定级对象定级,云租户侧等级保护对象也应作为单独的定级对象定级,云平台的等级要不低于云上租户的业务应用系统最高级b)应实现不同云服务客户虚拟网络之间的隔离同一个物理主机上的虚拟机间可能通过硬件背板、不同物理机上的虛拟机可能通过网络进行通信，这些通信流量对传统的网络安全控制而言是不可见的，无法进行监控或封堵，为防止多租户间的相互影响及恶意攻击，确保租户安全及云平台安全，应对不同的云服务客户网络间进行有效的网络隔离，以保证云服务客户的访问与其他租户能够实现有效隔离c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范制等安全机制的能力为应对源自各个层面的攻击，云服务商应该为云服务客户提供通信传输、边界防护、入侵防范等安全防护措施，云服务客户可根据业务安全防护需求选择适当的安全防护措施，提升业务系统的安全防护能力以应对外来的威胁攻击d)应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略云服务客户可以根据自身的业务需求,在云服务商提供的安全组件上自定义安全策略，如定义安全访问路径、选择安全组件、配置安全策略e)应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或云计算平台选择第三方安全服务API(Application Ppogramming Interface,应用程序编程接口)是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件的以访问一组例程的能力,而又无需访问源码，或理解为内部工作机制的细节,API本身是抽象，仅定义了一个接口，云计算目前面临的互操作性问题的重要原因就是缺乏标准化和被广泛认可接受的API标准，因而云服务商应提供开放和公开的APIs,允许第三方安全产品或服务接入a)应在虚拟化部署访问控制机制，并设置访问控制机则位于云平台边界外，云平台缺乏或缺失控制和管理的网络环境，被认为是不可信网络，与之对应的是可信网络，在可信与不可信网络间实施有效的安全控制，对，网络安全来说至关重要。
信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。
但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。
根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。
1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。
这就要求等级测评过程规范、测评结论准确、公正及可重现。
《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。
作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。
等保2.0云计算安全扩展要求及分析等保2.0是指《信息安全技术等级保护管理规定》第二版，是我国信息安全领域的重要法规之一。
其中，对于云计算安全方面的要求和标准也有相应的规定。
在此基础上，等保2.0提出了云计算安全扩展要求，以更好地保障云计算系统的安全。
一、扩展要求1. 安全管理制度云计算服务提供商应建立健全的安全管理制度，包括安全策略、安全组织架构、安全宣传教育、安全培训、安全检查等。
同时，应将安全常态化管理纳入到日常运营中，确保安全管理制度的有效实施。
2. 安全技术措施云计算服务提供商应在系统设计、开发、维护等多个环节中，采取多种安全技术措施，包括身份认证、数据加密、访问控制、漏洞修复等，确保系统的完整性、可靠性和保密性。
云计算服务提供商应实现安全权限管理，对于用户的身份认证、权限分配、访问控制等进行有效管理。
同时，应建立完善的审计机制，对用户操作进行记录，及时发现和排查安全问题。
云计算服务提供商应建立健全的安全运营管理措施，包括安全备份、灾难恢复、入侵检测等。
同时，应加强安全监察和风险评估，及时发现和处理安全事件。
二、分析等保2.0云计算安全扩展要求从安全管理、技术措施、权限管理和运营管理等多个方面对云计算系统的安全进行了规范和要求。
这是符合当前云计算应用现状的，也是保障用户安全的必要措施之一。
通过建立健全的安全管理制度，云计算服务提供商能够对自身安全进行有效管理，避免安全事故的发生；通过多种安全技术措施的应用，能够保证系统的完整性和保密性，减少安全漏洞的存在；通过安全权限管理的实现，能够对用户进行有效的管理，及时发现和处理安全问题；通过安全运营管理的完善，能够加强监察和风险评估，及时掌握系统的安全状况。
综上所述，等保2.0云计算安全扩展要求是对云计算安全保障的必要要求，在云计算应用领域具有重要的意义和作用。
云计算服务提供商应根据此标准，采取相应的措施，确保云计算系统的安全可靠性。
信息安全技术网络安全等级保护基本要求第1部分安全通用要求1 范围本部分规定了不同等级保护对象的安全通用要求，对于采用移动互联、云计算、大数据、物联网和工业控制等新技术、新应用的保护对象，除使用本部分外还需参考其他的安全扩展要求。
本部分适用于指导分等级的非涉密保护对象的安全建设和监督管理。
2 规范性引用文件下列文件中的条款通过在本部分的引用而成为本部分的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本部分。
GB 17859-1999 计算机信息系统安全保护等级划分准则GB/T 25069-2010信息安全技术术语3 术语和定义GB/T 25069-2010和GB 17859-1999确立的以及下列术语和定义适用于本部分。
3.1 安全保护能力 security protection ability能够抵御威胁、发现安全事件以及在遭到损害后能够恢复先前状态等的程度。
4 网络安全等级保护概述4.1 不同等级的安全保护对象安全等级保护对象是指等级保护工作中的保护对象，主要包括网络基础设施、信息系统、大数据、云计算平台、物联网、工控系统等；安全等级保护对象根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高划分为五级。
第一级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
信息安全技术网络安全等级保护测评要求第1 部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012 年成为国家标准，标准号为GB/T 28448-2012 ，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。
但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013 年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012 进行修订。
矚慫润厲钐瘗睞枥庑赖。
矚慫润厲钐瘗睞枥庑赖賃。
根据全国信息安全标准化技术委员会2013 年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006 。
聞創沟燴鐺險爱氇谴净。
聞創沟燴鐺險爱氇谴净祸。
1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字 [2007]43 号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。
这就要求等级测评过程规范、测评结论准确、公正及可重现。
残骛楼諍锩瀨濟溆塹籟。
残骛楼諍锩瀨濟溆塹籟婭。
《信息安全技术信息系统安全等级保护基本要求》（ GB/T22239-2008 （）简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
酽锕极額閉镇桧猪訣锥。
酽锕极額閉镇桧猪訣锥顧。
伴随着 IT 技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。
附件2: 信息系统安全等级保护基本要求1 第一级基本要求1.1 技术要求1.1.1 物理安全1.1.1.1 物理访问控制（G1）机房出入应安排专人负责，控制、鉴别和记录进入的人员。
1.1.1.2 防盗窃和防破坏（G1）本项要求包括：a)应将主要设备放置在机房内；b)应将设备或主要部件进行固定，并设置明显的不易除去的标记。
1.1.1.3 防雷击（G1）机房建筑应设置避雷装置。
1.1.1.4 防火（G1）机房应设置灭火设备。
1.1.1.5 防水和防潮（G1）本项要求包括：a)应对穿过机房墙壁和楼板的水管增加必要的保护措施；b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。
1.1.1.6 温湿度控制（G1）机房应设置必要的温、湿度控制设施，使机房温、湿度的变化在设备运行所允许的范围之内。
1.1.1.7 电力供应（A1）应在机房供电线路上配置稳压器和过电压防护设备。
1.1.2 网络安全1.1.2.1 结构安全（G1）本项要求包括：a)应保证关键网络设备的业务处理能力满足基本业务需要；b)应保证接入网络和核心网络的带宽满足基本业务需要；c)应绘制与当前运行情况相符的网络拓扑结构图。
1.1.2.2 访问控制（G1）本项要求包括：a)应在网络边界部署访问控制设备，启用访问控制功能；b)应根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包出入；c)应通过访问控制列表对系统资源实现允许或拒绝用户访问，控制粒度至少为用户组。
1.1.2.3 网络设备防护（G1）本项要求包括：a)应对登录网络设备的用户进行身份鉴别；b)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；c)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
1.1.3 主机安全1.1.3.1 身份鉴别（S1）应对登录操作系统和数据库系统的用户进行身份标识和鉴别。
信息安全技术网络安全等级保护测评要求第2部分：云计算安全扩展要求1 范围本部分规定了对不同等级的等级保护对象是否符合GB/T 22239.2-20XX所进行的测试评估活动的要求，包括对第二级等级保护对象、第三级等级保护对象和第四级等级保护对象进行安全测试评估的要求。
本部分略去对第一级等级保护对象、第五级等级保护对象进行安全测评评估的要求。
本部分规定了不同等级的保护对象的云计算安全扩展测评要求，除使用本部分外，还需参考通用测评要求。
本部分适用于信息安全测评服务机构、等级保护对象的主管部门及运营使用单位对等级保护对象安全等级保护状况进行的安全测试评估。
信息安全监管职能部门依法进行的信息系统安全等级保护监督检查可以参考使用。
2 规范性引用文件下列文件对于本部分的应用是必不可少的。
凡是注日期的引用文件，仅注日期的版本适用于本部分。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本部分。
GB/T 25069-2010 信息安全技术术语GB17859-1999 计算机信息系统安全保护等级划分准则GB/T 22239.1-20XX 信息安全技术网络安全等级保护基本要求第1部分：安全通用要求GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南GB/T 28448.1-20XX 信息安全技术网络安全等级保护测评要求第1部分：通用测评要求GB/T 28449-20XX 信息安全技术信息系统安全等级保护测评过程指南GB/T 22239.2-20XX 信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求GB/T 25070.2-20XX 信息安全技术网络安全等级保护安全设计技术要求第2部分：云计算信息安全等级保护安全设计技术要求3 术语与定义GB/T 25069-2010、GB/T 28448.1-20XX和GB/T 22239.2-20XX界定的以及下列术语和定义适用于本部分。
云计算安全相关标准解析作者：董贞良来源：《中国质量与标准导报》2018年第08期1 云计算时代及其安全云计算已经成为互联网时代的主流计算模式，同时，其带来的安全问题日趋重要和紧迫。
到目前为止，信息技术大致经历了通信时代、单机时代、计算机网络时代和云计算时代。
伴随着这个过程，安全的关注点也随之变化。
信息技术发展与主要安全关注点如图1所示。
本文主要对国内外云计算相关标准，以及国内金融行业云计算标准进行了综述。
2 国家标准的开发进展国家标准及行业标准情况见表1。
（1）GB/T 31167—2014《信息安全技术云计算服务安全指南》GB/T 31167—2014是指导政府部门采用云计算服务，选择云服务商，对云计算服务进行运行监管，退出云计算服务和更换云服务商安全风险提出的安全技术和管理措施。
GB/T 31167—2014正文共9章。
正文前3章说明了范围、规范性引用文件、术语和定义。
第4章对云计算的主要特征、服务模式、部署模式和优势进行了概述。
第5章提出云计算带来的信息安全风险。
第6章提出了规划准备的要求。
第7章提出了选择服务商与部署的要求。
第8章提出了运行监管的要求。
第9章提出了退出服务的要求。
（2）GB/T 31168—2014《信息安全技术云计算服务安全能力要求》GB/T 31168—2014描述了以社会化方式为特定客户提供云计算服务时，云服务商应具备的安全技术能力。
适用于对政府部门使用的云计算服务进行安全管理，也可供重点行业和其他企事业单位使用云计算服务时参考，还适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务。
GB/T 31168—2014正文共14章。
正文前3章说明了范围、规范性引用文件、术语和定义。
第4章对标准做了概述。
第5章提出了系统开发与供应链安全的17个主要安全要求。
第6章提出了系统与通信保护的15个要求。
第7章提出了访问控制的26个要求。
第8章提出了配置管理的7个要求。
第9章提出了维护的9个要求。
07电⼦政务政务云平台云安全保密设计⽅案XX省电⼦政务政务云平台建设⽅案（安全保密设计⽅案）1⽬录1.建设原则与依据 (5)2.密码应⽤总体架构 (9)2.1总体建设框架 (9)2.2密码应⽤技术框架 (15)3.密码应⽤技术⽅案 (17)3.1算法配⽤ (17)3.2应⽤密钥管理 (18)3.3密码应⽤部署 (18)4.政务云密码建设⽅案 (24)4.1云计算应⽤密钥管理系统 (24)4.2云计算密码资源建设 (24)4.2.1密码设备（密码资源池） (24)4.2.2云计算密码资源管理 (26)4.2.3密码设备服务 (27)4.3密码服务建设 (27)4.3.1通⽤密码服务 (27)4.3.2典型密码服务 (28)4.4密钥服务建设 (29)4.4.1密钥管理 (30)4.4.2密钥服务部署及 (33)5.密码技术应⽤清单 (34)密码技术是信息安全保障的核⼼，我国绝⼤部分⾏业核⼼领域长期以来都是沿⽤国际通⽤的密码算法体系，主要包括DES、3DES、AES、RSA、SHA-1、MD5等密码算法。
国产密码算法是我国⾃主研制、具有⾃主知识产权的⼀系列密码算法，具有较⾼安全性，由国家密码管理局认可和推⼴，主要⽤于对不涉及国家秘密内容但⼜具有敏感性的内部信息、⾏政事务信息等进⾏加密保护。
随着密码技术和计算技术的发展，以及RSA预留后门、RSAl024算法风险等事件影响，根据国家密码管理局的要求，公钥密码算法要尽快升级为国产密码算法。
因此，数字政府政务云的建设应符合规范的国产密码基础设施，规范、完善和深化国产密码在政务云平台等政务服务系统的应⽤，保障“数字政府”⽹络安全、数据安全⾃主可控。
本期密码技术应⽤建设包括对名美、东涌的政务云数据中⼼、省直单位、汕头的异地灾备中⼼等的密码应⽤建设。
在XX“数字政府”省级政务云建设基于国产商⽤密码算法的密码应⽤体系，为省级政务云安全提供全⽅位密码保障⽀撑，实现省政务云环境下的数据存储过程的加密、数据传输过程的保密性、数据处理过程的真实性和完整性、业务处理过程的安全性、数据信息的可管可控，并可对政务云上运⾏的各种内部信息、⾏政事务信息、经济信息等进⾏加密保护，为实现安全认证、单点登录、数字签名验签等提供密码应⽤的技术⽀撑。
城市智能体中枢系统建设规范1 范围本规范适用于城市智能体相关项目对中枢系统资源的输入、输出，含申请、延长、终止等全流程管理。
2 规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅所注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GA/T 1390.2 信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求3 术语和定义下列术语和定义适用于本文件。
3.1业务API业务类是指有业务功能属性的API，具有鲜明业务意义的API。
3.2指数API指数API是指该API传递的是纯数据信息，如某个市的GDP，该GDP又区分很多产业维度，通过转化，可以快速变成指数或者指标。
3.3RESTful交换数据的一种协议规范，指使用Http网络协议，且传输内容是符合JSON格式的方式进行数据传输。
3.4SOAP交换数据的一种协议规范，使用在计算机网络Web服务（web service）中，交换带结构的信息。
SOAP为了简化网页服务器（Web Server）从 XML数据库中提取数据时，节省去格式化页面时间，以及不同应用程序之间按照HTTP通信协议，遵从XML格式执行资料互换，使其抽象于语言实现、平台和硬件。
3.5Topic与消息队列topic相同。
3.6Code公钥管理中配置好公钥后会得到一个code，它是一个映射公钥的编号。
3.7SkClientSkClient为业务协同的SDK所封装的支持SK模式进行身份认证的类。
已将获取AccessToken、刷新AccessToken、Ping接口的功能封装。
供接入方快速使用。
3.8RsaClientRsaClient为业务协同的SDK所封装的支持协同签名模式进行身份认证的类。
3.9AccessToken通过中枢AppId及secretKey调用/api/v1/oauth2/token获取到AccessToken的token，该token用于访问中枢系统API及指数数据。
