《信息安全技术 云计算服务安全指南》解读与实施

GB/T 31167-2014《信息安全技术 云计算服务安全指南》是我国**批正式发布的云计算服务安全相关的国家标准之一，本书作为其官方配套解读，由国家标准编制组组长陈兴蜀教授主笔，介绍标准中各项条款的内容、含义及实施途径等，并做了合理的延伸和补充，方便标准使用者充分理解各项条款的具体要求并正确加以应用，从而保障云计算服务中数据和业务的安全性。

本书可供政府部门和重点行业的信息技术管理者、云服务商的管理和技术人员、第三方测评机构以及关注云计算安全标准的研究学者和技术管理人员查阅参考。

读者在购买阅读的过程中，若发现存在图书印制、装帧等方面的问题，或者对本书有您个人的理解和意见，可直接联系科学出版社编辑王玮，邮箱：[email protected]。

 

2007年，云计算这一新兴名词风靡IT界，国内外研究机构、IT界商业巨头纷纷投入云计算研究。云计算服务帮助用户获取动态、按需分配的计算资源，成为广大企业和个人用户简单高效的IT解决方案。

然而，云计算需要采用虚拟化技术、分布式计算、负载均衡等大量技术实现资源的按需供给，庞大且复杂的系统对数据保护带来一些特殊困难。信息安全问题逐渐凸显，成为国际众多学者的重点研究领域，

国家标准GB/T 31167-2014《信息安全技术 云计算服务安全指南》关注云计算服务的安全管理，是云计算服务安全审查的系列标准之一。为了帮助读者学习和理解GB/T 31167-2014标准文本，推进国家标准的贯彻与实施，标准编制组组织编写了本配套解读《国家标准GB/T 31167 -2014〈信息安全技术 云计算服务安全指南〉解读与实施》

陈兴蜀，女，博士。四川大学教授、博士生导师。

全国信息安全标准化技术委员会委员，*信息安全教学指导委员会委员，四川省计算机学会副秘书长、常务理事。

四川大学计算机学院网络与可信计算研究所所长，主要从事计算机网络、信息系统、云计算等的信息安全研究和教学工作，主持了20多项国家及省部级课题，发表论文70余篇。担任GB/T 31167-2014《信息安全技术 云计算服务安全指南》标准编制组组长。

罗永刚

罗永刚，男，四川大学计算机学院博士研究生，先后在四川大学电子信息学院和计算机学院获得学士与硕士学位。主要研究方向为大数据、云计算及安全，是信息安全国家标准GB/T 31167-2014《信息安全技术 云计算服务安全指南》的主要编制人员。先后参与“P2P安全标准项目”、“云计算安全指标体系”、“政府部门云计算安全要求”等项目。在大数据处理和IaaS等领域具有较丰富的理论和实践经验。

罗锋盈

罗锋盈，女，中国电子技术标准化研究院信息安全研究中心副主任，全国信息安全标准化技术委员会秘书处秘书，从事信息安全标准化研究工作10余年，主持编制信息安全国家标准近10项，参与《国家信息安全标准化“十一五”规划》制订工作，是《国家信息安全标准化“十二五”规划》执笔人之一。

章  概述
  节  编制背景
  第二节  适用范围
  第三节  规范性引用文件
  第四节  术语和定义
第二章  云计算概述
  节  云计算的主要特征
  第二节  服务模式
  第三节  部署模式
  第四节  云计算的优势
第三章  云计算的风险管理
  节  概述
  第二节  云计算安全风险
  第三节  云计算服务安全管理的主要角色及责任
  第四节  云计算服务的信息安全管理基本要求
  第五节  云计算服务生命周期
第四章  规划准备
  节  概述
  第二节  评估效益
  第三节  分类政府信息
  第四节  分类政府业务
  第五节  确定优先级
  第六节  安全保护要求
  第七节  需求分析
  第八节  形成决策报告
第五章  选择服务商与部署
  节  云服务商安全能力要求
  第二节  确定云服务商
  第三节  合同中的安全考虑
  第四节  部署
第六章  运行监管
  节  概述
  第二节  运行监管的角色与责任
  第三节  客户自身的运行监管
  第四节  对云服务商的运行监管
第七章  退出服务
  节  退出要求
  第二节  确定数据移交范围
  第三节  验证数据的完整性
  第四节  安全删除数据
主要参考文献

??

章概述节编制背景【标准条款】引言云计算是一种计算资源的新型利用模式，客户以购买服务的方式，通过网络获得计算、存储、软件等不同类型的资源。在云计算模式下，使用者不需要自己建设数据中心、购买软硬件资源，避免了前期基础设施的大量投入，仅需较少的使用成本即可获得优质的信息技术(IT)资源和服务。云计算还处于不断发展阶段，技术架构复杂，采用社会化的云计算服务，使用者的数据和业务从自己的数据中心转移到云服务商的平台中，大量数据集中，使云计算面临新的安全风险。当政府部门采用云计算服务，尤其是社会化的云计算服务时，应特别关注安全问题。本标准指导政府部门做好采用云计算服务的前期分析和规划，选择合适的云服务商，对云计算服务进行运行监管，考虑退出云计算服务和更换云服务商的安全风险。本标准指导政府部门在云计算服务的生命周期采取相应的安全技术和管理措施，保障数据和业务的安全，安全使用云计算服务。本标准与GB/T 31168—2014《信息安全技术云计算服务安全能力要求》构成了云计算服务安全管理的基础标准。本标准面向政府部门，提出了使用云计算服务时的信息安全管理和技术要求；GB/T 31168—2014面向云服务商，提出了为政府部门提供服务时应该具备的信息安全能力要求。 【条款解读1】 一、目的和意图GB/T 31167—2014的引言简单地说明了本标准的编制背景，简要阐述了云计算的主要优势、对信息安全带来的挑战，以及云计算服务安全管理的必要性、实施步骤与主要目的。 二、解释和示例2007年，云计算这一新兴名词风靡IT界，国内外掀起云计算研究热潮。国内外研究机构、IT界商业巨头纷纷迅速投入云计算研究，对云计算发展起到了推波助澜的作用。业界对云计算的定义众说纷纭，各家企业竞相推出各具特色的云计算平台。目前，云计算研究热潮仍在持续，运用机构和企业日益增多。业界对云计算说法各异，但是有一点是相同的，云计算应该为用户提供方便的、可随时获取的、动态的计算资源。这也正是云计算掀起热潮的根本原因，它为广大用户描绘了一幅极具吸引力的美好蓝图：云计算提供无处不在的计算资源，为用户提供动态的、按需分配的计算资源，用户可以方便地从云计算服务中获取任何需要的IT资源。这正是目前广大企业和个人用户急切寻求的简单高效的IT解决方案，这种解决方案能够根据需要提供弹性的计算资源，满足用户多样化的需求。美国政府于2010年12月9日发布了云计算战略，颁布了《改革联邦信息技术管理的25点实施规划》，主要内容如下：①从本文颁布之日起的18个月内，调整或终止至少1/3正在进行的IT项目；②确定“云计算优先”战略，每个部门必须在3个月之内确定3个迁移到云计算平台的IT服务，在12个月之内完成1个服务的迁移，在18个月之内保证迁移服务数量达到2个；③到2015年，至少减少800个联邦数据中心(截至2010年，美国联邦数据中心已有1100个以上)；④对新的IT项目进行严格审批，加强项目管理。2011年2月8日，美国发布了联邦云计算战略，期望通过云计算来提高联邦信息资源的利用效率，主要内容有：①清楚阐述云计算带来的利益以及需要考虑和权衡的问题；②提供决策框架与案例，以支持政府部门业务向云计算平台迁移；③进一步加强云计算设施的部署力度；④制定联邦政府的行动计划，明确相关部门在加速采用云计算的过程中应采取的行动、应承担的角色和职责。云计算会带来一些新的信息安全风险。云计算需要采用虚拟化技术、分布式计算、负载均衡等大量技术实现资源的按需供给，只有云计算规模达到“足够”的水平，才能获得规模经济所带来的低成本效益。而庞大且复杂的系统会给信息安全带来不利影响。为了提高资源利用效率、降低资源使用成本，云计算会让不同的客户共享相同的软硬件资源，如在同一台服务器上虚拟化出多个虚拟机供若干客户使用，多个客户共享一台物理服务器的资源(CPU、内存、硬盘、网卡等)，尽管不同的虚拟化软件采用不同的隔离机制，对不同客户的资源采用软件隔离机制，但是软件隔离是否能做到安全隔离目前还没有明确的结论。云计算为数据保护带来一些特殊困难。客户在采用云计算服务，尤其是社会化的云计算服务时，所需的软硬件资源由云服务商拥有、管理和维护。将数据存放在云计算平台后，客户很难准确得知数据及副本的存储情况、数据及副本(可能有多个副本)保存在什么位置(包括哪个数据中心、数据中心的地理位置)等信息。客户也很难准确得知客户数据在处理和传输过程中经过哪些链路，例如数据在传输过程中是否经过其他国家等。云服务商可能会采用一些专有的技术或接口保存和处理客户数据，当客户不打算继续采用云计算服务时，如果不能以较低的代价获得数据，则客户可能会面临云服务商提出的各种不平等的条件，甚至被云服务商以数据相要挟。云计算会给客户业务持续性带来新的问题。与客户自建信息系统不同，客户业务的正常运行需要云服务商持续提供云计算服务，当云服务中断时，客户的业务功能也不得不中断。如果云服务商由于各种原因不再提供客户所需的云计算服务，构建在该云计算服务之上的客户业务也必须中断。在客户自建信息系统的情况下，客户购买了提供商的各种软硬件产品，自己负责运营维护。即使提供商不再提供这些产品或技术支持，客户的信息系统仍然可以正常运行，不会给客户的业务持续性带来重大影响。云计算市场还处于不断发展之中，在此过程中必然会出现云服务商倒闭等情况，因此，客户应首先考虑市场相对成熟的云计算服务。一个云计算服务将会为大量的客户提供相同的服务，若每个客户在采购该云计算服务时均执行一系列的安全评估，这种重复的评估工作不仅会导致不必要的资源浪费，也会给云服务商带来沉重的负担。因此对于政府部门的客户，应该采用一种统一的方法对云服务商所提供的云计算服务进行安全评估，并将评估结果共享给不同的客户，客户在采购云计算服务时只需要对自身特殊的安全要求进行评估，这样可以大大减少安全评估工作的工作量。美国为了方便联邦政府部门安全地采用云计算服务，于2012年6月启动了“联邦风险和授权管理项目”(federal risk and authorization management program，FedRAMP)。FedRAMP的核心思想是联邦政府统一对计划为联邦政府部门提供云计算服务的云服务商进行安全评估，将评估结果保存到统一的信息库中，联邦政府部门在需要采购云计算服务时，从该信息库中获取评估结果，并根据本部门自身情况添加或删除一些安全需求，再针对自身的特殊安全需求开展安全评估，从而大大减少了联邦政府部门对云计算服务安全评估的重复工作。按照FedRAMP的要求FedRAMP的运行过程可以参考FedRAMP发布的相关文档，其官方网络站点为http://cloud.cio.gov/fedramp。，截至2014年6月，已有12个云计算服务通过了联合授权委员会(Joint Authorizaiton Board，JAB)的认可，5个云计算服务获得了联邦政府部门的认可。综上所述，云计算服务可以使客户快速获得所需资源，不需要提前对资源需求作详细规划，让客户将注意力集中到提高业务功能和创新能力上。正是由于云计算能给客户带来巨大的成本效益，因此各国政府、企业等均在积极实施、推进云计算使用计划。但同时还需要看到云计算也带来一些新的安全挑战，比如数据保护变得更加困难，客户的业务持续性更依赖于云服务商等。因此，采用云计算服务时需要认真规划、合理安排、加强管理，才能确保客户数据和业务在云计算平台上的安全。本标准根据采用云计算服务的生命周期，将客户采用云计算服务划分为规划与准备、选择服务商与部署、运行监管、退出服务4个阶段。在规划与准备阶段，客户应该首先确定哪些数据与业务已具有使用云计算服务的条件，哪些数据与业务使用云计算服务的条件还不成熟。对于可以使用云计算服务的数据与业务，客户应该首先确定其安全需求。客户制定安全需求时应根据本标准中6.3节和6.4节的要求确定数据和业务的类型，随后根据本标准6.6节的要求确定云计算平台的安全保护要求，不同安全保护强度的云计算平台的安全要求参考标准GB/T 31168—2014。客户还需要根据自身业务的特点考虑特殊安全要求。当客户确定采用云计算服务后，应该考虑采用通过了安全审查的云计算服务，并与云服务商协商合同细节。选择服务商与部署阶段的主要工作是协商云计算服务采购合同和将数据及业务部署到云计算平台中。客户数据和业务部署到云计算平台后，要通过测试才能正式使用云计算服务。为确保云计算服务在整个服务过程中的安全态势能持续满足客户要求，需要对云计算服务进行运行监管。当客户不再使用云计算服务或需要将数据和业务迁移到其他云服务商的云计算平台时，特别需要注意明确云服务商归还客户的数据范围、数据格式等，为了避免数据泄漏，客户应要求云服务商对保存客户数据的介质进行适当的处理，保证数据安全。第二节适用范围 【标准条款】 1范围本标准描述了云计算可能面临的主要安全风险，提出了政府部门采用云计算服务的安全管理基本要求，及云计算服务的生命周期各阶段的安全管理和技术要求。本标准为政府部门采用云计算服务，特别是为采用社会化的云计算服务提供全生命周期的安全指导，适用于政府部门采购和使用云计算服务，也可供重点行业和其他企事业单位参考。 【条款解读2】 一、目的和意图界定GB/T 31167—2014的适用范围。 二、解释和示例GB/T 31167—2014从涵盖内容和目标对象两个方面界定了其适用范围：(1)标准将客户采用云计算服务的生命周期划分为4个关键阶段，阐述了各阶段需要注意的安全问题以及应采取的技术和管理措施，标准有助于客户明确各个阶段的关键环节，使客户有计划、有步骤地完成云计算服务的采用过程，确保客户数据和业务在云计算环境中的安全。(2)拟采用云计算服务的政府部门的信息安全人员、管理人员是GB/T 31167—2014的主要目标对象，其他目标对象还包括重点行业或企事业单位的云计算服务采购决策人员及信息安全人员、云服务商、第三方测评机构人员、希望了解云计算服务安全和管理的人员等。社会化的云计算服务的解释参考P38【条款解读26】。第三节规范性引用文件 【标准条款】 2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是标注日期的引用文件，仅所注日期的版本适用于本文件。凡是未标注日期的引用文件，其版本(包括所有的修改单)适用于本文件。GB/T 25069—2010信息安全技术术语GB/T 31168—2014信息安全技术云计算服务安全能力要求 【条款解读3】 一、目的和意图提供GB/T 31167—2014正文中所引用的相关标准或规范性文件的信息。 二、解释和示例GB/T 31167—2014列出了三项引用的国家标准，其中：(1)国家标准GB/T 25069—2010《信息安全技术术语》是我国自主制定的信息安全标准，于2010年9月2日正式发布，并于2011年2月1日正式实施。GB/T 25069—2010界定了信息安全技术领域相关的概念、术语和定义，并明确了各术语词条之间的关系。(2)国家标准GB/T 29245—2012《信息安全技术政府部门信息安全管理基本要求》是我国自主制定的信息安全标准，于2012年12月31日正式发布，并于2013年6月1日正式实施。GB/T 29245—2012从适用范围、信息安全组织管理、日常信息安全管理、信息安全防护管理、信息安全应急管理、信息安全教育培训、信息安全检查7个方面规定了政府部门信息安全管理基本要求，用于指导各级政府部门的信息安全管理工作以及信息安全检查工作，保障政府机关各部门、各单位信息和信息系统的安全。(3)国标GB/T 31168—2014《信息安全技术云计算服务安全能力要求》在P1【条款解读1】中已说明。第四节术语和定义 【标准条款】 3术语和定义GB/T 25069—2010中确立的以及下列术语和定义适用于本指导性技术文件。3.1云计算(cloud computing)通过网络访问可扩展的、灵活的