政府的安全需求

政府的安全需求目錄對云服務提供商的安全基本要求安全防護技術(shù)要求2責任義務一、政府對云計算服務提供商安全基本要求3在中華人民共和國境內(nèi)(港澳臺地區(qū)除外)注冊，具有獨立法人資格；注冊資本應不低于1億元人民幣；應具有承擔因云服務故障或失敗所造成后果的經(jīng)濟責任能力；應擁有建筑面積不少于1萬平方米的自有產(chǎn)權(quán)機房；應具有1年以上云計算服務運營經(jīng)驗；不能轉(zhuǎn)包服務，保證服務過程全程可控，防止意外情況的發(fā)生；應提供至少兩家能與其進行服務相互遷移的云計算服務提供商；通過國家相關(guān)部門認可的信息安全管理體系認證。1.基本條件4云計算服務提供商應擁有至少兩個互為備份的異地數(shù)據(jù)中心，互為備份的異地數(shù)據(jù)中心的地理位置應相距300公里以上，相互之間應具有1Gbps以上的通信帶寬；數(shù)據(jù)中心應具有冗余的鏈路和網(wǎng)絡設備；云計算服務提供商機房應在中華人民共和國境內(nèi)，滿足GB50174-2008《電子信息系統(tǒng)機房設計規(guī)范》中A級要求；應具有不同運營商的互聯(lián)網(wǎng)接入鏈路，單鏈路帶寬不低于400Mbps；存儲容量應在PB級以上，達1000倍的存儲服務最小銷售容量；信息安全產(chǎn)品應安全可控。一、政府對云計算服務提供商安全基本要求2.基礎設施要求53.運行管理要求應采取措施對多租戶之間的應用和數(shù)據(jù)進行隔離，與為社會提供服務的物理資源(如服務器、存儲設備、網(wǎng)絡等)分離；數(shù)據(jù)處理、傳輸、存儲及管理應在中華人民共和國境內(nèi)完成，提供數(shù)據(jù)存儲的地理位置查詢機制；應提供加密、專線等措施保證數(shù)據(jù)傳輸?shù)臋C密性和完整性；租戶能審計云服務提供商對租戶系統(tǒng)和數(shù)據(jù)的操作；為租戶提供數(shù)據(jù)遠程管理審計接口，遠程管理、維護必須在境內(nèi)完成；云計算服務提供商對軟硬件進行升級或打補丁前，應向租戶書面告知存在的安全風險，征得租戶的同意；對職員進行嚴格審查，包括職員背景調(diào)查、安全培訓；定期對存儲的數(shù)據(jù)進行備份。一、政府對云計算服務提供商安全基本要求二、安全防護技術(shù)要求61.虛擬化安全技術(shù)要求嚴格定義不同級別的管理員角色，并提供相應的訪問控制手段；分離管理網(wǎng)絡和租戶網(wǎng)絡；訪問管理接口只能經(jīng)專用安全通道且采用強認證方式；虛擬機鏡像和快照存儲服務器具備容災機制；不同部門之間的虛擬機相互隔離；虛擬機須經(jīng)安全通道進行遷移，且只能遷移至相同安全等級的環(huán)境此圖來源網(wǎng)絡73.訪問控制應提供滿足不同租戶需求的租戶標識和身份鑒別的技術(shù)與管理措施；應對身份信息、鑒別數(shù)據(jù)進行保密性和完整性保護。此圖來源網(wǎng)絡二、安全防護技術(shù)要求2.身份鑒別應提供滿足不同租戶需求的訪問控制機制；應提供完善安全的租戶信息、訪問控制策略的管理機制，遵從最少權(quán)限模型；應提供以下遠程訪問控制機制：定義訪問控制安全功能列表和相關(guān)信息，安全功能須由租戶接受。安全功能包括但不限于：創(chuàng)建系統(tǒng)賬號、配置訪問權(quán)限、系統(tǒng)管理功能、事件審計、SSH和VPN遠程接入等；采用加密機制確保遠程訪問的機密性和完整性；云服務平臺采用的遠程訪問協(xié)議須被租戶認同。84.安全審計應定義可審計的事件集及記錄類型，并被租戶接受；應具有主時間服務器和備份時間服務器，世兩者位于不同的互為備份的數(shù)據(jù)中心；應采用適當?shù)募夹g(shù)保障審計記錄的完整性；應保證審計記錄在線時間至少為90天，且保證審計記錄離線時間符合相關(guān)要求，以支持事件的事后調(diào)查。二、安全防護技術(shù)要求95.可移植性和互操作性應保證租戶數(shù)據(jù)能從云服務平臺恢復到租戶本地信息系統(tǒng)；應保證租戶數(shù)據(jù)能移植到其他云服務平臺。應保證租戶業(yè)務能遷移到其他云服務平臺。二、安全防護技術(shù)要求三、責任義務10云計算服務提供商的責任義務：應充分尊重租戶對數(shù)據(jù)的所有權(quán)和控制權(quán)，不得破壞和泄漏租戶數(shù)據(jù)，承擔數(shù)據(jù)非法泄漏、丟失、符改、破壞后的所有法律責任；在任何情況下，應采取措施保證租戶數(shù)據(jù)安全轉(zhuǎn)移；未經(jīng)授權(quán)，不得增加、刪除、修改租戶數(shù)據(jù)，不得利用租戶數(shù)據(jù)牟取利益(包括但不限于泄漏、轉(zhuǎn)售等行為)；未經(jīng)授權(quán)，不得使用、泄漏租戶的行為信息。合同終止后仍然有效；在任何情況