GB/T 35279-2017信息安全技術(shù)云計(jì)算安全參考架構(gòu)

ICS35040

L80.

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T35279—2017

信息安全技術(shù)云計(jì)算安全參考架構(gòu)

Informationsecuritytechnology—Securityreferencearchitectureofcloudcomputing

2017-12-29發(fā)布2018-07-01實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T35279—2017

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語(yǔ)和定義

3………………1

概述

4………………………2

云計(jì)算的相關(guān)概念

4.1…………………2

云計(jì)算的參與角色

4.2…………………2

云計(jì)算的安全挑戰(zhàn)

4.3…………………2

云計(jì)算參與角色的安全職責(zé)

4.4………………………3

服務(wù)模式與控制范圍

4.4.1…………3

云服務(wù)客戶

4.4.2……………………3

云服務(wù)商

4.4.3………………………4

云代理者

4.4.4………………………4

云審計(jì)者

4.4.5………………………5

云基礎(chǔ)網(wǎng)絡(luò)運(yùn)營(yíng)者

4.4.6……………5

云計(jì)算安全參考架構(gòu)

5……………………5

概述

5.1…………………5

云服務(wù)客戶

5.2…………………………7

安全云服務(wù)管理

5.2.1………………7

安全云服務(wù)協(xié)同

5.2.2………………8

云服務(wù)商

5.3……………9

云服務(wù)商的框架組件與子組件概述

5.3.1…………9

安全云服務(wù)協(xié)同

5.3.2………………9

安全云服務(wù)管理

5.3.3………………10

云代理者

5.4……………11

概述

5.4.1……………11

技術(shù)代理者

5.4.2……………………12

業(yè)務(wù)代理者

5.4.3……………………13

安全云服務(wù)協(xié)同

5.4.4………………13

安全服務(wù)聚合

5.4.5…………………14

安全云服務(wù)管理

5.4.6………………14

安全服務(wù)中介

5.4.7…………………15

安全服務(wù)仲裁

5.4.8…………………15

云審計(jì)者

5.5……………16

云基礎(chǔ)網(wǎng)絡(luò)運(yùn)營(yíng)者

5.6…………………16

附錄資料性附錄云計(jì)算的安全風(fēng)險(xiǎn)

A()………………17

GB/T35279—2017

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)起草單位北京大學(xué)軟件與微電子學(xué)院中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院中國(guó)科學(xué)院信息工程

:、、

研究所信息安全國(guó)家重點(diǎn)實(shí)驗(yàn)室中國(guó)科學(xué)院軟件研究所韶關(guān)學(xué)院北京鼎普科技股份有限公司北京

、、、、

時(shí)代新威信息技術(shù)有限公司中國(guó)移動(dòng)通信集團(tuán)公司華為技術(shù)有限公司中國(guó)電信股份有限公司北京

、、、

研究院成都信息工程大學(xué)中金數(shù)據(jù)系統(tǒng)有限公司中國(guó)銀聯(lián)股份有限公司阿里云計(jì)算有限公司浪

、、、、、

潮北京電子信息有限公司國(guó)云科技股份有限公司上海眾人網(wǎng)絡(luò)安全技術(shù)有限公司東軟集團(tuán)股份

()、、、

有限公司北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司新華三技術(shù)有限公司黑龍江省電子信息產(chǎn)品監(jiān)督檢驗(yàn)

、、、

院百度在線網(wǎng)絡(luò)技術(shù)北京有限公司漢柏科技有限公司中國(guó)信息安全研究院有限公司中國(guó)信息安

、()、、、

全測(cè)評(píng)中心中國(guó)電子科技集團(tuán)第研究所西安電子科技大學(xué)重慶郵電大學(xué)成都電子科技大學(xué)西

、30、、、、

安未來(lái)國(guó)際信息股份有限公司

。

本標(biāo)準(zhǔn)主要起草人卿斯?jié)h王惠蒞劉賢剛陳馳謝垂益季統(tǒng)凱談劍峰李雪瑩王海洋王新杰

:、、、、、、、、、、

陳雪秀楊晨羅鋒盈馬文平柏洪濤任蘭芳葛小宇唐洪玉萬(wàn)國(guó)根崔玲楊陽(yáng)趙江崔進(jìn)龔一斌

、、、、、、、、、、、、、、

史翔宇方舟馬杰王智民劉冬梅都婧王強(qiáng)周啟明陳曉峰田玲馮超路娜王希忠沈晴霓

、、、、、、、、、、、、、、

文偉平徐菲鄒琪孫松兒李彥賓黃永洪

、、、、、。

Ⅰ

GB/T35279—2017

引言

云計(jì)算是一種以服務(wù)為特征的計(jì)算模式它通過(guò)對(duì)各種計(jì)算資源進(jìn)行抽象以新的業(yè)務(wù)模式提供高

,,

性能低成本的持續(xù)計(jì)算存儲(chǔ)空間及各種軟件服務(wù)支撐各類信息化應(yīng)用能夠合理配置計(jì)算資源提

、、,,,

高計(jì)算資源的利用率降低成本促進(jìn)節(jié)能減排實(shí)現(xiàn)真正的理想的綠色計(jì)算

,,,。

云計(jì)算帶來(lái)諸多便利與優(yōu)勢(shì)的同時(shí)也給信息安全帶來(lái)了多個(gè)層面的沖擊與挑戰(zhàn)云計(jì)算的服務(wù)計(jì)

。

算模式動(dòng)態(tài)虛擬化管理方式以及多層服務(wù)模式等引發(fā)了新的信息安全問(wèn)題云服務(wù)級(jí)別協(xié)議所具有的

、;

動(dòng)態(tài)性及多方參與的特點(diǎn)對(duì)責(zé)任認(rèn)定及現(xiàn)有的信息安全體系帶來(lái)了新的沖擊云計(jì)算的強(qiáng)大計(jì)算與存

,;

儲(chǔ)能力被非法利用時(shí)將對(duì)現(xiàn)有的安全管理體系產(chǎn)生巨大影響等

,。

在一種云服務(wù)中信息與業(yè)務(wù)的安全性涉及所有參與該服務(wù)的云計(jì)算角色為了清晰地描述云服

,。

務(wù)中各種參與角色的安全責(zé)任需要構(gòu)建云計(jì)算安全參考架構(gòu)提出云計(jì)算角色角色安全職責(zé)安全功

,,、、

能組件以及它們之間的關(guān)系

。

本標(biāo)準(zhǔn)適用于指導(dǎo)所有云計(jì)算參與者在進(jìn)行云計(jì)算系統(tǒng)規(guī)劃時(shí)對(duì)安全的評(píng)估與設(shè)計(jì)

。

Ⅱ

GB/T35279—2017

信息安全技術(shù)云計(jì)算安全參考架構(gòu)

1范圍

本標(biāo)準(zhǔn)規(guī)定了云計(jì)算安全參考架構(gòu)描述了云計(jì)算角色規(guī)范了各角色的安全職責(zé)安全功能組件

,,、

及其關(guān)系

。

本標(biāo)準(zhǔn)適用于指導(dǎo)所有云計(jì)算參與者在進(jìn)行云計(jì)算系統(tǒng)規(guī)劃時(shí)對(duì)安全的評(píng)估與設(shè)計(jì)

。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術(shù)術(shù)語(yǔ)

GB/T25069—2010

信息安全技術(shù)云計(jì)算服務(wù)安全指南

GB/T31167—2014

3術(shù)語(yǔ)和定義

和界定的術(shù)語(yǔ)和定義適用于本文件為了便于使用以下

GB/T25069—2010GB/T31167—2014。,

重復(fù)列出了中的術(shù)語(yǔ)和定義

GB/T31167—2014。

31

.

云計(jì)算cloudcomputing

通過(guò)網(wǎng)絡(luò)訪問(wèn)可擴(kuò)展的靈活的物理或虛擬資源池并可按需自助獲取與管理資源的模式

、,。

注資源實(shí)例包括服務(wù)器操作系統(tǒng)網(wǎng)絡(luò)軟件應(yīng)用與存儲(chǔ)設(shè)備等

:、、、、