云计算安全相关标准解析

C HINA QUAIJTY A N
D STANDARDS REVIEW 丨酾;腿i B
云计算安全相关标准解析
董贞良（中国人民银行金融信息中心）
单机时代、计算机网络时代和云计算时代。

伴随着
这个过程，安全的关注点也随之变化。

信息技术发
展与主要安全关注点如图1所示。

本文主要对国内外云计算相关标准，以及国内
金融行业云计算标准进行了综述。

1云计算时代及其安全云计算已经成为互联网时代的主流计算模式， 同时，其带来的安全问题日趋重要和紧迫。

到目前为止，信息技术大致经历了通信时代、s i
纵深防御；云数据安全&隐私保护；
信息安全风险评估；云服务安全；
信息安全等级保护：云平台监视&取证：
| 丨丨丨-丨丨■丨|-—丨一__■■■■
密码学：安全糢型与验证：
通信安全；产品測评：计算机网络
i T d
c S >
图1倍息技术发展与主要安全关注点
2国家标准的开发进展
国家标准及行业标准情况见表1。

表1云计算安全相关国家标准及行业标准
序号标准编号及名称备注
1GB/T 31167—2014《信息安全技术云W 服务安全指南》
2GB/T 31168—2014《信息安全技术云计算服务安全能力要求》
3GB/T 34942-2017《信息安全技术云體服絲全能力
4GB/T 35279-2017《信息安全技术云计算安全参考架构》
5《网络安全等级保护基本要求第2部分：云计算安全扩展要求》GB/T 22239—2008升级，即将发布6《信息安全財麵网站云删K 务安全指南》征求意见阶段
7《云计算技术金融应用规范安全技术要求》征求意见阶段
8《云封售技术金融应用规范容灾》征求意见阶段
中国隨与麟雜aws/as
(1 >GB/T31167—2014《信息安全技术云计算服务安全指南》
GB/T31167—2014是指导政府部门采用云计算 服务，选择云服务商，对云计算服务进行运行监管，退出云计算服务和更换云服务商安全风险提出的安 全技术和管理措施。

GB/T31167—2014正文共9章。

正文前3章说 明了范围、规范性引用文件、术语和定义。

第4章 对云计算的主要特征、服务模式、部署模式和优势 进行了概述。

第5章提出云计算带来的信息安全风 险。

第6章提出了规划准备的要求。

第7章提出了 选择服务商与部署的要求。

第8章提出了运行监管 的要求。

第9章提出了退出服务的要求。

(2 >GB/T31168—2014《信息安全技术云计算服务安全能力要求》
GB/T31168—2014描述了以社会化方式为特定 客户提供云计算服务时，云服务商应具备的安全技 术能力。

适用于对政府部门使用的云计算服务进行 安全管理，也可供重点行业和其他企事业单位使用 云计算服务时参考，还适用于指导云服务商建设安 全的云计算平台和提供安全的云计算服务。

GB/T31168—2014正文共14章。

正文前3章说 明了范围、规范性引用文件、术语和定义。

第4章 对标准做了概述。

第5章提出了系统开发与供应链 安全的17个主要安全要求。

第6章提出了系统与通 信保护的15个要求。

第7章提出了访问控制的26 个要求。

第8章提出了配置管理的7个要求。

第9 章提出了维护的9个要求。

第10章提出了应急响应 与灾备的13个要求。

第11章提出了审计的11个要 求。

第12章提出了风险评估与持续监控的6个要求。

第13章提出了安全组织与人员的12个要求。

第14 章提出了物理与环境安全的15个要求。

第5至14 章的安全要求均划分为一般要求和增强要求。

附录 给出了系统安全计划模板。

(3 >GB/T34942—2017《信息安全技术云计算服务安全能力评估方法》
GB/T34942—2017指导政府部门、重点行业和其他企业使用的云计算服务安全管理，主要用于 第三方评估机构对云服务商提供云计算服务时具备 的安全能力进行评估，云服务商在对自身云计算安 全能力进行自评估时也可参考。

标准规定了依据GB/T31168—2014开展评估的原则、实施过程以及
针对各项具体安全要求进行评估的方法，共包括14
章，主要内容包括以下方面的评估方法：系统开发
与供应链安全、系统与通信保护、访问控制、配置
管理、维护、应急响应与灾备、审计、风险评估与
持续监控、安全组织与人员、物理与环境安全。

(4)GB/T35279—2017《信息安全技术云计
算安全参考架构》
GB/T35279-2017是为清晰地描述云服务中各种
参与角色的安全责任，构建的云计算安全参考架构，
提出云计算角色、角色安全责任、安全功能组件以
及它们之间的关系。

主要用于指导所有云计算参与
者进行云计算系统规划时对安全的评估与设计，共
有5个章节和1个资料性附录。

(5)《网络安全等级保护基本要求第2部分：云计算安全扩展要求》
《网络安全等级保护基本要求第2部分：云计
算安全扩願求》是GB/T22239—2008针对移动互联、
云计算、大数据、物联网和工业控制等新技术、新应
用领域提出的扩展安全要求。

标准主要包括6个部分,
第2部分是云计算安全扩展要求。

这个标准用于指导
分等级的非涉密云计算平台的安全建设和监督管理，
共有9章和4个资料性附录。

(6)《信息安全技术政府网站云计算服务安全指南》
《信息安全技术政府网站云计算服务安全指
南》是指导政府和规范政府网站采用云计算服务的
工作流程，以及规定的安全技术和管理措施。

在政
府部门采用云计算服务的应用前景下，针对政府网
站采用云计算服务所面临的安全风险，明确安全目
标，制定了前部门采用云计算服务所涉及的角色、
角色职责、技术要求，包括规划准备、部署迁移、
运行管理、退出服务方面的要求，以指导和规范政
府部门采用云计算服务，共有9章和1个资料性附录。

(7) 《云计算技术金融应用规范安全技术要求》
《云计算技术金融应用规范安全技术要求》
是金融行业标准，在征求意见阶段。

(8)《云计算技术金融应用规范容灾》
《云计算技术金融应用规范容灾》是金融行
业标准，在征求意见阶段。

C H IN A QUAU1Y A N
D STANDARDS REVIEW丨聒脳i f l
3国际标准的开发进展
国际标准化组织中，开发云计算相关标准的机 构为：ISO/IEC JTC1/SC38云计算与分布式平台分技 术委员会（Cloud Computing and Distributed Platforms)，目前发布标准13项，在研标准8项1>。

云计算相关 国际标准见表2〇
(1 >ISO/IEC1778& 2014《云计算综述和术语》
ISO/IEC 17788: 2014提供了云计算相关的术语 和定义及综述，共包括6章和一个附录。

第1~6章说明了范围、规范性引用文件、术语和定义、缩写、约定惯例、云服务综述。

附录给出了云服务目录和 能力类型。

(2 >ISO/1EC17789: 2014《云计算参考架构》
ISO/IEC 17789: 2014定义了云计算参考体系结构（CCRA) 〇参考体系结构包括云计算角色、云计
算活动和云计算功能组件及其关系。

(3 )ISO/IEC 19086-1:2016《云计算服务
水平协议框架第1部分：综述与概念》
ISO/IEC19086 基于 ISO/IEC17788 和 ISO/IEC17789
定义的云计算概念。

ISO/IEC 19086-1: 2016建立了
一个共同的框架，帮助组织理解ISO/IEC 19086的所
有部分的目的以及这些部分之间的关系。

它还确定
了与ISCMEC 19086有关系的其他文档，这在理解云
服务水平协议方面很有用。

(4)ISO/IEC 19086-3:2017《云计算服务水平协议框架第3部分：核心一致性需求》
ISO/IEC 19086-3: 2017 定义 了基于ISO/IEC 19086-1: 2016的云服务服务水平协议的核心一致
性需求，以及对核心一致性需求的指导。

该标准是
表2云计算相关国际标准
序号标准编号及名称备注
1ISO/IEC 17788: 2014《云计算综述和术语》（Cloud computing —
Overview and vocabulary)
较为基础的标准
2ISCMEC 17789: 2014《云计算参考架构》（Cloud computing —
Reference architecture)
较为基础的标准
3ISCMEC 19086-1: 2016《云计算服务水平协议框架第1部分：
综述与概念》（Cloud computing — Service level agreement ( SLA)
framework 一 Part 1 ：Overview and concepts)
服务水平协议系列标准
4ISO/IEC 19086-3: 2017《云计算服务水平协议框架第3部分：核 心一致性需求》（Cloud computing — Service level agreement (SLA) framework — Part 3 ：Core conformance requirements)
5ISO/IEC 19941: 2017《云计算互操作性和可移植性》（Cloud computing — Interoperability and portability)
6ISO/IEC 19944: 2017《云计算云服务和设备：数据流、数据目录和 数据使用》（Cloud computing — Cloud services and devices：Data flow, data categories and data use)
7ISO/IEC 27017: 2015/ITU-TX.1631《基于ISO/IEC 27002的云服务信息
安全实用规则》（Code of practice for information security controls based
on ISO/IEC 27002 for cloud services)
由ISO/IEC JTC 1/SC 27发布
8ISO/IEC 27018: 2014《保护个人可识别信息PII在公共云中为PII处理 器的实用规贝◎( Code of practice for protection of Personally Identifiable Information (PII) in public clouds acting as PII processors )
9ISO/IEC 27036-4: 2016《信息技术安全技术供应商关系的信息安全第4部分：云服务安全指南》（Information technology — Security techniques 一 Information security for supplier relationships — Part 4：Guidelines for security of cloud services)
1)检索时间为2018年5月9日。

中国隨与麟雜aws/as 为云服务提供商和云服务客户参考和使用的。

(5>IS0/IEC 19941: 2017《云计算互操作性和可移植性》
ISO/IEC 19941:2017详细说明了云计算互操作 性和可移植性的类型、云计算的这两个交叉方面的 关系和交互，以及用于讨论互操作性和可移植性的 常用术语和概念，特别是与云服务相关的概念。

该 标准的目的是确保云计算的所有参与方对互操作性 和可移植性有共同的理解。

通过建立通用的术语和 概念，有助于实现云计算的互操作性和可移植性。

(6 >ISO/IEC 19944: 2017《云计算云服务和设备：数据流、数据目录和数据使用》
ISO/IEC 19944: 2017 扩展了ISO/IEC 17788 和 ISO/IEC 17789的现有云计算词汇和参考体系结构，以描述使用云服务的设备的生态系统。

(7 >ISO/IEC27017 :2015/TTU-T X1631《基于ISO/IEC27002的云服务信息安全实用规则》ISO/IEC27017: 2015^TU-T X.1631 提供了适用 于提供和使用云服务的信息安全控制指南，提供了 ISO/IEC27002规定的相关控制的附加实施指南；提 供了与云服务相关的实施指南的附加控制措施。

该 标准按照ISO/IEC27002的14个控制域为云服务提 供商和云服务客户提供了控制和实施指南。

(8 >ISO/IEC2T O18: 2014《保护个人可识别信息（PII)在公共云中作为PII处理器的实用规则》ISO/IEC27018: 2014建立了普遍接受的控制目 标、控制和指导方针，以实施保护个人可识别信息 (PII)的措施，以确保公共云计算环境的ISO/IEC 29100的隐私原则。

ISO/IEC27018: 2014规定了基 于ISO/IEC27002的准则，考虑到在公共云服务提供 商的信息安全风险环境中可能适用的保护P II的监 管要求。

(9 >ISO/IEC27〇36-4: 2016《云服务安全指南》
ISO/IEC27036-4: 2016提供了云服务客户和云 服务提供商的指导。

使用这个标准可了解与使用云 服务相关的信息安全风险，并有效地管理这些风险。

针对可能对使用这些服务的组织产生信息安全影响 的云服务获取或提供的特定风险作出响应。

4重要团体发布的标准或报告
云安全联盟（Cloud Security Alliance,CSA) *12)34
可能是目前最有影响力云计算安全开发组织，成立
于2008年11月，自2015年开始，在国内开始C-STAR
认证。

CSA发布了一系列相关报告或指南，其中较为
重要的例如《云计算关键领域安全指南》。

2017年
7月，CSA发布了《云计算关键领域安全指南》4.0
版本，从架构、治理和运行3个方面14个领域对云
计算安全进行指导。

5小结
随着云计算的应用全面渗透到各行业、各机构
转型变革的过程中，国内外、重要行业的标准开发
已从术语和定义、体系架构、治理和风险管理、法
律问题、取证、合规和审计、基础设施安全、业务
连续性、身份、授权和管理等各个维度为云服务客户、
用户、管理者、提供者、支配者、开发者、审计者、
代理者、承运者提供了指导。

各行业、各机构云计
算应用部门需结合行业属性，参照国家政策要求以
及国家、行业、国际标准制定云计算行业标准，规
范服务商准入、风险评估、用户使用管理等标准，
明确行业云平台技术模式，制定数据隔离和保护机
制等云计算安全保护框架，以更好地规范云计算从
虚拟化到基础设施云化，再到应用云化的不断持续
深人应用。

(注：本文仅做学术探讨，与作者所在单位观点无关）
参考文献
[1]谢宗晓，甄杰，林润辉，等.网络空间安全管理[M].北京：
中国标准出版社，2016.
[2]林闯，苏文博，孟坤，等.云计算安全：架构、机制与模
型评价[J].计算机学报，2013, 36 (09) : 1765-1784. [3]冯登国，张敏，张妍，等.云计算安全研究[J].软件学报,
2011, 22 (01 ) ：71-83.
[4]薛锐，任奎，张玉清，等.云计算安全研究专刊前言[J].
软件学报，2016, 27 (06) : 1325-1327.
2)https://cloudsecurityalliance.O rg/o。