GB/T 35279-2017信息安全技術(shù)云計算安全參考架構(gòu)

ICS35040

L80.

中華人民共和國國家標(biāo)準(zhǔn)

GB/T35279—2017

信息安全技術(shù)云計算安全參考架構(gòu)

Informationsecuritytechnology—Securityreferencearchitectureofcloudcomputing

2017-12-29發(fā)布2018-07-01實施

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會

GB/T35279—2017

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語和定義

3………………1

概述

4………………………2

云計算的相關(guān)概念

4.1…………………2

云計算的參與角色

4.2…………………2

云計算的安全挑戰(zhàn)

4.3…………………2

云計算參與角色的安全職責(zé)

4.4………………………3

服務(wù)模式與控制范圍

4.4.1…………3

云服務(wù)客戶

4.4.2……………………3

云服務(wù)商

4.4.3………………………4

云代理者

4.4.4………………………4

云審計者

4.4.5………………………5

云基礎(chǔ)網(wǎng)絡(luò)運營者

4.4.6……………5

云計算安全參考架構(gòu)

5……………………5

概述

5.1…………………5

云服務(wù)客戶

5.2…………………………7

安全云服務(wù)管理

5.2.1………………7

安全云服務(wù)協(xié)同

5.2.2………………8

云服務(wù)商

5.3……………9

云服務(wù)商的框架組件與子組件概述

5.3.1…………9

安全云服務(wù)協(xié)同

5.3.2………………9

安全云服務(wù)管理

5.3.3………………10

云代理者

5.4……………11

概述

5.4.1……………11

技術(shù)代理者

5.4.2……………………12

業(yè)務(wù)代理者

5.4.3……………………13

安全云服務(wù)協(xié)同

5.4.4………………13

安全服務(wù)聚合

5.4.5…………………14

安全云服務(wù)管理

5.4.6………………14

安全服務(wù)中介

5.4.7…………………15

安全服務(wù)仲裁

5.4.8…………………15

云審計者

5.5……………16

云基礎(chǔ)網(wǎng)絡(luò)運營者

5.6…………………16

附錄資料性附錄云計算的安全風(fēng)險

A()………………17

GB/T35279—2017

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)起草單位北京大學(xué)軟件與微電子學(xué)院中國電子技術(shù)標(biāo)準(zhǔn)化研究院中國科學(xué)院信息工程

:、、

研究所信息安全國家重點實驗室中國科學(xué)院軟件研究所韶關(guān)學(xué)院北京鼎普科技股份有限公司北京

、、、、

時代新威信息技術(shù)有限公司中國移動通信集團公司華為技術(shù)有限公司中國電信股份有限公司北京

、、、

研究院成都信息工程大學(xué)中金數(shù)據(jù)系統(tǒng)有限公司中國銀聯(lián)股份有限公司阿里云計算有限公司浪

、、、、、

潮北京電子信息有限公司國云科技股份有限公司上海眾人網(wǎng)絡(luò)安全技術(shù)有限公司東軟集團股份

()、、、

有限公司北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司新華三技術(shù)有限公司黑龍江省電子信息產(chǎn)品監(jiān)督檢驗

、、、

院百度在線網(wǎng)絡(luò)技術(shù)北京有限公司漢柏科技有限公司中國信息安全研究院有限公司中國信息安

、()、、、

全測評中心中國電子科技集團第研究所西安電子科技大學(xué)重慶郵電大學(xué)成都電子科技大學(xué)西

、30、、、、

安未來國際信息股份有限公司

。

本標(biāo)準(zhǔn)主要起草人卿斯?jié)h王惠蒞劉賢剛陳馳謝垂益季統(tǒng)凱談劍峰李雪瑩王海洋王新杰

:、、、、、、、、、、

陳雪秀楊晨羅鋒盈馬文平柏洪濤任蘭芳葛小宇唐洪玉萬國根崔玲楊陽趙江崔進龔一斌

、、、、、、、、、、、、、、

史翔宇方舟馬杰王智民劉冬梅都婧王強周啟明陳曉峰田玲馮超路娜王希忠沈晴霓

、、、、、、、、、、、、、、

文偉平徐菲鄒琪孫松兒李彥賓黃永洪

、、、、、。

Ⅰ

GB/T35279—2017

引言

云計算是一種以服務(wù)為特征的計算模式它通過對各種計算資源進行抽象以新的業(yè)務(wù)模式提供高

,,

性能低成本的持續(xù)計算存儲空間及各種軟件服務(wù)支撐各類信息化應(yīng)用能夠合理配置計算資源提

、、,,,

高計算資源的利用率降低成本促進節(jié)能減排實現(xiàn)真正的理想的綠色計算

,,,。

云計算帶來諸多便利與優(yōu)勢的同時也給信息安全帶來了多個層面的沖擊與挑戰(zhàn)云計算的服務(wù)計

。

算模式動態(tài)虛擬化管理方式以及多層服務(wù)模式等引發(fā)了新的信息安全問題云服務(wù)級別協(xié)議所具有的

、;

動態(tài)性及多方參與的特點對責(zé)任認(rèn)定及現(xiàn)有的信息安全體系帶來了新的沖擊云計算的強大計算與存

,;

儲能力被非法利用時將對現(xiàn)有的安全管理體系產(chǎn)生巨大影響等

,。

在一種云服務(wù)中信息與業(yè)務(wù)的安全性涉及所有參與該服務(wù)的云計算角色為了清晰地描述云服

,。

務(wù)中各種參與角色的安全責(zé)任需要構(gòu)建云計算安全參考架構(gòu)提出云計算角色角色安全職責(zé)安全功

,,、、

能組件以及它們之間的關(guān)系

。

本標(biāo)準(zhǔn)適用于指導(dǎo)所有云計算參與者在進行云計算系統(tǒng)規(guī)劃時對安全的評估與設(shè)計

。

Ⅱ

GB/T35279—2017

信息安全技術(shù)云計算安全參考架構(gòu)

1范圍

本標(biāo)準(zhǔn)規(guī)定了云計算安全參考架構(gòu)描述了云計算角色規(guī)范了各角色的安全職責(zé)安全功能組件

,,、

及其關(guān)系

。

本標(biāo)準(zhǔn)適用于指導(dǎo)所有云計算參與者在進行云計算系統(tǒng)規(guī)劃時對安全的評估與設(shè)計

。

2規(guī)范性引用文件

下列文件對于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術(shù)術(shù)語

GB/T25069—2010

信息安全技術(shù)云計算服務(wù)安全指南

GB/T31167—2014

3術(shù)語和定義

和界定的術(shù)語和定義適用于本文件為了便于使用以下

GB/T25069—2010GB/T31167—2014。,

重復(fù)列出了中的術(shù)語和定義

GB/T31167—2014。

31

.

云計算cloudcomputing

通過網(wǎng)絡(luò)訪問可擴展的靈活的物理或虛擬資源池并可按需自助獲取與管理資源的模式

、,。

注資源實例包括服務(wù)器操作系統(tǒng)網(wǎng)絡(luò)軟件應(yīng)用與存儲設(shè)備等

:、、、、