面向網(wǎng)絡(luò)運(yùn)營者的等保2.0最全實(shí)用解讀！
【摘要】 伴隨著網(wǎng)絡(luò)安全法的出臺，等級保護(hù)工作進(jìn)入2.0時代，其中有哪些最引人注目的變化？ 等級保護(hù)對象從原來單純的信息系統(tǒng)拓展到了很多個領(lǐng)域，其中云計(jì)算系統(tǒng)是等級保護(hù)重點(diǎn)要關(guān)注的一個領(lǐng)域。 而等級保護(hù)的標(biāo)準(zhǔn)體系也進(jìn)行了大的升級，在原等級保護(hù)核心標(biāo)準(zhǔn)（基本要求、測評要求、設(shè)計(jì)要求）的基礎(chǔ)上，進(jìn)行重新修訂，整個標(biāo)準(zhǔn)體系制定為一個矩陣，針對每一個特定的安全領(lǐng)域，做了相應(yīng)的擴(kuò)展要求
伴隨著網(wǎng)絡(luò)安全法的出臺，等級保護(hù)工作進(jìn)入2.0時代，其中有哪些最引人注目的變化？
等級保護(hù)對象從原來單純的信息系統(tǒng)拓展到了很多個領(lǐng)域，其中云計(jì)算系統(tǒng)是等級保護(hù)重點(diǎn)要關(guān)注的一個領(lǐng)域。
而等級保護(hù)的標(biāo)準(zhǔn)體系也進(jìn)行了大的升級，在原等級保護(hù)核心標(biāo)準(zhǔn)（基本要求、測評要求、設(shè)計(jì)要求）的基礎(chǔ)上，進(jìn)行重新修訂，整個標(biāo)準(zhǔn)體系制定為一個矩陣，針對每一個特定的安全領(lǐng)域，做了相應(yīng)的擴(kuò)展要求，比如云計(jì)算領(lǐng)域，制定云計(jì)算擴(kuò)展要求。
在這種情況下：
云等保如何落地？
云服務(wù)商該如何做？
云租戶該如何做？
面對這些問題，我們特邀來自公安部信息安全等級保護(hù)評估中心的專家深度解讀《云計(jì)算環(huán)境下的等級保護(hù)》：
首先，需要對云計(jì)算環(huán)境中的安全責(zé)任進(jìn)行明確
不同的服務(wù)模式下，不同責(zé)任主體的責(zé)任也是不同的。云服務(wù)商，云租戶的責(zé)任劃分需要明晰。
IaaS服務(wù)模式下：云服務(wù)方責(zé)任硬件及虛擬化層的防護(hù)。虛擬化以上的客戶機(jī)的安全防護(hù)，數(shù)據(jù)庫防護(hù)以及中間件和應(yīng)用及數(shù)據(jù)的防護(hù)，這都是租戶需要去面對的問題。
PaaS服務(wù)模式下：客戶將虛擬機(jī)的安全防護(hù)責(zé)任交給了云服務(wù)商，云租戶更應(yīng)該關(guān)心在這之上，如軟件開發(fā)平臺以及應(yīng)用和數(shù)據(jù)本身的安全防護(hù)。
SaaS服務(wù)模式下：進(jìn)一步上移，這個時候作為租戶來講，需要關(guān)心的其實(shí)就是應(yīng)用提供側(cè)相關(guān)的安全配置，以及數(shù)據(jù)安全的防護(hù)，這都是租戶需要考慮的內(nèi)容。
數(shù)據(jù)安全防護(hù)，無論IaaS、PaaS到SaaS，對于云租戶來講，這是始終要面對的重要問題。
不同的責(zé)任劃分下，云等保究竟該怎么做？
云等保不是新鮮的事物，而是在原等?？蚣芟聦π率挛锏臄U(kuò)展。在云計(jì)算架構(gòu)之下，等級保護(hù)依然需要落地，包括定級、備案、建設(shè)整改、等級測評、監(jiān)督檢查五個規(guī)定動作。
不同的是等?？蚣芟滦略黾拥脑匦枰獙υ械燃壉Ｗo(hù)相關(guān)工作的具體內(nèi)容進(jìn)行擴(kuò)充并統(tǒng)一。
一、系統(tǒng)的定級
傳統(tǒng)的信息系統(tǒng)，強(qiáng)調(diào)分區(qū)分域、縱深防御，網(wǎng)絡(luò)架構(gòu)伴隨業(yè)務(wù)變化而變化，系統(tǒng)各組件能與硬件緊耦合。信息系統(tǒng)的系統(tǒng)劃分其實(shí)是以物理網(wǎng)絡(luò)/安全設(shè)備為邊界的硬件設(shè)備的劃分。
云的環(huán)境下，把虛擬邊界作為系統(tǒng)定級的邊界。
云計(jì)算系統(tǒng)網(wǎng)絡(luò)架構(gòu)扁平化，業(yè)務(wù)應(yīng)用系統(tǒng)與硬平臺松耦合。信息系統(tǒng)的系統(tǒng)劃分，像傳統(tǒng)單純的以物理網(wǎng)絡(luò)/安全設(shè)備為邊界的劃分方法已經(jīng)無法體現(xiàn)出業(yè)務(wù)應(yīng)用系統(tǒng)的邏輯關(guān)系，也無法體現(xiàn)對業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全。
所以，定級需要從業(yè)務(wù)應(yīng)用的角度出發(fā)梳理有哪些業(yè)務(wù)應(yīng)用，及對應(yīng)哪些模塊
場景一：
如每種應(yīng)用都需要使用物理基礎(chǔ)支撐平臺，則業(yè)務(wù)應(yīng)用系統(tǒng)可不包含基礎(chǔ)支撐的物理硬件部分，根據(jù)業(yè)務(wù)應(yīng)用的關(guān)聯(lián)性，進(jìn)行切分定級。像公共云就是這種狀態(tài)，如果定級系統(tǒng)C的運(yùn)行主體是云服務(wù)商的話，上面就是云租戶的業(yè)務(wù)應(yīng)用系統(tǒng)。
場景二：
如基礎(chǔ)支撐平臺可以對應(yīng)到不同業(yè)務(wù)應(yīng)用系統(tǒng)，則將基礎(chǔ)支撐平臺的物理設(shè)備一同劃入相應(yīng)定級系統(tǒng)。
業(yè)務(wù)應(yīng)用是可以跟承載的硬件平臺有對應(yīng)關(guān)系的，比如說某一個應(yīng)用固定的使用一堆的硬件服務(wù)器，獨(dú)立成一個平臺，那這個時候就可以一刀切作為一個單獨(dú)的定級系統(tǒng)。如說像淘寶的很多系統(tǒng)就是這樣的架構(gòu)，比如說我們可以在定級系統(tǒng)B這一塊還可以在切分一下，那可能這一邊又變成一個小的一朵云，下面是一個云平臺。上面是整個的各個的承載的業(yè)務(wù)應(yīng)用系統(tǒng)，就是云租戶的系統(tǒng)。
在定級當(dāng)中存在兩個重要誤區(qū)：
誤區(qū)一：我的系統(tǒng)已經(jīng)上云了，系統(tǒng)就不用去定級了？
答案是不行！要分開定級，新的定級指南里明確說明，云計(jì)算平臺和云上的租戶應(yīng)用系統(tǒng)要分開定級。
誤區(qū)二：云平臺的等級跟云租戶的等級沒有關(guān)系
云平臺的等級要不低于云上租戶的業(yè)務(wù)應(yīng)用系統(tǒng)的最高級。且明確規(guī)定“國家關(guān)鍵信息基礎(chǔ)設(shè)施（重要云計(jì)算平臺）的安全保護(hù)等級應(yīng)不低于第三級”。比如一個互聯(lián)網(wǎng)金融公司，運(yùn)營的系統(tǒng)定到了四級，那么選擇上的云平臺必須是四級的云平臺，如果去三級的云平臺去備案的時候會遇到一些問題，而且即便是上了以后，云平臺在監(jiān)管這塊也無法達(dá)到不合規(guī)要求。
二、備案
去哪備案？
傳統(tǒng)的系統(tǒng)備案很簡單，IT基礎(chǔ)設(shè)施、運(yùn)維地點(diǎn)、工商注冊地基本上都是一致，去所在地市局、網(wǎng)安或者是分局去備案就可以。
但是云的這種狀態(tài)下，特別是對于云服務(wù)商來講就比較典型了，工商注冊地、辦公地點(diǎn)都不一樣。比如說像云平臺，注冊地在北京，運(yùn)維地點(diǎn)在天津，然后機(jī)房遍布全國各地。云租戶也是這個問題，公司開在北京，可能技術(shù)人員、運(yùn)維人員都在北京，但是你上的這種云可能他的物理位置或者不知道，或者是即便知道有可能也不在北京，那這個時候怎么辦？
所以我們現(xiàn)在有這樣一個原則，對于云上的系統(tǒng)，不管是云平臺還是云租戶，以你的運(yùn)維人員的所在地為備案地點(diǎn)。原因與公安機(jī)關(guān)方便監(jiān)管相關(guān)，案件發(fā)生后，公安機(jī)關(guān)需要運(yùn)維人員配合去調(diào)取相關(guān)證據(jù)，做證據(jù)固定、數(shù)據(jù)采集。
三、建設(shè)整改
云計(jì)算系統(tǒng)等級保護(hù)標(biāo)準(zhǔn)制定專家建議可以從以下幾個方面入手：
統(tǒng)一思維去考量，統(tǒng)一認(rèn)證、統(tǒng)一賬戶管理、統(tǒng)一授權(quán)，統(tǒng)一安全審計(jì)。其中關(guān)于安全審計(jì)方面，標(biāo)準(zhǔn)條款里有明確要求，主機(jī)的安全審計(jì)、網(wǎng)絡(luò)的審計(jì)、數(shù)據(jù)庫的安全審計(jì)都必不可少。側(cè)重動態(tài)監(jiān)測預(yù)警、快速應(yīng)急響應(yīng)能力建設(shè)以及服務(wù)安全產(chǎn)品合規(guī)。如果用戶自己搭建私有云，那么建議一定要有這樣的能力.重點(diǎn)保護(hù)的是業(yè)務(wù)數(shù)據(jù)安全和用戶的隱私安全。數(shù)據(jù)安全這塊真的是很重要，我們在安全擴(kuò)展里有明確要求，一個是數(shù)據(jù)庫的安全審計(jì)。要求云服務(wù)商開放第三方接口，支持第三方的安全審計(jì)的產(chǎn)品接入；還有一個就是對于云租戶，同樣要求要有自己的審計(jì)。在做云租戶的系統(tǒng)檢查或者測評的時候，一樣要看你有沒有做安全審計(jì)。
四、測評
云計(jì)算系統(tǒng)保護(hù)措施通常是以系統(tǒng)整體能力體現(xiàn)，云計(jì)算安全擴(kuò)展要求作為全局對待，在報(bào)告結(jié)構(gòu)上等同于全局測評，各測評項(xiàng)不再重復(fù)對應(yīng)一個或多個測評對象
版權(quán)聲明】本文為華為云社區(qū)用戶原創(chuàng)內(nèi)容，轉(zhuǎn)載時必須標(biāo)注文章的來源（華為云社區(qū)），文章鏈接，文章作者等基本信息，否則作者和本社區(qū)有權(quán)追究責(zé)任。如果您發(fā)現(xiàn)本社區(qū)中有涉嫌抄襲的內(nèi)容，歡迎發(fā)送郵件至：cloudbbs@huaweicloud.com進(jìn)行舉報(bào)，并提供相關(guān)證據(jù)，一經(jīng)查實(shí)，本社區(qū)將立刻刪除涉嫌侵權(quán)內(nèi)容。
伴隨著網(wǎng)絡(luò)安全法的出臺，等級保護(hù)工作進(jìn)入2.0時代，其中有哪些最引人注目的變化？
等級保護(hù)對象從原來單純的信息系統(tǒng)拓展到了很多個領(lǐng)域，其中云計(jì)算系統(tǒng)是等級保護(hù)重點(diǎn)要關(guān)注的一個領(lǐng)域。
而等級保護(hù)的標(biāo)準(zhǔn)體系也進(jìn)行了大的升級，在原等級保護(hù)核心標(biāo)準(zhǔn)（基本要求、測評要求、設(shè)計(jì)要求）的基礎(chǔ)上，進(jìn)行重新修訂，整個標(biāo)準(zhǔn)體系制定為一個矩陣，針對每一個特定的安全領(lǐng)域，做了相應(yīng)的擴(kuò)展要求，比如云計(jì)算領(lǐng)域，制定云計(jì)算擴(kuò)展要求。
在這種情況下：
云等保如何落地？
云服務(wù)商該如何做？
云租戶該如何做？
面對這些問題，我們特邀來自公安部信息安全等級保護(hù)評估中心的專家深度解讀《云計(jì)算環(huán)境下的等級保護(hù)》：
首先，需要對云計(jì)算環(huán)境中的安全責(zé)任進(jìn)行明確
不同的服務(wù)模式下，不同責(zé)任主體的責(zé)任也是不同的。云服務(wù)商，云租戶的責(zé)任劃分需要明晰。
IaaS服務(wù)模式下：云服務(wù)方責(zé)任硬件及虛擬化層的防護(hù)。虛擬化以上的客戶機(jī)的安全防護(hù)，數(shù)據(jù)庫防護(hù)以及中間件和應(yīng)用及數(shù)據(jù)的防護(hù)，這都是租戶需要去面對的問題。
PaaS服務(wù)模式下：客戶將虛擬機(jī)的安全防護(hù)責(zé)任交給了云服務(wù)商，云租戶更應(yīng)該關(guān)心在這之上，如軟件開發(fā)平臺以及應(yīng)用和數(shù)據(jù)本身的安全防護(hù)。
SaaS服務(wù)模式下：進(jìn)一步上移，這個時候作為租戶來講，需要關(guān)心的其實(shí)就是應(yīng)用提供側(cè)相關(guān)的安全配置，以及數(shù)據(jù)安全的防護(hù)，這都是租戶需要考慮的內(nèi)容。
數(shù)據(jù)安全防護(hù)，無論IaaS、PaaS到SaaS，對于云租戶來講，這是始終要面對的重要問題。
不同的責(zé)任劃分下，云等保究竟該怎么做？
云等保不是新鮮的事物，而是在原等?？蚣芟聦π率挛锏臄U(kuò)展。在云計(jì)算架構(gòu)之下，等級保護(hù)依然需要落地，包括定級、備案、建設(shè)整改、等級測評、監(jiān)督檢查五個規(guī)定動作。
不同的是等?？蚣芟滦略黾拥脑匦枰獙υ械燃壉Ｗo(hù)相關(guān)工作的具體內(nèi)容進(jìn)行擴(kuò)充并統(tǒng)一。
一、系統(tǒng)的定級
傳統(tǒng)的信息系統(tǒng)，強(qiáng)調(diào)分區(qū)分域、縱深防御，網(wǎng)絡(luò)架構(gòu)伴隨業(yè)務(wù)變化而變化，系統(tǒng)各組件能與硬件緊耦合。信息系統(tǒng)的系統(tǒng)劃分其實(shí)是以物理網(wǎng)絡(luò)/安全設(shè)備為邊界的硬件設(shè)備的劃分。
云的環(huán)境下，把虛擬邊界作為系統(tǒng)定級的邊界。
云計(jì)算系統(tǒng)網(wǎng)絡(luò)架構(gòu)扁平化，業(yè)務(wù)應(yīng)用系統(tǒng)與硬平臺松耦合。信息系統(tǒng)的系統(tǒng)劃分，像傳統(tǒng)單純的以物理網(wǎng)絡(luò)/安全設(shè)備為邊界的劃分方法已經(jīng)無法體現(xiàn)出業(yè)務(wù)應(yīng)用系統(tǒng)的邏輯關(guān)系，也無法體現(xiàn)對業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全。
所以，定級需要從業(yè)務(wù)應(yīng)用的角度出發(fā)梳理有哪些業(yè)務(wù)應(yīng)用，及對應(yīng)哪些模塊
場景一：
如每種應(yīng)用都需要使用物理基礎(chǔ)支撐平臺，則業(yè)務(wù)應(yīng)用系統(tǒng)可不包含基礎(chǔ)支撐的物理硬件部分，根據(jù)業(yè)務(wù)應(yīng)用的關(guān)聯(lián)性，進(jìn)行切分定級。像公共云就是這種狀態(tài)，如果定級系統(tǒng)C的運(yùn)行主體是云服務(wù)商的話，上面就是云租戶的業(yè)務(wù)應(yīng)用系統(tǒng)。
場景二：
如基礎(chǔ)支撐平臺可以對應(yīng)到不同業(yè)務(wù)應(yīng)用系統(tǒng)，則將基礎(chǔ)支撐平臺的物理設(shè)備一同劃入相應(yīng)定級系統(tǒng)。
業(yè)務(wù)應(yīng)用是可以跟承載的硬件平臺有對應(yīng)關(guān)系的，比如說某一個應(yīng)用固定的使用一堆的硬件服務(wù)器，獨(dú)立成一個平臺，那這個時候就可以一刀切作為一個單獨(dú)的定級系統(tǒng)。如說像淘寶的很多系統(tǒng)就是這樣的架構(gòu)，比如說我們可以在定級系統(tǒng)B這一塊還可以在切分一下，那可能這一邊又變成一個小的一朵云，下面是一個云平臺。上面是整個的各個的承載的業(yè)務(wù)應(yīng)用系統(tǒng)，就是云租戶的系統(tǒng)。
在定級當(dāng)中存在兩個重要誤區(qū)：
誤區(qū)一：我的系統(tǒng)已經(jīng)上云了，系統(tǒng)就不用去定級了？
答案是不行！要分開定級，新的定級指南里明確說明，云計(jì)算平臺和云上的租戶應(yīng)用系統(tǒng)要分開定級。
誤區(qū)二：云平臺的等級跟云租戶的等級沒有關(guān)系
云平臺的等級要不低于云上租戶的業(yè)務(wù)應(yīng)用系統(tǒng)的最高級。且明確規(guī)定“國家關(guān)鍵信息基礎(chǔ)設(shè)施（重要云計(jì)算平臺）的安全保護(hù)等級應(yīng)不低于第三級”。比如一個互聯(lián)網(wǎng)金融公司，運(yùn)營的系統(tǒng)定到了四級，那么選擇上的云平臺必須是四級的云平臺，如果去三級的云平臺去備案的時候會遇到一些問題，而且即便是上了以后，云平臺在監(jiān)管這塊也無法達(dá)到不合規(guī)要求。
二、備案
去哪備案？
傳統(tǒng)的系統(tǒng)備案很簡單，IT基礎(chǔ)設(shè)施、運(yùn)維地點(diǎn)、工商注冊地基本上都是一致，去所在地市局、網(wǎng)安或者是分局去備案就可以。
但是云的這種狀態(tài)下，特別是對于云服務(wù)商來講就比較典型了，工商注冊地、辦公地點(diǎn)都不一樣。比如說像云平臺，注冊地在北京，運(yùn)維地點(diǎn)在天津，然后機(jī)房遍布全國各地。云租戶也是這個問題，公司開在北京，可能技術(shù)人員、運(yùn)維人員都在北京，但是你上的這種云可能他的物理位置或者不知道，或者是即便知道有可能也不在北京，那這個時候怎么辦？
所以我們現(xiàn)在有這樣一個原則，對于云上的系統(tǒng)，不管是云平臺還是云租戶，以你的運(yùn)維人員的所在地為備案地點(diǎn)。原因與公安機(jī)關(guān)方便監(jiān)管相關(guān)，案件發(fā)生后，公安機(jī)關(guān)需要運(yùn)維人員配合去調(diào)取相關(guān)證據(jù)，做證據(jù)固定、數(shù)據(jù)采集。
三、建設(shè)整改
云計(jì)算系統(tǒng)等級保護(hù)標(biāo)準(zhǔn)制定專家建議可以從以下幾個方面入手：
統(tǒng)一思維去考量，統(tǒng)一認(rèn)證、統(tǒng)一賬戶管理、統(tǒng)一授權(quán)，統(tǒng)一安全審計(jì)。其中關(guān)于安全審計(jì)方面，標(biāo)準(zhǔn)條款里有明確要求，主機(jī)的安全審計(jì)、網(wǎng)絡(luò)的審計(jì)、數(shù)據(jù)庫的安全審計(jì)都必不可少。側(cè)重動態(tài)監(jiān)測預(yù)警、快速應(yīng)急響應(yīng)能力建設(shè)以及服務(wù)安全產(chǎn)品合規(guī)。如果用戶自己搭建私有云，那么建議一定要有這樣的能力.重點(diǎn)保護(hù)的是業(yè)務(wù)數(shù)據(jù)安全和用戶的隱私安全。數(shù)據(jù)安全這塊真的是很重要，我們在安全擴(kuò)展里有明確要求，一個是數(shù)據(jù)庫的安全審計(jì)。要求云服務(wù)商開放第三方接口，支持第三方的安全審計(jì)的產(chǎn)品接入；還有一個就是對于云租戶，同樣要求要有自己的審計(jì)。在做云租戶的系統(tǒng)檢查或者測評的時候，一樣要看你有沒有做安全審計(jì)。
四、測評
云計(jì)算系統(tǒng)保護(hù)措施通常是以系統(tǒng)整體能力體現(xiàn)，云計(jì)算安全擴(kuò)展要求作為全局對待，在報(bào)告結(jié)構(gòu)上等同于全局測評，各測評項(xiàng)不再重復(fù)對應(yīng)一個或多個測評對象
版權(quán)聲明】本文為華為云社區(qū)用戶原創(chuàng)內(nèi)容，轉(zhuǎn)載時必須標(biāo)注文章的來源（華為云社區(qū)），文章鏈接，文章作者等基本信息，否則作者和本社區(qū)有權(quán)追究責(zé)任。如果您發(fā)現(xiàn)本社區(qū)中有涉嫌抄襲的內(nèi)容，歡迎發(fā)送郵件至：cloudbbs@huaweicloud.com進(jìn)行舉報(bào)，并提供相關(guān)證據(jù)，一經(jīng)查實(shí)，本社區(qū)將立刻刪除涉嫌侵權(quán)內(nèi)容。
