云计算服务安全指南解读(GB-T-31167)PPT
云计算服务安全能力要求内容
云计算服务安全能力要求1 围本标准规定了以社会化方式提供云计算服务的服务商应满足的信息安全基本要求。
本标准适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务，也适用于对云计算服务进行安全审查。
2 规性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅所注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T XXXXX-XXXX 信息安全技术云计算服务安全管理指南GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求GB 50174-2008 电子信息系统机房设计规GB/T 9361-2011 计算机场地安全要求3 术语和定义GB/T 25069-2010、GB/T XXXXX-XXXX确立的以及下列术语和定义适用于本标准。
3.1云计算 cloud computing云计算是一种通过网络便捷地访问海量计算资源（如网络、服务器、存储器、应用和服务）的模式，使客户只需极少的管理工作或云服务商的配合即可实现计算资源的快速获得和释放。
3.2云服务商 cloud service provider为个人、组织提供云计算服务的企事业单位。
云服务商管理、运营支撑云计算服务的计算基础设施及软件，通过网络将云计算服务交付给客户。
3.3客户 cloud consumer使用云计算平台处理、存储数据和开展业务的组织。
3.4第三方评估机构 third party assessment organization独立于云服务商和客户的专业评估机构。
3.5云基础设施 cloud infrastructure云基础设施包括硬件资源层和资源抽象控制层。
硬件资源层包括所有的物理计算资源，主要包括服务器（CPU、存等）、存储组件（硬盘等）、网络组件（路由器、防火墙、交换机、网络和接口等）及其他物理计算基础元素。
资源抽象控制层由部署在硬件资源层之上，对物理计算资源进行软件抽象的系统组件构成，云服务商用这些组件提供和管理物理硬件资源的访问。
信息安全技术_云计算服务安全指南
信息安全技术_云计算服务安全指南信息安全技术云计算服务安全指南1 范围本标准分析了云计算服务可能面临的主要安全风险，提出了政府部门和重点行业采用云计算服务的安全管理基本要求，及云计算服务的生命周期各阶段的安全管理和技术要求。
本标准为政府部门和重点行业采用云计算服务，特别是采用社会化的云计算服务提供全生命周期的安全指导，适用于政府部门和重点行业采购和使用云计算服务，也可供其他企事业单位参考。
2 规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅所注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GB/T 29245-2012 信息安全技术政府部门信息安全管理基本要求 GB 50174-2008 电子信息系统机房设计规范3 术语GB/T 25069-2010确立的以及下列术语和定义适用于本标准。
3.1云计算 cloud computing一种通过网络提供计算资源服务的模式，在该模式下，客户按需动态自助供给、管理由云服务商提供的计算资源。
注:计算资源包括服务器、操作系统、网络、软件和存储设备等。
3.2云服务商 cloud service provider为客户提供云计算服务的参与方。
云服务商管理、运营、支撑云计算的计算基础设施及软件，通过网络将云计算的资源交付给客户。
3.3 客户consumer为使用云计算服务和云服务商建立商业关系的参与方。
3.4 云计算服务 cloud computing service 由云服务商使用云计算提供的服务。
3.5 第三方评估机构Third Party Assessment Organizations (3PAO) 独立于云服务商和客户的专业评估机构。
3.6 云基础设施cloud infrastructure云基础设施包括硬件资源层和资源抽象控制层。
硬件资源层包括所有的物理计算资源，主要包括服务器(CPU、内存等)、存储组件(硬盘等)、网络组件(路由器、防火墙、交换机、网络链接和接口等)及其他物理计算基础元素。
精品课件-物联网信息安全-第6章 云计算安全
云计算安全
(3)PaaS 应用安全：PaaS 云使用户能够在云基础设施之上创 建用户和购买行为，用户同样并不管理和控制底层的基础设 施，但可以控制基于基础设施之上的应用。PaaS 提供商通常 会保障平台软件包安全，因此用户需要对服务提供商有一个 清楚的认识，比如对服务提供商做风险评估。同时，PaaS 还 面临配置不当的问题，默认配置下的安全系数几乎为零，因 此，用户需要改变默认安装配置，对安全配置流程有一定的 熟悉度。
云计算安全
3.存储安全 数据集中和新技术的采用是产生云存储安全问题的根源。 云计算的技术特性引入了诸多的新的安全问题。用户隐私和 数据存储保护成为云计算运营者必须要解决的首要问题。
云计算安全
4.虚拟化安全 云计算通过在其部署的服务器上搭建虚拟化软件系统用来提 高计算能力，虚拟化和弹性计算技术的采用，使得用户的边 界模糊，传统的采用防火墙技术是按隔离和入侵检测的安全 便捷防护机制在云计算环境中难以得到有效的应用。
Platinum? “Stills” are
often an option to your
favorite animations! Non-
Elements
animate
www.animationfactory.cdomstill
Nonanimate d still
每一种知识都需要努力， 都需要付出，感谢支持！
云计算安全
(2)数据隔离。目前在网络中用户基本采用数据加密方式共享 数据，但在云计算环境下，如果能够将自己的数据与其他用 户的数据隔离开可以更加有效地保证数据安全。因为所有客 户数据将被共同保存在唯一一个软件系统实例内，所以需要 开发额外的数据隔离机制来保证各个客户之间的数据的保密 性并提供相应的灾备方案。
信息安全技术 云计算服务安全能力要求 编制说明
国家标准《信息安全技术云计算服务安全能力要求》（征求意见稿）编制说明一、工作简况1、任务来源本标准和GB/T 31167-2014《信息安全技术云计算服务安全指南》是我国首批发布的云计算服务安全国家标准，有效地支撑了党政部门云计算服务安全审查工作，从技术和管理两个方面分别阐述了云计算服务安全要求。
随着云计算服务审查工作的积累、云计算技术发展以及党政部门采购云计算服务形式的多样化，逐步发现标准存在审查工作量大、周期长，责任划分难度增加、云服务安全标准自身条款超前、部分条款不易理解、云持续监督工作需求紧迫等问题，为支撑审查工作的开展，有效指导云服务商建设安全的云计算平台，迫切需要结合新趋势、新问题对本标准进行修订，并做好与相关标准的衔接。
2019年7月，国家互联网信息办公室等发布《云计算服务安全评估办法》，规定参照国家标准《云计算服务安全能力要求》、《云计算服务安全指南》，对面向党政机关、关键信息基础设施提供云计算服务的云平台进行的安全评估。
根据全国信息安全标准化技术委员会2019年下达的国家标准制修订计划：《信息安全技术关键信息基础设施安全防护能力评价方法》，该标准由交通运输信息中心负责承办，由全国信息安全标准化技术委员会归口管理。
2、主要起草单位和工作组成员本标准由中电数据服务有限公司牵头，四川大学、中国电子技术标准化研究院、中国网络安全审查技术与认证中心、国家信息技术安全研究中心、中国信息安全测评中心、中国信息通信研究院、北京信息安全测评中心、中国软件评测中心、中电长城网际系统应用有限公司、国家工业信息安全中心、神州网信技术有限公司、阿里云计算有限公司、宁夏西云数据科技有限公司、中国电信云股份有限公司云计算分公司、华为技术有限公司、深信服科技股份有限公司、深圳腾讯计算机系统有限公司、京东云计算（北京）有限公司、浙江蚂蚁金服小微金融服务集团股份有限公司、武汉理工大学、上海市方达（北京）律师事务所等单位共同参与起草。
云计算云存储以及信息安全课件
云存储安全防护技术
01
数据加密
采用高级加密技术对存储在云端 的数据进行加密，确保即使数据
被窃取也无法轻易解密。
03
安全审计
定期进行安全审计和漏洞扫描， 及时发现和修复潜在的安全隐患
。
02
访问控制
实施严格的访问控制策略，限制 对数据的访问权限，防止未经授
权的访问和数据泄露。
04
多重备份
建立数据备份机制，确保数据在 遭到破坏或丢失时能够迅速恢复
云计算、云存储及信息安全 课件
目录
• 云计算概述 • 云存储技术 • 信息安全基础 • 云计算安全 • 云存储安全 • 信息安全案例分析
01
云计算概述
云计算定义
云计算是一种基于互联网的计算方式，通过虚拟化技术将硬件资源（如服务器、 存储设备和数据库等）集中起来，形成一个虚拟的资源池，并通过网络对外提供 服务。
企业信息安全案例
企业数据泄露
某大型互联网公司因安全 漏洞导致用户数据泄露， 涉及数百万用户敏感信息 。
网络攻击与勒索
某跨国公司遭受黑客攻击 ，重要业务系统被加密并 要求支付赎金。
内部人员违规操作
某金融机构员工私自泄露 客户交易信息，导致重大 经济损失。
个人信息安全案例
个人信息被滥用
个人在社交网络上发布信息，被不法分子利用进行诈骗。
云存储技术原理
数据存储虚拟化
云存储的核心是将物理存储资源虚拟化为逻辑存储资源， 用户只需关注存储空间的大小、数据的可用性和可靠性等 ，无需了解底层硬件设备的具体细节。
数据冗余与容错
为了确保数据的可靠性和可用性，云存储系统通常采用数 据冗余和容错技术，将数据分散存储在多个节点上，并定 期进行数据备份和恢复。
云计算服务安全指南
问访的源资件硬理物理管和供提件组些这用商务服云，成构件组统系的象 抽件软行进源资算计理物对，上之层源资件硬在署部由层制控象抽源资。
素元础基算计理物他其及）等 口接和接链络网、机换交、墙火防、器由路（件组络网、）等盘硬（件组储存、）等存内、 （器务 服括包要主，源资算计理物的有所括包层源资件硬。
层制控象抽源资和层源资件硬括包施设础基云施设础基云。
构机估评业专的户客和商务服云于立独构机估评方三第cloud computing service Third Party Assessment Organizations (3PAO)。
务服的供提算计云用使商务服云由 务服算计云 。
方与参的系关业商立建商务服云和务服算计云用使为户客consumer。
户客给付交源资的算计云将络网 过通，件软及施设础基算计的算计云撑支、营运、理管商务服云。
方与参的务服算计云供提户客为商务服云。
等备设储存和件软、络网、统系作操、器务服括包源资算计：注 。
源资算计的供 提商务服云由理管、给供助自态动需按户客，下式模该在，式模的务服源资算计供提络网过通种一算计云。
准标本于用适义定和语术列下及以的立确语术 3范规计设房机统系息信子电 求要本基理管全安息信门部府政 术技全安息信 。
件文本于用适）单改修的有所括包（本版新最其，件文用引的期日注不是凡。
件 文本于用适本版的期日注所仅，件文用引的期日注是凡。
的少可不必是用应的件文本于对件文列下 。
考参位单业事企他其供可也，务服算计云用使和购采业行点重和门部府政于用适，导指全安 的期周命生全供提务服算计云的化会社用采是别特 务服算计云用采业行点重和门部府政为准标本 ， 。
求要术技和理管全安的段阶各期周命生的务服算计云及，求要本基理管全安 的务服算计云用采业行点重和门部府政了出提 险风全安要主的临面能可务服算计云了析分准标本 ，围范 1GB/T 29245-2012 GB 50174-2008件文用引性范规 23.33.53.13.63.23.4GB/T 25069-2010CPUcloud computingcloud service providercloud infrastructure信息安全技术 云计算服务安全指南12。
云计算服务PPT讲解
章节介绍
一、背景 二、国外发展情况 三、定义 四、特点 五、服务模式 六、面临问题 七、行业点评 八、国内情况 九、阶段发展 十、市场规模
一、背景
•云计算创始者：克里斯托夫-比希利亚 •上世纪90年代末至本世纪初，互联网经历了网络泡沫时代， 同时WEB2.0的兴起，让网络迎来一个新的发展高峰期，同时 也面临着巨大的挑战。如Myspace、YouTube，如何让庞大的 用户群体参与、享受快捷的服务，成为了这些网站不得不解 决的一个问题 •Goole是云计算的先驱，也是云计算的最大使用者，在2008 年就率先推出了具有云计算浏览器Chrome，并紧随其后研发 带有Chrome的操作系统Cloud OS。在全球建立了多个云计算 数据中心，目前计划在新加坡增建大型的云计算服务中心平 台。
十、市场规模
从数据上看，中 国云计算发展将 在未来几年内保 持高速增长。据 专家预测，在三 网融合的大环境 下，电信和广电 网络在未来竞争 中，都将给云计 算发展带来前所 未有的机遇。
五、服务模式
•云计算服务模式又称服务资源池的划分可能是多种多样，可以从不同的角度、 层面和特点进行分类。然而，目前被业界最广泛认同和接受的划分是由NIST 定义，即SaaS、PaaS和IaaS，简称SPI。
五、服务模式Biblioteka •IaaS:(Infrastructure as a Service)基础设施即服务:这种属于一种 虚拟技术，提供的类似于操作系统的服务，通过网络为用户提供IT 基础设施服务。包括计算存储和网络资源出租、以及灾备、负载 均衡、网络加速、综合信息等服务。
服务，即提供什么样的功能给你，你能直接使用什么样的软件服 务。通过网络向最终用户提供软件应用服务，特点是能降低企业 信息化成本、提高企业信息化水平，为用户提供一站式服务。
云计算安全策略PPT43页
趋势科技也在IaaS层面提供防护，可以和 VMware无缝对接。
29
趋势为虚拟化构架的安全
物理器只需安装一次，以无代理形式提供安全防护
客户端部署于 每台虚拟机
包括接入端的浏览器安全；接入端的安全管理， 不仅客户可以接入，服务商也能接入；接入端的安全 认证等。
（2） 应用服务层。
包括可用性（亚马逊宕机事件），网络攻击，隐 私安全，虚拟机环境下多重任务处理等。
（3） 基础设施层。
包括数据安全（保密性、隔离性），数据位置，
数据完整性与可用性，数据备份与恢复，虚拟机的安
6
技术上的风险
资源耗尽：没有充足的资源，资源没有合理使用 隔离故障：存储、内存、路由隔离机制失效云内部 恶意人员：内部人员对高级特权的滥用 管理接口漏洞：远程访问和浏览器手持设备缺陷 传输中的数据截获：更多的数据传输路径，以避免嗅
探和回放攻击等威胁。 数据泄露：通信加密缺陷或应用程序漏洞，数据泄露 不安全或无效的数据删除：资源的重新分配，缺乏有
原则三：总体规划、分步实施原则。
36
安全体系建设可以分为三个阶段
37
云计算面临的安全威胁 云安全参考模型 云安全防护策略 云安全解决方案 云安全部署原则 云安全展望
38
云计算安全未来展望
每次信息技术的重大革新，都将直接影响安全领 域的发展进程，云计算也是这样。
① IT行业法律将会更加健全，云计算第三方认证 机构、行业约束委员会等组织有可能出现。
证支持
长期生存 服务稳定性、持续性及其迁移
3
云计算与云安全PPTQA第二章云计算安全问题与安全体系
本章学习目标
云计算安全事件
2.1
（1）Amazon宕机事件：云服务提供商Amazon公司的云计算数据中心宕机，导致数千家商业客户受到影响。 修改网络设置过程中，将主网络中的全部数据切换到备份网络上，由于备份网络的带宽较小，无法承载所有数据造成的网络堵塞，导致存储数据的MySQL数据库宕机。 （2）Google Gmail事件：Google Gmail爆发全球性的故障，服务中断时间长达4个小时。 位于欧洲的数据中心例行维护时，新发布的程序代码产生副作用，致使欧洲另一个资料中心过载，使得故障扩展至其他数据中心的接口，最终导致其他所有数据中心都不能正常工作。
管理层面的安全威胁
云安全联盟（CSA）在2016年3月召开的RSA会议上，发布报告指出云计算面临的安全威胁有十二个。
云安全联盟定义的安全威胁
云计算安全架构及关键技术
2.3
研究云计算安全问题的基础是建立在云安全体系框架上的，合理完备的体系架构可以有效部署各种安全技术。 （1）IBM云计算安全框架：可分为用户认证与授权、数据的隔离和保护、流程管理及分级控制、灾备以及服务器、网络、存储等基础设施的安全保护五个方面。 （2）VMware云计算安全框架：分为三个层面，保护云计算中的虚拟数据中心、保护整个数据中心内部的安全区域、保护虚拟机安全。 （3）Amazon EC2安全框架：可分为宿主操作系统、guest操作系统（虚拟化操作系统）、防火墙、签名API调用等多个层面。 （4）思科云数据中心安全框架：描述云数据中心的威胁模型以及可用于减少安全风险的措施，显示控制合规和SLA组件的关系。
国内外云安全体系架构
云计算与数据安全管理培训ppt
定期进行数据安全培训和意识提 升
加强员工的数据安全意识和技能培训，提 高整体安全防范能力。
建立应急响应计划
针对可能发生的数据安全事件，制定应急 响应计划，及时处置系统漏洞和安全威胁 。
04
CATALOGUE
云计算安全管理与防护
云计算安全管理策略
01
02
03
制定安全政策
建立全面的安全政策，明 确安全责任和义务，确保 所有员工了解并遵循。
挑战
数据安全和隐私保护、网络延迟 和带宽问题、供应商依赖、合规 性问题等。
02
CATALOGUE
数据安全基础
数据安全定义与重要性
数据安全定义
数据安全是指通过采取必要的管理和技术措施，确保数据的 保密性、完整性、可用性得到有效保障，并确保数据在使用 、存储、传输等过程中的机密不被泄露、数据不被篡改或损 坏、数据可被授权访问和合法使用。
访问控制管理
实施严格的访问控制策略 ，包括用户身份验证、权 限管理和数据隔离。
安全审计与监控
定期进行安全审计和监控 ，确保云环境的安全性。
云计算安全防护技术
加密技术
使用加密技术对敏感数据 进行保护，确保数据在传 输和存储时的安全性。
安全漏洞管理
及时发现和修复安全漏洞 ，防止未经授权的访问和 攻击。
防火墙与入侵检测
部署防火墙和入侵检测系 统，防止恶意流量和攻击 进入云环境。
云计算安全事件响应与处置
安全事件监测
建立安全事件监测机制，及时发现和处理安全威胁。
应急响应计划
制定应急响应计划，确保在发生安全事件时能够迅速响应和恢复。
安全日志与取证分析
收集和分析安全日志，为事件处置提供证据和线索。
云计算应用与安全指南
云计算应用与安全指南第1章云计算基础概念 (3)1.1 云计算定义与分类 (3)1.1.1 软件即服务（Software as a Service，SaaS） (3)1.1.2 平台即服务（Platform as a Service，PaaS） (4)1.1.3 基础设施即服务（Infrastructure as a Service，IaaS） (4)1.2 云计算服务模型 (4)1.2.1 公共云 (4)1.2.2 私有云 (4)1.2.3 混合云 (4)1.3 云计算部署模型 (4)1.3.1 单租户部署 (4)1.3.2 多租户部署 (4)1.3.3 灾难恢复即服务（Disaster Recovery as a Service，DRaaS） (4)1.3.4 云服务代理 (5)第2章云计算关键技术 (5)2.1 虚拟化技术 (5)2.1.1 硬件虚拟化 (5)2.1.2 操作系统级虚拟化 (5)2.1.3 容器虚拟化 (5)2.2 分布式存储技术 (5)2.2.1 数据切片 (5)2.2.2 数据冗余 (5)2.2.3 数据一致性 (6)2.3 负载均衡与资源调度 (6)2.3.1 负载均衡 (6)2.3.2 资源调度 (6)第3章云计算应用场景 (6)3.1 企业应用场景 (6)3.2 教育应用场景 (6)3.3 医疗应用场景 (7)第4章云计算服务提供商选择 (7)4.1 评估标准与注意事项 (7)4.2 国内主流云计算服务提供商 (8)4.3 国际主流云计算服务提供商 (8)第5章云计算安全威胁与风险 (8)5.1 数据安全风险 (8)5.1.1 数据泄露 (8)5.1.2 数据篡改 (8)5.1.3 数据丢失 (9)5.1.4 数据恢复困难 (9)5.2 网络安全风险 (9)5.2.2 网络监控与流量分析 (9)5.2.3 跨租户攻击 (9)5.2.4 恶意软件传播 (9)5.3 系统安全风险 (9)5.3.1 虚拟化安全风险 (9)5.3.2 云平台安全漏洞 (9)5.3.3 系统配置错误 (9)5.3.4 云服务供应链安全风险 (9)5.3.5 合规性风险 (10)5.3.6 账户与权限管理风险 (10)第6章云计算安全防护策略 (10)6.1 数据加密与保护 (10)6.1.1 数据加密 (10)6.1.2 数据保护 (10)6.2 身份认证与权限管理 (10)6.2.1 身份认证 (10)6.2.2 权限管理 (11)6.3 安全审计与监控 (11)6.3.1 安全审计 (11)6.3.2 安全监控 (11)第7章云计算合规与法律要求 (11)7.1 我国云计算相关政策法规 (11)7.1.1 政策背景 (11)7.1.2 主要政策法规 (11)7.2 国际云计算合规要求 (12)7.2.1 国际合规框架 (12)7.2.2 主要合规要求 (12)7.3 合规性评估与检查 (12)7.3.1 合规性评估 (12)7.3.2 合规性检查 (12)第8章云计算服务等级协议（SLA） (13)8.1 SLA的关键要素 (13)8.1.1 服务范围 (13)8.1.2 服务水平指标 (13)8.1.3 服务承诺 (13)8.1.4 违约责任 (13)8.1.5 服务变更与终止 (13)8.1.6 争议解决 (13)8.2 SLA的谈判与签订 (14)8.2.1 谈判准备 (14)8.2.2 谈判策略 (14)8.2.3 签订流程 (14)8.3 SLA的监控与评估 (14)8.3.2 评估方法 (14)第9章云计算应用实践案例 (15)9.1 企业应用案例 (15)9.1.1 企业资源规划（ERP）系统 (15)9.1.2 客户关系管理（CRM）系统 (15)9.1.3 企业数据分析与决策支持 (15)9.2 教育应用案例 (15)9.2.1 在线教育平台 (15)9.2.2 教育资源共享 (15)9.2.3 教育行政管理 (15)9.3 医疗应用案例 (16)9.3.1 电子病历系统 (16)9.3.2 远程医疗诊断 (16)9.3.3 医疗大数据分析 (16)第10章云计算未来发展趋势与挑战 (16)10.1 云计算技术发展趋势 (16)10.1.1 服务器虚拟化技术的进一步优化 (16)10.1.2 分布式存储技术的持续发展 (16)10.1.3 超融合架构的普及 (16)10.1.4 边缘计算与云计算的融合 (16)10.2 云计算安全发展趋势 (17)10.2.1 安全合规性要求不断提高 (17)10.2.2 零信任安全模型的推广 (17)10.2.3 安全即服务（Security as a Service）的普及 (17)10.2.4 人工智能在云计算安全领域的应用 (17)10.3 云计算面临的挑战与应对策略 (17)10.3.1 数据安全和隐私保护 (17)10.3.2 云计算资源管理 (17)10.3.3 云计算服务稳定性 (17)10.3.4 技术更新换代 (17)第1章云计算基础概念1.1 云计算定义与分类云计算是一种通过网络提供计算资源、存储资源和应用程序等服务的技术。
信息安全技术 云计算服务安全指南
信息安全技术云计算服务安全指南1范围本标准描述了云计算可能面临的主要安全风险，提出了政府部门采用云计算服务的安全管理基本要求及云计算服务的生命周期各阶段的安全管理和技术要求。
本标准为政府部门采用云计算服务，特别是采用社会化的云计算服务提供全生命周期的安全指导，适用于政府部门采购和使用云计算服务，也可供重点行业和其他企事业单位参考。
2规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GB/T 25069—2010信息安全技术术语GB/T 31168—2014信息安全技术云计算服务安全能力要求3术语和定义GB/T 25069—2010界定的以及下列术语和定义适用于本文件。
3.1 云计算cloud computing通过网络访问可扩展的、灵活的物理或虚拟共享资源池，并按需自助获取和管理资源的模式。
注：资源实例包括服务器、操作系统、网络、软件、应用和存储设备等。
3.2 云计算服务cloud computing service使用定义的接口，借助云计算提供一种或多种资源的能力。
3.3 云服务商cloud service provider云计算服务的供应方。
注：云服务商管理、运营、支撑云计算的基础设施及软件，通过网络交付云计算的资源。
3.4 云服务客户cloud service customer为使用云计算服务同云服务商建立业务关系的参与方。
注：本标准中云服务客户简称客户。
3.5 第三方评估机构Third Party Assessment Organizations；3PAO独立于云计算服务相关方的专业评估机构。
3.6 云计算基础设施cloud computing infrastructure由硬件资源和资源抽象控制组件构成的支撑云计算的基础设施。
注：硬件资源包括所有的物理计算资源，包括服务器（CPU、内存等）、存储组件（硬盘等）、网络组件（路由器、防火墙、交换机、网络链路和接口等)及其他物理计算基础元素。
云安全技术PPT课件
3.下??意? 件
4.?送信息/ 下?病毒
云安全
?客?所??的网??行安全?估 –阻止? 高??网?的??
32
第32页/共38页
云安全的客户价值
•获得防护所需时间（小时）
•病毒代?部署
•Bandwidth Consumption (kb/day)
•Memory Usage (MB)
•病毒代?更新
•??到威?
更快的防护＝ 更低的风险＋更低的花费
33
第33页/共38页
云安全优势
第34页/共38页
云安全改变信息安全行业
1
防御模式的改变
“云安全”使得网络安全防御模式由被动式向主动式转变。
2 分析模式的改变
“云安全”的出现，使原始的传统病毒分析处理方式，转变为 “云安全”模式下的互联网分析模式。
3
研究方向更加明确
课程要点
• 什么是云计算 • 什么是云安全 • 保护云计算的安全性（云计算安全） • 安全作为云计算的一种服务（安全云）
第1页/共38页
什么是云计算？
第2页/共38页
天下大势，合久必分，分久必合， 计算机技术的分合演义
• 早期计算技术以合为特征—曲高和寡 • 个人电脑的发展使分成为了主流—计算机飞入寻
分析“云安全”的数据，可以全面精确的掌握“安全威胁”动向。
第35页/共38页
互联网内容
下载 网站
门户 网站
搜索 网站
恶意威胁
来源挖掘
用户计算机
用户计算机
用户计算机
云安全客户端
用户计算机
用户计算机
威胁信息 数据中心
数据分析
威胁挖 掘集群
即时升级 服务器
云计算安全相关标准解析
云计算安全相关标准解析作者：董贞良来源：《中国质量与标准导报》2018年第08期1 云计算时代及其安全云计算已经成为互联网时代的主流计算模式，同时，其带来的安全问题日趋重要和紧迫。
到目前为止，信息技术大致经历了通信时代、单机时代、计算机网络时代和云计算时代。
伴随着这个过程，安全的关注点也随之变化。
信息技术发展与主要安全关注点如图1所示。
本文主要对国内外云计算相关标准，以及国内金融行业云计算标准进行了综述。
2 国家标准的开发进展国家标准及行业标准情况见表1。
（1）GB/T 31167—2014《信息安全技术云计算服务安全指南》GB/T 31167—2014是指导政府部门采用云计算服务，选择云服务商，对云计算服务进行运行监管，退出云计算服务和更换云服务商安全风险提出的安全技术和管理措施。
GB/T 31167—2014正文共9章。
正文前3章说明了范围、规范性引用文件、术语和定义。
第4章对云计算的主要特征、服务模式、部署模式和优势进行了概述。
第5章提出云计算带来的信息安全风险。
第6章提出了规划准备的要求。
第7章提出了选择服务商与部署的要求。
第8章提出了运行监管的要求。
第9章提出了退出服务的要求。
（2）GB/T 31168—2014《信息安全技术云计算服务安全能力要求》GB/T 31168—2014描述了以社会化方式为特定客户提供云计算服务时，云服务商应具备的安全技术能力。
适用于对政府部门使用的云计算服务进行安全管理，也可供重点行业和其他企事业单位使用云计算服务时参考，还适用于指导云服务商建设安全的云计算平台和提供安全的云计算服务。
GB/T 31168—2014正文共14章。
正文前3章说明了范围、规范性引用文件、术语和定义。
第4章对标准做了概述。
第5章提出了系统开发与供应链安全的17个主要安全要求。
第6章提出了系统与通信保护的15个要求。
第7章提出了访问控制的26个要求。
第8章提出了配置管理的7个要求。
第9章提出了维护的9个要求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
5. 坚持先审后用原则
• 云服务商通过安全审查；
• 客第户三选方择通评过估审机查的构云服务商。
7
云计算生命周期
变更服务商
规划准备
选择服务商与部署
运行监管
退出服务
8
云计算生命周期（规划准备）
需求分析
形成决策报告
安全保护要求
优先级确定
概述
政府业务分类
政府信息分类
效益评估
9
云计算生命周期（选择服务商与部署）
欢迎加入数通天下, 成为我们工作伙伴, 愿大家工作开心,共创辉惶！
13
同、规章制度和 标准加强对云服 务商和自身的运 行监管，云服务 商、第三方评估 机构应积极参与 和配合
• 客户、云服务 商应明确负责运 行监管的责任人 和联系方式
• 对违规及违约情况的 监管
•对安全措施的监管
•运行状态监管 • 重大变更监管 •安全事件监管
11
云计算生命周期（退出服务）
12
结束语
档都属于客户；
-监管活动根据规定
移需求。
3. 司法管辖关系不变
开展安全检查。
客户与云服
• 客户数据和业务的司法管辖权不应因采用云计算服务而改变；
务商
• 云服务商不得将客户数据及相关信息提供给他国政府及组织；
4-.对安云全管服理务水商平不及变云计算
服务开展独•立遵的守安政府全信评息估系统；系统安全管理政策及标准；
• C.云计算的部署模式
– a）私有云 b）公有云 c）社区云 d）混合云
4
云计算概述（云计算的优势）
1
2
34
减少开销和能耗
增加业务的灵活性
提高业务系统的可用性
提升专业性
5
云计算风险（云计算安全风险）
A、客户对数据和业务 系统的控制能力减弱 C、可能产生司法管辖权问题
E、数据保护更加困难
G、容易产生对云服务商 的过度依赖
云服务商的安 全能力要求
部署
合同中的安全 考虑
确认云服务商
10
云计算生命周期（运行监管）
目标
角色职责
客户自身运行监管 云服务商运行监管
• 合同规定的责任
义务和相关政策规 定得到落实Байду номын сангаас技术 标准得到有效实施
• 服务质量达到合 同要求
• 重大变更时客户 数据和业务的方向
• 及时有效的响应 安全事件
• 客户要按照合
云计算环境
云计算服务
云计算
云服务商
第三方评估机构
云服务客户
云计算基础
云计算平台
设施
3
云计算概述（云计算特征—服务模式—部署模式）
• A.云计算特征
– a）按需自助服务 b）泛在接入 c）资源池化 d）快速伸缩性 e）服务可计量
• B.云计算的服务模式
– a）软件即服务（SaaS） b）平台即服务（PaaS）c）基础设施即服务（IaaS）
B、客户与云服务商之 间的责任难以界定 D、数据所有权保障面临风险 F、数据残留
6
云计算风险（角色及职责—基本要求）
云服务商 基本要求
1. 安全管理责任不变
客户
-通过安全审查；
• 客户是信息安全-选的最择终合责适任的人 云服务商；
-进行运行监管；
2. 资源的所有权不变-数据和业务的最终安全责任；
-满足客户数据和业务的迁 • 客户提供的数据、设备等资源，运行过程中收集、产生、存储数据和文
云计算服务安全指南解读
1
云计算初探
云计算概述
术语和定义 云计算特征 服务、部署 云计算优势
云计算风险
云计算安全风险 角色及职责 基本要求
生命周期
规划准备 选择服务商与部署 运行监管 退出服务
2
云计算概述（术语与定义）
• A.云计算
– 通过网络访问可扩展的、灵活的物理或虚拟共享资源池，并按需自主获取和管理资 源的模式.