基于云平臺(tái)的安全策略研究

林森 李鋼

摘 ? 要：當(dāng)前互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展，云計(jì)算、大數(shù)據(jù)等新技術(shù)在信息系統(tǒng)建設(shè)過(guò)程中得到了廣泛應(yīng)用，更多的互聯(lián)網(wǎng)用戶將自己的信息系統(tǒng)部署在云平臺(tái)上。隨著大量信息系統(tǒng)在云平臺(tái)上的部署，云平臺(tái)制度環(huán)境建設(shè)及安全策略研究就顯得尤為重要。文章旨在研究云平臺(tái)環(huán)境下的信息安全制度和安全策略。從云服務(wù)用戶、云服務(wù)商、云鏈路供應(yīng)商以及第三方評(píng)估機(jī)構(gòu)的角度，對(duì)安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)安全建設(shè)管理和系統(tǒng)運(yùn)維管理等方面的安全策略進(jìn)行研究，從而完善云平臺(tái)制度環(huán)境建設(shè)及安全策略。

關(guān)鍵詞：云平臺(tái);制度環(huán)境;策略

中圖分類號(hào)：TP393.0 ? ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼：J

Abstract： At present， with the rapid development of Internet technology， new technologies such as cloud computing and big data have been widely used in the process of information system construction. More and more Internet users deploy their information systems on cloud platform. In this way， with the deployment of a large number of information systems on cloud platforms， the system environment construction and security strategy research of cloud platforms are particularly important. This paper aims to study the information security system and security strategy under the cloud platform environment. From the point of view of cloud service users， cloud service providers， cloud link providers and third-party evaluation agencies， this paper studies security strategies in security management system， security management institutions， personnel safety management， system security construction management and system operation and maintenance management， so as to improve the system environment construction and security strategy of cloud platform.

Key words： cloud platform;institutional environment;strategy

1 引言

加強(qiáng)有關(guān)云平臺(tái)策略研究，規(guī)范互聯(lián)網(wǎng)系統(tǒng)安全運(yùn)營(yíng)，有助于凈化互聯(lián)網(wǎng)空間、“掃黃打非”杜絕淫穢色情等不良信息在網(wǎng)絡(luò)傳播，對(duì)于維護(hù)網(wǎng)絡(luò)生態(tài)文明建設(shè)具有至關(guān)重要的意義。目前，公有云服務(wù)中運(yùn)行維護(hù)制度化管理工作，是確保系統(tǒng)的安全可靠運(yùn)行的關(guān)鍵和基礎(chǔ)。本文擬就如何加強(qiáng)云平臺(tái)環(huán)境下的安全策略設(shè)計(jì)，提出若干安全策略措施，提供給大家研究商榷。

根據(jù)國(guó)家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布的《2019年上半年我國(guó)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢(shì)》顯示，發(fā)生在我國(guó)主流云平臺(tái)上的各類網(wǎng)絡(luò)安全事件數(shù)量占比仍然較高，其中云平臺(tái)上遭受分布式拒絕服務(wù)攻擊次數(shù)占境內(nèi)目標(biāo)被攻擊次數(shù)的69.6%，被植入后門鏈接數(shù)量占境內(nèi)全部被植入后門鏈接數(shù)量的63.1%，被篡改網(wǎng)頁(yè)數(shù)量占境內(nèi)被篡改網(wǎng)頁(yè)數(shù)量的62.5%[1]?；谏鲜霈F(xiàn)狀，說(shuō)明加強(qiáng)互聯(lián)網(wǎng)云平臺(tái)制度環(huán)境建設(shè)，對(duì)于網(wǎng)絡(luò)安全非常重要。

2 云計(jì)算平臺(tái)服務(wù)的主體角色及安全職責(zé)

云計(jì)算服務(wù)從廣義上說(shuō)，網(wǎng)絡(luò)云計(jì)算服務(wù)是與信息技術(shù)、軟件、互聯(lián)網(wǎng)相關(guān)的一種服務(wù)，這種計(jì)算資源共享池叫做“云”，云計(jì)算把許多計(jì)算資源集合起來(lái)，通過(guò)軟件實(shí)現(xiàn)自動(dòng)化管理，只需要很少的人參與，就能讓資源被快速提供。計(jì)算能力作為一種商品，可以在互聯(lián)網(wǎng)上流通，可以方便地取用，且價(jià)格較為低廉[2]。網(wǎng)絡(luò)系統(tǒng)采用云計(jì)算服務(wù)過(guò)程中通常會(huì)涉及到的云服務(wù)用戶、云服務(wù)商、云用戶供應(yīng)鏈服務(wù)商和第三方評(píng)估機(jī)構(gòu)四個(gè)角色。本文的4個(gè)角色都有其各自的安全職責(zé)，為系統(tǒng)采用云計(jì)算服務(wù)提供指導(dǎo)。

云計(jì)算服務(wù)用戶是信息安全的責(zé)任主體，其主要職責(zé)：對(duì)系統(tǒng)采用云計(jì)算服務(wù)的過(guò)程制定相應(yīng)的管理制度，并指定安全負(fù)責(zé)人;參照相關(guān)數(shù)據(jù)安全標(biāo)準(zhǔn)，對(duì)數(shù)據(jù)的敏感程度、業(yè)務(wù)的重要性進(jìn)行分類;組織人員開展安全培訓(xùn)，明示使用云計(jì)算服務(wù)帶來(lái)的安全風(fēng)險(xiǎn);配合監(jiān)管部門對(duì)入云系統(tǒng)的安全檢查，并對(duì)發(fā)現(xiàn)的安全問(wèn)題進(jìn)行整改;根據(jù)系統(tǒng)的功能、性能及安全指標(biāo)對(duì)系統(tǒng)采用云計(jì)算服務(wù)的需求進(jìn)行分析，確定采用云計(jì)算服務(wù)的數(shù)據(jù)、業(yè)務(wù)范圍;根據(jù)信息的敏感程度、人員技能、業(yè)務(wù)需求的動(dòng)態(tài)性等來(lái)選擇應(yīng)用的部署模式。

云服務(wù)商在網(wǎng)絡(luò)云計(jì)算服務(wù)過(guò)程中的安全職責(zé)主要表現(xiàn)：保證提供的云計(jì)算服務(wù)符合國(guó)家法律法規(guī)要求且安全可靠;遵守云計(jì)算服務(wù)相關(guān)標(biāo)準(zhǔn)及安全要求提供服務(wù)，并具備相關(guān)服務(wù)資質(zhì);參照有關(guān)信息安全國(guó)家標(biāo)準(zhǔn)逐步通過(guò)政務(wù)云審查;確保提供服務(wù)的云計(jì)算平臺(tái)、數(shù)據(jù)中心等設(shè)在安全可靠的環(huán)境內(nèi);遵守國(guó)家有關(guān)信息安全政策規(guī)定、信息安全等級(jí)保護(hù)要求、技術(shù)標(biāo)準(zhǔn)，落實(shí)安全管理和防護(hù)措施;及時(shí)響應(yīng)云服務(wù)用戶的服務(wù)需求。

云供應(yīng)鏈服務(wù)商在網(wǎng)絡(luò)云計(jì)算服務(wù)過(guò)程中的安全職責(zé)主要表現(xiàn)：向云服務(wù)用戶詳細(xì)介紹服務(wù)內(nèi)容、服務(wù)流程、安全責(zé)任等;根據(jù)云服務(wù)用戶的要求，對(duì)云服務(wù)用戶采用云服務(wù)模式的需求進(jìn)行分析，梳理入云系統(tǒng)架構(gòu)、功能、性能等安全方面的要求;在云服務(wù)用戶的協(xié)調(diào)下，與云服務(wù)商對(duì)提供的服務(wù)內(nèi)容進(jìn)行功能和責(zé)任區(qū)分，并通過(guò)服務(wù)協(xié)議或者合同等進(jìn)行約束;在云服務(wù)用戶的統(tǒng)籌協(xié)調(diào)下，供應(yīng)鏈服務(wù)商之間應(yīng)該進(jìn)行邊界梳理，能夠達(dá)成兼容協(xié)同的綜合服務(wù)。

第三方評(píng)估機(jī)構(gòu)在網(wǎng)絡(luò)云計(jì)算服務(wù)過(guò)程中的安全職責(zé)表現(xiàn)：在開展安全評(píng)估工作前，與云服務(wù)用戶簽訂服務(wù)協(xié)議、保密協(xié)議，并根據(jù)云服務(wù)用戶委托對(duì)系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估。

3 云平臺(tái)安全建設(shè)現(xiàn)狀及面臨的主要問(wèn)題

隨著云計(jì)算技術(shù)的發(fā)展，現(xiàn)有很多系統(tǒng)部署在云平臺(tái)。在云平臺(tái)環(huán)境下，傳統(tǒng)安全解決方案根本無(wú)法在云環(huán)境中運(yùn)行，或者說(shuō)傳統(tǒng)安全策略在云平臺(tái)環(huán)境下只能發(fā)揮很少的作用。

通過(guò)調(diào)研發(fā)現(xiàn)，在現(xiàn)有云平臺(tái)環(huán)境下的安全問(wèn)題主要表現(xiàn)為四點(diǎn)。一是目前云平臺(tái)缺乏合格的安全人員，原有的安全人員不能及時(shí)掌握云計(jì)算、大數(shù)據(jù)等新技術(shù)。二是原有的安全工具落后，傳統(tǒng)環(huán)境下的安全檢測(cè)工具不能在云環(huán)境下發(fā)揮安全壁壘的作用。三是由于部署環(huán)境的變化，導(dǎo)致安全策略發(fā)生改變。原有系統(tǒng)制定的安全策略無(wú)法滿足現(xiàn)有的云平臺(tái)環(huán)境。四是在安全體系中增加了云平臺(tái)環(huán)境，對(duì)應(yīng)增加云服務(wù)商、云鏈路商等環(huán)節(jié)。在這些環(huán)節(jié)中增加了新環(huán)境下的安全隱患。所以，對(duì)于上述問(wèn)題，本文對(duì)云平臺(tái)的安全策略研究就顯得尤為重要。

4 加強(qiáng)云平臺(tái)策略研究的意義

隨著云計(jì)算技術(shù)的發(fā)展，云服務(wù)商、云鏈路供應(yīng)商新的角色出現(xiàn)在信息安全的體系當(dāng)中。因此，原有的信息安全體系中需要進(jìn)一步完善新的平臺(tái)制度環(huán)境建設(shè)。建立平臺(tái)制度環(huán)境建設(shè)的意義在于：一是有助于為系統(tǒng)運(yùn)行制定信息安全工作的總體方針和安全策略，說(shuō)明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架;二是對(duì)安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制度;三是對(duì)安全管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程[3];四是成為由安全政策、安全策略、管理制度、操作規(guī)程等構(gòu)成的全面信息安全管理制度體系。

網(wǎng)絡(luò)云計(jì)算服務(wù)安全策略體系建立的價(jià)值在于推進(jìn)信息安全管理體系的建立、安全策略和制度體系的建設(shè)、安全組織體系的建設(shè)、安全運(yùn)作體系的建設(shè)。

安全制度的首要問(wèn)題是對(duì)安全制度的制定，對(duì)于在安全制度的制定的過(guò)程中，應(yīng)考慮兩個(gè)方面的問(wèn)題。一是界定安全策略制度的制定權(quán)限。信息安全領(lǐng)導(dǎo)小組和管理小組負(fù)責(zé)制定公司層的安全策略，公司各部門信息安全組織遵照下發(fā)的安全策略，結(jié)合本部門系統(tǒng)實(shí)際情況，制定和細(xì)化成適用于本部門的具體管理辦法、實(shí)施細(xì)則和操作規(guī)程。二是加強(qiáng)對(duì)安全策略的制定要求。對(duì)安全策略進(jìn)行匯編時(shí)，保留各安全策略的版本控制信息和密級(jí)標(biāo)識(shí)。

網(wǎng)絡(luò)云計(jì)算服務(wù)的制度建設(shè)應(yīng)在信息安全職能部門的總體負(fù)責(zé)下，組織相關(guān)人員制定。保證安全管理制度具有統(tǒng)一的格式風(fēng)格，并進(jìn)行版本控制。組織相關(guān)人員對(duì)制定的安全管理進(jìn)行論證和審定。安全管理制度經(jīng)過(guò)管理層簽發(fā)后按照一定的程序以文件形式發(fā)布。安全管理制度需注明發(fā)布范圍，并對(duì)收發(fā)文進(jìn)行登記。

在云平臺(tái)制度的評(píng)審和修訂過(guò)程中，信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)安全管理制度體系的合理性和適用性進(jìn)行審定。定期或不定期地對(duì)安全管理制度進(jìn)行檢查和審定，對(duì)存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂[4]。

5 加強(qiáng)云平臺(tái)安全體系建設(shè)的對(duì)策建議

安全策略是一個(gè)單位對(duì)信息安全目標(biāo)和工作原則的規(guī)定，其表現(xiàn)形式是一系列安全策略體系文件。安全策略是信息安全保障體系的核心，是信息安全管理工作、技術(shù)工作和運(yùn)維工作的目標(biāo)和依據(jù)[5]。

安全策略是依據(jù)國(guó)家、行業(yè)政策、法規(guī)、標(biāo)準(zhǔn)（比如國(guó)內(nèi)的信息安全等級(jí)保護(hù)制度、計(jì)算機(jī)信息系統(tǒng)安全保密防護(hù)要求及檢測(cè)評(píng)估方法、風(fēng)險(xiǎn)評(píng)估準(zhǔn)則等），結(jié)合單位的安全實(shí)際需求，制定出符合單位特征的安全策略。安全策略可以劃分為安全技術(shù)策略和安全管理策略，安全技術(shù)策略需要集合相應(yīng)的安全技術(shù)或安全設(shè)備，演變?yōu)榘踩夹g(shù)規(guī)則，配發(fā)到相應(yīng)的系統(tǒng)或安全設(shè)備上。安全管理策略需要根據(jù)單位中不同部門的具體情況，演變?yōu)橐环N具體的安全管理制度，落實(shí)到相應(yīng)的部門和人員。

云安全策略體系主要包括：安全管理制度、安全管理機(jī)構(gòu)策略、人員安全管理策略、安全建設(shè)策略、安全運(yùn)維策略等。

5.1 安全管理制度

遵從總體策略中規(guī)定的安全領(lǐng)域所應(yīng)遵守的原則方法，是指導(dǎo)性策略引出具體管理規(guī)定、管理辦法和實(shí)施辦法，規(guī)定安全管理活動(dòng)中各項(xiàng)管理內(nèi)容，如組織安全、人員安全、系統(tǒng)建設(shè)和運(yùn)行維護(hù)安全等管理目標(biāo)、要求、責(zé)任以及過(guò)程，技術(shù)標(biāo)準(zhǔn)和規(guī)范將作為各個(gè)網(wǎng)絡(luò)設(shè)備、主機(jī)操作系統(tǒng)和應(yīng)用程序的安裝、配置、采購(gòu)、項(xiàng)目評(píng)審、日常安全管理和維護(hù)時(shí)必須遵照的標(biāo)準(zhǔn)，不允許發(fā)生違背和沖突[6]。建立由信息安全策略、安全管理制度、安全技術(shù)規(guī)范以及流程組成的一整套信息安全管理體系。對(duì)安全管理類制度的制定負(fù)責(zé)，應(yīng)組織相關(guān)人員，包括安全專家，制度適用的應(yīng)用系統(tǒng)承建單位和業(yè)主單位等，對(duì)制定的安全管理制度進(jìn)行論證和審定。安全管理制度制定后，必須有效發(fā)布，發(fā)布過(guò)程中必須要有合適的、可行的發(fā)布和推動(dòng)手段，同時(shí)在發(fā)布和執(zhí)行前對(duì)每個(gè)人員都要做與其相關(guān)內(nèi)容的充分培訓(xùn)，保證每個(gè)人員都知道和了解與自己相關(guān)的內(nèi)容。建立并執(zhí)行管理制度評(píng)審的工作制度，每年審視安全策略系列文檔[7]，對(duì)其中不適用的或欠缺的條款及時(shí)進(jìn)行修改和補(bǔ)充。

5.2 安全管理機(jī)構(gòu)策略

安全管理機(jī)構(gòu)是對(duì)信息系統(tǒng)安全管理全權(quán)負(fù)責(zé)的組織，機(jī)構(gòu)成員應(yīng)由相關(guān)處室組成，明確安全管理機(jī)構(gòu)的職責(zé)。

安全管理機(jī)構(gòu)主要由信息安全領(lǐng)導(dǎo)小組、信息安全管理組和信息安全執(zhí)行組組成。信息領(lǐng)導(dǎo)小組由組長(zhǎng)、信息化、信息安全、其他業(yè)務(wù)部門領(lǐng)導(dǎo)組成。信息安全管理組由組長(zhǎng)、信息化、信息安全及安全保密、其他業(yè)務(wù)部門人員組成。信息安全執(zhí)行組主要由信息化、信息安全人員組成，包括系統(tǒng)管理人員、安全管理人員、安全審計(jì)人員，其中系統(tǒng)管理人員主要包括網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)等管理人員，安全管理人員主要包括信息安全管理人員和安全保密管理人員。