CSA云计算安全技术要求 SaaS安全技术要求.pdf-道客多多

资源描述

1、C S A 云安全联盟标准 C S A 0 0 0 1 . 4 2 0 1 6 云计算安全技术要求第 4 部分： S a a S 安全技术要求 C l o u d C o m p u t i n g S e c u r i t y T e c h n o l o g y R e q u i r e m e n t s ( C S T R ) P a r t 4 : S e c u r i t y t e c h n o l o g y r e q u i r e m e n t s o f S a a S V 1.0 2 0 1 6 - 1 0 2

2、0 1 6 - 1 0 - 2 5 发布 CSA 云安全联盟大中华区发布C S A 0 0 0 1 . 4 2 0 1 6 I 目次目次 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . I 前言 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . I I I 引言 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . I V 1 范围 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 2 规范性引用文件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

7、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 3 术语和定义 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

8、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 4 S a a S 云服务安全技术要求框架 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

9、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 4 . 1 云计算安全责任模型 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

10、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 5 访问层安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

11、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 5 . 1 网络访问安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

12、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 5 . 2 A P I 访问安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

13、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 5 . 3 W e b 访问安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

14、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 6 资源层安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

15、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 7 服务层安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

16、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 7 . 1 网络安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

17、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 7 . 2 主机安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

18、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 7 . 3 S a a S 资源管理平台和应用安全 . . . . . . . . . . . . . . . . . . . . .

19、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 7 . 4 数据安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

20、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 7 . 5 租户虚拟资源空间安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

21、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 8 安全管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

22、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 8 . 1 身份鉴别和访问管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

23、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 8 . 2 安全审计 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

24、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7 8 . 3 存储与备份管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

25、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 8 . 4 安全运维 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

26、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 8 . 5 威胁与脆弱性管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

27、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 8 . 6 密钥与证书管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

28、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 9 安全服务 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

29、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9 附录 A （资料性附录） . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

30、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 0 A . 1 主机安全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

31、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 0 A . 2 S a a S 资源管理平台 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

32、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 0 A . 3 安全审计 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

33、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 0I I 参考文献 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

34、. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 1C S A 0 0 0 1 . 4 2 0 1 6 I I I 前言 C S A 0 0 0 1 - 2 0 1 6 云计算安全技术要求 (

35、草稿 ) 分为四个部分：第 1 部分：总则；第 2 部分： I a a S 安全技术要求；第 3 部分： P a a S 安全技术要求；第 4 部分： S a a S 安全技术要求；本部分为 C S A 0 0 0 1 - 2 0 1 6 的第 4 部分。本部分按照 I S O / I E C 导则第 2 部分：国际标准的机构和编写规则起草。本部分附录 A 的内容，是硬件级的安全能力要求，超过当前业界

36、的安全水平或业界没有成熟的解决方案，作为附录供参考。本标准主要起草单位：华为技术有限公司、阿里云计算有限公司、腾讯云计算（北京）有限责任公司、中兴通讯股份有限公司、北京百度网讯科技有限公司、杭州安恒信息技术有限公司、北京神州绿盟信息安全科技股份有限公司、蓝盾信息安全技术股份有限公司、浪潮（北京）电子

37、信息产业有限公司、金蝶国际软件集团有限公司、顺丰科技有限公司、西安四叶草信息技术有限公司、深圳华泰思安信息技术有限公司、北京江南天安科技有限公司、大唐高鸿信安（浙江）信息科技有限公司、上海优刻得信息科技有限公司、上讯信息技术股份有限公司、深圳云塔信息技术有限公司、上海有云信息技术有限公司、英特尔亚太

38、研发有限公司、广州赛宝认证中心服务有限公司、中国科学院信息工程研究所（信息安全国家重点实验室）、武汉大学、中国移动研究院、公安部第三研究所、深圳市标准技术研究院。本标准主要起草人：叶思海、李雨航、张喆、陈雪秀、郑云文、周苏静、郝轶、周俊、刘文懋、梁宁波、李卓、黄远辉、胡泽柱、朱利军、杨炳年、李国、郑

39、驰、杨丹、李建民、周景川、江均勇、李彦、刘小茵、蔡一兵、陈驰、马红霞、严飞、樊佩茹、王鹃、任兰芳、陈妍、杜佳、潘瑶。 2 0 1 6 云安全联盟大中华区云计算安全技术要求的永久官方地点由云安全联盟大中华区内部维护，版权归云安全联盟大中华区所有。本文件的某些内容可能涉及专利，云安全联盟大中华区不承担识别这些专利

40、的责任。读者可以用电脑和手机等终端下载、储存、显示本文件，阅读并打印本文件，但必须遵从如下条款：（ a ）本文件可以被起草单位、起草人、 C S A 授权使用单位和个人使用（ b ）本文件对于其他人只能被用于个人、获取信息为目的、非商业盈利使用（ c ）本文内容不能以任何方式被改变和修正后再转发（ d ）本文件不允许在未被

41、授权情况下大量散发和转发（ e ）严禁移除本文件中相关商标和版权符I V 引言本标准以公有云为主要场景，同时考虑了私有云、社区云、混合云等场景，适用于公有云、私有云、社区会、混合云产品和解决方案。本标准将安全技术要求分为基础要求和增强要求。基础要求指应该实现的基本要求，不实现可能给系统带来较大的安全风险或合

42、规风险；增强要求指在基础要求上的补充和强化，可有效提升防护水平。在具体的应用场景下，云服务开发者在满足安全要求的前提下，可根据具体场景对这些安全技术要求进行调整。调整的方式有：删减：某项安全要求只有部分适用，对不适用部分进行删减。补充：某项安全要求不足以满足云服务商的特定安全目标，故增加新的安全要求

43、，或对标准中规定的某项安全要求进行强化。替代：使用其他安全要求替代标准中规定的某项安全要求，以实现相同的安全能力。不适用：某项安全要求不适用产品实际应用的场景。1 云计算安全技术要求第 4 部分： S a a S 安全技术要求 1 范围本部分描述了 S a a S 产品与解决方案应具备的安全技术能力。本部分适用于 S a a S 产品与解决

44、方案提供商在设计开发 S a a S 产品与解决方案时使用，也可供 S a a S 服务提供商选择 S a a S 产品与解决方案时参考，还可为客户选择 S a a S 服务时判断 S a a S 服务提供商提供的安全能力是否满足自身业务安全需求提供参考。 2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用

45、于本文件，然而，鼓励根据本部分达成协议的各方研究是否可适用这些文件的最新版本。凡不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 C S A C l o u d C o m p u t i n g S e c u r i t y T e c h n o l o g y R e q u i r e m e n t s ( C S T R ) P a r t 1 : G e n e r a l I S O / I E C 1 7 7 8 8

46、 - 2 0 1 4 I n f o r m a t i o n t e c h n o l o g y - - C l o u d c o m p u t i n g - - O v e r v i e w a n d v o c a b u l a r y I S O / I E C 1 7 7 8 9 - 2 0 1 4 I n f o r m a t i o n t e c h n o l o g y - - C l o u d c o m p u t i n g - - R e f e r e n c e a r c h i t e c t u r e I S O 2 7 0 1 7

47、 I n f o r m a t i o n t e c h n o l o g y S e c u r i t y t e c h n i q u e s C o d e o f p r a c t i c e f o r i n f o r m a t i o n s e c u r i t y c o n t r o l s b a s e d o n I S O / I E C 2 7 0 0 2 f o r c l o u d s e r v i c e s C S A ( C l o u d S e c u r i t y A l l i a n c e ) S e c u r i

48、 t y G u i d a n c e f o r C r i t i c a l A r e a s o f F o c u s i n C l o u d C o m p u t i n g T h e C l o u d S e c u r i t y A l l i a n c e C l o u d C o n t r o l s M a t r i x ( C C M ) 3 术语和定义云计算安全技术要求第 1 部分：总则界定的术语和定义适用于本文件。 4 S a a S 云服务安全技术要求框架

49、 4 . 1 云计算安全责任模型根据云计算安全技术要求框架， S a a S 云服务安全技术要求框架如图 1 所示。2 图 1 S a a S 云服务安全技术要求框架 4 . 1 用户层安全用户层安全请参考云计算安全技术要求第 1 部分 : 总则 5 . 2 . 1 描述。 4 . 2 访问层安全访问层安全请参考云计算安全技术要求第 1 部分 : 总则 5 . 2 . 2 描述。 4 . 3 资源层安全 S a a S 服务所需的基础资源可以由 I a a S 服务提供商提供，也可以由传统的数据中心提供： - - 基础资源由 I a a S 服务提供商提供时，资源层安全责任由 I a a S 服务提供商承担， S a a S 服务提供商只需要选择安全能力满足自身业务需求的 I a a S 服务提供商。

展开阅读全文