2.3云计算安全等级保护.pptx

云的等级保护解决方案云计算是时下新基建热点，云平台等级保护主要从云平台概念、云计算中心分层架构、开展云平台等级保护思路等方面入手，分析了云计算中心信息系统和传统信息系统存在的差别，以及云计算中心面临的风险和存在的一些安全隐患，重点介绍了云计算中心管理平台应增加对动态系统安全等级、数据标签、主体安全标签的识别功能。

内容目录：0 引言1 动态信息系统2 动态信息系统与信息系统之间的差别3 解决方法3.1 云租户的安全责任划分3.2 剩余信息保护问题3.2.1 要求3.2.2 解决方案3.3 隔离问题3.3.1 虚拟机之间的隔离3.3.2 其他的隔离3.4 计算任务的迁移问题3.5 云内部的管理问题4 结语0、引言“云怎么分等级？”这是一位院士在一次网络安全大会上提出的问题。

笔者试图就这个问题进行分析。

云：是利用虚拟机技术，通过软件定义并根据用户的计算任务来分配算力，为用户提供按需服务的计算资源的集合。

而这个集合往往是由成百上千台甚至是更多物理计算资源组成（一般为 PC 服务器）。

等级保护：1994年第一次提出等级保护，是指对信息和信息系统分等级进行保护。

等级的划分是依据GB/T 22240—2008《信息安全技术信息系统安全等级保护定级指南》来进行的。

对于云来说，可以为用户提供IAAS（基础设施即服务）、PAAS（平台即服务）和SAAS（软件即服务）服务。

无论何种服务，云和用户之间，都是建立由云提供给用户的服务，只是这种服务，用户主导权的大小是不一样的，对于IAAS来说，云仅仅给用户提供基础设施和所有的物理算力资源；而对PAAS来说，云不仅提供基础的物理算力资源，同时还提供系统平台软件，仅应用程序是由用户自己部署；对于SAAS来说，云给用户提供完全的服务，用户可以直接使用。

１、动态信息系统云无论给用户提供何种服务，当云将某些算力提供给用户之后，在用户使用这些算力的过程中，这些算力与用户的终端设备，就构成一个动态信息系统，如图1所示。

云计算信息安全等保三级规划方案一、引言随着云计算技术的快速发展，越来越多的企业和组织选择将其业务和数据迁移到云平台上。

然而，云计算服务的安全性一直是人们关注的焦点。

信息安全等级保护制度是我国信息安全领域一个重要的法规标准，根据云计算服务的特点，本文提出了云计算信息安全等级保护三级规划方案，以确保云计算服务的安全性。

二、等级划分三、安全需求1.一级安全需求（1）身份认证与访问控制：用户应提供有效证件进行身份认证，并根据权限控制访问资源。

（2）数据保密性：用户的数据应采取加密措施进行保护，确保数据不被未经授权的访问和泄露。

（3）数据完整性：保证数据的完整性，防止数据被篡改。

（4）日志审计：记录用户的操作日志，用于监测和审计。

（5）安全备份与恢复：对用户数据进行定期备份，并具备快速恢复功能。

（6）网络安全：保障网络的安全性，防止攻击和恶意访问。

2.二级安全需求在一级安全需求的基础上，进一步加强以下方面的安全保护：（1）敏感信息保护：对存储和处理敏感信息的数据进行更严格的安全保护措施。

（2）访问审计：对用户的访问操作进行详细审计，确保敏感信息不被滥用。

（3）数据备份与容灾：建立完备的数据备份和容灾方案，确保重要数据的持久性和可用性。

（4）应急响应：建立应急响应机制，快速应对各类安全事件，降低损失。

3.三级安全需求在二级安全需求的基础上，进一步增加以下安全保护：（2）持续安全监控：建立持续性的安全监控系统，对云平台的安全状况进行实时监测和预警。

（3）安全审计与评估：定期进行安全审计和评估，发现和修复潜在安全风险。

（4）安全培训与意识：加强员工的安全意识和培训，提高对安全风险的认识和防范能力。

四、实施步骤1.制定安全策略和规范：制定并实施云计算安全策略、安全管理规范和安全操作规程。

2.安全架构规划：根据云计算安全等级需求划分，设计合理的安全架构，包括网络安全、系统安全和应用安全等。

3.安全技术措施：选择合适的安全技术措施，如身份认证、加密等，保护云计算服务的安全性。

1项目综述1.1项目背景为了保障基于“健康云”、“智慧云”的XX数据中心，天融信公司依据公安部《关于开展信息系统等级保护安全建设整改工作的指导意见》公信安[2009]1389号)的要求，贯彻“通过组织开展信息安全等级保护安全管理制度建设、技术措施建设和等级测评，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全防范能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益”的方针，为XX 数据中心需要在规划、建设和使用相关信息系统的同时对信息安全也要同步建设，全面开展信息安全等级保护建设整改工作。

1.2安全目标XX的信息安全等级保护建设工作的总体目标是：“遵循国家信息安全等级保护有关法规规定和标准规范，通过全面开展信息安全等级保护定级备案、建设整改和等级测评工作，进一步实现对整个新建云平台的信息系统安全管理体系和技术防护体系，增强信息安全保护意识，明确信息安全保障重点，落实信息安全责任，切实提高系统信息安全防护能力，为整个云平台的顺利建设和信息化健康发展提供可靠保障。

”具体目标包括（1）体系建设，实现按需防御。

通过体系设计制定等级方案，进行安全技术体系、安全管理体系和安全运维体系建设，实现按需防御。

（2）安全运维，确保持续安全。

通过安全监控、安全加固等运维手段，从事前、事中、事后三个方面进行安全运行维护，实现持续性按需防御的安全需求。

（3）通过合规性建设，提升XX云平台安全防护能力，保障系统信息安全，同时满足国家等级保护的合规性要求，为信息化工作的推进保驾护航。

1.3建设范围本方案的设计范围覆盖XX的新建云平台基础设施服务系统。

安全对象包括：●云内安全：虚拟化环境中的虚拟化平台及其相关虚拟化网络、虚拟化主机的安全防护；●云外安全：虚拟化环境以外的网络接入，核心交换，存储备份环境。

1.4建设依据1.4.1国家相关政策要求（1）《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）；（2）《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003] 27号）；（3）《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）；（4）《信息安全等级保护管理办法》（公通字[2007]43号）；（5）《信息安全等级保护备案实施细则》（公信安[2007]1360号）；（6）《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》（发改高技[2008]2071号）；（7）《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）。