等保2.0中云計算安全擴展要求
第二級安全要求
1、技術(shù)要求
1.1 物理和環(huán)境安全
應(yīng)確保云計算基礎(chǔ)設(shè)施位于中國境內(nèi)。
1.2 網(wǎng)絡(luò)和通信安全
1）網(wǎng)絡(luò)架構(gòu)
網(wǎng)絡(luò)架構(gòu)應(yīng)符合以下要求：
a) 確保云計算平臺不承載高于其安全保護等級的業(yè)務(wù)應(yīng)用系統(tǒng)；
b) 繪制與當(dāng)前運行情況相符的虛擬化網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖；
c) 實現(xiàn)不同云租戶虛擬網(wǎng)絡(luò)之間的隔離；
d) 保證虛擬機只能接收到目的地址包括自己地址的報文。
2）訪問控制
訪問控制應(yīng)符合以下要求：
a) 禁止云租戶虛擬機訪問宿主機；
b) 在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機制，并設(shè)置訪問控制規(guī)則；
c) 保證當(dāng)虛擬機遷移時，訪問控制策略隨其遷移；
d) 允許云租戶設(shè)置不同虛擬機之間的訪問控制策略。
3）入侵防范
入侵防范應(yīng)符合以下要求：
a) 應(yīng)能監(jiān)測到云租戶的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等；
b) 能檢測到虛擬機與宿主機之間的異常流量。
4）安全審計
對云服務(wù)方和云租戶遠程管理時執(zhí)行特權(quán)命令進行審計，至少包括虛擬機刪除、虛擬機重啟。
1.3 設(shè)備和計算安全
1）身份鑒別
在網(wǎng)絡(luò)策略控制器和網(wǎng)絡(luò)設(shè)備（或設(shè)備代理）之間建立雙向驗證機制。
2）訪問控制
確保只有在云租戶授權(quán)下，云服務(wù)方或第三方才具有云租戶數(shù)據(jù)的管理權(quán)限。
3）安全審計
安全審計應(yīng)符合以下要求：
a) 根據(jù)云服務(wù)方和云租戶的職責(zé)劃分，收集各自控制部分的審計數(shù)據(jù)；
b) 保證云服務(wù)方對云租戶系統(tǒng)和數(shù)據(jù)的操作可被云租戶審計。
4）入侵防范
入侵防范應(yīng)能夠檢測以下內(nèi)容：
a) 虛擬機對宿主機資源的異常訪問；
b) 虛擬機之間的資源隔離失效，并進行告警。
5）資源控制
資源控制應(yīng)符合以下要求：
a) 屏蔽虛擬資源故障，某個虛擬機崩潰后不影響虛擬機監(jiān)視器及其他虛擬機；
b) 對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配；
c) 確保云計算平臺具有虛擬機內(nèi)存隔離措施。
6）鏡像和快照保護
鏡像和快照保護應(yīng)符合以下要求：
a) 提供虛擬機鏡像、快照完整性校驗功能，防止虛擬機鏡像被惡意篡改；
b) 采取加密或其他技術(shù)手段防止虛擬機鏡像、快照中可能存在的敏感資源被非法訪問；
c) 針對重要業(yè)務(wù)系統(tǒng)提供加固的操作系統(tǒng)鏡像。
1.4 應(yīng)用和數(shù)據(jù)安全
1）安全審計
安全審計應(yīng)符合以下要求：
a) 根據(jù)云服務(wù)方和云租戶的職責(zé)劃分，收集各自控制部分的審計數(shù)據(jù)；
b) 保證云服務(wù)方對云租戶系統(tǒng)和數(shù)據(jù)的操作可被云租戶審計。
2）資源控制
資源控制應(yīng)符合以下要求：
a) 能夠?qū)?yīng)用系統(tǒng)的運行狀況進行監(jiān)測，并在發(fā)現(xiàn)異常時進行告警；
b) 保證不同云租戶的應(yīng)用系統(tǒng)及開發(fā)平臺之間的隔離。
3）接口安全
保證云計算服務(wù)對外接口的安全性。
4）數(shù)據(jù)完整性
確保虛擬機遷移過程中，重要數(shù)據(jù)的完整性，并在檢測到完整性受到破壞時采取必要的恢復(fù)措施。
5）數(shù)據(jù)保密性
數(shù)據(jù)保密性應(yīng)符合以下要求：
a) 確保云租戶賬戶信息、鑒別信息、系統(tǒng)信息存儲于中國境內(nèi)；
b) 確保運維過程產(chǎn)生的配置數(shù)據(jù)、日志信息等不出境。
6）數(shù)據(jù)備份恢復(fù)
應(yīng)提供查詢云租戶數(shù)據(jù)及備份存儲位置的方式。
7）剩余信息保護
應(yīng)保證虛擬機所使用的內(nèi)存和存儲空間回收時得到完全清除。
2、管理要求
2.1 安全管理機構(gòu)和人員
1）授權(quán)
保證云服務(wù)方對云租戶業(yè)務(wù)數(shù)據(jù)的訪問或使用必須經(jīng)過云租戶的授權(quán)，授權(quán)必須保留相關(guān)記錄。
2）人員錄用
應(yīng)對運維人員進行背景審查，包括國籍、違法犯罪記錄等。外籍人員和具有境外永久居留權(quán)的人員不得具有超級管理員權(quán)限。
2.2 安全建設(shè)管理
1）測試驗收
應(yīng)對云計算平臺及云租戶業(yè)務(wù)應(yīng)用系統(tǒng)進行安全性測試驗收。
2）云服務(wù)商選擇
本項要求包括：
a) 確保云服務(wù)商的選擇符合國家有關(guān)規(guī)定；
b) 選擇安全合規(guī)的云服務(wù)商，其所提供的云平臺應(yīng)具備與信息系統(tǒng)等級相應(yīng)的安全保護能力；
c) 滿足服務(wù)水平協(xié)議（SLA）要求；
d) 在服務(wù)水平協(xié)議（SLA）中規(guī)定云服務(wù)的各項服務(wù)內(nèi)容和具體技術(shù)指標；
e) 在服務(wù)水平協(xié)議（SLA）中規(guī)定云服務(wù)商的權(quán)限與責(zé)任，包括管理范圍、職責(zé)劃分、訪問授權(quán)、隱私保護、行為準則、違約責(zé)任等；
f) 在服務(wù)水平協(xié)議（SLA）中規(guī)定云計算所能提供的安全服務(wù)的內(nèi)容，并提供安全聲明；
g) 在服務(wù)水平協(xié)議（SLA）中規(guī)定服務(wù)合約到期時，完整地返還云租戶信息，并承諾相關(guān)信息均已在云計算平臺上清除。
3）供應(yīng)鏈管理
供應(yīng)鏈管理應(yīng)符合以下要求：
a) 確保供應(yīng)商的選擇符合國家有關(guān)規(guī)定；
b) 確保供應(yīng)鏈安全事件信息或威脅信息能夠及時傳達到云租戶。
2.3 安全運維管理
1）環(huán)境管理
云計算平臺的運維地點應(yīng)位于中國境內(nèi)，禁止從境外對境內(nèi)云計算平臺實施遠程運維。
2）監(jiān)控和審計管理
監(jiān)控和審計管理應(yīng)符合以下要求：
a) 確保信息系統(tǒng)的監(jiān)控活動符合關(guān)于隱私保護的相關(guān)政策法規(guī)；
b) 確保提供給云租戶的審計數(shù)據(jù)的真實性和完整性；
c) 制定相關(guān)策略，對安全措施有效性進行持續(xù)監(jiān)控；
d) 云服務(wù)方應(yīng)將安全措施有效性的監(jiān)控結(jié)果定期提供給相關(guān)云租戶；
e) 應(yīng)委托第三方機構(gòu)對運維過程中的數(shù)據(jù)安全行為進行審計。
本文轉(zhuǎn)自移安全，原文鏈接：https://mp.weixin.qq.com/s/KnElNfSiq8zyq-HjPXHkVQ