2024华为云安全白皮书.pdf

华为云安全白皮书华为云安全白皮书 文档版本文档版本 3.5 发布日期发布日期 2024-3-29 华为云计算技术有限公司华为云计算技术有限公司 华为云安全白皮书 目 录 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 ii 目目 录录 1 导读导读.1 2 云安全战略云安全战略.3 3 责任共担模型责任共担模型.6 3.1 华为云的安全责任.7 3.2 租户的安全责任.8 4 安全合规与隐私保护安全合规与隐私保护.10 4.1 安全合规与标准遵从.10 4.2 隐私保护.12 5 安全组织和人员安全组织和人员.13 5.1 安全组织.13 5.2 安全与隐私保护人员.13 5.3 内部审计人员.14 5.4 人力资源管理.14 5.4.1 安全意识教育.14 5.4.2 网络安全能力提升.15 5.4.3 重点岗位管理.15 5.5 安全违规问责.15 6 基础设施安全基础设施安全.17 6.1 物理与环境安全.17 6.1.1 物理安全.17 6.1.2 环境安全.18 6.2 网络安全.18 6.2.1 安全区域划分与隔离.19 6.2.2 业务平面划分与隔离.20 6.2.3 高级边界防护.20 6.3 平台安全.21 6.3.1 CPU 隔离.21 6.3.2 内存隔离.22 6.3.3 I/O 隔离.22 华为云安全白皮书 目 录 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 iii 6.4 API 应用安全.22 6.5 数据安全.23 6.5.1 访问隔离.23 6.5.2 传输安全.24 6.5.3 存储安全.24 6.5.4 数据删除与销毁.26 7 租户服务与租户安全租户服务与租户安全.28 7.1 计算.28 7.1.1 弹性云服务器（ECS）.28 7.1.2 镜像服务（IMS）.29 7.1.3 弹性伸缩服务(AS).30 7.1.4 专属主机服务(DeH).30 7.1.5 裸金属服务（BMS）.30 7.2 网络.30 7.2.1 虚拟私有云服务(VPC).30 7.2.2 弹性负载均衡服务（ELB）.33 7.2.3 NAT 网关（NAT）.35 7.2.4 云专线（DC）.35 7.2.5 终端节点（VPCEP）.36 7.2.6 虚拟专用网络（VPN）.36 7.3 容器.37 7.3.1 云容器引擎服务（CCE）.37 7.3.2 容器镜像服务（SWR）.38 7.4 存储.38 7.4.1 云硬盘服务（EVS）.38 7.4.2 弹性文件服务（SFS）.39 7.4.3 云备份服务（CBR）.40 7.4.4 对象存储服务（OBS）.40 7.4.5 数据快递服务（DES）.43 7.5 CDN 与智能边缘.43 7.5.1 内容分发网络（CDN）.43 7.6 数据库.44 7.6.1 关系型数据库服务.44 7.6.1.1 云数据库 RDS.44 7.6.1.2 云数据库 GaussDB(for MySQL).45 7.6.1.3 云数据库 GaussDB.46 7.6.2 非关系数据库服务.47 7.6.2.1 文档数据库服务（DDS）.47 7.6.2.2 云数据库 GeminiDB.48 华为云安全白皮书 目 录 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 iv 7.6.2.2.1 GeminiDB Mongo 接口.49 7.6.2.2.2 GeminiDB Redis 接口.49 7.6.2.2.3GeminiDB Influx 接口.49 7.6.2.2.4GeminiDB Cassandra 接口.49 7.6.3 数据复制服务.49 7.7 大数据.50 7.7.1 MapReduce 服务（MRS）.50 7.8 应用中间件.51 7.8.1 分布式消息服务（DMS）.51 7.8.2 分布式缓存服务（DCS）.52 7.8.3 API 网关服务（APIG）.53 7.8.4 微服务引擎（CSE）.53 7.9 企业应用.54 7.9.1 云桌面服务（Workspace）.54 7.9.2 云解析服务（DNS）.55 7.10 管理与监管.56 7.10.1 统一身份认证服务（IAM）.56 7.10.2 应用身份管理服务（OneAccess）.57 7.10.3 云监控服务（CES）.57 7.10.4 云审计服务（CTS）.58 7.10.5 企业项目管理服务（EPS）.59 7.10.6 标签管理服务（TMS）.59 7.10.7 消息通知服务（SMN）.60 7.10.8 组织(Organization).60 7.11 安全与合规.61 7.11.1 数据加密服务（DEW）.61 7.11.2 企业主机安全服务（HSS）.62 7.11.3 Web 应用防火墙服务（WAF）.63 7.11.4 数据库安全服务（DBSS）.64 7.11.5 云防火墙（CFW）.64 7.11.6 数据安全中心（DSC）.65 7.11.7 安全云脑（SecMaster）.66 7.11.8 DDoS 防护（AAD）.66 7.11.9 漏洞管理服务（CodeArts Inspector）.67 7.11.10 云堡垒机(CBH).67 7.11.11 云日志服务 LTS.68 7.12 AI 基础平台.69 7.12.1 AI 开发平台（ModelArts）.69 8 华为云工程安全华为云工程安全.71 华为云安全白皮书 目 录 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 v 8.1 DevOps 和 DevSecOps 流程.71 8.1.1 双轨制（Dual Path）机制.71 8.2 安全设计.72 8.3 安全编码和测试.72 8.4 第三方软件安全管理.73 8.5 配置与变更管理.73 8.6 上线安全审批.74 9 华为云运维运营安全华为云运维运营安全.75 9.1 O&M 账号运营安全.75 9.1.1 账号认证.75 9.1.2 权限管理.75 9.1.3 接入安全.76 9.2 漏洞管理.76 9.2.1 漏洞感知.77 9.2.2 漏洞响应和处理.77 9.2.3 漏洞披露.77 9.3 安全日志和事件管理.77 9.3.1 日志管理和审计.78 9.3.2 快速发现与快速定界.78 9.3.3 快速隔离与快速恢复.78 9.4 业务连续与灾难恢复.79 9.4.1 基础设施高可用.79 9.4.2 可用区之间灾备复制.79 9.4.3 业务连续性计划和测试.79 10 安全生态安全生态.81 10.1 安全生态体系.81 10.2 安全生态技术架构.84 10.3 安全生态特性.85 11 版本历史版本历史.86 华为云安全白皮书 1 导读 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 1 1 导读导读 2017 年初，华为云部（Cloud Business Unit,aka Cloud BU）正式成立，重新启程，开启华为云新时代。过去几年中，华为云与所有云服务供应商（CSP Cloud Service Provider）和客户一样，面临着层出不穷的云安全挑战，不断探索，收获颇多。华为云迎难而上，视挑战为机遇，恪守业务边界，携手生态伙伴，共同打造安全、可信的云服务，为客户业务赋能增值、保驾护航。华为云通过结合业界先进的云安全理念，华为长年积累的网络安全经验和优势以及在云安全领域的技术积累与运营实践，参考世界领先的 CSP 优秀安全实践、摸索出了一整套行之有效的云安全战略和实践。华为云已经构建起多维立体、纵深防御和合规遵从的基础设施架构，用以支撑并不断完善涵盖了 IaaS、PaaS 和 SaaS 等具有优良安全功能的常用云服务。在这背后，是华为云高度自治的扁平化组织，具备高度安全意识和能力的研发运维运营团队，先进的云服务 DevOps/DevSecOps1 流程，以及日益繁荣的云安全生态圈。华为云将一如既往，本着租户业务优先的原则，携手生态伙伴，不断发布高质量的云服务增值安全功能、高级云安全服务和安全咨询服务，切实保护租户利益，帮助租户持续扩大业务，提升华为云市场竞争力，实现用户、合作伙伴、华为云三者的长期共赢。藉此，华为云隆重推出华为云安全白皮书（简称“白皮书”），将华为云对云安全的丰富经验，分享给用户，分享给业界，以求相互了解，相互借鉴，共同推动云行业、云安全行业的开放与发展。本白皮书面向各行业、各地区的广大读者群：从租户、生态伙伴和社区到互联网用户 从大中小型企业客户到个人用户 从决策层、管理层到 IT、安全和隐私保护等云服务相关的技术岗位人员，以及其他相关岗位人员(主要包括营销、采购/合同、合规审计等云服务相关人员)。说明 1.DevOps 和 DevSecOps 目前尚没有很好的统一中文译名。DevOps 是随着云服务发展而由高科技公司的实践派而非理论派创造并逐渐成熟的从研发到运营的全线工程流程和工具链实践。由于 DevOps 需要支撑云服务和其他线上功能的持续集成持续部署（CI/CD Continuous Integration/Continuous Deployment），传统的瀑布流程和敏捷流程下的安全周期管理（SDL Security Development 华为云安全白皮书 1 导读 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 2 Lifecycle）大部分已不适应新的节奏。安全必须无缝嵌入并实现高度自动化，DevOps 也就自然而然地形成了称为 DevSecOps 的全新安全周期管理实践。通过华为对国内外业界主流云服务和其他线上服务公司的调研，一个不争的事实是这些公司已经越来越普遍地大范围采用 DevOps/DevSecOps 工程流程和工具链实践。将安全无缝嵌入的 DevOps/DevSecOps 非但不会削弱安全，反而通过高度自动化对安全有高效的提升。华为云安全白皮书 2 云安全战略 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 3 2 云安全战略云安全战略 随着电信网络和信息技术，尤其是云服务相关技术的不断演进与发展，网络安全和云安全面临的威胁和挑战将日益严重。网络安全和云安全已经成为多维度的全球性挑战，只有通过全球范围内技术厂商，供应商，客户，标准、政策与法律制定者之间的合作，才能在应对该挑战上取得积极显著的成效。我们必须共享知识和经验，务实合作，共同努力，减少技术被滥用所导致的不可预期风险。作为全球领先的信息和通信技术（ICT Information and Communication Technology）解决方案供应商，华为技术有限公司（以下简称“华为”）充分理解网络安全和云安全的重要性，并充分理解各国政府及客户对此的担忧与高度关注。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击 1，华为对安全问题的忧患意识也日益紧迫，高度重视在网络安全和云安全技术能力、合规及生态上的投入，并采取切实有效的措施，加速开发云安全技术和服务，提升公司云产品和云服务的安全性，提升云安全合规和生态建设，帮助客户规避和减少云安全风险，以赢得各利益相关方的信赖。华为认为，构建一个开放、透明、可视的多维全栈云安全框架，将有助于整个云服务产业健康持续发展，并将促进云技术创新。华为云秉承华为公司创始人任正非先生提出的“将公司对网络和业务安全性保障的责将公司对网络和业务安全性保障的责任置于公司的商业利益之上任置于公司的商业利益之上”。在安全至上的企业文化氛围中，华为云持续投入，不断汲取公司安全养分，脚踏实地，不断前行。华为云安全的历史可追溯到 2000 年华为安全测试实验室成立。从那时起，近 20 年来，华为持续不懈地构建自身安全能力，这些能力积累，渗透到了云安全服务研发的每个毛细血管中，构筑了华为云多维立体、全栈防护的安全体系：2003 年，推出业界首款基于网络处理器（NP Network Processor）的防火墙；2008 年，与赛门铁克（Symantec）合资成立华赛公司（Huawei-Symantec）安全产品线，专注安全领域；2011 年，成立安全能力中心，专攻研发安全能力；2012 年，华为网络安全产品国内市场占有率第一；2015 年，云安全解决方案及服务全面上线；2016 年，云安全全球化布局，密钥管理服务（KMS）和防 DDoS 攻击服务（Anti-DDoS）在德国、西班牙上线；2017 年，推出 DDoS 高流量防护（高防）、数据库防火墙等系列高增值安全服务；2018 年，推出专属加密服务（DHSM）。网络安全与隐私保护是数智世界发展的基石网络安全与隐私保护是数智世界发展的基石。华为云会坚定不移地在产品和服务中构华为云会坚定不移地在产品和服务中构建网络安全与隐私保护能力，自内向外打造竞争力，遵从适用的网络安全与隐私保护建网络安全与隐私保护能力，自内向外打造竞争力，遵从适用的网络安全与隐私保护法律法规，为客户提供安全可信、高质量的产品、解决方案和服务，助力客户实现网法律法规，为客户提供安全可信、高质量的产品、解决方案和服务，助力客户实现网络韧性，消减网络安全风险，保护用户隐私。络韧性，消减网络安全风险，保护用户隐私。华为云遵从所有适用的国家和地区的安全法规政策、国际网络安全和云安全标准，参考行业优秀实践。在此基础上，华为云从组织、流程、规范、技术、合规、生态和等方面建立并管理完善、高可信、可持续 华为云安全白皮书 2 云安全战略 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 4 的安全保障体系。华为云将与有关政府、客户及行业伙伴，以开放透明的方式，共同应对云安全挑战，全面满足云服务用户的安全需求。图2-1 华为云安全防护框架 在组织方面在组织方面，全球网络安全与隐私保护委员会（GSPC Global Security&Privacy Committee）作为华为公司的最高网络安全管理机构，负责决策和批准公司总体网络安全战略。全球网络安全与用户隐私保护官（GSPO Global Security&Privacy Officer）是 GSPC 的重要成员，负责领导团队制定安全战略，统一规划、管理和监督研发、供应链、市场与销售、工程交付及技术服务等相关体系的安全组织和业务，确保网络安全保障体系在各体系、各区域、全流程的实施，积极推动与政府、客户、合作伙伴、员工等各利益相关方的沟通。华为云建立并完善其适合云服务持续集成、持续部署的扁平化组织。在业务流程在业务流程方面方面，安全保障活动融入研发、供应链、市场与销售、工程交付及技术服务等各主业务流程中。安全作为质量管理体系的基本要求，通过管理制度和技术规范来确保其有效实施。华为通过内部审计和接受各国政府安全部门、第三方独立机构的安全认证和审计等来监督和改进各项业务流程。2004 年起，华为的安全管理体系通过了 BS7799-2/ISO27001 认证。华为云在公司级的业务流程基础上，大胆地将已在华为全面采用的安全周期管理（SDL Security Development Lifecycle）集成于当前适合云服务的 DevOps 工程流程和技术能力，形成有华为特色的 DevSecOps 方法论和工具链，既支撑云业务的敏捷上线，又确保研发部署的全线安全质量。在人员管理方面在人员管理方面，华为云严格执行华为长期以来行之有效的人事和人员管理机制。华为全体员工、合作伙伴及外部顾问都必须遵从公司相关安全政策，接受安全培训，使安全理念融入整个组织之中。华为对积极执行网络安全保障政策的员工给予奖励，对违反的员工给予处罚，违反相关法律法规的员工，还将依法承担法律责任。在云安全技术能力方面在云安全技术能力方面，依托华为自身强大的安全研发能力，以数据保护为核心，开发并采用世界领先的云安全技术，致力于实现高可靠、智能化的云安全防护和自动化的云安全运维运营体系。同时，通过对现网安全态势的大数据分析，有目的地识别出华为云存在的重要安全风险、威胁和攻击，并采取防范、削减和 华为云安全白皮书 2 云安全战略 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 5 解决措施；通过多维、立体、完善的云安全防御、监控、分析和响应等技术体系支撑云服务运维运营安全，实现对云安全风险、威胁和攻击的快速发现、快速隔离和快速恢复，让租户受益于华为云先进技术带来的便捷、安全与业务增值。在云安全合规方面在云安全合规方面，面向提供云服务的地区，华为云积极与监管机构对话，理解他们的担忧和要求，贡献华为云的知识和经验，不断巩固华为在云技术、云服务和云安全方面与相关法律法规的契合度。同时，华为也将法律法规的分析结果共享给租户，避免信息缺失导致的违规风险，通过合同明确双方的安全职责。华为一方面通过跨行业、跨区域的云安全认证满足监管机构要求，另一方面通过获得重点行业、重点区域所要求的安全认证，建立并巩固华为云业务的客户信赖度，最终在法律法规制定者、管理者、租户三者间共建安全的云环境。在云安全生态方面在云安全生态方面，华为云认识到单靠一个公司、一个组织的力量不足以应对日益复杂的云安全威胁与风险。因此，华为云诚邀全球所有安全伙伴，携手共建云安全商业和技术生态体系，共同向租户提供安全保障与服务。华为云的云市场（Marketplace）欢迎具备技术竞争力的安全技术企业、组织和个人发布云安全服务；同时，华为云诚邀云业务商业合作伙伴，利用自身对云服务云安全行业的独到经验和见解，组合安全服务，形成行业级云安全解决方案。华为云愿意与所有志同道合的伙伴分享云安全市场。同时，华为积极、持续地参与着国内外云安全组织和电信标准组织的安全标准制定，努力保障全球客户的安全，为行业的健康发展作出应有的贡献。总之，华为愿意以开放透明的心态，与各国政府、客户、行业组织和行业伙伴开展各种形式的安全交流与合作，共同应对全球云安全的威胁与挑战！华为云安全白皮书 3 责任共担模型 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 6 3 责任共担模型责任共担模型 云安全的重点是保证所有应用和服务的高性能、稳定和安全，不会有宕机的风险。这包括从内部数据中心运维到面向客户的 IaaS、PaaS 和 SaaS。然而，运行云服务的数据中心与面向传统 IT 的数据中心有很大不同。在整体安全设计和实践方面，云服务数据中心比传统 IT 数据中心更重视为租户提供全面、多维度、定制化、组合式的安全和隐私保护功能和配置，涵盖基础设施、平台、应用和数据安全。同时，华为云安全服务支持根据每个租户的安全需求，定制各种高级安全设置。这些安全服务与多层架构的安全特性、设置和控制深度集成，多个孤岛技术的无缝编排，以及日益自动化的云安全运维。在接下来的章节中，我们将介绍华为云如何在研发和运维过程中坚持安全最佳实践的同时，实现先进的云安全体系，本章介绍华为云服务的责任共担模式。华为云根据业界广泛的实践对模型进行了定义，如下图所示。图3-1 责任共担模型 绿色部分由华为云负责，蓝色部分由租户负责。华为云负责提供安全的云服务，租户负责云服务的内部安全和安全使用。数据安全：对租户在华为云中的业务数据进行安全管理，包括数据完整性认证、加密、访问控制等。应用安全：对华为云中支撑运维和用户业务的应用系统进行安全管理，包括应用的设计、开发、发布、配置和使用。华为云安全白皮书 3 责任共担模型 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 7 平台安全：华为云微服务、管理、中间件等平台的安全管理，包括设计、开发、发布、配置、使用等。基础业务安全：华为云提供的计算、网络、存储的安全管理，包括云计算、存储、数据库等业务的底层管理（如虚拟化控制层）和使用管理（如虚拟机管理），虚拟网络、负载均衡、安全网关、VPN、专线等管理。物理基础设施安全：华为云区域、可用区、终端的机房和环境安全管理，物理服务器和网络设备的管理。华为云主要负责开发和运营其数据中心的物理基础设施，提供的 IaaS、PaaS 和 SaaS 服务，以及各种服务的内置安全功能。华为云除了提供跨层身份认证（IAM）功能外，还负责构建纵深防御的多层防护体系，覆盖物理层、基础设施层、平台层、应用层和数据层。同时，还能保证运维的安全。租户在华为云上订购的虚拟网络、平台、应用、数据、管理、安全等云服务，主要负责定制配置和运营。包括对华为云服务的定制化，以及租户在华为云上部署的任何平台、应用和 IAM 服务的运维。租户还负责自定义虚拟网络层、平台层、应用层、数据层和跨层 IAM 功能的安全设置，以及租户的运维安全和有效的用户身份管理。3.1 华为云的安全责任 华为云的安全责任在于保障其所提供的 IaaS、PaaS 和 SaaS 各类各项云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不但包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从（第 4.1 章节有专门介绍，在此不赘述）。华为云一方面确保各项云技术的安全开发、配置和部署；另一方面，华为云负责所提供云服务的运维运营安全，例如，对安全事件实现快速发现、快速隔离、快速响应，确保云服务的快速恢复。同时采用适合云服务的漏洞管理机制，对云服务安全漏洞及时应急响应，保证适合 CSP 运维周期的快速发布和不影响租户服务的持续部署，包括不断优化云产品默认安全配置、补丁装载前置于研发阶段和灵活简化安全补丁部署周期等措施。另外，华为云的安全责任还表现在开发有强大市场竞争力、为华为云租户业务增值的云安全服务。华为云将其基础设施的安全与隐私保护视为运维运营安全的重中之重。基础设施主要包括支撑云服务的物理环境，华为自研的软硬件，以及运维运营包括计算、存储、网络、数据库、平台、应用、身份管理和高级安全服务等各项云服务的系统设施。同时，华为云深度集成第三方安全技术或服务，并负责对其进行安全运维。华为云还负责其支撑的各项云服务的自身安全配置和版本维护。华为云对租户数据提供机密性、完整性、可用性、持久性、认证、授权、以及不可否认性等方面的全面数据保护功能，并对相关功能的安全性负责。但是，华为云只是租户数据托管者，租户对其数据拥有所有权和控制权。华为云绝不允许运维运营人员在未经授权的情况下访问租户数据。华为云关注内外部合规要求的变化，负责遵从华为云服务所必需的安全法律法规，开展所服务行业的安全标准评估，并且向租户分享我们的合规实践，保持应有的透明度。华为云携手云安全商业合作伙伴向租户提供咨询服务，例如协助租户对虚拟网络、虚拟机（包括虚拟主机和访客虚拟机）进行安全配置；对系统和数据库进行 华为云安全白皮书 3 责任共担模型 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 8 安全补丁管理；对虚拟网络防火墙、API 网关（API GW API Gateway）和高级安全服务进行定制配置；以及协助租户进行 DoS/DDoS 攻击防范演练、租户安全事件的应急响应及灾难恢复演练。3.2 租户的安全责任 华为云租户的安全责任在于对使用的 IaaS、PaaS 和 SaaS 类各项云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API 网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。租户的安全责任细节由最终所使用的云服务来决定，具体到租户负责执行什么默认和定制的安全配置。对于华为云的各项云服务，华为云只提供租户执行特定安全任务所需的资源、功能和性能，而租户需负责各项租户可控资源的安全配置工作。租户负责部署配置：（1）其虚拟网络的防火墙，网关和高级安全服务等的策略配置；（2）租户的虚拟网络、虚拟主机和访客虚拟机和容器等云服务所必需的安全配置和管理任务（包括更新和安全补丁）、容器安全管理（包括容器集群、节点和容器的安全配置、访问控制安全配置等）、大数据分析等平台服务的租户配置；（3）其他各项租户租用的云服务内部的安全配置等；（4）其自行部署在华为云的任何应用程序软件或实用程序进行安全管理。在配置云服务时，租户负责各项安全配置，在部署到生产环境前应做好充分测试，以免对其应用和业务造成负面影响。对大多数云服务的安全性而言，租户只需配置账户对资源的访问控制并妥当保管账户凭证。少数云服务需要执行其他任务，才能达到应有的安全性。各项监控管理服务和高级安全服务具有较多安全配置选项，租户可寻求华为云和其合作伙伴的技术支持，以确保安全性。使用 MapReduce 服务（MRS）时租户应负责：（1）管理其购买的 MRS 大数据集群的弹性 IP、虚拟网络防火墙等策略配置；（2）配置访问控制策略，如弹性 IP 绑定的端口仅对信任的网络或主机开放，避免大数据集群直接暴露在互联网；（3）负责大数据集群的用户管理、大数据组件的安全配置，并且妥当保管相关的账户凭证；（4）以及对其部署在大数据集群上的应用进行安全管理。使用数据库服务时租户应负责：数据库引擎的生命周期管理及数据库安全管理，包括（1）缺省使用最新的实例版本、及时根据官网提示和漏洞通告升级版本等；（2）梳理资产分类及制定数据库实例防护策略，如数据库主备及集群设计、数据灾备及恢复策略、VPC 及安全组配置、互联网访问配置、访问通道加密配置、数据库认证和鉴权配置、数据库审计配置以及其他安全配置。无论使用哪一项华为云服务，租户始终是其数据的所有者和控制者。租户负责各项具体的数据安全配置，对其保密性、完整性、可用性以及数据访问的身份验证和鉴权进行有效保障。在使用统一身份认证服务（IAM）和数据加密服务（DEW）时，租户负责妥善保管其自行配置的服务登录账户、密码和密钥，并负责执行密码密钥设定、更新和重设规则的业界优秀实践。租户负责设置个人账户和多因子验证(MFA)，规范使用安全传输协议与华为云资源通信，并且设置用户活动日志记录用于监测和审计。租户负责对其自行部署于华为云上、不属于华为云提供的各项应用和服务所必需的安全法律法规，并自行开展所服务行业的安全标准评估。华为云提供安全基线 华为云安全白皮书 3 责任共担模型 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 9 配置指南（https:/res-static.hc- 4 安全合规与隐私保护 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 10 4 安全合规与隐私保护安全合规与隐私保护 4.1 安全合规与标准遵从 为了实现全面高效的安全与隐私保护合规治理，华为云以业界 16 个主流全球安全标准为参考基础，同时融合了三十年安全运营管理经验和技术积累，打造了云原生安全治理框架服务网络安全与合规标准（Cloud Service Cybersecurity&Compliance Standard,简称“3CS”）。“3CS”体系的基础理念是基于云服务各业务模块的流程，划分相对应的安全控制领域，使安全控制要求得以嵌入到云服务管理流程中，同步确保安全管理责任清晰明确、可度量、可追溯。“3CS”体系帮助华为云充分利用了华为云全球合规治理经验，大大提升了获得法规及行业标准认证的效率，从而实现全面高效的安全治理，持续提升云服务可信能力。图4-1 3CS-云服务网络安全与合规标准框架 华为云充分发挥其基于“3CS”的强大合规治理能力，一如既往地确保其基础设施和云服务通过业界权威的独立第三方安全组织的测评及认证，仅向客户提供安全合规的基础设施与云服务。截止目前，华为云共获得了 100+个国内外权威安全合规认证。这些安全测评和认证向客户展示了华为云在策略、流程、组织、技术等多方面的安全风险 华为云安全白皮书 4 安全合规与隐私保护 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 11 管控措施，使得客户能够深入了解华为云对保障云上业务与用户数据安全方面的投入以及有效管控能力。以华为云通过的云安全联盟 CSA STAR 为例（CSA Cloud Security Alliance，STAR Security，Trust&Assurance Registry），该认证在 ISO/IEC 27001 的基础上，增加了云安全控制矩阵（CCM Cloud Control Matrix）和其他安全要求，涵盖了风险治理、数据安全、应用安全、基础设施安全、开发和设计等 16 个控制领域。取得CSA STAR 标志着华为云的运营安全管理和技术能力获得了国际权威的认可，其安全合规性已处于世界领先水平。华为云将基于安全责任共担模型，持续主动的构建并提升包括物理环境、网络、平台等各层基础设施与云服务的安全合规能力，全面保障用户业务与数据的安全与合规。目前，华为云部分标准类认证/鉴证示例：ISO27001:2022 ISO27017:2015 ISO27018:2019 TL 9000&ISO 9001 ISO20000-1:2018 ISO22301:2019 CSA STAR 认证 ISO27701:2019 BS 10012:2017 ISO 29151:2017 PCI DSS 1 PCI 3DS ISO 27799:2016 ISO 27034 SOC 审计报告 关于更多华为云的安全合规信息以及获取相关合规证书，可参见华为云官网“信任中心-合规中心”另外，华为云主动识别并遵从业界优秀安全实践。例如，华为云参考互联网安全中心（CIS Center of Internet Security）安全基线并将其融入华为云服务 DevSecOps 流程。CIS 安全基线是一套用于网络系统安全配置和操作的业界优秀实践，覆盖技术（软件、硬件）、流程（系统和网络管理）、人员（最终用户和管理行为），标志着华为云在安全合规与标准遵从上一如既往地与业界看齐。说明 1.PCI DSS(Payment Card Industry Data Security Standard)即支付卡行业数据安全标准，对使用主要支付卡品牌执行信用卡和现金卡收付功能的组织提供信息安全标准。华为云安全白皮书 4 安全合规与隐私保护 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 12 4.2 隐私保护 华为云秉承公司以网络安全和隐私保护为最高纲领，以国内外隐私保护的法律法规为基石，依托于华为公司的隐私保护体系，借鉴业界广泛认可的优秀实践，已形成适合华为云的隐私保护体系。华为云投入大量的专业人员和资源支撑新技术的研究和应用以及保障隐私保护体系的有效运转，确保华为云的隐私保护处于行业领先的位置，实现华为云隐私保护的目标：遵守严格的服务边界，保护客户个人数据安全，助力客户实现隐私保护。华为云建立完善、规范和统一隐私保护体系确保云平台的隐私保护得以实现，并帮助客户实施隐私保护。华为云制定隐私保护七大原则（合法、正当、透明，目的限制，数据最小化，准确性，存储期限最小化，完整性与保密性，可归责），同时采用业界认可和先进的理念 PbD1（Privacy by Design）作为指导，结合华为云实际情况形成华为云隐私保护理念。隐私保护理念广泛应用在华为云的组织和人员管理、云平台个人数据安全管理以及为客户提供的隐私服务等各个方面。同时，华为云使用 PIA2（Privacy Impact Assessment）识别隐私风险并采取恰当的方式消除或降低风险。华为云尊重用户的隐私权利，在官网明显处提供清晰的隐私政策声明以及客户反馈通道，帮助客户了解华为云隐私保护的信息。华为云研究团队同时致力研发各类隐私增强技术（PET Privacy Enhancing Technology），积累隐私保护工程技术能力，以满足客户不同需要实施隐私保护。华为云现已拥有的一系列 PET，包括等价类匿名、差分隐私、防跟踪技术、区块链私人支付以及隐私保存计算等。更多关于华为云隐私保护的政策和表述，可以查阅华为云隐私保护白皮书和华为云的官方网站。说明 1.最早作为针对产品研发周期隐私保护的方法。经过近几年的发展，逐渐演变成隐私保护的管理理念。PbD 提倡全面、提前、主动将隐私保护融入业务和各项活动中，帮助组织在隐私保护中取得主动地位。2.隐私影响评估作为业界通用的隐私评估与设计工具被广泛使用和认可。PIA 帮助组织识别并减少业务的隐私风险，识别和最小化潜在隐私风险的过程 华为云安全白皮书 5 安全组织和人员 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 13 5 安全组织和人员安全组织和人员 5.1 安全组织 华为把网络安全作为公司重要战略之一，通过自上而下的治理结构来实现。在组织方面，GSPC 作为最高网络安全管理机构，决策和批准公司总体网络安全战略。GSPO 及其办公室负责制定和执行华为端到端网络安全保障体系。GSPO 直接向公司 CEO 汇报。秉承华为网络安全战略和规范，华为云安全团队对本领域安全工作进行自主规划和管理。全面实现云服务业务和云安全业务的研发运维运营组织合一，组织结构趋于扁平化，以便适应云服务必需的 DevOps/DevSecOps 流程。扁平化的组织结构和适应云服务的流程一方面满足云服务快速持续集成、交付与部署的进度要求，另一方面保证云服务达到必需的安全质量标准，有效控制安全风险。依托云服务安全工程能力、云安全服务与解决方案的设计和开发、云服务安全运维运营等职能，构建华为云服务的安全合规遵从和安全运维运营能力，切实保障华为云租户利益。基于云安全对华为云的特殊重要性，云安全团队直接向华为云总裁汇报。5.2 安全与隐私保护人员 华为的安全技术团队包括全球各地业界优秀的信息安全、产品安全、应用安全、系统安全、网络安全、云服务安全、运维运营安全、隐私保护等方面的专家专才。华为云安全团队的主要职责如下：开发并执行云服务 DevOps/DevSecOps 流程和云安全审计流程，开发推广全流程安全工具链；积极实施安全质量保证和安全评估，开展内部和第三方渗透测试和安全评估，监控、排查并解决安全威胁；构建、开发、运维运营华为云基础设施安全防护体系，商务和 IT 应用以及对数据和知识产权的安全管控和隐私保护；构建、开发、运维运营华为云的 IaaS、PaaS 和 SaaS 各类各项服务的安全功能和整体云安全解决方案；遵从各行业、各区域、各国政府的数据隐私保护法律法规要求，倡导云技术、云服务的隐私保护优秀实践，推动发布符合隐私保护标准的云技术、云服务；制定和发展可持续云安全技术及业务生态。华为云安全白皮书 5 安全组织和人员 文档版本 3.5(2024-03-29)版权所有 华为云计算技术有限公司 14 5.3 内部审计人员 华为内部审计团队直接向董事会和公司高层管理者汇报，严格的审计活动在推动网络安全流程和标准落地，保障结果交付上起着关键的作用。华为建立了专门的安全审计团队，审查全球安全法律法规及公司内部安全要求的遵从情况。审计团队每年投入 10+人力对全球范围运营的华为云至少开展 1 次，为期 2 个月的审计，重点关注华为云在法律和流程遵从、业务目标达成、决策信息的可靠性、安全运维和安全运营上的风险。审计结果向董事会和公司高层管理者汇报，保证发现的问题得到解决并最终闭环。5.4 人力资源管理 华为云安全的人力资源管理框架和公司的整体人力资源管理框架一致，都是建立在法律基础之上。云安全对 HR 的诉求主要是保证我们的员工背景和资历适合华为云业务的需要。员工行为符合所有法律、政策、流程以及华为商业行为准则的要求。员工有履行其职责必备的知识、技能和经验。整体模型如下：（此模型较为简明，故不赘述）图5-1 华为云安全融入人力资源流程 5.4.1 安全意识教育 为了提升全员的网络安全意识，规避网络安全违规风险，保证业务的正常运营，华为从意识教育普及、宣传活动开展、BCG 及承诺书签署三个方面开展安全意识教育：意