文 | 中國電子技術(shù)標(biāo)準(zhǔn)化研究院 朱雪峰 胡影 王秉政

當(dāng)前，云計(jì)算服務(wù)在經(jīng)濟(jì)發(fā)展中深度融合應(yīng)用，被黨政機(jī)關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者以及各行業(yè)有關(guān)單位采購和使用。政務(wù)數(shù)據(jù)、金融數(shù)據(jù)、電子數(shù)據(jù)、醫(yī)療數(shù)據(jù)等各種類型數(shù)據(jù)逐步在云平臺上部署。云計(jì)算服務(wù)借助自身性價(jià)比高、靈活性強(qiáng)、實(shí)時(shí)監(jiān)控、及時(shí)發(fā)現(xiàn)等特點(diǎn)，確保數(shù)據(jù)上云后的使用效率、管理能力、安全保障等方面得到進(jìn)一步提升。與此同時(shí)，存在一系列云平臺特有的數(shù)據(jù)安全問題數(shù)據(jù)安全問題，如數(shù)據(jù)安全責(zé)任邊界劃分不清、敏感數(shù)據(jù)和個(gè)人信息未進(jìn)行專門保護(hù)、大量數(shù)據(jù)傳輸存儲等關(guān)鍵環(huán)節(jié)未加密，以及未經(jīng)云服務(wù)用戶同意處理云平臺數(shù)據(jù)等問題突出。

一、云計(jì)算服務(wù)數(shù)據(jù)安全風(fēng)險(xiǎn)

云平臺上承載了大量關(guān)系國計(jì)民生的業(yè)務(wù)系統(tǒng)和數(shù)據(jù)，如果數(shù)據(jù)安全管理不到位，技術(shù)防護(hù)措施不嚴(yán)謹(jǐn)，將可能產(chǎn)生重大的數(shù)據(jù)安全風(fēng)險(xiǎn)，直接影響國家安全和社會(huì)生產(chǎn)生活有序開展。

（一）云計(jì)算服務(wù)數(shù)據(jù)安全責(zé)任邊界劃分不清，給數(shù)據(jù)安全管理帶來挑戰(zhàn)云計(jì)算服務(wù)主要涉及云計(jì)算服務(wù)提供方、云計(jì)算服務(wù)用戶以及為云平臺提供產(chǎn)品、服務(wù)的第三方供應(yīng)商等角色，平臺上收集存儲了用戶上云的業(yè)務(wù)數(shù)據(jù)、生產(chǎn)數(shù)據(jù)，提供方依托云平臺產(chǎn)生的日志、系統(tǒng)、操作、配置等數(shù)據(jù)。服務(wù)商、用戶甚至第三方在特定場景下均會(huì)接觸、處理用戶數(shù)據(jù)、平臺數(shù)據(jù)，責(zé)任權(quán)屬如何劃分直接關(guān)系到云上數(shù)據(jù)安全。在調(diào)研中發(fā)現(xiàn)，部分用戶認(rèn)為數(shù)據(jù)上云后的安全應(yīng)該由服務(wù)商負(fù)責(zé)，部分服務(wù)商認(rèn)為平臺只需要提供基礎(chǔ)的云安全環(huán)境，用戶應(yīng)該對其數(shù)據(jù)負(fù)責(zé)，同時(shí)在云計(jì)算服務(wù)合同中也未對雙方以及第三方責(zé)任進(jìn)行明確規(guī)定，存在數(shù)據(jù)安全責(zé)任空白。

（二）云平臺自身存在脆弱性，給數(shù)據(jù)安全防護(hù)提出更高要求云平臺依賴于供應(yīng)鏈中的多個(gè)組件和服務(wù)，如硬件、軟件、網(wǎng)絡(luò)等，供應(yīng)鏈中的任何環(huán)節(jié)存在漏洞或惡意行為，都可能直接威脅到云平臺的安全性，特別是云平臺一些關(guān)鍵設(shè)備和組件可能依賴外國供應(yīng)商，這些供應(yīng)商可能受到所在國法律的影響，存在供應(yīng)鏈中斷的風(fēng)險(xiǎn)。云平臺通常基于復(fù)雜的技術(shù)堆棧構(gòu)建，涉及大量的組件、服務(wù)和交互，這種復(fù)雜性增加了安全漏洞和錯(cuò)誤配置的可能性，使云平臺更容易受到攻擊。身份驗(yàn)證和訪問控制是云平臺安全的關(guān)鍵環(huán)節(jié)，部分平臺身份驗(yàn)證機(jī)制不完善，或者訪問控制策略配置不當(dāng)，可能導(dǎo)致未經(jīng)授權(quán)的訪問和數(shù)據(jù)泄露。IBM 發(fā)布的《云威脅形勢報(bào)告》顯示，2023 年新增了 632 個(gè)新的云相關(guān)安全漏洞，相比一年前增加了 194%，主要原因在于云環(huán)境中使用的應(yīng)用程序和服務(wù)數(shù)量的不斷增加，如 Log4j 漏洞仍有被濫用跡象。
（三）云平臺數(shù)據(jù)安全管理技術(shù)手段不足，數(shù)據(jù)泄露風(fēng)險(xiǎn)高企部分云平臺數(shù)據(jù)傳輸和共享過程所使用的加密機(jī)制存在缺陷和不足，若加密算法存在漏洞或密鑰管理不當(dāng)，可能導(dǎo)致數(shù)據(jù)泄露和損壞。當(dāng)前，云平臺數(shù)據(jù)分類分級工具技術(shù)能力不足，對重要數(shù)據(jù)、個(gè)人信息未進(jìn)行標(biāo)注，并且對非結(jié)構(gòu)化文件標(biāo)注不全且不及時(shí)，缺乏對云上重要數(shù)據(jù)、個(gè)人信息進(jìn)行專門的保護(hù)。在云數(shù)據(jù)遷移過程中，部分?jǐn)?shù)據(jù)遷移不徹底，備份數(shù)據(jù)得不到合理處置，導(dǎo)致數(shù)據(jù)泄露。一些云平臺存在隨意收集、違法獲取、過度使用用戶個(gè)人信息，侵害了公民個(gè)人信息權(quán)益。云平臺針對涉及數(shù)據(jù)出境的場景梳理不全面、有遺漏，未建立數(shù)據(jù)出境安全審核機(jī)制，數(shù)據(jù)出境安全風(fēng)險(xiǎn)凸顯。

二、國內(nèi)外云計(jì)算服務(wù)數(shù)據(jù)安全相關(guān)政策法規(guī)

隨著云計(jì)算技術(shù)和產(chǎn)業(yè)的不斷發(fā)展，很多國家和地區(qū)紛紛制定云計(jì)算服務(wù)數(shù)據(jù)安全相關(guān)法律法規(guī)和政策標(biāo)準(zhǔn)，以推動(dòng)云計(jì)算的健康有序發(fā)展，在云上數(shù)據(jù)責(zé)任權(quán)屬、云上數(shù)據(jù)安全監(jiān)管、云服務(wù)商安全能力等方面進(jìn)行探索和實(shí)踐。

（一）歐盟高度重視云平臺數(shù)據(jù)安全問題

2018 年，歐盟發(fā)布《通用數(shù)據(jù)保護(hù)條例》（GDPR）（以下簡稱《條例》），對云平臺進(jìn)行了相應(yīng)的規(guī)制?！稐l例》要求云服務(wù)提供商必須采取適當(dāng)?shù)募夹g(shù)和組織措施來確保數(shù)據(jù)的安全，包括數(shù)據(jù)加密、匿名化、訪問控制等；同時(shí)，《條例》強(qiáng)調(diào)數(shù)據(jù)主體的權(quán)益，如知情權(quán)、訪問權(quán)、更正權(quán)、刪除權(quán)等，云服務(wù)提供商需要確保這些權(quán)益得到保障?！稓W洲云計(jì)算戰(zhàn)略》則是一個(gè)更廣泛的政策文件，它提出了歐洲在云計(jì)算領(lǐng)域的發(fā)展目標(biāo)和策略，包括促進(jìn)云計(jì)算創(chuàng)新、提高云服務(wù)的安全性和可信度、保護(hù)用戶數(shù)據(jù)等；同時(shí)，推動(dòng)建立透明的認(rèn)證和評估機(jī)制，讓用戶能夠信任和選擇符合高標(biāo)準(zhǔn)的云服務(wù)提供商。

（二）美國通過政策文件和技術(shù)指南規(guī)制云計(jì)算數(shù)據(jù)安全

早在 2011 年，美國就啟動(dòng)了聯(lián)邦云計(jì)算風(fēng)險(xiǎn)與授權(quán)管理項(xiàng)目（FedRAMP），規(guī)定只有中、低安全風(fēng)險(xiǎn)的系統(tǒng)和數(shù)據(jù)才能遷移上云，并發(fā)布了中、低影響級別的安全控制基線。隨著對云安全信心的提升，云服務(wù)應(yīng)用范圍擴(kuò)大到涉密系統(tǒng)和敏感信息，2016 年聯(lián)邦云計(jì)算風(fēng)險(xiǎn)與授權(quán)管理項(xiàng)目提出了高影響級別的安全控制基線。強(qiáng)調(diào)云計(jì)算實(shí)施的安全性和透明度，并要求建立相應(yīng)的安全管理制度和應(yīng)急管理制度，以確保云平臺的正常運(yùn)作和數(shù)據(jù)安全。2022 年 1 月，美國白宮發(fā)布《加強(qiáng)國家安全、國防部和情報(bào)系統(tǒng)網(wǎng)絡(luò)安全》，明確要求構(gòu)建國家安全系統(tǒng)云技術(shù)網(wǎng)絡(luò)安全能力，要求國家安全系統(tǒng)委員會(huì)制定并發(fā)布與國家安全系統(tǒng)委員會(huì)云遷移和運(yùn)營相關(guān)的最低安全標(biāo)準(zhǔn)和控制指南。同年 3 月，美國國務(wù)院情報(bào)研究局發(fā)布《國務(wù)院情報(bào)研究局網(wǎng)絡(luò)安全戰(zhàn)略》，強(qiáng)調(diào)加快云計(jì)算環(huán)境遷移，改進(jìn)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理。2022 年美國聯(lián)邦網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局還發(fā)布一系列技術(shù)指南，包括《安全云業(yè)務(wù)應(yīng)用程序技術(shù)參考框架》《可信互聯(lián)網(wǎng)連接 3.0：云計(jì)算用例》等，加強(qiáng)云計(jì)算環(huán)境下的安全能力，確保云計(jì)算環(huán)境下的數(shù)據(jù)安全。

（三）我國在云計(jì)算數(shù)據(jù)安全的頂層設(shè)計(jì)和制度設(shè)計(jì)不斷完善

我國已發(fā)布一系列云計(jì)算數(shù)據(jù)安全相關(guān)的政策法規(guī)和標(biāo)準(zhǔn)指南，這些文件對云計(jì)算服務(wù)商和云計(jì)算用戶都提出了明確的要求，并重點(diǎn)關(guān)注云安全監(jiān)管和評估等方面。

1. 政策法規(guī)層面

2014 年 12 月，中央網(wǎng)信辦發(fā)布《關(guān)于加強(qiáng)黨政部門云計(jì)算服務(wù)網(wǎng)絡(luò)安全管理的意見》，明確提出了黨政部門提供給服務(wù)商的數(shù)據(jù)、設(shè)備等資源，以及云計(jì)算平臺上黨政業(yè)務(wù)系統(tǒng)運(yùn)行過程中收集、產(chǎn)生、存儲的數(shù)據(jù)和文檔等資源屬黨政部門所有。服務(wù)商應(yīng)保障黨政部門對這些資源的訪問、利用、支配，未經(jīng)黨政部門授權(quán)，不得訪問、修改、披露、利用、轉(zhuǎn)讓、銷毀黨政部門數(shù)據(jù)；在服務(wù)合同終止時(shí)，應(yīng)按要求做好數(shù)據(jù)、文檔等資源的移交和清除工作。2019 年 7 月，國家互聯(lián)網(wǎng)信息辦公室、國家發(fā)展和改革委員會(huì)、工業(yè)和信息化部和財(cái)政部聯(lián)合發(fā)布了《云計(jì)算服務(wù)安全評估辦法》，該《辦法》明確了云計(jì)算服務(wù)安全評估的重點(diǎn)，包括對云服務(wù)商人員背景及穩(wěn)定性的評估，特別是能夠訪問客戶數(shù)據(jù)、能夠收集相關(guān)元數(shù)據(jù)的人員；客戶遷移數(shù)據(jù)的可行性和便捷性等要求。通過這些評估，旨在提高黨政機(jī)關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者在采購和使用云計(jì)算服務(wù)的安全可控水平，降低采購和使用云計(jì)算服務(wù)帶來的數(shù)據(jù)安全風(fēng)險(xiǎn)。

2. 標(biāo)準(zhǔn)指南層面

目前，國家已發(fā)布云計(jì)算安全相關(guān)標(biāo)準(zhǔn)共 5 項(xiàng)，包括《云計(jì)算服務(wù)安全指南》《云計(jì)算服務(wù)安全能力要求》《云計(jì)算安全參考架構(gòu)》《云計(jì)算服務(wù)安全能力評估方法》《云計(jì)算服務(wù)運(yùn)行監(jiān)管框架》，每項(xiàng)標(biāo)準(zhǔn)均對數(shù)據(jù)安全提出了不同層面的要求。

一是《信息安全技術(shù) 云計(jì)算服務(wù)安全指南》（GB/T 31167-2023）在 2014 版標(biāo)準(zhǔn)的基礎(chǔ)上進(jìn)行了修訂，提出了客戶采用云計(jì)算服務(wù)的安全管理基本原則，給出了采用云計(jì)算服務(wù)的生命周期各階段的安全管理和技術(shù)措施，提出了云計(jì)算服務(wù)安全管理原則和相關(guān)責(zé)任劃分，標(biāo)準(zhǔn)針對數(shù)據(jù)移交范圍、數(shù)據(jù)完整性驗(yàn)證、數(shù)據(jù)安全刪除等方面對云服務(wù)商提出了相關(guān)要求。

二是《信息安全技術(shù) 云計(jì)算服務(wù)安全能力要求》（GB/T 31168-2023）在 2014 版標(biāo)準(zhǔn)的基礎(chǔ)上進(jìn)行了修訂，規(guī)定了云服務(wù)商提供云計(jì)算服務(wù)時(shí)應(yīng)具備的安全能力，適用于對云計(jì)算服務(wù)能力的建設(shè)、監(jiān)督、管理和評估，標(biāo)準(zhǔn)設(shè)置專章“數(shù)據(jù)安全保護(hù)”，從通用數(shù)據(jù)安全、媒體訪問和使用、剩余信息保護(hù)、數(shù)據(jù)使用保護(hù)、數(shù)據(jù)共享保護(hù)、數(shù)據(jù)遷移保護(hù)等方面提出了數(shù)據(jù)加密、數(shù)據(jù)備份、數(shù)據(jù)脫敏、數(shù)據(jù)防泄漏、數(shù)據(jù)防篡改等要求。

三是《信息安全技術(shù) 云計(jì)算安全參考架構(gòu)》（GB/T 35279-2017）針對云服務(wù)級別協(xié)議所具有的動(dòng)態(tài)性及多方參與的特點(diǎn)導(dǎo)致對責(zé)任認(rèn)定不清、云計(jì)算的強(qiáng)大計(jì)算與存儲能力被非法利用等問題，規(guī)定了云計(jì)算安全參考架構(gòu)，描述了云計(jì)算角色，規(guī)范了各角色的安全職責(zé)、安全功能組件及其關(guān)系，適用于指導(dǎo)所有云計(jì)算參與者在進(jìn)行云計(jì)算系統(tǒng)規(guī)劃時(shí)對安全的評估與設(shè)計(jì)。

四是《信息安全技術(shù) 云計(jì)算服務(wù)安全能力評估方法》（GB/T 34942-2017）提出了開展評估的原則、實(shí)施過程以及針對各項(xiàng)具體安全要求進(jìn)行評估的方法。該標(biāo)準(zhǔn)為第三方評估機(jī)構(gòu)對云服務(wù)商提供云計(jì)算服務(wù)的安全能力進(jìn)行評估提供了依據(jù)，也為云服務(wù)商在對其云計(jì)算服務(wù)安全能力進(jìn)行自評估提供了參考。

五是《信息安全技術(shù) 云計(jì)算服務(wù)運(yùn)行監(jiān)管框架》（GB/T 37972-2019）規(guī)范了政府部門云服務(wù)客戶在使用云計(jì)算服務(wù)的過程中的監(jiān)管框架、監(jiān)管過程及監(jiān)管方式。同時(shí)，標(biāo)準(zhǔn)為云服務(wù)商制定和實(shí)施云計(jì)算服務(wù)持續(xù)監(jiān)管策略和計(jì)劃提供指導(dǎo)，也為監(jiān)管方進(jìn)行持續(xù)監(jiān)管活動(dòng)提供指導(dǎo)。該標(biāo)準(zhǔn)采用與聯(lián)邦云計(jì)算風(fēng)險(xiǎn)與授權(quán)管理項(xiàng)目（FedRAMP）不同的云計(jì)算服務(wù)持續(xù)監(jiān)管方式，主要從云計(jì)算服務(wù)審查或檢查的視角制定云計(jì)算服務(wù)運(yùn)行監(jiān)管過程，定義了云服務(wù)商和運(yùn)行監(jiān)管方兩個(gè)角色，并明確了安全控制措施有效性運(yùn)行監(jiān)管、重大變更監(jiān)管和應(yīng)急響應(yīng)監(jiān)管三個(gè)過程。

三、云計(jì)算服務(wù)數(shù)據(jù)安全工作建議

持續(xù)提升云計(jì)算服務(wù)數(shù)據(jù)安全防護(hù)能力，需要國家、行業(yè)的監(jiān)管引領(lǐng)下，科研機(jī)構(gòu)、高校、云服務(wù)商等方面共同參與，協(xié)力合作。

（一）加快云數(shù)據(jù)安全相關(guān)標(biāo)準(zhǔn)研制和試點(diǎn)推廣工作

一是按照數(shù)據(jù)安全工作急需、云技術(shù)發(fā)展急用的原則，研制云計(jì)算服務(wù)數(shù)據(jù)安全參考框架、云計(jì)算服務(wù)數(shù)據(jù)安全能力成熟度模型、云計(jì)算服務(wù)數(shù)據(jù)風(fēng)險(xiǎn)評估方法、云計(jì)算服務(wù)數(shù)據(jù)接口安全等標(biāo)準(zhǔn)。二是提升云計(jì)算服務(wù)安全標(biāo)準(zhǔn)的有效性和可操作性，解決云計(jì)算服務(wù)數(shù)據(jù)安全突出風(fēng)險(xiǎn)，探索云計(jì)算服務(wù)數(shù)據(jù)安全難點(diǎn)問題標(biāo)準(zhǔn)化路徑，選取云服務(wù)商、第三方合作商、云評估機(jī)構(gòu)等典型組織，開展標(biāo)準(zhǔn)適用性和實(shí)施效果評價(jià)；在標(biāo)準(zhǔn)應(yīng)用實(shí)踐中全程進(jìn)行跟蹤，及時(shí)發(fā)現(xiàn)問題、總結(jié)經(jīng)驗(yàn)、完善標(biāo)準(zhǔn)，推動(dòng)云計(jì)算服務(wù)數(shù)據(jù)安全標(biāo)準(zhǔn)化工作高速、高質(zhì)量發(fā)展。

（二）制定出臺云計(jì)算服務(wù)數(shù)據(jù)安全相關(guān)制度文件，加強(qiáng)云計(jì)算服務(wù)數(shù)據(jù)安全相關(guān)監(jiān)督管理

針對云服務(wù)商和云服務(wù)用戶的數(shù)據(jù)安全主體責(zé)任不清、未對重要數(shù)據(jù)上云進(jìn)行評估保護(hù)等新問題，國家應(yīng)出臺云計(jì)算服務(wù)數(shù)據(jù)管理辦法、標(biāo)準(zhǔn)合同模板等文件。一是指導(dǎo)云服務(wù)商對云平臺上的數(shù)據(jù)進(jìn)行分類分級管理，重點(diǎn)保護(hù)重要數(shù)據(jù)和個(gè)人信息，對云平臺收集和承載數(shù)據(jù)分別建立管理機(jī)制，并通過云平臺提供數(shù)據(jù)分類分級保護(hù)功能服務(wù)；二是建立云服務(wù)用戶分類管理機(jī)制，對黨政機(jī)關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者使用云計(jì)算服務(wù)加強(qiáng)安全風(fēng)險(xiǎn)提醒，對其部署在云平臺上的信息系統(tǒng)和數(shù)據(jù)加強(qiáng)安全保護(hù)；三是在合同模板中明確云服務(wù)商、云服務(wù)用戶和第三方服務(wù)商的數(shù)據(jù)安全責(zé)任。

（三）以關(guān)鍵環(huán)節(jié)和關(guān)鍵技術(shù)為突破點(diǎn)，完善云計(jì)算服務(wù)數(shù)據(jù)安全技術(shù)體系

應(yīng)加強(qiáng)在云計(jì)算服務(wù)過程中的數(shù)據(jù)收集、存儲、使用、加工、傳輸、提供、公開等關(guān)鍵環(huán)節(jié)的安全保障能力建設(shè)，強(qiáng)化云上數(shù)據(jù)的審計(jì)監(jiān)測、安全預(yù)警、應(yīng)急處置和追蹤溯源能力。目前，數(shù)據(jù)防泄露、數(shù)據(jù)庫安全防護(hù)等技術(shù)發(fā)展相對成熟，數(shù)據(jù)識別、分類分級、數(shù)據(jù)脫敏、數(shù)據(jù)權(quán)限管理等基礎(chǔ)技術(shù)以及隱私合規(guī)檢測、數(shù)據(jù)濫用分析、隱私計(jì)算、數(shù)據(jù)流轉(zhuǎn)分析等關(guān)鍵技術(shù)還相對薄弱，應(yīng)積極推動(dòng)產(chǎn)學(xué)研用結(jié)合，加強(qiáng)基礎(chǔ)、關(guān)鍵技術(shù)在云計(jì)算服務(wù)數(shù)據(jù)安全防護(hù)中的研究和應(yīng)用推廣。

數(shù)據(jù)作為關(guān)鍵生產(chǎn)要素的價(jià)值日益凸顯，隨著云平臺廣泛應(yīng)用、云計(jì)算服務(wù)的深入發(fā)展，作為數(shù)據(jù)流通的重要基礎(chǔ)設(shè)施，把安全貫穿云計(jì)算服務(wù)數(shù)據(jù)管理的全過程，嚴(yán)守?cái)?shù)據(jù)安全底線，對帶動(dòng)數(shù)據(jù)要素高質(zhì)量供給、合規(guī)高效流通具有重要作用。

（本文刊登于《中國信息安全》雜志2024年第2期）