公有云環(huán)境下等級保護解決方案(二級)(最新整理)

1、1.1 云環(huán)境 web 系統(tǒng)等級保護建設(shè)（二級）1.1.1 云模式下的安全保障體系建設(shè)對于不同的云建設(shè)模式（自行建設(shè)模式或購買服務模式），在安全保障體系的建設(shè)上的區(qū)別體現(xiàn)在安全建設(shè)責任主體的區(qū)分。當使用購買服務模式時，安全建設(shè)的責任主體會區(qū)分為“云服務商”和“云租戶”兩部分；而自行建設(shè)模式中，并沒有“云服務商”的概念存 在，安全建設(shè)的責任主體是用戶自身。本次等保是基于公有云系統(tǒng)建設(shè)，在安全保障體系建設(shè)上應有 “云服務商”和“云租戶”共同來承擔和建設(shè)，“云服務商”確保云服務平臺的安全性，“云租戶”負責基于“云服務商”提供的服務構(gòu)建業(yè)務應系統(tǒng)的安全。根據(jù) gb/t 22239.2信息安全技術(shù) 網(wǎng)絡(luò)

2、安全等級保護基本要求第 2 部分：云計算安全擴展要求的要求。對于云環(huán)境下業(yè)務系統(tǒng)的建設(shè)的責任劃分如下表所示：層面安全要求安全組件責任主體物理和環(huán)境安全物理位置選擇數(shù)據(jù)中心及物理設(shè)施云服務方網(wǎng)絡(luò)和通信安全網(wǎng)絡(luò)結(jié)構(gòu)、訪問控制、遠程訪問、入侵防范、安全審計物理網(wǎng)絡(luò)及附屬設(shè)備、虛擬網(wǎng)絡(luò)管理平臺云服務方云租戶虛擬網(wǎng)絡(luò)安全域云租戶設(shè)備和計算安全身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、資源控制、鏡像和快照保護物理網(wǎng)絡(luò)及附屬設(shè)備、虛擬網(wǎng)絡(luò)管理平臺、物理宿主機及附屬設(shè)備、虛擬機管理平臺、鏡像等云服務方云租戶虛擬網(wǎng)絡(luò)設(shè)備、虛擬安全設(shè)備、虛擬機等云租戶應用和數(shù)據(jù)安全安全審計、資源控制、接口安全、數(shù)據(jù)完

3、整性、數(shù)據(jù)保密性、數(shù)據(jù)備份恢復云管理平臺（含運維和運營）、鏡像、快照等云服務方云租戶應用系統(tǒng)及相關(guān)軟件組件、云租戶應用系統(tǒng)配置、云租戶業(yè)務相關(guān)數(shù)據(jù)等云租戶安全策略和管理制度授權(quán)和審批授權(quán)和審批流程、文檔等云租戶安全管理機構(gòu)和人員授權(quán)和審批授權(quán)和審批流程、文檔等云租戶系統(tǒng)安全建設(shè)管理安全方案設(shè)計、測試驗收、云服務商選擇、供應鏈管理云計算平臺接口、安全措施、供應鏈管理流程、安全事件和重要變更信息云租戶云服務商選擇及管理流程云租戶層面安全要求安全組件責任主體系統(tǒng)安全運維管理監(jiān)控和審計管理監(jiān)控和審計管理的相關(guān)流程、策略和數(shù)據(jù)云租戶1.1.2 云等保建設(shè)流程系統(tǒng)定級本次信息系統(tǒng)按照信息安全等級保護管理辦

4、法和網(wǎng)絡(luò)安全等級保護定級指南，初步確定定級對象的安全保護等級，已起草的網(wǎng)絡(luò)安全等級保護定級報告中指出三級以上系統(tǒng)，定級結(jié)論需要進行專家評審。系統(tǒng)備案信息系統(tǒng)安全保護等級為第二級以上時，備案時應當提交網(wǎng)絡(luò)安全等級保護備案表和定級報告；第三級以上系統(tǒng)，還需提交專家評審意見、系統(tǒng)拓撲和說明、安全管理制度、安全建設(shè)方案等。建設(shè)整改依據(jù)網(wǎng)絡(luò)安全等級保護基本要求，利用自有或第三方的安全產(chǎn)品和專家服務，對信息系統(tǒng)進行安全建設(shè)和整改，同時制定相應的安全管理制度；等保測評運營使用單位應當選擇合適的測評機構(gòu)，依據(jù)網(wǎng)絡(luò)安全等級保護測評要求等技術(shù)標準，定期對信息系統(tǒng)安全等級狀況開展等級測評。監(jiān)督檢查公安機關(guān)及其他監(jiān)管

5、部門會在整個過程中，履行相應的監(jiān)管、審核和檢查等職責。1.1.3 等保二級建設(shè)方案設(shè)計網(wǎng)絡(luò)安全拓撲1.1.4 安全技術(shù)建設(shè)設(shè)計1.1.4.1 物理和環(huán)境安全選擇已經(jīng)通過“等保三級”的云服務商。在包括機房供電、溫濕度控制、防風防雨防雷措施等，可直接復用已經(jīng)通過云服務商的測評結(jié)論。（不考慮未通過等保測評的云平臺服務商）1.1.4.2 網(wǎng)絡(luò)和通信安全網(wǎng)絡(luò)架構(gòu)：應劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址；訪問控制：應在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認情況下除允許通信外受控接口拒絕所有通信；應能根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，

6、控制粒度為端口級；通信傳輸：應采用校驗碼技術(shù)或加解密技術(shù)保證通信過程中數(shù)據(jù)的完整性； 邊界防護：應保證跨越邊界的訪問和數(shù)據(jù)流通過邊界防護設(shè)備提供的受控接口進行通信；入侵防范：應在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為；當檢測到攻擊行為時，記錄攻擊源 ip、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應提供報警；安全審計：應在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點進行安全審計，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；方案設(shè)計思路：1. 根據(jù)服務器角色和重要性，對網(wǎng)絡(luò)進行安全域劃分；2. 在內(nèi)外網(wǎng)的安全域邊界設(shè)置訪問控制策略，并要求配置到具體的端口；3. 在網(wǎng)絡(luò)邊界處應當

7、部署入侵防范手段，防御并記錄入侵行為；4. 對網(wǎng)絡(luò)中的用戶行為日志和安全事件信息進行記錄和審計；安全方案設(shè)計：（物理和環(huán)境安全設(shè)計）1. 使用云服務商的 vpc 網(wǎng)絡(luò)和云防火墻/安全組對網(wǎng)絡(luò)進行安全域劃分并進行合理的訪問控制；把每個業(yè)務系統(tǒng)都劃分在一個獨立的安全組內(nèi)，確保各業(yè)務系統(tǒng)安全隔離。2. 使用 web 應用防火墻防范網(wǎng)絡(luò)入侵行為。3. 使用態(tài)勢感知的日志功能對網(wǎng)絡(luò)行為日志和安全事件進行記錄分析和審計；4. 使用 ddos 高防 ip 進行異常流量過濾和清洗，保證業(yè)務系統(tǒng)連續(xù)性和高可用性。1.1.4.3 設(shè)備和計算安全n 身份鑒別：應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性；n

8、 訪問控制：應根據(jù)管理用戶的角色建立不同賬戶并分配權(quán)限，僅授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離；n 安全審計：應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；n 入侵防范：應能夠檢測到對重要節(jié)點進行入侵的行為，并在發(fā)生嚴重入侵事件時提供報警。n 惡意代碼防范：應采用免受惡意代碼攻擊的技術(shù)措施或采用可信計算技術(shù)建立從系統(tǒng)到應用的信任鏈，實現(xiàn)系統(tǒng)運行過程中重要程序或文件完整性檢測，并在檢測到破壞后進行恢復。方案設(shè)計思路：1. 避免賬號共享、記錄和審計運維操作行為是最基本的安全要求；2. 必要的安全手段保證系統(tǒng)層安全，防范服務器入侵行為；安全方案設(shè)計：（

9、設(shè)備和計算安全設(shè)計）1. 使用云堡壘機、云數(shù)據(jù)庫審計對服務器和數(shù)據(jù)的操作行為進行審計，同時為每個運維人員建立獨立的堡壘機賬號，避免賬號共享。2. 使用主機安全系統(tǒng)對服務器進行完整的漏洞管理、基線檢查和入侵防御；1.1.4.4 應用和數(shù)據(jù)安全n 身份鑒別：應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，鑒別信息具有復雜度要求；n 訪問控制：應授予不同帳戶為完成各自承擔任務所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系；n 安全審計：應提供安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；n 數(shù)據(jù)完整性：應采用校驗碼技術(shù)或加解密技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性和保

10、密性；n 數(shù)據(jù)備份恢復：應提供異地實時備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實時備份至備份場地；方案設(shè)計思路：1. 根據(jù)等保合規(guī)技術(shù)要求對業(yè)務系統(tǒng)在系統(tǒng)設(shè)計階段，完成系統(tǒng)的身份鑒別、訪問控制和操作審計等功能；2. 數(shù)據(jù)的完整性和保密性，除了在其他層面進行安全防護以外，加密是最為有效的方法；3. 數(shù)據(jù)的異地備份是等保三級區(qū)別于二級最重要的要求之一，是實現(xiàn)業(yè)務連續(xù)最基礎(chǔ)的技術(shù)保障措施。安全方案設(shè)計：（應用和數(shù)據(jù)安全設(shè)計）1. 在應用開發(fā)之初，就應當考慮應用本身的身份鑒別、訪問控制和安全審計等功能；對已經(jīng)上線的系統(tǒng)，通過增加賬號認證、用戶權(quán)限區(qū)分和日志審計等功能設(shè)計滿足等保要求；2. 數(shù)據(jù)備份，推薦使用

11、rds 的異地容災實例自動實現(xiàn)數(shù)據(jù)備份，亦可以將數(shù)據(jù)庫備份文件手工同步到云服務商其他地區(qū)的服務器。1.1.5 安全管理建設(shè)設(shè)計n 安全策略和管理制度：應形成由安全策略、管理制度、操作規(guī)程、記錄表單等構(gòu)成的全面的信息安全管理制度體系。n 安全管理機構(gòu)和人員：應成立指導和管理信息安全工作的委員會或領(lǐng)導小組，其最高領(lǐng)導由單位主管領(lǐng)導委任或授權(quán)。n 安全建設(shè)管理：應根據(jù)保護對象的安全保護等級及與其他級別保護對象的關(guān)系進行安全整體規(guī)劃和安全方案設(shè)計，并形成配套文件；n 安全運維管理：應采取必要的措施識別安全漏洞和隱患，對發(fā)現(xiàn)的安全漏洞和隱患及時進行修補或評估可能的影響后進行修補；方案設(shè)計思路：1. 安全

12、策略、制度和管理層人員，是保證持續(xù)安全非常重要的基礎(chǔ)。策略指導安全方向，制度明確安全流程，人員落實安全責任。2. 等保要求提供了一種方法論和最佳實踐，安全可以按照等保的方法論進行持續(xù)的建設(shè)和管理。3. 安全策略、制度和管理層人員，需要業(yè)務實際情況，進行梳理、準備和落實，并形成專門的文件。4. 漏洞管理過程中需要用到的技術(shù)手段，推薦使用安全企業(yè)的人工安全服務快速發(fā)現(xiàn)云上系統(tǒng)漏洞，及時處理。1.1.5.1 安全策略和管理制度安全策略是信息安全保障體系的靈魂和核心，一個良好的策略體系可以維持整個信息安全保障體系自動的進行良性循環(huán)，不斷的完善信息安全保障體系。序號管理項管理措施1安全管理策略制定總體方

13、針和安全策略，說明機構(gòu)安全工作的總體目標、范圍、原則和安全框架等。2安全管理制度對安全管理活動中的各類管理內(nèi)容建立安全管理制度， 對管理人員/操作人員執(zhí)行的日常管理操作建立操作規(guī)程。還應形成由安全策略、管理制度、操作規(guī)程、記錄表單等構(gòu)成的全面的信息安全管理制度體系。3制定和發(fā)布安全策略和制度的制定應由信息安全工作小組和專家小組共同完成，由安全管理委員會正式發(fā)布。同時應進行版本控制，當系統(tǒng)出現(xiàn)變更時，策略或制度的變化應得以體現(xiàn)。4評審和修訂安全管理委員會應定期組織對安全管理制度的合理性和適用性的論證和評審，尤其是當系統(tǒng)/云平臺出現(xiàn)重大變更后，更應及時對不合時宜的、存在不足的或需要改進的安全管理制

14、度進行修訂。1.1.5.2 安全管理結(jié)構(gòu)和人員信息安全管理組織和人員的管理原則應包括：1. 獲取項目領(lǐng)導小組、各租戶高層領(lǐng)導的足夠重視，保證安全管理組織建設(shè)的順利推進；2. 提高整體員工的安全意識和技能，從廣泛的人員視角上和縱深的層次上杜絕安全事件的發(fā)生；3. 需要不同的相關(guān)參與部門共同參與，制定不同角色和分工，從而保障安全管理的協(xié)調(diào)統(tǒng)一。序號管理項管理措施1授權(quán)和審批租戶和云服務商應協(xié)作，明確授權(quán)審批事項、批準人等。針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項，建立審批程序，按照程序執(zhí)行審批過程。對重要的活動應建立逐級審批制度。應定期審查審批事項，及時更新需授權(quán)和審批的項目、審批部門和審

15、批人的信息。溝通和合作租戶和云服務商還應加強各部門的合作與溝通，定期召開協(xié)調(diào)會議，共同協(xié)作處理信息安全問題。2同時，也應建立與外聯(lián)單位（如兄弟單位、公安機關(guān)、各類供應商、業(yè)界專家和專業(yè)安全組織）的溝通與合作。這些外聯(lián)單位應組成列表，注明單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等內(nèi)容。3審核和檢查租戶和云服務商應定期執(zhí)行常規(guī)安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份情況等。應定期執(zhí)行全面的安全檢查，檢查內(nèi)容應包括安全技術(shù)措施有效性、安全配置和策略一致性、安全管理制度的執(zhí)行情況等。使用定制的安全檢查表格來實施安全檢查，匯總檢查數(shù)據(jù)，形成檢查報告，對安全檢查結(jié)果進行通報。4人員錄用租戶和云服

16、務商均應對被錄用人員的身份、背景、專業(yè)資格和資質(zhì)進行審查，對其工作范圍內(nèi)應具備的技術(shù)技能進行考核。只要被錄用人員具備接觸和掌握租戶敏感數(shù)據(jù)的權(quán)限，均應簽署保密協(xié)議。對于重要的崗位人員，應簽署崗位責任協(xié)議。5人員離崗人員離崗時，應及時終止其所有訪問權(quán)限，收回各類身份證件、鑰匙、身份鑒別硬件 key 等各類軟硬件設(shè)備。對于重要業(yè)務系統(tǒng)，還應要求人員離職辦理嚴格的調(diào)離手續(xù)，承諾調(diào)離后的保密義務后方可離開。安全意識教育和培訓租戶和云服務商均應對人員進行安全意識教育和崗位技能培訓，并告知相關(guān)的安全責任和懲戒措施。6租戶和云服務商都應對組織內(nèi)不同崗位制定不同的培訓計劃。培訓內(nèi)容應涵蓋：崗位操作規(guī)程、組織安

17、全策略的宣講、信息安全基礎(chǔ)知識等。序號管理項管理措施7外部人員訪問管理當外部人員通過物理方式或遠程接入方式訪問系統(tǒng)時，均應提出書面申請。批準后，由專人陪同（開通賬號、分配權(quán) 限），并登記備案。當外部人員離場后應及時清除其所有的訪問權(quán)限。獲得訪問授權(quán)的外部人員還應簽署保密協(xié)議，不得進行非授權(quán)的操作，不得復制和泄露任何敏感信息。1.1.5.3 安全建設(shè)管理序號管理項管理措施定級和備案在云計算環(huán)境中，應將云服務商側(cè)的云計算平臺單獨作為定級對象定級，云租戶側(cè)的等級保護對象也應作為單獨的定級對象定級。對于大型云計算平臺，應將云計算基礎(chǔ)設(shè)施和有關(guān)輔助服務系統(tǒng)劃分為不同的定級對象。1定級文件應文檔化，以書面

18、形式說明保護對象的邊界、安全保護等級以及確定登記的方法和理由。定級結(jié)果需經(jīng)過專家評審其合理性和正確性，確定結(jié)果后經(jīng)過主管部門批 準，并將備案材料報主管部門和公安機關(guān)備案。安全方案設(shè)計在對業(yè)務系統(tǒng)/云平臺進行等級保護安全設(shè)計時，仍應進行風險評估和差距分析，補充和調(diào)整相應的安全措施。2還應根據(jù)保護對象的安全保護等級及與其他級別保護對象的關(guān)系進行整體安全規(guī)劃和安全方案設(shè)計，并形成配套文件。規(guī)劃文件和設(shè)計方案需經(jīng)過安全專家對合理性和正確性進行論證和審定，經(jīng)過批準后才能正式實施。此外，云服務商應提供足夠開放的接口或開放性安全服務，允許云租戶自行設(shè)計接入第三方的安全產(chǎn)品，或在云平臺中可以選擇第三方的安全服

19、務。云服務商應支持異構(gòu)的方式，對云租戶的安全措施進行實施。序號管理項管理措施3產(chǎn)品采購和使用采購的安全產(chǎn)品應具備相應產(chǎn)品認證資質(zhì)。安全產(chǎn)品至少具備公安機關(guān)頒發(fā)的計算機信息系統(tǒng)安全銷售許可證。在采購安全產(chǎn)品之前，應先進行產(chǎn)品選型測試，確定產(chǎn)品候選范圍，建立候選產(chǎn)品名單，并進行定期審核和更新。4自行軟件開發(fā)應建立單獨的開發(fā)環(huán)境，與實際物理運行環(huán)境邏輯隔 離，保證測試數(shù)據(jù)和測試結(jié)果可控，避免侵害實際運行環(huán) 境。安全性測試應融入軟件開發(fā)過程，在軟件安裝前對可能存在的惡意代碼進行檢測。還應：制定軟件安全開發(fā)管理制度，明確開發(fā)過程的控制方法和人員行為準則；指定代碼編寫安全規(guī)范，要求開發(fā)人員遵照執(zhí)行；確保具

20、備軟件設(shè)計的所有相關(guān)文檔和使用指南，并對文檔進行版本控制；確保對程序資源庫的修改、更新和發(fā)布均進行授權(quán)和批準控制；確保開發(fā)人員為專職人員，開發(fā)人員的開發(fā)活動受控制、監(jiān)視和審查。5外包軟件開發(fā)對于外包軟件開發(fā)，應做到：在軟件交付使用前，應進行源代碼審計和檢測，檢測軟件質(zhì)量和其中可能存在的惡意代碼。外包單位應提供軟件設(shè)計文檔和使用指南。還應要求外包單位提供軟件源代碼，并執(zhí)行源代碼安全審查，重點關(guān)注是否存在后門、隱蔽信道等。6工程實施在實施前，應制定工程實施方案，控制安全工程的實施過程。并指定專門的部門或人員負責工程實施過程的管理。還應通過第三方工程監(jiān)理控制項目的實施過程。7測試驗收測試驗收過程，應

21、首先制定測試驗收方案，并依據(jù)測試驗收方案實施測試驗收，最終形成測試報告。應專門進行上序號管理項管理措施線前的安全性測試，對安全措施有效性進行測試，并出具安全測試報告。8系統(tǒng)交付系統(tǒng)交付時，應根據(jù)交付清單對交接的設(shè)備、軟件和文檔等進行逐一清點。交付后的運行維護技術(shù)人員應進行相應的技能培訓。云服務商應確保提供建設(shè)過中的文檔，以及指導用戶進行運行維護的指南性文檔。9等級測評云平臺的等級保護測評目前正在進行試點工程，由公安部等級保護測評中心進行。對于云上業(yè)務系統(tǒng)的測評，需要具備等級保護測評資質(zhì)的單位進行。應定期執(zhí)行等級測評工作，尤其是出現(xiàn)重大變更或級別發(fā)生變化時，均應執(zhí)行等級測評，在發(fā)現(xiàn)存在安全差距時

22、， 進行及時的整改。10云服務商選擇除了云計算方面的需求，客戶在選擇云服務商時還應考慮安全能力要求。主要包括：云服務商安全資質(zhì)：如 iso 27001、等級保護測評認證、cnas、云安全審查（政務云，一般級或增強級）等。云服務商案例：是否擁有行業(yè)內(nèi)的云服務案例。安全能力要求：開發(fā)安全、供應鏈安全、通信安全、訪問控制、配置管理、維護體系、業(yè)務連續(xù)性、安全審計、風險評估與持續(xù)監(jiān)控、安全組織和人員建設(shè)以及物理和環(huán)境安全。此外，對于云服務商的選擇，還應通過 sla 協(xié)議和保密協(xié)議方式，確保云服務商能夠滿足租戶的云計算服務、安 全、保密等需求。11sla 協(xié)議sla 協(xié)議保障了云服務商所提供的服務的有效

23、性，具體規(guī)范了云服務商應提供的各項服務的質(zhì)量標準。同時，sla 協(xié)議也規(guī)范了懲罰規(guī)定，為云服務商不能滿足 sla 需求所制定。sla 協(xié)議至少包括：序號管理項管理措施權(quán)責分配：規(guī)定云服務商的權(quán)限和責任，包括管理范 圍、職責劃分、訪問授權(quán)、隱私保護、行為準則、違約責任等；數(shù)據(jù)安全方面：數(shù)據(jù)可銷毀性、數(shù)據(jù)可遷移性、數(shù)據(jù)私密性、數(shù)據(jù)知情權(quán)、業(yè)務可審查性；業(yè)務可用性方面：業(yè)務功能、業(yè)務可用性、業(yè)務資源調(diào)配能力、故障恢復能力、網(wǎng)絡(luò)接入性能；服務約束方面：服務計量方式、服務變更、終止條款、服務賠償條款、用戶約束條款、免責條款等內(nèi)容項。12保密協(xié)議對于三級業(yè)務系統(tǒng)，租戶應與能夠訪問或掌握租戶信 息、數(shù)據(jù)的云

24、服務商及其內(nèi)部員工簽訂保密協(xié)議，并且保密協(xié)議應作為合同的附件。保密協(xié)議應包括：未經(jīng)租戶授權(quán)，云服務商或個人不得以任何手段，使用未經(jīng)授權(quán)的租戶信息。未經(jīng)租戶授權(quán)，云服務商或個人不得在工作職責授權(quán)以外使用、分享租戶信息。未經(jīng)租戶授權(quán)，不得泄露、披露、轉(zhuǎn)讓租戶的技術(shù)信息、業(yè)務信息和安全信息。當?shù)谌揭笈蹲鈶粜畔r，不應響應，并立刻報告。對違反或可能導致違反保密協(xié)議的活動或?qū)嵺`，一經(jīng)發(fā)現(xiàn)應立即報告。合同結(jié)束時，云服務商應返還租戶所有保密信息，并明確返還的具體要求和內(nèi)容。明確保密協(xié)議的有效期。此外，租戶應根據(jù)信息的重要敏感程度，確實是否需要對訪問敏感數(shù)據(jù)的云服務商工作人員進行背景調(diào)查。如有必要，應委

25、托相關(guān)職能部門（如公安機構(gòu)）進行背景調(diào)查工 作。序號管理項管理措施理供應鏈管云計算服務的外包服務或采購產(chǎn)品均可視為供應鏈，服務或產(chǎn)品的供應商即服務鏈的供應商。在選擇供應商時，應確保其產(chǎn)品的開發(fā)環(huán)境、開發(fā)設(shè)備以及對開發(fā)環(huán)境的外部連接實施了安全控制。供應商的開發(fā)人員和服務人員均應進行審核。供應商產(chǎn)品的運輸或存儲過程中的安全性等等。此外，安全供應商應將產(chǎn)品相關(guān)的安全事件信息、威脅信息及時傳達給云租戶和云服務商（例如產(chǎn)品爆出重大漏 洞）。供應商的重要變更也需要及時傳達給云租戶和云服務 商，并評估變更可能帶來的安全風險，提供推薦措施對風險進行控制。1314運行監(jiān)管租戶方和云服務商均有執(zhí)行運行監(jiān)管的責任和

26、義務。租戶要按照合同、規(guī)章制度和標準加強對云服務商和自身的運行監(jiān)管，同時云服務商、第三方評估機構(gòu)需要積極參與和配合。租戶和云服務商均需要明確負責執(zhí)行運行監(jiān)管的責任人和聯(lián)系方式。租戶監(jiān)管責任：監(jiān)督云服務商嚴格履行合同規(guī)定的各項責任和義務； 協(xié)助云服務商處理重大信息安全事件；在云服務商的支持配合下，對以下方面進行監(jiān)管： 服務運行狀態(tài)；性能指標，如資源使用情況； 特殊安全需求；云計算平臺提供的監(jiān)視技術(shù)和接口； 其他必要的監(jiān)管活動；加強對云計算服務和業(yè)務使用者的信息安全教育和監(jiān)管；對自身負責的云計算環(huán)境及客戶端的安全措施進行監(jiān)管。云服務商監(jiān)管責任：序號管理項管理措施嚴格履行合同規(guī)定的責任和義務；開展周

27、期性的風險評估和監(jiān)測，包括:監(jiān)視非授權(quán)的遠程連接，持續(xù)監(jiān)視賬號管理、策略改變、特權(quán)功能、系統(tǒng)事件等活動，監(jiān)視與其他信息系統(tǒng)的數(shù)據(jù)交互等；按照合同要求或雙方的約定，向租戶提供相關(guān)的接口和材料，配合租戶的監(jiān)管活動；云計算平臺出現(xiàn)重大變更后，及時向租戶報告情況，并委托第三方評估機構(gòu)進行安全評估；出現(xiàn)重大信息安全事件時，及時向租戶報告事件及處置情況；持續(xù)開展對雇員的信息安全教育，監(jiān)督雇員遵守相關(guān)制度。15安全退出租戶可能因合同到期或其他原因，需要退出云計算服 務，或?qū)⑵鋽?shù)據(jù)和業(yè)務系統(tǒng)遷移至其他云計算平臺上。因為退出云計算服務是一個復雜的過程，租戶需要注意以下事 項：在簽訂合同時提前約定退出條件，以及退

28、出時租戶、云服務商的責任和義務，應與云服務商協(xié)商數(shù)據(jù)和業(yè)務系統(tǒng)遷移出云計算平臺的接口和方案；在退出服務過程中，應要求云服務商完整返還租戶數(shù)據(jù)；在將數(shù)據(jù)和業(yè)務系統(tǒng)遷移回租戶自有的數(shù)據(jù)中心或其他云計算平臺的過程中，應滿足業(yè)務的可用性和持續(xù)性要求， 如采取原業(yè)務系統(tǒng)與新部署業(yè)務系統(tǒng)并行運行一段時間等措施；及時取消云服務商對租戶資源的物理和電子訪問權(quán)限；提醒云服務商在租戶退出云計算服務后仍應承擔的責任和義務，如保密要求等；退出云計算服務后需要確保云服務商按要求保留數(shù)據(jù)或徹底清除數(shù)據(jù)；序號管理項管理措施如需變更云服務商，應首先按照選擇云服務商的要求， 執(zhí)行云服務商選擇階段的各項活動，確定新的云服務商并簽

29、署合同。完成云計算服務的遷移后再退出原云計算服務。1.1.5.4 安全運維管理1. 環(huán)境和資產(chǎn)管理管理要求項要求要點機房安全管理指定專門的部門或人員負責機房安全，對機房出入進行管理， 定期對機房供配電、空調(diào)、溫濕度控制、消防等設(shè)施進行維護管 理。建立機房安全管理制度，對有關(guān)機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定。環(huán)境安全管理不在重要區(qū)域接待來訪人員和桌面上沒有包含敏感信息的紙檔文件、移動介質(zhì)等。資產(chǎn)管理編制并保存與保護對象相關(guān)的資產(chǎn)清單，包括資產(chǎn)責任部門、重要程度和所處位置等內(nèi)容。對于三級業(yè)務系統(tǒng)/云平臺相關(guān)資產(chǎn)，還應根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標識管理，根據(jù)資產(chǎn)的

30、價值選擇相應的管理措施。對信息分類與標識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進行規(guī)范化管理。2. 介質(zhì)和設(shè)備管理管理要求項要求要點介質(zhì)管理確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護， 實行存儲環(huán)境專人管理，并根據(jù)存檔介質(zhì)的目錄清單定期盤點。對介質(zhì)在物理傳輸過程中的人員選擇、打包、交付等情況進行控制， 并對介質(zhì)的歸檔和查詢等進行登記記錄。設(shè)備維護管理對服務器、網(wǎng)絡(luò)及安全設(shè)備、業(yè)務應用的操作應制定標準化的操作規(guī)范。建立配套設(shè)施、軟硬件維護方面的管理制度，對其維護進行有效的管理，包括明確維護人員的責任、涉外維修和服務的審批、維修過程的監(jiān)督控制等。對于三級業(yè)務系統(tǒng)/云平臺，應確保信息處

31、理設(shè)備必須經(jīng)過審批才能帶離機房或辦公地點，含有存儲介質(zhì)的設(shè)備帶出工作環(huán)境時其中重要數(shù)據(jù)必須加密。有存儲介質(zhì)的設(shè)備在報廢或重用前，應進行完全清除或被安全覆蓋，確保該設(shè)備上的敏感數(shù)據(jù)和授權(quán)軟件無法被恢復重用。3. 漏洞和風險管理管理要求項要求要點漏洞和風險管理采取必要的措施識別安全漏洞和隱患，對發(fā)現(xiàn)的安全漏洞和隱患及時進行修補或評估可能的影響后進行修補。對于三級業(yè)務系統(tǒng)/云平臺，應定期開展安全測評，形成安全測評報告，采取措施應對發(fā)現(xiàn)的安全問題。4. 網(wǎng)絡(luò)和系統(tǒng)安全管理管理要求項要求要點角色權(quán)限分配應劃分不同的管理員角色進行網(wǎng)絡(luò)和系統(tǒng)的運維管理，明確各個角色的責任和權(quán)限。賬號管理應指定專門的部門或人

32、員進行賬號管理，對申請賬號、建立賬號、刪除賬號等進行控制。管理制度建立網(wǎng)絡(luò)和系統(tǒng)安全管理制度，對安全策略、賬號管理、配置管理、日志管理、日常操作、升級與打補丁、口令更新周期等方面作出規(guī)定。操作手冊制定重要設(shè)備的配置和操作手冊，依據(jù)手冊對設(shè)備進行安全配置和優(yōu)化配置等。運維操作日志記錄詳細記錄運維操作日志，包括日常巡檢工作、運行維護記錄、參數(shù)的設(shè)置和修改等內(nèi)容。網(wǎng)絡(luò)/系統(tǒng)變更管理對于三級業(yè)務系統(tǒng)/云平臺，應嚴格控制變更性運維，經(jīng)過審批后才可改變連接、安裝系統(tǒng)組件或調(diào)整配置參數(shù)，操作過程中應保留不可更改的審計日志，操作結(jié)束后應同步更新配置信息庫。運維工具的使用對于三級業(yè)務系統(tǒng)/云平臺，應嚴格控制運維

33、工具的使用，經(jīng)過審批后才可接入進行操作，操作過程中應保留不可更改的審計日志，操作結(jié)束后應刪除工具中的敏感數(shù)據(jù)。遠程運維管理對于三級業(yè)務系統(tǒng)/云平臺，應嚴格控制遠程運維的開通，經(jīng)過審批后才可開通遠程運維接口或通道，操作過程中應保留不可更改的審計日志，操作結(jié)束后立即關(guān)閉接口或通道。外部連接和無線網(wǎng)絡(luò)管理對于三級業(yè)務系統(tǒng)/云平臺，應保證所有與外部的連接均得到授權(quán)和批準，應定期檢查違反規(guī)定無線上網(wǎng)及其他違反網(wǎng)絡(luò)安全策略的行為。5. 惡意代碼防范管理管理要求項要求要點防惡意代碼意識應提高所有用戶的防惡意代碼意識，告知對外來計算機或存儲設(shè)備接入系統(tǒng)前進行惡意代碼檢查等。防惡意代碼管理制度應對惡意代碼防范要

34、求做出規(guī)定，包括防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、惡意代碼的定期查殺等。審查機制應定期檢查惡意代碼庫的升級情況，對截獲的惡意代碼進行及時分析處理。6. 配置管理管理要求項要求要點配置管理內(nèi)容應記錄和保存基本配置信息，包括網(wǎng)絡(luò)拓撲結(jié)構(gòu)、各個設(shè)備安裝的軟件組件、軟件組件的版本和補丁信息、各個設(shè)備或軟件組件的配置參數(shù)等。配置信息動態(tài)管理對于三級業(yè)務系統(tǒng)/云平臺，b) 應將基本配置信息改變納入變更范疇，實施對配置信息改變的控制，并及時更新基本配置信息庫。7. 密碼管理管理要求項要求要點密碼學產(chǎn)品資質(zhì)要求應使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。商用密碼產(chǎn)品銷售許可證密碼學產(chǎn)品開發(fā)應按照國家密

35、碼管理的要求開展密碼技術(shù)和產(chǎn)品的應用。8. 變更管理管理要求項要求要點變更過程應明確變更需求，變更前根據(jù)變更需求制定變更方案，變更方案經(jīng)過評審、審批后方可實施。申報和審批控制對于三級業(yè)務系統(tǒng)/云平臺，應建立變更的申報和審批控制程序，依據(jù)程序控制所有的變更，記錄變更實施過程。變更失敗恢復對于三級業(yè)務系統(tǒng)/云平臺，應建立中止變更并從失敗變更中恢復的程序，明確過程控制方法和人員職責，必要時對恢復過程進行演練。9. 備份與恢復管理管理要求項要求要點識別備份客體應識別需要定期備份的重要業(yè)務信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等。確定備份參數(shù)對于三級業(yè)務系統(tǒng)數(shù)據(jù)，應規(guī)定備份信息的備份方式、備份頻度、存儲介質(zhì)、保存期等

36、。數(shù)據(jù)備份和恢復策略對于三級業(yè)務系統(tǒng)數(shù)據(jù)，應根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復策略、備份程序和恢復程序等。10. 安全事件處置管理要求項要求要點事件報告應報告所發(fā)現(xiàn)的安全弱點和可疑事件。報告和處置管理制度應制定安全事件報告和處置管理制度，明確不同安全事件的報告、處置和響應流程，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責等。事件分析應在安全事件報告和響應處理過程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結(jié)經(jīng)驗教訓。重大安全事件處置對于三級業(yè)務系統(tǒng)/云平臺，應對造成系統(tǒng)中斷和造成信息泄漏的重大安全事件應采用專門制定的處理程序和報告程序。11.

37、應急預案管理管理要求項要求要點應急預案框架對于三級業(yè)務系統(tǒng)/云平臺，應規(guī)定統(tǒng)一的應急預案框架，并在此框架下制定不同事件的應急預案，包括啟動預案的條件、應急處理流程、系統(tǒng)恢復流程、事后教育和培訓等內(nèi)容。應急資源保障應從人力、設(shè)備、技術(shù)和財務等方面確保應急預案的執(zhí)行有足夠的資源保障。應急預案培訓和演練應定期對系統(tǒng)相關(guān)的人員進行應急預案培訓，并進行應急預案的演練。定期修訂應定期對原有的應急預案重新評估，修訂完善。12. 外包運維管理管理要求項要求要點外包服務協(xié)議應與選定的外包運維服務商簽訂相關(guān)的協(xié)議，明確約定外包運維的范圍、工作內(nèi)容。外包服務能力要求對于三級業(yè)務系統(tǒng)/云平臺，應確保選擇的外包運維服務商在技術(shù)和管理方面均具有按照等級保護要求開展安全運維工作的能力，并將能力要求在簽訂的協(xié)議中明確。外包服務安全要求對于三級業(yè)務系統(tǒng)/云平臺，應在與外包運維服務商簽訂的協(xié)議中明確所有相關(guān)的安全要求。如可能涉及對敏感信息的訪問、處理、存儲要求，對 it 基礎(chǔ)設(shè)施中斷服務的應急保障要求等。1.2 云環(huán)境下 web 系統(tǒng)等保建設(shè)規(guī)劃專用名詞釋意:rds云數(shù)據(jù)庫vpc云專有網(wǎng)絡(luò)oss對象存儲ecs云服務器安全組云專有網(wǎng)絡(luò)內(nèi)的分布式狀態(tài)檢測防火墻;圖表 1 云環(huán)境下 web 系統(tǒng)二級等保建設(shè)規(guī)劃拓撲圖云環(huán)境等級保護(二級)建設(shè)規(guī)劃產(chǎn)