云计算关键领域安全指南

云计算服务安全能力要求1 围本标准规定了以社会化方式提供云计算服务的服务商应满足的信息安全基本要求。

本标准适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务，也适用于对云计算服务进行安全审查。

2 规性引用文件下列文件对于本文件的应用是必不可少的。

凡是注日期的引用文件，仅所注日期的版本适用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T XXXXX-XXXX 信息安全技术云计算服务安全管理指南GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求GB 50174-2008 电子信息系统机房设计规GB/T 9361-2011 计算机场地安全要求3 术语和定义GB/T 25069-2010、GB/T XXXXX-XXXX确立的以及下列术语和定义适用于本标准。

3.1云计算 cloud computing云计算是一种通过网络便捷地访问海量计算资源（如网络、服务器、存储器、应用和服务）的模式，使客户只需极少的管理工作或云服务商的配合即可实现计算资源的快速获得和释放。

3.2云服务商 cloud service provider为个人、组织提供云计算服务的企事业单位。

云服务商管理、运营支撑云计算服务的计算基础设施及软件，通过网络将云计算服务交付给客户。

3.3客户 cloud consumer使用云计算平台处理、存储数据和开展业务的组织。

3.4第三方评估机构 third party assessment organization独立于云服务商和客户的专业评估机构。

3.5云基础设施 cloud infrastructure云基础设施包括硬件资源层和资源抽象控制层。

硬件资源层包括所有的物理计算资源，主要包括服务器（CPU、存等）、存储组件（硬盘等）、网络组件（路由器、防火墙、交换机、网络和接口等）及其他物理计算基础元素。

资源抽象控制层由部署在硬件资源层之上，对物理计算资源进行软件抽象的系统组件构成，云服务商用这些组件提供和管理物理硬件资源的访问。

软件开发公司的技术文档主题：云计算安全合规指南执行摘要本文档为软件开发公司的技术团队提供了云计算安全合规的基础知识，涵盖了主要的安全标准和法规、云计算服务提供商（CSP）的安全责任、数据保护和隐私要求等内容。

通过阅读本文档，技术团队可以了解云计算安全合规的核心概念和基本要求，确保公司的云计算项目符合相关法规和标准。

文档结构和主要内容•第一页：主要安全标准和法规概述•第二页：云计算服务提供商（CSP）的安全责任•第三页：数据保护和隐私要求•第四页：云计算安全案例分析•第五页：安全合规流程图和对比表•第六页：结论主要内容•云计算安全标准和法规概述•云计算服务提供商（CSP）的安全责任•数据保护和隐私要求•云计算安全案例分析•安全合规流程图和对比表关键词•云计算安全•合规•安全标准•法规•数据保护•隐私详细内容第一页：主要安全标准和法规概述•HIPAA：医疗保健行业的安全标准•PCI-DSS：支付卡行业的安全标准•GDPR：欧盟的数据保护法规•CCPA：加州的消费者隐私法第二页：云计算服务提供商（CSP）的安全责任•AWS：亚马逊云计算服务的安全责任•Azure：微软云计算服务的安全责任•Google Cloud：谷歌云计算服务的安全责任第三页：数据保护和隐私要求•数据加密：数据保护的基本要求•访问控制：数据访问控制的基本要求•数据备份：数据备份的基本要求第四页：云计算安全案例分析•案例1：某公司在AWS上部署了一个医疗保健应用，需要遵守HIPAA的安全标准•案例2：某公司在Azure上部署了一个电子商务应用，需要遵守PCI-DSS的安全标准•案例3：某公司在Google Cloud上部署了一个数据分析应用，需要遵守GDPR 的数据保护法规第五页：安全合规流程图和对比表第六页：结论云计算安全合规是软件开发公司的关键任务，需要了解主要的安全标准和法规、云计算服务提供商（CSP）的安全责任、数据保护和隐私要求等内容。

1 国外云安全组织及标准 -云安全标准
云安全标准机构
5、欧洲网络与信息安全管理局（ENISA ）
《云计算--信息安全的好处，风险和建议》
➢ 首先定义了云里的风险类型、资产类型、脆弱性类型，然 对风险详细分类并给出其可能性、影响大小、与脆弱性的 关系、影响资产风险等级。
风 策略和管理风险
技术风险
法律风险
2、国际电信联盟--电信标准化部（ITU-T）
已有的云安全相关标准
– 云计算焦点组（ Focus Group on Cloud Computing，FG Cloud ） • 2010年6月成立 • 正在制定《云安全、威胁与需求》（标准草案），文档 计划2011年5月完成
– 电信云安全研究小组--SG17 • 2009年成立 • 《电信领域云计算安全指南》 • 计划于2012年3月完成
成立，目标是推广云安全的最佳实践方案，开展云安全培训。
组织成员：包括 100多家来自全球IT企业加盟，并与ITU、ENISA等二
十家标准组织及机构合作，在云安全最佳实践与标准制定方面具有很大 的影响力有影响力。
1 国外云安全组织及标准 -云安全建议白皮书
云安全标准建议组织
1、云安全联盟（CSA）
立于2002年，属于美国政府机构，成员主要由来自其他28个政府部分 的首席技术人员组成。
2010年2月，与 NIST、GSA(General Services Administration )、 CIO以及ISIMC(Information Security and Identity Management Committee )一起合作完成《美国政府云计算风险评估方法》
以对虚拟机进行应用程序细粒度的打包迁移。

图 1 云计算综合标准化体系框架
（二）云计算标准研制方向
以云计算综合标准化体系框架为基础，通过研究分析信息技术和通信领域已有标准，提出现有标准 缺失的，并能直接反映云计算特征，有效解决应用和数据迁移、服务质量保证、供应商绑定、信息安全 和隐私保护等问题的 29 个标准研制方向（如表 1，详见附件 2），以指导具体标准的立项和制定。对尚 未纳入标准研制方向但在云计算综合标准化体系框架中列出的，统一作为标准化需求研究方向。
11
020302 运维模型
导云计算系统运维的实施。
主要根据云服务分类，制定云服务目录建设规范，包括服
12
030101 服务目录
务目录列表和服务内容详述等方面的要求，规范服务目录的内
容和描述形式。
0301 云
主要制定服务级别协议的术语和定义、框架、度量指标和
03 云 服务设计
核心要求、度量方法等标准，为云服务商和用户建立服务级别
——网络。云计算具有泛在网络访问特性，用户无论通过电信网、互联网或广播电视网，都能够使 用云服务。“宽带中国”战略的实施为我国云计算发展奠定坚实的网络基础。与此同时，为了进一步优 化网络环境，需要在云内、云间的网络连接和网络管理服务质量等方面加强工作。
——安全。云安全涉及服务可用性、数据机密性和完整性、隐私保护、物理安全、恶意攻击防范等 诸多方面，是影响云计算发展的关键因素之一。云安全不是单纯的技术问题，只有通过技术、服务和管 理的互相配合，形成共同遵循的安全规范，才能营造保障云计算健康发展的可信环境。
表 1 云计算重点标准研制方向统计
附件 1：云计算（技术、产业、应用、安全）生态系统
附件 2：云计算标准研制方向明细表
序号 类型 子类型 编号 标准研制方向