云计算服务安全能力要求内容.doc

《云计算服务安全能力要求内容.doc》由会员分享，可在线阅读，更多相关《云计算服务安全能力要求内容.doc（48页珍藏版）》请在三一办公上搜索。

1、云计算服务安全能力要求1 围本标准规定了以社会化方式提供云计算服务的服务商应满足的信息安全基本要求。本标准适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务，也适用于对云计算服务进行安全审查。2 规性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T XXXXX-XXXX 信息安全技术 云计算服务安全管理指南GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求GB 50174-2008 电子信息系统机房设计规GB/T 9361-2011 计

2、算机场地安全要求3 术语和定义GB/T 25069-2010、GB/T XXXXX-XXXX确立的以及下列术语和定义适用于本标准。3.1云计算 cloud computing云计算是一种通过网络便捷地访问海量计算资源（如网络、服务器、存储器、应用和服务）的模式，使客户只需极少的管理工作或云服务商的配合即可实现计算资源的快速获得和释放。3.2云服务商 cloud service provider为个人、组织提供云计算服务的企事业单位。云服务商管理、运营支撑云计算服务的计算基础设施及软件，通过网络将云计算服务交付给客户。3.3客户 cloud consumer使用云计算平台处理、存储数据和开展业务

3、的组织。3.4第三方评估机构 third party assessment organization独立于云服务商和客户的专业评估机构。3.5云基础设施 cloud infrastructure云基础设施包括硬件资源层和资源抽象控制层。硬件资源层包括所有的物理计算资源，主要包括服务器（CPU、存等）、存储组件（硬盘等）、网络组件（路由器、防火墙、交换机、网络和接口等）及其他物理计算基础元素。资源抽象控制层由部署在硬件资源层之上，对物理计算资源进行软件抽象的系统组件构成，云服务商用这些组件提供和管理物理硬件资源的访问。3.6云计算平台 cloud platform由云服务商提供的，包括向客户提供

4、服务的云基础设施及其上的服务层软件，即指提供云计算服务的软硬件集合。3.7云计算环境 cloud environment包括由云服务商提供的云基础设施，及客户在云基础设施之上部署的软件及相关组件的集合。4 概述4.1 云计算的安全责任云计算服务的安全性由云服务商和客户共同保障。在某些情况下，云服务商还要依靠其他组织提供计算资源和服务，其他组织也应承担信息安全责任。因此，云计算安全措施的实施主体有多个，各类主体的安全责任因不同的云计算服务模式而异。图4-1 云计算服务模式与控制围的关系软件即服务（SaaS）、平台即服务（PaaS）、基础设施即服务（IaaS）是3种基本的云计算服务模式。如图4-1

5、所示，在不同的服务模式中，云服务商和客户对计算资源拥有不同的控制围，控制围则决定了安全责任的边界。云计算的物理资源层、资源抽象和控制层都处于云服务商的完全控制下，所有安全责任由云服务商承担。服务层的安全责任责则由双方共同承担，越靠近底层（即IaaS）的云计算服务，客户的管理和安全责任越大；反之，云服务商的管理和安全责任越大。在SaaS中，云服务商需要承担物理资源层、资源抽象和控制层、操作系统、应用程序等的相关责任。客户则需要承担自身数据安全、客户端安全等的相关责任；在PaaS中，云服务商需要承担物理资源层、资源抽象和控制层、操作系统、开发平台等的相关责任。客户则需要承担应用部署及管理，以及Sa

6、aS中客户应承担的相关责任；IaaS中，云服务商需要承担物理资源层、资源抽象和控制层等的相关责任，客户则需要承担操作系统部署及管理，以及PaaS、SaaS中客户应承担的相关责任。考虑到云服务商可能还需要其他组织提供的服务，如SaaS或PaaS服务提供商可能依赖于IaaS服务提供商的基础资源服务。在这种情况下，一些安全措施由其他组织提供。因此，云计算安全措施的实施责任有4类，如表4-1所示。表4-1 云计算安全措施的实施责任责任示例云服务商承担在SaaS模式中，云服务商对平台上安装的软件进行安全升级。客户承担在IaaS模式中，客户对其安装的应用中的用户行为进行审计。云服务商和客户共同承担云服务商

7、的应急演练计划需要与客户的信息安全应急演练计划相协调。在实施应急演练时，需要客户与云服务商相互配合。其他组织承担有的SaaS服务提供商需要IaaS服务提供商的基础设施服务，相应的物理与环境保护措施应由IasS服务提供商予以实施。本标准不对客户承担的安全责任提出要求。客户应参照云计算服务安全指南及其他国家、行业有关信息安全的标准规落实其安全责任。如云服务商依赖于其他组织提供的服务或产品，则其所承担的信息安全责任直接或间接地转移至其他组织，云服务商应以合同或其他方式对相应安全责任进行规定并予以落实。但是，云服务商仍是客户监管的直接对象。4.2 云计算安全措施的作用围在同一个云计算平台上，可能有多个

8、应用系统，某些信息安全措施应作用于整个云计算平台，平台上每个具体的应用系统直接继承该安全措施即可。例如，云服务商的人员安全措施即适用于云计算平台上每一个应用系统。这类安全措施称为通用安全措施。某些安全措施则仅是针对特定的应用，例如云计算平台上电子系统的访问控制措施与字处理系统的访问控制措施可能不同。这类安全措施称为专用安全措施。在特殊情况下，某些安全措施的一部分属于通用安全措施，另一部分则属于专用安全措施，例如云计算平台上电子系统的应急响应计划既要利用云服务商的整体应急响应资源（如应急支援队伍），也要针对电子系统的备份与恢复作出专门考虑，这类安全措施称为混合安全措施。云服务商申请为客户提供云计

9、算服务时，所申请的每一类云计算应用均应实现本标准规定的安全要求，并以通用安全措施、专用安全措施或混合安全措施的形式，标明所采取的每项安全措施的作用围。4.3 安全要求的分类本标准对云服务商提出了基本安全能力要求，反映了云服务商在保障云计算平台上客户信息和业务信息安全时应具有的基本能力。这些安全要求分为10类，每一类安全要求包含若干项具体要求。10类安全要求分别是：系统开发与供应链安全：云服务商应在开发云计算平台时对其提供充分保护，为其配置足够的资源，并充分考虑信息安全需求。云服务商确保其下级供应商采取了必要的安全措施。云服务商还应为客户提供与安全措施有关的文档和信息，配合客户完成对信息系统和业

10、务的管理。系统与通信保护：云服务商应在云计算平台的外部边界和部关键边界上监视、控制和保护网络通信，并采用结构化设计、软件开发技术和软件工程方法有效保护云计算平台的安全性。访问控制：云服务商应严格保护云计算平台的客户数据和用户隐私，在授权信息系统用户及其进程、设备（包括其他信息系统的设备）访问云计算平台之前，应对其进行身份标识及鉴别，并限制授权用户可执行的操作和使用的功能。配置管理：云服务商应对云计算平台进行配置管理，在系统生命周期建立和维护云计算平台（包括硬件、软件、文档等）的基线配置和详细清单，并设置和实现云计算平台中各类产品的安全配置参数。维护：云服务商应定期维护云计算平台设施和软件系统，

11、并对维护所使用的工具、技术、机制以及维护人员进行有效的控制，且做好相关记录。应急响应与灾备：云服务商应为云计算平台制定应急响应计划，并定期演练，确保在紧急情况下重要信息资源的可用性。云服务商应建立事件处理计划，包括对事件的预防、检测、分析、控制、恢复及用户响应活动等，对事件进行跟踪、记录并向相关人员报告。服务商应具备灾难恢复能力，建立必要的备份设施，确保客户业务可持续。审计：云服务商应根据安全需求和客户要求，制定可审计事件清单，明确审计记录容，实施审计并妥善保存审计记录，对审计记录进行定期分析和审查，还应防对审计记录的未授权访问、篡改和删除行为。风险评估与持续监控：云服务商应定期或在威胁环境发

12、生变化时，对云计算平台进行风险评估，确保云计算平台的安全风险处于可接受水平。服务商应制定监控目标清单，对目标进行持续安全监控，并在异常和非授权情况发生时发出警报。安全组织与人员：云服务商应确保能够接触客户信息或业务的各类人员（包括供应商人员）上岗时具备履行其信息安全责任的素质和能力，在授予相关人员访问权限之前对其进行审查并定期复查，在人员调动或离职时履行安全程序，对于违反信息安全规定的人员进行处罚。物理与环境保护：云服务商应确保机房位于中国境，机房选址、设计、供电、消防、温湿度控制等符合相关标准的要求。云服务商应对机房进行监控，严格限制各类人员与运行中的云计算平台设备进行物理接触，确需接触的，

13、需通过云服务商的明确授权。4.4 安全要求的表述形式本标准将云计算服务安全能力要求分为一般要求和增强要求。组织应对拟迁移至云计算平台的信息和业务系统进行分析，按照信息的敏感程度和业务的重要程度选择相应安全能力水平的云服务商。GBXXXXX-XXXX云计算服务安全指南给出了数据、业务类型与安全保护要求之间的对应关系。本标准中每一项安全要求均以一般要求和增强要求的形式给出。增强要对一般要求的补充和强化。在实现增强要求时，一般要求应首先得到满足。有的安全要求只列出了增强要求，一般要求标为“无”。这表明具有一般安全能力的云服务商可以不实现此项安全要求。即使对同等安全能力水平的云服务商，其实现安全要求的

14、方式也可能会有差异。为此，本标准在描述安全要求时引入了“赋值”和“选择”这两种变量，并以赋值：和选择：；的形式给出。“赋值”表示云服务商在实现安全要求时，要由云服务商定义具体的数值或容。“选择”表示云服务商在实现安全要求时，应选择一个给定的数值或容。云服务商在向客户提供云计算服务前，应确定并实现“赋值”和“选择”的具体数值或容。“赋值”和“选择”示例如下：云服务商应在赋值：云服务商定义的时间段后，自动选择：删除；禁用临时和应急账号。4.5 安全要求的调整本标准提出的安全要通常情况下云服务商应具备的基本安全能力。在具体的应用场景下，云服务商有可能需要对这些安全要求进行调整。调整的方式有：删减：未

15、实现某项安全要求，或只实现了某项安全要求的一部分。补充：某项基本安全要求不足以满足云服务商的特定安全目标，故增加新的安全要求，或对标准中规定的某项安全要求进行强化。替代：使用其他安全要求替代标准中规定的某项安全要求，以满足相同的安全目标。调整的原因有多种，例如：已知某些目标客户有特殊的需求。云服务商的安全责任因SaaS、PaaS和IaaS这3种不同的云计算模式而不同，云服务商为了实现本标准中规定的安全要求，所选择的安全措施的实施围、实施强度可能不同。出于成本等因素考虑，云服务商可能希望实现替代性的安全要求。云服务商希望表现更强的安全能力，以便于吸引客户。4.6 安全计划为了建立向客户提供安全的

16、云计算服务的能力，云服务商应制定安全计划，详细说明对本标准提出的安全能力要求的实现情况。云服务商应在安全计划中对“赋值”和“选择”给出具体的数值或容，必要时还应对本标准提出的安全要求进行调整。当云计算平台上有多个应用系统时，云服务商应分别制定每个系统的安全计划。安全计划包括但不限于以下容：云计算平台的基本描述，包括：l 系统拓扑；l 系统运营单位；l 与外部系统的互联情况；l 云服务模式和部署模式；l 系统软硬件清单；l 数据流等。为实现本标准规定的安全要求而采取的安全措施的具体情况。对每项安全要求，云服务商均应在以下5个选项中选择其一作为对实现情况的整体描述，并针对性地提供详细说明：l 满足

17、，说明为满足安全要求而采取的具体措施；l 部分满足，对已满足的安全要求应说明所采取的具体措施，对不满足的安全要求应说明理由；l 计划满足，说明时间进度安排以及在此期间的风险管控措施；l 替代，说明替代理由并说明所实现的安全目标与原安全要求之间的关系；l 不满足，说明理由。为实现本标准提出的安全要求而采取的安全措施的作用围。对通用安全措施或混合安全措施中的通用部分，可只在其中一个应用系统的安全计划中说明该措施的实施情况，其余安全计划中不再详细说明，或针对通用安全措施制定一份专门的安全计划。对云服务商新增的安全目标及对应的安全措施的说明。对客户安全责任的说明，以及对客户应实施的安全措施的建议。附录

18、A给出了安全计划的模板。4.7 本标准的结构本标准共包括10个安全要求章节（第5章至第14章）。每个章节名称及其所含主要安全要求的数目是： 第5章 系统开发与供应链安全（17个）第6章 系统与通信保护（14个）第7章 访问控制（27个）第8章 配置管理（7个）第9章 维护（9个）第10章 应急响应与灾备（13个）第11章 审计（11个）第12章 风险评估与持续监控（6个）第13章 安全组织与人员（14个）第14章 物理与环境保护（15个）本标准还包括附录A：安全计划模板。注：本标准中章节的顺序不表明其重要性。另外，本标准的其他排列也没有优先顺序，除非特别注明。5 系统开发与供应链安全5.1 策

19、略与规程5.1.1 一般要求云服务商应：a）制定如下策略与规程，并分发至赋值：云服务商定义的人员或角色：1）系统开发与供应链安全策略（包括采购策略等），涉及以下容：目的、围、角色、责任、管理层承诺、部协调、合规性。2）相关规程，以推动系统开发与供应链安全策略及与有关安全措施的实施。b）按照赋值：云服务商定义的频率审查和更新系统开发与供应链安全策略及相关规程。5.1.2 增强要求无。5.2 资源分配5.2.1 一般要求云服务商应：a）在系统建设规划中考虑系统的安全需求。b）确定并分配保护信息系统和服务所需的资源（如有关资金、场地、人力等），并在预算管理过程中予以重点考虑。c）在工作计划和预算文件

20、中，将信息安全作为单列项予以说明。5.2.2 增强要求无。5.3 系统生命周期5.3.1 一般要求云服务商应：a）将信息安全纳入赋值：云服务商定义的系统生命周期，确保信息安全措施同步规划、同步建设、同步运行。b）确定整个信息系统生命周期的信息安全角色和责任。c）将信息安全角色明确至相应责任人。d）将信息安全风险管理过程集成到系统生命周期活动中。5.3.2 增强要求无。5.4 采购过程5.4.1 一般要求云服务商应根据相关法律、法规、政策和标准的要求，以及可能的客户需求，并在风险评估的基础上，将以下容列入信息系统采购合同：a）安全功能要求。b）安全强度要求。c）安全保障要求。d）安全相关文档要求

21、。e）要求。f）开发环境和预期运行环境描述。g）验收准则。h）强制配置要求，如功能、端口、协议和服务。5.4.2 增强要求云服务商应：a）提供或要求信息系统、组件或服务的开发商提供所使用的安全措施的功能描述，如对外提供的安全功能或机制。b）提供或要求信息系统、组件或服务的开发商提供所使用的安全措施的设计和实现信息，包括：选择（可多选）：安全相关的外部系统的接口；高层设计；低层设计；源代码或硬件原理图；赋值：云服务商定义的其他设计或实现信息 ，其详细程度应满足赋值：云服务商定义的详细程度。c）提供或要求信息系统、组件或服务的开发商提供证据，证明其在系统生命周期中使用了赋值：云服务商定义的系统工程

22、方法、软件开发方法、测试技术和质量控制过程。d）实现或要求信息系统、组件或服务的开发商交付信息系统、组件或服务时实现赋值：云服务商定义的安全配置，且这些安全配置应作为信息系统、组件或服务进行重新安装或升级时的缺省配置。e）要求信息系统、组件或服务的开发商制定对安全措施有效性的持续监控计划，其详细程度满足赋值：云服务商定义的详细程度。f）说明或要求信息系统、组件或服务的开发商在系统生命周期的早期阶段说明系统中的功能、端口、协议和服务，云服务商应禁用不必要或高风险的功能、端口、协议或服务。5.5 系统文档5.5.1 一般要求云服务商应：a）制定或要求信息系统、组件或服务的开发商制定管理员文档，且涵

23、盖以下信息：1）系统、组件或服务的安全配置，以及安装和运行说明。2）安全特性或功能的使用和维护说明。3）与管理功能有关的配置和使用方面的注意事项。b）制定或要求信息系统、组件或服务的开发商制定用户文档，且涵盖以下信息：1）用户可访问的安全功能或机制，以及对如何有效地使用这些安全功能或机制的说明。2）有助于用户以更加安全的方式使用系统、组件或服务的用户交互方法。3）对用户安全责任和注意事项的说明。c）基于风险管理策略，按照要求保护上述文档。d）将上述文档分发至赋值：云服务商定义的人员或角色。5.5.2 增强要求无。5.6 安全工程原则5.6.1 一般要求云服务商应在信息系统的规、设计、开发、实现

24、和修改过程中应用信息系统安全工程原则，包括但不限于以下容：a）实施分层保护。b）建立完善的安全策略、架构和措施，作为设计基础。c）划定物理和逻辑安全边界。d）确保系统开发人员接受了软件开发安全培训。e）进行威胁分析，评估安全风险。f）将风险降低到可接受的水平。5.6.2 增强要求无。5.7 关键性分析5.7.1 一般要求无。5.7.2 增强要求云服务商应在赋值：云服务商定义的系统生命周期中的决策点对赋值：云服务商定义的信息系统、组件或服务进行关键性分析，以确定关键信息系统组件和功能。5.8 外部信息系统服务5.8.1 一般要求云服务商应：a）要求外部信息系统服务提供商遵从并实施云服务商的信息安

25、全要求。b）明确外部信息系统服务提供商的信息安全分工与责任，同时要求外部信息系统服务提供商接受相关客户监管。c）使用赋值：云服务商定义的过程、方法和技术，对外部服务提供商所提供的安全措施的合规性进行持续监控。5.8.2 增强要求云服务商应：a）在采购或外包特定的信息系统服务之前应进行风险评估。b）确保特定的信息系统服务的采购或外包得到赋值：云服务商定义的人员或角色批准。c）要求赋值：云服务商定义的外部信息系统服务的服务提供商明确说明该服务涉及的功能、端口、协议和其他服务。d）基于赋值：云服务商定义的安全要求、属性、因素或者其他条件建立并保持与外部服务提供商的信任关系。e）使用赋值：云服务商定义

26、的安全防护措施，以确保赋值：云服务商定义的外部服务提供商不损害本组织的利益。安全防护措施包括但不限于：1）对所选择的外部服务提供商的人员进行背景审查。2）检查外部服务供应商资本变更记录。3）选择可信赖的服务提供商（如有过良好合作的提供商）。4）定期或不定期检查服务提供商的设施。f）基于赋值：云服务商定义的要求或条件，限制选择：信息处理；信息或数据；信息系统服务 的地点，如本地或境。5.9 开发商安全体系架构5.9.1 一般要求无。5.9.2 增强要求云服务商应：a）制定或要求信息系统、组件或服务的开发商制定设计规和安全架构，且符合下列条件：1）该架构应符合或支持云服务商的安全架构。2）准确完整

27、地描述了所需的安全功能，并且为物理和逻辑组件分配了安全措施。3）说明各项安全功能、机制和服务如何协同工作，以提供完整一致的保护能力。b）说明或要求信息系统、组件或服务的开发商说明与安全相关的硬件、软件和固件。c）创建或要求信息系统、系统组件或信息系统服务的开发商创建非形式化的高层说明书，说明安全相关的硬件、软件和固件的接口，并通过非形式化的演示，说明该高层说明书完全覆盖了与安全相关的硬件、软件和固件的接口。d）在构造安全相关的硬件、软件和固件时，考虑或要求信息系统、组件或服务的开发商考虑便于测试、便于实现最小特权访问控制等因素。5.10 开发过程、标准和工具5.10.1 一般要求无。5.10.

28、2 增强要求云服务商应：a）制定或要求信息系统、组件或服务的开发商制定明确的开发规，在规中明确以下事项：1）所开发系统的安全需求。2）开发过程中使用的标准和工具。3）开发过程中使用的特定工具选项和工具配置。b）采取有关措施，确保开发过程的完整性和工具变更的完整性。c）按照赋值：云服务商定义的频率审查开发过程、标准、工具以及工具选项和配置，判定有关过程、标准、工具以及工具选项和配置是否满足赋值：云服务商定义的安全需求。d）定义或要求信息系统、组件或服务的开发商在开发过程的初始阶段定义质量度量标准，并以选择：赋值：云服务商定义的频率；赋值：云服务商定义的项目审查里程碑；交付时为节点，检查质量度量标

29、准的落实情况。 e）确定或要求信息系统、组件或服务的开发商确定安全问题追踪工具，并在开发过程期间使用。f）要求信息系统、组件或服务的开发商以赋值：云服务商定义的广度和深度为信息系统实施威胁和脆弱性分析。g）实施或要求信息系统、组件或服务的开发商实施清晰的流程，以持续改进开发过程。h）执行或要求信息系统、组件或服务的开发商使用赋值：云服务商定义的工具 执行漏洞分析，明确漏洞被利用的可能性，确定漏洞消减措施，并将工具的输出和分析结果提交给赋值：云服务商定义的人员或角色。i）批准、记录和控制对信息系统、组件或服务的开发和测试环境中真实数据的使用。j）制定或要求信息系统、组件或服务的开发商制定事故应急

30、预案，并将事故应急预案纳入云服务商的事件响应计划中。5.11 开发商配置管理5.11.1 一般要求云服务商应要求信息系统、组件或服务的开发商：a）在系统、组件或服务的选择：设计；开发；实现；运行过程中实施配置管理。b）记录、管理和控制赋值：云服务商定义的配置项的变更的完整性。配置项包括但不限于：形式化模型、功能、高层设计说明书、低层设计说明书、其他设计数据、实施文档、源代码和硬件原理图、目标代码的运行版本、版本对比工具、测试设备和文档。c）得到批准后，才能对所提供的信息、组件或服务进行变更。d）记录对信息系统、组件或服务的变更及其所产生的安全影响。e）跟踪信息系统、组件或服务中的安全缺陷和缺陷

31、解决方案。5.11.2 增强要求云服务商应：a）要求信息系统、组件或服务的开发商提供能够验证软件和固件组件完整性的方法，如哈希算法。b）在没有专用的开发商配置团队支持的情况下，由本单位人员建立相应的配置管理流程。c）要求信息系统、组件或服务的开发商提供对硬件组件进行完整性验证的方法，如防伪标签、可核查序列号、防篡改技术等。d）要求信息系统、组件或服务的开发商，使用工具验证软件或固件源代码以及目标代码的异同，以防止非授权更改。e）要求信息系统、组件或服务的开发商采取有关措施，保障安全相关的硬件、软件和固件的出厂版本与现场运行版本一致，防止非授权更改。f）要求信息系统、组件或服务的开发商采取有关措

32、施，保障安全相关的硬件、软件和固件的现场更新与开发商部版本一致，防止非授权更改。5.12 开发商安全测试和评估5.12.1 一般要求云服务商应要求信息系统、组件或服务的开发商：a） 制定并实施安全评估计划。b）以赋值：云服务商定义的深度和覆盖度执行选择：单元；集成；系统；回归测试或评估。c）提供安全评估计划的实施证明材料，并提供安全测评的结果。d）实施可验证的缺陷修复过程。e）更正在安全测评过程中发现的脆弱性和不足。5.12.2 增强要求云服务商应：a）要求信息系统、组件或服务的开发商在开发阶段使用静态代码分析工具识别常见缺陷，并记录分析结果。b）要求信息系统、组件或服务的开发商实施威胁和脆弱

33、性分析，并测试或评估已开发完成的系统、组件或服务。c）在对信息系统、组件或服务的开发商进行评估时，应：1）选择满足赋值：云服务商定义的独立准则的独立的第三方，验证开发商安全评估计划实施的正确性以及在安全测试或评估过程中产生的证据。2）确保独立第三方能够获得足够的资料来完成验证过程，或已被授予获得此类信息的权限。d）要求信息系统、组件或服务的开发商使用赋值：云服务商定义的过程、规程或技术对赋值：云服务商定义的特定代码实施人工代码审查。e）要求信息系统、组件或服务的开发商按照赋值：云服务商定义的约束条件，以 赋值：云服务商定义的广度和深度执行渗透性测试。f）要求信息系统、组件或服务的开发商分析所提

34、供的硬件、软件和固件容易受到攻击的脆弱点。g）要求信息系统、组件或服务的开发商，验证所完成的安全措施测试或评估满足赋值：云服务商定义的广度和深度要求。h）要求信息系统、组件或服务的开发商在运行阶段使用动态代码分析工具识别常见缺陷，并记录分析结果。5.13 开发商提供的培训5.13.1 一般要求无。5.13.2 增强要求云服务商应要求信息系统、组件或服务的开发商提供赋值：云服务商定义的培训，以正确使用所交付系统或产品中的安全功能、措施和机制。5.14 防篡改5.14.1 一般要求无。5.14.2 增强要求云服务商应：a）实施对信息系统、组件或服务的篡改保护方案。b）在系统生命周期中的设计、开发、

35、集成、运行和维护等多个阶段使用防篡改技术。c）按照选择：随机；赋值：云服务商定义的频率，在赋值：云服务商定义的情况下检测赋值：云服务商定义的信息系统、组件或设备是否受到篡改。例如，当本单位人员从高风险地区返回时，应对其移动设备、笔记本电脑或者其他组件进行检测。5.15 组件真实性5.15.1 一般要求无。5.15.2 增强要求云服务商应：a）制定和实施防赝品的策略和规程，检测并防止赝品组件进入信息系统。b）向选择：正品厂商；赋值：云服务商定义的外部报告机构；赋值：云服务商定义的人员和角色；其他有关方面报告赝品组件。c）对赋值：云服务商定义的人员或角色进行有关赝品组件检测的培训。d）在等待服务或

36、维修，以及已送修的组件返回时，保持对赋值：云服务商定义的系统组件的配置控制权。e）使用赋值：云服务商定义的技术和方法销毁废弃的信息系统组件。f）按照赋值：云服务商定义的频率 检查信息系统中是否有赝品组件。5.16 不被支持的系统组件5.16.1 一般要求无。5.16.2 增强要求云服务商应在开发商、供应商或厂商不再对系统组件提供支持时：a）替换该信息系统组件。b）当因业务需要等原因需继续使用不被支持的系统组件时，提供合适的理由并经过本单位领导层的批准，并为不被支持的系统组件提供选择：部支持；赋值：云服务商定义的来自其他外部提供商的支持。5.17 供应链保护5.17.1 一般要求云服务商应：a）

37、注明有哪些外包的服务或采购的产品对云计算服务的安全性存在重要影响。b）对重要的信息系统、组件或服务实施赋值：云服务商定义的供应链安全防护措施，供应链安全防护措施包括但不限于：1）对产品的开发环境、开发设备以及对开发环境的外部连接实施安全控制。2）对开发商进行筛选，对开发人员进行审核。人员筛选的准则包括：无过失、可靠或称职的官方证明、良好的背景审查、公民身份和国籍。开发商的可信任度还包括对公司所有制的审查和分析，对与其他实体间的关系进行审查和分析。3）在运输或仓储时使用防篡改包装。5.17.2 增强要求云服务商应：a）实施赋值：云服务商定义的采购策略、合同工具和采购方法。可从以下方面考虑：1）优

38、先选择满足下列条件的供应商：i）安全防护措施符合法律、法规、政策、标准以及云服务商的安全要求。ii）企业运转过程和安全措施相对透明。iii）对下级供应商、关键组件和服务的安全提供了进一步的核查。iv）限制来自于特定供应商或国家的采购。v）在合同中声明不使用有恶意代码产品或假冒产品。2）将采购决定和交付的时间间隔尽量缩短。3）使用可信或可控的分发、交付和仓储手段。b）在签署合同前对供应商进行审查，包括但不限于：1）分析供应商对信息系统、组件和服务的设计、开发、实施、验证、交付、支持过程。2）评价供应商在开发系统、组件或服务时接受的安全培训和积累的经验，以判断其安全能力。c）采用赋值：云服务商定义

39、的安全保护措施，以降低潜在对手利用供应链造成的危害。安全保护措施包括但不限于：1）尽量避免购买定制设备。2）尽量在能提供相同产品的多个不同供应商做选择，以防供应商锁定风险。3）选择有声誉的企业，建立合格供应商列表。d）在选择、接受或更新信息系统、组件或服务前对其进行评估，如测试、测评、审查和分析，以发现恶意代码等隐患。评估还可包括：静态分析、动态分析、仿真、白盒、灰盒和黑盒测试、模糊测试、渗透性测试等，以确保组件或服务的安全可靠。e）综合分析各方面的信息，包括执法部门披露的信息、信息安全通报、应急响应机构的风险提示等，以识别来自开发、生产、交付过程以及人员和环境的风险。该分析应尽可能覆盖到各层

40、供应商和候选供应商。f）采用赋值：云服务商定义的运行安全保护措施，保护供应链相关信息，包括：用户身份、信息系统、组件或服务的用途、供应商身份、供应商处理过程、安全需求、设计说明书、测评结果、系统或组件配置等信息。在制定防护措施时，应确定哪些信息可通过汇聚或推导分析而获得供应链关键信息，并采取针对性的措施予以防，如向供应商屏蔽关键信息，采取匿名采购或委托采购。g）采用赋值：云服务商定义的安全防护措施来确认所收到的系统或组件真实、未被改动，如光学标签等。对于硬件，应要求供应商提供详细和完整的元器件清单和产地清单。h）对与信息系统、组件或服务相关的赋值：云服务商定义的供应链单元、过程和参与者实施分析

41、或测试，包括独立第三方分析或渗透性测试。供应链单元是包含可编程逻辑电路的关键产品或组件。供应链过程包括：硬件、软件和固件开发过程；运输或装卸过程；人员和物理安全程序；以及与供应链单元的生产或发布相关的其他程序。供应链参与者是供应链中具有特定角色和责任的独立个体。i）采取有关措施（如签订协议），使供应链安全事件信息或威胁信息能够及时传达到供应链上的有关各方。j）确保与供应商签订的服务水平协议（SLA）中的相关指标，不低于拟与客户所签订的SLA协议中的相关指标。k）使用赋值：云服务商定义的安全防护措施来确保赋值：云服务商定义的关键信息系统组件的充分供给。安全防护措施包括但不限于：1）使用多个供应商

42、提供的关键组件。2）储备足够的备用组件。l）建立和留存对赋值：云服务商定义的供应链单元、过程和参与者的唯一标识。m）当变更供应商时，对供应商变更带来的安全风险进行评估，并采取有关措施对风险进行控制。6 系统与通信保护6.1 策略与规程6.1.1 一般要求云服务商应：a）制定如下策略与规程，并分发至赋值：云服务商定义的人员或角色：1）系统与通信保护策略（包括边界保护策略、移动代码策略、虚拟化策略等）、系统和信息完整性策略，涉及以下容：目的、围、角色、责任、管理层承诺、部协调、合规性。2）相关规程，以推动系统与通信保护策略、系统和信息完整性策略及有关安全措施的实施。b）按照赋值：云服务商定义的频率

43、审查和更新系统与通信保护策略、系统和信息完整性策略及相关规程。6.1.2 增强要求无。6.2 边界保护6.2.1 一般要求云服务商应：a）在连接外部系统的边界和部关键边界上，对通信进行监控；在客户之外的外部人员访问系统的关键逻辑边界和客户访问系统的关键逻辑边界上，对通信进行监控。b）将允许外部公开直接访问的组件，划分在一个与部网络逻辑隔离的子网络上。并确保允许外部人员访问的组件与允许客户访问的组件在逻辑层面实现严格的网络隔离。c）确保与外部网络或信息系统的连接只能通过严格管理的接口进行，根据云服务商的安全架构，该接口上应部署有边界保护设备。6.2.2 增强要求云服务商应：a）为云计算服务搭建物

44、理独立的计算平台、存储平台、部网络环境及相关维护、安防、电源等设施，并经由受控边界与外部网络相连。b）限制信息系统外部访问接入点的数量，以便对进出通信和网络流量实施有效监控。c）采取以下措施：1）对每一个外部的电信服务接口进行管理。 2）为每一个接口制定通信流策略。 3）采取有关措施对所传输的信息流进行必要的性和完整性保护。 4）当根据业务需要，出现通信流策略的例外情况时，将业务需求和通信持续时间记录到通信流策略的例外条款中。 5）按照赋值：云服务商定义的频率，对网络通信流策略中的例外条款进行审查，在通信流策略中删除不再需要的例外条款。d）确保信息系统的外部通信接口经授权后方可传输数据。e）当

45、远程维护管理云计算平台时，防止远程管理设备同时直接连接其他网络资源。f）支持客户使用独立的代理服务器来实现信息的导入导出。g）构建单独的物理隔离的管理网络，连接管理工具和被管设备或资源，以对云计算平台进行管理。h）确保在赋值：云服务商定义的边界保护失效情况下，云计算平台赋值：云服务商定义的受影响部分能够安全地终止运行。i）采取有关措施，满足不同客户或同一客户不同业务的信息系统之间隔离的需求。6.3 传输性和完整性6.3.1 一般要求无。6.3.2 增强要求云服务商应具有提供满足国家密码管理要求的通信加密和签名验签设施的能力。6.4 网络中断6.4.1 一般要求无。6.4.2 增强要求云服务商应

46、采取有关措施，确保通信会话结束时或在赋值：云服务商定义的不活动时间之后，云计算平台终止与其相关的网络连接。例如，对基于RAS（远程访问服务）的会话，可将不活动时间定义为30分钟；对于非交互式用户，可将不活动时间定义为30到60分钟。6.5 可信路径6.5.1 一般要求无。6.5.2 增强要求云服务商应采取有关措施，确保在云计算平台用户和系统安全功能之间建立一条可信的通信路径，安全功能至少应包括：系统鉴别、再鉴别、服务分配和收回（如为一个云用户分配额外的带宽）。6.6 密码使用和管理6.6.1 一般要求云服务商应按照国家密码管理有关规定使用和管理云计算平台中所使用的密码设施，并按规定生成和使用、管理密钥。6.6.2 增强要求无。6.7 协同计算设备6.7.1 一般要求云服务商应禁止在云计算平台上连接摄像头、麦克风、白板等协同计算设备。6.7.2 增强要求无。6.8 移动代码6.8.1 一般要求云服务商应根据安全需求和客户的要求，制定移动代码使用策略，对移动代码的使用进行限制