下载文档原格式
云计算五个安全要求随着云计算技术的普及和发展，越来越多的企业开始采用云计算模式来存储、处理和管理数据。
但是，与此同时，云计算的安全问题也备受关注。
为了保护云计算环境中的数据、应用和系统，以下介绍云计算中的五个重要的安全要求。
1. 数据隐私保护在云计算环境中，数据的安全和保密性是至关重要的。
为了保护数据的隐私性，企业必须采取一系列的安全措施，例如加密、访问控制、身份认证等，来保证数据在存储、传输和处理过程中的安全性。
2. 服务可用性云计算的可用性是指用户能够方便、及时地使用云服务。
在云计算环境中，一旦出现故障或攻击事件，就会影响云服务的可用性。
为了保证云服务的可用性，必须采取相关的备份、容错、恢复等措施。
3. 网络安全保护云计算需要通过网络传输数据，因此网络安全保护也是至关重要的。
网络安全保护主要包括防火墙、入侵检测等措施，以及对网络流量进行监控和管理，以及实时查找和解决安全漏洞等。
4. 安全审计和监控云计算环境中的大量数据需要进行管理和监控。
通过安全审计和监控，可以对系统和数据的行为进行监测和记录，以及及时发现和解决潜在的安全问题。
此外，安全审计和监控还可以帮助企业识别和预测安全威胁，以及提高企业对云计算安全的认识和意识。
5. 敏感信息保护在云计算环境中，企业经常会面临大量敏感信息的处理和存储，因此，保护敏感信息的安全是至关重要的。
敏感信息保护主要包括安全传输、加密、身份认证等措施，以及对敏感信息进行访问控制、审计和管理等。
总之，云计算的安全问题需要引起企业的高度重视。
通过采取一系列的措施，包括数据隐私保护、服务可用性、网络安全保护、安全审计和监控、敏感信息保护等，可以有效地保护云计算环境中的数据、应用和系统的安全，确保企业的正常运作和发展。
C HINA QUAIJTY A ND STANDARDS REVIEW 丨酾;腿i B云计算安全相关标准解析董贞良（中国人民银行金融信息中心）单机时代、计算机网络时代和云计算时代。
伴随着这个过程，安全的关注点也随之变化。
信息技术发展与主要安全关注点如图1所示。
本文主要对国内外云计算相关标准，以及国内金融行业云计算标准进行了综述。
1云计算时代及其安全云计算已经成为互联网时代的主流计算模式， 同时，其带来的安全问题日趋重要和紧迫。
到目前为止，信息技术大致经历了通信时代、s i纵深防御；云数据安全&隐私保护；信息安全风险评估；云服务安全；信息安全等级保护：云平台监视&取证：| 丨丨丨-丨丨■丨|-—丨一__■■■■密码学：安全糢型与验证：通信安全；产品測评：计算机网络i T dc S >图1倍息技术发展与主要安全关注点2国家标准的开发进展国家标准及行业标准情况见表1。
表1云计算安全相关国家标准及行业标准序号标准编号及名称备注1GB/T 31167—2014《信息安全技术云W 服务安全指南》2GB/T 31168—2014《信息安全技术云计算服务安全能力要求》3GB/T 34942-2017《信息安全技术云體服絲全能力4GB/T 35279-2017《信息安全技术云计算安全参考架构》5《网络安全等级保护基本要求第2部分：云计算安全扩展要求》GB/T 22239—2008升级，即将发布6《信息安全財麵网站云删K 务安全指南》征求意见阶段7《云计算技术金融应用规范安全技术要求》征求意见阶段8《云封售技术金融应用规范容灾》征求意见阶段中国隨与麟雜aws/as(1 >GB/T31167—2014《信息安全技术云计算服务安全指南》GB/T31167—2014是指导政府部门采用云计算 服务，选择云服务商，对云计算服务进行运行监管，退出云计算服务和更换云服务商安全风险提出的安 全技术和管理措施。
主要内容：•从发展的脉络分析，“云安全”相关的技术使用云服务时的安全和以云服务方式提供安全两类；•介绍5大类24种云安全相关技术及其客户收益和使用建议，并从技术成熟度和市场成熟度两方面进行了评估；•分析企业使用云服务的场景，指出了国内云安全技术和市场的现状和差异及其原因；并对未来的发展进行了推测和预判；•集中介绍云安全相关的各种法规、标准和认证概述随着云计算逐渐成为主流，云安全也获得了越来越多的关注，传统和新兴的云计算厂商以及安全厂商均推出了大量云安全产品。
但是，与有清晰定义的“云计算”（NIST SP 800-145和ISO/IEC 17788）不同，业界对“云安全”从概念、技术到产品都还没有形成明确的共识。
从发展的脉络分析，“云安全”相关的技术可以分两类：一类为使用云计算服务提供防护，即使用云服务时的安全（security for using the cloud），也称云计算安全（Cloud Computing Security）,一般都是新的产品品类；另一类源于传统的安全托管（hosting）服务，即以云服务方式提供安全（security provided from the cloud），也称安全即服务（Security-as-a-Service, SECaaS），通常都有对应的传统安全软件或设备产品。
云安全技术分类“安全即服务”和“云计算安全”这两类“云安全”技术的重合部分，即以云服务方式为使用云计算服务提供防护。
云计算安全基于云计算的服务模式、部署模式和参与角色等三个维度，美国国家标准技术研究院（NIST）云计算安全工作组在2013年5月发布的《云计算安全参考架构（草案）》给出了云计算安全参考架构（NCC-SRA，NIST Cloud Computing Security Reference Architecture）。
NIST云计算安全参考架构的三个构成维度：•云计算的三种服务模式：IaaS、PaaS、SaaS•云计算的四种部署模式：公有、私有、混合、社区•云计算的五种角色：提供者、消费者、代理者、承运者、审计者NIST云计算安全参考架构作为云服务的使用者，企业需要关注的以下几个子项的安全：•管理对云的使用•配置：调配各种云资源，满足业务和合规要求•可移植性和兼容性：确保企业数据和应用在必要时安全地迁移到其他云系统生态•商务支持：与云服务提供商的各种商务合作和协调•组织支持：确保企业内部的策略和流程支持对云资源的管理和使用•云生态系统统筹•支持云服务提供商对计算资源的调度和管理•功能层•包括网络、服务器、存储、操作系统、环境设置、应用功能等，不同服务模式下企业能够控制的范围不同使用不同模式的云服务（IaaS、PaaS或SaaS）时，企业对资源的控制范围不同，有不同的安全责任边界，因此需要明确自己的责任边界，适当部署对应的安全措施。
云平台安全防护技术要求1云平台自身安全要求1.1网络架构安全要求网络架构安全要求包括但不限于：a)应保证云平台不承载高于其安全保护等级的业务应用系统；b)云平台内部应根据业务特点划分为不同的安全域，安全域之间应采用访问控制和技术隔离手段；c)应具有根据云平台业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略；d)应具备入侵防范能力，能检测到针对云平台以及虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；能检测到虚拟机与宿主机、不同业务虚拟机与虚拟机之间的异常流量；应在检测到网络攻击行为、异常流量情况时进行告警；e)应具备安全审计功能，对远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；应保证云平台管理人员对云平台业务系统和数据的操作可被云平台业务审计。
1.2计算环境安全要求计算环境安全要求包括但不限于：a)应具备访问控制功能，遵循GB/T22239—2019中8.1.4.2条规定，保证当虚拟机迁移时，访问控制策略随其迁移；b)应具备入侵防范功能，遵循GB/T22239—2019中8.1.4.4及8.2.4.3条规定；c)应具备镜像和快照保护功能，遵循GB/T22239—2019中8.2.4.4条规定；d)应使用密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必要的恢复措施；e)应具备数据备份恢复保护、剩余信息保护功能，遵循GB/T22239—2019中8.2.4.7条规定；f)云平台宜部署于经国家相关部门认证的安全加固操作系统上，采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少一种措施，实现用户访问控制；g)云平台网络关键设备和网络安全专用设备应经国家或行业有关机构检测认证，防范设备存在恶意组件或芯片；h)云平台业务应采用经国家或行业有关机构检测认证的数据库、中间件等支撑软件；i)云平台宜通过沙箱、网络诱捕等技术实现主动防御；j)宜基于可信根对云平台服务器、网络设备、安全设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行告警或阻断等响应。
IaaS技术规范中国联通公司企业标准QB/CU 070-中国联通IaaS计算设备技术规范（V1.0）China Unicom Infrastructure as a Service Computing Technical Specification（V1.0）中国联通公司发布目录目录 ......................................................................................... 错误!未定义书签。
中国联通IaaS计算设备技术规范............................................. 错误!未定义书签。
1范围.......................................................................................... 错误!未定义书签。
2规范性引用文件 ...................................................................... 错误!未定义书签。
3术语及缩略语 .......................................................................... 错误!未定义书签。
3.1 术语 ................................................................................. 错误!未定义书签。
3.2 缩略语 ............................................................................. 错误!未定义书签。
4 IaaS计算设备 .......................................................................... 错误!未定义书签。
中国联通公司企业标准QB/CU 070-2013中国联通IaaS计算设备技术规范（V1.0）China Unicom Infrastructure as a Service Computing TechnicalSpecification（V1.0）中国联通公司发布目录目录............................................................................... 中国联通IaaS计算设备技术规范.......................................................... 1范围................................................................................. 2规范性引用文件....................................................................... 3术语及缩略语.........................................................................3.1 术语............................................................................3.2 缩略语..........................................................................4 IaaS计算设备..........................................................................4.1 概述............................................................................4.2 总体技术架构.................................................................... 5服务器硬件要求.......................................................................5.1 总体要求........................................................................5.1.1 系统总体要求..............................................................5.1.2 CPU.......................................................................5.1.3 内存......................................................................5.1.4 硬盘......................................................................5.1.5 网络......................................................................5.2 分类分级要求....................................................................5.2.1 接入服务器指标............................................................5.2.2 计算型服务器指标..........................................................5.2.3 高性能计算型服务器指标 ....................................................5.2.4 存储型服务器指标..........................................................5.3 可用性要求......................................................................5.4 可管理性要求....................................................................5.4.1 管理硬件要求..............................................................5.4.2 管理功能要求..............................................................5.5 管理接口要求....................................................................5.6 安全性要求...................................................................... 6服务器虚拟化功能要求.................................................................6.1 总体要求........................................................................6.2 基本要求........................................................................6.2.1 虚拟机部署................................................................6.2.2 虚拟机操作................................................................6.2.3 虚拟机的快照创建和恢复 ....................................................6.2.4 虚拟机备份和容灾..........................................................6.2.5 虚拟机模板................................................................6.2.6 虚拟机克隆................................................................6.2.7 虚拟机网络................................................................6.3 管理功能要求....................................................................6.3.1 P2V/V2V...................................................................6.3.2 资源按需分配..............................................................6.3.3 实时资源调整..............................................................6.3.4 工作负载动态调整..........................................................6.3.5 虚拟机迁移................................................................6.3.6 网络IO控制...............................................................6.3.7 存储IO控制............................................................... 7非功能性要求.........................................................................7.1 性能需求........................................................................7.1.1 虚拟机损耗................................................................7.1.2 虚拟机整体性能需求........................................................7.1.3 虚拟机迁移性能............................................................7.1.4 虚拟机快照性能要求........................................................7.2 可用性要求......................................................................7.2.1 集群支持..................................................................7.2.2 网络冗余连接..............................................................7.2.3 存储可用性支持............................................................7.2.4 虚拟机HA.................................................................7.2.5 虚拟机故障隔离............................................................7.3 可管理性要求....................................................................7.3.1 虚拟化系统补丁统一升级 ....................................................7.3.2 虚拟机操作系统软件统一升级 ................................................7.3.3 故障管理..................................................................7.3.4 脚本自动化管理............................................................7.3.5 运维监控管理..............................................................7.3.6 拓扑管理..................................................................7.3.7 状态监控管理..............................................................7.3.8 历史记录管理..............................................................7.4 安全性要求......................................................................7.4.1 防病毒能力................................................................7.4.2 敏感数据保护(可选)......................................................... 8接口功能描述.........................................................................前言随着云计算技术的成熟，中国联通基于云计算的内部支撑系统建设也在逐步推进。
云计算安全技术规范云计算安全技术规范是基于云计算环境下，确保云计算系统和服务的安全性所制定的一系列规范和措施。
它们旨在保护用户数据的机密性、完整性和可用性，同时还需要确保云计算服务提供商的系统和基础设施得到充分的保护。
首先，云计算安全技术规范应包括以下内容：1.认证和授权：为了确保云计算系统中的用户和服务的合法性，规范应明确认证和授权的标准和流程。
例如，要求用户在使用云计算服务之前必须经过身份验证，并且要定义清晰的权限管理机制，以限制用户访问和操作云计算系统的范围。
2.数据保护：3.网络安全：规范应包括网络安全方面的要求，保护云计算系统和服务免受网络攻击的威胁。
这可能涉及到防火墙和入侵检测系统的配置、漏洞管理、网络流量监控等措施，以及限制网络访问和传输的安全策略。
4.虚拟化安全：由于云计算环境中会使用虚拟化技术，因此规范还应包括虚拟化安全的要求。
这可能涉及到虚拟机隔离、虚拟机监控、虚拟机漏洞管理等方面，以确保虚拟化环境的安全。
5.安全审计和监控：规范应明确安全审计和监控的要求，以确保用户和云计算服务提供商能够对云计算系统和服务的安全性进行监控和审计。
这可能包括日志管理、异常检测、安全事件响应等方面，以及对云计算服务提供商的安全性进行评估和验证的机制。
此外，云计算安全技术规范还应涉及容灾备份、系统更新和漏洞管理、物理安全等方面的要求。
为了确保云计算安全技术规范的有效实施，相关的监管机构和标准化组织可以起到重要的作用。
它们可以制定和推动云计算安全的相关标准，确保云计算服务提供商和用户遵守这些规范，并进行统一的认证和审核。
总而言之，云计算安全技术规范的制定和实施对于保护云计算系统和服务的安全性至关重要。
它们将为用户提供更安全、可靠的云计算环境，并推动云计算行业的健康发展。
