云计算环境下融合安全立体保护的安全建设思考-中国信息安全等级.pdfVIP

云计算环境下融合安全、立体保护 的安全建设思考 云环境下的安全思考 01 ——业务驱动与合规要求 业务上云 ，安全成顾虑 别的用户能不能获得我的数据 ？ 云计算 云上的数据会不会丢失 ？并且找不回来 ？ 我的业务上云后 ，安全责任要怎么划分 ？ 云运营方的员工会不会能拿走我的数据 ？ 目前云服务是否合乎国家的安全规范 ？ 云上的账号、认证、授权、审计是如何做的 ？ 云上的安全域是如何划分的 ？ 不安全的接口、服务中断、越权、滥用与误操作、 共享技术漏洞和信息残留等 云上也会有防火墙、IPS、WAF等防护能力么 ？ 传统DC 云上安全措施不完善 80%的租户缺乏云上合适的安全手段 云计算安全服务指南 GB/T 31167 安全尚未资源化、 服务化 租户 ：安全合规 的责任 需求 现状 云平台 ：缺乏安 全手段 GB/T 22239 云计算等保标准 手段单一 ，防御 为主 云计算环境下等级保护的变化 实施对象一分为二 新标准 新要求 新安全风险 云平台和租户/ 自有业务系统 云计算等级保护扩展要求 云计算环境下特有风险 §顺序有先后 §虚拟流量 §虚拟化的安全 §等级要匹配 §双方权限划分 §数据安全 §实施要结合 §宿主机和虚拟机的保护 §应用安全 §数据隔离 §安全管理 §安全管理 权责清晰、安全责任共担 租户 安全责任共担 云服务商 云环境下 ，安全基本属性未变化 C.I.A 信息安全三要素