網絡安全法第二十一條規(guī)定國家實行網絡安全等級保護制度，等保2.0將云平臺和云上信息系統(tǒng)納入了等級保護的范圍。云上重要信息系統(tǒng)都應當按照網絡安全等級保護制度要求履行網絡安全法的法律義務，開展等級測評工作。云上信息系統(tǒng)過等保要注意什么，你知道嗎？為幫助云上信息系統(tǒng)順利通過等保測評，我們就云租戶要關注的內容和事項進行了全面梳理，希望給云租戶在選擇云平臺和開展云上信息系統(tǒng)等保工作時提供指導。

1

云計算的服務模式

  云計算的服務模型主要有三種：IaaS（Infrastructure as a Service）、PaaS（Platform as a Service）和SaaS（Software as a Service），美國國家標準與技術研究院NIST為它們做的定義如下：

    SaaS模式：為用戶提供在云架構上運行的應用的服務。用戶可以從多種多樣的瘦客戶端[1]經由瘦客戶端接口對應用進行訪問。用戶不需要管理或控制底層的云架構（包括網絡、服務器、操作系統(tǒng)、存儲，以及個別的應用能力），只需要關心與需求有關的需客戶特別設定的應用配置；

    PaaS模式：為用戶提供將應用部署在云架構上的服務，而創(chuàng)建這些應用的編程語言和工具必須得到服務提供商的支持。這些應用可以是用戶自己創(chuàng)建的，也可能是從別處獲取的。用戶不需要管理或控制底層的云架構（包括網絡、服務器、操作系統(tǒng)、存儲），但是他們需要對部署的應用進行控制，還有可能要針對應用進行環(huán)境配置；

    IaaS模式：為用戶提供處理、存儲、網絡以及其它基礎計算資源的服務，用戶可以在其上部署和運行包括操作系統(tǒng)和應用在內的任何軟件。用戶不需要管理或控制底層的云架構，但是他們需要控制操作系統(tǒng)、存儲資源以及被部署的應用，還有可能要對某些網絡部件（例如主機防火墻）進行有限的控制。 

   由于在不同的服務模式中，云服務商和云服務客戶對計算資源擁有不同的控制范圍，控制范圍則決定了安全責任的邊界。而目前云上信息系統(tǒng)大多采用IAAS模式，我們就IAAS模式下的云租戶要關注的內容和事項進行介紹。

2

云上信息系統(tǒng)等保2.0的定級和備案

定級：在云計算環(huán)境中，將云服務方側的云計算平臺單獨作為定級對象定級，云租戶側的等級保護對象作為單獨的定級對象定級。

備案：云租戶負責對云平臺上承載的租戶信息系統(tǒng)進行定級備案，備案地為工商注冊或實際經營所在地。

3

云上信息系統(tǒng)等保云租戶要關注的層面和組件

    下表為IAAS模式下云服務商與租戶的責任劃分，標紅部分為云租戶要關注的層面和組件：

4

等保云租戶選擇云平臺時的注意事項

（一）選擇云平臺服務商的基本條件

1、應確保云計算基礎設施位于中國境內。

2、在選擇云平臺服務商時應選擇已通過相應級別或高于自己應用系統(tǒng)級別等級測評的云平臺服務商，并要求云平臺服務商提供通過相應級別等級測評的證明材料（備案表和測評報告結論頁）。

3、云平臺服務商具有根據(jù)云服務客戶業(yè)務需求提供通信傳輸、邊界防護、入侵防范等安全機制的能力；并提供開放接口或開放性安全服務，允許甲方接入第三方安全產品或在云平臺選擇第三方安全服務；

（二）與云平臺服務商簽訂合同、服務水平協(xié)議和保密協(xié)議

1、與云平臺服務商簽訂服務合同時應注意：

a)合同中應明確其云平臺具有與所承載的業(yè)務應用系統(tǒng)相應或高于的安全保護能力。

b)合同中應明確雙方安全責任。云平臺能實現(xiàn)不同云服務客戶虛擬網絡之間的隔離。

c)合同中應明確甲方的網絡與其它云服務客戶虛擬網絡之間進行隔離，甲方虛擬機使用獨占的內存空間。

d)合同中明確甲方系統(tǒng)的審計數(shù)據(jù)隔離存放。

e)合同中明確如甲方需刪除業(yè)務應用數(shù)據(jù)時，云計算平臺需確保云存儲中所有副本被刪除。

f)合同中應明確如甲方需將業(yè)務系統(tǒng)及數(shù)據(jù)遷移到其他云計算平臺和本地系統(tǒng)，云計算平臺方需提供技術手段，并協(xié)助完成遷移過程。

g)合同中明確云平臺服務商要確保存儲服務中甲方數(shù)據(jù)存在若干個可用的副本，各副本之間的內容保持一致。

h)合同中明確云平臺服務商具有根據(jù)甲方業(yè)務需求提供通信傳輸、邊界防護、入侵防范等安全機制的能力；并提供開放接口或開放性安全服務，允許甲方接入第三方安全產品或在云平臺選擇第三方安全服務。

i)合同中明確云平臺服務商具有根據(jù)甲方業(yè)務需求自主設置安全策略集的能力，包括定義訪問路徑、選擇安全組件、配置安全策略。

j)合同中明確云平臺服務商應保證甲方業(yè)務流量與云計算平臺管理流量分離。

k)合同中明確甲乙雙方要根據(jù)各自的職責劃分，收集各自控制部分的審計數(shù)據(jù)并實現(xiàn)各自的集中審計；實現(xiàn)各自控制部分，包括虛擬化網絡、虛擬機、虛擬化安全設備等的運行狀況的集中監(jiān)測。

l)合同中明確只有在甲方授權下，云平臺服務商或第三方才具有甲方數(shù)據(jù)的管理權限。

2、與云平臺服務商簽訂服務水平協(xié)議時應注意：

a)服務水平協(xié)議應規(guī)定云服務的各項服務內容和具體指標、服務期限、雙方簽字或蓋章等。

b)服務水平協(xié)議中應規(guī)定云服務商的權限與責任，包括管理范圍、職責劃分、訪問授權、隱私保護、行為準則、違約責任等；

c)服務水平協(xié)議中應規(guī)定服務合約到期時，完整地返還云服務客戶信息，并承諾相關信息在云計算平臺上清除；

3、與云平臺服務商簽訂保密協(xié)議時應注意：

a) 保密協(xié)議中應要求其不得泄露云服務客戶數(shù)據(jù)和業(yè)務系統(tǒng)的相關重要信息；

b) 應要求云平臺服務商對可能接觸到自己應用系統(tǒng)數(shù)據(jù)的員工進行背景調查，并簽署保密協(xié)議。

5

等保2.0云租戶等級測評和測評打分

    云上系統(tǒng)由于已經由云平臺服務商提供基本物理環(huán)境和網絡環(huán)境，根據(jù)IAAS模式下云服務商與租戶的責任劃分，故云上信息系統(tǒng)的測評層面主要包括網絡和通信安全、設備和計算安全、應用和數(shù)據(jù)安全、安全建設管理、安全運維管理五個層面。測評對象包括網絡安全措施、主機（操作系統(tǒng)、數(shù)據(jù)庫）、應用（應用軟件、中間件）、數(shù)據(jù)、管理等。測評方法主要為訪談、檢查、測試，測評重點為遠程工具測試和滲透測試。

    云上系統(tǒng)的報告打分與傳統(tǒng)打分方法不一樣，在對云服務客戶業(yè)務應用系統(tǒng)測評時打分不需要與云計算平臺結果共同計算，但要將云平臺測評得分放在最終得分一欄，如云上信息系統(tǒng)的得分為80分，云計算平臺的得分為90分，則云租戶云上信息系統(tǒng)的等級測評報告得分為（80，90）。

6

等保2.0云上信息系統(tǒng)應達到的重點要求

云上系統(tǒng)等級測評重點要求如下：

（一）網絡和通信安全方面

1、邊界防護：購買云平臺的虛擬防火墻進行邊界防護。

2、訪問控制：購買云平臺的虛擬防火墻，與云平臺上其它系統(tǒng)進行了隔離，如系統(tǒng)中有多臺虛擬機要進行通信，設置不同虛擬機之間的訪問控制策略。

3、入侵防范：購買云平臺的防入侵模塊或其它防入侵措施，如可用性要求高購買抗DDOS模塊。

4、安全審計：開啟安全設備、操作系統(tǒng)、數(shù)據(jù)庫、中間件日志，設置日志服務器對設備日志進行統(tǒng)一收集（或購買云平臺的日志收集存儲和審計服務），至少保存半年。

5、集中監(jiān)控：對虛擬機、虛擬化安全設備等的運行狀況的集中監(jiān)測。

（二）設備和計算安全方面（針對安全措施、操作系統(tǒng)、數(shù)據(jù)庫、中間件等）

1、身份鑒別

1）設置用戶名口令：對操作系統(tǒng)設置用戶名和密碼。

2）啟用密碼復雜度策略：登錄口令應由數(shù)字、字母、特殊字符三種中的兩種或兩種以上構成，長度不得小于8位，至少每季度更換一次。

3）雙因子鑒別：采用兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用動態(tài)口令、密碼技術或生物技術來實現(xiàn)。

4）遠程管理加密：windows更改遠程桌面端口，開啟SSL加密遠程登錄。linux關閉telnet服務，使用SSH登錄。

5）登錄失敗處理：應帳戶鎖定策略，建設設定登錄失敗次數(shù)5次將鎖定30分鐘；

2、訪問控制

1）權限分離：應根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶的權限分離，僅授予管理用戶所需的最小權限；

2）配置訪問控制策略：應由授權主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則；訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數(shù)據(jù)庫表級； 

3）嚴格限制默認帳戶的訪問權限：重命名系統(tǒng)默認帳戶，修改這些帳戶的默認口令；

4）及時刪除多余的、過期的帳戶：避免共享帳戶的存在。

3、安全審計

1）啟用審計功能：開啟審計策略，審計內容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內重要的安全相關事件。

2）審計記錄備份：對審計記錄進行保護，定期備份，審計記錄的留存時間至少保存半年，避免受到未預期的刪除、修改或覆蓋等。

4、入侵防范

1）最小安裝：操作系統(tǒng)應遵循最小安裝的原則，僅安裝需要的組件和應用程序，關閉不需要的系統(tǒng)服務、默認共享和高危端口。

2）及時修補漏洞：能發(fā)現(xiàn)可能存在的漏洞，并在經過充分測試評估后，及時修補漏洞。

3）入侵檢測：安裝入侵檢測/防御軟件，能夠檢測到對重要節(jié)點進行入侵的行為，并在發(fā)生嚴重入侵事件時提供報警。

4）終端登錄地址限制： 通過設定終端接入方式或網絡地址范圍對通過網絡進行管理的管理終端進行限制。

5、惡意代碼防范

安裝防病毒軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；或采取其它免受惡意代碼攻擊的技術措施或可信驗證機制。

除以上要求外，中間件還需重點考慮以下要求：

1）網站目錄除SYSTEM用戶和administrators組有完全控制權限外，其余用戶和組都只應設置為讀取和執(zhí)行權限。

2）網站上傳目錄和數(shù)據(jù)庫目錄一般需要分配“寫入”權限，但一定不要分配執(zhí)行權限（原則：目錄有寫入權限，一定不要分配執(zhí)行權限；目錄有執(zhí)行權限，一定不要分配寫入權限）

3）沒有地址訪問限制需求或有地址訪問限制需求，對訪問web的IP地址進行了限制（重點：網站配置文件web.config、網站后臺目錄、數(shù)據(jù)庫文件存放、審計日志文件目錄）

（二）應用和數(shù)據(jù)安全方面（針對應用程序和數(shù)據(jù)）

1、應用軟件

需保證應用軟件具備以下安全功能且注重代碼安全開發(fā)，進行安全測試確保不存在代碼安全漏洞。

應具備的安全功能如下：

2、數(shù)據(jù)備份

應在本地保存其業(yè)務數(shù)據(jù)的備份；重要數(shù)據(jù)實時備份。

    （注：以上為以三級為例的重點要求，滿足以上要求并不能代表能滿足等級保護三級要求的所有條款。）