等保2.0云計(jì)算安全與風(fēng)險(xiǎn)評(píng)估
一、等保2.0對(duì)云核算發(fā)展提出“新要求”
與等保1.0的規(guī)范系統(tǒng)相比，等保2.0在適用性、時(shí)效性、易用性、可操作性上得到進(jìn)一步擴(kuò)充和完善，以適應(yīng)云核算、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等新技術(shù)的發(fā)展。如下表給出了等保2.0發(fā)生的重要改變。針對(duì)等保2.0規(guī)范提出的新要求，要在剖析研究云核算面對(duì)的要挾的基礎(chǔ)上，對(duì)云核算渠道的安全危險(xiǎn)加以有用評(píng)價(jià)，確保云核算渠道安全。
二、云核算面對(duì)的“首要要挾”
IaaS、PaaS、SaaS是云核算的三種服務(wù)模式。
1、 IaaS面對(duì)的首要要挾
選用IaaS服務(wù)時(shí)，客戶可以用鏡像模板來(lái)創(chuàng)建虛擬機(jī)實(shí)例，并在虛擬機(jī)上布置自己的運(yùn)用軟件。客戶不需求擔(dān)任底層的硬件資源和虛擬化軟件。因此除了硬件層和虛擬化軟件層的安全措施由云服務(wù)商擔(dān)任施行外，位于其他層的安全措施由客戶擔(dān)任施行，需求對(duì)這些安全措施施行有用監(jiān)管，其中包括鏡像篡改、虛擬機(jī)隔離、資源搬遷、虛擬機(jī)逃逸以及主機(jī)越權(quán)等。
2、PaaS面對(duì)的首要要挾
利用PaaS來(lái)開發(fā)和布置自己的軟件，需求對(duì)運(yùn)用的運(yùn)行環(huán)境進(jìn)行配置，控制自己布置的運(yùn)用。客戶需求對(duì)自己布置、自己運(yùn)用的系統(tǒng)和運(yùn)用擔(dān)任，制定相應(yīng)的安全策略，施行必要的安全措施。
3、 SaaS面對(duì)的首要要挾
SaaS是選用先進(jìn)技術(shù)上云的最好途徑，它消除了企業(yè)購(gòu)買、構(gòu)建和保護(hù)基礎(chǔ)設(shè)施和運(yùn)用程序的需求。但跟著SaaS的日益遍及，關(guān)于SaaS的安全問(wèn)題也隨之而來(lái)，首要包括存儲(chǔ)數(shù)據(jù)走漏、傳輸數(shù)據(jù)走漏和鑒別信息走漏等安全問(wèn)題。
三、云核算渠道的“危險(xiǎn)評(píng)價(jià)”
為了確保客戶施行的安全措施安全有用，客戶可自行或托付第三方評(píng)價(jià)安排對(duì)自己施行的安全策略進(jìn)行評(píng)價(jià)。
1、云安全規(guī)范系統(tǒng)
目前，國(guó)內(nèi)外多個(gè)規(guī)范化安排和安排都在開展云核算安全規(guī)范化作業(yè)，除此之外，各國(guó)也開展了云安全辦理和合規(guī)方面的作業(yè)。下圖給出了國(guó)內(nèi)外在云安全規(guī)范方面的效果。
2 、云渠道危險(xiǎn)評(píng)價(jià)
1) 評(píng)價(jià)框架
云核算渠道安全危險(xiǎn)評(píng)價(jià)關(guān)注云核算渠道業(yè)務(wù)層面的危險(xiǎn)，其評(píng)價(jià)對(duì)象為云服務(wù)業(yè)務(wù)流程觸及的組件及設(shè)備，評(píng)價(jià)規(guī)模覆蓋了云服務(wù)業(yè)務(wù)在信息系統(tǒng)層面的數(shù)據(jù)流、數(shù)據(jù)處理活動(dòng)及其關(guān)聯(lián)聯(lián)系。云渠道危險(xiǎn)評(píng)價(jià)的框架如下圖所示。
評(píng)價(jià)進(jìn)程覆蓋了基礎(chǔ)設(shè)施、虛擬化控制、辦理渠道和安全防護(hù)等多種類型的對(duì)象，針對(duì)多種指標(biāo)進(jìn)行綜合危險(xiǎn)剖析，并且在監(jiān)管、業(yè)務(wù)和客戶的要求下做出相應(yīng)的調(diào)整。
2）云安全評(píng)價(jià)辦法的特殊性
在對(duì)云渠道開展危險(xiǎn)評(píng)價(jià)作業(yè)時(shí)，需求結(jié)合多種評(píng)價(jià)辦法，比方配置檢查、縫隙掃描，但云渠道引入了更多的有價(jià)值的資源，且與租戶存在服務(wù)水平約定，所以一些評(píng)價(jià)辦法要結(jié)合云核算的特征做出調(diào)整，首要包括問(wèn)卷調(diào)查、現(xiàn)場(chǎng)訪談、安全滲透測(cè)驗(yàn)、安全縫隙掃描以及安全配置檢查等五種常見評(píng)價(jià)辦法。
四、結(jié)束語(yǔ)
在對(duì)云核算發(fā)展趨勢(shì)及等保2.0的新要求進(jìn)行剖析的基礎(chǔ)上，結(jié)合三種云核算服務(wù)模式的特點(diǎn)和傳統(tǒng)的信息安全危險(xiǎn)評(píng)價(jià)辦法，對(duì)如安在云核算模式下進(jìn)行信息安全危險(xiǎn)評(píng)價(jià)進(jìn)行了闡述，論述了云渠道安全危險(xiǎn)評(píng)價(jià)中對(duì)資產(chǎn)、要挾和脆弱性進(jìn)行評(píng)價(jià)時(shí)，要考慮到的一些指標(biāo)。相信跟著云核算的深入發(fā)展，國(guó)內(nèi)云核算安全規(guī)范化作業(yè)的推進(jìn)，各種安全實(shí)踐會(huì)不斷成熟，將進(jìn)一步豐富云核算渠道及云服務(wù)危險(xiǎn)評(píng)價(jià)理論。
與等保1.0的規(guī)范系統(tǒng)相比，等保2.0在適用性、時(shí)效性、易用性、可操作性上得到進(jìn)一步擴(kuò)充和完善，以適應(yīng)云核算、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等新技術(shù)的發(fā)展。如下表給出了等保2.0發(fā)生的重要改變。針對(duì)等保2.0規(guī)范提出的新要求，要在剖析研究云核算面對(duì)的要挾的基礎(chǔ)上，對(duì)云核算渠道的安全危險(xiǎn)加以有用評(píng)價(jià)，確保云核算渠道安全。
二、云核算面對(duì)的“首要要挾”
IaaS、PaaS、SaaS是云核算的三種服務(wù)模式。
1、 IaaS面對(duì)的首要要挾
選用IaaS服務(wù)時(shí)，客戶可以用鏡像模板來(lái)創(chuàng)建虛擬機(jī)實(shí)例，并在虛擬機(jī)上布置自己的運(yùn)用軟件。客戶不需求擔(dān)任底層的硬件資源和虛擬化軟件。因此除了硬件層和虛擬化軟件層的安全措施由云服務(wù)商擔(dān)任施行外，位于其他層的安全措施由客戶擔(dān)任施行，需求對(duì)這些安全措施施行有用監(jiān)管，其中包括鏡像篡改、虛擬機(jī)隔離、資源搬遷、虛擬機(jī)逃逸以及主機(jī)越權(quán)等。
2、PaaS面對(duì)的首要要挾
利用PaaS來(lái)開發(fā)和布置自己的軟件，需求對(duì)運(yùn)用的運(yùn)行環(huán)境進(jìn)行配置，控制自己布置的運(yùn)用。客戶需求對(duì)自己布置、自己運(yùn)用的系統(tǒng)和運(yùn)用擔(dān)任，制定相應(yīng)的安全策略，施行必要的安全措施。
3、 SaaS面對(duì)的首要要挾
SaaS是選用先進(jìn)技術(shù)上云的最好途徑，它消除了企業(yè)購(gòu)買、構(gòu)建和保護(hù)基礎(chǔ)設(shè)施和運(yùn)用程序的需求。但跟著SaaS的日益遍及，關(guān)于SaaS的安全問(wèn)題也隨之而來(lái)，首要包括存儲(chǔ)數(shù)據(jù)走漏、傳輸數(shù)據(jù)走漏和鑒別信息走漏等安全問(wèn)題。
三、云核算渠道的“危險(xiǎn)評(píng)價(jià)”
為了確保客戶施行的安全措施安全有用，客戶可自行或托付第三方評(píng)價(jià)安排對(duì)自己施行的安全策略進(jìn)行評(píng)價(jià)。
1、云安全規(guī)范系統(tǒng)
目前，國(guó)內(nèi)外多個(gè)規(guī)范化安排和安排都在開展云核算安全規(guī)范化作業(yè)，除此之外，各國(guó)也開展了云安全辦理和合規(guī)方面的作業(yè)。下圖給出了國(guó)內(nèi)外在云安全規(guī)范方面的效果。
2 、云渠道危險(xiǎn)評(píng)價(jià)
1) 評(píng)價(jià)框架
云核算渠道安全危險(xiǎn)評(píng)價(jià)關(guān)注云核算渠道業(yè)務(wù)層面的危險(xiǎn)，其評(píng)價(jià)對(duì)象為云服務(wù)業(yè)務(wù)流程觸及的組件及設(shè)備，評(píng)價(jià)規(guī)模覆蓋了云服務(wù)業(yè)務(wù)在信息系統(tǒng)層面的數(shù)據(jù)流、數(shù)據(jù)處理活動(dòng)及其關(guān)聯(lián)聯(lián)系。云渠道危險(xiǎn)評(píng)價(jià)的框架如下圖所示。
評(píng)價(jià)進(jìn)程覆蓋了基礎(chǔ)設(shè)施、虛擬化控制、辦理渠道和安全防護(hù)等多種類型的對(duì)象，針對(duì)多種指標(biāo)進(jìn)行綜合危險(xiǎn)剖析，并且在監(jiān)管、業(yè)務(wù)和客戶的要求下做出相應(yīng)的調(diào)整。
2）云安全評(píng)價(jià)辦法的特殊性
在對(duì)云渠道開展危險(xiǎn)評(píng)價(jià)作業(yè)時(shí)，需求結(jié)合多種評(píng)價(jià)辦法，比方配置檢查、縫隙掃描，但云渠道引入了更多的有價(jià)值的資源，且與租戶存在服務(wù)水平約定，所以一些評(píng)價(jià)辦法要結(jié)合云核算的特征做出調(diào)整，首要包括問(wèn)卷調(diào)查、現(xiàn)場(chǎng)訪談、安全滲透測(cè)驗(yàn)、安全縫隙掃描以及安全配置檢查等五種常見評(píng)價(jià)辦法。
四、結(jié)束語(yǔ)
在對(duì)云核算發(fā)展趨勢(shì)及等保2.0的新要求進(jìn)行剖析的基礎(chǔ)上，結(jié)合三種云核算服務(wù)模式的特點(diǎn)和傳統(tǒng)的信息安全危險(xiǎn)評(píng)價(jià)辦法，對(duì)如安在云核算模式下進(jìn)行信息安全危險(xiǎn)評(píng)價(jià)進(jìn)行了闡述，論述了云渠道安全危險(xiǎn)評(píng)價(jià)中對(duì)資產(chǎn)、要挾和脆弱性進(jìn)行評(píng)價(jià)時(shí)，要考慮到的一些指標(biāo)。相信跟著云核算的深入發(fā)展，國(guó)內(nèi)云核算安全規(guī)范化作業(yè)的推進(jìn)，各種安全實(shí)踐會(huì)不斷成熟，將進(jìn)一步豐富云核算渠道及云服務(wù)危險(xiǎn)評(píng)價(jià)理論。
