【GA公共安全标准】 信息安全技术网络安全等级保护基本要求第2部分:云计算安全扩展要求

ICS_35.40
中华人民共和国公共安全行业标准GA/T1390.2—2017
信息安全技术
网络安全等级保护基本
要求第2部分：云计算安全扩展要求Information security technology--General requirements for classified protection ofcyber security-Part 2:Special security requirements for cloud computing2017-05-08发布
中华人民共和国公安部
2017-05-08实施
1范围
2规范性引用文件
3术语和定义
4云计算安全概述
4.1云计算平台构成
云计算平台定级
5第一级安全要求
5.1技术要求
物理和环境安全
网络和通信安全
网络架构
访问控制
人侵防范
安全审计
5.1.3设备和计算安全
身份鉴别
访问控制
安全审计
人侵防范
资源控制·
镜像和快照保护
应用和数据安全
安全审计
资源控制
接口安全”
数据完整性·
数据保密性
数据备份恢复·
剩余信息保护，
5.2管理要求
5.2.1安全管理机构和人员
授权·
人员录用
5.2.2安全建设管理
测试验收：
......
e中eeee
GA/T1390.2—2017
GA/T1390.2—2017
5.2.2.2云服务商选择
5.2.2.3供应链管理.
5.2.3安全运维管理
5.2.3.1环境管理
监控和审计管理.
6第二级安全要求
6.1技术要求
物理和环境安全
网络和通信安全
网络架构
访问控制
入侵防范
安全审计
6.1.3设备和计算安全
身份鉴别·
访问控制·
安全审计
人侵防范·
资源控制
镜像和快照保护
应用和数据安全
安全审计：
资源控制
接口安全
数据完整性
数据保密性··
数据备份恢复
剩余信息保护
6.2管理要求
安全管理机构和人员
人员录用
6.2.2安全建设管理
测试验收…
云服务商选择
供应链管理
6.2.3安全运维管理
6.2.3.1环境管理
监控和审计管理
7第三级安全要求
7.1技术要求
7.1.1物理和环境安全
7.1.2网络和通信安全
0P中008
中+.0.中
P000P00
HiiKAoNiKAca
网络架构
访问控制
人侵防范
安全审计
7.1.3设备和计算安全
身份鉴别
访问控制
安全审计
人侵防范
恶意代码防范
资源控制
镜像和快照保护
应用和数据安全
安全审计
资源控制
接口安全
数据完整性
数据保密性
数据备份恢复
剩余信息保护
7.2管理要求
安全管理机构和人员
人员录用
安全建设管理bZxz.net
安全方案设计
测试验收
云服务商选择
供应链管理
7.2.3安全运维管理
环境管理
配置管理
监控和审计管理
8第四级安全要求
8.1技术要求
物理和环境安全
网络和通信安全
网络架构
访问控制
人侵防范
安全审计
8.1.3设备和计算安全
身份鉴别
............
0#es#55e#5e5ee05#55ae#se8电5580858..O..O
.国-.电
o.oe.eec.ae
.........................
PeeeePeePeP
GA/T1390.2—2017
--电--..
HiiKAoNiKAca
GA/T1390.2—2017
访问控制
安全审计
人侵防范
恶意代码防范
资源控制
镜像和快照保护
8.1.4应用和数据安全
安全审计
资源控制
接口安全
数据完整性
数据保密性
数据备份恢复
剩余信息保护
8.2管理要求
安全管理机构和人员
人员录用
8.2.2安全建设管理
安全方案设计
测试验收
云服务商选择
供应链管理
8.2.3安全运维管理
8.2.3.1环境管理
配置管理
监控和审计管理
附录A（资料性附录）
附录B（规范性附录）
电出乐光电
云计算平台面临的安全威胁
不同服务模式的安全管理责任主体附录C（规范性附录）本部分适用的对象*参考文献
出进出量乐出光进
三费用费用产
HiKAoNhi KAca
GA/T1390.2—2017
GA/T1390《信息安全技术
网络安全等级保护基本要求》已经或计划发布以下部分：第1部分：安全通用要求；
一第2部分：云计算安全扩展要求；一第3部分：移动互联安全扩展要求第4部分：物联网安全扩展要求；一第5部分：工业控制安全扩展要求；一第6部分：大数据安全扩展要求。本部分为GA/T1390的第2部分。
本部分按照GB/T1.1一2009给出的规则起草。本部分由公安部网络安全保卫局提出。本部分由公安部信息系统安全标准化技术委员会归口。本部分起草单位：公安部信息安全等级保护评估中心、国家信息中心、阿里云计算有限公司、中科院信息工程研究所、杭州华三通信技术有限公司、华为技术有限公司，启明星辰信息技术有限公司。本部分主要起草人：张振峰、丁朝晖、李明、任卫红、胡娟、申永波、苏艳芳、陈峰、李宇、刘静、章恒、陈雪秀、高亚楠、陈驰、于晶、姚国富、黄敏、段伟恒、郭春梅。V
HiiKAoNniKAca
GA/T1390.2—2017
GB/T22239一2008《信息安全技术信息系统安全等级保护基本要求》在开展信息安全等级保护工作的过程中起到了非常重要的作用，被广泛应用于各个行业和领域开展信息安全等级保护的建设整改和等级测评等工作，但是随着信息技术的发展，GB/T22239一2008在时效性，易用性，可操作性上需要进一步提高。
为了适应移动互联、云计算、大数据、物联网和工业控制等新技术、新应用情况下信息安全等级保护工作的开展，需对GB/T22239一2008进行修订，修订的思路和方法是针对移动互联，云计算，大数据、物联网和工业控制等新技术、新应用领域提出扩展的安全要求M
HiiKAoNhiKAca
1范围
信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求GA/T1390.2—2017
GA/T1390的本部分规定了不同安全保护等级云计算平台及云租户业务应用系统的安全保护要求。
本部分适用于指导分等级的非涉密云计算平台及云租户业务应用系统的安全建设和监督管理。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB17859—1999计算机信息系统安全保护等级划分准则GB/T22239信息安全技术信息系统安全等级保护基本要求GB/T22240信息安全技术信息系统安全等级保护定级指南GB/T25069—2010信息安全技术术语GB/T31167一2014信息安全技术云计算服务安全指南GB/T31168一2014信息安全技术云计算服务安全能力要求3术语和定义
GB17859—1999、GB/T25069—2010和GB/T31168—2014界定的以及下列术语和定义适用于本文件。为了便于使用，以下重复列出GB/T31168一2014中的部分术语和定义。3.1
云计算cloud computing
通过网络访问可扩展的、灵活的物理或虚拟共享资源池，并可按需自助获取和管理资源的模式。［GB/T31168—2014，定义3.1]
云计算基础设施cloud computinginfrastructure由硬件资源和资源抽象控制组件构成的支撑云计算的基础设施。注1：硬件资源包括所有的物理计算资源，包括服务器（CPU、内存等）、存储组件（硬盘等）、网络组件（路由器、防火墙、交换机，网络连接和接口等）及其他物理计算基础元素，资源抽象控制组件对物理计算资源进行软件抽象，云服务商通过这些组件提供和管理对物理计算资源的访问。注2：改写GB/T31168—2014，定义3.5。3.3
云计算平台cloudcomputingplatform云服务商提供的云计算基础设施及其上的服务软件的集合。注：改写GB/T31168—2014，定义3.6。1
GA/T1390.22017
云计算环境cloudcomputingenvironment云服务商提供的云计算平台，以及云租户在平台之上部署的软件及相关组件的集合。注：改写GB/T31168—2014.定义3.7。3.5
云服务商cloudserviceprovider云计算服务的供应方。
注1：云服务商管理，运营，支择云计算的基础设施和软件，通过网络交付云计算的资源，包括公有云服务提供者和私有云服务提供者。
注2：改写GB/T31168—2014，定义3.3。3.6
云租户cloud tenant
租用或使用云计算资源的客户，包括计费和不计费的云服务的机构和个人。3.7
虚拟机监视器
hypervisor
一种运行在基础物理服务器和操作系统之间的中间软件层，可允许多个操作系统和应用共享硬件。3.8
宿主机hostmachine
运行虚拟机监视器的物理服务器。3.9
网络策略控制器networkpolicycontroller在网络中，把网络配置信息转化为网络设备上的转发规则集，并对这些转发规则集进行管理的核心控制系统。
4云计算安全概述
4.1云计算平台构成
本部分中将采用了云计算技术的信息系统称为云计算平台云计算平台由设施，硬件，资源抽象控制层、虚拟化计算资源、软件平台和应用软件等组成。基础设施即服务（IaaS）、平台即服务（PaaS）、软件即服务（SaaS）是3种基本的云计算服务模式。如图1所示，在不同的服务模式中，云服务商和云租户对计算资源拥有不同的控制范围，控制范围则决定了安全责任的边界。在基础设施即服务模式下，云计算平台由设施，硬件，资源抽象控制层组成，在平台即服务模式下，云计算平台包括设施，硬件，资源抽象控制层、虚拟化计算资源和软件平台；在软件即服务模式下，云计算平台包括设施、硬件、资源抽象控制层虚拟化计算资源、软件平台和应用软件。2
4.2云计算平台定级
云服务方
应用软件
软件平台
虚拟化计算资源
资源抽象控制
云租户
图1云计算服务模式与控制范围的关系GA/T1390.2—2017
在云计算环境中，应将云服务商侧的云计算平台单独作为定级对象定级，云租户侧的等级保护对象也应作为单独的定级对象定级。对于大型云计算平台，应将云计算基础设施和有关辅助服务系统划分为不同的定级对象。5第一级安全要求
5.1技术要求
5.1.1物理和环境安全
应确保云计算基础设施位于中国境内。5.1.2
网络和通信安全
网络架构
网络架构应符合以下要求：
a）确保云计算平台不承载高于其安全保护等级的业务应用系统：b）绘制与当前运行情况相符的虚拟化网络拓扑结构图；c）实现不同云租户虚拟网络之间的隔离：d）保证虚拟机只能接收到目的地址包括自已地址的报文。5.1.2.2访问控制
访问控制应符合以下要求：
a）禁止云租户虚拟机访问宿主机；b）在虚拟化网络边界部署访问控制机制，并设置访问控制规则：保证当虚拟机迁移时，访问控制策略随其迁移；d）允许云租户设置不同虚拟机之间的访问控制策略。3
GA/T1390.2—2017
5.1.2.3入侵防范
人侵防范应符合以下要求：
a）应能监测到云租户的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等：b）能检测到虚拟机与宿主机之间的异常流量。5.1.2.4安全审计
对云服务商和云租户远程管理时执行特权命令进行审计，至少包括虚拟机删除，虚拟机重启。5.1.3设备和计算安全
5.1.3.1身份鉴别
在网络策略控制器和网络设备（或设备代理)之间建立双向验证机制。5.1.3.2访问控制
确保只有在云租户授权下，云服务商或第三方才具有云租户数据的管理权限。5.1.3.3安全审计
安全审计应符合以下要求：
a）根据云服务商和云租户的职责划分，收集各自控制部分的审计数据；b）保证云服务商对云租户系统和数据的操作可被云租户审计。5.1.3.4入侵防范
人侵防范应能检测以下内容：
a）虚拟机对宿主机资源的异常访问；b）虚拟机之间的资源隔离失效，并进行告警。5.1.3.5资源控制
资源控制应符合以下要求：
a）屏蔽虚拟资源故障，某个虚拟机崩溃后不影响虚拟机监视器及其他虚拟机b）对物理资源和虚拟资源按照策略做统一管理调度与分配：c）确保云计算平台具有虚拟机内存隔离措施。5.1.3.6镜像和快照保护
镜像和快照保护应符合以下要求：a）提供虚拟机镜像，快照完整性校验功能，防止虚拟机镜像被恶意篡改：b）采取加密或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问：c）针对重要业务系统提供加固的操作系统镜像。5.1.4应用和数据安全
5.1.4.1安全审计
安全审计应符合以下要求：
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。