2020云计算安全责任共担白皮书.pdf

云计算安全责任共担云计算安全责任共担 白白皮书皮书 （20202020 年）年）云计算开源产业联盟云计算开源产业联盟 OpenSource Cloud Alliance for industry，OSCAR 2020年年7月月 前前 言言 云计算作为新型基础设施建设的重要组成，关键作用日益凸显，市场规模呈现持续增长趋势。同时，云计算安全态势日益严峻，安全性成为影响云计算充分发挥其作用的核心要素。与传统 IT 系统架构不同，上云后安全迎来责任共担新时代，建立云计算安全责任共担模型，明确划分云计算相关方的责任成为关键。白皮书首先介绍了云计算在市场发展、安全等方面的现状及趋势，分析安全责任承担在云计算安全发展中的必要性，以及安全责任共担模式的应用现状与痛点。重点围绕公有云场景，白皮书建立了更加精细落地、普遍适用的云计算安全责任共担模型，确定责任主体，识别安全责任，对责任主体应承担的责任进行划分，以提升云计算相关方责任共担意识与承担水平。最后，白皮书对云计算安全责任共担未来发展进行了展望，并分享了责任承担优秀案例。参与编写单位参与编写单位 中国信息通信研究院、阿里云计算有限公司、腾讯云计算（北京）有限责任公司、华为技术有限公司、浪潮云信息技术股份公司 主要撰稿人主要撰稿人 孔松、栗蔚、郭雪、王永霞、康雪婷、黄瑞瑞、王婷、胡甜、郑原斌、黄少青、王方、朱勇、贺进、周健 目目 录录 一、云计算安全责任共担成共识.1（一）云计算作为新型基础设施，安全性成关键.1（二）安全责任共担，保障云计算全方位安全.4（三）云计算安全责任共担应用与发展有痛点.10 二、云计算安全责任共担模型框架.12（一）模型应用场景.13（二）云计算安全责任主体.14（三）云计算安全责任分类.14 三、云计算安全责任识别与划分.16（一）云计算安全责任识别.16（二）云计算安全责任划分.20 四、云计算安全责任共担未来发展趋势展望.28 附录 1：公有云安全责任承担优秀案例.30（一）阿里云.30（二）华为云.38（三）腾讯云.46 附录 2：政务云安全责任承担优秀案例.56（一）浪潮云.56 图图 目目 录录 图 1 中国云计算市场规模及增速.2 图 2 全球云服务安全市场规模.3 图 3 中国云服务安全市场规模.4 图 4 云计算威胁渗透示意图.5 图 5 AWS 基础设施服务责任共担模型.7 图 6 AWS 容器服务责任共担模型.7 图 7 AWS 抽象服务责任共担模型.7 图 8 Azure 责任共担模型.8 图 9 云计算服务模式与控制范围的关系.9 图 10 云服务商与云客户责任划分边界.10 图 11 CSA 安全责任与云服务模式关系.10 图 12 云计算安全责任共担模型.15 表表 目目 录录 表 1 IaaS 模式下云计算安全责任划分.20 表 2 IaaS 模式下云计算安全责任协商划分参考.25 表 3 PaaS 模式下云计算安全责任划分.26 表 4 SaaS 模式下云计算安全责任划分.27 表 5 SaaS 模式下云计算安全责任协商划分参考.28 表 6 浪潮政务云安全责任划分案例.56 云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）1 一、云计算安全责任共担成共识（一）（一）云计算作为新型基础设施，云计算作为新型基础设施，安全安全性性成关键成关键 随着互联网与实体经济深度融合，企业数字化转型成为必然趋势。云计算作为新型基础设施建设，是实现数字化转型的必然选择，安全性则是影响云计算充分发挥其关键作用的核心要素。云计算“新基建”重要性凸显，市场规模将持续增长。2015 年国务院在关于积极推进“互联网+”行动的指导意见中第一次提出新型基础设施概念。2020 年 4 月，国家发改委首次就“新基建”概念作出正式解释，将其定义为以新发展理念为引领，以技术创新为驱动，以信息网络为基础，面向高质量发展需要，提供数字转型、智能升级、融合创新等服务的基础设施体系，具体包括信息基础设施、融合基础设施与创新基础设施三个方面。云计算被纳入信息基础设施中的新技术基础设施，在社会数字化转型中的重要性得到肯定，依托其高资源利用率、强业务承载能力等优势，成为企业信息化建设的首选。据 IDC统计，2019 年全球云计算基础设施规模超过传统 IT 基础设施，占全球 IT 基础设施的 50%以上。在未来几年，我国云计算市场仍将处于快速增长阶段，据中国信息通信研究院统计，2019 年我国云计算市场（公有云、私有云）整体规模达 1334.5 亿元，增速 38.6%，2023 年预计达 3754.2 亿元，与 2019 年相比，市场规模约扩大 1.8 倍。云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）2 数据来源：中国信息通信研究院，2020 年 5 月 图 1 中国云计算市场规模及增速 云计算成攻击焦点，安全态势日益严峻。随着云计算的持续发展，云平台将承载越来越多的重要数据与用户关键业务，同时，云计算环境下多用户共享云基础架构，云平台一旦发生安全事件，将有海量用户受到影响，带来不可估量的经济损失，甚至影响社会的稳定生产。一方面，云计算的重要性与价值导致其成为黑客攻击的重要目标。黑客利用云计算提供商技术和管理上的漏洞，或利用云计算客户在云计算使用上的疏忽，对云平台进行破坏。据国家计算机网络应急技术处理协调中心统计，2019 年，我国云平台网络安全事件或威胁情况进一步加剧，DDoS 攻击次数占境内目标被攻击次数的 74.0%、被植入后门链接数量占境内全部被植入后门链接数量的 86.3%、被篡改网页数量占境内被篡改网页数量的 87.9%。另一方面，云计算提供商或云计算客户造成的安全事件时有发生。安全事件主要包括大规模服务中断、数据泄露和数据丢失。云计算客户对云服务的错误配置或使用，容易导致数据泄露或丢失的发生。2019 年，Attunity（以色列公司，为大691.6962.81334.51781.82308.22951.53754.234.34%39.21%28.61%33.52%29.54%27.87%27.19%050010001500200025003000350040002017201820192020E2021E2022E2023E市场规模（亿元）增速云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）3 约 2000 名客户提供数据管理、仓储和复制服务，很多客户为 财富100 强企业）因其将三个 AWS S3 桶的访问权限设置为公开，导致至少 1T 数据的泄露，其中包括电子邮件、系统密码、项目规格等重要数据。对于云计算提供商来说，内部人员误操作、恶意行为、软硬件故障、基础设施故障等都可能导致三类安全事件的发生。数据来源：Gartner 图 2 全球云服务安全市场规模 云计算安全受重视，云服务安全市场将持续发展。受云计算安全态势的影响，云计算客户对云上的安全需求越发迫切，关注点从“上云”逐步发展为“安全上云”，安全成为客户选择云计算的重要考量因素。据中国信通院中国公有云发展调查报告（2020 年）显示，42.4%的企业在选择云服务时会考虑服务安全性，安全性成为企业选择公有云服务商的第三大考量因素，较 2018 年提升一位。另一方面，云计算提供商增加安全投入，不断提升云平台安全性的同时，向客户提供丰富的安全产品，促进云计算客户云上数据与业务的安全防护水0.00%2.00%4.00%6.00%8.00%10.00%12.00%14.00%16.00%18.00%20.00%020406080100120市场规模（亿美元）增长率云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）4 平发展。据 Gartner 统计，2020 年全球云服务安全市场规模预计可达 84.18 亿美元，增速 13.9%。中国云服务安全市场规模预计可达2.67 亿美元，增速 17.11%，2018-2023 年间，增长速率均高于全球水平，发展空间极大。数据来源：Gartner 图 3 中国云服务安全市场规模 （二二）安全责任共担，安全责任共担，保障云计算全方位安全保障云计算全方位安全 1.1.安全责任的承担与落实影响云计算整体安全 云平台作为一种持续运营、动态变化的基础设施，涉及的关键点复杂，既包括数据中心、计算、存储、网络、应用、数据、人员等实体要素，也包括研发、运维、运营、使用等关键环节。同时，云平台面临的威胁多样，威胁利用关键点的脆弱性对云平台进行破坏，环境灾害、黑客行为、技术故障等威胁都将带来不程度的损失和危害。在实际运营中，云计算的服务产业链纵深延长，服务关系存在多0.00%10.00%20.00%30.00%00.511.522.533.544.5市场规模（亿美元）增长率云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）5 级嵌套的情况。云计算提供商向云计算用户交付云服务，云计算用户利用云服务，可以向其用户交付其它应用服务，而这些应用服务又可以形成下一级的“提供者-用户”关系。威胁所带来的风险也将依附服务产业链不断渗透，影响范围和危害程度不断扩大。如图 4 所示，不仅云计算提供者与用户风险依存，看似独立、毫无关系的用户之间也会产生影响，一个小的安全问题，可能导致云平台的大范围安全事故，牵一发而动全身。图 4 云计算威胁渗透示意图 为保证云平台安全稳定运行，必须全面识别、切实承担云计算相关的所有安全责任。在事前，深入落实云计算安全责任，可以最大可能的规避安全事件的发生；事中，根据安全事件属性，判断安全责任落实薄弱环节，可以迅速的响应和处置安全事件，尽可能阻断损失的扩大；事后，客观的事件定责，是通过法律、经济等手段降低安全事云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）6 件损失的前提和核心。事件定责的成熟，将促进云计算保险的发展，完善云保险赔偿机制，丰富云保险覆盖场景。云计算企业或云客户通过为云计算投保，可以有利推动事故发生后的赔偿力度和执行程度，保障云客户的事后权益，分担了云计算企业的赔偿损失。2.2.责任共担已成共识，企业组织纷纷推出云计算安全责任共担模型 云计算安全体系复杂，所涉责任繁多，云计算提供商权利有限制，安全责任必然无法由提供商全部承担，云计算提供商与云计算客户进行责任分担的模式成为行业共识和最佳方案。各大云服务商建立责任共担模型。亚马逊、微软、阿里、腾讯、华为等国内外知名云服务均推出了自己的云计算安全责任共担模型，各模型融合了云服务商业务场景和特色，均有差异，但大致可以分为以 AWS 和 Azure 为代表的两类模型。1）亚马逊 AWS 模型，在云服务商和云客户间划清责任分界线。AWS 将其提供的云服务分为三大类，包括 EC2、EBS、VPC 在内的基础设施服务，RDS、EMR 为代表的容器服务，以及 S3、DynamoDB、SQS 等抽象服务。针对不同的云服务，AWS 分别建立了对应的责任共担模型（图 5-7 所示），识别不同云服务场景下云服务商和云客户应承担的责任，明确两者间的责任分界，分界线以下由云服商负责，以上由云客户负责。云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）7 图 5 AWS 基础设施服务责任共担模型 图 6 AWS 容器服务责任共担模型 图 7 AWS 抽象服务责任共担模型 云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）8 2）微软 Azure 模型，中间责任带由云服务商和云客户共同分担。微软 Azure 将云计算安全责任从底层物理数据中心到上层数据分为十类，对 IaaS、PaaS 和 SaaS 三种场景下十大类的安全责任进行划分，底层安全责任一般由云服务商承担，上层安全责任则由云客户负责，除两者独立承担的责任外，中间部分安全责任由两者共同承担。图 8 Azure 责任共担模型 相关标准与指南不断成熟。云计算安全责任共担受到越来越多的关注与重视，标准组织、联盟纷纷从行业角度出发，对云计算场景下的责任划分提出规范或建议。1）GB/T 22239-2019 信息安全技术 网络等级保护基本要求中规范了不同云计算服务模式下云服务商和云服务客户的安全管理责任，如图 9 所示。在不同的服务模式中，云服务商和云服务客户对计算资源拥有不同的控制范围，控制范围则决定了安全责任的边界。云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）9 在基础设施即服务模式下，云计算平台/系统由设施、硬件、资源抽象控制层组成；在平台即服务模式下，云计算平台/系统包括设施、硬件、资源抽象控制层、虚拟化计算资源和软件平台；在软件即服务模式下，云计算平台/系统包括设施、硬件、资源抽象控制层、虚拟化计算资源、软件平台和应用软件。图 9 云计算服务模式与控制范围的关系 2）GB/T 31167-2014 信息安全技术 云计算服务安全指南规范了云服务商、客户和第三方评估机构三大云计算服务安全管理主要角色的责任。在该标准的新修订版本中，进一步引入云服务安全提供商角色，同时给出了政务云中的责任划分实践与参考，如图 10 所示。标准指出，如果部分安全措施需要由云服务安全提供商来实施，相关的责任也可以由云服务安全提供商承担。云服务商和客户需要保证各个角色承担责任的总和能够覆盖到系统的全部安全要素，避免责任无人承担或责任承担不明确的情况。应用平台应用平台软件平台软件平台硬件硬件虚拟化计算资源虚拟化计算资源设施设施资源抽象控制资源抽象控制云服务商云服务商云服务客户云服务客户IaaSIaaSPaaSPaaSSaaSSaaSSaaSSaaSPaaSPaaSIaaSIaaS范围和控制范围和控制云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）10 图 10 云服务商与云客户责任划分边界 3）云安全联盟（CSA）云计算关键领域安全指南中指出，安全责任与角色对架构堆栈的控制程度相对应，如图 11 所示。SaaS 中云服务提供商负责几乎所有的安全性，因为云消费者只能访问和管理其使用的应用程序，并且无法更改应用程序。PaaS 中云服务提供商负责平台的安全性，而消费者负责他们在平台上所部署的应用，包括所有安全配置，因此两者职责几乎是平均分配。IaaS 类似 PaaS，云服务提供商负责基本的安全，而云消费者负责他们建立在该基础设施上的其它安全，不同于 PaaS，IaaS 的消费者承担更多的责任。图 11 CSA 安全责任与云服务模式关系（三三）云计算云计算安全责任共担安全责任共担应用应用与发展与发展有痛点有痛点 云计算安全责任共担已成行业共识，各大云服务商均推出了自己的共担模型，标准、指南也对责任划分提出了规范和建议，但在云服云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）11 务的实际运营与使用中，责任共担的应用与发展仍存在诸多痛点：各云计算安全责任共担模型有差异，云客户应用存疑惑。一方面，各共担模型安全责任分类不尽相同，同一分类下覆盖的具体安全责任范围又可能有差异，不同模型对某一责任的解释和定义也存在不一致的情况。另一方面，不同云服务商业务模式不同，在责任划分时，云服务商与云客户间的责任界限也将不同，一些服务商承担的责任多些，一些服务商承担的责任少些。这些差异可能会影响云客户对责任共担模式的理解，甚至造成误解。云客户责任共担意识薄弱，责任承担能力不足。部分云客户对上云后的安全责任问题认识不够清晰，认为上云后安全责任全部由服务商承担，根据中国信通院中国私有云发展调查报告调查显示，仅有 35.4%的企业表示安全责任应由私有云服务商和企业共同承担。同时，一些云客户对云上业务的安全管理体系建设不足，存在安全投入不够、运维人员安全意识不到位、安全防护水平低等问题，无法切实承担自己应承担的安全责任。云客户消极承担责任或知法犯法，云服务商巡查存在技术挑战。部分云客户虽然能够意识到上云后应承担相应安全责任，但在承担责任时采取消极应对的态度，如不对云上业务进行有效的网络安全防护、使用虚假材料进行实名认证等。同时，云计算作为一种可靠的、可扩展的全球性基础设施，受到黑灰产的关注，恶意客户利用云资源，进行多种违法违规活动或云资源滥用行为，如经营涉黄涉毒涉赌等违法应用程序、对外发起 DDoS 等网络攻击、数字货币挖矿、暴力破解、云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）12 垃圾邮件和钓鱼活动、刷单、恶意 VPN 代理、云养号、恶意刷域名备案等。云服务商作为云平台的运营者，考虑监管要求以及自身业务安全稳定发展的需求，承担对上述行为巡查和处置的责任，即使大部分云服务商引入人工智能技术，结合人工措施，结果仍有缺失，全面审查依然是技术难题。案件纠纷时有发生，实际场景复杂难定责。云服务的运营应满足国家法律法规的监管要求，包括网络安全法、著作权法、电子商务法等法律，电信条例、计算机信息网络国际联网安全保护管理办法等条例规章。部分法律法规通用性强，结合多种信息技术场景，提出的要求较为粗放。而云计算存在服务模式多样、服务关系多级嵌套等情况，在实际的案件纠纷中，责任的划分与确定面临诸多难题，如法律适用，履行责任的判定等。2019 年，国内首例云服务器侵权案二审改判，北京知识产权法院驳回一审原告的诉讼请求，判定阿里云不承担法律责任。该案争议焦点在于案件的法律适用、合格通知的判定标准、云服务商是否构成共同侵权及应否承担民事责任等问题，涉及云上用户数据与隐私安全，受到广泛关注。北京市知识产权法院认为，信息网络传播权保护条例 不适用于本案，而应依据 侵权责任法进行判决。二、云计算安全责任共担模型框架 为建立更加精细可落地、普遍适用于云计算行业的安全责任共担模型，提升云服务客户责任共担意识与承担水平，自 2019 年起，中国信通院、云计算开源产业联盟牵头，联合数十家云服务商，开展了云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）13 云计算安全责任共担的相关研究，制定了 云计算安全责任共担模型行业标准。基于以往研究成果，编写此白皮书，将云计算安全责任共担模型成果进行分享，以供行业相关企业、人员参考。（一）（一）模型模型应用场景应用场景 云计算分为公有云、私有云、社区云、混合云等部署模式。私有云、社区云和混合云模式具体应用情况与云服务客户需求较为相关，不同客户的云平台差异较大，公有云由云服务商统一交付，通用性强，不同公有云间运营模式差异不大。本白皮书将建立公有云模式下安全责任共担模型，白皮书中对云计算安全责任的分类和识别，也可供其它云计算部署模式参考。根据服务模式的不同，本白皮书将按照以下三种服务模式进行责任划分：基础设施即服务（IaaS）。云服务商为云服务客户提供计算、存储、网络等基础资源，云服务客户基于这些资源部署需要的中间件、应用软件等。典型的 IaaS 服务包括云服务器、云硬盘等。平台即服务（PaaS）。云服务商为云服务客户提供封装后的 IT 能力，包括软件开发环境、运行平台等，云服务客户基于此来部署、管理和运营自己的应用。典型的 PaaS 服务包括消息中间件、机器学习平台等。软件即服务（SaaS）。云服务商为云服务客户直接提供应用服务，云服务客户可通过网络访问和使用这些应用。典型的 SaaS 服务包括邮箱、在线会议、办公软件等。云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）14（二二）云计算云计算安全安全责任主体责任主体 云服务在实际运营中存在服务关系多级嵌套的情况，如图 4 所示。本白皮书共担模型以云平台为核心，研究与云服务直接相关的云服务提供者和云服务客户的责任划分。云服务合作者1，以及云服务客户基于云服务对外提供应用而获得的用户，不在模型范围内。云服务提供者。指提供云服务的参与方，本白皮书模型中为公有云云服务商，提供 IaaS、PaaS、SaaS 中的一种或多种云服务。对于仅提供 PaaS 或 SaaS 服务的云服务提供者，其基础资源可以是IaaS/PaaS 云服务，也可以是物理机等非云服务资源，但后文将统一表述为 IaaS、PaaS。云服务客户。指为使用云服务而处于一定业务关系中的参与方。业务关系不一定包含经济条款。包括企事业客户和个人客户。（三）（三）云计算云计算安全安全责任分类责任分类 本白皮书将云计算安全责任分为七大类：1）物理基础设施，指运营云计算服务的数据中心安全和云计算平台基础架构安全。2）资源抽象和管理，指计算、存储、网络、数据库等资源的虚拟化安全，以及云主机、云存储、云网络和云数据库等云服务产品的安全管理。3）操作系统，指云主机的操作系统安全。4）网络控制，指云服务间的，或云服务与外部的网络通信的安全控制。5）应用，指云计算环 1 GB/T 32400-2015 信息技术 云计算 概览与词汇 云服务合作者：支撑或协助云服务提供者和/或云服务客户活动的参与方。根据不同的服务合作者类型，以及他们与云服务提供者和云服务客户的关系，有不同的云服务合作者活动。云服务合作者包括云审计者、云服务代理等。云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）15 境下的应用系统的安全管理。在 IaaS、PaaS 模式中，应用是云服务客户自行部署在云环境上的软件或服务。在 SaaS 模式中，应用是云服务提供者为云服务客户提供的软件类云服务。6）数据，指云计算相关的云服务客户数据、云服务衍生数据、云服务提供者数据2和云服务客户个人隐私信息的安全管理。7）身份识别和访问管理（IAM），指对云计算相关资源和数据的身份识别和访问管理，涉及云控制台、云服务和云服务提供者内部系统平台的身份识别和访问管理。内部系统平台指云服务提供者内部与云服务相关的平台系统，如代码托管系统、运维系统等。图 12 云计算安全责任共担模型 2 GB/T 32400-2015 信息技术 云计算 概览与词汇 云服务客户数据云服务客户数据：基于法律或其他方面的原因，由云服务客户所控制的一类数据对象。这些数据对象包括输入到云服务的数据，或云服务客户通过已发布的云服务接口执行云服务所产生的数据。注1:法律原因包括版权等。注 2:云服务可包含或操作非云服务客户数据。非云服务客户数据可包括云服务提供者可访问的数据，其他来源的数据，或公开可获取的数据。但是，按照一般的版权原则，云服务客户通过使用云服务在非云服务客户数据上所产生的数据可能是云服务客户数据，除非在云服务协议中有相反的条款规定。云服务衍生数据云服务衍生数据：由云服务客户和云服务交互所产生的云服务提供者控制的一类数据对象。注：云服务衍生数据包括日志数据，授权用户数以及授权用户的身份，配置数据和定制化数据。其中，日志数据记录了谁在什么时间使用了服务，使用了什么功能和数据等。配置数据和定制化数据用于云服务的配置和定制化。云服务提供者数据云服务提供者数据：由云服务提供者控制，与云服务运营相关的一类数据对象。注：云服务提供者数据包括但不限于资源的配置和使用信息、云服务特定的虚拟机信息、存储和网络资源配置信息、数据中心的整体配置和使用信息、物理和虚拟机资源的故障率和运营成本等。云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）16 三、云计算安全责任识别与划分（一一）云计算云计算安全安全责任责任识别识别 1.1.物理基础设施安全责任识别物理基础设施安全责任识别 云计算场景下物理基础设施安全责任主要包括：1）数据中心环境安全，指选址、建筑结构、电力、消防、温湿度等数据中心环境的安全责任。2）数据中心运营安全，指访问控制与监控、安全审计与检查等数据中心运营的安全责任。3）容灾，指跨机房的、跨可用区的或跨地区的数据中心容灾责任。4）物理设备生命周期安全，指计算、存储、网络等云计算相关物理设备从采购、使用、维护到销毁全生命周期的安全责任。5）基础架构安全，指计算、存储、网络等云计算底层基础架构的安全责任。2.2.资源抽象和管理安全责任识别资源抽象和管理安全责任识别 云计算场景下资源抽象和管理安全责任主要包括：1）安全隔离，指通过计算虚拟化、存储虚拟化、网络虚拟化等技术保障云计算环境下的多租户隔离以及虚拟资源与虚拟化平台之间的隔离。具体分为：计算隔离，指对管理系统与虚拟机/容器以及虚拟机/容器之间进行计算隔离，在未授权的情况下，无法通过虚拟机访问物理主机和其他虚拟机/容器的系统资源。存储隔离，指虚拟机只能访问分配给它的物理磁盘空间。网络隔离，指虚拟网络之间互相隔离，以及虚拟网络和物理网络间的隔离。数据库隔离，指不同云服务客户的数据库互相隔离。2）虚拟化平台安全，指虚拟化技术安全，以及确保虚拟化平台云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）17 免受外部攻击或内部滥用的责任。3）云控制台安全，指云控制台设计、开发、测试、部署和运维的全生命周期安全责任。4）云服务API安全，指云服务API设计、开发、测试、部署和运维的全生命周期安全责任。5）云服务产品安全，指云服务产品设计、开发、测试、部署和运维的全生命周期安全责任。3.3.操作系统安全责任识别操作系统安全责任识别 云计算场景下操作系统安全责任主要包括：1）镜像安全。在IaaS模式中，镜像包括公共镜像（公共镜像是由云服务提供者制作并发布的镜像）、服务市场镜像（服务市场镜像由第三方服务提供者提供）和其它来源镜像（其它来源镜像由云服务客户自行制作，或云服务客户使用的其它来源共享的镜像），在PaaS/SaaS模式中，镜像指云服务提供者主机中所使用的镜像。安全责任具体包括：镜像制作安全，指镜像制作过程中的安全责任，镜像应由专业团队制作，已知的安全漏洞应在制作时被修复。镜像版本管理，指镜像版本计划，周期性的或在有重大安全漏洞被披露时对镜像进行更新或修复。镜像校验与审核，指镜像在发布或使用前应进行安全校验和内容审核，校验与审核通过后才可发布或使用。镜像漏洞管理，指镜像发布后或使用时的漏洞管理，包括漏洞信息的获取与告知，漏洞的修复等。2）云主机安全监测，指在云主机内部部署安全产品或工具，对云主机的入侵行为进行监测和处置，以避免云主机主动或被动向外部发起恶意攻击。3）云主机备份，指通过镜像、快照等方式对云主机进行备份。云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）18 4.4.网络控制安全责任识别网络控制安全责任识别 云计算场景下网络控制安全责任主要包括：1）设置安全组，指为云服务设置合理的安全组，以控制云服务间的，或云服务与外部的网络通信。2）网络类型选择，指为云服务选择合适的网络类型，如专有网络等，以实现云服务的访问。3）IP黑白名单配置，指为云服务配置合理的IP黑名单、白名单，以限制或开放不同IP对云服务的访问。5.5.应用安全责任识别应用安全责任识别 云计算场景下应用安全责任主要包括：1）应用生命周期安全，指应用从设计、开发、测试到发布全生命周期安全责任。2）应用安全管理，指应用的漏洞管理和安全防护。应周期性对应用进行漏洞扫描和修复，部署面向应用的安全防护工具，对入侵行为进行监控、告警和处置。3）应用内容安全，指应用中运营的内容应符合相关法律法规规定，不应存在涉黄、涉毒等违规内容。4）网站域名备案，指网站的域名应按国家相关法律法规规定完成备案。6.6.数据安全责任识别数据安全责任识别 云计算场景下数据安全责任主要包括：1）数据存储安全，指数据存储的持久性、私密性、完整性和可用性。数据持久性指数据存储不丢失。数据私密性包括数据隔离安全性和数据存储保密性。数据存储保密性指采用加密技术或其他保护措施实现数据的存储保密性。数据隔离安全性仅适用于云服务客户数据，指同一资源池云服务客户数云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）19 据互不可见。数据完整性指数据完整性不被破坏的概率。数据可用性指对数据的各项操作（如上传、修改、删除、查找等）成功的概率。2）数据传输安全，指采用合理的技术和手段保障数据传输过程中的私密性和完整性。3）数据访问安全，指数据的访问和使用均在授权下，以及使用有效的数据保护手段，确保数据不被窃取。4）数据迁移安全，指数据在云平台的迁入迁出安全。5）数据销毁安全，指数据及其副本能够如期望的彻底销毁，以及使用有效的手段防止数据及其副本的误销毁。6）数据安全管理，指数据的分类分级管理机制。7）数据安全合规，指数据的收集、存储、使用、处理等满足相关法律法规的要求。8）安全审查和取证，指在配合政府监管部门开展安全审查或调查取证时，应采取一定的安全措施，具体包括：a）应建立相关的管理制度，对每一种数据披露场景建立内部审核机制。b）要求政府监管部门提供证件、法律函件等材料，以识别政府监管部门安全审查或调查取证的要求是否真实可信。c）在允许的条件下，将配合安全审查或调查取证行为告知数据相关方。7.7.身份识别和访问管理安全责任识别身份识别和访问管理安全责任识别 云计算场景下IAM安全责任主要包括：1)密码安全策略，指密码创建、修改时，有复杂度、更换周期等安全策略。2)身份认证凭证管理，指妥善保管身份认证凭证，包括登陆密码、访问密钥等，以避免身份认证凭证被盗用、冒用。3)身份鉴别信息安全，指身份鉴别信息以加密的方式传输和存储。4)行为日志功能，指对账号使用记录、操云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）20 作记录等内容进行记录、分析和审计。5)用户管理和权限管理，指对用户及其具备的权限进行管理。对于云服务，除上述安全责任外，还应包括实名备案安全责任，既在购买和使用云服务时，应按国家法律法规规定，完成实名备案。（二二）云计算云计算安全安全责任划分责任划分 在上一节识别的云计算安全责任中，一些安全责任必须由云服务提供者承担，一些安全责任必须由云服务客户承担，其余安全责任既可以由云服务提供者承担，也可以由云服务客户承担。在云服务的实际运营中，往往由两者协商后确定。在后续章节中，将对 IaaS、PaaS和 SaaS 模式下必须由云服务提供者或云服务客户承担的责任进行划分，可协商的安全责任将给出多种划分示例以供参考，云服务提供者和云服务客户可以结合实际场景和需求进行调整和适配。1.1.IaaSIaaS 模式模式 IaaS模式下，必须由云服务提供者或云服务客户承担的责任划分如表1所示，可协商安全责任的划分参考如表2所示。表 1 IaaS 模式下云计算安全责任划分 安全责任安全责任 云服务提供者云服务提供者 云服务客户云服务客户 物理基础设施安全 数据中心环境安全 数据中心可以是云服务提供者自建或向第三方租赁，无论是自建还是租赁，云服务提供者均应承担数据中心的环境安全责任 云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）21 数据中心运营安全 数据中心的运营可以由云服务提供者或第三方企业进行，安全运营责任均由云服务提供者承担 容灾 为保障云服务和云服务客户数据的可用性，容灾可以作为基础服务或增值服务提供给云服务客户。但无论云服务客户是否使用容灾服务，云服务提供者都应保证云服务和云服务客户数据可用性达到SLA中的承诺值，因容灾不足而未达到SLA的，由云服务提供者承担相应责任 物理设备生命周期安全 基础架构安全 资源抽象和管理安全 安全隔离 虚拟化平台安全 云控制台安全 云服务API安全 云服务产品安全 操作系统安全 公 共镜 像安全 镜像制作安全 镜像版本管理 除第（一）节中3.1）b）提到的责任外，应确保云服务客户在购买云主机时获取的均是最新版公共镜像 镜像校验与审核 镜像漏洞管理 参考表2 服 务市 场镜 像安全 镜像制作安全 服务市场镜像由第三方服务提供者制作，但云服务提供者仍需承担如下责任：在云服务客户使用服务市场镜像前，告知云服务客户该镜像由第三方服务提供者制作，安全责任最终 镜像版本管理 云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）22 共担方为第三方服务提供者，应留意使用过程中面临的风险。应对第三方服务提供者进行资质审查，确保发生安全事件后，云服务客户能够与第三方服务提供者取得联系。因云服务提供者审核不当导致云服务客户无法与第三方服务提供者取得联系的，安全责任由云服务提供者承担。镜像校验与审核 云服务提供者应尽到注意义务，通过技术、管理等手段，对发布的服务市场镜像进行校验与审核，避免发布的镜像存在病毒等安全问题 镜像漏洞管理 承担将重大安全漏洞信息告知已经使用该镜像的云服务客户的责任 使用服务市场镜像创建云主机后，应时刻关注云服务提供者和第三方企业机构发布的漏洞公告，及时对镜像存在的安全风险进行处置 其 它来 源镜 像安全 镜像制作安全 镜像版本管理 镜像校验与审核 镜像漏洞管理 云主机安全监测 参考表2 云主机备份 参考表2 网络控制安全 设置安全组 承担为云服务客户提供安全组功能的责任 网络类型选择 承担为云服务客户提供多种网络类型的责任 IP黑白名单配置 云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）23 承担为云服务客户提供IP黑白名单配置的责任 应用安全 应用生命周期安全 应用安全管理 应用内容安全 承担对云服务客户公开的应用进行内容安全审核的责任，应具备完备的审查流程、预警方案和配合机制。能够配合监管部门或核实用户举报，针对违法违规的应用，通知云服务客户整改，或将其封禁和下线。网站域名备案 承担云服务客户网站进行域名备案审核的责任，针对未按规定备案的网站，有责任将其封禁和下线 数据安全 云 服务 客户 数据 安全 数据存储安全 数据传输安全 承担为云服务客户提供保障数据传输安全的技术和手段的责任 数据访问安全 承担仅在云服务客户授权下才访问数据的责任 数据迁移安全 参考表2 数据销毁安全 为避免云服务客户误删或未及时续订云服务，云服务提供者可以对云服务客户数据保留一定时间，时间到期后将云服务客户数据彻底删除，但该行为应提前告知云服务客户 数据安全管理 安全审查和取证 云 服务 衍数据存储安全 数据传输安全 云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）24 生 数据 安全 数据访问安全 数据迁移安全 数据销毁安全 数据安全管理 安全审查和取证 云 服务 提供 者数 据安全 数据存储安全 数据传输安全 数据访问安全 数据迁移安全 数据销毁安全 数据安全管理 安全审查和取证 个 人隐 私信 息安全 数据存储安全 除第（一）节中6.提到的责任外，个人隐私信息的收集、存储、处理等详细信息应通过隐私声明等方式披露给云服务客户 数据传输安全 数据访问安全 数据迁移安全 数据销毁安全 数据安全管理 安全审查和取证 IAM安全 云 控制台 密码安全策略 身份认证凭证管理 身份鉴别信息安全 行为日志功能 参考表2 用户管理和权限管理 承担为云服务客户提供用户管理和权限管理功能的责任 云 服务 密码安全策略 参考表2 身份认证凭证管理 身份鉴别信息安全 行为日志功能 参考表2 用户管理和权限管理 承担为云服务客户提供用户管理和权限管理功能的责任 实名备案 云计算开源产业联盟 云计算安全责任共担白皮书（2020 年）25 承担云服务客户实名备案审核的责任，在云服务客户备案前为其提供云服务的，安全责任由云服务提供者承担 承担完成实名备案的责任，因实名备案材料造假，云服务提供者依法停止对其提供云服务的，责任由云服务客户自行承担 云 服务 提供 者内 部平 台系统 密码安全策略 身份认证凭证管理 身份鉴别信息安全 行为日志功能 用户管理和权限管理 表 2 IaaS 模式下云计算安全责任协商划分参考 序序号号 责任类别责任类别 责任划分参考模式责任划分参考模式 序号序号 云服务提供者云服务提供者 云服务客户云服务客户 1 操作系统安全/公共镜像安全/镜像漏洞管理 a）将安全漏洞信息告知已经使用该版本镜像的云服务客户 使用公共镜像创建云主机后，关注云服务提供者和第三方企业机构发布的漏洞公告，及时对镜像存在的安全风险进行处置 b）对云服务客户存在安全漏洞的镜像进行主动修复 2 操作系统安全/云主机安全监测 a）在云主机内部署安全产品或工具，对云主机的入侵行为进行监测和处置 b）为云服务客户提供云主机安全产品 c）在云服务客户购买云主机时，默认内置安全监测功能 3 操作系统安全/云主机备份 a）提供云主机备份功能 合理使用云主机备份功能 b）在云服务客户购买