文 | 中國電子技術標準化研究院 朱雪峰 胡影 王秉政

當前，云計算服務在經濟發(fā)展中深度融合應用，被黨政機關、關鍵信息基礎設施運營者以及各行業(yè)有關單位采購和使用。政務數(shù)據、金融數(shù)據、電子數(shù)據、醫(yī)療數(shù)據等各種類型數(shù)據逐步在云平臺上部署。云計算服務借助自身性價比高、靈活性強、實時監(jiān)控、及時發(fā)現(xiàn)等特點，確保數(shù)據上云后的使用效率、管理能力、安全保障等方面得到進一步提升。與此同時，存在一系列云平臺特有的數(shù)據安全問題數(shù)據安全問題，如數(shù)據安全責任邊界劃分不清、敏感數(shù)據和個人信息未進行專門保護、大量數(shù)據傳輸存儲等關鍵環(huán)節(jié)未加密，以及未經云服務用戶同意處理云平臺數(shù)據等問題突出。

一、云計算服務數(shù)據安全風險

云平臺上承載了大量關系國計民生的業(yè)務系統(tǒng)和數(shù)據，如果數(shù)據安全管理不到位，技術防護措施不嚴謹，將可能產生重大的數(shù)據安全風險，直接影響國家安全和社會生產生活有序開展。

（一）云計算服務數(shù)據安全責任邊界劃分不清，給數(shù)據安全管理帶來挑戰(zhàn)云計算服務主要涉及云計算服務提供方、云計算服務用戶以及為云平臺提供產品、服務的第三方供應商等角色，平臺上收集存儲了用戶上云的業(yè)務數(shù)據、生產數(shù)據，提供方依托云平臺產生的日志、系統(tǒng)、操作、配置等數(shù)據。服務商、用戶甚至第三方在特定場景下均會接觸、處理用戶數(shù)據、平臺數(shù)據，責任權屬如何劃分直接關系到云上數(shù)據安全。在調研中發(fā)現(xiàn)，部分用戶認為數(shù)據上云后的安全應該由服務商負責，部分服務商認為平臺只需要提供基礎的云安全環(huán)境，用戶應該對其數(shù)據負責，同時在云計算服務合同中也未對雙方以及第三方責任進行明確規(guī)定，存在數(shù)據安全責任空白。

（二）云平臺自身存在脆弱性，給數(shù)據安全防護提出更高要求云平臺依賴于供應鏈中的多個組件和服務，如硬件、軟件、網絡等，供應鏈中的任何環(huán)節(jié)存在漏洞或惡意行為，都可能直接威脅到云平臺的安全性，特別是云平臺一些關鍵設備和組件可能依賴外國供應商，這些供應商可能受到所在國法律的影響，存在供應鏈中斷的風險。云平臺通常基于復雜的技術堆棧構建，涉及大量的組件、服務和交互，這種復雜性增加了安全漏洞和錯誤配置的可能性，使云平臺更容易受到攻擊。身份驗證和訪問控制是云平臺安全的關鍵環(huán)節(jié)，部分平臺身份驗證機制不完善，或者訪問控制策略配置不當，可能導致未經授權的訪問和數(shù)據泄露。IBM 發(fā)布的《云威脅形勢報告》顯示，2023 年新增了 632 個新的云相關安全漏洞，相比一年前增加了 194%，主要原因在于云環(huán)境中使用的應用程序和服務數(shù)量的不斷增加，如 Log4j 漏洞仍有被濫用跡象。
（三）云平臺數(shù)據安全管理技術手段不足，數(shù)據泄露風險高企部分云平臺數(shù)據傳輸和共享過程所使用的加密機制存在缺陷和不足，若加密算法存在漏洞或密鑰管理不當，可能導致數(shù)據泄露和損壞。當前，云平臺數(shù)據分類分級工具技術能力不足，對重要數(shù)據、個人信息未進行標注，并且對非結構化文件標注不全且不及時，缺乏對云上重要數(shù)據、個人信息進行專門的保護。在云數(shù)據遷移過程中，部分數(shù)據遷移不徹底，備份數(shù)據得不到合理處置，導致數(shù)據泄露。一些云平臺存在隨意收集、違法獲取、過度使用用戶個人信息，侵害了公民個人信息權益。云平臺針對涉及數(shù)據出境的場景梳理不全面、有遺漏，未建立數(shù)據出境安全審核機制，數(shù)據出境安全風險凸顯。

二、國內外云計算服務數(shù)據安全相關政策法規(guī)

隨著云計算技術和產業(yè)的不斷發(fā)展，很多國家和地區(qū)紛紛制定云計算服務數(shù)據安全相關法律法規(guī)和政策標準，以推動云計算的健康有序發(fā)展，在云上數(shù)據責任權屬、云上數(shù)據安全監(jiān)管、云服務商安全能力等方面進行探索和實踐。

（一）歐盟高度重視云平臺數(shù)據安全問題

2018 年，歐盟發(fā)布《通用數(shù)據保護條例》（GDPR）（以下簡稱《條例》），對云平臺進行了相應的規(guī)制?！稐l例》要求云服務提供商必須采取適當?shù)募夹g和組織措施來確保數(shù)據的安全，包括數(shù)據加密、匿名化、訪問控制等；同時，《條例》強調數(shù)據主體的權益，如知情權、訪問權、更正權、刪除權等，云服務提供商需要確保這些權益得到保障。《歐洲云計算戰(zhàn)略》則是一個更廣泛的政策文件，它提出了歐洲在云計算領域的發(fā)展目標和策略，包括促進云計算創(chuàng)新、提高云服務的安全性和可信度、保護用戶數(shù)據等；同時，推動建立透明的認證和評估機制，讓用戶能夠信任和選擇符合高標準的云服務提供商。

（二）美國通過政策文件和技術指南規(guī)制云計算數(shù)據安全

早在 2011 年，美國就啟動了聯(lián)邦云計算風險與授權管理項目（FedRAMP），規(guī)定只有中、低安全風險的系統(tǒng)和數(shù)據才能遷移上云，并發(fā)布了中、低影響級別的安全控制基線。隨著對云安全信心的提升，云服務應用范圍擴大到涉密系統(tǒng)和敏感信息，2016 年聯(lián)邦云計算風險與授權管理項目提出了高影響級別的安全控制基線。強調云計算實施的安全性和透明度，并要求建立相應的安全管理制度和應急管理制度，以確保云平臺的正常運作和數(shù)據安全。2022 年 1 月，美國白宮發(fā)布《加強國家安全、國防部和情報系統(tǒng)網絡安全》，明確要求構建國家安全系統(tǒng)云技術網絡安全能力，要求國家安全系統(tǒng)委員會制定并發(fā)布與國家安全系統(tǒng)委員會云遷移和運營相關的最低安全標準和控制指南。同年 3 月，美國國務院情報研究局發(fā)布《國務院情報研究局網絡安全戰(zhàn)略》，強調加快云計算環(huán)境遷移，改進網絡安全風險管理。2022 年美國聯(lián)邦網絡安全和基礎設施安全局還發(fā)布一系列技術指南，包括《安全云業(yè)務應用程序技術參考框架》《可信互聯(lián)網連接 3.0：云計算用例》等，加強云計算環(huán)境下的安全能力，確保云計算環(huán)境下的數(shù)據安全。

（三）我國在云計算數(shù)據安全的頂層設計和制度設計不斷完善

我國已發(fā)布一系列云計算數(shù)據安全相關的政策法規(guī)和標準指南，這些文件對云計算服務商和云計算用戶都提出了明確的要求，并重點關注云安全監(jiān)管和評估等方面。

1. 政策法規(guī)層面

2014 年 12 月，中央網信辦發(fā)布《關于加強黨政部門云計算服務網絡安全管理的意見》，明確提出了黨政部門提供給服務商的數(shù)據、設備等資源，以及云計算平臺上黨政業(yè)務系統(tǒng)運行過程中收集、產生、存儲的數(shù)據和文檔等資源屬黨政部門所有。服務商應保障黨政部門對這些資源的訪問、利用、支配，未經黨政部門授權，不得訪問、修改、披露、利用、轉讓、銷毀黨政部門數(shù)據；在服務合同終止時，應按要求做好數(shù)據、文檔等資源的移交和清除工作。2019 年 7 月，國家互聯(lián)網信息辦公室、國家發(fā)展和改革委員會、工業(yè)和信息化部和財政部聯(lián)合發(fā)布了《云計算服務安全評估辦法》，該《辦法》明確了云計算服務安全評估的重點，包括對云服務商人員背景及穩(wěn)定性的評估，特別是能夠訪問客戶數(shù)據、能夠收集相關元數(shù)據的人員；客戶遷移數(shù)據的可行性和便捷性等要求。通過這些評估，旨在提高黨政機關、關鍵信息基礎設施運營者在采購和使用云計算服務的安全可控水平，降低采購和使用云計算服務帶來的數(shù)據安全風險。

2. 標準指南層面

目前，國家已發(fā)布云計算安全相關標準共 5 項，包括《云計算服務安全指南》《云計算服務安全能力要求》《云計算安全參考架構》《云計算服務安全能力評估方法》《云計算服務運行監(jiān)管框架》，每項標準均對數(shù)據安全提出了不同層面的要求。

一是《信息安全技術 云計算服務安全指南》（GB/T 31167-2023）在 2014 版標準的基礎上進行了修訂，提出了客戶采用云計算服務的安全管理基本原則，給出了采用云計算服務的生命周期各階段的安全管理和技術措施，提出了云計算服務安全管理原則和相關責任劃分，標準針對數(shù)據移交范圍、數(shù)據完整性驗證、數(shù)據安全刪除等方面對云服務商提出了相關要求。

二是《信息安全技術 云計算服務安全能力要求》（GB/T 31168-2023）在 2014 版標準的基礎上進行了修訂，規(guī)定了云服務商提供云計算服務時應具備的安全能力，適用于對云計算服務能力的建設、監(jiān)督、管理和評估，標準設置專章“數(shù)據安全保護”，從通用數(shù)據安全、媒體訪問和使用、剩余信息保護、數(shù)據使用保護、數(shù)據共享保護、數(shù)據遷移保護等方面提出了數(shù)據加密、數(shù)據備份、數(shù)據脫敏、數(shù)據防泄漏、數(shù)據防篡改等要求。

三是《信息安全技術 云計算安全參考架構》（GB/T 35279-2017）針對云服務級別協(xié)議所具有的動態(tài)性及多方參與的特點導致對責任認定不清、云計算的強大計算與存儲能力被非法利用等問題，規(guī)定了云計算安全參考架構，描述了云計算角色，規(guī)范了各角色的安全職責、安全功能組件及其關系，適用于指導所有云計算參與者在進行云計算系統(tǒng)規(guī)劃時對安全的評估與設計。

四是《信息安全技術 云計算服務安全能力評估方法》（GB/T 34942-2017）提出了開展評估的原則、實施過程以及針對各項具體安全要求進行評估的方法。該標準為第三方評估機構對云服務商提供云計算服務的安全能力進行評估提供了依據，也為云服務商在對其云計算服務安全能力進行自評估提供了參考。

五是《信息安全技術 云計算服務運行監(jiān)管框架》（GB/T 37972-2019）規(guī)范了政府部門云服務客戶在使用云計算服務的過程中的監(jiān)管框架、監(jiān)管過程及監(jiān)管方式。同時，標準為云服務商制定和實施云計算服務持續(xù)監(jiān)管策略和計劃提供指導，也為監(jiān)管方進行持續(xù)監(jiān)管活動提供指導。該標準采用與聯(lián)邦云計算風險與授權管理項目（FedRAMP）不同的云計算服務持續(xù)監(jiān)管方式，主要從云計算服務審查或檢查的視角制定云計算服務運行監(jiān)管過程，定義了云服務商和運行監(jiān)管方兩個角色，并明確了安全控制措施有效性運行監(jiān)管、重大變更監(jiān)管和應急響應監(jiān)管三個過程。

三、云計算服務數(shù)據安全工作建議

持續(xù)提升云計算服務數(shù)據安全防護能力，需要國家、行業(yè)的監(jiān)管引領下，科研機構、高校、云服務商等方面共同參與，協(xié)力合作。

（一）加快云數(shù)據安全相關標準研制和試點推廣工作

一是按照數(shù)據安全工作急需、云技術發(fā)展急用的原則，研制云計算服務數(shù)據安全參考框架、云計算服務數(shù)據安全能力成熟度模型、云計算服務數(shù)據風險評估方法、云計算服務數(shù)據接口安全等標準。二是提升云計算服務安全標準的有效性和可操作性，解決云計算服務數(shù)據安全突出風險，探索云計算服務數(shù)據安全難點問題標準化路徑，選取云服務商、第三方合作商、云評估機構等典型組織，開展標準適用性和實施效果評價；在標準應用實踐中全程進行跟蹤，及時發(fā)現(xiàn)問題、總結經驗、完善標準，推動云計算服務數(shù)據安全標準化工作高速、高質量發(fā)展。

（二）制定出臺云計算服務數(shù)據安全相關制度文件，加強云計算服務數(shù)據安全相關監(jiān)督管理

針對云服務商和云服務用戶的數(shù)據安全主體責任不清、未對重要數(shù)據上云進行評估保護等新問題，國家應出臺云計算服務數(shù)據管理辦法、標準合同模板等文件。一是指導云服務商對云平臺上的數(shù)據進行分類分級管理，重點保護重要數(shù)據和個人信息，對云平臺收集和承載數(shù)據分別建立管理機制，并通過云平臺提供數(shù)據分類分級保護功能服務；二是建立云服務用戶分類管理機制，對黨政機關、關鍵信息基礎設施運營者使用云計算服務加強安全風險提醒，對其部署在云平臺上的信息系統(tǒng)和數(shù)據加強安全保護；三是在合同模板中明確云服務商、云服務用戶和第三方服務商的數(shù)據安全責任。

（三）以關鍵環(huán)節(jié)和關鍵技術為突破點，完善云計算服務數(shù)據安全技術體系

應加強在云計算服務過程中的數(shù)據收集、存儲、使用、加工、傳輸、提供、公開等關鍵環(huán)節(jié)的安全保障能力建設，強化云上數(shù)據的審計監(jiān)測、安全預警、應急處置和追蹤溯源能力。目前，數(shù)據防泄露、數(shù)據庫安全防護等技術發(fā)展相對成熟，數(shù)據識別、分類分級、數(shù)據脫敏、數(shù)據權限管理等基礎技術以及隱私合規(guī)檢測、數(shù)據濫用分析、隱私計算、數(shù)據流轉分析等關鍵技術還相對薄弱，應積極推動產學研用結合，加強基礎、關鍵技術在云計算服務數(shù)據安全防護中的研究和應用推廣。

數(shù)據作為關鍵生產要素的價值日益凸顯，隨著云平臺廣泛應用、云計算服務的深入發(fā)展，作為數(shù)據流通的重要基礎設施，把安全貫穿云計算服務數(shù)據管理的全過程，嚴守數(shù)據安全底線，對帶動數(shù)據要素高質量供給、合規(guī)高效流通具有重要作用。

（本文刊登于《中國信息安全》雜志2024年第2期）