中文版00000云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0的官方網(wǎng)址是：英文版：/document/security-guidance-for-critical-areas-of-focu你可以下載、存儲(chǔ)、顯示在你的電腦上，查看，打印，以及鏈接到云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0/document/V4.0security-guidance-for-critical-areas-of以下主題：(a)報(bào)告可用于個(gè)人，信息，非商業(yè)用途；(b)報(bào)告不得修改或以任何方式改變；(c)報(bào)告不得重新分布；(d)商標(biāo)，版權(quán)或其他條款不可被刪除。根據(jù)美國(guó)版權(quán)法的合理使用條款，如果你將引用部分歸為云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0,那么你可以引用報(bào)告的部分內(nèi)容。SecurityGuidancev.4OCopyright2017,Clou云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0中文版翻譯說(shuō)明CSA云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0由CSA大中華區(qū)研究院組織D1及前面部分由顧偉、王朝輝審校，D2由李建民審校，D3由劉劍、白陽(yáng)審校，D4由耿萬(wàn)德審SecurityGuidancev.4OCopyright2017,CloudSecuritConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0 前言歡迎來(lái)到云安全聯(lián)盟關(guān)于云計(jì)算關(guān)鍵領(lǐng)域安全指南的第四個(gè)版本。云計(jì)算的興起是一項(xiàng)不斷發(fā)展的技術(shù)，它帶來(lái)了許多機(jī)遇和挑戰(zhàn)。通過(guò)這個(gè)文檔，我們的目標(biāo)是提供指導(dǎo)和靈感來(lái)支持業(yè)務(wù)目標(biāo)，同時(shí)管理和減輕采用云計(jì)算技術(shù)相關(guān)的風(fēng)險(xiǎn)。云安全聯(lián)盟促進(jìn)了在云計(jì)算領(lǐng)域內(nèi)提供安全保證的最佳實(shí)踐，并為尋求采用云計(jì)算模式的組織提供了一個(gè)實(shí)用的、可執(zhí)行的路線圖。云計(jì)算關(guān)鍵領(lǐng)域安全指南的第四個(gè)版本是建立在之前的安全指南、專門地研究、云安全聯(lián)盟成員、工作組以及我們社區(qū)的行業(yè)專家的公開參與之上的。該版本集成了云、安全性和支持技術(shù)方面的進(jìn)展，反映了現(xiàn)實(shí)世界的云安全實(shí)踐，集成了最新的云安全聯(lián)盟研究項(xiàng)目，并為相關(guān)技術(shù)提供了指導(dǎo)。安全云計(jì)算的發(fā)展需要來(lái)自廣泛的全球分布式利益相關(guān)方的積極參與。CSA匯集了不同的行業(yè)合作伙伴、國(guó)際機(jī)構(gòu)組織、工作組和個(gè)人。我們非常感謝所有為這次發(fā)布做出貢獻(xiàn)的人。請(qǐng)?jiān)L問(wèn),了解您如何與我們合作，確定并促進(jìn)最佳實(shí)踐，以確保有一個(gè)安全的云計(jì)算環(huán)境。SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrightsConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0致謝JamesArlen云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0我對(duì)這個(gè)社區(qū)的云安全最佳實(shí)踐的最新貢獻(xiàn)感到非常激動(dòng)，這一實(shí)踐始于的云安全聯(lián)盟最初的指導(dǎo)文件。我們希望您能仔細(xì)研究這里列出的問(wèn)題和建議，與您自己的經(jīng)更大的挑戰(zhàn)和緊迫感。云現(xiàn)在已經(jīng)成為各種計(jì)算形式的后端，包括無(wú)處不在的物聯(lián)網(wǎng)。云計(jì)算不可分，加速了我們的變革。在云安全聯(lián)盟中，我們致力于為您提供在高速發(fā)展的IT環(huán)境中您所需的必要的安全知識(shí)，讓您保持在新時(shí)代質(zhì)量保證和信任趨勢(shì)的前沿?？傊覀儦g迎你們SecurityGuidancev.4OCopyright2017,CloudSecuriConfidentialforCSAmemberson目錄D1:云計(jì)算概念和體系架構(gòu) 8 D4:合規(guī)和審計(jì)管理 69D7:基礎(chǔ)設(shè)施安全 80 95 D10:應(yīng)用安全 D11:數(shù)據(jù)安全和加密 D12:身份、授權(quán)和訪問(wèn)管理 D13:安全即服務(wù) D14:相關(guān)技術(shù) SecurityGuidancev.4OCopyright2017,CloudSecur云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0D1:云計(jì)算概念和體系架構(gòu)1.1簡(jiǎn)介業(yè)模式，這兒僅僅舉了幾個(gè)例子。從本質(zhì)上來(lái)說(shuō)，這是一場(chǎng)顛覆性的變革。它發(fā)展地非常非?？?，而且沒有放緩的跡象。雖然我們?cè)诒局改系牡谝粋€(gè)版本中包含的參考模型依舊比較準(zhǔn)確，但是它們顯然已經(jīng)不再那么完整了。即使這樣更新后也不可能解釋未來(lái)幾年的每一個(gè)可能的變購(gòu)買和撥備硬件，所有的都是軟件定義的),減少停機(jī)時(shí)間(由于固有的彈性和其他云特性),并且節(jié)省資金(由于資本支出減少，需求和能力匹配)。自云服務(wù)提供商有重大的經(jīng)濟(jì)激勵(lì)措施來(lái)然而，這些收益是在您理解并采用原生云模型，并調(diào)整您的架構(gòu)和控制，以適應(yīng)云平臺(tái)的特性和功能的基礎(chǔ)上才會(huì)出現(xiàn)。其實(shí)，使用現(xiàn)有的應(yīng)用或資產(chǎn)，并在不進(jìn)行任何更改的情況下該領(lǐng)域的目的是建立基礎(chǔ)，以使文檔的其余部分及其建議都基于此。其意圖是為信息安全專家提供一種通用語(yǔ)言和對(duì)云計(jì)算的理解，并開始強(qiáng)調(diào)云計(jì)算和傳統(tǒng)計(jì)算之間的區(qū)別，以及幫助引導(dǎo)信息安全專家采用原生云方法，從而帶來(lái)更好的安全性(以及其他收益),而不是產(chǎn)生更多的SecurityGuidancev.4OCop云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0這個(gè)領(lǐng)域包括了4部分：型進(jìn)行提取和協(xié)調(diào)——最值得注意的是NIST的特種文獻(xiàn)800-145,ISO/IEC17788and1.2概覽1.1.1定義云計(jì)算云計(jì)算是一種顛覆性的技術(shù)，它可以增強(qiáng)協(xié)作、提高敏捷性、可擴(kuò)展性以及可用性，還可云計(jì)算是一個(gè)模式，它是一種無(wú)處不在的、便捷的、按需的，基于網(wǎng)絡(luò)訪問(wèn)的，共享使用的，可配置的計(jì)算資源(如：網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)、應(yīng)用和服務(wù))可以通過(guò)最少的管理工作或99云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0云可以由幾乎任何計(jì)算資源組成，從計(jì)算(如處理器和內(nèi)存)到網(wǎng)絡(luò)、存儲(chǔ)以及更高級(jí)別資創(chuàng)建云的關(guān)鍵技術(shù)是抽象和調(diào)配。我們從底層的物理基礎(chǔ)設(shè)施中抽象出資源來(lái)創(chuàng)建我們的深入的ISO/IECmodel,并作為參考模型。在這個(gè)領(lǐng)域SecurityGuidancev.4OCopConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0同時(shí)能保證一致性并獲得廣泛的共識(shí)。值得注意的是，本指南的目的是使其具有廣泛的易用性、適用于全球范圍內(nèi)的組織。雖然NIST是美國(guó)政府機(jī)構(gòu)，選擇此參考模型不應(yīng)該被解釋為是對(duì)其它觀點(diǎn)或地域的排斥。在NIST對(duì)云計(jì)算的定義中，包括了五個(gè)基本特征、三個(gè)云服務(wù)模型、以及四個(gè)云部署模型。下圖對(duì)它們進(jìn)行了形象的匯總，后面會(huì)有詳細(xì)描述。以下特性使云成為了云。如果具備以下特征，我們就把它看作是云計(jì)算。如果它缺少其中任何一個(gè)，它很可能不是一個(gè)云?！裾缟厦嫠懻摰?，資源池是最基本的特性。云提供商對(duì)資源進(jìn)行抽象，并將其聚集到一個(gè)池中，其中的一部分可以分配給不同的用戶(通常是基于策略)?！裼脩糇约嚎梢园葱枳詣?dòng)配置資源，他們自己管理自己的資源，而無(wú)需與服務(wù)提供商的服務(wù)人員互動(dòng)?！駨V泛的網(wǎng)絡(luò)訪問(wèn)意味著所有的資源都可以通過(guò)網(wǎng)絡(luò)獲得，而不需要直接的實(shí)體接??；網(wǎng)絡(luò)云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0●快速?gòu)椥栽试S用戶從池中按需使用資源(置備和釋放),通常完全自動(dòng)。這使他們更緊密地匹配資源消耗需求(例如，需求增加時(shí)添加虛擬服務(wù)器，然后當(dāng)需求終止時(shí)釋放它們)?！裉峁┛蓽y(cè)量的服務(wù)，以確保用戶只使用他們所分配的東西，如果有必要的話，還可以對(duì)他們收取費(fèi)用。這就是“效用計(jì)算”這個(gè)術(shù)語(yǔ)的由來(lái)，因?yàn)橛?jì)算資源現(xiàn)在可以像水和電一樣消耗，客戶只需要支付他們所使用的東西。ISO/IEC17788列出了六個(gè)關(guān)鍵特性，其中前五個(gè)特性與NIST的特征相同。唯一的補(bǔ)充是多租戶，這與資源池是不同的?！褴浖捶?wù)(SaaS)是由服務(wù)商管理和托管的完整應(yīng)用軟件。用戶可以通過(guò)web瀏覽器、移動(dòng)應(yīng)用或輕量級(jí)客戶端應(yīng)用來(lái)訪問(wèn)它?；蚱渌a的地方),文件存儲(chǔ)和協(xié)作，甚至專有的應(yīng)用處理(例如機(jī)器學(xué)習(xí)、大數(shù)據(jù)處理或直接API訪問(wèn)完整的SaaS應(yīng)用的特性)。關(guān)鍵的區(qū)別在于，使用PaaS,您不需要管理底層的服務(wù)器、網(wǎng)絡(luò)或其他基礎(chǔ)設(shè)施?！窕A(chǔ)設(shè)施即服務(wù)(laaS)提供了基礎(chǔ)性的計(jì)算資源，如計(jì)算、網(wǎng)絡(luò)或存儲(chǔ)。ISO/IEC使用了一個(gè)更加復(fù)雜的定義，它使用了一個(gè)與SPI模型(軟件、基礎(chǔ)設(shè)施和平臺(tái)功能類型)密切相關(guān)的云功能類型。然后，它擴(kuò)展到更細(xì)粒度的云服務(wù)類別，比如計(jì)算即服務(wù)、存儲(chǔ)即服務(wù)，甚至還包括laaS/PaaS/SaaS。這些類別具有一定的滲透性：一些云服務(wù)跨越了這些模型，而另一些則不完全屬于單一的服務(wù)模式。實(shí)際上，沒有理由嘗試把所有的東西都分配到這三大類中，甚至是ISO/IEC模型中更細(xì)粒度的類別。這僅僅是一個(gè)有用的描述工具，而不是一個(gè)嚴(yán)格的框架。云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0NIST和ISO/IEC都使用相同的4個(gè)云部署模型。下面描述這些技術(shù)是如何部署和使用的，它●公共云。云基礎(chǔ)設(shè)施提供服務(wù)給一般公眾或某個(gè)大型行業(yè)團(tuán)體。并由銷售云計(jì)算服務(wù)●私有云。云基礎(chǔ)設(shè)施專為一個(gè)單一的組織運(yùn)●混合云。云基礎(chǔ)設(shè)施由兩個(gè)或多個(gè)云(私有、社區(qū)、或公共)組成，以獨(dú)立實(shí)體存在，但是通過(guò)標(biāo)準(zhǔn)的或?qū)Ｓ械募夹g(shù)綁定在一起，這些技術(shù)促進(jìn)了數(shù)據(jù)和應(yīng)用的可移植性(例如：SecurityGuidancev.4OCopyright2017,C云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0部署模型是基于云用戶定義的，即使用云的用戶。如下圖所示，擁有和管理云的組織即使在單個(gè)部署模型中也會(huì)有所不同。OrganizationOrganizationThirdPartyProvider→ThirdPartyProviSecurityGuidancev.4OCopConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0SecurityGuidancev.4OCopyright2017,CloudSecurityAConfidentialforCSAmembers云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0但是在最基本的層面上，我們總是需要物理硬件、網(wǎng)絡(luò)和存儲(chǔ)來(lái)進(jìn)行構(gòu)建。這些資源通過(guò)抽象和調(diào)配進(jìn)行匯集。抽象通常通過(guò)虛擬化，將資源從物理約束中解放，生成池。然后，一組核心在大多數(shù)情況下，這些APIs都是可以遠(yuǎn)程訪問(wèn)的通過(guò)APIs遠(yuǎn)程管理資源并將它們交付給用戶。SecurityGuidancev.4OCopConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0下面是一個(gè)laaS平臺(tái)的簡(jiǎn)單架構(gòu)示例：一系列物理服務(wù)器每個(gè)運(yùn)行兩個(gè)組件：虛擬機(jī)管理程序和管理/編排軟件，以連接服務(wù)器并將它們連接到計(jì)算控制器。用戶請(qǐng)求一個(gè)特定大小的實(shí)例(虛擬服務(wù)器),而云控制器確定哪個(gè)服務(wù)器具有容量，并分配請(qǐng)求的大小的實(shí)例?？刂破麟S后通過(guò)請(qǐng)求存儲(chǔ)控制器的存儲(chǔ)來(lái)創(chuàng)建一個(gè)虛擬硬盤驅(qū)動(dòng)器，該存儲(chǔ)控制器從存儲(chǔ)池中分配存儲(chǔ)，并通過(guò)網(wǎng)絡(luò)將其連接到適當(dāng)?shù)闹鳈C(jī)服務(wù)器和實(shí)例(用于存儲(chǔ)通信的專用網(wǎng)絡(luò))。網(wǎng)絡(luò)，包括虛擬網(wǎng)絡(luò)接口和地址，也被分配并連接到必要的虛擬網(wǎng)絡(luò)。然后，控制器將服務(wù)器映像的副本發(fā)送到虛擬機(jī)中，啟動(dòng)它，并配置它；隨著虛擬網(wǎng)絡(luò)和存儲(chǔ)都配置好之后，這就將創(chuàng)建一個(gè)在虛擬機(jī)中運(yùn)行的實(shí)例。一旦整個(gè)過(guò)程完成，元數(shù)據(jù)和連接信息就由云控制器代理，并提供給用戶，用戶現(xiàn)在就可以連接到實(shí)例并登錄。SecurityGuidancev.4OCopyrig云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0等功能的集成層。這些服務(wù)允許開發(fā)人員在平臺(tái)上構(gòu)建應(yīng)用程序，并使用程序支持的編程語(yǔ)言建一個(gè)平臺(tái)。在laaS上構(gòu)建了集成層和中間件，然后將其匯集在一起，進(jìn)行編排作為PaaS暴露給用戶。例如，可以通過(guò)在laaS中運(yùn)行的實(shí)例上部署修改后的數(shù)據(jù)在PaaS中，云用戶只看到平臺(tái)，而不是底層的基礎(chǔ)設(shè)施。在我們的示例中，數(shù)據(jù)庫(kù)可根據(jù)另一個(gè)例子是應(yīng)用程序部署平臺(tái)。這使得開發(fā)人員可以在不管理底層資源的情況下加載和SecurityGuidancev.4OCopyr云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0這個(gè)簡(jiǎn)單架構(gòu)圖展示了一個(gè)在laaS架構(gòu)之上運(yùn)行的應(yīng)用平臺(tái)(Paas):PaaS不一定要建立在laaS之上；沒有理由不能自定義設(shè)計(jì)獨(dú)立架構(gòu)。定義的特點(diǎn)是消費(fèi)者訪問(wèn)和管理平臺(tái)，而不是底層基礎(chǔ)設(shè)施(包括云基礎(chǔ)設(shè)施)。SaaS服務(wù)是完整的、多租戶的應(yīng)用程序，也具有任何大型軟件平臺(tái)的復(fù)雜架構(gòu)。為了提高敏捷性、彈性和(潛在的)經(jīng)濟(jì)利益，許多SaaS提供商構(gòu)建在laaS和PaaS之上大多數(shù)現(xiàn)代云應(yīng)用程序(SaaS或其它)都使用laas和PaaS的組合，有時(shí)跨不同的云提供商。特別是web瀏覽器和移動(dòng)應(yīng)用程序。因此，所有SaaS都有一個(gè)API位于應(yīng)用程序/邏輯層和數(shù)據(jù)存儲(chǔ)之上。然后有一個(gè)或多個(gè)表示層，通常包括Web瀏覽器、移動(dòng)應(yīng)用程序和公共API訪問(wèn)。云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0PullContainerCusterJotif云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0云計(jì)算與傳統(tǒng)計(jì)算的關(guān)鍵區(qū)別在于元結(jié)構(gòu)。云計(jì)算與傳統(tǒng)計(jì)算的關(guān)鍵區(qū)別在于元結(jié)構(gòu)。云計(jì)算元結(jié)構(gòu)包括了可網(wǎng)絡(luò)接入且遠(yuǎn)程訪問(wèn)上述兩種基礎(chǔ)設(shè)施；在公有云中，提供商管云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0●軟件即服務(wù)：云服務(wù)提供商負(fù)責(zé)幾乎所有的安全性，因?yàn)樵葡M(fèi)者只能訪問(wèn)和管理其使用的應(yīng)用程序，并且無(wú)法更改應(yīng)用程序。例如，SaaS提供商負(fù)責(zé)周邊安全，日志/●平臺(tái)即服務(wù)：云服務(wù)提供商負(fù)責(zé)平臺(tái)的安全性，而消費(fèi)者負(fù)責(zé)他們?cè)谄脚_(tái)上所部署的應(yīng)用，包括所有安全配置。因此兩者職責(zé)幾乎是平均分配的。例如，使用一個(gè)數(shù)據(jù)庫(kù)作為服務(wù)時(shí)，提供商管理基本的安全，修復(fù)和核心配置，而云消費(fèi)者則對(duì)其他負(fù)責(zé)，云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0立在該基礎(chǔ)設(shè)施上的其它安全，不同于PaaS,IaaS的消費(fèi)者承擔(dān)更多的責(zé)任。例如，最重要的安全性考慮是確切地知道誰(shuí)負(fù)責(zé)特定的云計(jì)算項(xiàng)目。如果任何特定的云提供商提供了特殊的安全控制，且你清楚地知道他們提供了什么以及如何運(yùn)作，這一點(diǎn)相對(duì)而言就沒有那么重要。消費(fèi)者可以選擇通過(guò)自身控制來(lái)消除控制的差異，或是選擇不同的云提供商。當(dāng)選這是云服務(wù)提供商和消費(fèi)者的安全關(guān)系的本質(zhì)。提供商應(yīng)當(dāng)做什么?消費(fèi)者應(yīng)當(dāng)做什么?云供應(yīng)商是否給使用者提供了他們需要的服務(wù)?合同中擔(dān)保了哪些責(zé)任和服務(wù)水平協(xié)議，以及云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0●云控制矩陣(CCM),其中列出了云計(jì)算的安全控制，并將它們映射到多個(gè)安全和合規(guī)●概念模型域包括用于解釋云安全概念和原理的可視化效果和描述，如本文提到●參染購(gòu)是指實(shí)現(xiàn)云安全的模板，這個(gè)架構(gòu)通常是具有普遍性的(例如laaS安全參考架構(gòu))。它們可以是非常抽象的，與概念相關(guān)，或者相當(dāng)詳細(xì)，與特定的控制和功能中一個(gè)例子。與參考架構(gòu)一樣，它們可能或多或少是抽象的或具體的，甚至是特定云這些模型之間的劃分往往是模糊和重疊的，這取決于模型開發(fā)人員的目標(biāo)，甚至將它們中SecurityGuidancev.4OCopyright2017,CloudSecurityAllianceConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0●CSA企業(yè)架構(gòu)●CSA云控制矩陣(CCM)●NIST云計(jì)算安全參考架構(gòu)草案(NIST500-299號(hào)特刊),其中包括概念模型，參考架構(gòu)和控制框架。安全控制實(shí)踐守則。在本指南中，我們還提及其他領(lǐng)域特定的模型。雖然實(shí)施細(xì)節(jié)、必要的控制、具體過(guò)程以及各種參考架構(gòu)和設(shè)計(jì)模型會(huì)根據(jù)具體的云項(xiàng)目有很大的不同，但是仍會(huì)有一個(gè)相對(duì)簡(jiǎn)單的的高級(jí)流程來(lái)管理云安全：●確定必要的安全和合規(guī)要求以及任何現(xiàn)有的控制點(diǎn)?！襁x擇云提供商、服務(wù)和部署模型?！穸x架構(gòu)。●評(píng)估安全控制?！翊_定控制差距?！裨O(shè)計(jì)和實(shí)施控制以彌補(bǔ)差距?！癯掷m(xù)管理變更。SecurityGuidancev.4OCop云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0由于不同的云計(jì)算項(xiàng)目，即使是同一個(gè)云提供商，也可能會(huì)采用完全不同的配置和技術(shù)，每個(gè)項(xiàng)目都應(yīng)該根據(jù)自己的情形進(jìn)行評(píng)估。例如，針對(duì)某一供應(yīng)商部署在laas上的應(yīng)用程序所適用的安全控制，與這家供應(yīng)商部署在PaaS的類似項(xiàng)目所適用的安全控制相比，可能看起來(lái)區(qū)別很大。關(guān)鍵在于識(shí)別需求、設(shè)計(jì)架構(gòu)，然后根據(jù)底層云平臺(tái)的功能來(lái)識(shí)別差距。這就是為什么在將安全需求轉(zhuǎn)化為控制之前，您需要了解云供應(yīng)商和云架構(gòu)。SecurityGuidancev.4OCopyright2017,Cloud云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0這些域分成了兩大類：治理(governance)和運(yùn)行(operations)。治理域范疇很廣，解決云治理和企業(yè)風(fēng)險(xiǎn)管理組織治理和度量云計(jì)算帶來(lái)的企業(yè)風(fēng)險(xiǎn)的能力。力，當(dāng)用戶和提供商都有可能出現(xiàn)故障時(shí)保護(hù)敏感數(shù)據(jù)的責(zé)任，及國(guó)際邊界對(duì)這些問(wèn)題有何影響等都是關(guān)注法律問(wèn)題：合同洞信息披露的法律、監(jiān)管要求，隱私要求和合規(guī)性和審計(jì)管理保持和證明使用云計(jì)算的合規(guī)性。同的合規(guī)性要求(規(guī)章、法規(guī)等)。同時(shí)還提供在審計(jì)過(guò)程中證明合規(guī)性的一些指導(dǎo)。治理云中的數(shù)據(jù)。本節(jié)涉及云中數(shù)據(jù)的識(shí)別和控制；以及可用于處理數(shù)據(jù)遷移到云中時(shí)失去物理控制這一問(wèn)題的補(bǔ)償控制。也提及其它項(xiàng)，如誰(shuí)負(fù)責(zé)數(shù)據(jù)機(jī)密性、完整性和可用性等。SecurityGuidancev.4OCopyright2017,CloudS云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.01.3.2運(yùn)行域管理平面和業(yè)務(wù)保護(hù)訪問(wèn)云時(shí)使用的管理平臺(tái)和管理結(jié)構(gòu)，包括Web控制臺(tái)(Container)技術(shù)事件響應(yīng)、通告適當(dāng)?shù)暮统浞值氖录z測(cè)、響應(yīng)、通告和補(bǔ)救。嘗試說(shuō)明為了一些條目。本域?qū)?huì)幫助您理解云給您現(xiàn)有的事件處理程序帶來(lái)的復(fù)雜性。臺(tái)是最合適的(SaaS,PaaS,orlaaS)。數(shù)據(jù)安全和加密實(shí)施數(shù)據(jù)的安全和加密控制，并保證可擴(kuò)展的密鑰管理身份、授權(quán)和訪問(wèn)管理備就緒進(jìn)行基于云的身份、授權(quán)和訪問(wèn)管理(IdEA)。安全即服務(wù)SecurityGuidancev.4OCopyright2017,CloudSecurityAlliaConfidentialforCSAmembersonly—NOT云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.01.4建議●理解云計(jì)算與傳統(tǒng)基礎(chǔ)設(shè)施或虛擬化之間的差異，以及抽象化和自動(dòng)化對(duì)安全性的影響●熟悉NIST云計(jì)算模型和CSA參考架構(gòu)●使用工具，如CSA的共識(shí)評(píng)估問(wèn)卷(CAIQ),來(lái)評(píng)估和比較云服務(wù)提供商。●云提供商應(yīng)清楚地記錄其安全控制和功能，并使用類似CSACAIQ的工具進(jìn)行發(fā)布.●使用工具，如CSA云控制矩陣(CCM),來(lái)評(píng)估和記錄云項(xiàng)目安全性和合規(guī)性要求和控制，以及每一個(gè)控制點(diǎn)的負(fù)責(zé)人?！袷褂迷瓢踩鞒棠Ｐ蛠?lái)選擇提供商，設(shè)計(jì)架構(gòu)，識(shí)別控制差距，以及實(shí)施安全性和合規(guī)性控制。1.5參考文獻(xiàn)SecurityGuidancev.4OCopyright2017,CloudSecurityAConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.02.0簡(jiǎn)介ISO/IEC38500:2015信息技術(shù)組織IT治理ISO/IEC27014:2013信息技術(shù)安全技術(shù)信息安全治理政策、合同、保險(xiǎn)和其他機(jī)制也發(fā)揮作用(包括非電子數(shù)據(jù)信息的物理安全等)。然而，信云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.02.1概述2.1.1治理云計(jì)算影響治理關(guān)系，因?yàn)樗匆雽?duì)第三方過(guò)程管理(在公共云或托管私有云的情況下),或在私有云的情況下可能改變內(nèi)部的治理結(jié)構(gòu)。管理云計(jì)算時(shí)要記住的首要問(wèn)題是，一個(gè)繼只永遠(yuǎn)不能飽冶理的責(zé)任即使是使用外部供應(yīng)商的情況下。無(wú)論采用云計(jì)算或不采用云計(jì)算服務(wù)，這都是正確的。但需要理解的是，在云計(jì)算環(huán)境下的共同責(zé)任模式的概念，是非常有用云服務(wù)提供商通常會(huì)試圖利用規(guī)模經(jīng)濟(jì)來(lái)管理成本和提供云計(jì)算服務(wù)的能力。這意味著需要提供標(biāo)準(zhǔn)化的服務(wù)(包括合同和服務(wù)水平協(xié)議),對(duì)所有客戶都是一致的。對(duì)待云服務(wù)提供商，組織的治理模式不一定能像對(duì)待其他專用的外部服務(wù)提供商一樣，專用的外部服務(wù)提供商他們通常為每個(gè)客戶定制自己的產(chǎn)品，包括法律協(xié)議。云計(jì)算改變了實(shí)施管理和治理的職責(zé)與機(jī)制。如任何業(yè)務(wù)關(guān)系一樣，需要在合同中定義治SecurityGuidancev.4OCop云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0理的職責(zé)和機(jī)制。如果關(guān)注的領(lǐng)域不在合同中明確，就沒有可實(shí)施的保障機(jī)制，并且存在治理缺口。治理缺口不一定意味著需要排除使用外部供應(yīng)商，但他們確實(shí)要求客戶調(diào)整自己的流程以減少差距，或接受相關(guān)的風(fēng)險(xiǎn)。與任何其他領(lǐng)域一樣，也有用于治理的特定管理工具。此列表更側(cè)重于外部云服務(wù)提供者的管理工具，但這些工具通常也可以運(yùn)用在在內(nèi)部私有化部署的環(huán)境下：●合同：管理的主要工具是云提供商和云客戶之間的合同(對(duì)公有云和私有云都一樣)。合同是把一切都變成法律條款，從而保障任何服務(wù)水平或承諾不會(huì)違約的唯一方式。合同是將治理擴(kuò)展到業(yè)務(wù)合作伙伴和服務(wù)提供者的主要工具。合同定義供應(yīng)新客戶之間的關(guān)系也客向地們的共應(yīng)商展治理的主要T具●供應(yīng)商(云提供商)評(píng)估：這些評(píng)估是云客戶利用可用的信息和允許的流程/技術(shù)，來(lái)對(duì)潛在的云提供商進(jìn)行考核的方法。這綜合了合同和手冊(cè)的研究，與第三方認(rèn)證(法律條款上通常明確要求評(píng)估或?qū)徲?jì)的結(jié)果),以及技術(shù)研究等各個(gè)方面。與任何供應(yīng)商的評(píng)估都非常相似，包括財(cái)務(wù)上的可行性，歷史，特色產(chǎn)品，第三方認(rèn)證的結(jié)果，來(lái)自同行的反饋等等。更多關(guān)于評(píng)估的詳細(xì)信息在此域和域4中描述?！窈弦?guī)報(bào)告：合規(guī)報(bào)告包括供應(yīng)商內(nèi)部(即自身)和外部合規(guī)評(píng)估的所有文件。它們是一個(gè)SecurityGuidancev.4OCConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0組織執(zhí)行自己的內(nèi)部控制措施情況的審計(jì)報(bào)告，客戶可以選擇對(duì)提供商進(jìn)行審計(jì)(雖然這為他們可以提供具有獨(dú)立性的驗(yàn)證(假設(shè)你信任第三方)。評(píng)估和審計(jì)應(yīng)根據(jù)現(xiàn)有的標(biāo)準(zhǔn)(實(shí)際上有非常多的參考標(biāo)準(zhǔn)),關(guān)鍵是需要要了解標(biāo)準(zhǔn)的應(yīng)應(yīng)商的服務(wù)有哪些)以及相關(guān)控制措施的實(shí)施評(píng)估。因此，一個(gè)云服務(wù)提供者“通過(guò)”了一個(gè)審計(jì)，不一定包含所有的安全控制措施，這對(duì)安全和風(fēng)險(xiǎn)管理人員來(lái)說(shuō)可能是不夠的。需要同時(shí)考慮第三方的評(píng)估，等同于你在做自己評(píng)估時(shí)，可能進(jìn)行的活動(dòng)。并非所有的審計(jì)公司(或?qū)徲?jì)師)都是一致的，公司的經(jīng)驗(yàn)、歷史和資格應(yīng)包括在你的治理決策中。云提供商基于CSA的云控制矩陣(CCM)和(CAIQ)開展通用評(píng)估的報(bào)告。一些云服務(wù)提供商還披露額外的認(rèn)證信息和評(píng)估文件(包括自我評(píng)估)。企業(yè)風(fēng)險(xiǎn)管理(ERM)是組織對(duì)所有類型風(fēng)險(xiǎn)的全面管理。與治理一樣，合同定義了云服務(wù)提供商和云客戶之間的風(fēng)險(xiǎn)管理的角色和職責(zé)。而且，與治理一樣，你永遠(yuǎn)不能外包你的整(lnistpubs/SpecialPublications/NIST.SP.800-37r1.pdf)在云環(huán)境下，風(fēng)險(xiǎn)管理是基于責(zé)任共享模型的(這是我們最經(jīng)常討論的參考安全模型)。對(duì)某些風(fēng)險(xiǎn)來(lái)說(shuō)，云提供商承擔(dān)一定的責(zé)任，而云客戶要承擔(dān)比這個(gè)范圍更大的風(fēng)險(xiǎn)責(zé)任。考慮ConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0對(duì)風(fēng)險(xiǎn)的所有權(quán)負(fù)責(zé)，他們只是向云服務(wù)提供商的傳遞了一些風(fēng)險(xiǎn)管理的要求。這在私有云情況下，也是一樣的；在這種情況下，一個(gè)組織單位把一些風(fēng)險(xiǎn)管理的要求傳遞給了內(nèi)部的云服式。鑒于治理幾乎完全依賴于合同，風(fēng)險(xiǎn)管理可以根據(jù)云提供商的文檔，深入挖掘他們的技術(shù)和流程的能力。例如，合同很少定義網(wǎng)絡(luò)安全實(shí)際上是如何實(shí)現(xiàn)的。通過(guò)審查供應(yīng)商的文風(fēng)險(xiǎn)容忍度是指組織的領(lǐng)導(dǎo)和利益相關(guān)方愿意接受的風(fēng)險(xiǎn)總量和等級(jí)。它會(huì)基于資產(chǎn)而變化，你不應(yīng)該對(duì)某個(gè)特定的云提供商做一個(gè)基準(zhǔn)一致的風(fēng)險(xiǎn)決策，相反，風(fēng)險(xiǎn)評(píng)估應(yīng)該與所涉及的資產(chǎn)的價(jià)值和要求相一致。因?yàn)楣性品?wù)商是外部的，云客戶可能會(huì)關(guān)注一些共享基礎(chǔ)設(shè)施的資產(chǎn)情況，并不意味著它對(duì)所有資產(chǎn)的風(fēng)險(xiǎn)接受程度是一致的。隨著時(shí)間的推移，你應(yīng)該建立一個(gè)矩陣跟蹤表，來(lái)描述一系列的云服務(wù)以及哪些類型的資產(chǎn)與這些服務(wù)相關(guān)。遷移到在大多數(shù)情況下，合同談判的重要性都是SaaS服務(wù)最明顯的例子。好的服務(wù)合同將保護(hù)風(fēng)險(xiǎn)治理或驗(yàn)證某些情況下風(fēng)險(xiǎn)控制的能力，例如，數(shù)據(jù)的存儲(chǔ)，處理和傳輸，以及在應(yīng)用中的情況。SaaS供應(yīng)商的規(guī)模大小和能力水平，往往分布在兩個(gè)極端；對(duì)一個(gè)小型SaaS提供商時(shí)，談判合同的可能性要高得多。但不幸的是，許多小型Saas提供商無(wú)法在復(fù)雜的環(huán)境下滿足或超云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0這種服務(wù)模式可以更加明確要求的細(xì)節(jié)(同時(shí)相關(guān)的自我管理和治理風(fēng)險(xiǎn)問(wèn)題的能力也提求的達(dá)成情況。也就是說(shuō)，客戶必須在確定云服務(wù)商的合同約定方面，有效地提出了控制或支基礎(chǔ)設(shè)施即服務(wù)的云模式最接近傳統(tǒng)的數(shù)據(jù)中心服務(wù)(甚至就是一個(gè)傳統(tǒng)的外包管理數(shù)據(jù)中心服務(wù));好消息是對(duì)絕大多數(shù)現(xiàn)有的風(fēng)險(xiǎn)管理活動(dòng)，組織已經(jīng)建立或可以直電源、暖通、空調(diào)等)是一致的。類似的風(fēng)險(xiǎn)治理和管理的問(wèn)題也是同樣存在的，但這些系統(tǒng)對(duì)云客戶來(lái)說(shuō)可控程度是完全不同的，因此改變現(xiàn)有的管理過(guò)程是必需的。例如，控制可以改云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0力，這必將會(huì)影響云客戶將自己的治理模式擴(kuò)展到云端的能力。以同樣的合同模板應(yīng)對(duì)多租戶的需求是公有云的自然屬性：云供應(yīng)商不能調(diào)整為每一個(gè)云客戶運(yùn)行使用一套流程，定制一組資源的合同和操作。適應(yīng)不同的客戶需求，是會(huì)增加成本的；云供應(yīng)商需要權(quán)衡，而且這往往是使用公有云和私有云之間的分界線。托管私有云的模式下，允許全定制，但由于規(guī)模經(jīng)濟(jì)損失增加了成本。這并不意味著你不該嘗試談判你的合同要求，但應(yīng)認(rèn)識(shí)到對(duì)一個(gè)云提供商這而言并是普遍可行的，因此你需要選擇不同的云提供商(這可能也會(huì)造成不太安全的情況),或調(diào)整您的需求，并使用替代的風(fēng)險(xiǎn)治理機(jī)制，從而減輕這方面的壓力。這種情況非常類似航運(yùn)服務(wù)。當(dāng)你使用一個(gè)普通的運(yùn)營(yíng)商/供應(yīng)商，你無(wú)法定義他們的業(yè)務(wù)模式。而你需要把你的敏感文件包委托給他們交付，希望他們履行安全義務(wù)，并滿足預(yù)期的服務(wù)水平協(xié)議要求。私有云公共云并不是影響風(fēng)險(xiǎn)治理的唯一模式，私有云也會(huì)產(chǎn)生影響。如果一個(gè)組織允許第三方擁有和/或管理私有云(這是很常見的),這種情況下的風(fēng)險(xiǎn)治理情況與任何其他的外包供應(yīng)商都是類似雖然你可能對(duì)合同條款有更多的控制權(quán)，但確保它們覆蓋所需的治理機(jī)制仍然很重要。對(duì)公共服務(wù)提供商，往往通過(guò)多種獎(jiǎng)勵(lì)的證據(jù)來(lái)承諾其服務(wù)的能力，而托管的私有云則可以提供其他額外的性能、特定的功能水平和競(jìng)爭(zhēng)力，但是在合同中也會(huì)有額外的費(fèi)用產(chǎn)生。這必須在合同談判中考慮，通過(guò)條款明確保證該平臺(tái)的能力。例如，通過(guò)要求供應(yīng)商對(duì)私有云平臺(tái)在一定的時(shí)間內(nèi)始終保組織內(nèi)部的私有云的治理模式一般是通過(guò)內(nèi)部服務(wù)水平協(xié)議(企業(yè)或其他組織單位)并提供訪SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrighConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0在考慮混合云環(huán)境時(shí)，治理策略必須考慮由云提供商的合同和該組織的內(nèi)部治理策略共同組成的最小的公共控制措施集。云消費(fèi)者同時(shí)采用兩個(gè)云環(huán)境或數(shù)據(jù)中心的服務(wù)。在這兩種情況下，整體治理是這兩種模式的交集。例如，如果您將您的數(shù)據(jù)中心通過(guò)專用的網(wǎng)絡(luò)鏈接連接由于社區(qū)云是多個(gè)組織共享的不對(duì)外開放的平臺(tái)，它的治理延伸到各個(gè)社區(qū)成員之間的關(guān)系，而不僅僅是云供應(yīng)商和云客戶?；旌狭斯性坪屯泄芩接性频闹卫硪?，可以利用合同和其他治理工具，參考一定規(guī)模的公有云提供商的模式，但是基于社區(qū)的方式進(jìn)行調(diào)整，如托管●這就建立了對(duì)關(guān)系的積極管理和遵守合同的嚴(yán)格要求。云提供商還不斷發(fā)展他們的產(chǎn)品和服務(wù)，保持競(jìng)爭(zhēng)力，這些持續(xù)的創(chuàng)新可能會(huì)超過(guò)最初的合同范圍，對(duì)合同帶來(lái)變●云客戶和云提供商，通過(guò)責(zé)任共享模型來(lái)管理風(fēng)險(xiǎn)，云客戶有可能會(huì)減少需求(和相關(guān)的成本降低),要求云提供商接受風(fēng)險(xiǎn)。云客戶沒有外包管理風(fēng)險(xiǎn)的責(zé)任，但一定可SecurityGuidancev.4OCopyright2017,CloudSecurityAlliConfidentialforCSAmembers云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0insurers,outsources)在審查和理解云提供商管理風(fēng)險(xiǎn)的能力之后，余下的就是殘余風(fēng)險(xiǎn)。殘余風(fēng)險(xiǎn)通常可以由您實(shí)現(xiàn)的控制措施(例如加密)來(lái)管理。風(fēng)險(xiǎn)控制的可能性和具體的實(shí)現(xiàn)方式，在云提供商、風(fēng)險(xiǎn)轉(zhuǎn)移通常是由保險(xiǎn)來(lái)實(shí)現(xiàn)的，但是它是一種不完善的機(jī)制，特別是信息風(fēng)險(xiǎn)。它可以彌補(bǔ)一些與一次損失事件相關(guān)的財(cái)務(wù)損失，但對(duì)二次損失事件(如客戶損失)沒有幫助，特別SecurityGuidancev.4OCConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.02.2推薦■在簽訂協(xié)議之前獲得和審查合同(以及任何參考文件)。管理這種風(fēng)險(xiǎn)(例如監(jiān)控或加密)?！霈F(xiàn)有審計(jì)和評(píng)估。SecurityGuidancev.4OCopyright2017,Clo云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0D3:法律問(wèn)題，合同和電子舉證3.1簡(jiǎn)介本域僅就有選擇性的問(wèn)題提出了概述，并不能對(duì)所有潛在問(wèn)題提供足夠的細(xì)節(jié)。對(duì)您面臨的特定問(wèn)題，您應(yīng)咨詢你準(zhǔn)備參與運(yùn)營(yíng)所在的司法管轄區(qū)或(和)你客戶所在司法管轄區(qū)的法律顧問(wèn)。更進(jìn)一步要求，應(yīng)注意法律法規(guī)的變化，并在真實(shí)環(huán)境應(yīng)用之前，驗(yàn)證和更新本域的●云服務(wù)協(xié)議(合同)和D5兩部分。因?yàn)樽约翰渴鸬乃接性频倪\(yùn)營(yíng)與目前大多數(shù)現(xiàn)存IT的運(yùn)營(yíng)相當(dāng)，本域主要關(guān)注公有云或第SecurityGuidancev.4OCopyright2017,CloudSe云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.03.1.1數(shù)據(jù)保護(hù)/隱私權(quán)的法律框架縱觀全球，眾多國(guó)家有著不計(jì)其數(shù)的法律、法規(guī)以及其它的要求，它們要求公共組織和私營(yíng)機(jī)構(gòu)要保護(hù)個(gè)人數(shù)據(jù)的隱私性、信息和計(jì)算機(jī)系統(tǒng)的安全性。這些法律部分是依據(jù)經(jīng)合組織見，以及亞太經(jīng)合組織(AsiaPacificEconomicCooperation,簡(jiǎn)稱APEC)的隱私框架。橫跨多個(gè)區(qū)域的云提供商和云用戶，將會(huì)面臨各種不同司法管轄區(qū)域的法律和法規(guī)所構(gòu)成的矩陣，影響因素如下：●云提供商所在的區(qū)域●云用戶所在的區(qū)域●數(shù)據(jù)主體所在的區(qū)域●合同適用的法律管轄區(qū)域，可能與某些股東不同?！襁@些不同區(qū)域之間的互認(rèn)條約或其他的法律文書。ofservices適用的法律要求應(yīng)針對(duì)不同司法管轄區(qū)域，最廣泛的吸收適用的法律要求應(yīng)針對(duì)不同司法管轄區(qū)域，最廣泛的吸收例如，在亞太地區(qū)、日本、澳大利亞、新西蘭以及許多國(guó)家已經(jīng)通過(guò)數(shù)據(jù)保護(hù)法律，這些SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrightsreservedConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0在日本，個(gè)人信息保護(hù)法案要求私營(yíng)企業(yè)保護(hù)個(gè)人信息以及數(shù)據(jù)的安全。在不同領(lǐng)域還有息必須被良好的保持，以確保和個(gè)人相關(guān)的信息和意見受到保護(hù)，并確保在數(shù)據(jù)和人之間沒有在歐洲經(jīng)濟(jì)區(qū)(EEA),歷史上有兩個(gè)主要的歐盟指令闡明了數(shù)據(jù)保護(hù)方面有關(guān)的要求(注：(E-PrivacyDirective,2009年修訂版)。這些指令包括包含安全的組成部分，并必須將提供充分被相關(guān)法規(guī)替代。在2016年5月4日，歐盟發(fā)布了新的《通用數(shù)據(jù)保護(hù)法案》(GDPR),不同SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrightsreservedConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0因此，根據(jù)“指令”的要求，在成員國(guó)內(nèi)，當(dāng)某公司違反其所在國(guó)家的數(shù)據(jù)保護(hù)規(guī)定，將依照成員國(guó)的法律和法規(guī)，施以強(qiáng)制性的制裁措施，而新的《通用數(shù)據(jù)保護(hù)法案》將直接約束所有與歐盟公民數(shù)據(jù)處理有關(guān)的公司，爭(zhēng)議將由與爭(zhēng)議雙方的個(gè)人或?qū)嶓w關(guān)系最密切的數(shù)據(jù)監(jiān)北美、中美以及南美國(guó)家也正在以快速的步伐通過(guò)數(shù)據(jù)保護(hù)法律。這些國(guó)家的法律都包括安全方面的要求，并且將確保個(gè)人數(shù)據(jù)防護(hù)和安全的重?fù)?dān)放在了數(shù)據(jù)保管人身上。無(wú)論這些數(shù)據(jù)位于何處，特別是當(dāng)向第三方傳輸時(shí)。譬如，除了加拿大、阿根廷以及哥倫比亞的數(shù)據(jù)保護(hù)法律已經(jīng)出臺(tái)多年外，墨西哥、烏拉圭和秘魯也全都通過(guò)了數(shù)據(jù)保護(hù)法律。這些法律都主要受在美國(guó)開展業(yè)務(wù)的組織可能受制于一個(gè)或多個(gè)數(shù)據(jù)保護(hù)法律。這些法律要求組織為他們分要求相關(guān)的組織以書面合同的形式迫使他們的分包商采用合理的安全措施，并且遵守?cái)?shù)據(jù)隱私這些數(shù)據(jù)隱私條款常常被嵌入到與某個(gè)行業(yè)活動(dòng)相關(guān)的一系列法規(guī)中(例如，美國(guó)聯(lián)邦法規(guī)第SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.Allrightsreserv云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0法案只應(yīng)用于由健康計(jì)劃、醫(yī)療保健機(jī)構(gòu)、醫(yī)療服務(wù)提供者以及他們的代理人(即那些被HIPAA除聯(lián)邦法律和法規(guī)外，在美國(guó)大多數(shù)州都有，至少在違約會(huì)導(dǎo)致財(cái)務(wù)數(shù)據(jù)丟失方面都有與公司(不僅是該法律所在的特定的州)。有些州的法律只適用于他們自己公民的數(shù)據(jù)，有些州的法律即適用于他們自己公民的數(shù)據(jù)，還適用于其他缺乏自己數(shù)據(jù)隱私法的州的公民的數(shù)據(jù)(參述，有的則參照特定標(biāo)準(zhǔn)(例如PCI-DSS,如上文述)并在合規(guī)基礎(chǔ)上分配責(zé)任(例如華盛頓州美國(guó)是沒有全國(guó)性數(shù)據(jù)保護(hù)且適用于所有類型個(gè)法律以及相關(guān)的規(guī)定，例如GLBA、HIPAA、1998年的兒童在線隱私保護(hù)法案FTC與溫德姆酒店集團(tuán)(Wyndham)的司法判決中要求Wyndha據(jù)時(shí)采用“商業(yè)上合理的安全措施”。美國(guó)眾多的州法也要求公司有義務(wù)為個(gè)人數(shù)據(jù)提要求公司與服務(wù)提供商的書面合同里有合理的安全措施條款。例如，可參見馬薩諸塞州的《聯(lián)邦居民個(gè)人信息保護(hù)標(biāo)準(zhǔn)(201CMR17.00)》的擴(kuò)展要求。SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.Allrightsreserv云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0例如像PCIDSS、或是ISO27001這樣的標(biāo)準(zhǔn)也引發(fā)類似聯(lián)邦法以及州法那樣的多米諾骨牌效應(yīng)。受制于PCIDSS、或是ISO27001標(biāo)準(zhǔn)標(biāo)準(zhǔn)，并同時(shí)將類似的義務(wù)傳達(dá)給他們的分包商以便滿足受制約的這些標(biāo)準(zhǔn)。非美國(guó)法規(guī)許多國(guó)家已經(jīng)通過(guò)遵循歐盟模式、經(jīng)合組織或律。在這些法律下，數(shù)據(jù)的控制人(通常是與個(gè)對(duì)其數(shù)據(jù)收集及對(duì)該數(shù)據(jù)用途的提議。這些法律規(guī)定了訪問(wèn)個(gè)人數(shù)據(jù)的實(shí)體的若干義務(wù)，如某些保密性和安全義務(wù)。他們賦予個(gè)人對(duì)抗任何持有其個(gè)人資料的實(shí)體。當(dāng)委托一個(gè)第三方代表數(shù)據(jù)的控制人(數(shù)據(jù)處理人)處理數(shù)據(jù)時(shí)，第三方也對(duì)收集和處理個(gè)人數(shù)據(jù)保有責(zé)任。數(shù)據(jù)的控制人被要求確保任何代表它處理個(gè)人數(shù)據(jù)的第三方采的安全措施來(lái)保護(hù)數(shù)據(jù)。系人或是雇員的個(gè)人信息，以確保這些數(shù)據(jù)未被挪作他用、以及未泄漏給第三方。譬如，這個(gè)責(zé)任可能來(lái)自公司在其Web站點(diǎn)上發(fā)布的、或是公司已與第三方簽訂并執(zhí)行的合同中約定的條款、條件和隱私聲明受其服務(wù)協(xié)議條款的約束，只針對(duì)某一特定目的處理個(gè)人數(shù)據(jù)。此外，公司可能與它的客戶簽訂合同(例如服務(wù)協(xié)議),在合同中對(duì)數(shù)據(jù)保護(hù)通告、或其它合同內(nèi)所做出的許諾和承諾。例如，公司用于特定的用途。在云中的數(shù)據(jù)必須只能用于它們被收集的目的。信息，云服務(wù)提供商也必須允許其與在非云服務(wù)關(guān)系下同等程度地行使訪問(wèn)、在全世界有許多法律禁止、或是限制信息傳出該國(guó)。在有的情況),只有當(dāng)接收信息的國(guó)家提供對(duì)個(gè)人信息、以及隱私權(quán)充分的保護(hù)時(shí)才允許信息傳輸。該充分保護(hù)要求的目的在于：確保那些跨國(guó)界被傳輸?shù)絼e國(guó)的隱私權(quán)利和隱私保護(hù)。或者，有必要在數(shù)據(jù)輸入人和輸出人之間簽訂一個(gè)合同，合同約定一旦完成向輸入人傳輸數(shù)據(jù)，數(shù)據(jù)主體的權(quán)利會(huì)確定得到保護(hù)。處是重要的，以便能解決國(guó)外的數(shù)據(jù)保護(hù)法律可能施加給其的特定限依國(guó)家而定，確保該充分保護(hù)的要求可能是復(fù)雜的和嚴(yán)格的。在某可能需要首先獲得當(dāng)?shù)財(cái)?shù)據(jù)保護(hù)專員的許可。在其他國(guó)家(典型的是那些對(duì)信息流有限制的國(guó)家)則簡(jiǎn)單禁止把居民的數(shù)據(jù)傳輸SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.AllrightsreservConfidentialforCSA云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.03.1.2合同與供應(yīng)商選擇對(duì)于任何數(shù)據(jù)的丟失、損壞或?yàn)E用仍然承擔(dān)責(zé)任。數(shù)據(jù)的保管人與云服務(wù)的(法律)協(xié)議是慎重的，該協(xié)議要清晰定義角色、各方的期望和與數(shù)據(jù)利害攸關(guān)的眾多職責(zé)，上述討論的法律、法規(guī)、標(biāo)準(zhǔn)以及相關(guān)的最佳實(shí)踐也要求數(shù)據(jù)保管人進(jìn)行盡職調(diào)查(在執(zhí)行合同前)或安全審計(jì)(在合同履行期間),以確保這些責(zé)任得到履行。公司是委托給他們的數(shù)據(jù)的保管人。如上所述，許多法律、法規(guī)或合同禁止、約束或限定數(shù)據(jù)披露或轉(zhuǎn)讓給第三方。例如，如果沒有對(duì)“商業(yè)伙伴”施加特定的義務(wù)要求的情況下，根在進(jìn)入云計(jì)算之前，公司應(yīng)該評(píng)估自己的實(shí)踐、需求和限制，目的確定云計(jì)算交易相關(guān)的法律障礙和合規(guī)性要求。例如，應(yīng)該確定其業(yè)務(wù)模式是否允許使用，以及在何種條件下使用云公司應(yīng)調(diào)查是否存在保密協(xié)議或數(shù)據(jù)使用協(xié)議，用于限制傳輸數(shù)據(jù)給第三方，即使這第三方是服務(wù)提供商。如果公司已簽署保密協(xié)議，以保護(hù)個(gè)人信息或商業(yè)秘密，沒有數(shù)據(jù)所有者的事先許可，此協(xié)議可能禁止雇用分包商。如果公司計(jì)劃將客戶數(shù)據(jù)處理分包給第三方，則該公司使用的數(shù)據(jù)可能需要當(dāng)事人，即客戶的同意。這種限制大多數(shù)情況適用于轉(zhuǎn)移到云服務(wù)提供商。在這種情況下，沒有客戶的事先許可(數(shù)據(jù)所有者),遷移數(shù)據(jù)到云將導(dǎo)致違反與該客戶之ConfidentialforCSAmemb云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0在簽訂任何合同之前，盡職調(diào)查的關(guān)鍵部分必須是要求和審查對(duì)方業(yè)務(wù)的所有相關(guān)方面-在因此，根據(jù)擬建項(xiàng)目的性質(zhì)，盡職調(diào)查可能涉及評(píng)估所提供服務(wù)的性質(zhì)和完整性，服務(wù)質(zhì)置。了解客戶可能提供深度價(jià)值說(shuō)明。審查針對(duì)云提供商提起訴訟的報(bào)告可能會(huì)很有啟發(fā)。檢在大多數(shù)情況下，云的客戶將至少要評(píng)估可適用的服務(wù)水平、最終用戶、和法律協(xié)議，隱私政策，安全的披露，與適用法律符合的證據(jù)(如注冊(cè)要求)確保云提供商提供的條件適合其云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0●云供應(yīng)商將在未來(lái)幾年保持業(yè)務(wù)嗎?其財(cái)務(wù)狀況如何?對(duì)于任何新的項(xiàng)目，好的盡職調(diào)查要審查所有的云服務(wù)協(xié)議的條款建議合同應(yīng)始終仔細(xì)審查，即使被告知內(nèi)容是不可協(xié)商的。一方面，合同實(shí)際上可能是談判而變化。即使不可能做到這一點(diǎn)，每個(gè)云服務(wù)的購(gòu)買者應(yīng)該理解的合同協(xié)議的后果和影響。審計(jì)和合規(guī)在第4域中被更詳細(xì)地介紹，但兩個(gè)因素可能影響合同和法律/法規(guī)要求。云計(jì)算中的第三方審核或認(rèn)證經(jīng)常被用來(lái)保證與云提供商的基礎(chǔ)設(shè)施方面的合規(guī)性，它允許一個(gè)云客戶在云平臺(tái)之上建立自己的標(biāo)準(zhǔn)服務(wù)。對(duì)于供應(yīng)商需要發(fā)布和客戶需要評(píng)估的以下因素是至的業(yè)務(wù)合作協(xié)議(HIPAABusinessAssociateAgreement,BAA)),盡管服務(wù)商的其他的許多服務(wù)云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.03.1.3電子舉證本節(jié)討論了美國(guó)訴訟的獨(dú)特要求。圍繞“發(fā)現(xiàn)”的美國(guó)規(guī)則，在訴訟中對(duì)方當(dāng)事人可以獲取私人文件，這涵蓋廣泛的潛在文件。特別是，在法庭文件中發(fā)現(xiàn)不限于那些在起初就被認(rèn)為是證據(jù)的文件；相反，發(fā)現(xiàn)將適用于所有文件的合理預(yù)判為證據(jù)(證據(jù)相關(guān)的和證明是證據(jù))。參見聯(lián)邦民事訴訟規(guī)則(FederalRu近年來(lái)，已經(jīng)有不少訴訟當(dāng)事人被指控自行刪除、丟失、或修改不利于自己的重要證據(jù)。在這些情況下，聯(lián)邦民事訴訟規(guī)則(FederalRulesofCivilProcedure)認(rèn)可，資金被認(rèn)為是無(wú)責(zé)由于云計(jì)算將成為訴訟或調(diào)查中所需要的電子化存儲(chǔ)信息的倉(cāng)庫(kù)，云服務(wù)提供商和他們的客戶必須仔細(xì)規(guī)劃如何識(shí)別案件涉及的所有文檔，為了能夠滿足聯(lián)邦民事訴訟規(guī)則中電子證據(jù)在美國(guó)的大多數(shù)司法管轄區(qū)，各方有義務(wù)生成相關(guān)信息，限于其所擁有、保管或控制的文檔和數(shù)據(jù)。托管在第三方的相關(guān)的數(shù)據(jù)，即使是云服務(wù)提供商，一般也不會(huì)為一方當(dāng)事人生成信息的義務(wù)，盡管有法律權(quán)限去查閱或獲得這些數(shù)據(jù)。然而，并非所有托管在云服務(wù)提供商的數(shù)據(jù)會(huì)在客戶的控制下(例如，災(zāi)難恢復(fù)系統(tǒng)，云服務(wù)提供商用于運(yùn)行環(huán)境創(chuàng)建和維護(hù)的某些云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0一般來(lái)說(shuō)，在美國(guó)一方有義務(wù)采取合理的措施，對(duì)其擁有、保管、或控制其所知道的或理應(yīng)知道的數(shù)據(jù)和信息，防止數(shù)據(jù)或信息因銷毀或更改而被破壞或修改，這與懸而未決的或合理預(yù)期的訴訟或政府調(diào)查相關(guān)(這在文檔銷毀上也通常被成為“訴訟保留”)。根據(jù)客戶使用的云服務(wù)和云部署模式，客戶在云中保存與在其他IT基礎(chǔ)設(shè)施中保存可以非常類似，也可以更復(fù)在歐盟，信息保存由歐洲議會(huì)和歐盟理事會(huì)2006年3月15日的指令2006/24/EC管轄，2月6號(hào)的25.873號(hào)法令。在美國(guó)，盡管適用于潛在當(dāng)事人的管轄權(quán)裁決多種多樣，這些關(guān)注內(nèi)容在聯(lián)邦民事訴訟法第37條得到了廣泛的解決。SecurityGuidancev.4OCopyright2017,Cl云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0成本和存儲(chǔ)：保存可以要求延長(zhǎng)大規(guī)模數(shù)據(jù)的保留期。根據(jù)服務(wù)等級(jí)協(xié)議(servicelevelagreement,SLA)這樣的后果是什么?如果保持要求超出服務(wù)等級(jí)協(xié)議的條款，會(huì)發(fā)生什么情況?如果客戶繼續(xù)保持?jǐn)?shù)據(jù)，誰(shuí)支付延時(shí)存儲(chǔ)，以及以怎樣的代價(jià)?客戶是否有在服務(wù)等級(jí)協(xié)議下的存儲(chǔ)容量?客戶是否能在取證的方式下有效地下載數(shù)據(jù)，從而可以離線或近端保持?jǐn)?shù)據(jù)?所有這些問(wèn)題都應(yīng)該被視為轉(zhuǎn)移到云端的一部分。保存范圍：請(qǐng)求方僅有權(quán)訪問(wèn)托管在云中包含相關(guān)信息的數(shù)據(jù)，該數(shù)據(jù)包含或可被合理計(jì)算出需要處理問(wèn)題的與相關(guān)、可提供證據(jù)的信息，而不享有在云中或在應(yīng)用程序中的所有數(shù)據(jù)訪問(wèn)權(quán)。(確切限制的問(wèn)題，很可能在訴訟中得到解決?！?。)然而，如果客戶沒能以粒度方式保持相關(guān)信息或數(shù)據(jù)，可能需要過(guò)度保持(over-preserve)作為合理的保護(hù)，這取決于訴訟或調(diào)查。(然后，在取證過(guò)程中，這些信息作用被應(yīng)確定哪些應(yīng)該必須和不應(yīng)作為移交的一部分。這個(gè)過(guò)程，稱為文件審查或特權(quán)審查，可以由有償律師工作人員，或在某些情況下，由專家系統(tǒng)動(dòng)態(tài)和共享存儲(chǔ)：如果客戶有空間來(lái)容納數(shù)據(jù)，數(shù)據(jù)相對(duì)靜止，訪問(wèn)的人有限的并且知道如何保存數(shù)據(jù)，則在云中保存數(shù)據(jù)的負(fù)擔(dān)可能相對(duì)較小。然而，在云環(huán)境中以編程方式修改或清除數(shù)據(jù)，或與沒有意識(shí)到數(shù)據(jù)需要保持的人共享，保持變得更加困難。當(dāng)客戶明確這些數(shù)據(jù)是相關(guān)的，而且需要保村的，客戶可能需要與供應(yīng)商合作，以確定合理的方式來(lái)保由于可能缺乏管理控制，客戶收集來(lái)自云中的數(shù)據(jù)比收集防火墻后面的數(shù)據(jù)更困難，更耗時(shí)，更昂貴。特別是客戶對(duì)其云中的數(shù)據(jù)可能不具有相同的能見度水平，將已經(jīng)收集到的數(shù)據(jù)與云計(jì)算中的數(shù)據(jù)進(jìn)行比較，以確定輸出的完整性和準(zhǔn)確性，可能會(huì)更加困難。訪問(wèn)和帶寬：在大多數(shù)情況下，客戶訪問(wèn)其在云中的數(shù)據(jù)將取決于服務(wù)等級(jí)協(xié)議。這可能會(huì)限制其快速、以取證的方式收集大量數(shù)據(jù)的能力(即，與所有合理相關(guān)的元數(shù)據(jù)保持一致)?？蛻艉驮品?wù)提供商盡早地考慮了這個(gè)問(wèn)題，在訴訟和調(diào)查允許收集的情況下，為額外的訪問(wèn)建立協(xié)議(和成本)。如果沒有這些協(xié)議，當(dāng)請(qǐng)求方和法院交涉時(shí)，客戶應(yīng)考慮在云中收集帶來(lái)ConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0訪問(wèn)他們的硬件，特別是在多租戶環(huán)境中客戶能訪問(wèn)到其他客戶的數(shù)據(jù)。即使在私有云中，取除這種不適當(dāng)?shù)呢?fù)擔(dān)。)幸運(yùn)的是，取證在合理的完整性：客戶面對(duì)請(qǐng)求發(fā)現(xiàn)應(yīng)采取合理的措施以驗(yàn)證其從云供應(yīng)商的收集是完整和準(zhǔn)確的，尤其在普通業(yè)務(wù)流程不可獲得和訴訟的具體措施被用來(lái)獲取信息。這個(gè)過(guò)程與在云中無(wú)法合理的訪問(wèn)：由于客戶存儲(chǔ)的數(shù)據(jù)及客戶的訪問(wèn)權(quán)限和特權(quán)存在差異，存在一些案例顯示云中的客戶并非可訪問(wèn)所有存儲(chǔ)在云中數(shù)據(jù)。當(dāng)響應(yīng)請(qǐng)求發(fā)現(xiàn)時(shí)，云用戶和云的供應(yīng)商應(yīng)云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0情況下，ESI預(yù)計(jì)將制定的標(biāo)準(zhǔn)格式(如PDF的電子文件),除非與此爭(zhēng)議相關(guān)的轉(zhuǎn)化數(shù)據(jù)(如元數(shù)據(jù))而信息丟失。在這種情況下，云本地生成的原始格式的數(shù)據(jù)對(duì)請(qǐng)求方可能是無(wú)用的，因?yàn)樗麄儗o(wú)法理解所產(chǎn)生的信息。在這種情況下，可能最好的是要求所有有關(guān)方，包括生產(chǎn)是否應(yīng)被接納為證據(jù)?，F(xiàn)在的問(wèn)題是該文檔是否是它所聲稱的供應(yīng)商和客戶最好從合作的一開始就考慮(電子)發(fā)現(xiàn)導(dǎo)致的復(fù)雜度并在服務(wù)等級(jí)協(xié)議中云服務(wù)提供商可能被第三方以傳票、搜查令或法院形式的命令要求其提供信息，獲得對(duì)客戶數(shù)據(jù)的訪問(wèn)請(qǐng)求?？蛻艨赡芟Ｍ軐?duì)抗訪問(wèn)請(qǐng)求，確保數(shù)據(jù)的保密性和秘密性要求。為此，云服務(wù)協(xié)議應(yīng)要求云服務(wù)供應(yīng)商把收到傳票的信息通知公司，并給公司時(shí)間來(lái)對(duì)抗此類訪問(wèn)請(qǐng)?jiān)朴?jì)算關(guān)鍵領(lǐng)域安全指南v4.0并采用適當(dāng)?shù)姆煞椒?。云服?wù)提供商在披露其保管的信息前應(yīng)認(rèn)真地分析請(qǐng)求，并考慮是否可以通過(guò)發(fā)布信息來(lái)滿足其客戶。在某些情況下，服務(wù)商可以更好的滿足客戶的需求，因?yàn)樗梢詽M足太寬泛或有問(wèn)題的需求。關(guān)于取證和電子存儲(chǔ)信息的更多閱讀資料，有各種各樣的來(lái)源。比較重要的一個(gè)是塞多納會(huì)議(SedonaConference),該組織圍繞ESI的處理提出有影響力建議已經(jīng)好幾年了，他們反過(guò)來(lái)又在影響這一新興的法律領(lǐng)域。然而，請(qǐng)注意，他們的建議本身并不具有法律效力。SecurityGuidancev.4OCopyright2017,Cl云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.04.1介紹當(dāng)組織將其業(yè)務(wù)從傳統(tǒng)數(shù)據(jù)中心遷移至云計(jì)算數(shù)據(jù)中心之時(shí)就將面臨新的安全挑戰(zhàn)。其中最大的挑戰(zhàn)之一即遵從眾多監(jiān)管條例對(duì)交付、度量和通信的合規(guī)約束。云服務(wù)的客戶和供應(yīng)商都需要理解和掌握這些不同的條例上的區(qū)別，包括在監(jiān)管上的區(qū)別，以及對(duì)已經(jīng)存在的合規(guī)和審計(jì)標(biāo)準(zhǔn)、過(guò)程和實(shí)踐的區(qū)別。而云計(jì)算所擁有的分布式和虛擬化的特性，使得原本基于確定除了云服務(wù)供應(yīng)商和用戶之外，監(jiān)管和審計(jì)機(jī)構(gòu)也需要針對(duì)云計(jì)算這一新領(lǐng)域進(jìn)行調(diào)整?，F(xiàn)行的法律法規(guī)在編寫時(shí)，很少考慮到虛擬化環(huán)境或者云上的部署。這會(huì)導(dǎo)致云計(jì)算用戶在面對(duì)組織合規(guī)性的外部審計(jì)時(shí)面臨很大挑戰(zhàn)。正因如此，理解云計(jì)算與監(jiān)管環(huán)境的相互關(guān)系將是予特別關(guān)注。云服務(wù)提供商和用戶的合規(guī)責(zé)任分配，包括間接提供商(如：你所采用云服務(wù)提供商的云服務(wù)提供商)。這包括合規(guī)繼承的概念，其中提供商可能有他們服務(wù)的一部分被認(rèn)證為合格，這部分可以從客戶的審核范圍中剔除，但客戶仍然對(duì)建立●供應(yīng)商審核和認(rèn)證的作用以及如何影響客戶審核(或評(píng)估)范圍。SecurityGuidancev.4OCopyright2017,CloudSecurityAlliaConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0然審計(jì)是一種支持，確保和證明合規(guī)性的關(guān)鍵機(jī)制。但合規(guī)性不止于審計(jì)，而審計(jì)也不止合同，戰(zhàn)略和政策)。合規(guī)過(guò)程評(píng)估認(rèn)識(shí)和合規(guī)的狀態(tài)，進(jìn)一步評(píng)估不符合成本的●審計(jì)是證明(或反駁)合規(guī)性的關(guān)鍵工具。同時(shí)，審計(jì)和評(píng)估也被用于支持不合規(guī)云服務(wù)(或任何地方)的信息技術(shù)越來(lái)越受到政府、行業(yè)團(tuán)體、業(yè)務(wù)相關(guān)方和其他利益相關(guān)者的政策和法規(guī)的影響。合規(guī)性管理是一種治理工具；它是關(guān)于一個(gè)組織如何評(píng)估，采取補(bǔ)特別是法規(guī)通常對(duì)信息技術(shù)和信息治理有很強(qiáng)的影響，尤其是在監(jiān)控，管理，保護(hù)和公開披露方面。許多規(guī)章制度和義務(wù)都要求一定等級(jí)的安全性，這就是為什么信息安全與合規(guī)性緊密結(jié)合的原因。因此，安全控制是一個(gè)確保合規(guī)性的重要工具，并且這些控制的評(píng)價(jià)和測(cè)試是安全與安全性一樣，合規(guī)性在云服務(wù)中是一個(gè)共享責(zé)任模式。云服務(wù)供應(yīng)商和客戶都有責(zé)任，云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0所有云客戶，尤其是公有云的客戶，必須更多地依賴于供應(yīng)商的第三方認(rèn)證來(lái)了解他們的合規(guī)性和差距。由于公有云提供商依賴于規(guī)模經(jīng)濟(jì)來(lái)管理成本，他們往往不會(huì)讓客戶來(lái)進(jìn)行審計(jì)。相反，類似于公開上市公司的財(cái)務(wù)審計(jì)，他們與第三方的公司執(zhí)行審計(jì)和頒發(fā)認(rèn)證。因此，云的用戶通常不會(huì)自己定義審計(jì)的范圍或者自行執(zhí)行審計(jì)。他們往往需要依靠這些報(bào)告和認(rèn)證來(lái)決定服務(wù)是否符合他們的合規(guī)性責(zé)任。許多云供應(yīng)商被各種法規(guī)和行業(yè)要求認(rèn)證，如PCIDSS,sOC1,SCO2,HIPAA,最佳實(shí)踐/框架如CSACCM和全球/區(qū)域法規(guī)如EUGDPR。這些有時(shí)被稱為準(zhǔn)入型審計(jì)(pass-throughaudit)。準(zhǔn)入型審計(jì)是合規(guī)性繼承的一種形式。在這個(gè)模型中，云供應(yīng)商的所有或者某些基礎(chǔ)設(shè)施和服務(wù)依照合規(guī)標(biāo)準(zhǔn)進(jìn)行審核。供應(yīng)商承擔(dān)這些認(rèn)證的成本和并維護(hù)認(rèn)證。對(duì)供應(yīng)商進(jìn)行審計(jì)，包括準(zhǔn)入型審計(jì)，都需要了解其局限性：●這些審計(jì)證明供應(yīng)商是合規(guī)的?！裨谠品?wù)上建立合規(guī)的應(yīng)用程序和服務(wù)仍然是客戶的責(zé)任?！襁@意味著供應(yīng)商的基礎(chǔ)設(shè)施/服務(wù)不在客戶審核/評(píng)估范圍之內(nèi)。但客戶建立自己的一切仍在審計(jì)范圍內(nèi)?！窨蛻魹樗麄冏约核⒑途S護(hù)的，承擔(dān)最終的合規(guī)責(zé)任。例如，如果一個(gè)laaS供應(yīng)商獲得PCIDSS認(rèn)證，客戶可以在該平臺(tái)上建立自己的PCI合規(guī)的服務(wù)，而供應(yīng)商的基礎(chǔ)設(shè)施和運(yùn)營(yíng)應(yīng)在客戶的評(píng)估范圍之外。然而，如果客戶沒有對(duì)在云服務(wù)中運(yùn)行的應(yīng)用程序進(jìn)行適當(dāng)?shù)脑O(shè)計(jì)，那么將會(huì)極易與PCI規(guī)則產(chǎn)生沖突從而造成評(píng)估之上建立的一切依然在審計(jì)范圍內(nèi)SecurityGuidancev.4OCopyright2017,Cl云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0在傳統(tǒng)計(jì)算中組織有同樣的責(zé)任，但云計(jì)算大大減少了這些潛在的國(guó)際部署時(shí)候的沖突。比如，如果沒有啟用適當(dāng)?shù)目刂苼?lái)防止這種情況，開發(fā)人員可能在無(wú)需請(qǐng)求國(guó)際數(shù)據(jù)中心并簽并不是一個(gè)給定的云服務(wù)供應(yīng)商的所有功能和服務(wù)必須符合和認(rèn)證/審核的所有法規(guī)和標(biāo)4.1.2審計(jì)管理合適的組織治理結(jié)構(gòu)自然包括審計(jì)和保證。審計(jì)必須獨(dú)立進(jìn)行，并應(yīng)被穩(wěn)健的設(shè)計(jì)從而反映最佳的實(shí)踐、適當(dāng)?shù)馁Y源和測(cè)試協(xié)議和標(biāo)準(zhǔn)。在深入研究云服務(wù)影響之前，我們需要定義有關(guān)信息安全的審計(jì)管理的范圍。審計(jì)和保證是證明符合內(nèi)部或外部要求(或識(shí)別缺陷)的合規(guī)性的機(jī)制。報(bào)告需要包括合規(guī)性測(cè)定，以及確定的問(wèn)題、風(fēng)險(xiǎn)和補(bǔ)償建議的清單。審計(jì)和保證不僅限于信息安全，也包括那些與信息安全相關(guān)的方面，通常集中在評(píng)估安全管理和控制的有效性。大多數(shù)組織受內(nèi)部和所有審核有可變范圍和適用性聲明，它定義了評(píng)價(jià)對(duì)象(如所有系統(tǒng)與財(cái)務(wù)數(shù)據(jù))和控制范圍(如行業(yè)標(biāo)準(zhǔn)，自定義范圍，或兩者都有)。認(rèn)證是來(lái)自第三方的法律聲明，可以作為審計(jì)結(jié)果聲明。認(rèn)證是對(duì)云供應(yīng)商進(jìn)行評(píng)價(jià)和采納使用的一個(gè)關(guān)鍵的工具，因?yàn)樵瓶蛻舨豢偸强蒘ecurityGuidancev.4OCopyri云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0一些云客戶可能習(xí)慣了去審計(jì)第三方供應(yīng)商，但云計(jì)算的性質(zhì)和與云供應(yīng)商的合同往往會(huì)對(duì)于部署地點(diǎn)現(xiàn)場(chǎng)的審計(jì)形成障礙?？蛻魬?yīng)該了解的是，云供應(yīng)商在同時(shí)給多個(gè)租戶提供服務(wù)的時(shí)候，會(huì)(并且通常應(yīng)該)將部署地點(diǎn)現(xiàn)場(chǎng)審計(jì)視為一種安全風(fēng)險(xiǎn)。來(lái)自大量客戶的多個(gè)部署地現(xiàn)場(chǎng)審計(jì)會(huì)呈現(xiàn)明顯的邏輯性和安全性挑戰(zhàn)，特別是當(dāng)供應(yīng)商使用一組共享資產(chǎn)來(lái)給客戶客戶與這些供應(yīng)商的工作將會(huì)不得不依賴第三方認(rèn)證而不是他們自己執(zhí)行的審計(jì)。根據(jù)審計(jì)標(biāo)準(zhǔn)，實(shí)際審計(jì)結(jié)果只有在保密協(xié)議(NDA)的約束下才可得風(fēng)險(xiǎn)評(píng)估或其他評(píng)價(jià)的結(jié)果之前，需要遵守相關(guān)基本的法律協(xié)議。這往往是由于法律或?qū)徲?jì)云供應(yīng)商應(yīng)該理解，客戶仍然需要確保供應(yīng)商履行合同及監(jiān)管義務(wù)，因此應(yīng)提供細(xì)致的第三方認(rèn)證來(lái)證明他們履行自己的義務(wù)，尤其是當(dāng)供應(yīng)商不允許客戶直接對(duì)其進(jìn)行評(píng)估時(shí)。這些認(rèn)證應(yīng)基于行業(yè)標(biāo)準(zhǔn)，要有明確的界定范圍和具體的被評(píng)估的控制列表。發(fā)布證書和認(rèn)證(在法律允許的程度)將大大幫助客戶評(píng)估云供應(yīng)商。云安全聯(lián)盟星級(jí)登記處(CloudSecurityAllianceSTARregistry)為供應(yīng)商提供了一個(gè)中央庫(kù)，以便供應(yīng)商公開發(fā)布這些文件。明確控制的范圍，所以都需要進(jìn)行完整的評(píng)價(jià)。同時(shí)，認(rèn)證和證明不一定適用于云服務(wù)供應(yīng)商提供的所有服務(wù)。供應(yīng)商應(yīng)該明確哪些服務(wù)和功能被覆蓋，客戶有責(zé)任注意并了解對(duì)自己所使某些類型的客戶技術(shù)評(píng)估和審計(jì)(如脆弱性評(píng)估)在供應(yīng)商的服務(wù)條款內(nèi)或許會(huì)被限制，重要的是要記住認(rèn)證和證明是基于某個(gè)時(shí)間點(diǎn)的行為。認(rèn)證是一個(gè)“一段時(shí)間”的評(píng)估，并可能在未來(lái)任何時(shí)間點(diǎn)無(wú)效。供應(yīng)商必須保持現(xiàn)有的任何已發(fā)布的結(jié)果，否則有可能使客戶云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.04.2推薦SecurityGuidancev.4OCopyright2017,CloudSecuritConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0■在部署、遷移或開發(fā)云技術(shù)之前，明確全部合規(guī)義務(wù)?！鲈u(píng)估提供商的第三方認(rèn)證和認(rèn)證，并將其與合規(guī)性要求保持一致。■了解評(píng)估和認(rèn)證的范圍，包括涵蓋的控制和系統(tǒng)特性/服務(wù)?！鰢L試選擇具有云計(jì)算經(jīng)驗(yàn)的審核人員，尤其是當(dāng)準(zhǔn)入型審計(jì)和認(rèn)證會(huì)被用于客戶審計(jì)范圍的情況下?！龃_保他們了解供應(yīng)商提供的合規(guī)性證據(jù)，并有效地收集和管理這些證據(jù)。◆當(dāng)供應(yīng)商的證據(jù)不充足時(shí)，創(chuàng)建和收集自己的證據(jù)。■云安全聯(lián)盟云控制矩陣可以支持提供云供應(yīng)商的注冊(cè)表、相關(guān)的遵從性要求以及當(dāng)前SecurityGuidancev.4OCopyright2017,ClConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.05.1介紹信息安全的主要目標(biāo)是保護(hù)系統(tǒng)和應(yīng)用程序的基本數(shù)據(jù)。隨著企業(yè)向云計(jì)算過(guò)渡，傳統(tǒng)的數(shù)據(jù)安全方法受到基于云架構(gòu)的挑戰(zhàn)。彈性、多租戶、新的物理和邏輯架構(gòu)和被分離的控需要新的數(shù)據(jù)安全策略。在眾多云部署中，用戶甚至將數(shù)據(jù)轉(zhuǎn)移到外部環(huán)境甚至公共環(huán)境在云計(jì)算時(shí)代管理信息是一項(xiàng)艱巨的挑戰(zhàn)，它影響到所有組織，不僅需要新的技術(shù)保護(hù)，而且需要新的基本治理方法。雖然云計(jì)算幾乎對(duì)信息治理的所有領(lǐng)域都有一些影響，但由于與我們的數(shù)據(jù)總是服從一系列的要求。一些要求是由其他人附加給我們的，如監(jiān)管機(jī)構(gòu)、客●多租戶：當(dāng)數(shù)據(jù)存儲(chǔ)在與其它不可信的租戶共享基礎(chǔ)設(shè)施的公共云上，多租戶提出了復(fù)雜的安全需求。即使在私有云環(huán)境中，對(duì)不同的業(yè)務(wù)單元共享的基礎(chǔ)設(shè)施的存儲(chǔ)和管理，可●共享的安全責(zé)任：更大的共享環(huán)境帶來(lái)更大的共享的安全責(zé)任。現(xiàn)在數(shù)據(jù)更可能是由不同云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0■所有權(quán)，顧名思義，是關(guān)于誰(shuí)擁有數(shù)據(jù)的。它并不總是完全清楚的。假如客戶提供給■保管是指誰(shuí)是管理數(shù)據(jù)。如果一個(gè)客戶權(quán)利，你僅僅是保管者。這意味著你只能以被認(rèn)可的方式使用它。保管責(zé)任。托管不能轉(zhuǎn)移你的責(zé)任。基本上，所有者定義規(guī)則(有時(shí)是間接地控制)和在云中托管客戶數(shù)據(jù)，我們將第三方(云提供商)引入治理模型。●管轄邊界和數(shù)據(jù)主權(quán)：由于云按定義實(shí)現(xiàn)了廣泛的網(wǎng)絡(luò)訪問(wèn)，它增加了在更多地點(diǎn)(司法管轄區(qū))托管數(shù)據(jù)的機(jī)會(huì)，并減少了遷移數(shù)據(jù)的摩擦。一些供應(yīng)商可能不會(huì)讓數(shù)據(jù)的物理●適用性規(guī)則和隱私政策：所有這些可能受到云適用的第三方提供者和管轄權(quán)變化的組合所影響。例如，您的客戶協(xié)議可能不允許您共享/使用云提供商上的數(shù)全要求(如加密)。當(dāng)遷移到云時(shí)，把云作為重新審視信息架構(gòu)的機(jī)會(huì)。我們今天的許多信息體系架構(gòu)是相當(dāng)破碎的，因?yàn)樗鼈冊(cè)趲资甑臅r(shí)間內(nèi)基于不斷變化的技術(shù)實(shí)現(xiàn)的。遷移到云端創(chuàng)造了一個(gè)綠色5.2概要數(shù)據(jù)/信息治理意味著確保使用數(shù)據(jù)和信息遵循組織策略、標(biāo)準(zhǔn)和商業(yè)需求和目標(biāo)，信息和數(shù)據(jù)是不同的，但是我們傾向于交替使用它們。信息是有價(jià)值的數(shù)SecurityGuidancev.4OCopConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0●信息分級(jí)。它經(jīng)常與適用性有關(guān)，并影響云的目標(biāo)和處理需求。不是每個(gè)人都一定有一個(gè)●信息管理策略。分級(jí)和云的關(guān)系需要增補(bǔ)，如果你有。他們還應(yīng)該覆蓋不同的SPI什么可以上云?什么產(chǎn)品和服務(wù)?有什么安全要求?●屬地和管轄政策。這些都有非常直接的云含義。任何外包必須符合屬地和司法管轄要求?？梢岳斫鈨?nèi)部策略能夠因云計(jì)算而改變，但法律要求是硬性約束。(請(qǐng)參閱法律領(lǐng)域以獲取更多關(guān)于這方面的信息)確保您理解合同和法律可能產(chǎn)生沖突，你需要與您的法律部門●隱私。隱私是監(jiān)管要求、合同義務(wù)和對(duì)顧客承諾的總和(例如公開聲明)。您需要了解總●合同控制。這是將治理需求擴(kuò)展到第三方(如云提供商)的法律工具。因管理、顧及安全受眾的不同需求。這里只是生命周期的一個(gè)概要，完整的版本在/blog/data-security-lifecycle-2.0。它只是一個(gè)幫助理解數(shù)據(jù)安全邊界和控制的工具。它不應(yīng)該被用來(lái)作為適用于所有類型數(shù)據(jù)的一種嚴(yán)格的工具。它是一SecurityGuidancev.4OCopyright2017,CloudSecurityAlliance.A云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0生命周期包括從創(chuàng)造到廢棄的六個(gè)階段。雖然它被顯示為一個(gè)線性的過(guò)程，一旦創(chuàng)建，數(shù)據(jù)可以在兩個(gè)階段之間不受限制地轉(zhuǎn)換，并且可能不會(huì)經(jīng)過(guò)所有的階段(例如，不是所有的數(shù)據(jù)最終都會(huì)被銷毀)。創(chuàng)建創(chuàng)建是新的數(shù)字內(nèi)容的生成，或變更/更新/修改現(xiàn)有的內(nèi)容。保存保存是將數(shù)字?jǐn)?shù)據(jù)提交給某種存儲(chǔ)庫(kù)的行為，通常與創(chuàng)建幾乎同時(shí)發(fā)生。使用數(shù)據(jù)在某種活動(dòng)中被查看、處理或以其他方式使用，不包括修改。共享信息可以被其他人訪問(wèn)，比如用戶之間、客戶之間以及合作伙伴之間。歸檔數(shù)據(jù)離開活躍使用，進(jìn)入長(zhǎng)期存儲(chǔ)。銷毀通過(guò)物理或數(shù)字的方法，數(shù)據(jù)被永久性的破壞(例如，基于加密的切碎)。SecurityGuidancev.4OCopyri云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0位置和授權(quán)生命周期表示信息傳遞所處的階段，但不表明它所在的位置或如何訪問(wèn)它。位置可以通過(guò)生命周期思想，而不是作為一個(gè)單一的、線性的操作來(lái)說(shuō)明，但可以作為一系列更小的周期在不同的操作環(huán)境中運(yùn)行。幾乎任何階段，數(shù)據(jù)可以在這些環(huán)境之間進(jìn)出。ExternalExternal口×圖碼0ExternalInter數(shù)威方問(wèn)存儲(chǔ)勝多數(shù)威方問(wèn)存儲(chǔ)勝多N置，每自日的生命周期由于所有潛在的監(jiān)管、合同和其他管轄問(wèn)題，理解數(shù)據(jù)的邏輯和物理位置非常重要。授當(dāng)用戶知道數(shù)據(jù)在何處以及如何移動(dòng)時(shí)，他們需要知道誰(shuí)訪問(wèn)它，以及如何訪問(wèn)它。這里有兩個(gè)因素·他們?cè)趺丛L問(wèn)它的(設(shè)備&渠道)?云計(jì)算關(guān)鍵領(lǐng)域安全指南v4.0下一步確定數(shù)據(jù)可以實(shí)現(xiàn)由設(shè)定的參與者(個(gè)人或系統(tǒng))和特定位置確定的功能。·讀查看/讀取數(shù)據(jù)，包括創(chuàng)建、復(fù)制、文件傳輸、傳播和其他信息交換?！み^(guò)程執(zhí)行一筆數(shù)據(jù)事務(wù)：更新它；在業(yè)務(wù)處理事務(wù)中使用它，等等?！ご鎯?chǔ)保存數(shù)據(jù)(在文件、數(shù)據(jù)庫(kù)里，等等)。XXXXXXXXXX參與者(個(gè)人、應(yīng)用程序、系統(tǒng)/進(jìn)程，而不是訪問(wèn)設(shè)備)在一個(gè)位置完成每一項(xiàng)功能?？叵拗茖⒁幌盗锌赡艿男袨榻导?jí)為允許的行為。下表展示了一種用戶羅列控制矩陣的可行的SecurityGuidancev.4OCopyright2017,CloudSecurConfidentialforCSAmemberson云計(jì)算關(guān)鍵領(lǐng)域安全指南