安全指南V4-資料

中文版00000云計算關(guān)鍵領(lǐng)域安全指南v4.0的官方網(wǎng)址是：英文版：/document/security-guidance-for-critical-areas-of-focu你可以下載、存儲、顯示在你的電腦上，查看，打印，以及鏈接到云計算關(guān)鍵領(lǐng)域安全指南v4.0/document/V4.0security-guidance-for-critical-areas-of以下主題：(a)報告可用于個人，信息，非商業(yè)用途；(b)報告不得修改或以任何方式改變；(c)報告不得重新分布；(d)商標(biāo)，版權(quán)或其他條款不可被刪除。根據(jù)美國版權(quán)法的合理使用條款，如果你將引用部分歸為云計算關(guān)鍵領(lǐng)域安全指南v4.0,那么你可以引用報告的部分內(nèi)容。SecurityGuidancev.4OCopyright2017,Clou云計算關(guān)鍵領(lǐng)域安全指南v4.0中文版翻譯說明CSA云計算關(guān)鍵領(lǐng)域安全指南v4.0由CSA大中華區(qū)研究院組織D1及前面部分由顧偉、王朝輝審校，D2由李建民審校，D3由劉劍、白陽審校，D4由耿萬德審SecurityGuidancev.4OCopyright2017,CloudSecuritConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0 前言歡迎來到云安全聯(lián)盟關(guān)于云計算關(guān)鍵領(lǐng)域安全指南的第四個版本。云計算的興起是一項不斷發(fā)展的技術(shù)，它帶來了許多機遇和挑戰(zhàn)。通過這個文檔，我們的目標(biāo)是提供指導(dǎo)和靈感來支持業(yè)務(wù)目標(biāo)，同時管理和減輕采用云計算技術(shù)相關(guān)的風(fēng)險。云安全聯(lián)盟促進了在云計算領(lǐng)域內(nèi)提供安全保證的最佳實踐，并為尋求采用云計算模式的組織提供了一個實用的、可執(zhí)行的路線圖。云計算關(guān)鍵領(lǐng)域安全指南的第四個版本是建立在之前的安全指南、專門地研究、云安全聯(lián)盟成員、工作組以及我們社區(qū)的行業(yè)專家的公開參與之上的。該版本集成了云、安全性和支持技術(shù)方面的進展，反映了現(xiàn)實世界的云安全實踐，集成了最新的云安全聯(lián)盟研究項目，并為相關(guān)技術(shù)提供了指導(dǎo)。安全云計算的發(fā)展需要來自廣泛的全球分布式利益相關(guān)方的積極參與。CSA匯集了不同的行業(yè)合作伙伴、國際機構(gòu)組織、工作組和個人。我們非常感謝所有為這次發(fā)布做出貢獻的人。請訪問,了解您如何與我們合作，確定并促進最佳實踐，以確保有一個安全的云計算環(huán)境。SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrightsConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0致謝JamesArlen云計算關(guān)鍵領(lǐng)域安全指南v4.0我對這個社區(qū)的云安全最佳實踐的最新貢獻感到非常激動，這一實踐始于的云安全聯(lián)盟最初的指導(dǎo)文件。我們希望您能仔細(xì)研究這里列出的問題和建議，與您自己的經(jīng)更大的挑戰(zhàn)和緊迫感。云現(xiàn)在已經(jīng)成為各種計算形式的后端，包括無處不在的物聯(lián)網(wǎng)。云計算不可分，加速了我們的變革。在云安全聯(lián)盟中，我們致力于為您提供在高速發(fā)展的IT環(huán)境中您所需的必要的安全知識，讓您保持在新時代質(zhì)量保證和信任趨勢的前沿?？傊覀儦g迎你們SecurityGuidancev.4OCopyright2017,CloudSecuriConfidentialforCSAmemberson目錄D1:云計算概念和體系架構(gòu) 8 D4:合規(guī)和審計管理 69D7:基礎(chǔ)設(shè)施安全 80 95 D10:應(yīng)用安全 D11:數(shù)據(jù)安全和加密 D12:身份、授權(quán)和訪問管理 D13:安全即服務(wù) D14:相關(guān)技術(shù) SecurityGuidancev.4OCopyright2017,CloudSecur云計算關(guān)鍵領(lǐng)域安全指南v4.0D1:云計算概念和體系架構(gòu)1.1簡介業(yè)模式，這兒僅僅舉了幾個例子。從本質(zhì)上來說，這是一場顛覆性的變革。它發(fā)展地非常非常快，而且沒有放緩的跡象。雖然我們在本指南的第一個版本中包含的參考模型依舊比較準(zhǔn)確，但是它們顯然已經(jīng)不再那么完整了。即使這樣更新后也不可能解釋未來幾年的每一個可能的變購買和撥備硬件，所有的都是軟件定義的),減少停機時間(由于固有的彈性和其他云特性),并且節(jié)省資金(由于資本支出減少，需求和能力匹配)。自云服務(wù)提供商有重大的經(jīng)濟激勵措施來然而，這些收益是在您理解并采用原生云模型，并調(diào)整您的架構(gòu)和控制，以適應(yīng)云平臺的特性和功能的基礎(chǔ)上才會出現(xiàn)。其實，使用現(xiàn)有的應(yīng)用或資產(chǎn)，并在不進行任何更改的情況下該領(lǐng)域的目的是建立基礎(chǔ)，以使文檔的其余部分及其建議都基于此。其意圖是為信息安全專家提供一種通用語言和對云計算的理解，并開始強調(diào)云計算和傳統(tǒng)計算之間的區(qū)別，以及幫助引導(dǎo)信息安全專家采用原生云方法，從而帶來更好的安全性(以及其他收益),而不是產(chǎn)生更多的SecurityGuidancev.4OCop云計算關(guān)鍵領(lǐng)域安全指南v4.0這個領(lǐng)域包括了4部分：型進行提取和協(xié)調(diào)——最值得注意的是NIST的特種文獻800-145,ISO/IEC17788and1.2概覽1.1.1定義云計算云計算是一種顛覆性的技術(shù)，它可以增強協(xié)作、提高敏捷性、可擴展性以及可用性，還可云計算是一個模式，它是一種無處不在的、便捷的、按需的，基于網(wǎng)絡(luò)訪問的，共享使用的，可配置的計算資源(如：網(wǎng)絡(luò)、服務(wù)器、存儲、應(yīng)用和服務(wù))可以通過最少的管理工作或99云計算關(guān)鍵領(lǐng)域安全指南v4.0云可以由幾乎任何計算資源組成，從計算(如處理器和內(nèi)存)到網(wǎng)絡(luò)、存儲以及更高級別資創(chuàng)建云的關(guān)鍵技術(shù)是抽象和調(diào)配。我們從底層的物理基礎(chǔ)設(shè)施中抽象出資源來創(chuàng)建我們的深入的ISO/IECmodel,并作為參考模型。在這個領(lǐng)域SecurityGuidancev.4OCopConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0同時能保證一致性并獲得廣泛的共識。值得注意的是，本指南的目的是使其具有廣泛的易用性、適用于全球范圍內(nèi)的組織。雖然NIST是美國政府機構(gòu)，選擇此參考模型不應(yīng)該被解釋為是對其它觀點或地域的排斥。在NIST對云計算的定義中，包括了五個基本特征、三個云服務(wù)模型、以及四個云部署模型。下圖對它們進行了形象的匯總，后面會有詳細(xì)描述。以下特性使云成為了云。如果具備以下特征，我們就把它看作是云計算。如果它缺少其中任何一個，它很可能不是一個云?！裾缟厦嫠懻摰模Y源池是最基本的特性。云提供商對資源進行抽象，并將其聚集到一個池中，其中的一部分可以分配給不同的用戶(通常是基于策略)?！裼脩糇约嚎梢园葱枳詣优渲觅Y源，他們自己管理自己的資源，而無需與服務(wù)提供商的服務(wù)人員互動?！駨V泛的網(wǎng)絡(luò)訪問意味著所有的資源都可以通過網(wǎng)絡(luò)獲得，而不需要直接的實體接??；網(wǎng)絡(luò)云計算關(guān)鍵領(lǐng)域安全指南v4.0●快速彈性允許用戶從池中按需使用資源(置備和釋放),通常完全自動。這使他們更緊密地匹配資源消耗需求(例如，需求增加時添加虛擬服務(wù)器，然后當(dāng)需求終止時釋放它們)?！裉峁┛蓽y量的服務(wù)，以確保用戶只使用他們所分配的東西，如果有必要的話，還可以對他們收取費用。這就是“效用計算”這個術(shù)語的由來，因為計算資源現(xiàn)在可以像水和電一樣消耗，客戶只需要支付他們所使用的東西。ISO/IEC17788列出了六個關(guān)鍵特性，其中前五個特性與NIST的特征相同。唯一的補充是多租戶，這與資源池是不同的?！褴浖捶?wù)(SaaS)是由服務(wù)商管理和托管的完整應(yīng)用軟件。用戶可以通過web瀏覽器、移動應(yīng)用或輕量級客戶端應(yīng)用來訪問它?；蚱渌a的地方),文件存儲和協(xié)作，甚至專有的應(yīng)用處理(例如機器學(xué)習(xí)、大數(shù)據(jù)處理或直接API訪問完整的SaaS應(yīng)用的特性)。關(guān)鍵的區(qū)別在于，使用PaaS,您不需要管理底層的服務(wù)器、網(wǎng)絡(luò)或其他基礎(chǔ)設(shè)施。●基礎(chǔ)設(shè)施即服務(wù)(laaS)提供了基礎(chǔ)性的計算資源，如計算、網(wǎng)絡(luò)或存儲。ISO/IEC使用了一個更加復(fù)雜的定義，它使用了一個與SPI模型(軟件、基礎(chǔ)設(shè)施和平臺功能類型)密切相關(guān)的云功能類型。然后，它擴展到更細(xì)粒度的云服務(wù)類別，比如計算即服務(wù)、存儲即服務(wù)，甚至還包括laaS/PaaS/SaaS。這些類別具有一定的滲透性：一些云服務(wù)跨越了這些模型，而另一些則不完全屬于單一的服務(wù)模式。實際上，沒有理由嘗試把所有的東西都分配到這三大類中，甚至是ISO/IEC模型中更細(xì)粒度的類別。這僅僅是一個有用的描述工具，而不是一個嚴(yán)格的框架。云計算關(guān)鍵領(lǐng)域安全指南v4.0NIST和ISO/IEC都使用相同的4個云部署模型。下面描述這些技術(shù)是如何部署和使用的，它●公共云。云基礎(chǔ)設(shè)施提供服務(wù)給一般公眾或某個大型行業(yè)團體。并由銷售云計算服務(wù)●私有云。云基礎(chǔ)設(shè)施專為一個單一的組織運●混合云。云基礎(chǔ)設(shè)施由兩個或多個云(私有、社區(qū)、或公共)組成，以獨立實體存在，但是通過標(biāo)準(zhǔn)的或?qū)Ｓ械募夹g(shù)綁定在一起，這些技術(shù)促進了數(shù)據(jù)和應(yīng)用的可移植性(例如：SecurityGuidancev.4OCopyright2017,C云計算關(guān)鍵領(lǐng)域安全指南v4.0部署模型是基于云用戶定義的，即使用云的用戶。如下圖所示，擁有和管理云的組織即使在單個部署模型中也會有所不同。OrganizationOrganizationThirdPartyProvider→ThirdPartyProviSecurityGuidancev.4OCopConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0SecurityGuidancev.4OCopyright2017,CloudSecurityAConfidentialforCSAmembers云計算關(guān)鍵領(lǐng)域安全指南v4.0但是在最基本的層面上，我們總是需要物理硬件、網(wǎng)絡(luò)和存儲來進行構(gòu)建。這些資源通過抽象和調(diào)配進行匯集。抽象通常通過虛擬化，將資源從物理約束中解放，生成池。然后，一組核心在大多數(shù)情況下，這些APIs都是可以遠(yuǎn)程訪問的通過APIs遠(yuǎn)程管理資源并將它們交付給用戶。SecurityGuidancev.4OCopConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0下面是一個laaS平臺的簡單架構(gòu)示例：一系列物理服務(wù)器每個運行兩個組件：虛擬機管理程序和管理/編排軟件，以連接服務(wù)器并將它們連接到計算控制器。用戶請求一個特定大小的實例(虛擬服務(wù)器),而云控制器確定哪個服務(wù)器具有容量，并分配請求的大小的實例。控制器隨后通過請求存儲控制器的存儲來創(chuàng)建一個虛擬硬盤驅(qū)動器，該存儲控制器從存儲池中分配存儲，并通過網(wǎng)絡(luò)將其連接到適當(dāng)?shù)闹鳈C服務(wù)器和實例(用于存儲通信的專用網(wǎng)絡(luò))。網(wǎng)絡(luò)，包括虛擬網(wǎng)絡(luò)接口和地址，也被分配并連接到必要的虛擬網(wǎng)絡(luò)。然后，控制器將服務(wù)器映像的副本發(fā)送到虛擬機中，啟動它，并配置它；隨著虛擬網(wǎng)絡(luò)和存儲都配置好之后，這就將創(chuàng)建一個在虛擬機中運行的實例。一旦整個過程完成，元數(shù)據(jù)和連接信息就由云控制器代理，并提供給用戶，用戶現(xiàn)在就可以連接到實例并登錄。SecurityGuidancev.4OCopyrig云計算關(guān)鍵領(lǐng)域安全指南v4.0等功能的集成層。這些服務(wù)允許開發(fā)人員在平臺上構(gòu)建應(yīng)用程序，并使用程序支持的編程語言建一個平臺。在laaS上構(gòu)建了集成層和中間件，然后將其匯集在一起，進行編排作為PaaS暴露給用戶。例如，可以通過在laaS中運行的實例上部署修改后的數(shù)據(jù)在PaaS中，云用戶只看到平臺，而不是底層的基礎(chǔ)設(shè)施。在我們的示例中，數(shù)據(jù)庫可根據(jù)另一個例子是應(yīng)用程序部署平臺。這使得開發(fā)人員可以在不管理底層資源的情況下加載和SecurityGuidancev.4OCopyr云計算關(guān)鍵領(lǐng)域安全指南v4.0這個簡單架構(gòu)圖展示了一個在laaS架構(gòu)之上運行的應(yīng)用平臺(Paas):PaaS不一定要建立在laaS之上；沒有理由不能自定義設(shè)計獨立架構(gòu)。定義的特點是消費者訪問和管理平臺，而不是底層基礎(chǔ)設(shè)施(包括云基礎(chǔ)設(shè)施)。SaaS服務(wù)是完整的、多租戶的應(yīng)用程序，也具有任何大型軟件平臺的復(fù)雜架構(gòu)。為了提高敏捷性、彈性和(潛在的)經(jīng)濟利益，許多SaaS提供商構(gòu)建在laaS和PaaS之上大多數(shù)現(xiàn)代云應(yīng)用程序(SaaS或其它)都使用laas和PaaS的組合，有時跨不同的云提供商。特別是web瀏覽器和移動應(yīng)用程序。因此，所有SaaS都有一個API位于應(yīng)用程序/邏輯層和數(shù)據(jù)存儲之上。然后有一個或多個表示層，通常包括Web瀏覽器、移動應(yīng)用程序和公共API訪問。云計算關(guān)鍵領(lǐng)域安全指南v4.0PullContainerCusterJotif云計算關(guān)鍵領(lǐng)域安全指南v4.0云計算與傳統(tǒng)計算的關(guān)鍵區(qū)別在于元結(jié)構(gòu)。云計算與傳統(tǒng)計算的關(guān)鍵區(qū)別在于元結(jié)構(gòu)。云計算元結(jié)構(gòu)包括了可網(wǎng)絡(luò)接入且遠(yuǎn)程訪問上述兩種基礎(chǔ)設(shè)施；在公有云中，提供商管云計算關(guān)鍵領(lǐng)域安全指南v4.0●軟件即服務(wù)：云服務(wù)提供商負(fù)責(zé)幾乎所有的安全性，因為云消費者只能訪問和管理其使用的應(yīng)用程序，并且無法更改應(yīng)用程序。例如，SaaS提供商負(fù)責(zé)周邊安全，日志/●平臺即服務(wù)：云服務(wù)提供商負(fù)責(zé)平臺的安全性，而消費者負(fù)責(zé)他們在平臺上所部署的應(yīng)用，包括所有安全配置。因此兩者職責(zé)幾乎是平均分配的。例如，使用一個數(shù)據(jù)庫作為服務(wù)時，提供商管理基本的安全，修復(fù)和核心配置，而云消費者則對其他負(fù)責(zé)，云計算關(guān)鍵領(lǐng)域安全指南v4.0立在該基礎(chǔ)設(shè)施上的其它安全，不同于PaaS,IaaS的消費者承擔(dān)更多的責(zé)任。例如，最重要的安全性考慮是確切地知道誰負(fù)責(zé)特定的云計算項目。如果任何特定的云提供商提供了特殊的安全控制，且你清楚地知道他們提供了什么以及如何運作，這一點相對而言就沒有那么重要。消費者可以選擇通過自身控制來消除控制的差異，或是選擇不同的云提供商。當(dāng)選這是云服務(wù)提供商和消費者的安全關(guān)系的本質(zhì)。提供商應(yīng)當(dāng)做什么?消費者應(yīng)當(dāng)做什么?云供應(yīng)商是否給使用者提供了他們需要的服務(wù)?合同中擔(dān)保了哪些責(zé)任和服務(wù)水平協(xié)議，以及云計算關(guān)鍵領(lǐng)域安全指南v4.0●云控制矩陣(CCM),其中列出了云計算的安全控制，并將它們映射到多個安全和合規(guī)●概念模型域包括用于解釋云安全概念和原理的可視化效果和描述，如本文提到●參染購是指實現(xiàn)云安全的模板，這個架構(gòu)通常是具有普遍性的(例如laaS安全參考架構(gòu))。它們可以是非常抽象的，與概念相關(guān)，或者相當(dāng)詳細(xì)，與特定的控制和功能中一個例子。與參考架構(gòu)一樣，它們可能或多或少是抽象的或具體的，甚至是特定云這些模型之間的劃分往往是模糊和重疊的，這取決于模型開發(fā)人員的目標(biāo)，甚至將它們中SecurityGuidancev.4OCopyright2017,CloudSecurityAllianceConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0●CSA企業(yè)架構(gòu)●CSA云控制矩陣(CCM)●NIST云計算安全參考架構(gòu)草案(NIST500-299號特刊),其中包括概念模型，參考架構(gòu)和控制框架。安全控制實踐守則。在本指南中，我們還提及其他領(lǐng)域特定的模型。雖然實施細(xì)節(jié)、必要的控制、具體過程以及各種參考架構(gòu)和設(shè)計模型會根據(jù)具體的云項目有很大的不同，但是仍會有一個相對簡單的的高級流程來管理云安全：●確定必要的安全和合規(guī)要求以及任何現(xiàn)有的控制點。●選擇云提供商、服務(wù)和部署模型。●定義架構(gòu)?！裨u估安全控制?！翊_定控制差距?！裨O(shè)計和實施控制以彌補差距?！癯掷m(xù)管理變更。SecurityGuidancev.4OCop云計算關(guān)鍵領(lǐng)域安全指南v4.0由于不同的云計算項目，即使是同一個云提供商，也可能會采用完全不同的配置和技術(shù)，每個項目都應(yīng)該根據(jù)自己的情形進行評估。例如，針對某一供應(yīng)商部署在laas上的應(yīng)用程序所適用的安全控制，與這家供應(yīng)商部署在PaaS的類似項目所適用的安全控制相比，可能看起來區(qū)別很大。關(guān)鍵在于識別需求、設(shè)計架構(gòu)，然后根據(jù)底層云平臺的功能來識別差距。這就是為什么在將安全需求轉(zhuǎn)化為控制之前，您需要了解云供應(yīng)商和云架構(gòu)。SecurityGuidancev.4OCopyright2017,Cloud云計算關(guān)鍵領(lǐng)域安全指南v4.0這些域分成了兩大類：治理(governance)和運行(operations)。治理域范疇很廣，解決云治理和企業(yè)風(fēng)險管理組織治理和度量云計算帶來的企業(yè)風(fēng)險的能力。力，當(dāng)用戶和提供商都有可能出現(xiàn)故障時保護敏感數(shù)據(jù)的責(zé)任，及國際邊界對這些問題有何影響等都是關(guān)注法律問題：合同洞信息披露的法律、監(jiān)管要求，隱私要求和合規(guī)性和審計管理保持和證明使用云計算的合規(guī)性。同的合規(guī)性要求(規(guī)章、法規(guī)等)。同時還提供在審計過程中證明合規(guī)性的一些指導(dǎo)。治理云中的數(shù)據(jù)。本節(jié)涉及云中數(shù)據(jù)的識別和控制；以及可用于處理數(shù)據(jù)遷移到云中時失去物理控制這一問題的補償控制。也提及其它項，如誰負(fù)責(zé)數(shù)據(jù)機密性、完整性和可用性等。SecurityGuidancev.4OCopyright2017,CloudS云計算關(guān)鍵領(lǐng)域安全指南v4.01.3.2運行域管理平面和業(yè)務(wù)保護訪問云時使用的管理平臺和管理結(jié)構(gòu)，包括Web控制臺(Container)技術(shù)事件響應(yīng)、通告適當(dāng)?shù)暮统浞值氖录z測、響應(yīng)、通告和補救。嘗試說明為了一些條目。本域?qū)椭斫庠平o您現(xiàn)有的事件處理程序帶來的復(fù)雜性。臺是最合適的(SaaS,PaaS,orlaaS)。數(shù)據(jù)安全和加密實施數(shù)據(jù)的安全和加密控制，并保證可擴展的密鑰管理身份、授權(quán)和訪問管理備就緒進行基于云的身份、授權(quán)和訪問管理(IdEA)。安全即服務(wù)SecurityGuidancev.4OCopyright2017,CloudSecurityAlliaConfidentialforCSAmembersonly—NOT云計算關(guān)鍵領(lǐng)域安全指南v4.01.4建議●理解云計算與傳統(tǒng)基礎(chǔ)設(shè)施或虛擬化之間的差異，以及抽象化和自動化對安全性的影響●熟悉NIST云計算模型和CSA參考架構(gòu)●使用工具，如CSA的共識評估問卷(CAIQ),來評估和比較云服務(wù)提供商?！裨铺峁┥虘?yīng)清楚地記錄其安全控制和功能，并使用類似CSACAIQ的工具進行發(fā)布.●使用工具，如CSA云控制矩陣(CCM),來評估和記錄云項目安全性和合規(guī)性要求和控制，以及每一個控制點的負(fù)責(zé)人?！袷褂迷瓢踩鞒棠Ｐ蛠磉x擇提供商，設(shè)計架構(gòu)，識別控制差距，以及實施安全性和合規(guī)性控制。1.5參考文獻SecurityGuidancev.4OCopyright2017,CloudSecurityAConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.02.0簡介ISO/IEC38500:2015信息技術(shù)組織IT治理ISO/IEC27014:2013信息技術(shù)安全技術(shù)信息安全治理政策、合同、保險和其他機制也發(fā)揮作用(包括非電子數(shù)據(jù)信息的物理安全等)。然而，信云計算關(guān)鍵領(lǐng)域安全指南v4.02.1概述2.1.1治理云計算影響治理關(guān)系，因為它要么引入對第三方過程管理(在公共云或托管私有云的情況下),或在私有云的情況下可能改變內(nèi)部的治理結(jié)構(gòu)。管理云計算時要記住的首要問題是，一個繼只永遠(yuǎn)不能飽冶理的責(zé)任即使是使用外部供應(yīng)商的情況下。無論采用云計算或不采用云計算服務(wù)，這都是正確的。但需要理解的是，在云計算環(huán)境下的共同責(zé)任模式的概念，是非常有用云服務(wù)提供商通常會試圖利用規(guī)模經(jīng)濟來管理成本和提供云計算服務(wù)的能力。這意味著需要提供標(biāo)準(zhǔn)化的服務(wù)(包括合同和服務(wù)水平協(xié)議),對所有客戶都是一致的。對待云服務(wù)提供商，組織的治理模式不一定能像對待其他專用的外部服務(wù)提供商一樣，專用的外部服務(wù)提供商他們通常為每個客戶定制自己的產(chǎn)品，包括法律協(xié)議。云計算改變了實施管理和治理的職責(zé)與機制。如任何業(yè)務(wù)關(guān)系一樣，需要在合同中定義治SecurityGuidancev.4OCop云計算關(guān)鍵領(lǐng)域安全指南v4.0理的職責(zé)和機制。如果關(guān)注的領(lǐng)域不在合同中明確，就沒有可實施的保障機制，并且存在治理缺口。治理缺口不一定意味著需要排除使用外部供應(yīng)商，但他們確實要求客戶調(diào)整自己的流程以減少差距，或接受相關(guān)的風(fēng)險。與任何其他領(lǐng)域一樣，也有用于治理的特定管理工具。此列表更側(cè)重于外部云服務(wù)提供者的管理工具，但這些工具通常也可以運用在在內(nèi)部私有化部署的環(huán)境下：●合同：管理的主要工具是云提供商和云客戶之間的合同(對公有云和私有云都一樣)。合同是把一切都變成法律條款，從而保障任何服務(wù)水平或承諾不會違約的唯一方式。合同是將治理擴展到業(yè)務(wù)合作伙伴和服務(wù)提供者的主要工具。合同定義供應(yīng)新客戶之間的關(guān)系也客向地們的共應(yīng)商展治理的主要T具●供應(yīng)商(云提供商)評估：這些評估是云客戶利用可用的信息和允許的流程/技術(shù)，來對潛在的云提供商進行考核的方法。這綜合了合同和手冊的研究，與第三方認(rèn)證(法律條款上通常明確要求評估或?qū)徲嫷慕Y(jié)果),以及技術(shù)研究等各個方面。與任何供應(yīng)商的評估都非常相似，包括財務(wù)上的可行性，歷史，特色產(chǎn)品，第三方認(rèn)證的結(jié)果，來自同行的反饋等等。更多關(guān)于評估的詳細(xì)信息在此域和域4中描述?！窈弦?guī)報告：合規(guī)報告包括供應(yīng)商內(nèi)部(即自身)和外部合規(guī)評估的所有文件。它們是一個SecurityGuidancev.4OCConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0組織執(zhí)行自己的內(nèi)部控制措施情況的審計報告，客戶可以選擇對提供商進行審計(雖然這為他們可以提供具有獨立性的驗證(假設(shè)你信任第三方)。評估和審計應(yīng)根據(jù)現(xiàn)有的標(biāo)準(zhǔn)(實際上有非常多的參考標(biāo)準(zhǔn)),關(guān)鍵是需要要了解標(biāo)準(zhǔn)的應(yīng)應(yīng)商的服務(wù)有哪些)以及相關(guān)控制措施的實施評估。因此，一個云服務(wù)提供者“通過”了一個審計，不一定包含所有的安全控制措施，這對安全和風(fēng)險管理人員來說可能是不夠的。需要同時考慮第三方的評估，等同于你在做自己評估時，可能進行的活動。并非所有的審計公司(或?qū)徲嫀?都是一致的，公司的經(jīng)驗、歷史和資格應(yīng)包括在你的治理決策中。云提供商基于CSA的云控制矩陣(CCM)和(CAIQ)開展通用評估的報告。一些云服務(wù)提供商還披露額外的認(rèn)證信息和評估文件(包括自我評估)。企業(yè)風(fēng)險管理(ERM)是組織對所有類型風(fēng)險的全面管理。與治理一樣，合同定義了云服務(wù)提供商和云客戶之間的風(fēng)險管理的角色和職責(zé)。而且，與治理一樣，你永遠(yuǎn)不能外包你的整(lnistpubs/SpecialPublications/NIST.SP.800-37r1.pdf)在云環(huán)境下，風(fēng)險管理是基于責(zé)任共享模型的(這是我們最經(jīng)常討論的參考安全模型)。對某些風(fēng)險來說，云提供商承擔(dān)一定的責(zé)任，而云客戶要承擔(dān)比這個范圍更大的風(fēng)險責(zé)任?？紤]ConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0對風(fēng)險的所有權(quán)負(fù)責(zé)，他們只是向云服務(wù)提供商的傳遞了一些風(fēng)險管理的要求。這在私有云情況下，也是一樣的；在這種情況下，一個組織單位把一些風(fēng)險管理的要求傳遞給了內(nèi)部的云服式。鑒于治理幾乎完全依賴于合同，風(fēng)險管理可以根據(jù)云提供商的文檔，深入挖掘他們的技術(shù)和流程的能力。例如，合同很少定義網(wǎng)絡(luò)安全實際上是如何實現(xiàn)的。通過審查供應(yīng)商的文風(fēng)險容忍度是指組織的領(lǐng)導(dǎo)和利益相關(guān)方愿意接受的風(fēng)險總量和等級。它會基于資產(chǎn)而變化，你不應(yīng)該對某個特定的云提供商做一個基準(zhǔn)一致的風(fēng)險決策，相反，風(fēng)險評估應(yīng)該與所涉及的資產(chǎn)的價值和要求相一致。因為公有云服務(wù)商是外部的，云客戶可能會關(guān)注一些共享基礎(chǔ)設(shè)施的資產(chǎn)情況，并不意味著它對所有資產(chǎn)的風(fēng)險接受程度是一致的。隨著時間的推移，你應(yīng)該建立一個矩陣跟蹤表，來描述一系列的云服務(wù)以及哪些類型的資產(chǎn)與這些服務(wù)相關(guān)。遷移到在大多數(shù)情況下，合同談判的重要性都是SaaS服務(wù)最明顯的例子。好的服務(wù)合同將保護風(fēng)險治理或驗證某些情況下風(fēng)險控制的能力，例如，數(shù)據(jù)的存儲，處理和傳輸，以及在應(yīng)用中的情況。SaaS供應(yīng)商的規(guī)模大小和能力水平，往往分布在兩個極端；對一個小型SaaS提供商時，談判合同的可能性要高得多。但不幸的是，許多小型Saas提供商無法在復(fù)雜的環(huán)境下滿足或超云計算關(guān)鍵領(lǐng)域安全指南v4.0這種服務(wù)模式可以更加明確要求的細(xì)節(jié)(同時相關(guān)的自我管理和治理風(fēng)險問題的能力也提求的達成情況。也就是說，客戶必須在確定云服務(wù)商的合同約定方面，有效地提出了控制或支基礎(chǔ)設(shè)施即服務(wù)的云模式最接近傳統(tǒng)的數(shù)據(jù)中心服務(wù)(甚至就是一個傳統(tǒng)的外包管理數(shù)據(jù)中心服務(wù));好消息是對絕大多數(shù)現(xiàn)有的風(fēng)險管理活動，組織已經(jīng)建立或可以直電源、暖通、空調(diào)等)是一致的。類似的風(fēng)險治理和管理的問題也是同樣存在的，但這些系統(tǒng)對云客戶來說可控程度是完全不同的，因此改變現(xiàn)有的管理過程是必需的。例如，控制可以改云計算關(guān)鍵領(lǐng)域安全指南v4.0力，這必將會影響云客戶將自己的治理模式擴展到云端的能力。以同樣的合同模板應(yīng)對多租戶的需求是公有云的自然屬性：云供應(yīng)商不能調(diào)整為每一個云客戶運行使用一套流程，定制一組資源的合同和操作。適應(yīng)不同的客戶需求，是會增加成本的；云供應(yīng)商需要權(quán)衡，而且這往往是使用公有云和私有云之間的分界線。托管私有云的模式下，允許全定制，但由于規(guī)模經(jīng)濟損失增加了成本。這并不意味著你不該嘗試談判你的合同要求，但應(yīng)認(rèn)識到對一個云提供商這而言并是普遍可行的，因此你需要選擇不同的云提供商(這可能也會造成不太安全的情況),或調(diào)整您的需求，并使用替代的風(fēng)險治理機制，從而減輕這方面的壓力。這種情況非常類似航運服務(wù)。當(dāng)你使用一個普通的運營商/供應(yīng)商，你無法定義他們的業(yè)務(wù)模式。而你需要把你的敏感文件包委托給他們交付，希望他們履行安全義務(wù)，并滿足預(yù)期的服務(wù)水平協(xié)議要求。私有云公共云并不是影響風(fēng)險治理的唯一模式，私有云也會產(chǎn)生影響。如果一個組織允許第三方擁有和/或管理私有云(這是很常見的),這種情況下的風(fēng)險治理情況與任何其他的外包供應(yīng)商都是類似雖然你可能對合同條款有更多的控制權(quán)，但確保它們覆蓋所需的治理機制仍然很重要。對公共服務(wù)提供商，往往通過多種獎勵的證據(jù)來承諾其服務(wù)的能力，而托管的私有云則可以提供其他額外的性能、特定的功能水平和競爭力，但是在合同中也會有額外的費用產(chǎn)生。這必須在合同談判中考慮，通過條款明確保證該平臺的能力。例如，通過要求供應(yīng)商對私有云平臺在一定的時間內(nèi)始終保組織內(nèi)部的私有云的治理模式一般是通過內(nèi)部服務(wù)水平協(xié)議(企業(yè)或其他組織單位)并提供訪SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrighConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0在考慮混合云環(huán)境時，治理策略必須考慮由云提供商的合同和該組織的內(nèi)部治理策略共同組成的最小的公共控制措施集。云消費者同時采用兩個云環(huán)境或數(shù)據(jù)中心的服務(wù)。在這兩種情況下，整體治理是這兩種模式的交集。例如，如果您將您的數(shù)據(jù)中心通過專用的網(wǎng)絡(luò)鏈接連接由于社區(qū)云是多個組織共享的不對外開放的平臺，它的治理延伸到各個社區(qū)成員之間的關(guān)系，而不僅僅是云供應(yīng)商和云客戶?；旌狭斯性坪屯泄芩接性频闹卫硪?，可以利用合同和其他治理工具，參考一定規(guī)模的公有云提供商的模式，但是基于社區(qū)的方式進行調(diào)整，如托管●這就建立了對關(guān)系的積極管理和遵守合同的嚴(yán)格要求。云提供商還不斷發(fā)展他們的產(chǎn)品和服務(wù)，保持競爭力，這些持續(xù)的創(chuàng)新可能會超過最初的合同范圍，對合同帶來變●云客戶和云提供商，通過責(zé)任共享模型來管理風(fēng)險，云客戶有可能會減少需求(和相關(guān)的成本降低),要求云提供商接受風(fēng)險。云客戶沒有外包管理風(fēng)險的責(zé)任，但一定可SecurityGuidancev.4OCopyright2017,CloudSecurityAlliConfidentialforCSAmembers云計算關(guān)鍵領(lǐng)域安全指南v4.0insurers,outsources)在審查和理解云提供商管理風(fēng)險的能力之后，余下的就是殘余風(fēng)險。殘余風(fēng)險通?？梢杂赡鷮崿F(xiàn)的控制措施(例如加密)來管理。風(fēng)險控制的可能性和具體的實現(xiàn)方式，在云提供商、風(fēng)險轉(zhuǎn)移通常是由保險來實現(xiàn)的，但是它是一種不完善的機制，特別是信息風(fēng)險。它可以彌補一些與一次損失事件相關(guān)的財務(wù)損失，但對二次損失事件(如客戶損失)沒有幫助，特別SecurityGuidancev.4OCConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.02.2推薦■在簽訂協(xié)議之前獲得和審查合同(以及任何參考文件)。管理這種風(fēng)險(例如監(jiān)控或加密)。■現(xiàn)有審計和評估。SecurityGuidancev.4OCopyright2017,Clo云計算關(guān)鍵領(lǐng)域安全指南v4.0D3:法律問題，合同和電子舉證3.1簡介本域僅就有選擇性的問題提出了概述，并不能對所有潛在問題提供足夠的細(xì)節(jié)。對您面臨的特定問題，您應(yīng)咨詢你準(zhǔn)備參與運營所在的司法管轄區(qū)或(和)你客戶所在司法管轄區(qū)的法律顧問。更進一步要求，應(yīng)注意法律法規(guī)的變化，并在真實環(huán)境應(yīng)用之前，驗證和更新本域的●云服務(wù)協(xié)議(合同)和D5兩部分。因為自己部署的私有云的運營與目前大多數(shù)現(xiàn)存IT的運營相當(dāng)，本域主要關(guān)注公有云或第SecurityGuidancev.4OCopyright2017,CloudSe云計算關(guān)鍵領(lǐng)域安全指南v4.03.1.1數(shù)據(jù)保護/隱私權(quán)的法律框架縱觀全球，眾多國家有著不計其數(shù)的法律、法規(guī)以及其它的要求，它們要求公共組織和私營機構(gòu)要保護個人數(shù)據(jù)的隱私性、信息和計算機系統(tǒng)的安全性。這些法律部分是依據(jù)經(jīng)合組織見，以及亞太經(jīng)合組織(AsiaPacificEconomicCooperation,簡稱APEC)的隱私框架。橫跨多個區(qū)域的云提供商和云用戶，將會面臨各種不同司法管轄區(qū)域的法律和法規(guī)所構(gòu)成的矩陣，影響因素如下：●云提供商所在的區(qū)域●云用戶所在的區(qū)域●數(shù)據(jù)主體所在的區(qū)域●合同適用的法律管轄區(qū)域，可能與某些股東不同?！襁@些不同區(qū)域之間的互認(rèn)條約或其他的法律文書。ofservices適用的法律要求應(yīng)針對不同司法管轄區(qū)域，最廣泛的吸收適用的法律要求應(yīng)針對不同司法管轄區(qū)域，最廣泛的吸收例如，在亞太地區(qū)、日本、澳大利亞、新西蘭以及許多國家已經(jīng)通過數(shù)據(jù)保護法律，這些SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrightsreservedConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0在日本，個人信息保護法案要求私營企業(yè)保護個人信息以及數(shù)據(jù)的安全。在不同領(lǐng)域還有息必須被良好的保持，以確保和個人相關(guān)的信息和意見受到保護，并確保在數(shù)據(jù)和人之間沒有在歐洲經(jīng)濟區(qū)(EEA),歷史上有兩個主要的歐盟指令闡明了數(shù)據(jù)保護方面有關(guān)的要求(注：(E-PrivacyDirective,2009年修訂版)。這些指令包括包含安全的組成部分，并必須將提供充分被相關(guān)法規(guī)替代。在2016年5月4日，歐盟發(fā)布了新的《通用數(shù)據(jù)保護法案》(GDPR),不同SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrightsreservedConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0因此，根據(jù)“指令”的要求，在成員國內(nèi)，當(dāng)某公司違反其所在國家的數(shù)據(jù)保護規(guī)定，將依照成員國的法律和法規(guī)，施以強制性的制裁措施，而新的《通用數(shù)據(jù)保護法案》將直接約束所有與歐盟公民數(shù)據(jù)處理有關(guān)的公司，爭議將由與爭議雙方的個人或?qū)嶓w關(guān)系最密切的數(shù)據(jù)監(jiān)北美、中美以及南美國家也正在以快速的步伐通過數(shù)據(jù)保護法律。這些國家的法律都包括安全方面的要求，并且將確保個人數(shù)據(jù)防護和安全的重?fù)?dān)放在了數(shù)據(jù)保管人身上。無論這些數(shù)據(jù)位于何處，特別是當(dāng)向第三方傳輸時。譬如，除了加拿大、阿根廷以及哥倫比亞的數(shù)據(jù)保護法律已經(jīng)出臺多年外，墨西哥、烏拉圭和秘魯也全都通過了數(shù)據(jù)保護法律。這些法律都主要受在美國開展業(yè)務(wù)的組織可能受制于一個或多個數(shù)據(jù)保護法律。這些法律要求組織為他們分要求相關(guān)的組織以書面合同的形式迫使他們的分包商采用合理的安全措施，并且遵守數(shù)據(jù)隱私這些數(shù)據(jù)隱私條款常常被嵌入到與某個行業(yè)活動相關(guān)的一系列法規(guī)中(例如，美國聯(lián)邦法規(guī)第SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.Allrightsreserv云計算關(guān)鍵領(lǐng)域安全指南v4.0法案只應(yīng)用于由健康計劃、醫(yī)療保健機構(gòu)、醫(yī)療服務(wù)提供者以及他們的代理人(即那些被HIPAA除聯(lián)邦法律和法規(guī)外，在美國大多數(shù)州都有，至少在違約會導(dǎo)致財務(wù)數(shù)據(jù)丟失方面都有與公司(不僅是該法律所在的特定的州)。有些州的法律只適用于他們自己公民的數(shù)據(jù)，有些州的法律即適用于他們自己公民的數(shù)據(jù)，還適用于其他缺乏自己數(shù)據(jù)隱私法的州的公民的數(shù)據(jù)(參述，有的則參照特定標(biāo)準(zhǔn)(例如PCI-DSS,如上文述)并在合規(guī)基礎(chǔ)上分配責(zé)任(例如華盛頓州美國是沒有全國性數(shù)據(jù)保護且適用于所有類型個法律以及相關(guān)的規(guī)定，例如GLBA、HIPAA、1998年的兒童在線隱私保護法案FTC與溫德姆酒店集團(Wyndham)的司法判決中要求Wyndha據(jù)時采用“商業(yè)上合理的安全措施”。美國眾多的州法也要求公司有義務(wù)為個人數(shù)據(jù)提要求公司與服務(wù)提供商的書面合同里有合理的安全措施條款。例如，可參見馬薩諸塞州的《聯(lián)邦居民個人信息保護標(biāo)準(zhǔn)(201CMR17.00)》的擴展要求。SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.Allrightsreserv云計算關(guān)鍵領(lǐng)域安全指南v4.0例如像PCIDSS、或是ISO27001這樣的標(biāo)準(zhǔn)也引發(fā)類似聯(lián)邦法以及州法那樣的多米諾骨牌效應(yīng)。受制于PCIDSS、或是ISO27001標(biāo)準(zhǔn)標(biāo)準(zhǔn)，并同時將類似的義務(wù)傳達給他們的分包商以便滿足受制約的這些標(biāo)準(zhǔn)。非美國法規(guī)許多國家已經(jīng)通過遵循歐盟模式、經(jīng)合組織或律。在這些法律下，數(shù)據(jù)的控制人(通常是與個對其數(shù)據(jù)收集及對該數(shù)據(jù)用途的提議。這些法律規(guī)定了訪問個人數(shù)據(jù)的實體的若干義務(wù)，如某些保密性和安全義務(wù)。他們賦予個人對抗任何持有其個人資料的實體。當(dāng)委托一個第三方代表數(shù)據(jù)的控制人(數(shù)據(jù)處理人)處理數(shù)據(jù)時，第三方也對收集和處理個人數(shù)據(jù)保有責(zé)任。數(shù)據(jù)的控制人被要求確保任何代表它處理個人數(shù)據(jù)的第三方采的安全措施來保護數(shù)據(jù)。系人或是雇員的個人信息，以確保這些數(shù)據(jù)未被挪作他用、以及未泄漏給第三方。譬如，這個責(zé)任可能來自公司在其Web站點上發(fā)布的、或是公司已與第三方簽訂并執(zhí)行的合同中約定的條款、條件和隱私聲明受其服務(wù)協(xié)議條款的約束，只針對某一特定目的處理個人數(shù)據(jù)。此外，公司可能與它的客戶簽訂合同(例如服務(wù)協(xié)議),在合同中對數(shù)據(jù)保護通告、或其它合同內(nèi)所做出的許諾和承諾。例如，公司用于特定的用途。在云中的數(shù)據(jù)必須只能用于它們被收集的目的。信息，云服務(wù)提供商也必須允許其與在非云服務(wù)關(guān)系下同等程度地行使訪問、在全世界有許多法律禁止、或是限制信息傳出該國。在有的情況),只有當(dāng)接收信息的國家提供對個人信息、以及隱私權(quán)充分的保護時才允許信息傳輸。該充分保護要求的目的在于：確保那些跨國界被傳輸?shù)絼e國的隱私權(quán)利和隱私保護。或者，有必要在數(shù)據(jù)輸入人和輸出人之間簽訂一個合同，合同約定一旦完成向輸入人傳輸數(shù)據(jù)，數(shù)據(jù)主體的權(quán)利會確定得到保護。處是重要的，以便能解決國外的數(shù)據(jù)保護法律可能施加給其的特定限依國家而定，確保該充分保護的要求可能是復(fù)雜的和嚴(yán)格的。在某可能需要首先獲得當(dāng)?shù)財?shù)據(jù)保護專員的許可。在其他國家(典型的是那些對信息流有限制的國家)則簡單禁止把居民的數(shù)據(jù)傳輸SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrightsreservConfidentialforCSA云計算關(guān)鍵領(lǐng)域安全指南v4.03.1.2合同與供應(yīng)商選擇對于任何數(shù)據(jù)的丟失、損壞或濫用仍然承擔(dān)責(zé)任。數(shù)據(jù)的保管人與云服務(wù)的(法律)協(xié)議是慎重的，該協(xié)議要清晰定義角色、各方的期望和與數(shù)據(jù)利害攸關(guān)的眾多職責(zé)，上述討論的法律、法規(guī)、標(biāo)準(zhǔn)以及相關(guān)的最佳實踐也要求數(shù)據(jù)保管人進行盡職調(diào)查(在執(zhí)行合同前)或安全審計(在合同履行期間),以確保這些責(zé)任得到履行。公司是委托給他們的數(shù)據(jù)的保管人。如上所述，許多法律、法規(guī)或合同禁止、約束或限定數(shù)據(jù)披露或轉(zhuǎn)讓給第三方。例如，如果沒有對“商業(yè)伙伴”施加特定的義務(wù)要求的情況下，根在進入云計算之前，公司應(yīng)該評估自己的實踐、需求和限制，目的確定云計算交易相關(guān)的法律障礙和合規(guī)性要求。例如，應(yīng)該確定其業(yè)務(wù)模式是否允許使用，以及在何種條件下使用云公司應(yīng)調(diào)查是否存在保密協(xié)議或數(shù)據(jù)使用協(xié)議，用于限制傳輸數(shù)據(jù)給第三方，即使這第三方是服務(wù)提供商。如果公司已簽署保密協(xié)議，以保護個人信息或商業(yè)秘密，沒有數(shù)據(jù)所有者的事先許可，此協(xié)議可能禁止雇用分包商。如果公司計劃將客戶數(shù)據(jù)處理分包給第三方，則該公司使用的數(shù)據(jù)可能需要當(dāng)事人，即客戶的同意。這種限制大多數(shù)情況適用于轉(zhuǎn)移到云服務(wù)提供商。在這種情況下，沒有客戶的事先許可(數(shù)據(jù)所有者),遷移數(shù)據(jù)到云將導(dǎo)致違反與該客戶之ConfidentialforCSAmemb云計算關(guān)鍵領(lǐng)域安全指南v4.0在簽訂任何合同之前，盡職調(diào)查的關(guān)鍵部分必須是要求和審查對方業(yè)務(wù)的所有相關(guān)方面-在因此，根據(jù)擬建項目的性質(zhì)，盡職調(diào)查可能涉及評估所提供服務(wù)的性質(zhì)和完整性，服務(wù)質(zhì)置。了解客戶可能提供深度價值說明。審查針對云提供商提起訴訟的報告可能會很有啟發(fā)。檢在大多數(shù)情況下，云的客戶將至少要評估可適用的服務(wù)水平、最終用戶、和法律協(xié)議，隱私政策，安全的披露，與適用法律符合的證據(jù)(如注冊要求)確保云提供商提供的條件適合其云計算關(guān)鍵領(lǐng)域安全指南v4.0●云供應(yīng)商將在未來幾年保持業(yè)務(wù)嗎?其財務(wù)狀況如何?對于任何新的項目，好的盡職調(diào)查要審查所有的云服務(wù)協(xié)議的條款建議合同應(yīng)始終仔細(xì)審查，即使被告知內(nèi)容是不可協(xié)商的。一方面，合同實際上可能是談判而變化。即使不可能做到這一點，每個云服務(wù)的購買者應(yīng)該理解的合同協(xié)議的后果和影響。審計和合規(guī)在第4域中被更詳細(xì)地介紹，但兩個因素可能影響合同和法律/法規(guī)要求。云計算中的第三方審核或認(rèn)證經(jīng)常被用來保證與云提供商的基礎(chǔ)設(shè)施方面的合規(guī)性，它允許一個云客戶在云平臺之上建立自己的標(biāo)準(zhǔn)服務(wù)。對于供應(yīng)商需要發(fā)布和客戶需要評估的以下因素是至的業(yè)務(wù)合作協(xié)議(HIPAABusinessAssociateAgreement,BAA)),盡管服務(wù)商的其他的許多服務(wù)云計算關(guān)鍵領(lǐng)域安全指南v4.03.1.3電子舉證本節(jié)討論了美國訴訟的獨特要求。圍繞“發(fā)現(xiàn)”的美國規(guī)則，在訴訟中對方當(dāng)事人可以獲取私人文件，這涵蓋廣泛的潛在文件。特別是，在法庭文件中發(fā)現(xiàn)不限于那些在起初就被認(rèn)為是證據(jù)的文件；相反，發(fā)現(xiàn)將適用于所有文件的合理預(yù)判為證據(jù)(證據(jù)相關(guān)的和證明是證據(jù))。參見聯(lián)邦民事訴訟規(guī)則(FederalRu近年來，已經(jīng)有不少訴訟當(dāng)事人被指控自行刪除、丟失、或修改不利于自己的重要證據(jù)。在這些情況下，聯(lián)邦民事訴訟規(guī)則(FederalRulesofCivilProcedure)認(rèn)可，資金被認(rèn)為是無責(zé)由于云計算將成為訴訟或調(diào)查中所需要的電子化存儲信息的倉庫，云服務(wù)提供商和他們的客戶必須仔細(xì)規(guī)劃如何識別案件涉及的所有文檔，為了能夠滿足聯(lián)邦民事訴訟規(guī)則中電子證據(jù)在美國的大多數(shù)司法管轄區(qū)，各方有義務(wù)生成相關(guān)信息，限于其所擁有、保管或控制的文檔和數(shù)據(jù)。托管在第三方的相關(guān)的數(shù)據(jù)，即使是云服務(wù)提供商，一般也不會為一方當(dāng)事人生成信息的義務(wù)，盡管有法律權(quán)限去查閱或獲得這些數(shù)據(jù)。然而，并非所有托管在云服務(wù)提供商的數(shù)據(jù)會在客戶的控制下(例如，災(zāi)難恢復(fù)系統(tǒng)，云服務(wù)提供商用于運行環(huán)境創(chuàng)建和維護的某些云計算關(guān)鍵領(lǐng)域安全指南v4.0一般來說，在美國一方有義務(wù)采取合理的措施，對其擁有、保管、或控制其所知道的或理應(yīng)知道的數(shù)據(jù)和信息，防止數(shù)據(jù)或信息因銷毀或更改而被破壞或修改，這與懸而未決的或合理預(yù)期的訴訟或政府調(diào)查相關(guān)(這在文檔銷毀上也通常被成為“訴訟保留”)。根據(jù)客戶使用的云服務(wù)和云部署模式，客戶在云中保存與在其他IT基礎(chǔ)設(shè)施中保存可以非常類似，也可以更復(fù)在歐盟，信息保存由歐洲議會和歐盟理事會2006年3月15日的指令2006/24/EC管轄，2月6號的25.873號法令。在美國，盡管適用于潛在當(dāng)事人的管轄權(quán)裁決多種多樣，這些關(guān)注內(nèi)容在聯(lián)邦民事訴訟法第37條得到了廣泛的解決。SecurityGuidancev.4OCopyright2017,Cl云計算關(guān)鍵領(lǐng)域安全指南v4.0成本和存儲：保存可以要求延長大規(guī)模數(shù)據(jù)的保留期。根據(jù)服務(wù)等級協(xié)議(servicelevelagreement,SLA)這樣的后果是什么?如果保持要求超出服務(wù)等級協(xié)議的條款，會發(fā)生什么情況?如果客戶繼續(xù)保持?jǐn)?shù)據(jù)，誰支付延時存儲，以及以怎樣的代價?客戶是否有在服務(wù)等級協(xié)議下的存儲容量?客戶是否能在取證的方式下有效地下載數(shù)據(jù)，從而可以離線或近端保持?jǐn)?shù)據(jù)?所有這些問題都應(yīng)該被視為轉(zhuǎn)移到云端的一部分。保存范圍：請求方僅有權(quán)訪問托管在云中包含相關(guān)信息的數(shù)據(jù)，該數(shù)據(jù)包含或可被合理計算出需要處理問題的與相關(guān)、可提供證據(jù)的信息，而不享有在云中或在應(yīng)用程序中的所有數(shù)據(jù)訪問權(quán)。(確切限制的問題，很可能在訴訟中得到解決?！?。)然而，如果客戶沒能以粒度方式保持相關(guān)信息或數(shù)據(jù)，可能需要過度保持(over-preserve)作為合理的保護，這取決于訴訟或調(diào)查。(然后，在取證過程中，這些信息作用被應(yīng)確定哪些應(yīng)該必須和不應(yīng)作為移交的一部分。這個過程，稱為文件審查或特權(quán)審查，可以由有償律師工作人員，或在某些情況下，由專家系統(tǒng)動態(tài)和共享存儲：如果客戶有空間來容納數(shù)據(jù)，數(shù)據(jù)相對靜止，訪問的人有限的并且知道如何保存數(shù)據(jù)，則在云中保存數(shù)據(jù)的負(fù)擔(dān)可能相對較小。然而，在云環(huán)境中以編程方式修改或清除數(shù)據(jù)，或與沒有意識到數(shù)據(jù)需要保持的人共享，保持變得更加困難。當(dāng)客戶明確這些數(shù)據(jù)是相關(guān)的，而且需要保村的，客戶可能需要與供應(yīng)商合作，以確定合理的方式來保由于可能缺乏管理控制，客戶收集來自云中的數(shù)據(jù)比收集防火墻后面的數(shù)據(jù)更困難，更耗時，更昂貴。特別是客戶對其云中的數(shù)據(jù)可能不具有相同的能見度水平，將已經(jīng)收集到的數(shù)據(jù)與云計算中的數(shù)據(jù)進行比較，以確定輸出的完整性和準(zhǔn)確性，可能會更加困難。訪問和帶寬：在大多數(shù)情況下，客戶訪問其在云中的數(shù)據(jù)將取決于服務(wù)等級協(xié)議。這可能會限制其快速、以取證的方式收集大量數(shù)據(jù)的能力(即，與所有合理相關(guān)的元數(shù)據(jù)保持一致)?？蛻艉驮品?wù)提供商盡早地考慮了這個問題，在訴訟和調(diào)查允許收集的情況下，為額外的訪問建立協(xié)議(和成本)。如果沒有這些協(xié)議，當(dāng)請求方和法院交涉時，客戶應(yīng)考慮在云中收集帶來ConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0訪問他們的硬件，特別是在多租戶環(huán)境中客戶能訪問到其他客戶的數(shù)據(jù)。即使在私有云中，取除這種不適當(dāng)?shù)呢?fù)擔(dān)。)幸運的是，取證在合理的完整性：客戶面對請求發(fā)現(xiàn)應(yīng)采取合理的措施以驗證其從云供應(yīng)商的收集是完整和準(zhǔn)確的，尤其在普通業(yè)務(wù)流程不可獲得和訴訟的具體措施被用來獲取信息。這個過程與在云中無法合理的訪問：由于客戶存儲的數(shù)據(jù)及客戶的訪問權(quán)限和特權(quán)存在差異，存在一些案例顯示云中的客戶并非可訪問所有存儲在云中數(shù)據(jù)。當(dāng)響應(yīng)請求發(fā)現(xiàn)時，云用戶和云的供應(yīng)商應(yīng)云計算關(guān)鍵領(lǐng)域安全指南v4.0情況下，ESI預(yù)計將制定的標(biāo)準(zhǔn)格式(如PDF的電子文件),除非與此爭議相關(guān)的轉(zhuǎn)化數(shù)據(jù)(如元數(shù)據(jù))而信息丟失。在這種情況下，云本地生成的原始格式的數(shù)據(jù)對請求方可能是無用的，因為他們將無法理解所產(chǎn)生的信息。在這種情況下，可能最好的是要求所有有關(guān)方，包括生產(chǎn)是否應(yīng)被接納為證據(jù)?，F(xiàn)在的問題是該文檔是否是它所聲稱的供應(yīng)商和客戶最好從合作的一開始就考慮(電子)發(fā)現(xiàn)導(dǎo)致的復(fù)雜度并在服務(wù)等級協(xié)議中云服務(wù)提供商可能被第三方以傳票、搜查令或法院形式的命令要求其提供信息，獲得對客戶數(shù)據(jù)的訪問請求?？蛻艨赡芟Ｍ軐乖L問請求，確保數(shù)據(jù)的保密性和秘密性要求。為此，云服務(wù)協(xié)議應(yīng)要求云服務(wù)供應(yīng)商把收到傳票的信息通知公司，并給公司時間來對抗此類訪問請云計算關(guān)鍵領(lǐng)域安全指南v4.0并采用適當(dāng)?shù)姆煞椒?。云服?wù)提供商在披露其保管的信息前應(yīng)認(rèn)真地分析請求，并考慮是否可以通過發(fā)布信息來滿足其客戶。在某些情況下，服務(wù)商可以更好的滿足客戶的需求，因為它可以滿足太寬泛或有問題的需求。關(guān)于取證和電子存儲信息的更多閱讀資料，有各種各樣的來源。比較重要的一個是塞多納會議(SedonaConference),該組織圍繞ESI的處理提出有影響力建議已經(jīng)好幾年了，他們反過來又在影響這一新興的法律領(lǐng)域。然而，請注意，他們的建議本身并不具有法律效力。SecurityGuidancev.4OCopyright2017,Cl云計算關(guān)鍵領(lǐng)域安全指南v4.04.1介紹當(dāng)組織將其業(yè)務(wù)從傳統(tǒng)數(shù)據(jù)中心遷移至云計算數(shù)據(jù)中心之時就將面臨新的安全挑戰(zhàn)。其中最大的挑戰(zhàn)之一即遵從眾多監(jiān)管條例對交付、度量和通信的合規(guī)約束。云服務(wù)的客戶和供應(yīng)商都需要理解和掌握這些不同的條例上的區(qū)別，包括在監(jiān)管上的區(qū)別，以及對已經(jīng)存在的合規(guī)和審計標(biāo)準(zhǔn)、過程和實踐的區(qū)別。而云計算所擁有的分布式和虛擬化的特性，使得原本基于確定除了云服務(wù)供應(yīng)商和用戶之外，監(jiān)管和審計機構(gòu)也需要針對云計算這一新領(lǐng)域進行調(diào)整。現(xiàn)行的法律法規(guī)在編寫時，很少考慮到虛擬化環(huán)境或者云上的部署。這會導(dǎo)致云計算用戶在面對組織合規(guī)性的外部審計時面臨很大挑戰(zhàn)。正因如此，理解云計算與監(jiān)管環(huán)境的相互關(guān)系將是予特別關(guān)注。云服務(wù)提供商和用戶的合規(guī)責(zé)任分配，包括間接提供商(如：你所采用云服務(wù)提供商的云服務(wù)提供商)。這包括合規(guī)繼承的概念，其中提供商可能有他們服務(wù)的一部分被認(rèn)證為合格，這部分可以從客戶的審核范圍中剔除，但客戶仍然對建立●供應(yīng)商審核和認(rèn)證的作用以及如何影響客戶審核(或評估)范圍。SecurityGuidancev.4OCopyright2017,CloudSecurityAlliaConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0然審計是一種支持，確保和證明合規(guī)性的關(guān)鍵機制。但合規(guī)性不止于審計，而審計也不止合同，戰(zhàn)略和政策)。合規(guī)過程評估認(rèn)識和合規(guī)的狀態(tài)，進一步評估不符合成本的●審計是證明(或反駁)合規(guī)性的關(guān)鍵工具。同時，審計和評估也被用于支持不合規(guī)云服務(wù)(或任何地方)的信息技術(shù)越來越受到政府、行業(yè)團體、業(yè)務(wù)相關(guān)方和其他利益相關(guān)者的政策和法規(guī)的影響。合規(guī)性管理是一種治理工具；它是關(guān)于一個組織如何評估，采取補特別是法規(guī)通常對信息技術(shù)和信息治理有很強的影響，尤其是在監(jiān)控，管理，保護和公開披露方面。許多規(guī)章制度和義務(wù)都要求一定等級的安全性，這就是為什么信息安全與合規(guī)性緊密結(jié)合的原因。因此，安全控制是一個確保合規(guī)性的重要工具，并且這些控制的評價和測試是安全與安全性一樣，合規(guī)性在云服務(wù)中是一個共享責(zé)任模式。云服務(wù)供應(yīng)商和客戶都有責(zé)任，云計算關(guān)鍵領(lǐng)域安全指南v4.0所有云客戶，尤其是公有云的客戶，必須更多地依賴于供應(yīng)商的第三方認(rèn)證來了解他們的合規(guī)性和差距。由于公有云提供商依賴于規(guī)模經(jīng)濟來管理成本，他們往往不會讓客戶來進行審計。相反，類似于公開上市公司的財務(wù)審計，他們與第三方的公司執(zhí)行審計和頒發(fā)認(rèn)證。因此，云的用戶通常不會自己定義審計的范圍或者自行執(zhí)行審計。他們往往需要依靠這些報告和認(rèn)證來決定服務(wù)是否符合他們的合規(guī)性責(zé)任。許多云供應(yīng)商被各種法規(guī)和行業(yè)要求認(rèn)證，如PCIDSS,sOC1,SCO2,HIPAA,最佳實踐/框架如CSACCM和全球/區(qū)域法規(guī)如EUGDPR。這些有時被稱為準(zhǔn)入型審計(pass-throughaudit)。準(zhǔn)入型審計是合規(guī)性繼承的一種形式。在這個模型中，云供應(yīng)商的所有或者某些基礎(chǔ)設(shè)施和服務(wù)依照合規(guī)標(biāo)準(zhǔn)進行審核。供應(yīng)商承擔(dān)這些認(rèn)證的成本和并維護認(rèn)證。對供應(yīng)商進行審計，包括準(zhǔn)入型審計，都需要了解其局限性：●這些審計證明供應(yīng)商是合規(guī)的?！裨谠品?wù)上建立合規(guī)的應(yīng)用程序和服務(wù)仍然是客戶的責(zé)任。●這意味著供應(yīng)商的基礎(chǔ)設(shè)施/服務(wù)不在客戶審核/評估范圍之內(nèi)。但客戶建立自己的一切仍在審計范圍內(nèi)?！窨蛻魹樗麄冏约核⒑途S護的，承擔(dān)最終的合規(guī)責(zé)任。例如，如果一個laaS供應(yīng)商獲得PCIDSS認(rèn)證，客戶可以在該平臺上建立自己的PCI合規(guī)的服務(wù)，而供應(yīng)商的基礎(chǔ)設(shè)施和運營應(yīng)在客戶的評估范圍之外。然而，如果客戶沒有對在云服務(wù)中運行的應(yīng)用程序進行適當(dāng)?shù)脑O(shè)計，那么將會極易與PCI規(guī)則產(chǎn)生沖突從而造成評估之上建立的一切依然在審計范圍內(nèi)SecurityGuidancev.4OCopyright2017,Cl云計算關(guān)鍵領(lǐng)域安全指南v4.0在傳統(tǒng)計算中組織有同樣的責(zé)任，但云計算大大減少了這些潛在的國際部署時候的沖突。比如，如果沒有啟用適當(dāng)?shù)目刂苼矸乐惯@種情況，開發(fā)人員可能在無需請求國際數(shù)據(jù)中心并簽并不是一個給定的云服務(wù)供應(yīng)商的所有功能和服務(wù)必須符合和認(rèn)證/審核的所有法規(guī)和標(biāo)4.1.2審計管理合適的組織治理結(jié)構(gòu)自然包括審計和保證。審計必須獨立進行，并應(yīng)被穩(wěn)健的設(shè)計從而反映最佳的實踐、適當(dāng)?shù)馁Y源和測試協(xié)議和標(biāo)準(zhǔn)。在深入研究云服務(wù)影響之前，我們需要定義有關(guān)信息安全的審計管理的范圍。審計和保證是證明符合內(nèi)部或外部要求(或識別缺陷)的合規(guī)性的機制。報告需要包括合規(guī)性測定，以及確定的問題、風(fēng)險和補償建議的清單。審計和保證不僅限于信息安全，也包括那些與信息安全相關(guān)的方面，通常集中在評估安全管理和控制的有效性。大多數(shù)組織受內(nèi)部和所有審核有可變范圍和適用性聲明，它定義了評價對象(如所有系統(tǒng)與財務(wù)數(shù)據(jù))和控制范圍(如行業(yè)標(biāo)準(zhǔn)，自定義范圍，或兩者都有)。認(rèn)證是來自第三方的法律聲明，可以作為審計結(jié)果聲明。認(rèn)證是對云供應(yīng)商進行評價和采納使用的一個關(guān)鍵的工具，因為云客戶不總是可SecurityGuidancev.4OCopyri云計算關(guān)鍵領(lǐng)域安全指南v4.0一些云客戶可能習(xí)慣了去審計第三方供應(yīng)商，但云計算的性質(zhì)和與云供應(yīng)商的合同往往會對于部署地點現(xiàn)場的審計形成障礙?？蛻魬?yīng)該了解的是，云供應(yīng)商在同時給多個租戶提供服務(wù)的時候，會(并且通常應(yīng)該)將部署地點現(xiàn)場審計視為一種安全風(fēng)險。來自大量客戶的多個部署地現(xiàn)場審計會呈現(xiàn)明顯的邏輯性和安全性挑戰(zhàn)，特別是當(dāng)供應(yīng)商使用一組共享資產(chǎn)來給客戶客戶與這些供應(yīng)商的工作將會不得不依賴第三方認(rèn)證而不是他們自己執(zhí)行的審計。根據(jù)審計標(biāo)準(zhǔn)，實際審計結(jié)果只有在保密協(xié)議(NDA)的約束下才可得風(fēng)險評估或其他評價的結(jié)果之前，需要遵守相關(guān)基本的法律協(xié)議。這往往是由于法律或?qū)徲嬙乒?yīng)商應(yīng)該理解，客戶仍然需要確保供應(yīng)商履行合同及監(jiān)管義務(wù)，因此應(yīng)提供細(xì)致的第三方認(rèn)證來證明他們履行自己的義務(wù)，尤其是當(dāng)供應(yīng)商不允許客戶直接對其進行評估時。這些認(rèn)證應(yīng)基于行業(yè)標(biāo)準(zhǔn)，要有明確的界定范圍和具體的被評估的控制列表。發(fā)布證書和認(rèn)證(在法律允許的程度)將大大幫助客戶評估云供應(yīng)商。云安全聯(lián)盟星級登記處(CloudSecurityAllianceSTARregistry)為供應(yīng)商提供了一個中央庫，以便供應(yīng)商公開發(fā)布這些文件。明確控制的范圍，所以都需要進行完整的評價。同時，認(rèn)證和證明不一定適用于云服務(wù)供應(yīng)商提供的所有服務(wù)。供應(yīng)商應(yīng)該明確哪些服務(wù)和功能被覆蓋，客戶有責(zé)任注意并了解對自己所使某些類型的客戶技術(shù)評估和審計(如脆弱性評估)在供應(yīng)商的服務(wù)條款內(nèi)或許會被限制，重要的是要記住認(rèn)證和證明是基于某個時間點的行為。認(rèn)證是一個“一段時間”的評估，并可能在未來任何時間點無效。供應(yīng)商必須保持現(xiàn)有的任何已發(fā)布的結(jié)果，否則有可能使客戶云計算關(guān)鍵領(lǐng)域安全指南v4.04.2推薦SecurityGuidancev.4OCopyright2017,CloudSecuritConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0■在部署、遷移或開發(fā)云技術(shù)之前，明確全部合規(guī)義務(wù)?！鲈u估提供商的第三方認(rèn)證和認(rèn)證，并將其與合規(guī)性要求保持一致。■了解評估和認(rèn)證的范圍，包括涵蓋的控制和系統(tǒng)特性/服務(wù)。■嘗試選擇具有云計算經(jīng)驗的審核人員，尤其是當(dāng)準(zhǔn)入型審計和認(rèn)證會被用于客戶審計范圍的情況下?！龃_保他們了解供應(yīng)商提供的合規(guī)性證據(jù)，并有效地收集和管理這些證據(jù)?！舢?dāng)供應(yīng)商的證據(jù)不充足時，創(chuàng)建和收集自己的證據(jù)。■云安全聯(lián)盟云控制矩陣可以支持提供云供應(yīng)商的注冊表、相關(guān)的遵從性要求以及當(dāng)前SecurityGuidancev.4OCopyright2017,ClConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.05.1介紹信息安全的主要目標(biāo)是保護系統(tǒng)和應(yīng)用程序的基本數(shù)據(jù)。隨著企業(yè)向云計算過渡，傳統(tǒng)的數(shù)據(jù)安全方法受到基于云架構(gòu)的挑戰(zhàn)。彈性、多租戶、新的物理和邏輯架構(gòu)和被分離的控需要新的數(shù)據(jù)安全策略。在眾多云部署中，用戶甚至將數(shù)據(jù)轉(zhuǎn)移到外部環(huán)境甚至公共環(huán)境在云計算時代管理信息是一項艱巨的挑戰(zhàn)，它影響到所有組織，不僅需要新的技術(shù)保護，而且需要新的基本治理方法。雖然云計算幾乎對信息治理的所有領(lǐng)域都有一些影響，但由于與我們的數(shù)據(jù)總是服從一系列的要求。一些要求是由其他人附加給我們的，如監(jiān)管機構(gòu)、客●多租戶：當(dāng)數(shù)據(jù)存儲在與其它不可信的租戶共享基礎(chǔ)設(shè)施的公共云上，多租戶提出了復(fù)雜的安全需求。即使在私有云環(huán)境中，對不同的業(yè)務(wù)單元共享的基礎(chǔ)設(shè)施的存儲和管理，可●共享的安全責(zé)任：更大的共享環(huán)境帶來更大的共享的安全責(zé)任。現(xiàn)在數(shù)據(jù)更可能是由不同云計算關(guān)鍵領(lǐng)域安全指南v4.0■所有權(quán)，顧名思義，是關(guān)于誰擁有數(shù)據(jù)的。它并不總是完全清楚的。假如客戶提供給■保管是指誰是管理數(shù)據(jù)。如果一個客戶權(quán)利，你僅僅是保管者。這意味著你只能以被認(rèn)可的方式使用它。保管責(zé)任。托管不能轉(zhuǎn)移你的責(zé)任?；旧?，所有者定義規(guī)則(有時是間接地控制)和在云中托管客戶數(shù)據(jù)，我們將第三方(云提供商)引入治理模型?！窆茌犨吔绾蛿?shù)據(jù)主權(quán)：由于云按定義實現(xiàn)了廣泛的網(wǎng)絡(luò)訪問，它增加了在更多地點(司法管轄區(qū))托管數(shù)據(jù)的機會，并減少了遷移數(shù)據(jù)的摩擦。一些供應(yīng)商可能不會讓數(shù)據(jù)的物理●適用性規(guī)則和隱私政策：所有這些可能受到云適用的第三方提供者和管轄權(quán)變化的組合所影響。例如，您的客戶協(xié)議可能不允許您共享/使用云提供商上的數(shù)全要求(如加密)。當(dāng)遷移到云時，把云作為重新審視信息架構(gòu)的機會。我們今天的許多信息體系架構(gòu)是相當(dāng)破碎的，因為它們在幾十年的時間內(nèi)基于不斷變化的技術(shù)實現(xiàn)的。遷移到云端創(chuàng)造了一個綠色5.2概要數(shù)據(jù)/信息治理意味著確保使用數(shù)據(jù)和信息遵循組織策略、標(biāo)準(zhǔn)和商業(yè)需求和目標(biāo)，信息和數(shù)據(jù)是不同的，但是我們傾向于交替使用它們。信息是有價值的數(shù)SecurityGuidancev.4OCopConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南v4.0●信息分級。它經(jīng)常與適用性有關(guān)，并影響云的目標(biāo)和處理需求。不是每個人都一定有一個●信息管理策略。分級和云的關(guān)系需要增補，如果你有。他們還應(yīng)該覆蓋不同的SPI什么可以上云?什么產(chǎn)品和服務(wù)?有什么安全要求?●屬地和管轄政策。這些都有非常直接的云含義。任何外包必須符合屬地和司法管轄要求?？梢岳斫鈨?nèi)部策略能夠因云計算而改變，但法律要求是硬性約束。(請參閱法律領(lǐng)域以獲取更多關(guān)于這方面的信息)確保您理解合同和法律可能產(chǎn)生沖突，你需要與您的法律部門●隱私。隱私是監(jiān)管要求、合同義務(wù)和對顧客承諾的總和(例如公開聲明)。您需要了解總●合同控制。這是將治理需求擴展到第三方(如云提供商)的法律工具。因管理、顧及安全受眾的不同需求。這里只是生命周期的一個概要，完整的版本在/blog/data-security-lifecycle-2.0。它只是一個幫助理解數(shù)據(jù)安全邊界和控制的工具。它不應(yīng)該被用來作為適用于所有類型數(shù)據(jù)的一種嚴(yán)格的工具。它是一SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.A云計算關(guān)鍵領(lǐng)域安全指南v4.0生命周期包括從創(chuàng)造到廢棄的六個階段。雖然它被顯示為一個線性的過程，一旦創(chuàng)建，數(shù)據(jù)可以在兩個階段之間不受限制地轉(zhuǎn)換，并且可能不會經(jīng)過所有的階段(例如，不是所有的數(shù)據(jù)最終都會被銷毀)。創(chuàng)建創(chuàng)建是新的數(shù)字內(nèi)容的生成，或變更/更新/修改現(xiàn)有的內(nèi)容。保存保存是將數(shù)字?jǐn)?shù)據(jù)提交給某種存儲庫的行為，通常與創(chuàng)建幾乎同時發(fā)生。使用數(shù)據(jù)在某種活動中被查看、處理或以其他方式使用，不包括修改。共享信息可以被其他人訪問，比如用戶之間、客戶之間以及合作伙伴之間。歸檔數(shù)據(jù)離開活躍使用，進入長期存儲。銷毀通過物理或數(shù)字的方法，數(shù)據(jù)被永久性的破壞(例如，基于加密的切碎)。SecurityGuidancev.4OCopyri云計算關(guān)鍵領(lǐng)域安全指南v4.0位置和授權(quán)生命周期表示信息傳遞所處的階段，但不表明它所在的位置或如何訪問它。位置可以通過生命周期思想，而不是作為一個單一的、線性的操作來說明，但可以作為一系列更小的周期在不同的操作環(huán)境中運行。幾乎任何階段，數(shù)據(jù)可以在這些環(huán)境之間進出。ExternalExternal口×圖碼0ExternalInter數(shù)威方問存儲勝多數(shù)威方問存儲勝多N置，每自日的生命周期由于所有潛在的監(jiān)管、合同和其他管轄問題，理解數(shù)據(jù)的邏輯和物理位置非常重要。授當(dāng)用戶知道數(shù)據(jù)在何處以及如何移動時，他們需要知道誰訪問它，以及如何訪問它。這里有兩個因素·他們怎么訪問它的(設(shè)備&渠道)?云計算關(guān)鍵領(lǐng)域安全指南v4.0下一步確定數(shù)據(jù)可以實現(xiàn)由設(shè)定的參與者(個人或系統(tǒng))和特定位置確定的功能?！ぷx查看/讀取數(shù)據(jù)，包括創(chuàng)建、復(fù)制、文件傳輸、傳播和其他信息交換。·過程執(zhí)行一筆數(shù)據(jù)事務(wù)：更新它；在業(yè)務(wù)處理事務(wù)中使用它，等等。·存儲保存數(shù)據(jù)(在文件、數(shù)據(jù)庫里，等等)。XXXXXXXXXX參與者(個人、應(yīng)用程序、系統(tǒng)/進程，而不是訪問設(shè)備)在一個位置完成每一項功能。控限制將一系列可能的行為降級為允許的行為。下表展示了一種用戶羅列控制矩陣的可行的SecurityGuidancev.4OCopyright2017,CloudSecurConfidentialforCSAmemberson云計算關(guān)鍵領(lǐng)域安全指南