等級保護：云上怎么過等保
要點一：系統(tǒng)定級與管理職責劃分
云計算服務帶來了“云主機”等虛擬計算資源，將傳統(tǒng)IT環(huán)境中信息系統(tǒng)運營、使用單位的單一安全責任轉變?yōu)樵谱鈶艉驮品丈屉p方“各自分擔”的安全責任，使得云計算環(huán)境下定級工作相對比較復雜。
云計算系統(tǒng)的定級對象在原有定級對象基礎上進行了擴展，原有定級對象主要是信息系統(tǒng)和相關基礎網(wǎng)絡，而云計算將定級對象擴展為云服務商的云平臺和云租戶的應用系統(tǒng)。
云計算系統(tǒng)定級時，云服務商的云平臺和云租戶的應用系統(tǒng)應分別定級，云平臺等級應不低于應用系統(tǒng)的安全保護等級。對于公有云，定級流程為云平臺先定級測評，再提供云服務。對于私有云，定級流程為云平臺先定級測評，再將已定級應用系統(tǒng)向云平臺遷移。
云計算系統(tǒng)定級的重點在于定級對象管理職責的劃分，職責的劃分根據(jù)不同云計算服務模式采取不同劃分方式。
（一） 對于IaaS基礎設施服務模式，云服務商的職責范圍包括虛擬機監(jiān)視器和硬件，云租戶的職責范圍包括操作系統(tǒng)、中間件和應用等。
（二） 對于PaaS平臺即服務的服務模式，云服務商的職責范圍包括硬件、虛擬機監(jiān)視器、操作系統(tǒng)和中間件，云租戶的職責范圍為應用。
（三） 對于SaaS軟件服務模式，云服務商的職責范圍包括硬件、虛擬機監(jiān)視器、操作系統(tǒng)、中間件和應用，云租戶的職責范圍包括部分應用職責及用戶使用職責。
云計算服務模式以及角色的不同決定著定級對象的管理職責不同，從而決定著定級的系統(tǒng)范圍的不同。
要點二：云計算系統(tǒng)保護對象的擴展
由于虛擬化等新技術的應用，IaaS/PaaS/SaaS按需服務模式的引入，相對于傳統(tǒng)信息系統(tǒng)，云計算系統(tǒng)的保護對象有所增加。云計算系統(tǒng)的保護對象與傳統(tǒng)信息系統(tǒng)保護對象對照如下表所示，其中加黑的對象為云計算系統(tǒng)所特有的保護對象：
|
層面 |
云計算系統(tǒng)保護對象 |
傳統(tǒng)信息系統(tǒng)保護對象 |
|
物理和環(huán)境安全 |
機房及基礎設施 |
機房及基礎設施 |
|
網(wǎng)絡和通信安全 |
網(wǎng)絡結構、網(wǎng)絡設備、安全設備、綜合網(wǎng)管系統(tǒng)、虛擬化網(wǎng)絡結構、虛擬網(wǎng)絡設備、虛擬安全設備、虛擬機監(jiān)視器、云管理平臺 |
網(wǎng)絡設備、安全設備、網(wǎng)絡結構、綜合網(wǎng)管系統(tǒng) |
|
設備和計算安全 |
主機、數(shù)據(jù)庫管理系統(tǒng)、終端、網(wǎng)絡設備、安全設備、虛擬網(wǎng)絡設備、虛擬安全設備、物理機、宿主機、虛擬機、虛擬機監(jiān)視器、云管理平臺、網(wǎng)絡策略控制器 |
主機、數(shù)據(jù)庫管理系統(tǒng)、終端、中間件、網(wǎng)絡設備、安全設備 |
|
應用和數(shù)據(jù)安全 |
應用系統(tǒng)、中間件、配置文件、業(yè)務數(shù)據(jù)、用戶隱私、鑒別信息、云應用開發(fā)平臺、云計算服務對外接口、云管理平臺、鏡像文件、快照、數(shù)據(jù)存儲設備、數(shù)據(jù)庫服務器 |
應用系統(tǒng)、中間件、配置文件、業(yè)務數(shù)據(jù)、用戶隱私、鑒別信息等 |
|
安全管理機構和人員 |
信息安全主管，相關文檔 |
信息安全主管、相關文檔 |
|
安全建設管理 |
系統(tǒng)建設負責人、服務水平協(xié)議、云計算平臺、供應商資質、相關文檔、相關資質、相關檢測報告 |
系統(tǒng)建設負責人、記錄表單類文檔 |
|
安全運維管理 |
安全管理員、相關文檔、運維設備、云計算平臺、第三方審計結果 |
系統(tǒng)管理員、網(wǎng)絡管理員、數(shù)據(jù)庫管理員、安全管理員、運維負責人、相關文檔 |
安徽靈狐科技的云等保實踐
經(jīng)過幾年來的客戶成功實踐，我們企業(yè)安全的數(shù)據(jù)驅動安全方法論成為了滿足客戶云環(huán)境下網(wǎng)絡安全合規(guī)的最佳指導思路，而基于“云計算安全可運營”的業(yè)務設計思路，更貼合了云等保安全體系要求，實現(xiàn)了在云計算環(huán)境中落地豐富的安全技術能力，有效解決了客戶在云及云化業(yè)務面臨的安全與合規(guī)挑戰(zhàn)。
目前，靈狐科技云安全整體解決方案已經(jīng)在全國多個省市的政務云系統(tǒng)成功落地，為政企客戶的政務云安全防護起到了的關鍵作用。同時，也為后續(xù)滿足云等保測評提供了云主機安全和云內網(wǎng)絡安全的技術支撐。值得一提的是，我們的成功實踐整體云安全解決方案，為高標準、高要求的行業(yè)云開辟了一條云化合規(guī)之路。
長期以來，我們積極參與行業(yè)前沿安全技術的探索，在云計算安全領域與眾多知名云計算廠商展開云安全風險評估及云等保技術要求對標工作，通過自主研發(fā)的云安全管理平臺結合多種領先的虛擬化安全技術，很好的將傳統(tǒng)安全與虛擬化技術深度融合，不僅能夠有效應對云計算帶來的全新安全風險，同時更能滿足新的云等保相關技術要求，成為政企客戶云安全整體解決方案的首選。
