来源：信息与网络安全部 评估处作者：禄凯 高亚楠 章恒时间：2017-07-18

引言

        云计算作为广泛应用的新技术，越来越深入的影响着社会生活的各个领域。全国各地政务云、金融云、教育云等建设的如火如荼，越来越多的云计算系统承担着重要的基础性服务。

        在高速发展的同时，安全隐患和威胁也如影随形，如：不安全接口、服务中断、越权、滥用与误操作、共享技术漏洞和信息残留等问题时刻影响着云计算的健康发展。云计算信息系统应具备什么样的安全防护措施，如何通过等级保护测评工作去检查和验证安全措施的合规性和有效性，已经成为云计算系统建设者、运营者、监管者以及使用者所关心的重要问题。

        等级保护工作作为国家网络安全法明确的重要制度，已在我国信息系统安全保驾护航中发挥着重要作用。为应对新技术、新应用发展所带来的安全问题，公安部网络安全保卫局组织开展了大规模的等级保护系列标准的修订。云计算等级保护系列标准作为安全通用要求之后的第二分册，标准编制开始至今，受到相关各方的高度广泛关注，收到了很多宝贵意见和建议。

        由国家信息中心负责牵头编制的《网络安全等级保护测评要求 第2部分：云计算安全扩展要求》(以下简称“云计算测评要求”)作为云计算安全等级保护测评的实施依据备受瞩目。此文解读标准，希望作为云计算等级保护测评工作的实践指引，给大家提供指导和帮助，相关技术研讨和培训也将后续开展。

《网络安全等级保护测评要求 第2部分：云计算安全扩展要求》解读

        根据全国信息安全标准化技术委员会2013年10月确定的国家标准制修订计划，本次研编云计算等保系列标准包括三个：《信息安全技术网络安全等级保护基本要求 第2部分：云计算安全扩展要求》(以下简称“云计算基本要求”)、《信息安全技术 网络安全等级保护测评要求第2部分：云计算安全扩展要求》、《信息安全技术 网络安全等级保护设计技术要求 第2部分：云计算安全扩展要求》(以下简称“云计算设计要求”)。

        第二分册作为第一分册安全通用要求的扩展和补充，主要用以应对云计算技术所带来的威胁与风险，在测评实施中要以安全通用要求为基础，同时参考定级指南等相关标准，共同完成云计算安全等级保护的测评工作。

要点一：系统定级与管理职责划分

        云计算服务带来了“云主机”等虚拟计算资源，将传统IT环境中信息系统运营、使用单位的单一安全责任转变为云租户和云服务商双方“各自分担”的安全责任，使得云计算环境下定级工作相对比较复杂。

        云计算系统的定级对象在原有定级对象基础上进行了扩展，原有定级对象主要是信息系统和相关基础网络，而云计算将定级对象扩展为云服务商的云平台和云租户的应用系统。

        云计算系统定级时，云服务商的云平台和云租户的应用系统应分别定级，云平台等级应不低于应用系统的安全保护等级。对于公有云，定级流程为云平台先定级测评，再提供云服务。对于私有云，定级流程为云平台先定级测评，再将已定级应用系统向云平台迁移。

        云计算系统定级的重点在于定级对象管理职责的划分，职责的划分根据不同云计算服务模式采取不同划分方式。

        (一) 对于IaaS基础设施服务模式，云服务商的职责范围包括虚拟机监视器和硬件，云租户的职责范围包括操作系统、中间件和应用等。

        (二) 对于PaaS平台即服务的服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统和中间件，云租户的职责范围为应用。

        (三) 对于SaaS软件服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统、中间件和应用，云租户的职责范围包括部分应用职责及用户使用职责。

        云计算服务模式以及角色的不同决定着定级对象的管理职责不同，从而决定着定级的系统范围的不同。

要点二：云计算系统保护对象的扩展

        由于虚拟化等新技术的应用，IaaS/PaaS/SaaS按需服务模式的引入，相对于传统信息系统，云计算系统的保护对象有所增加。云计算系统的保护对象与传统信息系统保护对象对照如下表所示，其中加黑的对象为云计算系统所特有的保护对象：

云计算系统保护对象除包含传统信息系统保护对象外，还包含云计算系统特有保护对象。在进行云计算系统等级保护测评时，针对不同保护对象实施不同测评内容，既要对云计算系统特有保护对象依据云安全测评要求进行测评，也要对云计算系统选取安全通用要求相关指标进行测评。

要点三：与其他标准间关系

        云计算等级测评参照通用测评要求的修订思路进行了修订，技术框架同样调整为单项测评和整体测评。同时依据GB/T22239.1标准的文本架构，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全策略和管理制度、安全管理机构和人员、安全建设管理、安全运维管理等八个层面开展测评实施工作。同时，与其他测评要求统一编码，与通用测评要求的级差变化情况保持一致。

        本标准与云计算基本要求一一对应，标准单项测评内容与云计算基本要求中条款相对应，针对云计算基本要求中每一条款，云测评要求给出具体测评对象，测评实施和结果判定。本标准与云计算设计要求相融合，结合云计算设计要求中技术实现细节，并结合实际测评情况给出云计算测评的具体实施内容。

        另外，本标准同样适用于云计算系统建设时作为参考。在术语定义、云计算服务模式等方面，云计算基本要求、云计算测评要求和云计算设计要求保持了思想的一致性。

要点四：如何编制作业指导书

        本标准应与通用测评要求配合使用，对使用云计算相关技术的平台及应用系统，应根据实际情况，对应通用测评要求和云计算测评要求，抽取相关测评要求，并按照这些测评要求编制测评指导书。

        对于云计算系统中特有的保护对象：云管理平台、虚拟机监视器、虚拟网络设备和虚拟安全设备为例抽取测评项方式如下：

        对于云管理平台，应从通用测评要求的应用和数据层面抽取测评项，并从云计算测评要求的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全层面抽取测评项。

        对于虚拟机监视器，应从通用测评要求的设备和计算安全层面抽取测评项，并从云计算测评要求的网络和通信安全、设备和计算安全层面抽取测评项。

        对于虚拟网络设备和虚拟安全设备，应从通用测评要求的网络和通信安全层面抽取测评项，并从云计算测评要求的网络和通信安全、设备和计算安全层面抽取测评项。

要点五：具体测评指标选取

        云计算测评要求主要针对云计算技术和管理中的特殊性提出要求，相对于传统信息系统，测评单元和测评项均有所新增，云计算系统的测评单元与传统信息系统测评单元对照如下表所示，其中加黑的测评单元为云计算系统所特有的测评单元：

云计算测评工作的开展首先要明确测评对象是云服务商还是云租户，对于同一条测评实施内容，针对云服务商与云租户具有不同的含义，部分条款仅适用于云服务商，而部分条款仅适用于云租户。

        例如测评实施中：“应检查云服务商的网络边界设备或虚拟化网络边界设备，查看安全保障机制、访问控制规则或访问控制策略等”仅适用于云服务商，而不适用于云租户。

        其次，应明确测评的云计算系统的服务模式，根据云计算系统的服务模式进行职责划分。明确测评对象和服务模式后，云计算测评要求的条款就可以进行相应剪裁以适用于不同的云计算系统。根据裁剪后的结果形成作业指导书，从而指导云计算测评工作的实施。

要点六：测试手段与工具

        云计算系统的安全测评对测评手段、测评工具提出了新的要求，除主机扫描、数据库扫描、应用扫描、流量分析等一些传统测试工具外，根据实际情况，需要配置专用测试工具，如：针对虚拟化漏洞的安全扫描工具、云计算系统安全审计工具、云端移动APP应用的安全检测工具等。另外，测试人员也应具备相应的能力，如：针对虚拟化、云平台的安全渗透测试能力等。以上可以通过购买相应测试工具，选派人员参加网络攻防培训来解决。