等保2.0时代,云等保安全合规要求解读.pdfVIP

等保2.0时代,云等保安全合规要求解读--第1页

等保2.0时代，云等保安全合规要求解读

导读

伴随着《网络安全法》出台，等级保护制度上升到法律层面。在

此背景下孕育出来等保2.0相比之前的等保要求，在等级保护的对象、

保护的内容、保护的体系都大不相同。

当然，云等保不是新鲜的事物，而是在原等保框架下的扩展要求。

云等保的各环节与传统等保相同，包括定级、备案、建设整改、测评、

监督检查等，因此只需要对原有等级保护相关工作的具体内容进行扩充

并统一。

传统信息系统的网络架构伴随业务变化而变化，系统各组件功能与

硬件紧耦合，在安全防护上强调分区域和纵深防御。直观上来说，就像

铁路局各管一段，信息系统通常以物理网络或者安全设备为边界进行划

分。

等保2.0时代,云等保安全合规要求解读--第1页

等保2.0时代,云等保安全合规要求解读--第2页

但是，云计算系统网络架构是扁平化的，业务应用系统与硬件平台松耦

合，犹如航空运输。如果信息系统的划分，单纯的以物理网络或安全设

备为边界进行划分，将无法体现出业务应用系统的逻辑关系，更无法保

证业务信息的安全和系统服务的安全，这就犹如以机场划分各航空公司

一样不适用。

一、云计算系统边界划分

云计算系统边界划分基本场景包括两个类型：

第一类场景：存在业务应用不独占硬件物理资源或硬件物理资源上

运行的基础服务系统是所有业务应用公用的情况，这时定级系统的边界

应划在虚拟边界处，这个虚拟边界就是运行业务应用所用到的最底层独

占虚拟资源，通常是虚拟机。如下图所示：

在上图场景中有3个业务应用，通过对业务应用的梳理，业务应

用1单独成为一个定级系统，业务应用2和业务应用3组成另一个定级

系统。这两个定级系统共用底层服务，因此我们把底层服务连同硬件一

等保2.0时代,云等保安全合规要求解读--第2页

等保2.0时代,云等保安全合规要求解读--第3页

起作为一个定级系统C，即云计算平台。定级系统A和定级系统B就是

云平台上承载的业务应用系统。

第二类场景：业务应用对应的系统模块存在相对独立的底层服务

和硬件资源，因此可以将整个系统边界划分到硬件物理设备，从而确定

两个定级系统，如下图所示。如果这个场景对应的是对外提供服务的云

计算系统，那么定级系统A就是一个使用了云计算技术的应用系统，而

顶级系统B是另一个使用了云计算技术的应用系统。同理，我们依然可

以在定级系统B上嵌套场景1，此时定级系统B这个云计算平台就会承

载更多的业务应用系统。

二、云等保责任共担与定级

在对云计算系统进行测评时应同时满足安全通用要求和云计算安全

扩展要求部分的相关要求。在这个过程中根据云上系统的责任分担不

同，要对安全通用要求和云计算安全扩展要求做拆分，云服务商和云服

务客户针对应要求采取对应安全保护措施。

等保2.0时代,云等保安全合规要求解读--第3页