GB-T 32921-2016 信息安全技术 云服务信息安全控制措施指南（等同 ISO 27017-2015） - 副本

GB/T32921-2016信息安全技术云服务信息安全控制措施指南（等同ISO27017:2015）前言本标准按照GB/T1.1-2009《标准化工作导则第1部分：标准化文件的结构和起草规则》给出的规则起草。本标准等同采用ISO/IEC27017:2015《信息技术安全技术云计算服务信息安全控制实践指南》，在全部技术条款、安全控制要求、体系逻辑与管控准则上与国际标准完全一致，仅依据我国国家标准编制规范进行规范性编辑，无任何技术性删减、修改与增补，实现了国际云计算通用安全控制标准的等效转化。本标准为国内公共云计算服务全场景安全管控提供统一、权威、可落地的合规依据，补齐了云服务通用安全标准化管控短板。云计算架构依托虚拟化、资源池化、多租户共享、动态弹性调度、远程运维、分层服务交付等核心技术，重构了传统信息化建设与运营模式，广泛应用于政企、金融、通信、互联网、制造业等各行各业。相较于传统本地机房架构，云服务模式打破了物理边界固定、资源独占、运维本地化的安全管控形态，衍生出多租户数据混存、虚拟资源复用、边界动态变化、运维权限集中、服务分层交付、跨主体协同等新型安全风险。传统信息安全控制措施无法适配云场景动态化、共享化、虚拟化的安全特性，存在管控失效、边界模糊、责任不清、措施不匹配等问题。本标准基于ISO/IEC27001、ISO/IEC27002通用信息安全管理框架，针对IaaS、PaaS、SaaS三类主流云服务模式，新增云计算专属信息安全控制措施，明确云服务提供者与云租户双主体安全责任边界。区别于GB/T35274-2017（ISO27018）聚焦个人信息隐私保护的专项规范，本标准覆盖云服务全维度通用安全管控，包含物理安全、虚拟安全、租户隔离、权限管控、运维安全、资源调度安全、服务交付安全、退出销毁安全等核心场景，可与信息安全管理体系、业务连续性体系、个人信息保护体系深度融合，全面解决云场景通用安全管控难题，适配云服务商合规建设、租户安全选型、第三方测评、监管核查等各类场景。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。本标准于2016年08月29日发布，2017年03月01日正式实施。引言0.1总则ISO/IEC27017:2015是国际标准化组织专门针对云计算场景制定的通用信息安全控制标准，作为ISO/IEC27002的云场景专项扩展规范，在通用信息安全控制基础上，补充17项云计算专属安全控制措施，覆盖云服务全层级、全生命周期、双主体安全管理。本标准等同转化该国际规范，完全适配国内云计算安全合规体系，兼顾国际互认与国内监管要求，是云安全体系建设的基础性核心标准。云计算安全风险的核心痛点在于安全责任分离、资源动态共享、边界持续变化。云服务提供者掌握底层基础设施、虚拟化平台、运维权限，云租户掌握上层业务、数据与应用权限，双主体权责交叉、场景复杂。本标准核心价值在于明确双主体安全责任划分，针对云场景特有风险制定差异化、可落地的安全控制措施，填补通用安全标准无法覆盖云虚拟化、多租户、弹性调度、服务托管等特殊场景的空白。0.2标准定位与体系关系本标准为云服务通用安全控制指南，与GB/T35274-2017《公共云计算服务个人信息保护指南（ISO27018:2014）》形成互补体系：本标准聚焦云平台、资源、运维、服务的通用安全防护，覆盖所有数据与业务类型；ISO27018专项聚焦云端个人隐私信息保护。二者均可嵌入ISO/IEC27001信息安全管理体系，实现通用安全+隐私安全的全方位云安全合规管控。本标准全程遵循PDCA闭环管理逻辑，以风险管控为核心，覆盖云服务规划、部署、运行、运维、变更、退出全生命周期，适配公有云、行业专属公共云等各类云部署形态。0.3应用价值本标准统一了国内云计算服务通用安全管控口径、技术标准与管理规范，既可为云服务提供商搭建标准化云安全体系、落实常态化安全运营提供实操依据，也可为云租户开展云服务选型、安全自查、风险管控提供参考标准，同时支撑第三方测评认证、行业监管核查、供应链安全审核工作，有效提升全行业云计算安全防护能力与风险抵御水平。1范围1.1本标准规定了公共云计算服务场景下的通用信息安全控制准则、云专属安全控制措施、双主体安全责任、全生命周期安全管理要求与实施规范。1.2本标准基于ISO/IEC27002通用安全控制框架，针对云计算虚拟化、多租户、弹性调度、远程托管、分层交付特性，补充专属安全控制要求，覆盖IaaS、PaaS、SaaS三类主流云服务模式的基础设施、平台、应用、数据、运维、服务全维度安全管控。1.3本标准适用于所有提供公共云计算服务的云服务提供者，使用公共云服务的各类云上租户，同时可供第三方安全测评机构、认证机构、行业监管部门开展云安全合规评估、审核、监管工作使用。1.4本标准为指导性实施准则，可与通用信息安全管理体系、数据安全、业务连续性、个人信息保护等标准融合使用，不替代通用安全标准，是云场景安全管控的专项补强规范。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。ISO/IEC27000:2014信息技术安全技术信息安全管理体系概述和词汇ISO/IEC27001:2013信息技术安全技术信息安全管理体系要求ISO/IEC27002:2013信息技术安全技术信息安全控制实践指南GB/T22080-2016信息技术安全技术信息安全管理体系要求GB/T22081-2016信息技术安全技术信息安全控制实践指南GB/T35274-2017信息安全技术公共云计算服务个人信息保护指南GB/T29245-2012信息安全技术信息安全事件分类分级指南ISO31000:2009风险管理指南3术语和定义下列术语和定义适用于本标准。3.1云计算cloudcomputing通过网络按需获取可配置计算资源池（网络、服务器、存储、应用、服务等）的共享模式，资源可快速部署与释放，实现弹性伸缩、按需付费、集中运维的交付模式。3.2公共云publiccloud由云服务提供者建设、统一运维，面向社会公众、各类组织机构开放共享的云计算资源平台，支持多租户并发使用、资源池化共享的云部署形态。3.3云服务提供者（CSP）cloudserviceprovider建设、运营公共云平台，向租户提供IaaS、PaaS、SaaS等云计算服务，负责底层基础设施、虚拟化平台、公共组件安全运维的组织机构。3.4云租户cloudtenant采购并使用公共云服务，依托云平台部署业务、存储数据、运行应用，负责上层业务、自有数据、应用安全的组织机构或个人。3.5多租户multi-tenant多个独立租户共享同一套云计算物理资源与虚拟化平台，通过逻辑隔离实现租户业务、数据、权限独立运行的云核心架构模式。3.6虚拟化virtualization通过虚拟化技术将物理计算、存储、网络资源抽象为虚拟资源，实现资源池化、动态调度、弹性分配的技术形态，是云计算的基础核心技术。3.7弹性伸缩elasticscaling云平台根据租户业务负载动态自动扩容、缩容虚拟资源的能力，具备资源动态变化、边界不固定的典型特征。3.8云安全cloudsecurity针对云计算全层级资源、业务、数据、运维、服务开展的安全管控活动，涵盖物理安全、虚拟安全、租户安全、运维安全、服务安全、退出安全等全维度防护。4缩略语下列缩略语适用于本标准。CSP：云服务提供者（CloudServiceProvider）IaaS：基础设施即服务（InfrastructureasaService）PaaS：平台即服务（PlatformasaService）SaaS：软件即服务（SoftwareasaService）VM：虚拟机（VirtualMachine）VPC：虚拟私有云（VirtualPrivateCloud）ISMS：信息安全管理体系（InformationSecurityManagementSystem）5云计算安全总体原则与责任划分5.1核心安全原则5.1.1风险导向、全程管控以风险管理为核心，针对云计算动态化、共享化、虚拟化特有风险，建立覆盖云服务规划、部署、运行、变更、运维、应急、退出全生命周期的安全管控机制，前置防范各类云场景安全风险。5.1.2权责清晰、分层负责严格区分云服务提供者与云租户的安全责任边界，按照云服务分层交付特性，落实“谁运营、谁负责，谁使用、谁负责，谁管控、谁负责”的分层责任原则，杜绝责任空白与推诿。5.1.3隔离优先、最小授权将多租户安全隔离作为云安全核心基础，落实资源隔离、数据隔离、网络隔离、权限隔离机制；全员、全岗位、全主体执行最小权限原则，严控超权访问、越权操作风险。5.1.4动态适配、持续迭代针对云资源弹性伸缩、架构动态迭代、新型攻击风险频发的特点，动态优化安全策略、防护机制、管控流程，实现安全能力与云业务发展同步迭代。5.1.5合规统一、兼顾实效安全管控全程符合国家网络安全、数据安全、云计算安全相关法律法规与标准规范，兼顾标准化合规要求与业务实操性，避免过度管控影响云服务效能。5.2分层安全责任划分5.2.1IaaS模式责任划分云服务提供者负责物理机房、物理设备、底层网络、虚拟化平台、资源调度系统、公共运维体系的安全；云租户负责虚拟机内部系统、自有应用、业务数据、访问权限、上层运维的安全。5.2.2PaaS模式责任划分云服务提供者负责底层基础设施、虚拟化平台、平台组件、中间件、开发运维环境的安全；云租户负责自主开发应用、业务逻辑、自有数据、用户权限的安全。5.2.3SaaS模式责任划分云服务提供者负责平台底层、应用系统、运维管理、公共安全防护的安全；云租户负责账号权限、自有业务数据、终端访问、内部使用规范的安全。6通用信息安全控制适配要求组织应全面落地GB/T22081通用信息安全控制措施，并结合云计算场景特性进行适配优化，确保通用安全要求与云场景深度融合。通用安全控制涵盖信息安全策略、组织安全、人员安全、物理与环境安全、设备安全、通信安全、访问控制、系统开发维护、运维管理、应急处置、持续改进等基础模块，所有通用控制措施需针对虚拟化资源、多租户环境、远程运维模式做专项适配，杜绝通用措施与云场景脱节失效。云服务提供者需建立通用安全控制适配清单，明确每项通用措施在IaaS、PaaS、SaaS场景的落地方式、责任主体、核查标准，实现通用安全全覆盖、云专属安全补短板。7云计算专属信息安全控制措施（核心）本章依据ISO/IEC27017:2015原版17项云专属安全控制要求，结合国内云安全实操场景，细化可落地的管控规范，覆盖云场景特有风险与差异化管控需求。7.1云服务协议安全管控云服务提供者需在服务协议、合规条款中明确双方安全责任边界、安全服务内容、防护标准、数据留存规则、应急响应机制、违约追责条款，杜绝模糊条款导致的责任纠纷。协议需明确租户数据隔离、数据销毁、安全审计、事件告知、合规报备等核心安全承诺，保障双方安全权益合法合规。7.2多租户隔离安全多租户隔离是云安全核心底线，需实现网络、存储、计算、应用、权限、日志六维隔离。通过VPC虚拟私有云、虚拟交换机、逻辑分区、独立权限体系、专属资源池等技术手段，确保不同租户的虚拟资源、业务数据、操作日志完全隔离，杜绝跨租户越权访问、数据泄露、数据篡改、流量窃取风险。云服务商需定期开展租户隔离有效性检测、渗透测试、漏洞排查，及时修复隔离失效隐患。7.3虚拟资源安全管控针对虚拟机、虚拟网络、虚拟存储等虚拟化资源，建立专项安全管控机制。规范虚拟资源创建、分配、变更、迁移、回收、销毁全流程管理；严控虚拟机镜像安全，杜绝恶意镜像、漏洞镜像上线；虚拟资源迁移过程全程加密、全程审计，防止迁移过程中数据泄露、篡改；闲置虚拟资源及时回收，关闭冗余端口与服务，降低攻击面。7.4云资源弹性伸缩安全适配云弹性伸缩特性，建立动态安全防护机制。安全策略、访问控制规则、防护设备需跟随资源扩容、缩容自动适配，避免资源动态变化导致防护失效；伸缩过程全程日志记录，监控异常扩容、异常访问行为，防范弹性调度引发的权限失控、资源滥用、数据暴露风险。7.5云端运维安全管控规范云服务商远程运维、后台运维、特权运维行为，建立最小权限、全程审计、双人复核、临时授权机制。运维人员不得超权限访问租户资源与数据，所有运维操作全程日志留存、可溯源、可审计；后台特权账号单独管控，定期轮换密码、核查权限，杜绝内部运维越权操作、违规篡改、数据窃取风险。禁止无审计、无授权的隐蔽运维操作。7.6租户数据销毁与资源释放安全针对云资源复用特性，建立严格的数据销毁与残留清理机制。租户退订、资源释放、服务终止后，需彻底清除主存储、缓存、快照、备份节点中的全部租户数据，杜绝数据残留、数据可恢复风险；数据销毁完成后出具正式销毁凭证，留存销毁台账与审计记录；禁止将未彻底清理数据的虚拟资源重新分配给其他租户使用。7.7云服务连续性管控云服务商需建立适配云架构的业务连续性机制，针对机房故障、集群宕机、资源调度异常、网络中断、硬件损坏等云专属故障场景，制定专项容灾、备份、恢复方案。落实多副本备份、异地容灾、集群冗余机制，明确云服务恢复时限、降级服务标准，保障租户业务在突发故障下可快速恢复，降低云服务中断带来的业务损失。7.8云端安全监控与告警搭建云平台全域安全监控体系，覆盖物理资源、虚拟资源、网络流量、账号权限、业务访问、数据传输、运维操作全维度。针对越权访问、异常登录、恶意攻击、资源滥用、数据异常传输、隔离失效等云特有风险设置专项告警规则，实现风险实时发现、及时告警、快速处置，杜绝隐蔽性云安全风险。7.9第三方云服务安全管控云服务商引入第三方云组件、外包运维、技术支撑服务时，需建立严格的准入审核、权限管控、安全约束、持续监督机制。明确第三方安全责任，签订保密与安全协议，限制第三方访问范围与操作权限，全程审计第三方操作行为，服务结束立即回收全部权限，防范第三方引入的云安全风险。7.10云配置与变更安全建立云资源配置基线与变更管控机制，规范虚拟资源、网络策略、权限配置、安全策略的变更流程。所有配置变更需申请、审批、测试、上线、复盘，杜绝私自变更、无序变更导致的安全策略失效、隔离失效、权限失控问题；定期核查配置合规性，整改高危配置、弱配置、无效配置。8双主体全生命周期安全管理8.1规划与选型阶段安全云服务商在平台规划、架构设计阶段融入安全理念，落实安全左移，从架构层面规避多租户隔离失效、边界模糊、权限漏洞等原生风险；云租户选型阶段核查云服务商安全资质、防护能力、合规体系、事件处置能力，明确安全责任条款，规避选型安全风险。8.2部署与上线阶段安全云服务商严格管控资源上线、镜像部署、策略配置安全，上线前开展安全检测、漏洞扫描、隔离有效性验证；云租户做好自有应用部署、数据上传、账号初始化安全配置，落实基线核查，杜绝带漏洞、高危配置上线运行。8.3日常运行阶段安全云服务商常态化开展云平台安全巡检、漏洞修复、策略优化、权限梳理、日志审计、风险监测；云租户规范自有业务运行、账号管理、数据使用、终端访问行为，定期自查云上资源安全状态，双方协同落实常态化风险防控。8.4变更与迭代阶段安全云平台架构、组件、策略、资源迭代变更时，提前开展风险评估，制定变更方案与回滚预案，避免变更引发的安全失效、服务中断；租户业务、配置变更同步落实安全核查，确保变更全程安全可控。8.5服务终止与退出阶段安全服务到期、退订终止时，云服务商严格执行数据销毁、资源清零、权限回收流程，出具销毁证明；云租户提前完成核心数据迁移、业务备份，核验数据销毁效果，确认无数据残留、无权限遗留，彻底规避退出阶段隐私泄露与数据安全风险。9云安全事件应急与处置9.1事件分类与分级结合云场景特性，将云安全事件划分为租户隔离失效、虚拟资源异常、云平台漏洞攻击、云端数据泄露、运维违规操作、云服务中断、资源滥用等专项类型，参照国标规范实施四级分级管控，匹配差异化响应流程与资源。9.2监测响应与处置建立云安全事件7×24小时监测响应机制，快速识别云特有安全事件，第一时间开展风险遏制、漏洞封堵、资源隔离、权限冻结，防止风险跨租户扩散、全域蔓延。针对云平台级重大事件，启动全域应急机制，优先保障核心租户服务稳定。9.3事件告知与合规上报发生涉及租户权益的云安全事件，云服务商需及时告知对应租户，同步事件原因、影响范围、处置进度、防护措施；符合监管上报要求的事件，严格按时限、按规范完成合规上报，留存完整处置与上报记录。9.4复盘迭代优化每起云安全事件处置完成后，开展专项复盘，重点排查云架构漏洞、管控短板、隔离缺陷、流程不足，针对性优化云安全策略、隔离机制、运维规范、监测体系，杜绝同类云特有安全事件重复发生。10监视、审核与持续改进10.1常态化安全监测建立云安全绩效监测指标体系，重点监测租户隔离有效性、越权访问次数、漏洞修复率、数据残留清零率、云服务中断时长、安全事件发生率、整改闭环率等核心指标，动态掌握云安全体系运行有效性。10.2专项内审与合规核查云服务商每年至少开展一次云安全体系专项内审，全面核查云专属控制措施落地情况、双主体责任落实、运维安全、隔离安全、数据销毁、应急处置等全维度工作，排查不符合项并闭环整改。租户可结合自身需求开展云上安全自查，及时整改自有安全隐患。10.3管理评审与体系优化最高管理者定期开展云安全管理体系评审，结合内审结果、事件复盘、技术迭代、合规更新、行业云安全风险动态，全面评价体系适配性与有效性，动态优化管理制度、技术防护、流程规范、资源配置