JR∕T 0167-2020 云计算技术金融应用规范 安全技术要求(金融).pdf

ICS 35.240.40A 11JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 01672020代替 JR/T 01672018云计算技术金融应用规范安全技术要求Financial application specification of cloud computing technologySecurity technical requirements2020 - 10 - 16 发布2020 - 10 - 16 实施中国人民银行发 布JR/T 01672020I目次前言.II引言.III1范围.12规范性引用文件.13术语和定义.14缩略语.15概述.26基础硬件安全.37资源抽象与控制安全.48应用安全.89数据安全.910安全管理功能.1111安全技术管理要求.1312服务能力要求.18附录 A（规范性附录）云计算平台可选组件的安全要求.19附录 B（资料性附录）云计算的安全风险. 21JR/T 01672020II前言本文件按照GB/T 1.12020标准化工作导则第1部分：标准化文件的结构和起草规则的规定起草。本文件代替JR/T 01672018云计算技术金融应用规范 安全技术要求，与JR/T 01672018相比，除结构调整和编辑性改动外，主要技术变化如下：更改了“云计算安全框架”（见 5.2，2018 版的 5.2）；增加了对机房的安全要求（见 6.1）；增加了云服务提供者每年安全审计的要求（见 7.2.4）；增加了应用安全要求（见 8）增加了云服务提供者跨境数据迁移时的要求（见 9.5）；增加了云服务提供者在升级或变更前应制定回退方案并充分测试评估要求（见 11.4.2）；增加了云服务提供者应每年至少开展 2 次应急演练，并滚动完善应急预案（见 11.4.5）；增加了服务能力要求（见 12）。本文件由中国人民银行提出。本文件由全国金融标准化技术委员会（SAC/TC 180）归口。本文件起草单位：中国人民银行科技司、中国人民银行济南分行、中国人民银行西安分行、中国人民银行合肥中心支行、中国金融电子化公司、中国银联股份有限公司、网联清算有限公司、中国工商银行、中国农业银行、中国银行、中国建设银行、中国邮政储蓄银行、招商银行、中国光大银行、中国民生银行、 兴业银行、 平安银行、 国泰君安证券股份有限公司、 华泰证券股份有限公司、 中国人寿保险（集团）公司、中国人民保险集团股份有限公司、中国互联网金融协会、财付通支付科技有限公司、蚂蚁科技集团股份有限公司、华为技术有限公司、阿里云计算有限公司、北京百度网讯科技有限公司、新华三技术有限公司、兴业数字金融服务（上海）股份有限公司、亚马逊通技术服务（北京）有限公司、京东数字科技控股股份有限公司、北京宏基恒信科技有限责任公司、北京信安世纪科技股份有限公司、天津麒麟信息技术有限公司、深圳证券交易所、上海众人网络安全技术有限公司、腾讯云计算（北京）有限责任公司、北京中金国盛认证有限公司、北京金融科技产业联盟、中金金融认证中心有限公司、北京银联金卡科技有限公司、北京软件产品质量检测检验中心。本文件主要起草人：李伟、李兴锋、涂晓军、强群力、张宏基、孙维挺、侯晓晨、邬向阳、班廷伦、杨倩、马征、聂丽琴、郭林、吕苏、任明、张海燕、唐辉、胡达川、朱勇、周国林、辛路、杨彬、陈则栋、刘运、秦宇锋、缪凯、杨文斌、吴亚飞、任兆麟、吴永强、吴金海、孔令斌、张文涛、莫云飞、陈当阳、李明凯、赵华、符海芳、白阳、于柳婍、刘力慷、薛松源、宋铮、邓峰、李进、孙衍琪、居未伟、王晓燕、樊华、王伟、沈锡镛、杨俊、郝轶、罗子强、张国泽、周亚国、张翰林、蒋增增、卞海军、张振猛、胥少龙、来宾、王宇翔、陈晨、陈雪秀、曹伟、穆冬生、宋杰、瞿红来、许涛、王绍斌、张荣典、潘斌、汪宗斌、白雷、侯大鹏、张峻华、张嵩、赵春华、高天游、金怡、钟琪、渠韶光、贾铮、李博文、闫莅、黄敏、葛小宇、王仕、王研娟、林春、郑子洲、周伟然、黄超、高坤、林林、李荣振、李志伟、焦振新、蔡志玮、胡利明、陈明。本文件及其所替代文件的历次版本发布情况为：2018年首次发布为JR/T 01672018，本次为第1次修订。JR/T 01672020III引言本文件是云计算技术金融应用系列标准之一，云计算技术金融应用系列标准包括：云计算技术金融应用规范技术架构；云计算技术金融应用规范安全技术要求；云计算技术金融应用规范容灾。JR/T 016720201云计算技术金融应用规范安全技术要求1范围本文件规定了金融领域云计算技术应用的安全技术要求， 涵盖基础硬件安全、 资源抽象与控制安全、应用安全、数据安全、安全管理功能、安全技术管理要求、服务能力要求等内容。本文件适用于金融领域的云服务提供者、云服务使用者、云服务合作者等。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中， 注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 22239 信息安全技术 网络安全等级保护基本要求JR/T 0071金融行业信息系统信息安全等级保护实施指引JR/T 0131金融业信息系统机房动力系统规范JR/T 0166云计算技术金融应用规范技术架构3术语和定义JR/T 01662020界定的术语和定义适用于本文件。4缩略语下列缩略语适用于本文件。API：应用程序编程接口（Application Programming Interface）CPU：中央处理单元（Central Processing Unit）DDoS：分布式拒绝服务攻击（Distributed Denial of Service）DoS：拒绝服务（Denial of Service）HTTPS：安全超文本传输协议（Hypertext Transfer Protocol Secure）IaaS：基础设施即服务（Infrastructure as a Service）IP：互联网协议（Internet Protocol）MAC：媒体访问控制（Media Access Control）PaaS：平台即服务（Platform as a Service）SaaS：软件即服务（Software as a Service）SQL：结构化查询语言（Structured Query Language）VPN：虚拟专用网络（Virtual Private Network）XSS：跨站脚本攻击（Cross-site Scripting）JR/T 0167202025概述5.1云计算安全技术要求的分级云计算技术按需使用信息技术和数据资源，降低信息化成本，提高资源利用效率，但同时也带来了服务外包、数据泄露、服务滥用等方面的新风险。云服务使用者应结合信息系统的业务重要性和数据敏感性，充分评估应用云计算技术的科学性、安全性和可靠性，在确保系统业务连续性、数据和资金安全的前提下，谨慎选用云计算技术部署业务系统，选择与业务相适应的部署和服务模式，确保使用云计算技术的金融业务系统安全可控。为进一步增强标准的适用性和前瞻性， 规范按照分级分类管理思路将具体条款分为基本要求、 扩展要求和增强要求。基本要求是通用性和基础性的安全要求，云计算技术金融应用均应满足；扩展要求是在通用要求基础上， 针对团体云提出的扩展性要求； 增强要求是从安全技术的发展趋势和金融用户的前瞻性需求入手提出的增强要求。5.2云计算安全框架云计算安全框架由基础硬件安全、资源抽象与控制安全、应用安全、数据安全、安全管理功能、服务能力以及可选组件安全组成。云服务提供者和使用者共同实现安全保障。云计算安全框架见图1，在IaaS、PaaS、SaaS等不同服务类别下云服务提供者和使用者的安全分工有所区别。金融机构是金融服务的最终提供者， 其承担的安全责任不应因使用云服务而免除或减轻， 云服务提供者应对云平台安全负责，也应对云平台故障造成的金融风险承担责任。图 1云计算安全框架云计算平台作为承载金融领域信息系统的基础平台， 其安全要求应不低于所承载业务系统的安全要求。云计算平台本质上仍是1种信息系统，应满足国家和金融行业信息系统安全相关要求，本文件重点JR/T 016720203从云计算技术角度提出了云计算平台应符合的安全要求。 金融云应同时满足本文件的基本要求、 扩展要求和增强要求。容器、中间件、数据库等云计算平台可选组件的安全要求应符合附录A的规定，云计算相关安全风险分析见附录B。6基础硬件安全6.1机房安全基本要求：云计算平台部署的物理数据中心及附属设施应符合 JR/T 0131 中相关规定。扩展要求：a)应保证用于服务金融业的云计算数据中心运行环境与其他行业物理隔离。b)应保证用于云服务使用者业务运行、数据存储和处理的物理设备位于中国境内。c)应保证云计算平台的运维和运营系统部署在中国境内。d)应符合金融业信息系统机房动力系统规范（JR/T 0131）要求，至少具备双重电源同时供电，且双电源间应间隔一定的安全距离，避免单点故障，并配备备用电源。e)承载云计算平台的数据中心供电系统、空调系统、消防系统等应具备实时监控报警功能，并配置专人进行 724h 视频监控。f)承载云计算平台的数据中心应每年至少进行 1 次专业防雷检测和消防设施检测， 检测机构应为具备相关资质的外部机构，检测报告由云服务提供者留存备查。g)承载云计算平台的数据中心应满足以下要求：至少接入 2 家电信运营商；每家电信运营商应至少接入 2 条通信管道；通信管道间距不小于 20m。增强要求：无。6.2网络安全基本要求：a)应支持网络冗余设计，将网络通信链路和网络设备等冗余部署。b)应按照安全需求划分为不同的网络区域，支持网络安全隔离。c)应保证云计算平台的业务网络与管理网络安全隔离。d)应保证采取网络控制措施防止非授权设备连接云计算平台内部网络， 并防止云计算平台物理服务器非授权外联。扩展要求：a)应支持为云服务使用者提供专线或 VPN 接入。b)应保证除广域网外为金融业服务的网络物理硬件不与其他行业共享。c)应保证向云服务使用者提供服务的网络资源与其他网络资源安全隔离。增强要求：应支持网络带宽优先级分配。6.3设备安全JR/T 016720204基本要求：a)应保证关键设备冗余部署，保证系统可用性。b)应对设备运行状态、资源使用等进行监控，能够在发生异常情况时发出告警。c)应保证设备和存储介质在重用、报废或更换时，能够对其承载的数据完全清除。扩展要求：应保证用于金融业的物理设备不与其他行业共享。增强要求：a)应保证设备安全启动，即启动时的版本和预期一致，完整性没有受到破坏。b)应对设备重要配置文件进行完整性保护。7资源抽象与控制安全7.1通用要求网络资源池、存储资源池和计算资源池均应满足以下通用要求。基本要求：a)应支持内核补丁检测加固和防止内核提权。b)应保证通过 Web 和 API 等接口访问云计算平台时采用安全可靠的身份认证措施。c)应支持虚拟化底层补丁更新， 对底层硬件安全问题的修复， 避免因资源池硬件风险导致租户发生安全问题。扩展要求：a)应保证采用 HTTPS 协议远程调用 API 接口。b)应支持对软件漏洞及时发现并修复。增强要求：应保证用户通过安全的渠道（如加密通道、点对点的专线等方式）远程访问云计算平台进行管理，并至少采取2种或2种以上的组合机制进行身份鉴别。7.2网络资源池安全7.2.1概述网络资源池安全包括针对网络资源配置和运营的安全要求， 也包括对保障网络安全的安全产品、 功能或服务的安全要求。云服务使用者从云服务提供者获取网络资源池中的虚拟网络资源和控制权。7.2.2架构安全基本要求：应保证虚拟网络全冗余设计，避免单点故障。扩展要求：a)应支持不同租户网络及同一租户不同网络的隔离。b)应支持云服务使用者自行划分安全区域。c)应支持 VPC 相关的安全功能，对 VPC 的重要操作（如创建或删除 VPC 等）需要验证云服务使用者凭证。d)应支持 VPC 之间以及 VPC 与其他网络建立 VPN 或专线连接。e)应支持云服务使用者监控所拥有各网络节点间的流量。增强要求：JR/T 016720205a)应支持识别、监控虚拟机之间的流量。b)应支持开放接口，允许接入第三方安全产品。7.2.3访问控制基本要求：a)应部署访问控制策略，实现虚拟机之间、虚拟机与资源管理和调度平台之间、虚拟机与外部网络之间的安全访问控制。b)应对云计算平台管理员访问管理网络进行访问控制。c)应实时监控云服务远程管理的访问，并支持对未授权管理连接的处置。d)应对远程执行特权命令进行限制。e)应禁止管理端口或者管理 API 向互联网开放。扩展要求：a)应支持云服务使用者通过 VPN 访问云计算平台。b)应支持云服务使用者自行在虚拟网络边界设置访问控制规则。c)应支持云服务使用者自行划分子网、设置访问控制规则。d)应支持云服务使用者自行过滤进出 VPC 的网络流量。增强要求：无。7.2.4安全审计基本要求：a)应记录虚拟网络运行状况、管理员用户行为等日志。b)应为安全审计数据的汇集提供支持。c)审计记录产生时间应由系统范围内唯一确定的时钟产生，以确保审计分析的正确性。扩展要求：a)应根据云服务提供者和云服务使用者的职责划分，实现各自控制部分的审计。b)云服务提供者应为云服务使用者进行审计提供必要支持。增强要求：宜支持根据特定要求输出特定网络通讯的元数据和报文数据。7.2.5入侵防范基本要求：a)应防止虚拟机使用虚假的 IP 或 MAC 地址对外发起攻击。b)应支持防范 ARP 欺骗、DHCP 欺骗等常见网络层欺骗攻击。扩展要求：a)应检测和防护云计算平台内部虚拟机发起的针对云计算平台的攻击， 能够定位发起攻击的虚拟机，记录攻击类型、攻击时间、攻击流量等信息。b)应对各类网络攻击行为进行监测和发现，当检测到网络攻击行为时，记录攻击源 IP、攻击类型、攻击时间等信息，在发生严重入侵事件时应进行告警。c)通过互联网提供金融服务时，应支持 DoS/DDoS 攻击防护，通过清洗 DoS/DDoS 攻击流量，保障网络、服务器及上层应用的可用性。JR/T 016720206d)通过互联网提供金融服务时，应支持检测 Web 应用漏洞，拦截 SQL 注入、XSS 攻击等多种 Web应用攻击行为。e)应支持账号暴力破解检测、预警。增强要求：a)应支持禁用未备案域名。b)应检测和阻断云服务使用者对外攻击行为，记录攻击类型、攻击时间、攻击流量等信息。c)应支持对恶意虚拟机的隔离，支持阻断恶意虚拟机与外部网络以及其他虚拟机的通信。d)应支持识别、监控和处理虚拟机之间的异常攻击。7.2.6恶意代码防范基本要求：a)应支持对恶意代码进行检测和清理。b)应维护恶意代码特征库的升级和相关检测系统的更新。扩展要求：无。增强要求：无。7.3存储资源池安全存储资源池安全包括对存储资源配置和运营的安全要求， 也包括对保障存储安全的安全产品、 功能或服务的安全要求。云服务使用者从云服务提供者获取存储资源池中的虚拟存储资源和控制权。基本要求：a)应支持多层级访问控制。b)应记录存储设备运行状况、管理员用户行为等日志。c)应为安全审计数据的汇集提供支持。扩展要求：a)应支持分布式存储的数据副本分布在不同的物理机架。b)应禁止云计算平台管理员未授权操作租户资源。c)应支持租户访问存储资源的安全传输。d)应支持跨物理集群服务使用者账号权限管理。e)应支持内容加密存储，加密密钥支持租户自管理、云服务提供者管理和第三方机构管理。f)应对不同租户的数据隔离。g)应根据云服务提供者和云服务使用者的职责划分，实现各自控制部分的审计。h)云服务提供者应为云服务使用者进行审计提供必要支持。i)审计记录产生时间应由系统范围内唯一确定的时钟产生，以确保审计分析的正确性。增强要求：无。7.4计算资源池安全7.4.1概述JR/T 016720207计算资源池安全既包括虚拟机自身安全，也包括保障虚拟机安全的产品、功能和服务的安全要求。云服务使用者从云服务提供者获取计算资源池中的计算资源和控制权。7.4.2访问控制基本要求：应对访问主体进行必要的身份验证。扩展要求：a)应通过设定终端接入方式、网络地址范围等条件限制终端登录。b)应根据安全策略设置登录终端的操作超时锁定。c)应禁止云计算平台管理员未授权操作租户资源。d)访问控制的粒度应达到主体为用户级或进程级，客体为文件或数据库表级。增强要求：应支持使用2种或2种以上组合的鉴别技术对用户进行身份鉴别。7.4.3安全审计基本要求：a)应记录虚拟机运行状况、网络流量、管理员用户行为等日志。b)应为安全审计数据的汇集提供支持。扩展要求：a)应根据云服务提供者和云服务使用者的职责划分，实现各自控制部分的审计。b)云服务提供者应为云服务使用者进行审计提供必要支持。c)审计记录产生时间应由系统范围内唯一确定的时钟产生，以确保审计分析的正确性。增强要求：无。7.4.4入侵防范基本要求：应能够检测虚拟机对宿主机资源的异常访问，并进行告警。扩展要求：无。增强要求：a)应支持对虚拟机启动过程进行完整性保护。b)应支持对虚拟机运行过程进行完整性保护。c)应支持对虚拟机重要配置文件进行完整性保护。7.4.5恶意代码防范基本要求：应支持对后门、木马、蠕虫、webshell 等恶意代码的静态检测和行为检测，并对检测出的恶意代码进行控制和隔离。扩展要求：应支持云服务使用者自行安装防恶意代码软件，并支持更新防恶意代码软件版本和恶意代码库。JR/T 016720208增强要求：应提供多种机制防范恶意代码。7.4.6资源控制基本要求：a)应保证分配给不同虚拟机的内存资源隔离。b)应支持设置并监控虚拟机网络接口带宽。c)应对虚拟机进行资源监控，资源监控的内容包括 CPU 利用率、带宽使用情况、内存利用率、存储使用情况等。d) 应为监控信息的汇集提供支持。扩展要求：a)应支持统一调度与分配物理资源和虚拟资源。b)应支持虚拟机和虚拟机管理器间内部通信通道的受限使用。c)应保证部分虚拟机崩溃不影响虚拟机管理器及其他虚拟机。增强要求：a)应支持分配给不同虚拟机的存储资源安全隔离。b)宜支持云服务使用者设置虚拟资源（如CPU、硬盘、内存、网络等）优先级别，优先保障重要业务服务占用资源。7.4.7镜像和快照保护基本要求：a)应支持自动虚拟机快照功能，保证系统能根据快照恢复。b)应校验虚拟机镜像、快照的完整性，防止恶意篡改虚拟机镜像和快照。c)应对重要业务系统提供加固的操作系统镜像。扩展要求：应保证虚拟机镜像和快照文件备份在不同物理服务器。增强要求：应支持采取加密或其他技术措施，防止非法访问虚拟机快照和镜像中可能存在的敏感数据。8应用安全基本要求：a)应支持资源的访问控制。b)应支持应用审计。扩展要求：a)对于存在以下情况之一的信息系统，不应采用金融云服务：涉及国家秘密、工作秘密、重要战略决策信息的；系统故障、信息泄露对国家金融安全造成重大影响的；信息系统发生故障可能造成重大公众资金损失和隐私信息泄露的；金融管理部门明确要求不应采用金融云服务的其他信息系统。JR/T 016720209b)云服务使用者应充分考虑业务重要性、 数据敏感性和故障危害性等因素， 妥善制定兼顾安全与效率的云计算部署工作规划和方案， 对于发生故障可能造成公众资金损失和隐私信息泄漏的重要信息系统，宜使用私有云。c)云服务提供者应采取以下安全防护措施：采取有效措施防范各类应用攻击， 包括定期漏洞扫描和安全评估、 及时发现并告警异常行为、防范页面篡改和代码注入等；审查代码后门，管控代码打包和发布；有效屏蔽系统技术错误信息，不将系统产生的技术错误信息直接反馈给客户；支持对高敏感信息进行技术屏蔽或部分打码处理；支持限制 API 调用，如限制调用频率和使用白名单等。增强要求：a)应监控识别应用的异常访问。b)应采取有效措施防止用户输入的敏感信息被窃取。c)宜支持检查访问云计算平台的终端的安全状态。9数据安全9.1数据产生基本要求：a)应识别敏感数据，根据数据的敏感度进行分类。b)应识别个人信息，按照国家与行业主管部门相关规定及标准对个人信息进行保护。扩展要求：无。增强要求：应分类标识和保护敏感数据。9.2数据传输基本要求：a)应采用技术措施保证敏感数据和个人信息传输的保密性。b)应能够检测到数据在传输过程中完整性是否受到破坏。扩展要求：a)应支持云服务使用者实现对关键业务数据和管理数据传输的保密性,关键业务数据的范围和加密强度应符合国家与行业主管部门相关规定。b)应保证云服务使用者与云计算平台之间数据传输的完整性。增强要求：无。9.3数据存储基本要求：a)应采用加密技术或其他保护措施实现鉴别信息保密性。b)应根据国家与行业主管部门相关规定加密存储敏感数据。JR/T 0167202010扩展要求：a)应支持云服务使用者选择加密算法和密钥长度。b)应支持云服务使用者实现关键业务数据和管理数据的存储保密性， 关键业务数据的范围和加密强度应符合国家与行业主管部门相关规定。c)应支持云服务使用者对云计算平台上数据加密存储。d)应支持云服务使用者选择第三方密钥管理机制加解密数据， 密钥支持租户自管理、 云服务提供者管理和第三方机构管理。增强要求：无。9.4数据访问基本要求：应针对数据访问进行授权和验证，保证最小访问授权。扩展要求：应禁止云服务提供者未经云服务使用者授权访问云服务使用者数据，并对授权访问的行为进行审计。增强要求：无。9.5数据迁移基本要求：a)云服务使用者应在数据迁移前评估网络连接能力，保证数据迁移的安全实施。b)云服务使用者应保证数据迁移不影响业务应用的连续性。c)云服务使用者应做好数据迁移的数据备份以及恢复相关工作。d)云服务提供者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应在境内存储；因业务需要，确需向境外提供的，应按照国家有关部门要求进行安全评估；法律、行政法规另有规定的，依照其规定。扩展要求：云服务提供者应根据云服务使用者需求提供数据迁移的技术保障。增强要求：无。9.6数据清除基本要求：a)应保证云服务使用者鉴别信息的存储空间在释放或再分配给其他用户前被完全清除。b)对于更换或报废的存储介质， 应采取强化消磁或者物理损坏磁盘等方式， 防止恢复已清除数据。扩展要求：a)应保证文件、目录和数据库等资源所在的存储空间在释放或重新分配给其他租户前被完全清除。b)应支持协助清除因业务终止、迁移数据、自然灾害、合同终止等遗留的数据，日志留存时间应符合国家与行业主管部门相关规定。c)应支持所有副本数据的清除。JR/T 0167202011增强要求：无。9.7数据备份和恢复基本要求：应支持备份和恢复数据。扩展要求：a)应支持云服务使用者自行备份和恢复数据。b)应周期性测试云计算平台的备份系统和备份数据，支持故障识别和备份重建。c)应支持云服务使用者查询备份数据存储位置。增强要求：无。10安全管理功能10.1身份和权限管理基本要求：a)应支持云计算平台管理员的角色及其相应权限分配给不同账户。b)应支持云计算平台管理员权限分离。c)应支持云计算平台管理员权限最小化。d)应支持云计算平台管理员首次登录时强制修改初始口令。e)应采用 2 种或 2 种以上组合的鉴别技术对云计算平台管理员进行身份鉴别。扩展要求：a)应支持云服务使用者的身份和访问管理， 集中管理云服务使用者账户以及云服务使用者账户的子账户。 对子账户的管理， 云服务使用者账户可以创建多个子账户， 并管理每个子账户的权限；支持云服务使用者账户对子账户的分组授权，如基于角色、用户组授权；应支持云服务使用者账户下的子账户权限最小化。b)应支持云服务使用者密码策略管理，密码策略管理应支持密码复杂度策略、密码有效期策略，云服务使用者账号的初始密码如果是在创建时系统随机生成， 则云服务使用者首次登录时应强制要求云服务使用者修改初始密码。c)应支持为云服务使用者随机生成虚拟机登录口令或云服务使用者自行设置登录口令。d)应支持云服务使用者以密钥对方式登录虚拟机时， 自主选择云计算平台生成密钥对或自行上传密钥对。e)应支持集中管理云服务使用者鉴别凭证。f)应支持云服务使用者鉴别凭证的机密性和完整性保护。g)应支持修改云服务使用者鉴别凭证前验证云服务使用者身份。h)应支持检测云服务使用者账户异常并通知云服务使用者。i)应支持多种云服务使用者身份鉴别方式。j)应支持云服务使用者身份鉴别警示信息，提示可能导致的后果。k)应支持云服务使用者自主选择主账号采用 2 种或 2 种以上组合的鉴别技术进行身份鉴别。l)应支持对接云服务使用者自建身份认证中心。增强要求：JR/T 0167202012应对云计算平台管理员及特权账号的权限进行管理， 包括限制特权账号的使用时间， 可授权特权账号的管理员账号无法使用特权账号的业务操作权限等。10.2运维管理基本要求：应保证远程运维通信的保密性和完整性， 使用的加密算法和密钥长度应符合国家密码管理部门及行业主管部门要求。扩展要求：a)云服务提供者管理员的运维操作权限应经过多级安全审批并固化命令级规则， 非固化操作实时审计告警。b)云服务提供者应仅能通过特定可审计可授权的设备进行运维管理，支持对运维人员的权限控制，记录所有活动日志。c)应对云端资源的访问和运维操作进行审计，支持会话过程重现。增强要求：无。10.3集中监控基本要求：a)应对云计算平台的设备、资源以及云服务等进行实时监控，应支持对关键指标进行告警。b)应对异常行为集中监控分析并告警。扩展要求：应集中监控服务质量，并可导出集中监控报告。增强要求：应支持远程监控的可视化展示。10.4集中审计基本要求：a)应将云计算平台内部系统时钟与国家权威时间源同步。b)应保证对云计算平台的操作均可生成审计报告。c)应汇集云计算平台所有的日志数据，进行集中审计，并可供第三方机构审计。扩展要求：a)应提供审计接口或支持第三方机构开展独立的全面安全审计的能力。b)应保证云服务提供者对云服务使用者系统和数据等资源的操作可被云服务使用者审计。增强要求：a)应提供安全审计产品或服务，对云计算平台上业务及服务进行安全审计。b)应支持统计分析海量审计数据。c)应支持攻击来源的追溯，对审计数据进行关联性分析和挖掘。10.5密钥管理基本要求：a)应保证密钥的安全存储和管理。b)应使用经国家密码管理机构认可的商用密码产品。c)应保证密钥长度符合国家密码管理部门及行业主管部门要求。JR/T 0167202013d)应支持数据加解密和密钥管理， 数据加解密、 数字签名等技术应符合国家密码管理部门及行业主管部门要求。扩展要求：应支持云服务使用者选择第三方密钥加解密数据， 密钥支持租户自管理、 云服务提供者管理和第三方机构管理。增强要求：a)云服务使用者与云计算平台交互业务时，应支持使用专用安全硬件数字证书（如 USB Key 等）。b)应支持密钥全生命周期统一管理。c)应支持密钥定期更换。d)应支持硬件安全模块实现密钥管理。10.6风险预警基本要求：a)应支持安全漏洞和威胁的识别。b)应支持评估云计算平台安全漏洞风险并完成修复。扩展要求：应支持评估云服务使用者在云计算平台上应用的安全漏洞风险并协助修复。增强要求：a)应收集并分析安全威胁信息。b)应支持预测威胁态势、脆弱性态势和运行态势。11安全技术管理要求11.1安全策略和管理制度11.1.1管理制度基本要求：a)应对安全管理活动中的主要管理内容建立安全管理制度。b)应对管理人员或操作人员执行的日常管理操作建立操作规程。扩展要求：应对安全管理活动中的各类管理内容建立安全管理制度。增强要求：无。11.1.2制定和发布基本要求：a)应指定或授权专门的部门或人员负责安全管理制度的制定。b)应通过正式、有效的方式发布安全管理制度，并进行版本控制。扩展要求：应形成由安全策略、管理制度、操作规程、记录表单等构成的全面信息安全管理制度体系。增强要求：无。JR/T 016720201411.1.3评审和修订基本要求：应定期论证和审定安全管理制度的合理性及适用性，修订存在不足或需要改进的安全管理制度。扩展要求：应建立信息安全管理制度体系持续改进机制。增强要求：无。11.2安全管理机构和人员11.2.1岗位设置基本要求：a)应设立信息安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义部门及各负责人的职责。b)应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位职责。c)应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权。扩展要求：无。增强要求：无。11.2.2人员配备基本要求：a)应配备一定数量的系统管理员、网络管理员、安全管理员等。b)应配备专职安全管理员，不可兼任。扩展要求：无。增强要求：a)关键事务岗位应配备多人共同管理。b)应审查管理员资质。11.2.3授权和审批基本要求：a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等。b)应针对系统变更、重要操作、物理访问和系统接入等事项执行审批程序。扩展要求：应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息。增强要求：无。11.2.4审核和检查基本要求：JR/T 0167202015a)应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份情况等。b)应在发生重大变更时开展全面安全检查， 检查内容包括现有安全技术措施的有效性， 安全配置与安全策略的一致性，安全管理制度的执行情况等。扩展要求：a)应定期进行全面安全检查， 检查内容包括现有安全技术措施的有效性、 安全配置与安全策略的一致性、安全管理制度的执行情况等。b)应制定安全检查表格，实施安全检查，汇总安全检查数据，形成安全检查报告，并将安全检查结果告知相关方。增强要求：无。11.3安全建设管理11.3.1安全方案设计基本要求：a)应根据云计算平台安全需求选择基本安全措施，依据风险分析的结果补充和调整安全措施。b)应论证和审定安全方案的合理性和正确性，经过批准后才能正式实施。扩展要求：a)应根据云计算平台承载业务重要程度、 云计算平台与平台之外的业务系统之间的关系， 进行安全整体规划和安全方案设计，设计内容应包含密码相关内容，并形成配套文件。b)应组织相关部门和有关安全专家论证和审定安全整体规划及其配套文件， 经过批准后才能正式实施。增强要求：无。11.3.2测试验收基本要求：a)应制定测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告或记录，报告记录形式包括但不限于电子文档、纸质文档等。b)应在软件开发生命周期各阶段进行安全测试， 并出具安全测试报告或记录， 报告记录形式包括但不限于电子文档、纸质文档等。c)应验证或评估安全措施的有效性。扩展要求：无。增强要求：无。11.3.3供应链管理基本要求：应确保供应链安全事件信息或威胁信息能够及时告知云服务使用者。扩展要求：a)应确保将供应商的重要变更及时告知云服务使用者， 并充分评估变更带来的安全风险， 采取有效措施控制风险。JR/T 0167202016b)应注明外包服务或采购产品对云服务安全性的影响。增强要求：a)与供应商签订的服务水平协议中的相关指标， 应不低于拟与客户所签订的服务水平协议中的相关指标。b)当变更供应商时，应对供应商变更带来的安全风险进行评估，采取有效措施控制风险。11.3.4安全资源管理基本要求：a)应指定专门的部门或人员定期维护各种设备（包括备份和冗余设备）、线路等 IT 基础资源。b)应对配套设施、软硬件维护作出规定，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等。扩展要求：a)应根据资产的重要程度和价值对资产进行标识管理，并选择相应的管理措施。b)应确保信息处理设备应经过审批才能带离机房或办公地点， 含有存储介质的设备带出工作环境时，对重要数据进行加密。c)含有存储介质的设备在报废或重用前， 应进行完全清除， 确保该设备上的敏感数据和授权软件无法被恢复重用。增强要求：无。11.3.5服务关闭基本要求：无。扩展要求：a)云服务使用者应与云服务提供者协商制定并执行退出计划。b)云服务使用者退出云计算平台时，云服务提供者应安全返还云计算平台的云服务使用者数据。c)云服务提供者应在约定时间内，完全清除云计算平台存储的云服务使用者数据和相关运行信息。d)云服务提供者应为云服务使用者信息迁移提供技术手段，并协助完成迁移。增强要求：在数据和业务系统迁移过程中， 应保证业务的可用性和连续性， 如采取原业务系统与新部署业务系统并行运行一段时间等措施。11.4安全运维管理11.4.1风险管理基本要求：应采取必要的措施识别安全风险，对发现的安全风险及时进行修补或评估可能的影响后进行修补。扩展要求：应定期开展安全测评，形成安全测评报告，并对发现的安全问题采取应对措施。增强要求：无。11.4.2变更管理JR/T 0167202017基本要求：应明确变更需求，变更前制定变更方案，变更方案经过审批后方可实施。扩展要求：a)应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实施过程。b)应建立中止变更并从失败变更中恢复的程序， 明确过程控制方法和人员职责， 必要时对恢复过程进行演练。c)对于可能会产生重大影响的变更应通知云服务使用者。d)云服务提供者在升级或变更前应制定回退方案并充分测试评估， 并就变更时间、 方式等内容与云服务使用者进行充分沟通，达成一致后再实施。增强要求：无。11.4.3监控管理基本要求：a)应确保信息系统的监控活动符合关于个人信息保护的相关政策法规。b)应制定相关策略，持续监控设备、资源、服务以及安全措施的有效性。扩展要求：云服务提供者应将安全措施有效性的监控结果定期提供给云服务使用者。增强要求：无。11.4.4业务连续性管理基本要求：a)应建立业务连续性组织架构，明确日常管理组织架构和应急处置组织架构。b)应定期开展业务影响分析、连续性风险评估。c)应定期开展业务连续性计划演练，检验应急预案的完整性、可操作性和有效性，验证业务连续性资源的可用性，提高运营中断事件的综合处置能力。d)应制定运营中断事件等级划分标准，根据事件影响范围、持续时间和损失程度定义事件等级，开展应急响应处置工作。扩展要求：a)应定期开展业务连续性管理审计工作。b)应建立业务连续性管理持续改进机制。增强要求：无。11.4.5应急响应基本要求：a)应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容。b)应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练。扩展要求：a)应按照国家和行业主管部门要求制定统一的应急预案框架， 具体包括启动预案的条件、 应急组织构成、应急资源保障、事后教育和培训等内容。b)应定期对原有的应急预案重新评估，修订完善。JR/T 0167202018c)云服务提供者应将应急预案提前告知云服务使用者。d)云服务提供者每年应至少开展 2 次应急演练，并滚动完善应急预案。增强要求：无。11.4.6审计管理基本要求：a)应详细记录运维日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容。b)应确保提供给云服务使用者审计数据的真实性和完整性。扩展要求：a)应指定专门的部门或人员对日志、监测和告警数据等进行分析、统计，及时发现可疑行为。b)应严格控制系统变更，变更过程中应保留不可更改的审计日志。c)云服务提供者应每年至少开展 2 次全面的安全审计， 可由内部实施或聘请独立的外部审计机构实施，并将审计意见、改进计划和改进结果在审计报告完成后及时交付给云服务使用者；审计报告应妥善留存，留存时间应遵循国家与行业主管部门相关规定。增强要求：无。12服务能力要求基本要求：无。扩展要求：a)应符合 GB/T 22239 和 JR/T 0071 中网络安全等级保护要求，且等级保护级别原则上应在第 4级（含）以上；金融监管部门另有规定的，依照其规定。b)应符合中华人民共和国电信条例 云计算服务安全评估办法 （国家互联网信息办公室 国家发展和改革委员会 工业和信息化部 财政部公告 2019 年第 2 号公布），