云计算安全等级保护2.0合规能力白皮书.pdf
《云计算安全等级保护2.0合规能力白皮书.pdf》由会员分享,可在线阅读,更多相关《云计算安全等级保护2.0合规能力白皮书.pdf(81页珍藏版)》请在咨信网上搜索。
1、编号:20191001版本:V1.0编号:20191001版本:V1.0公安部信息安全等级保护评估中心新华三云计算安全等级保护2.0合规能力白皮书新华三云计算安全等级保护 2.0 合规能力白皮书从等保能力验证技术架构、新华三云计算安全能力等保 2.0 合规状况及白皮书使用建议等方面做了详细阐述。借助白皮书,客户能够快速获取多交付场景下新华三云计算安全合规防护能力,同时结合客户侧的应用、安全管理、物理环境等方面的保护措施,共同构筑满足等保和客户需求的信息系统整体安全防御体系。白皮书共分为四个部分,各部分内容具体安排如下:第一部分主要介绍云计算的基础知识及云安全概述,主要包括云计算定义;云计算安全
2、、云计算服务模式以及云安全责任分担模型,并简要概述新华三云计算平台部署模式。第二部分描述了合规白皮书与规范体系架构的关系,基于云平台保护对象,对新华三云计算平台的安全措施及安全能力进行识别分析,构建了新华三云计算安全等保 2.0 合规能力模型,为云服务商和云服务客户的安全能力改进提供方向和指引,并简要介绍了云计算等保 2.0 合规能力安全评估方法。第三部分介绍了新华三云计算安全,对新华三云计算安全架构进行了阐述,梳理了新华三云计算安全各安全层面的防护架构,对新华三云计算各安全组件(服务)进行详细介绍;此外,分别从网络安全等级保护 2.0 第三级和第四级通用要求和云计算扩展要求对新华三云计算安全
3、等保 2.0 合规能力进行了分析、评估。第四部分从行业应用角度对新华三云计算安全等级保护 2.0 合规能力白皮书的应用价值进行了介绍,阐述了白皮书的指导作用,并分别针对用户和等级保护测评机构的应用方法进行了详细的介绍,为用户在技术选型、规划设计和等级测评等方面提供不同程度的指导。最后,在附录部分提供了新华三云计算安全在不同的交付模式下应该满足的等级保护 2.0 测评指标及新华三云计算安全等级保护安全合规能力。本白皮书力求全面、深入浅出的分析新华三云计算安全的安全合规能力,通过分析新华三云计算平台的安全能力,构建云计算(新华三云计算安全)等保 2.0 合规能力模型,分析了新华三云计算安全等级保护
4、 2.0 安全合规状况的详细报告。公安部信息安全等级保护评估中心新华三技术有限公司总 述张宇翔 (公安部信息安全等级保护评估中心)李 明 (公安部信息安全等级保护评估中心)张 力 (新华三技术有限公司)刘云峰 (新华三技术有限公司)孙松儿 (新华三技术有限公司)涂 尧 (新华三技术有限公司)声 明主要撰稿人张振峰 (公安部信息安全等级保护评估中心)张志文 (公安部信息安全等级保护评估中心)杨洪起 (新华三技术有限公司)张 野 (新华三技术有限公司)刘姝麟 (新华三技术有限公司)于子洲 (新华三技术有限公司)董 伟 (新华三技术有限公司)贾 楠 (新华三技术有限公司)赵新珂 (新华三技术有限公司
5、)韩 超 (新华三技术有限公司)王 乐 (新华三技术有限公司)史翔宇 (新华三技术有限公司)特别感谢新华三云计算安全等级保护2.0合规能力白皮书 是在中国云计算安全等级保护合规能力规范体系技术社区指导下,依据云计算安全等级保护合规能力框架,由公安部信息安全等级保护评估中心和新华三技术有限公司共同编制。新华三技术有限公司提醒您在阅读或使用本文档之前仔细阅读、充分理解下列各条款的内容:1.通过新华三技术有限公司提供的正规授权通道下载、获取本文档,且仅能用于自身的合法合规的业务活动,本文档的内容视为新华三技术有限公司的保密信息,应严格遵守保密义务;2.由于产品版本升级、调整或其他原因,本文档内容有可
6、能变更,新华三技术有限公司保留在没有任何通知或者提示下对本文档的内容进行修改的权利,并在新华三技术有限公司授权通道中不时发布更新后的用户文档,应实时关注用户文档的版本变更并通过新华三授权渠道下载、获取最新版的用户文档;3.新华三技术有限公司已尽最大努力确保本文档内容准确可靠,但不提供任何形式的担保,任何情况下,新华三技术有限公司均不对(包括但不限于)最终用户或任何第三方因使用本文档而造成的直接或间接的损失或损害负责。4.本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容,除另有特别注明外,其著作权或其它相关权利均由公安部信息安全等级保护评估中心和新华三技术有限公司依法拥有其知识
7、产权,包括但不限于商标权、专利权、著作权、商业秘密等。新华三技术有限公司保留对本文档及本声明的最终解释权和修改权,非经新华三技术有限公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,并不得以任何形式传播,本文档中的信息可能变动,恕不另行通知;且不得以任何理由使用、公布或复制本白皮书中公安部信息安全等级保护评估中心的名称(图案标示、标识);5.限于编制时间仓促,编制组水平有限,书中难免疏漏和不足,诚望不吝赐教、斧正,以便后续改进和完善,期望能够给 本白皮书的阅读者提供有用的参考,任何意见或建议,敬请联系 。第1章 云计算概述-1 1.1 云计算基本概念-1 1.2 云计算安全
8、-1 1.2.1 物理环境安全-1 1.2.2 通信网络安全-2 1.2.3 区域边界安全-2 1.2.4 计算环境安全-2 1.2.5 安全管理中心-2 1.2.6 安全管理-2 1.3 云安全责任分担模型-2 1.4 新华三云计算平台部署模式-3 第2章 云计算等保2.0合规能力技术架构-5 2.1 合规白皮书与规范体系框架的关系-5 2.2 新华三云计算安全等保2.0合规能力模型-52.2.1 新华三云计算安全等级保护对象-52.2.2 新华三云计算安全措施-62.2.3 新华三云计算安全能力-82.2.4 能力矩阵模型-92.2.5 新华三云计算等保 2.0 合规能力模型-9第3章 新
9、华三云计算安全等级保护2.0合规状况-113.1 新华三云计算安全概述-113.1.1 新华三云计算安全背景概述-113.1.2 新华三云计算安全特点-113.2 新华三云计算架构-13目 录云计算概述新华三云计算安全等级保护 2.0 合规能力白皮书13.2.1 新华三云计算整体架构-133.2.2 新华三云计算网络基础架构-143.2.3 新华三云计算安全架构-213.3 新华三云计算安全技术能力-233.3.1 新华三云计算安全能力-233.3.2 安全组件-303.4 新华三云计算等保2.0合规性分析-353.4.1 等保 2.0 下新华三云计算环境安全评估-353.4.2 新华三安全云
10、合规性分析-104第 4 章 新华三云计算安全等保合规白皮书应用价值-1074.1 应用价值-1074.1.1 呈现新华三云计算平台等保合规能力-1074.1.2 识别新华三云计算平台等保测评指标-1074.1.3 为相关用户或机构提供技术参考-1074.2 应用方法-1084.2.1 新华三云计算用户-1084.2.2 等保测评机构-1114.3 新华三云计算平台案例-113附录 A 安全责任划分-115A.1 网络安全等级保护通用要求项安全责任-115A.2网络安全等级保护云扩展要求项安全责任-131附录 B 安全合规能力-135B.1 网络安全等级保护通用要求项安全能力-135B.2 网
11、络安全等级保护云扩展要求项安全能力-1491.1 云计算基本概念云计算是一种资源利用模式,它是一种无处不在的、便捷的、按需的,基于网络访问的,共享使用的,可配置的计算资源(如:网络、服务器、存储、应用和服务),可以通过最少的管理工作或与服务提供商的互动来快速置备并发布。云计算将计算、网络、存储、数据等资源集中在资源池中,并以服务的形式提供给用户,这些服务可以快速构建、准备、部署和退出,并且可迅速扩充或缩减规模。该定义描述了云计算的三种服务模式,四种部署模式以及五个基本特征。云计算服务的五个基本特征:按需自助、无所不在的网络访问、资源池化、快速弹性和可度量的服务。云计算基于交付方式可以划分为三种
12、服务模式:基础设施即服务(IaaS)、平台即服务(PaaS)和软件即服务(SaaS)。基础设施即服务(Infrastructure-as-a-Service),云服务商主要提供一些基础资源,包括服务器、网络、存储等服务,由自动化的、可靠的、扩展性强的动态计算资源构成。云服务客户能够部署和运行任意软件,包括操作系统和应用程序,无需管理或控制任何云计算基础设施,但能控制操作系统的选择、存储空间、部署的应用,也有可能获得网络组件的控制。平台及服务(Platfrom-as-a-Service),主要作用是将一个开发和运行平台作为服务提供给用户,能够提供定制化研发的中间件平台、数据库和大数据应用等。软件
13、即服务(Software-as-a-Service),通过网络为最终用户提供应用服务,绝大多数 SaaS 应用都是直接在浏览器中运行,不需要用户下载安装任何程序,由服务商管理和托管的完整应用软件。云服务客户可以通过 web 浏览器、移动应用或轻量级客户端应用来访问它。根据使用云计算平台的客户范围不同,可以将云计算分成私有云、公有云、社区云和混合云。1.2 云计算安全随着云计算的普及,安全问题已成为制约其发展的关键要素之一,与传统信息系统安全相比,云计算具有按需服务、泛在接入、多租户和资源池、快速弹性、可度量性五大特有属性,在安全方面,云计算也具有一些新的特征,如传统的安全边界消失、服务安全保障
14、模式改变、数据安全保护强度提高,技术标准和政策法规缺失。鉴于云计算的新特性,传统的安全防护措施无法有效的保证云计算的完整性、可用性和保密性,云计算的安全性受到严重挑战。传统信息技术所面临的安全风险依然威胁着云计算安全,云计算新特性也带来一些新的风险,如数据泄露、数据丢失、数据劫持、共享技术漏洞、不安全API接口及滥用云服务等。基于云计算新增的安全威胁、防护手段及“一个中心,三重防御”的纵深防御思想,GB/T 222392019 信息安全技术 网络安全等级保护基本要求中进行了扩展,形成了云计算安全扩展要求,网络安全等级保护制度在 2.0 时代着重于全方位的主动防御、动态防御、精准防护和整体防控的
15、安全防护体系,将云计算平台/系统的安全问题主要分为物理环境安全、通信网络安全、区域边界安全、计算环境安全、管理中心安全以及云计算安全管理方面的安全问题。1.2.1 物理环境安全云计算依赖于强大可靠的虚拟化和分布式计算技术,其依赖于由计算、存储、网络等云基础设施设备构成的物理机房。物理环境安全是系统安全的前提,信息系统所处物理环境安全的优劣对信息系统的安全有着直接的影响,物理环境安全主要包括两个方面:一方面是指保护云计算平台免遭地震、水灾、火灾等自然灾害以及人为行为导致的破坏,预防措施主要包括场地安全、防火、防水、防静电、防雷击、电磁防护及线路安全等;另一方面是指云服务商部署基础设施的数据中心安
16、全设计和运维运行管理,以及建立严格的管理规章制度。第 1 章 云计算概述云计算概述云计算概述新华三云计算安全等级保护 2.0 合规能力白皮书新华三云计算安全等级保护 2.0 合规能力白皮书231.2.2 通信网络安全云计算的主要特征泛在接入凸显了网络是云计算的重要基石,网络安全是云计算安全的重要一环。对于大多数的云计算而言,网络的性能决定云计算的性能。通信网络安全一方面是边界内部的局域网网络架构以及虚拟网络架构设计的安全性,整个网络资源分布、架构合理是在网络上实现各种技术功能以达到通信网络保护目的为前提;另一方面是网络传输数据的安全性,通信数据在传输过程中的安全性是保障网络环境安全运行的根基,
17、保障通信网络的安全性,可有效地防止数据在通信传输中被篡改或泄露,确保在网络中传输数据的保密性、完整性和可用性等。1.2.3 区域边界安全云与外部网络互联互通过程中也存在着较大的安全隐患,尽管云计算具有无边界化、分布式的特性,但对于每一个云数据中心,其服务器仍然是局部规模化集中部署的。通过对每个云数据中心分别进行安全防护,来实现云基础设施边界安全,并在云计算服务的关键节点和服务入口处实施重点防护,实现局部到整体的严密联防。网络边界防护是云计算环境安全防御的第二道防线。在不同的网络间实现互联互通的同时,在网络边界采取必要的安全接入、访问控制、入侵防范、安全审计等措施是实现内部计算环境安全防御的必要
18、手段。1.2.4 计算环境安全除对传统系统的服务器操作系统、数据库、业务应用及数据的安全性要求外,等保 2.0 还对镜像和快照安全、虚拟化安全、网络安全设备等方面提出了相关的要求。云计算操作系统基于虚拟化技术实现计算资源池化、动态配置以及资源编排,为应对虚拟化技术自身安全性,对云计算平台提出了一层额外的安全要求。针对虚拟机在使用和迁移过程中可能引起风险,增加的安全性要求还有虚拟服务管理平台(Hypervisor,VMM)安全、虚拟资源隔离、虚拟机镜像安全等。1.2.5 安全管理中心“安全管理中心”是纵深防御体系的“大脑”,通过“安全管理中心”实现技术层面的系统管理、审计管理和安全管理,同时通过
19、“安全管理中心”实现整个云计算环境的集中管控。“安全管理中心”并非一个机构,也并非一个产品,是一个技术管控枢纽,通过一个技术工具或多个技术工具实现一定程度上的集中管理,便于云计算资源进行调度、管理以及监控,同时能够对统一身份、认证、授权及密钥进行管理。1.2.6 安全管理安全管理包括安全运维管理、安全建设管理、安全管理人员、安全管理机构、安全管理制度。任何一个组织机构应制定符合国家需求和自己机构内部需求的安全管理制度体系,构建从单位最高管理层到执行层以及具体业务运营层的组织体系,明确各个岗位的安全职责,对参与系统建设、管理、运维等人员实施科学、完善的管理,保证系统建设的进度、质量和安全以及系统
20、运维有效、完善的运行。1.3 云安全责任分担模型任何一个云服务的参与者都应承担起相应的职责,不同角色的参与者通常会承担实施和管理不同部分的责任。因此,云安全的责任由云服务不同的参与者分担。云平台一般提供基础设施即服务、平台即服务和软件即服务的各类云服务资源,云服务安全责任主要涉及的角色有云服务商和云服务客户。云服务商的主要安全责任是研发和运维云平台,保障云平台基础设施的安全,同时提供各项基础设施服务以及各项服务内置的安全功能。云服务商在不同的服务模式下承担的安全责任不同(图 1.1),在基础设施即服务(IaaS)模式下,云服务商需确保基础设施无漏洞,云服务商基础设施包括支撑云服务的物理环境、云
21、服务商自研的软硬件以及运维运营包括计算、存储、数据库以及虚拟机镜像等各项云服务的系统设施,同时云服务商还需负责底层基础设施和虚拟化技术免遭外部攻击和内部滥用的安全防护责任,并与云服务客户共同分担网络访问控制策略的防护;在平台即服务(PaaS)模式下,云服务商还需负责底层基础设施和虚拟化技术免遭外部攻击和内部滥用的安全防护责任,并与云服务客户共同分担网络访各类可控的资源进行安全配置,对其云平台的相关账户进行安全策略配置,对运维人员实施权限管理及职责分离,并对云服务商提供的虚拟机、安全组、高级安全服务以及云服务客户自行部署的安全防护软件进行合理的安全策略配置。此外,对于云服务客户自行部署在云上的业
22、务应用、数据库及中间件等均需云服务客户进行安全管理,云服务客户始终是云上业务数据的所有者和控制者,云服务客户需对数据的保密性、可用性、完整性以及数据访问验证、授权进行安全管理;在平台即服务(PaaS)模式下,云服务客户需保证其部署在云平台上的业务应用和数据的安全性,并对云服务商提供的各项服务进行安全配置,各类账户进行安全管理,防止自身业务应用受到非授权的破坏,导致数据泄露或丢失;在软件即服务 1.4 新华三云计算平台部署模式新华三云计算部署场景可以是私有云部署、公有云部署或者是混合云部署,在不同的云计算部署场景中,新华三提供的安全能力各有侧重。新华三云计算聚焦行业云和城市云,为百城百业提供全栈
23、式服务和全产业链云生态。新华三为政务、高校、融媒、工业、金融、党建等多行业提供的云计算涉及 IaaS 和 PaaS 两种服务模式,云计算基础设施相关软件、硬件部署在客户提供的数据中心本地或者是私有云云计算平台的数据中心。新华三云计算平台融合 H3C CloudOS 云操作系统、H3C CAS 虚拟化平台、H3C VCFC 及 H3C SecCloud OMP 云安全管理平台,且兼容基于 OpenStack 的第三方云架构,为每个云服务客户提供完善的安全防护解决方案,并为数据中心的边界安全提供防护。(SaaS)模式下,云服务客户需对其选用的应用进行安全配置,并对自身业务数据做好安全防护工作。无论
24、哪种云服务模式,云服务商都应为客户提供数据保护手段,并实现数据保护的相关功能,但是云服务商绝不允许运维人员在未经授权的情况下私自访问云服务客户数据;云服务客户对其业务数据拥有所有权和控制权,需负责各项具体的数据安全配置,云计算平台提供的数据传输、存储完整性和保密性的安全功能决定着用户数据安全防护措施是否能实现。问控制策略的防护;在平台即服务(PaaS)模式下,云服务商除防护底层基础设施安全外,还需对其提供的虚拟机、云应用开发平台及网络访问控制等进行安全防护,并对其提供的数据库、中间件进行基础的安全加固;在软件即服务(SaaS)模式下,云服务商需对整个云计算环境提供安全防护责任。云服务客户的主要
25、责任是在云平台基础设施与服务之上定制配置并且运维运营其所需的虚拟网络、平台、应用、数据、管理等各项服务。在基础设施即服务(IaaS)模式下,云服务客户需对其部署在云上的图 1.1 云安全责任分担模型云服务商安全责任图 1.2 云安全责任分担模型云服务客户安全责任云计算概述云计算概述新华三云计算安全等级保护 2.0 合规能力白皮书新华三云计算安全等级保护 2.0 合规能力白皮书45H3C CAS 虚拟化平台采用满足电信级性能及可靠性要求的虚拟化内核,支持融合交付计算、存储、网络、安全虚拟化资源,H3C CAS 虚拟化平台由 CVK 虚拟化内核系统、CVM 虚拟化管理平台和 CIC 云业务管理中心
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 计算 安全 等级 保护 2.0 合规 能力 白皮书
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【Stan****Shan】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【Stan****Shan】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。