等保2.0云计算安全与风险评估

2019-08-22 16:03:16 万方科技 707

  原文标题:一手资料!等保2.0云计算安全与风险评估

  一、等保2.0对云计算发展提出“新要求”

  与等保1.0的标准体系相比,等保2.0在适用性、时效性、易用性、可操作性上得到进一步扩充和完善,以适应云计算、物联网、工业控制系统等新技术的发展。如下表给出了等保2.0发生的重要变化。针对等保2.0标准提出的新要求,要在分析研究云计算面临的威胁的基础上,对云计算平台的安全风险加以有效评估,确保云计算平台安全。

表等保1.0与等保2.0的区别对比表

  表等保1.0与等保2.0的区别对比表

  二、云计算面临的“主要威胁”

  IaaS、PaaS、SaaS是云计算的三种服务模式。

  1、 IaaS面临的主要威胁

  采用IaaS服务时,客户可以用镜像模板来创建虚拟机实例,并在虚拟机上部署自己的应用软件。客户不需要负责底层的硬件资源和虚拟化软件。因此除了硬件层和虚拟化软件层的安全措施由云服务商负责实施外,位于其他层的安全措施由客户负责实施,需要对这些安全措施实施有效监管,其中包括镜像篡改、虚拟机隔离、资源迁移、虚拟机逃逸以及主机越权等。

  2、PaaS面临的主要威胁

  利用PaaS来开发和部署自己的软件,需要对应用的运行环境进行配置,控制自己部署的应用。客户需要对自己部署、自己使用的系统和应用负责,制定相应的安全策略,实施必要的安全措施。

  3、 SaaS面临的主要威胁

  SaaS是采用先进技术上云的最好途径,它消除了企业购买、构建和维护基础设施和应用程序的需要。但随着SaaS的日益普遍,关于SaaS的安全问题也随之而来,主要包括存储数据泄露、传输数据泄露和鉴别信息泄露等安全问题。

  三、云计算平台的“风险评估”

  为了确保客户实施的安全措施安全有效,客户可自行或委托第三方评估机构对自己实施的安全策略进行评估。

  1、云安全标准体系

  目前,国内外多个标准化组织和机构都在开展云计算安全标准化工作,除此之外,各国也开展了云安全管理和合规方面的工作。下图给出了国内外在云安全标准方面的成果。

图片关键词

云计算标准发布

  云计算标准发布

  2 、云平台风险评估

  1) 评估框架

  云计算平台安全风险评估关注云计算平台业务层面的风险,其评估对象为云服务业务流程涉及的组件及设备,评估范围覆盖了云服务业务在信息系统层面的数据流、数据处理活动及其关联关系。云平台风险评估的框架如下图所示。

云平台风险评估模型

  云平台风险评估模型

  评估过程覆盖了基础设施、虚拟化控制、管理平台和安全防护等多种类型的对象,针对多种指标进行综合风险分析,并且在监管、业务和客户的要求下做出相应的调整。

  2)云安全评估方法的特殊性

  在对云平台开展风险评估工作时,需要结合多种评估方法,比如配置检查、漏洞扫描,但云平台引入了更多的有价值的资源,且与租户存在服务水平约定,所以一些评估方法要结合云计算的特征做出调整,主要包括问卷调查、现场访谈、安全渗透测试、安全漏洞扫描以及安全配置检查等五种常见评估方法。

c5f38be57add4c9ca3817af3eecc888e.png

  云计算已有控制措施识别框架

  四、结束语

  本文在对云计算发展趋势及等保2.0的新要求进行分析的基础上,结合三种云计算服务模式的特点和传统的信息安全风险评估方法,对如何在云计算模式下进行信息安全风险评估进行了阐述,论述了云平台安全风险评估中对资产、威胁和脆弱性进行评估时,要考虑到的一些指标。相信随着云计算的深入发展,国内云计算安全标准化工作的推进,各种安全实践会不断成熟,将进一步丰富云计算平台及云服务风险评估理论。

  来源:天极网