董貞良

1 云計(jì)算時(shí)代及其安全

云計(jì)算已經(jīng)成為互聯(lián)網(wǎng)時(shí)代的主流計(jì)算模式，同時(shí)，其帶來的安全問題日趨重要和緊迫。

到目前為止，信息技術(shù)大致經(jīng)歷了通信時(shí)代、單機(jī)時(shí)代、計(jì)算機(jī)網(wǎng)絡(luò)時(shí)代和云計(jì)算時(shí)代。伴隨著這個(gè)過程，安全的關(guān)注點(diǎn)也隨之變化。信息技術(shù)發(fā)展與主要安全關(guān)注點(diǎn)如圖1所示。

本文主要對(duì)國(guó)內(nèi)外云計(jì)算相關(guān)標(biāo)準(zhǔn)，以及國(guó)內(nèi)金融行業(yè)云計(jì)算標(biāo)準(zhǔn)進(jìn)行了綜述。

2 國(guó)家標(biāo)準(zhǔn)的開發(fā)進(jìn)展

國(guó)家標(biāo)準(zhǔn)及行業(yè)標(biāo)準(zhǔn)情況見表1。

（1）GB/T 31167—2014《信息安全技術(shù) 云計(jì)算服務(wù)安全指南》

GB/T 31167—2014是指導(dǎo)政府部門采用云計(jì)算服務(wù)，選擇云服務(wù)商，對(duì)云計(jì)算服務(wù)進(jìn)行運(yùn)行監(jiān)管，退出云計(jì)算服務(wù)和更換云服務(wù)商安全風(fēng)險(xiǎn)提出的安全技術(shù)和管理措施。

GB/T 31167—2014正文共9章。正文前3章說明了范圍、規(guī)范性引用文件、術(shù)語和定義。第4章對(duì)云計(jì)算的主要特征、服務(wù)模式、部署模式和優(yōu)勢(shì)進(jìn)行了概述。第5章提出云計(jì)算帶來的信息安全風(fēng)險(xiǎn)。第6章提出了規(guī)劃準(zhǔn)備的要求。第7章提出了選擇服務(wù)商與部署的要求。第8章提出了運(yùn)行監(jiān)管的要求。第9章提出了退出服務(wù)的要求。

（2）GB/T 31168—2014《信息安全技術(shù) 云計(jì)算服務(wù)安全能力要求》

GB/T 31168—2014描述了以社會(huì)化方式為特定客戶提供云計(jì)算服務(wù)時(shí)，云服務(wù)商應(yīng)具備的安全技術(shù)能力。適用于對(duì)政府部門使用的云計(jì)算服務(wù)進(jìn)行安全管理，也可供重點(diǎn)行業(yè)和其他企事業(yè)單位使用云計(jì)算服務(wù)時(shí)參考，還適用于指導(dǎo)云服務(wù)商建設(shè)安全的云計(jì)算平臺(tái)和提供安全的云計(jì)算服務(wù)。

GB/T 31168—2014正文共14章。正文前3章說明了范圍、規(guī)范性引用文件、術(shù)語和定義。第4章對(duì)標(biāo)準(zhǔn)做了概述。第5章提出了系統(tǒng)開發(fā)與供應(yīng)鏈安全的17個(gè)主要安全要求。第6章提出了系統(tǒng)與通信保護(hù)的15個(gè)要求。第7章提出了訪問控制的26個(gè)要求。第8章提出了配置管理的7個(gè)要求。第9章提出了維護(hù)的9個(gè)要求。第10章提出了應(yīng)急響應(yīng)與災(zāi)備的13個(gè)要求。第11章提出了審計(jì)的11個(gè)要求。第12章提出了風(fēng)險(xiǎn)評(píng)估與持續(xù)監(jiān)控的6個(gè)要求。第13章提出了安全組織與人員的12個(gè)要求。第14章提出了物理與環(huán)境安全的15個(gè)要求。第5至14章的安全要求均劃分為一般要求和增強(qiáng)要求。附錄給出了系統(tǒng)安全計(jì)劃模板。

（3）GB/T 34942—2017《信息安全技術(shù) 云計(jì)算服務(wù)安全能力評(píng)估方法》

GB/T 34942—2017指導(dǎo)政府部門、重點(diǎn)行業(yè)和其他企業(yè)使用的云計(jì)算服務(wù)安全管理，主要用于第三方評(píng)估機(jī)構(gòu)對(duì)云服務(wù)商提供云計(jì)算服務(wù)時(shí)具備的安全能力進(jìn)行評(píng)估，云服務(wù)商在對(duì)自身云計(jì)算安全能力進(jìn)行自評(píng)估時(shí)也可參考。標(biāo)準(zhǔn)規(guī)定了依據(jù) GB/T 31168—2014開展評(píng)估的原則、實(shí)施過程以及針對(duì)各項(xiàng)具體安全要求進(jìn)行評(píng)估的方法，共包括14章，主要內(nèi)容包括以下方面的評(píng)估方法：系統(tǒng)開發(fā)與供應(yīng)鏈安全、系統(tǒng)與通信保護(hù)、訪問控制、配置管理、維護(hù)、應(yīng)急響應(yīng)與災(zāi)備、審計(jì)、風(fēng)險(xiǎn)評(píng)估與持續(xù)監(jiān)控、安全組織與人員、物理與環(huán)境安全。

（4）GB/T 35279—2017《信息安全技術(shù) 云計(jì)算安全參考架構(gòu)》

GB/T 35279-2017是為清晰地描述云服務(wù)中各種參與角色的安全責(zé)任，構(gòu)建的云計(jì)算安全參考架構(gòu)，提出云計(jì)算角色、角色安全責(zé)任、安全功能組件以及它們之間的關(guān)系。主要用于指導(dǎo)所有云計(jì)算參與者進(jìn)行云計(jì)算系統(tǒng)規(guī)劃時(shí)對(duì)安全的評(píng)估與設(shè)計(jì)，共有5個(gè)章節(jié)和1個(gè)資料性附錄。

（5）《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求 第2部分：云計(jì)算安全擴(kuò)展要求》

《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求 第2部分：云計(jì)算安全擴(kuò)展要求》是GB/T 22239—2008針對(duì)移動(dòng)互聯(lián)、云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)和工業(yè)控制等新技術(shù)、新應(yīng)用領(lǐng)域提出的擴(kuò)展安全要求。標(biāo)準(zhǔn)主要包括6個(gè)部分，第2部分是云計(jì)算安全擴(kuò)展要求。這個(gè)標(biāo)準(zhǔn)用于指導(dǎo)分等級(jí)的非涉密云計(jì)算平臺(tái)的安全建設(shè)和監(jiān)督管理，共有9章和4個(gè)資料性附錄。

（6）《信息安全技術(shù) 政府網(wǎng)站云計(jì)算服務(wù)安全指南》

《信息安全技術(shù) 政府網(wǎng)站云計(jì)算服務(wù)安全指南》是指導(dǎo)政府和規(guī)范政府網(wǎng)站采用云計(jì)算服務(wù)的工作流程，以及規(guī)定的安全技術(shù)和管理措施。在政府部門采用云計(jì)算服務(wù)的應(yīng)用前景下，針對(duì)政府網(wǎng)站采用云計(jì)算服務(wù)所面臨的安全風(fēng)險(xiǎn)，明確安全目標(biāo)，制定了政府部門采用云計(jì)算服務(wù)所涉及的角色、角色職責(zé)、技術(shù)要求，包括規(guī)劃準(zhǔn)備、部署遷移、運(yùn)行管理、退出服務(wù)方面的要求，以指導(dǎo)和規(guī)范政府部門采用云計(jì)算服務(wù)，共有9章和1個(gè)資料性附錄。

（7） 《云計(jì)算技術(shù)金融應(yīng)用規(guī)范 安全技術(shù)要求》

《云計(jì)算技術(shù)金融應(yīng)用規(guī)范 安全技術(shù)要求》是金融行業(yè)標(biāo)準(zhǔn)，在征求意見階段。

（8）《云計(jì)算技術(shù)金融應(yīng)用規(guī)范 容災(zāi)》

《云計(jì)算技術(shù)金融應(yīng)用規(guī)范 容災(zāi)》是金融行業(yè)標(biāo)準(zhǔn)，在征求意見階段。

3 國(guó)際標(biāo)準(zhǔn)的開發(fā)進(jìn)展

國(guó)際標(biāo)準(zhǔn)化組織中，開發(fā)云計(jì)算相關(guān)標(biāo)準(zhǔn)的機(jī)構(gòu)為：ISO/IEC JTC 1/SC 38云計(jì)算與分布式平臺(tái)分技術(shù)委員會(huì)（Cloud Computing and Distributed Platforms），目前發(fā)布標(biāo)準(zhǔn)13項(xiàng)，在研標(biāo)準(zhǔn)8項(xiàng)1）。云計(jì)算相關(guān)國(guó)際標(biāo)準(zhǔn)見表2。

（1）ISO/IEC 17788：2014《云計(jì)算 綜述和術(shù)語》

ISO/IEC 17788：2014 提供了云計(jì)算相關(guān)的術(shù)語和定義及綜述，共包括6章和一個(gè)附錄。第1～6章說明了范圍、規(guī)范性引用文件、術(shù)語和定義、縮寫、約定慣例、云服務(wù)綜述。附錄給出了云服務(wù)目錄和能力類型。

（2）ISO/IEC 17789：2014《云計(jì)算 參考架構(gòu)》

ISO/IEC 17789：2014定義了云計(jì)算參考體系結(jié)構(gòu)（CCRA）。參考體系結(jié)構(gòu)包括云計(jì)算角色、云計(jì)算活動(dòng)和云計(jì)算功能組件及其關(guān)系。

（3）ISO/IEC 19086-1：2016《云計(jì)算 服務(wù)水平協(xié)議框架 第1部分：綜述與概念》

ISO/IEC 19086基于ISO/IEC 17788和ISO/IEC 17789定義的云計(jì)算概念。ISO/IEC 19086-1：2016建立了一個(gè)共同的框架，幫助組織理解ISO/IEC 19086的所有部分的目的以及這些部分之間的關(guān)系。它還確定了與ISO/IEC 19086有關(guān)系的其他文檔，這在理解云服務(wù)水平協(xié)議方面很有用。

（4）ISO/IEC 19086-3：2017《云計(jì)算 服務(wù)水平協(xié)議框架 第3部分：核心一致性需求》

ISO/IEC 19086-3：2017定義了基于ISO/IEC 19086-1：2016的云服務(wù)服務(wù)水平協(xié)議的核心一致性需求，以及對(duì)核心一致性需求的指導(dǎo)。該標(biāo)準(zhǔn)是為云服務(wù)提供商和云服務(wù)客戶參考和使用的。

（5）ISO/IEC 19941：2017《云計(jì)算 互操作性和可移植性》

ISO/IEC 19941：2017詳細(xì)說明了云計(jì)算互操作性和可移植性的類型、云計(jì)算的這兩個(gè)交叉方面的關(guān)系和交互，以及用于討論互操作性和可移植性的常用術(shù)語和概念，特別是與云服務(wù)相關(guān)的概念。該標(biāo)準(zhǔn)的目的是確保云計(jì)算的所有參與方對(duì)互操作性和可移植性有共同的理解。通過建立通用的術(shù)語和概念，有助于實(shí)現(xiàn)云計(jì)算的互操作性和可移植性。

（6）ISO/IEC 19944：2017《云計(jì)算 云服務(wù)和設(shè)備：數(shù)據(jù)流、數(shù)據(jù)目錄和數(shù)據(jù)使用》

ISO/IEC 19944：2017 擴(kuò)展了ISO/IEC 17788和ISO/IEC 17789的現(xiàn)有云計(jì)算詞匯和參考體系結(jié)構(gòu)，以描述使用云服務(wù)的設(shè)備的生態(tài)系統(tǒng)。

（7）ISO/IEC 27017：2015/ITU-T X.1631《基于ISO/IEC 27002的云服務(wù)信息安全實(shí)用規(guī)則》

ISO/IEC 27017：2015/ITU-T X.1631提供了適用于提供和使用云服務(wù)的信息安全控制指南，提供了ISO/IEC 27002規(guī)定的相關(guān)控制的附加實(shí)施指南；提供了與云服務(wù)相關(guān)的實(shí)施指南的附加控制措施。該標(biāo)準(zhǔn)按照ISO/IEC 27002的14個(gè)控制域?yàn)樵品?wù)提供商和云服務(wù)客戶提供了控制和實(shí)施指南。

（8）ISO/IEC 27018：2014《保護(hù)個(gè)人可識(shí)別信息（PII）在公共云中作為PII處理器的實(shí)用規(guī)則》

ISO/IEC 27018：2014建立了普遍接受的控制目標(biāo)、控制和指導(dǎo)方針，以實(shí)施保護(hù)個(gè)人可識(shí)別信息（PII）的措施，以確保公共云計(jì)算環(huán)境的ISO/IEC 29100的隱私原則。ISO/IEC 27018：2014規(guī)定了基于ISO/IEC 27002的準(zhǔn)則，考慮到在公共云服務(wù)提供商的信息安全風(fēng)險(xiǎn)環(huán)境中可能適用的保護(hù)PII的監(jiān)管要求。

（9）ISO/IEC 27036-4：2016《云服務(wù)安全指南》

ISO/IEC 27036-4：2016提供了云服務(wù)客戶和云服務(wù)提供商的指導(dǎo)。使用這個(gè)標(biāo)準(zhǔn)可了解與使用云服務(wù)相關(guān)的信息安全風(fēng)險(xiǎn)，并有效地管理這些風(fēng)險(xiǎn)。針對(duì)可能對(duì)使用這些服務(wù)的組織產(chǎn)生信息安全影響的云服務(wù)獲取或提供的特定風(fēng)險(xiǎn)作出響應(yīng)。

4 重要團(tuán)體發(fā)布的標(biāo)準(zhǔn)或報(bào)告

云安全聯(lián)盟（Cloud Security Alliance，CSA）2）可能是目前最有影響力云計(jì)算安全開發(fā)組織，成立于2008年11月，自2015年開始，在國(guó)內(nèi)開始C-STAR認(rèn)證。

CSA發(fā)布了一系列相關(guān)報(bào)告或指南，其中較為重要的例如《云計(jì)算關(guān)鍵領(lǐng)域安全指南》。2017年7月，CSA發(fā)布了《云計(jì)算關(guān)鍵領(lǐng)域安全指南》4.0版本，從架構(gòu)、治理和運(yùn)行3個(gè)方面14個(gè)領(lǐng)域?qū)υ朴?jì)算安全進(jìn)行指導(dǎo)。

5 小結(jié)

隨著云計(jì)算的應(yīng)用全面滲透到各行業(yè)、各機(jī)構(gòu)轉(zhuǎn)型變革的過程中，國(guó)內(nèi)外、重要行業(yè)的標(biāo)準(zhǔn)開發(fā)已從術(shù)語和定義、體系架構(gòu)、治理和風(fēng)險(xiǎn)管理、法律問題、取證、合規(guī)和審計(jì)、基礎(chǔ)設(shè)施安全、業(yè)務(wù)連續(xù)性、身份、授權(quán)和管理等各個(gè)維度為云服務(wù)客戶、用戶、管理者、提供者、支配者、開發(fā)者、審計(jì)者、代理者、承運(yùn)者提供了指導(dǎo)。各行業(yè)、各機(jī)構(gòu)云計(jì)算應(yīng)用部門需結(jié)合行業(yè)屬性，參照國(guó)家政策要求以及國(guó)家、行業(yè)、國(guó)際標(biāo)準(zhǔn)制定云計(jì)算行業(yè)標(biāo)準(zhǔn)，規(guī)范服務(wù)商準(zhǔn)入、風(fēng)險(xiǎn)評(píng)估、用戶使用管理等標(biāo)準(zhǔn)，明確行業(yè)云平臺(tái)技術(shù)模式，制定數(shù)據(jù)隔離和保護(hù)機(jī)制等云計(jì)算安全保護(hù)框架，以更好地規(guī)范云計(jì)算從虛擬化到基礎(chǔ)設(shè)施云化，再到應(yīng)用云化的不斷持續(xù)深入應(yīng)用。

參考文獻(xiàn)

謝宗曉，甄杰，林潤(rùn)輝，等. 網(wǎng)絡(luò)空間安全管理[M]. 北京：中國(guó)標(biāo)準(zhǔn)出版社，2016.

林闖，蘇文博，孟坤，等. 云計(jì)算安全：架構(gòu)、機(jī)制與模型評(píng)價(jià)[J].計(jì)算機(jī)學(xué)報(bào)， 2013， 36（09）：1765-1784.

馮登國(guó)，張敏，張妍，等. 云計(jì)算安全研究[J].軟件學(xué)報(bào)，2011，22（01）：71-83.

薛銳，任奎，張玉清，等. 云計(jì)算安全研究專刊前言[J].軟件學(xué)報(bào)，2016，27（06）：1325-1327.