云環(huán)境WEB系統(tǒng)等級(jí)保護(hù)建設(shè)〔二級(jí)〕云模式下的安全保障體系建設(shè)對(duì)于不同的云建設(shè)模式〔自行建設(shè)模式或購(gòu)置效勞模式〕，在安全保障體系的建設(shè)上的區(qū)分表達(dá)在安全建設(shè)責(zé)任主體的區(qū)分。當(dāng)使用購(gòu)置效勞模式時(shí)，安全建設(shè)的責(zé)任主體會(huì)區(qū)分為“云效勞商”和“云租戶”兩局部；而自行建設(shè)模式中，并沒有“云效勞商”的概念存在，安全建設(shè)的責(zé)任主體是用戶自身。本次等保是基于公有云系統(tǒng)建設(shè)，在安全保障體系建設(shè)上應(yīng)有“云效勞商”和“云租戶”共同來?yè)?dān)當(dāng)和建設(shè)，“云效勞商”確保云效勞平臺(tái)的安全性，“云租戶”負(fù)責(zé)基于“云效勞商”供給的效勞構(gòu)建業(yè)務(wù)應(yīng)?系統(tǒng)的安全。依據(jù)GB/T22239.2《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)根本要求2建設(shè)的責(zé)任劃分如下表所示：層面安全要求安全組件責(zé)任主體物理和環(huán)境安物理位置選擇數(shù)據(jù)中心及物理設(shè)施云效勞方全網(wǎng)絡(luò)和通信安物理網(wǎng)絡(luò)及附屬設(shè)備、虛擬網(wǎng)絡(luò)治理平臺(tái)云效勞方全云租戶虛擬網(wǎng)絡(luò)安全域云租戶物理網(wǎng)絡(luò)及附屬設(shè)備、虛擬網(wǎng)絡(luò)治理平制、安全審計(jì)、入云效勞方設(shè)備和計(jì)算安平臺(tái)、鏡像等全防范、資源掌握、鏡像和快照保護(hù)擬機(jī)等云租戶云治理平臺(tái)〔含運(yùn)維和運(yùn)營(yíng)、鏡像、快云效勞方制、接口安全、數(shù)照等應(yīng)用和數(shù)據(jù)安全云租戶應(yīng)用系統(tǒng)及相關(guān)軟件組件、云租戶應(yīng)用系統(tǒng)配置、云租戶業(yè)務(wù)相關(guān)數(shù)據(jù)云租戶復(fù)等安全策略和管授權(quán)和審批授權(quán)和審批流程、文檔等云租戶理制度安全治理機(jī)構(gòu)授權(quán)和審批授權(quán)和審批流程、文檔等云租戶和人員系統(tǒng)安全建設(shè)流程、安全大事和重要變更信息云租戶治理云效勞商選擇及治理流程云租戶層面層面安全要求安全組件責(zé)任主體系統(tǒng)安全運(yùn)維監(jiān)控和審計(jì)治理的相關(guān)流程、策略和數(shù)監(jiān)控和審計(jì)治理 云租戶治理 據(jù)系統(tǒng)定級(jí)本次信息系統(tǒng)依據(jù)《信息安全等級(jí)保護(hù)治理方法》和《網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》，初步確定定級(jí)對(duì)象的安全保護(hù)等級(jí)，已起草的《網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)報(bào)告》中指出三級(jí)以上系統(tǒng)，定級(jí)結(jié)論需要進(jìn)展專家評(píng)審。系統(tǒng)備案信息系統(tǒng)安全保護(hù)等級(jí)為其次級(jí)以上時(shí)，備案時(shí)應(yīng)當(dāng)提交《網(wǎng)絡(luò)安全等級(jí)保護(hù)備案表》和定級(jí)報(bào)告；第三級(jí)以上系統(tǒng)，還需提交專家評(píng)審意見、系統(tǒng)拓?fù)浜驼f明、安全治理制度、安全建設(shè)方案等。建設(shè)整改依據(jù)《網(wǎng)絡(luò)安全等級(jí)保護(hù)根本要求》，利用自有或第三方的安全產(chǎn)品和專家效勞，對(duì)信息系統(tǒng)進(jìn)展安全建設(shè)和整改，同時(shí)制定相應(yīng)的安全治理制度；等保測(cè)評(píng)運(yùn)營(yíng)使用單位應(yīng)中選擇適宜的測(cè)評(píng)機(jī)構(gòu)，依據(jù)《網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》等技術(shù)標(biāo)準(zhǔn)，定期對(duì)信息系統(tǒng)安全等級(jí)狀況開展等級(jí)測(cè)評(píng)。監(jiān)視檢查公安機(jī)關(guān)及其他監(jiān)管部門會(huì)在整個(gè)過程中，履行相應(yīng)的監(jiān)管、審核和檢查等職責(zé)。等保二級(jí)建設(shè)方案設(shè)計(jì)網(wǎng)絡(luò)安全拓?fù)浒踩夹g(shù)建設(shè)設(shè)計(jì)物理和環(huán)境安全選擇已經(jīng)通過“等保三級(jí)”的云效勞商。在包括機(jī)房供電、溫濕度掌握、防風(fēng)防雨防雷措施等，可直接復(fù)用已經(jīng)通過云效勞商的測(cè)評(píng)結(jié)論?！膊豢紤]未通過等保測(cè)評(píng)的云平臺(tái)效勞商〕網(wǎng)絡(luò)和通信安全網(wǎng)絡(luò)架構(gòu)：應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并依據(jù)便利治理和掌握的原則為各網(wǎng)絡(luò)區(qū)域安排地址；訪問掌握：應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間依據(jù)訪問掌握策略設(shè)置訪問掌握規(guī)章，默認(rèn)狀況下除允許通信外受控接口拒絕全部通信；應(yīng)能依據(jù)會(huì)話狀態(tài)信息為進(jìn)出數(shù)據(jù)流供給明確的允許/拒絕訪問的力量，掌握粒度為端口級(jí)；通信傳輸：應(yīng)承受校驗(yàn)碼技術(shù)或加解密技術(shù)保證通信過程中數(shù)據(jù)的完整性；邊界防護(hù)：應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界防護(hù)設(shè)備供給的受控接口進(jìn)展通信；入侵防范：應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測(cè)、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為；當(dāng)檢測(cè)到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)峻入侵大事時(shí)應(yīng)供給報(bào)警；安全審計(jì)：應(yīng)在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)展安全審計(jì)，審計(jì)掩蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全大事進(jìn)展審計(jì)；方案設(shè)計(jì)思路：依據(jù)效勞器角色和重要性，對(duì)網(wǎng)絡(luò)進(jìn)展安全域劃分；端口；在網(wǎng)絡(luò)邊界處應(yīng)當(dāng)部署入侵防范手段，防范并記錄入侵行為；對(duì)網(wǎng)絡(luò)中的用戶行為日志和安全大事信息進(jìn)展記錄和審計(jì)；安全方案設(shè)計(jì)：〔物理和環(huán)境安全設(shè)計(jì)〕VPC/安全組對(duì)網(wǎng)絡(luò)進(jìn)展安全域的安全組內(nèi)，確保各業(yè)務(wù)系統(tǒng)安全隔離。使用Web使用態(tài)勢(shì)感知的日志功能對(duì)網(wǎng)絡(luò)行為日志和安全大事進(jìn)展記錄分析和審計(jì)；使用DDoSIP性和高可用性。設(shè)備和計(jì)算安全身份鑒別：應(yīng)對(duì)登錄的用戶進(jìn)展身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性；訪問掌握：應(yīng)依據(jù)治理用戶的角色建立不同賬戶并安排權(quán)限，僅授予治理用戶所需的最小權(quán)限，實(shí)現(xiàn)治理用戶的權(quán)限分別；安全審計(jì)：應(yīng)啟用安全審計(jì)功能，審計(jì)掩蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全大事進(jìn)展審計(jì)；入侵防范：應(yīng)能夠檢測(cè)到對(duì)重要節(jié)點(diǎn)進(jìn)展入侵的行為，并在發(fā)生嚴(yán)峻入侵大事時(shí)供給報(bào)警。程序或文件完整性檢測(cè)，并在檢測(cè)到破壞后進(jìn)展恢復(fù)。方案設(shè)計(jì)思路：避開賬號(hào)共享、記錄和審計(jì)運(yùn)維操作行為是最根本的安全要求；必要的安全手段保證系統(tǒng)層安全，防范效勞器入侵行為；安全方案設(shè)計(jì)：〔設(shè)備和計(jì)算安全設(shè)計(jì)〕侵防范；應(yīng)用和數(shù)據(jù)安全身份鑒別：應(yīng)對(duì)登錄的用戶進(jìn)展身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，鑒別信息具有簡(jiǎn)單度要求；并在它們之間形成相互制約的關(guān)系；安全審計(jì)：應(yīng)供給安全審計(jì)功能，審計(jì)掩蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全大事進(jìn)展審計(jì)；輸過程中的完整性和保密性；數(shù)據(jù)備份恢復(fù)：應(yīng)供給異地實(shí)時(shí)備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實(shí)時(shí)備份至備份場(chǎng)地；方案設(shè)計(jì)思路：身份鑒別、訪問掌握和操作審計(jì)等功能；數(shù)據(jù)的完整性和保密性，除了在其他層面進(jìn)展安全防護(hù)以外，加密是最為有效的方法；現(xiàn)業(yè)務(wù)連續(xù)最根底的技術(shù)保障措施。安全方案設(shè)計(jì)：〔應(yīng)用和數(shù)據(jù)安全設(shè)計(jì)〕在應(yīng)用開發(fā)之初，就應(yīng)當(dāng)考慮應(yīng)用本身的身份鑒別、訪問掌握和安全審計(jì)等功能；對(duì)已經(jīng)上線的系統(tǒng)，通過增加賬號(hào)認(rèn)證、用戶權(quán)限區(qū)分和日志審計(jì)等功能設(shè)計(jì)滿足等保要求；數(shù)據(jù)備份，推舉使用RDS可以將數(shù)據(jù)庫(kù)備份文件手工同步到云效勞商其他地區(qū)的效勞器。安全治理建設(shè)設(shè)計(jì)安全策略和治理制度：應(yīng)形成由安全策略、治理制度、操作規(guī)程、記錄表單等構(gòu)成的全面的信息安全治理制度體系。安全治理機(jī)構(gòu)和人員：應(yīng)成立指導(dǎo)和治理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)。安全建設(shè)治理：應(yīng)依據(jù)保護(hù)對(duì)象的安全保護(hù)等級(jí)及與其他級(jí)別保護(hù)對(duì)象的關(guān)系進(jìn)展安全整體規(guī)劃和安全方案設(shè)計(jì)，并形成配套文件；安全運(yùn)維治理：應(yīng)實(shí)行必要的措施識(shí)別安全漏洞和隱患，對(duì)發(fā)現(xiàn)的安全漏洞和隱患準(zhǔn)時(shí)進(jìn)展修補(bǔ)或評(píng)估可能的影響后進(jìn)展修補(bǔ)；方案設(shè)計(jì)思路：安全策略、制度和治理層人員，是保證持續(xù)安全格外重要的根底。策略指導(dǎo)安全方向，制度明確安全流程，人員落實(shí)安全責(zé)任。等保要求供給了一種方法論和最正確實(shí)踐，安全可以依據(jù)等保的方法論進(jìn)展持續(xù)的建設(shè)和治理。安全策略、制度和治理層人員，需要業(yè)務(wù)實(shí)際狀況，進(jìn)展梳理、預(yù)備和落實(shí)，并形成特地的文件。漏洞治理過程中需要用到的技術(shù)手段，推舉使用安全企業(yè)的人工安全效勞快速覺察云上系統(tǒng)漏洞，準(zhǔn)時(shí)處理。安全策略和治理制度安全策略是信息安全保障體系的靈魂和核心，一個(gè)良好的策略體系可以維持整個(gè)信息安全保障體系自動(dòng)的進(jìn)展良性循環(huán)，不斷的完善信息安全保障體系。序序號(hào)治理項(xiàng)治理措施1安全治理策略制定總體方針和安全策略，說明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等。對(duì)安全治理活動(dòng)中的各類治理內(nèi)容建立安全治理制度，2安全治理制度對(duì)治理人員/操作人員執(zhí)行的日常治理操作建立操作規(guī)程。還應(yīng)形成由安全策略、治理制度、操作規(guī)程、記錄表單等構(gòu)成的全面的信息安全治理制度體系。3制定和發(fā)布安全策略和制度的制定應(yīng)由信息安全工作小組和專家小組共同完成，由安全治理委員會(huì)正式公布。同時(shí)應(yīng)進(jìn)展版本掌握，當(dāng)系統(tǒng)消滅變更時(shí)，策略或制度的變化應(yīng)得以表達(dá)。4評(píng)審和修訂安全治理委員會(huì)應(yīng)定期組織對(duì)安全治理制度的合理性和適用性的論證和評(píng)審，尤其是當(dāng)系統(tǒng)/云平臺(tái)消滅重大變更后，更應(yīng)準(zhǔn)時(shí)對(duì)不合時(shí)宜的、存在缺乏的或需要改進(jìn)的安全治理制度進(jìn)展修訂。安全治理構(gòu)造和人員信息安全治理組織和人員的治理原則應(yīng)包括：獵取工程領(lǐng)導(dǎo)小組、各租戶高層領(lǐng)導(dǎo)的足夠重視，保證安全治理組織建設(shè)的順當(dāng)推動(dòng)；層次上杜絕安全大事的發(fā)生；需要不同的相關(guān)參與部門共同參與，制定不同角色和分工，從而保障安全治理的協(xié)調(diào)統(tǒng)一。序治理項(xiàng) 治理措施號(hào)授權(quán)和審1批溝通和合2作審核和檢3查

租戶和云效勞商應(yīng)協(xié)作，明確授權(quán)審批事項(xiàng)、批準(zhǔn)人等。針對(duì)系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項(xiàng)，建立審批程序，依據(jù)程序執(zhí)行審批過程。對(duì)重要的活動(dòng)應(yīng)建立逐級(jí)審批制度。應(yīng)定期審查審批事項(xiàng)，準(zhǔn)時(shí)更需授權(quán)和審批的工程、審批部門和審批人的信息。租戶和云效勞商還應(yīng)加強(qiáng)各部門的合作與溝通，定期召開協(xié)調(diào)會(huì)議，共同協(xié)作處理信息安全問題。同時(shí)，也應(yīng)建立與外聯(lián)單位〔如兄弟單位、公安機(jī)關(guān)、各類供給商、業(yè)界專家和專業(yè)安全組織〕的溝通與合作。這些外聯(lián)單位應(yīng)組成列表，注明單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等內(nèi)容。租戶和云效勞商應(yīng)定期執(zhí)行常規(guī)安全檢查，檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份狀況等。應(yīng)定期執(zhí)行全面的安全檢查，檢查內(nèi)容應(yīng)包括安全技術(shù)措施有效性、安全配置和策略全都性、安全治理制度的執(zhí)行狀況等。使用定制的安全檢查表格來實(shí)施安全檢查，匯總檢查數(shù)據(jù)，形成檢查報(bào)告，對(duì)安全檢查結(jié)果進(jìn)展通報(bào)。租戶和云效勞商均應(yīng)對(duì)被錄用人員的身份、背景、專業(yè)資格和資質(zhì)進(jìn)展審查，對(duì)其工作范圍內(nèi)應(yīng)具備的技術(shù)技能進(jìn)展考人員錄用 核。只要被錄用人員具備接觸和把握租戶敏感數(shù)據(jù)的權(quán)限，均應(yīng)簽署保密協(xié)議。對(duì)于重要的崗位人員，應(yīng)簽署崗位責(zé)任協(xié)議。人員離崗安全意識(shí)

人員離崗時(shí)，應(yīng)準(zhǔn)時(shí)終止其全部訪問權(quán)限，收回各類身份證件、鑰匙、身份鑒別硬件Key等各類軟硬件設(shè)備。對(duì)于重要業(yè)務(wù)系統(tǒng)，還應(yīng)要求人員離職辦理嚴(yán)格的調(diào)離手續(xù)，承諾調(diào)離后的保密義務(wù)前方可離開。租戶和云效勞商均應(yīng)對(duì)人員進(jìn)展安全意識(shí)教育和崗位技能培訓(xùn)，并告知相關(guān)的安全責(zé)任和懲戒措施。教育和培訓(xùn) 租戶和云效勞商都應(yīng)對(duì)組織內(nèi)不同崗位制定不同的培訓(xùn)計(jì)劃。培訓(xùn)內(nèi)容應(yīng)涵蓋：崗位操作規(guī)程、組織安全策略的宣講、信息安全根底學(xué)問等。序序號(hào)治理項(xiàng)治理措施當(dāng)外部人員通過物理方式或遠(yuǎn)程接入方式訪問系統(tǒng)時(shí)，均應(yīng)提出書面申請(qǐng)。批準(zhǔn)后，由專人伴隨〔開通賬號(hào)、安排權(quán)7外部人員訪問治理限〕，并登記備案。當(dāng)外部人員離場(chǎng)后應(yīng)準(zhǔn)時(shí)去除其全部的訪問權(quán)限。獲得訪問授權(quán)的外部人員還應(yīng)簽署保密協(xié)議，不得進(jìn)展非授權(quán)的操作，不得復(fù)制和泄露任何敏感信息。序號(hào)

安全建設(shè)治理治理項(xiàng) 治理措施定級(jí)和備1案安全方案2設(shè)計(jì)

在云計(jì)算環(huán)境中，應(yīng)將云效勞商側(cè)的云計(jì)算平臺(tái)單獨(dú)作為定級(jí)對(duì)象定級(jí)，云租戶側(cè)的等級(jí)保護(hù)對(duì)象也應(yīng)作為單獨(dú)的定級(jí)對(duì)象定級(jí)。對(duì)于大型云計(jì)算平臺(tái)，應(yīng)將云計(jì)算根底設(shè)施和有關(guān)關(guān)心效勞系統(tǒng)劃分為不同的定級(jí)對(duì)象。定級(jí)文件應(yīng)文檔化，以書面形式說明保護(hù)對(duì)象的邊界、安全保護(hù)等級(jí)以及確定登記的方法和理由。定級(jí)結(jié)果需經(jīng)過專家評(píng)審其合理性和正確性，確定結(jié)果后經(jīng)過主管部門批準(zhǔn)，并將備案材料報(bào)主管部門和公安機(jī)關(guān)備案。在對(duì)業(yè)務(wù)系統(tǒng)/云平臺(tái)進(jìn)展等級(jí)保護(hù)安全設(shè)計(jì)時(shí)，仍應(yīng)進(jìn)展風(fēng)險(xiǎn)評(píng)估和差距分析，補(bǔ)充和調(diào)整相應(yīng)的安全措施。還應(yīng)依據(jù)保護(hù)對(duì)象的安全保護(hù)等級(jí)及與其他級(jí)別保護(hù)對(duì)象的關(guān)系進(jìn)展整體安全規(guī)劃和安全方案設(shè)計(jì)，并形成配套文件。規(guī)劃文件和設(shè)計(jì)方案需經(jīng)過安全專家對(duì)合理性和正確性進(jìn)展論證和審定，經(jīng)過批準(zhǔn)后才能正式實(shí)施。此外，云效勞商應(yīng)供給足夠開放的接口或開放性安全效勞，允許云租戶自行設(shè)計(jì)接入第三方的安全產(chǎn)品，或在云平臺(tái)中可以選擇第三方的安全效勞。云效勞商應(yīng)支持異構(gòu)的方式，對(duì)云租戶的安全措施進(jìn)展實(shí)施。序治理項(xiàng) 治理措施號(hào)產(chǎn)品選購(gòu)3和使用自行軟件4開發(fā)外包軟件5開發(fā)

選購(gòu)的安全產(chǎn)品應(yīng)具備相應(yīng)產(chǎn)品認(rèn)證資質(zhì)。安全產(chǎn)品至少具備公安機(jī)關(guān)頒發(fā)的《計(jì)算機(jī)信息系統(tǒng)安全銷售許可證》。在選購(gòu)安全產(chǎn)品之前，應(yīng)先進(jìn)展產(chǎn)品選型測(cè)試，確定產(chǎn)品候選范圍，建立候選產(chǎn)品名單，并進(jìn)展定期審核和更。應(yīng)建立單獨(dú)的開發(fā)環(huán)境，與實(shí)際物理運(yùn)行環(huán)境規(guī)律隔離，保證測(cè)試數(shù)據(jù)和測(cè)試結(jié)果可控，避開侵害實(shí)際運(yùn)行環(huán)境。安全性測(cè)試應(yīng)融入軟件開發(fā)過程，在軟件安裝前對(duì)可能存在的惡意代碼進(jìn)展檢測(cè)。還應(yīng)：制定軟件安全開發(fā)治理制度，明確開發(fā)過程的掌握方法和人員行為準(zhǔn)則；指定代碼編寫安全標(biāo)準(zhǔn)，要求開發(fā)人員遵照?qǐng)?zhí)行；確保具備軟件設(shè)計(jì)的全部相關(guān)文檔和使用指南，并對(duì)文檔進(jìn)展版本掌握；確保對(duì)程序資源庫(kù)的修改、更和公布均進(jìn)展授權(quán)和批準(zhǔn)掌握；確保開發(fā)人員為專職人員，開發(fā)人員的開發(fā)活動(dòng)受掌握、監(jiān)視和審查。對(duì)于外包軟件開發(fā)，應(yīng)做到：在軟件交付使用前，應(yīng)進(jìn)展源代碼審計(jì)和檢測(cè)，檢測(cè)軟件質(zhì)量和其中可能存在的惡意代碼。外包單位應(yīng)供給軟件設(shè)計(jì)文檔和使用指南。還應(yīng)要求外包單位供給軟件源代碼，并執(zhí)行源代碼安全審查，重點(diǎn)關(guān)注是否存在后門、隱蔽信道等。在實(shí)施前，應(yīng)制定工程實(shí)施方案，掌握安全工程的實(shí)施工程實(shí)施 過程。并指定特地的部門或人員負(fù)責(zé)工程實(shí)施過程的治理。還應(yīng)通過第三方工程監(jiān)理掌握工程的實(shí)施過程。測(cè)試驗(yàn)收 測(cè)試驗(yàn)收過程，應(yīng)首先制定測(cè)試驗(yàn)收方案，并依據(jù)測(cè)試驗(yàn)收方案實(shí)施測(cè)試驗(yàn)收，最終形成測(cè)試報(bào)告。應(yīng)特地進(jìn)展上序治理項(xiàng) 治理措施號(hào)線前的安全性測(cè)試，對(duì)安全措施有效性進(jìn)展測(cè)試，并出具安全測(cè)試報(bào)告。系統(tǒng)交付時(shí)，應(yīng)依據(jù)交付清單對(duì)交接的設(shè)備、軟件和文檔等進(jìn)展逐一清點(diǎn)。交付后的運(yùn)行維護(hù)技術(shù)人員應(yīng)進(jìn)展相應(yīng)系統(tǒng)交付 的技能培訓(xùn)。云效勞商應(yīng)確保供給建設(shè)過中的文檔，以及指導(dǎo)用戶進(jìn)展運(yùn)行維護(hù)的指南性文檔。等級(jí)測(cè)評(píng)云效勞商10選擇SLA

云平臺(tái)的等級(jí)保護(hù)測(cè)評(píng)目前正在進(jìn)展試點(diǎn)工程，由公安部等級(jí)保護(hù)測(cè)評(píng)中心進(jìn)展。對(duì)于云上業(yè)務(wù)系統(tǒng)的測(cè)評(píng)，需要具備等級(jí)保護(hù)測(cè)評(píng)資質(zhì)的單位進(jìn)展。應(yīng)定期執(zhí)行等級(jí)測(cè)評(píng)工作，尤其是消滅重大變更或級(jí)別發(fā)生變化時(shí)，均應(yīng)執(zhí)行等級(jí)測(cè)評(píng)，在覺察存在安全差距時(shí)，進(jìn)展準(zhǔn)時(shí)的整改。除了云計(jì)算方面的需求，客戶在選擇云效勞商時(shí)還應(yīng)考慮安全力量要求。主要包括：云效勞商安全資質(zhì)：如ISO27001、等級(jí)保護(hù)測(cè)評(píng)認(rèn)證、CNAS、云安全審查〔政務(wù)云，一般級(jí)或增加級(jí)〕等。云效勞商案例：是否擁有行業(yè)內(nèi)的云效勞案例。安全力量要求：開發(fā)安全、供給鏈安全、通信安全、訪問掌握、配置治理、維護(hù)體系、業(yè)務(wù)連續(xù)性、安全審計(jì)、風(fēng)險(xiǎn)評(píng)估與持續(xù)監(jiān)控、安全組織和人員建設(shè)以及物理和環(huán)境安全。此外，對(duì)于云效勞商的選擇，還應(yīng)通過SLA協(xié)議和保密協(xié)議方式，確保云效勞商能夠滿足租戶的云計(jì)算效勞、安全、保密等需求。SLA協(xié)議保障了云效勞商所供給的效勞的有效性，具體標(biāo)準(zhǔn)了云效勞商應(yīng)供給的各項(xiàng)效勞的質(zhì)量標(biāo)準(zhǔn)。同時(shí)，SLA協(xié)議也標(biāo)準(zhǔn)了懲罰規(guī)定，為云效勞商不能滿足SLA需求所制定。SLA序治理項(xiàng) 治理措施號(hào)權(quán)責(zé)安排：規(guī)定云效勞商的權(quán)限和責(zé)任，包括治理范圍、職責(zé)劃分、訪問授權(quán)、隱私保護(hù)、行為準(zhǔn)則、違約責(zé)任等；數(shù)據(jù)安全方面：數(shù)據(jù)可銷毀性、數(shù)據(jù)可遷移性、數(shù)據(jù)私密性、數(shù)據(jù)知情權(quán)、業(yè)務(wù)可審查性；業(yè)務(wù)可用性方面：業(yè)務(wù)功能、業(yè)務(wù)可用性、業(yè)務(wù)資源調(diào)配力量、故障恢復(fù)力量、網(wǎng)絡(luò)接入性能；效勞約束方面：效勞計(jì)量方式、效勞變更、終止條款、效勞賠償條款、用戶約束條款、免責(zé)條款等內(nèi)容項(xiàng)。對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)，租戶應(yīng)與能夠訪問或把握租戶信息、數(shù)據(jù)的云效勞商及其內(nèi)部員工簽訂保密協(xié)議，并且保密協(xié)議應(yīng)作為合同的附件。保密協(xié)議應(yīng)包括：未經(jīng)租戶授權(quán)，云效勞商或個(gè)人不得以任何手段，使用未經(jīng)授權(quán)的租戶信息。未經(jīng)租戶授權(quán)，云效勞商或個(gè)人不得在工作職責(zé)授權(quán)以外使用、共享租戶信息。未經(jīng)租戶授權(quán)，不得泄露、披露、轉(zhuǎn)讓租戶的技術(shù)信息、業(yè)務(wù)信息和安全信息。保密協(xié)議

當(dāng)?shù)谌揭笈蹲鈶粜畔r(shí)，不應(yīng)響應(yīng)，并馬上報(bào)告。對(duì)違反或可能導(dǎo)致違反保密協(xié)議的活動(dòng)或?qū)嵺`，一經(jīng)覺察應(yīng)馬上報(bào)告。合同完畢時(shí)，云效勞商應(yīng)返還租戶全部保密信息，并明確返還的具體要求和內(nèi)容。明確保密協(xié)議的有效期。此外，租戶應(yīng)依據(jù)信息的重要敏感程度，確實(shí)是否需要對(duì)訪問敏感數(shù)據(jù)的云效勞商工作人員進(jìn)展背景調(diào)查。如有必要，應(yīng)托付相關(guān)職能部門〔如公安機(jī)構(gòu)〕進(jìn)展背景調(diào)查工作。序治理項(xiàng) 治理措施號(hào)供給鏈管13理

云計(jì)算效勞的外包效勞或選購(gòu)產(chǎn)品均可視為供給鏈，效勞或產(chǎn)品的供給商即效勞鏈的供給商。在選擇供給商時(shí)，應(yīng)確保其產(chǎn)品的開發(fā)環(huán)境、開發(fā)設(shè)備以及對(duì)開發(fā)環(huán)境的外部連接實(shí)施了安全掌握。供給商的開發(fā)人員和效勞人員均應(yīng)進(jìn)展審核。供給商產(chǎn)品的運(yùn)輸或存儲(chǔ)過程中的安全性等等。此外，安全供給商應(yīng)將產(chǎn)品相關(guān)的安全大事信息、威逼信息準(zhǔn)時(shí)傳達(dá)給云租戶和云效勞商〔例如產(chǎn)品爆出重大漏洞〕。供給商的重要變更也需要準(zhǔn)時(shí)傳達(dá)給云租戶和云效勞商，并評(píng)估變更可能帶來的安全風(fēng)險(xiǎn)，供給推舉措施對(duì)風(fēng)險(xiǎn)進(jìn)展掌握。租戶方和云效勞商均有執(zhí)行運(yùn)行監(jiān)管的責(zé)任和義務(wù)。租戶要依據(jù)合同、規(guī)章制度和標(biāo)準(zhǔn)加強(qiáng)對(duì)云效勞商和自身的運(yùn)行監(jiān)管，同時(shí)云效勞商、第三方評(píng)估機(jī)構(gòu)需要樂觀參與和協(xié)作。租戶和云效勞商均需要明確負(fù)責(zé)執(zhí)行運(yùn)行監(jiān)管的責(zé)任人和聯(lián)系方式。租戶監(jiān)管責(zé)任：監(jiān)視云效勞商嚴(yán)格履行合同規(guī)定的各項(xiàng)責(zé)任和義務(wù)；幫助云效勞商處理重大信息安全大事；在云效勞商的支持協(xié)作下，對(duì)以下方面進(jìn)展監(jiān)管：運(yùn)行監(jiān)管 效勞運(yùn)行狀態(tài)；性能指標(biāo)，如資源使用狀況；特別安全需求；云計(jì)算平臺(tái)供給的監(jiān)視技術(shù)和接口；其他必要的監(jiān)管活動(dòng)；加強(qiáng)對(duì)云計(jì)算效勞和業(yè)務(wù)使用者的信息安全教育和監(jiān)管；對(duì)自身負(fù)責(zé)的云計(jì)算環(huán)境及客戶端的安全措施進(jìn)展監(jiān)管。云效勞商監(jiān)管責(zé)任：序治理項(xiàng) 治理措施號(hào)嚴(yán)格履行合同規(guī)定的責(zé)任和義務(wù)；開展周期性的風(fēng)險(xiǎn)評(píng)估和監(jiān)測(cè)，包括:監(jiān)視非授權(quán)的遠(yuǎn)程連接，持續(xù)監(jiān)視賬號(hào)治理、策略轉(zhuǎn)變、特權(quán)功能、系統(tǒng)大事等活動(dòng)，監(jiān)視與其他信息系統(tǒng)的數(shù)據(jù)交互等；依據(jù)合同要求或雙方的商定，向租戶供給相關(guān)的接口和材料，協(xié)作租戶的監(jiān)管活動(dòng)；云計(jì)算平臺(tái)消滅重大變更后，準(zhǔn)時(shí)向租戶報(bào)告狀況，并托付第三方評(píng)估機(jī)構(gòu)進(jìn)展安全評(píng)估；消滅重大信息安全大事時(shí)，準(zhǔn)時(shí)向租戶報(bào)告大事及處置狀況；持續(xù)開展對(duì)雇員的信息安全教育，監(jiān)視雇員遵守相關(guān)制度。租戶可能因合同到期或其他緣由，需要退出云計(jì)算服務(wù)，或?qū)⑵鋽?shù)據(jù)和業(yè)務(wù)系統(tǒng)遷移至其他云計(jì)算平臺(tái)上。由于退出云計(jì)算效勞是一個(gè)簡(jiǎn)單的過程，租戶需要留意以下事項(xiàng)：在簽訂合同時(shí)提前商定退出條件，以及退出時(shí)租戶、云效勞商的責(zé)任和義務(wù)，應(yīng)與云效勞商協(xié)商數(shù)據(jù)和業(yè)務(wù)系統(tǒng)遷移出云計(jì)算平臺(tái)的接口和方案；安全退出

在退出效勞過程中，應(yīng)要求云效勞商完整返還租戶數(shù)據(jù)；在將數(shù)據(jù)和業(yè)務(wù)系統(tǒng)遷移回租戶自有的數(shù)據(jù)中心或其他云計(jì)算平臺(tái)的過程中，應(yīng)滿足業(yè)務(wù)的可用性和持續(xù)性要求，照實(shí)行原業(yè)務(wù)系統(tǒng)與部署業(yè)務(wù)系統(tǒng)并行運(yùn)行一段時(shí)間等措施；準(zhǔn)時(shí)取消云效勞商對(duì)租戶資源的物理和電子訪問權(quán)限；提示云效勞商在租戶退出云計(jì)算效勞后仍應(yīng)擔(dān)當(dāng)?shù)呢?zé)任和義務(wù)，如保密要求等；退出云計(jì)算效勞后需要確保云效勞商按要求保存數(shù)據(jù)或徹底去除數(shù)據(jù)；序序號(hào)治理項(xiàng)治理措施如需變更云效勞商，應(yīng)首先依據(jù)選擇云效勞商的要求，執(zhí)行云效勞商選擇階段的各項(xiàng)活動(dòng)，確定的云效勞商并簽署合同。完成云計(jì)算效勞的遷移后再退出原云計(jì)算效勞。安全運(yùn)維治理環(huán)境和資產(chǎn)治理治理要求項(xiàng)治理要求項(xiàng)要求要點(diǎn)機(jī)房安全管指定特地的部門或人員負(fù)責(zé)機(jī)房安全，對(duì)機(jī)房出入進(jìn)展治理，定期對(duì)機(jī)房供配電、空調(diào)、溫濕度掌握、消防等設(shè)施進(jìn)展維護(hù)治理。理建立機(jī)房安全治理制度，對(duì)有關(guān)機(jī)房物理訪問，物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的治理作出規(guī)定。環(huán)境安全管理不在重要區(qū)域接待來訪人員和桌面上沒有包含敏感信息的紙檔文件、移動(dòng)介質(zhì)等。編制并保存與保護(hù)對(duì)象相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容。資產(chǎn)治理對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)相關(guān)資產(chǎn)，還應(yīng)依據(jù)資產(chǎn)的重要程度對(duì)資產(chǎn)進(jìn)展標(biāo)識(shí)治理，依據(jù)資產(chǎn)的價(jià)值選擇相應(yīng)的治理措施。對(duì)信息分類與標(biāo)識(shí)方法作出規(guī)定，并對(duì)信息的使用、傳輸和存儲(chǔ)等進(jìn)展標(biāo)準(zhǔn)化治理。介質(zhì)和設(shè)備治理治理要求項(xiàng)治理要求項(xiàng)要求要點(diǎn)介質(zhì)治理確保介質(zhì)存放在安全的環(huán)境中，對(duì)各類介質(zhì)進(jìn)展掌握和保護(hù)，實(shí)行存儲(chǔ)環(huán)境專人治理，并依據(jù)存檔介質(zhì)的名目清單定期盤點(diǎn)。對(duì)介質(zhì)在物理傳輸過程中的人員選擇、打包、交付等狀況進(jìn)展掌握，并對(duì)介質(zhì)的歸檔和查詢等進(jìn)展登記記錄。對(duì)效勞器、網(wǎng)絡(luò)及安全設(shè)備、業(yè)務(wù)應(yīng)用的操作應(yīng)制定標(biāo)準(zhǔn)化的操作標(biāo)準(zhǔn)。設(shè)備維護(hù)管建立配套設(shè)施、軟硬件維護(hù)方面的治理制度，對(duì)其維護(hù)進(jìn)展有效的治理，包括明確維護(hù)人員的責(zé)任、涉外修理和效勞的審批、修理過程的監(jiān)視掌握等。理對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，應(yīng)確保信息處理設(shè)備必需經(jīng)過審批才能帶離機(jī)房或辦公地點(diǎn)，含有存儲(chǔ)介質(zhì)的設(shè)備帶出工作環(huán)境時(shí)其中重要數(shù)據(jù)必需加密。有存儲(chǔ)介質(zhì)的設(shè)備在報(bào)廢或重用前，應(yīng)進(jìn)展完全去除或被安全掩蓋，確保該設(shè)備上的敏感數(shù)據(jù)和授權(quán)軟件無(wú)法被恢復(fù)重用。漏洞和風(fēng)險(xiǎn)治理治理要求項(xiàng)治理要求項(xiàng)要求要點(diǎn)漏洞和風(fēng)險(xiǎn)管實(shí)行必要的措施識(shí)別安全漏洞和隱患，對(duì)覺察的安全漏洞和隱患準(zhǔn)時(shí)進(jìn)展修補(bǔ)或評(píng)估可能的影響后進(jìn)展修補(bǔ)。理對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，應(yīng)定期開展安全測(cè)評(píng)，形成安全測(cè)評(píng)報(bào)告，實(shí)行措施應(yīng)對(duì)覺察的安全問題。網(wǎng)絡(luò)和系統(tǒng)安全治理治理要求項(xiàng)治理要求項(xiàng)要求要點(diǎn)角色權(quán)限安排應(yīng)劃分不同的治理員角色進(jìn)展網(wǎng)絡(luò)和系統(tǒng)的運(yùn)維治理，明確各個(gè)角色的責(zé)任和權(quán)限。賬號(hào)治理應(yīng)指定特地的部門或人員進(jìn)展賬號(hào)治理，對(duì)申請(qǐng)賬號(hào)、建立賬號(hào)、刪除賬號(hào)等進(jìn)展掌握。治理制度建立網(wǎng)絡(luò)和系統(tǒng)安全治理制度，對(duì)安全策略、賬號(hào)治理、配置治理、日志治理、日常操作、升級(jí)與打補(bǔ)丁、口令更周期等方面作出規(guī)定。操作手冊(cè)操作手冊(cè)制定重要設(shè)備的配置和操作手冊(cè)，依據(jù)手冊(cè)對(duì)設(shè)備進(jìn)展安全配置和優(yōu)化配置等。運(yùn)維操作日志記錄具體記錄運(yùn)維操作日志，包括日常巡檢工作、運(yùn)行維護(hù)記錄、參數(shù)的設(shè)置和修改等內(nèi)容。網(wǎng)絡(luò)/系統(tǒng)變更治理對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，應(yīng)嚴(yán)格掌握變更性運(yùn)維，經(jīng)過審批后才可轉(zhuǎn)變連接、安裝系統(tǒng)組件或調(diào)整配置參數(shù)，操作過程中應(yīng)保存不行更改的審計(jì)日志，操作完畢后應(yīng)同步更配置信息庫(kù)。運(yùn)維工具的使用對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，應(yīng)嚴(yán)格掌握運(yùn)維工具的使用，經(jīng)過審批后才可接入進(jìn)展操作，操作過程中應(yīng)保存不行更改的審計(jì)日志，操作完畢后應(yīng)刪除工具中的敏感數(shù)據(jù)。遠(yuǎn)程運(yùn)維治理對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，應(yīng)嚴(yán)格掌握遠(yuǎn)程運(yùn)維的開通，經(jīng)過審批后才可開通遠(yuǎn)程運(yùn)維接口或通道，操作過程中應(yīng)保存不行更改的審計(jì)日志，操作完畢后馬上關(guān)閉接口或通道。外部連接和無(wú)線網(wǎng)絡(luò)治理對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，應(yīng)保證全部與外部的連接均得到授權(quán)和批準(zhǔn)，應(yīng)定期檢查違反規(guī)定無(wú)線上網(wǎng)及其他違反網(wǎng)絡(luò)安全策略的行為。惡意代碼防范治理治理要求項(xiàng)要求要點(diǎn)識(shí)防惡意代碼意應(yīng)提高全部用戶的防惡意代碼意識(shí)，告知對(duì)外來計(jì)算機(jī)或存儲(chǔ)設(shè)備接入系統(tǒng)前進(jìn)展惡意代碼檢查等。防惡意代碼管應(yīng)對(duì)惡意代碼防范要求做出規(guī)定，包括防惡意代碼軟件的授權(quán)理制度審查機(jī)制

使用、惡意代碼庫(kù)升級(jí)、惡意代碼的定期查殺等。應(yīng)定期檢查惡意代碼庫(kù)的升級(jí)狀況，對(duì)截獲的惡意代碼進(jìn)展準(zhǔn)時(shí)分析處理。配置治理治理要求項(xiàng) 要求要點(diǎn)應(yīng)記錄和保存根本配置信息，包括網(wǎng)絡(luò)拓?fù)錁?gòu)造、各個(gè)設(shè)備安配置治理內(nèi)容 裝的軟件組件、軟件組件的版本和補(bǔ)丁信息、各個(gè)設(shè)備或軟件組件的配置參數(shù)等。配置信息動(dòng)態(tài)治理

對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，b)應(yīng)將根本配置信息轉(zhuǎn)變納入變更范疇，實(shí)施對(duì)配置信息轉(zhuǎn)變的掌握，并準(zhǔn)時(shí)更根本配置信息庫(kù)。密碼治理治理要求項(xiàng)密碼學(xué)產(chǎn)品資質(zhì)要求密碼學(xué)產(chǎn)品開發(fā)

要求要點(diǎn)應(yīng)使用符合國(guó)家密碼治理規(guī)定的密碼技術(shù)和產(chǎn)品?！渡逃妹艽a產(chǎn)品銷售許可證》應(yīng)依據(jù)國(guó)家密碼治理的要求開展密碼技術(shù)和產(chǎn)品的應(yīng)用。變更治理治理要求項(xiàng)治理要求項(xiàng)要求要點(diǎn)變更過程應(yīng)明確變更需求，變更前依據(jù)變更需求制定變更方案，變更方案經(jīng)過評(píng)審、審批前方可實(shí)施。申報(bào)和審批控制對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，應(yīng)建立變更的申報(bào)和審批掌握程序，依據(jù)程序掌握全部的變更，記錄變更實(shí)施過程。變更失敗恢復(fù)對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)/云平臺(tái)，應(yīng)建立中止變更并從失敗變更中恢復(fù)的程序，明確過程掌握方法和人員職責(zé)，必要時(shí)對(duì)恢復(fù)過程進(jìn)展演練。備份與恢復(fù)治理治理要求項(xiàng)治理要求項(xiàng)要求要點(diǎn)識(shí)別備份客體應(yīng)識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等。確定備份參數(shù)對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)數(shù)據(jù)，應(yīng)規(guī)定備份信息的備份方式、備份頻度、存儲(chǔ)介質(zhì)、保存期等。數(shù)據(jù)備份和恢復(fù)策略對(duì)于三級(jí)業(yè)務(wù)系統(tǒng)數(shù)據(jù)，應(yīng)依據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對(duì)系統(tǒng)運(yùn)行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略、備份程序和恢復(fù)程序等。安全大事處置治理要求項(xiàng)治理要求項(xiàng)要求要點(diǎn)大事報(bào)告應(yīng)報(bào)告所覺察的安全弱點(diǎn)和可疑大事。報(bào)告和處置管理制度應(yīng)制定安全大事報(bào)告和處置治理制度，明確不同安全大事的報(bào)告、處置和響應(yīng)流程，規(guī)定安全大事的現(xiàn)場(chǎng)處理、大事報(bào)告和后期恢復(fù)的治理職責(zé)等。大事分析應(yīng)在安全大事報(bào)告和響應(yīng)處理過程中，分析和鑒定大事產(chǎn)生的緣由，收集證據(jù)，記錄處理過程，總結(jié)閱歷