首页
学习
活动
专区
工具
TVP
发布

等保2.0中云计算安全扩展要求

以下是公共安全行业网络安全等级保护标准中云计算安全扩展要求三级信息系统的具体技术与管理要求,虽然不是国标,但是小编认为和国标差距不会太大,供大家研究等保2.0中关于云计算安全应该如何去做。

第三级安全要求

1 技术要求

1.1 物理和环境安全

应确保云计算基础设施位于中国境内。

1.2 网络和通信安全

1.2.1 网络架构

网络架构应符合以下要求:

a) 确保云计算平台不承载高于其安全保护等级的业务应用系统;

b) 绘制与当前运行情况相符的虚拟化网络拓扑结构图,并能对虚拟化网络资源、网络拓扑进行实时更新和集中监控;

c) 实现不同云租户虚拟网络之间的隔离;

d) 保证虚拟机只能接收到目的地址包括自己地址的报文;

e) 保证云计算平台管理流量与云租户业务流量分离;

f) 能识别、监控虚拟机之间、虚拟机与物理机之间的流量;

g) 提供开放接口或开放性安全服务,允许云租户接入第三方安全产品或在云平台选择第三方安全服务;

h) 根据云租户业务需求自主设置安全策略集,包括定义访问路径、选择安全组件、配置安全策略。

1.2.2 访问控制

访问控制应符合以下要求:

a) 禁止云租户虚拟机访问宿主;

b) 在虚拟化网络边界部署访问控制机,并设置规则;

c) 保证当虚拟机迁移时,访问控制策略随其迁移;

d) 允许云租户设置不同虚拟机之间的访问控制策略;

e) 在不同等级的网络区域边界部署访问控制机,设置规则。

1.2.3 入侵防范

入侵防范应符合以下要求:

a) 能监测到云租户的网络攻击行为,并记录类型、时间流量等;

b) 能检测到虚拟机与宿主之间的异常 能检测到虚拟机与宿主之间的异常 ;

c) 向云租户提供互联网发布内容监 测功能,便于对其中的有害信息进行实时向云租户提供互联网发布内容监测功能,便于对其中的有害信息进行实时测和告警。

1.2.4 安全审计

安全审计应符合以下要求:

a) 对云服务方和租户远程管理时执行特权命令进审计,至少包括虚拟机删除、重启;

b) 根据云服务方和租户的职责划分,收集各自控制部审计数;

c) 为安全审计数据的汇集提供接口,并可供第三方审计;

d) 根据云服务方和租户的职责划分,实现各自控制部集中审计。

1.3 设备和计算安全

1.3.1 身份鉴别

身份鉴别应符合以下要求:

a) 在网络策略控制器和设备(或代理)之间建立双向验证机制;

b) 当进行远程管理时,终端和云计算平台边界设备之间建立双向身份验证机制。

1.3.2 访问控制

访问控制应符合以下要求:

a) 确保只有在云租户授权下,云服务方或第三方才具有云租户数据的管理权限;

b) 提供云计算平台管理用户权限分离机制,为网络管理员、系统管理员建立不同账户并分配相应的权限。

1.3.3 安全审计

安全审计应符合以下要求:

a) 根据云服务方和云租户的职责划分,收集各自控制部分的审计数据并实现集中审计;

b) 保证云服务方对云租户系统和数据的操作可被云租户审计;

c) 为审计数据的汇集提供接口,并可供第三方审计。

1.3.4 入侵防范

入侵防范应能够检测以下内容:

a) 虚拟机之间的资源隔离失效,并进行告警;

b) 非授权新建虚拟机或者重新启用虚拟机,并进行告警。

1.3.5 恶意代码防范

应能够检测恶意代码感染及在虚拟机间蔓延的情况,并提出告警。

1.3.6 资源控制

资源控制应符合以下要求:

a) 屏蔽虚拟资源故障,某个虚拟机崩溃后不影响虚拟机监视器及其他虚拟机;

b) 对物理资源和虚拟资源按照策略做统一管理调度与分配;

c) 保证虚拟机仅能使用为其分配的计算资源;

d) 保证虚拟机仅能迁移至相同安全等级的资源池;

e) 确保云租户业务应用系统的虚拟机使用独占的内存空间;

f) 对虚拟机的网络接口的带宽进行设置,并进行监控;

g) 为监控信息的汇集提供接口,并实现集中监控。

1.3.7 镜像和快照保护

镜像和快照保护应该符合以下要求:

a) 提供虚拟机镜像、快照完整性校验功能,防止虚拟机镜像被恶意篡改;

b) 采取加密或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问;

c) 针对重要业务系统提供加固的操作系统镜像。

1.4 应用和数据安全

1.4.1 安全审计

安全审计应符合以下要求:

a) 根据云服务方和云租户的职责划分,收集各自控制部分的审计数据并实现集中审计;

b) 保证云服务方对云租户系统和数据的操作可被云租户审计;

c) 为审计数据的汇集提供接口,并可供第三方审计。

1.4.2 资源控制

资源控制应符合以下要求:

a) 能够对应用系统的运行状况进行监测,并在发现异常时进行告警;

b) 保证不同云租户的应用系统及开发平台之间的隔离。

1.4.3 接口安全

保证云计算服务对外接口的安全性。

1.4.4 数据完整性

确保虚拟机迁移过程中,重要数据的完整性,并在检测到完整性受到破坏时采取必要的恢复措施。

1.4.5 数据保密性

数据保密性应符合以下要求:

a) 确保云租户账户信息、鉴别信息、系统信息存储于中国境内;

b) 确保运维过程产生的配置数据、日志信息等不出境;

c) 确保虚拟机迁移过程中,重要数据的保密性,防止在迁移过程中的重要数据泄露;

d) 支持云租户部署密钥管理解决方案,确保云租户自行实现数据的加解密过程;

e) 对网络策略控制器和网络设备(或设备代理)之间网络通信进行加密。

1.4.6 数据备份恢复

数据备份应符合以下要求:

a) 云租户应在本地保存其业务数据的备份;

b) 提供查询云租户数据及备份存储位置的方式;

c) 保证不同云租户的审计数据隔离存放;

d) 为云租户将业务系统及数据迁移到其他云计算平台和本地系统提供技术手段,并协助完成迁移过程。

1.4.7 剩余信息保护

应保证虚拟机所使用的内存和存储空间回收时得到完全清除。

2 管理要求

2.1 安全管理机构和人员

2.1.1 授权

应保证云服务方对云租户业务数据的访问或使用必须经过云租户的授权,授权必须保留相关记录。

2.1.2 人员录用

应对运维人员进行背景审查,包括国籍、违法犯罪记录等。外籍人员和具有境外永久居留权的人员不得具有超级管理员权限。

2.2 安全建设管理

2.2.1 安全方案设计

云计算平台应提供开放接口或开放性安全服务,允许云租户接入第三方安全产品或在云平台选择第三方安全服务,支持异构方式对云租户的网络、主机、应用、数据层的安全措施进行实施。

2.2.2 测试验收

应对云计算平台及云租户业务应用系统进行安全性测试验收。

2.2.3 云服务商选择

云服务商选择应符合以下要求:

a) 确保云服务商的选择符合国家有关规定;

b) 选择安全合规的云服务商,其所提供的云平台应具备与信息系统等级相应的安全保护能力;

c) 满足服务水平协议(SLA)要求;

d) 在服务水平协议(SLA)中规定云服务的各项服务内容和具体技术指标;

e) 在服务水平协议(SLA)中规定云服务商的权限与责任,包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等;

f) 在服务水平协议(SLA)中规定云计算所能提供的安全服务的内容,并提供安全声明;

g) 在服务水平协议(SLA)中规定服务合约到期时,完整地返还云租户信息,并承诺相关信息均已在云计算平台上清除;

h) 与选定的云服务商签署保密协议,要求其不得泄露云租户数据和业务系统的相关重要信息;

i) 对可能接触到云租户数据的员工进行背景调查,并签署保密协议;

j) 云服务商应接受云租户以外的第三方运行监管。

2.2.4 供应链管理

供应链管理应符合以下要求:

a) 确保供应商的选择符合国家有关规定;

b) 确保供应链安全事件信息或威胁信息能够及时传达到云租户;

c) 保证供应商的重要变更及时传达到云租户,并评估变更带来的安全风险,采取有关措施对风险进行控制。

2.3 安全运维管理

2.3.1 环境管理

云计算平台的运维地点应位于中国境内,禁止从境外对境内云计算平台实施远程运维。

2.3.2 配置管理

配置管理应符合以下要求:

a) 应在信息安全策略发生变更时,评审和测试后更新安全策略,以确保其持续的适用性和有效性;

b) 定期进行安全策略的备份,并在发生变更时及时备份安全策略。

2.3.3 监控和审计管理

监控和审计管理应符合以下要求:

a) 确保信息系统的监控活动符合关于隐私保护的相关政策法规;

b) 确保提供给云租户的审计数据的真实性和完整性;

c) 制定相关策略,对安全措施有效性进行持续监控;

d) 云服务方应将安全措施有效性的监控结果定期提供给相关云租户;

e) 应委托第三方机构对运维过程中的数据安全行为进行审计。

文章来源于:等级保护测评

  • 发表于:
  • 原文链接http://kuaibao.qq.com/s/20171212B0BCE800?refer=cp_1026
  • 腾讯「腾讯云开发者社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 cloudcommunity@tencent.com 删除。

扫码

添加站长 进交流群

领取专属 10元无门槛券

私享最新 技术干货

扫码加入开发者社群
领券