银行混合云安全办法.docxVIP

银行混合云安全办法

第一章总则

第一条为规范本行混合云平台建设、运营、使用全生命周期安全管理，防范混合云架构下的数据泄露、非法访问、服务中断等风险，保障银行业务连续性与信息安全，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《银行业保险业信息科技风险管理指引》《云计算技术金融应用规范》系列标准及监管要求，结合本行实际情况制定本办法。

第二条本办法适用于本行所有使用混合云架构的业务系统、基础设施、相关技术服务及参与混合云建设、运营、使用的内部部门、分支机构、外部合作厂商及人员。本办法所称混合云，指本行整合私有云（含本地自建私有云、托管私有云）与公有云服务能力，通过统一架构纳管、数据按需流转、资源弹性调度的云计算部署模式。

第三条混合云安全管理遵循“责任共担、分级防护、全生命周期管控、最小权限、合规优先”的基本原则：

责任共担原则：明确本行与云服务提供商（CSP）的安全责任边界，私有云安全责任由本行全部承担，公有云基础设施安全由CSP承担，平台层、应用层、数据层安全按双方协议约定划分责任，核心责任不得对外转移。

分级防护原则：根据业务系统重要性、数据敏感等级实施差异化安全防护，核心业务系统、客户敏感数据原则上部署于私有云，公有云仅承载非敏感、可公开类业务及非核心计算资源。

全生命周期管控原则：覆盖混合云规划、建设、上线、运营、下线全