精品免费视频在线观看|亚洲 欧美 日韩 水滴|a级精品—区二区|青青草原亚洲之五月婷

安全資訊

面向網(wǎng)絡(luò)運(yùn)營(yíng)者的等保2.0最全實(shí)用解讀!

【摘要】 伴隨著網(wǎng)絡(luò)安全法的出臺(tái),等級(jí)保護(hù)工作進(jìn)入2.0時(shí)代,其中有哪些最引人注目的變化? 等級(jí)保護(hù)對(duì)象從原來(lái)單純的信息系統(tǒng)拓展到了很多個(gè)領(lǐng)域,其中云計(jì)算系統(tǒng)是等級(jí)保護(hù)重點(diǎn)要關(guān)注的一個(gè)領(lǐng)域。 而等級(jí)保護(hù)的標(biāo)準(zhǔn)體系也進(jìn)行了大的升級(jí),在原等級(jí)保護(hù)核心標(biāo)準(zhǔn)(基本要求、測(cè)評(píng)要求、設(shè)計(jì)要求)的基礎(chǔ)上,進(jìn)行重新修訂,整個(gè)標(biāo)準(zhǔn)體系制定為一個(gè)矩陣,針對(duì)每一個(gè)特定的安全領(lǐng)域,做了相應(yīng)的擴(kuò)展要求
伴隨著網(wǎng)絡(luò)安全法的出臺(tái),等級(jí)保護(hù)工作進(jìn)入2.0時(shí)代,其中有哪些最引人注目的變化?

等級(jí)保護(hù)對(duì)象從原來(lái)單純的信息系統(tǒng)拓展到了很多個(gè)領(lǐng)域,其中云計(jì)算系統(tǒng)是等級(jí)保護(hù)重點(diǎn)要關(guān)注的一個(gè)領(lǐng)域。

而等級(jí)保護(hù)的標(biāo)準(zhǔn)體系也進(jìn)行了大的升級(jí),在原等級(jí)保護(hù)核心標(biāo)準(zhǔn)(基本要求、測(cè)評(píng)要求、設(shè)計(jì)要求)的基礎(chǔ)上,進(jìn)行重新修訂,整個(gè)標(biāo)準(zhǔn)體系制定為一個(gè)矩陣,針對(duì)每一個(gè)特定的安全領(lǐng)域,做了相應(yīng)的擴(kuò)展要求,比如云計(jì)算領(lǐng)域,制定云計(jì)算擴(kuò)展要求。

在這種情況下:

云等保如何落地?

云服務(wù)商該如何做?

云租戶該如何做?

面對(duì)這些問(wèn)題,我們特邀來(lái)自公安部信息安全等級(jí)保護(hù)評(píng)估中心的專家深度解讀《云計(jì)算環(huán)境下的等級(jí)保護(hù)》:
首先,需要對(duì)云計(jì)算環(huán)境中的安全責(zé)任進(jìn)行明確

不同的服務(wù)模式下,不同責(zé)任主體的責(zé)任也是不同的。云服務(wù)商,云租戶的責(zé)任劃分需要明晰。
IaaS服務(wù)模式下:云服務(wù)方責(zé)任硬件及虛擬化層的防護(hù)。虛擬化以上的客戶機(jī)的安全防護(hù),數(shù)據(jù)庫(kù)防護(hù)以及中間件和應(yīng)用及數(shù)據(jù)的防護(hù),這都是租戶需要去面對(duì)的問(wèn)題。

PaaS服務(wù)模式下:客戶將虛擬機(jī)的安全防護(hù)責(zé)任交給了云服務(wù)商,云租戶更應(yīng)該關(guān)心在這之上,如軟件開(kāi)發(fā)平臺(tái)以及應(yīng)用和數(shù)據(jù)本身的安全防護(hù)。

SaaS服務(wù)模式下:進(jìn)一步上移,這個(gè)時(shí)候作為租戶來(lái)講,需要關(guān)心的其實(shí)就是應(yīng)用提供側(cè)相關(guān)的安全配置,以及數(shù)據(jù)安全的防護(hù),這都是租戶需要考慮的內(nèi)容。

數(shù)據(jù)安全防護(hù),無(wú)論IaaS、PaaS到SaaS,對(duì)于云租戶來(lái)講,這是始終要面對(duì)的重要問(wèn)題。

不同的責(zé)任劃分下,云等保究竟該怎么做?

云等保不是新鮮的事物,而是在原等??蚣芟聦?duì)新事物的擴(kuò)展。在云計(jì)算架構(gòu)之下,等級(jí)保護(hù)依然需要落地,包括定級(jí)、備案、建設(shè)整改、等級(jí)測(cè)評(píng)、監(jiān)督檢查五個(gè)規(guī)定動(dòng)作。

不同的是等??蚣芟滦略黾拥脑匦枰獙?duì)原有等級(jí)保護(hù)相關(guān)工作的具體內(nèi)容進(jìn)行擴(kuò)充并統(tǒng)一。

一、系統(tǒng)的定級(jí)  

傳統(tǒng)的信息系統(tǒng),強(qiáng)調(diào)分區(qū)分域、縱深防御,網(wǎng)絡(luò)架構(gòu)伴隨業(yè)務(wù)變化而變化,系統(tǒng)各組件能與硬件緊耦合。信息系統(tǒng)的系統(tǒng)劃分其實(shí)是以物理網(wǎng)絡(luò)/安全設(shè)備為邊界的硬件設(shè)備的劃分。


云的環(huán)境下,把虛擬邊界作為系統(tǒng)定級(jí)的邊界。

云計(jì)算系統(tǒng)網(wǎng)絡(luò)架構(gòu)扁平化,業(yè)務(wù)應(yīng)用系統(tǒng)與硬平臺(tái)松耦合。信息系統(tǒng)的系統(tǒng)劃分,像傳統(tǒng)單純的以物理網(wǎng)絡(luò)/安全設(shè)備為邊界的劃分方法已經(jīng)無(wú)法體現(xiàn)出業(yè)務(wù)應(yīng)用系統(tǒng)的邏輯關(guān)系,也無(wú)法體現(xiàn)對(duì)業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全。


所以,定級(jí)需要從業(yè)務(wù)應(yīng)用的角度出發(fā)梳理有哪些業(yè)務(wù)應(yīng)用,及對(duì)應(yīng)哪些模塊
場(chǎng)景一:

如每種應(yīng)用都需要使用物理基礎(chǔ)支撐平臺(tái),則業(yè)務(wù)應(yīng)用系統(tǒng)可不包含基礎(chǔ)支撐的物理硬件部分,根據(jù)業(yè)務(wù)應(yīng)用的關(guān)聯(lián)性,進(jìn)行切分定級(jí)。像公共云就是這種狀態(tài),如果定級(jí)系統(tǒng)C的運(yùn)行主體是云服務(wù)商的話,上面就是云租戶的業(yè)務(wù)應(yīng)用系統(tǒng)。

場(chǎng)景二:

如基礎(chǔ)支撐平臺(tái)可以對(duì)應(yīng)到不同業(yè)務(wù)應(yīng)用系統(tǒng),則將基礎(chǔ)支撐平臺(tái)的物理設(shè)備一同劃入相應(yīng)定級(jí)系統(tǒng)。

業(yè)務(wù)應(yīng)用是可以跟承載的硬件平臺(tái)有對(duì)應(yīng)關(guān)系的,比如說(shuō)某一個(gè)應(yīng)用固定的使用一堆的硬件服務(wù)器,獨(dú)立成一個(gè)平臺(tái),那這個(gè)時(shí)候就可以一刀切作為一個(gè)單獨(dú)的定級(jí)系統(tǒng)。如說(shuō)像淘寶的很多系統(tǒng)就是這樣的架構(gòu),比如說(shuō)我們可以在定級(jí)系統(tǒng)B這一塊還可以在切分一下,那可能這一邊又變成一個(gè)小的一朵云,下面是一個(gè)云平臺(tái)。上面是整個(gè)的各個(gè)的承載的業(yè)務(wù)應(yīng)用系統(tǒng),就是云租戶的系統(tǒng)。

在定級(jí)當(dāng)中存在兩個(gè)重要誤區(qū):

誤區(qū)一:我的系統(tǒng)已經(jīng)上云了,系統(tǒng)就不用去定級(jí)了?

答案是不行!要分開(kāi)定級(jí),新的定級(jí)指南里明確說(shuō)明,云計(jì)算平臺(tái)和云上的租戶應(yīng)用系統(tǒng)要分開(kāi)定級(jí)。


誤區(qū)二:云平臺(tái)的等級(jí)跟云租戶的等級(jí)沒(méi)有關(guān)系

云平臺(tái)的等級(jí)要不低于云上租戶的業(yè)務(wù)應(yīng)用系統(tǒng)的最高級(jí)。且明確規(guī)定“國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施(重要云計(jì)算平臺(tái))的安全保護(hù)等級(jí)應(yīng)不低于第三級(jí)”。比如一個(gè)互聯(lián)網(wǎng)金融公司,運(yùn)營(yíng)的系統(tǒng)定到了四級(jí),那么選擇上的云平臺(tái)必須是四級(jí)的云平臺(tái),如果去三級(jí)的云平臺(tái)去備案的時(shí)候會(huì)遇到一些問(wèn)題,而且即便是上了以后,云平臺(tái)在監(jiān)管這塊也無(wú)法達(dá)到不合規(guī)要求。

二、備案
  
去哪備案?

傳統(tǒng)的系統(tǒng)備案很簡(jiǎn)單,IT基礎(chǔ)設(shè)施、運(yùn)維地點(diǎn)、工商注冊(cè)地基本上都是一致,去所在地市局、網(wǎng)安或者是分局去備案就可以。

但是云的這種狀態(tài)下,特別是對(duì)于云服務(wù)商來(lái)講就比較典型了,工商注冊(cè)地、辦公地點(diǎn)都不一樣。比如說(shuō)像云平臺(tái),注冊(cè)地在北京,運(yùn)維地點(diǎn)在天津,然后機(jī)房遍布全國(guó)各地。云租戶也是這個(gè)問(wèn)題,公司開(kāi)在北京,可能技術(shù)人員、運(yùn)維人員都在北京,但是你上的這種云可能他的物理位置或者不知道,或者是即便知道有可能也不在北京,那這個(gè)時(shí)候怎么辦?

所以我們現(xiàn)在有這樣一個(gè)原則,對(duì)于云上的系統(tǒng),不管是云平臺(tái)還是云租戶,以你的運(yùn)維人員的所在地為備案地點(diǎn)。原因與公安機(jī)關(guān)方便監(jiān)管相關(guān),案件發(fā)生后,公安機(jī)關(guān)需要運(yùn)維人員配合去調(diào)取相關(guān)證據(jù),做證據(jù)固定、數(shù)據(jù)采集。

三、建設(shè)整改  

云計(jì)算系統(tǒng)等級(jí)保護(hù)標(biāo)準(zhǔn)制定專家建議可以從以下幾個(gè)方面入手:

統(tǒng)一思維去考量,統(tǒng)一認(rèn)證、統(tǒng)一賬戶管理、統(tǒng)一授權(quán),統(tǒng)一安全審計(jì)。其中關(guān)于安全審計(jì)方面,標(biāo)準(zhǔn)條款里有明確要求,主機(jī)的安全審計(jì)、網(wǎng)絡(luò)的審計(jì)、數(shù)據(jù)庫(kù)的安全審計(jì)都必不可少。側(cè)重動(dòng)態(tài)監(jiān)測(cè)預(yù)警、快速應(yīng)急響應(yīng)能力建設(shè)以及服務(wù)安全產(chǎn)品合規(guī)。如果用戶自己搭建私有云,那么建議一定要有這樣的能力.重點(diǎn)保護(hù)的是業(yè)務(wù)數(shù)據(jù)安全和用戶的隱私安全。數(shù)據(jù)安全這塊真的是很重要,我們?cè)诎踩珨U(kuò)展里有明確要求,一個(gè)是數(shù)據(jù)庫(kù)的安全審計(jì)。要求云服務(wù)商開(kāi)放第三方接口,支持第三方的安全審計(jì)的產(chǎn)品接入;還有一個(gè)就是對(duì)于云租戶,同樣要求要有自己的審計(jì)。在做云租戶的系統(tǒng)檢查或者測(cè)評(píng)的時(shí)候,一樣要看你有沒(méi)有做安全審計(jì)。

 四、測(cè)評(píng)  

云計(jì)算系統(tǒng)保護(hù)措施通常是以系統(tǒng)整體能力體現(xiàn),云計(jì)算安全擴(kuò)展要求作為全局對(duì)待,在報(bào)告結(jié)構(gòu)上等同于全局測(cè)評(píng),各測(cè)評(píng)項(xiàng)不再重復(fù)對(duì)應(yīng)一個(gè)或多個(gè)測(cè)評(píng)對(duì)象


版權(quán)聲明】本文為華為云社區(qū)用戶原創(chuàng)內(nèi)容,轉(zhuǎn)載時(shí)必須標(biāo)注文章的來(lái)源(華為云社區(qū)),文章鏈接,文章作者等基本信息,否則作者和本社區(qū)有權(quán)追究責(zé)任。如果您發(fā)現(xiàn)本社區(qū)中有涉嫌抄襲的內(nèi)容,歡迎發(fā)送郵件至:cloudbbs@huaweicloud.com進(jìn)行舉報(bào),并提供相關(guān)證據(jù),一經(jīng)查實(shí),本社區(qū)將立刻刪除涉嫌侵權(quán)內(nèi)容。

服務(wù)熱線

138-6598-3726

產(chǎn)品和特性

價(jià)格和優(yōu)惠

安徽靈狐網(wǎng)絡(luò)公眾號(hào)

微信公眾號(hào)