文 | 中國電子技術(shù)標準化研究院 朱雪峰 胡影 王秉政

當前，云計算服務(wù)在經(jīng)濟發(fā)展中深度融合應(yīng)用，被黨政機關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運營者以及各行業(yè)有關(guān)單位采購和使用。政務(wù)數(shù)據(jù)、金融數(shù)據(jù)、電子數(shù)據(jù)、醫(yī)療數(shù)據(jù)等各種類型數(shù)據(jù)逐步在云平臺上部署。云計算服務(wù)借助自身性價比高、靈活性強、實時監(jiān)控、及時發(fā)現(xiàn)等特點，確保數(shù)據(jù)上云后的使用效率、管理能力、安全保障等方面得到進一步提升。與此同時，存在一系列云平臺特有的數(shù)據(jù)安全問題數(shù)據(jù)安全問題，如數(shù)據(jù)安全責(zé)任邊界劃分不清、敏感數(shù)據(jù)和個人信息未進行專門保護、大量數(shù)據(jù)傳輸存儲等關(guān)鍵環(huán)節(jié)未加密，以及未經(jīng)云服務(wù)用戶同意處理云平臺數(shù)據(jù)等問題突出。

一、云計算服務(wù)數(shù)據(jù)安全風(fēng)險

云平臺上承載了大量關(guān)系國計民生的業(yè)務(wù)系統(tǒng)和數(shù)據(jù)，如果數(shù)據(jù)安全管理不到位，技術(shù)防護措施不嚴謹，將可能產(chǎn)生重大的數(shù)據(jù)安全風(fēng)險，直接影響國家安全和社會生產(chǎn)生活有序開展。

（一）云計算服務(wù)數(shù)據(jù)安全責(zé)任邊界劃分不清，給數(shù)據(jù)安全管理帶來挑戰(zhàn)云計算服務(wù)主要涉及云計算服務(wù)提供方、云計算服務(wù)用戶以及為云平臺提供產(chǎn)品、服務(wù)的第三方供應(yīng)商等角色，平臺上收集存儲了用戶上云的業(yè)務(wù)數(shù)據(jù)、生產(chǎn)數(shù)據(jù)，提供方依托云平臺產(chǎn)生的日志、系統(tǒng)、操作、配置等數(shù)據(jù)。服務(wù)商、用戶甚至第三方在特定場景下均會接觸、處理用戶數(shù)據(jù)、平臺數(shù)據(jù)，責(zé)任權(quán)屬如何劃分直接關(guān)系到云上數(shù)據(jù)安全。在調(diào)研中發(fā)現(xiàn)，部分用戶認為數(shù)據(jù)上云后的安全應(yīng)該由服務(wù)商負責(zé)，部分服務(wù)商認為平臺只需要提供基礎(chǔ)的云安全環(huán)境，用戶應(yīng)該對其數(shù)據(jù)負責(zé)，同時在云計算服務(wù)合同中也未對雙方以及第三方責(zé)任進行明確規(guī)定，存在數(shù)據(jù)安全責(zé)任空白。

（二）云平臺自身存在脆弱性，給數(shù)據(jù)安全防護提出更高要求云平臺依賴于供應(yīng)鏈中的多個組件和服務(wù)，如硬件、軟件、網(wǎng)絡(luò)等，供應(yīng)鏈中的任何環(huán)節(jié)存在漏洞或惡意行為，都可能直接威脅到云平臺的安全性，特別是云平臺一些關(guān)鍵設(shè)備和組件可能依賴外國供應(yīng)商，這些供應(yīng)商可能受到所在國法律的影響，存在供應(yīng)鏈中斷的風(fēng)險。云平臺通?；趶?fù)雜的技術(shù)堆棧構(gòu)建，涉及大量的組件、服務(wù)和交互，這種復(fù)雜性增加了安全漏洞和錯誤配置的可能性，使云平臺更容易受到攻擊。身份驗證和訪問控制是云平臺安全的關(guān)鍵環(huán)節(jié)，部分平臺身份驗證機制不完善，或者訪問控制策略配置不當，可能導(dǎo)致未經(jīng)授權(quán)的訪問和數(shù)據(jù)泄露。IBM 發(fā)布的《云威脅形勢報告》顯示，2023 年新增了 632 個新的云相關(guān)安全漏洞，相比一年前增加了 194%，主要原因在于云環(huán)境中使用的應(yīng)用程序和服務(wù)數(shù)量的不斷增加，如 Log4j 漏洞仍有被濫用跡象。
（三）云平臺數(shù)據(jù)安全管理技術(shù)手段不足，數(shù)據(jù)泄露風(fēng)險高企部分云平臺數(shù)據(jù)傳輸和共享過程所使用的加密機制存在缺陷和不足，若加密算法存在漏洞或密鑰管理不當，可能導(dǎo)致數(shù)據(jù)泄露和損壞。當前，云平臺數(shù)據(jù)分類分級工具技術(shù)能力不足，對重要數(shù)據(jù)、個人信息未進行標注，并且對非結(jié)構(gòu)化文件標注不全且不及時，缺乏對云上重要數(shù)據(jù)、個人信息進行專門的保護。在云數(shù)據(jù)遷移過程中，部分數(shù)據(jù)遷移不徹底，備份數(shù)據(jù)得不到合理處置，導(dǎo)致數(shù)據(jù)泄露。一些云平臺存在隨意收集、違法獲取、過度使用用戶個人信息，侵害了公民個人信息權(quán)益。云平臺針對涉及數(shù)據(jù)出境的場景梳理不全面、有遺漏，未建立數(shù)據(jù)出境安全審核機制，數(shù)據(jù)出境安全風(fēng)險凸顯。

二、國內(nèi)外云計算服務(wù)數(shù)據(jù)安全相關(guān)政策法規(guī)

隨著云計算技術(shù)和產(chǎn)業(yè)的不斷發(fā)展，很多國家和地區(qū)紛紛制定云計算服務(wù)數(shù)據(jù)安全相關(guān)法律法規(guī)和政策標準，以推動云計算的健康有序發(fā)展，在云上數(shù)據(jù)責(zé)任權(quán)屬、云上數(shù)據(jù)安全監(jiān)管、云服務(wù)商安全能力等方面進行探索和實踐。

（一）歐盟高度重視云平臺數(shù)據(jù)安全問題

2018 年，歐盟發(fā)布《通用數(shù)據(jù)保護條例》（GDPR）（以下簡稱《條例》），對云平臺進行了相應(yīng)的規(guī)制?！稐l例》要求云服務(wù)提供商必須采取適當?shù)募夹g(shù)和組織措施來確保數(shù)據(jù)的安全，包括數(shù)據(jù)加密、匿名化、訪問控制等；同時，《條例》強調(diào)數(shù)據(jù)主體的權(quán)益，如知情權(quán)、訪問權(quán)、更正權(quán)、刪除權(quán)等，云服務(wù)提供商需要確保這些權(quán)益得到保障?！稓W洲云計算戰(zhàn)略》則是一個更廣泛的政策文件，它提出了歐洲在云計算領(lǐng)域的發(fā)展目標和策略，包括促進云計算創(chuàng)新、提高云服務(wù)的安全性和可信度、保護用戶數(shù)據(jù)等；同時，推動建立透明的認證和評估機制，讓用戶能夠信任和選擇符合高標準的云服務(wù)提供商。

（二）美國通過政策文件和技術(shù)指南規(guī)制云計算數(shù)據(jù)安全

早在 2011 年，美國就啟動了聯(lián)邦云計算風(fēng)險與授權(quán)管理項目（FedRAMP），規(guī)定只有中、低安全風(fēng)險的系統(tǒng)和數(shù)據(jù)才能遷移上云，并發(fā)布了中、低影響級別的安全控制基線。隨著對云安全信心的提升，云服務(wù)應(yīng)用范圍擴大到涉密系統(tǒng)和敏感信息，2016 年聯(lián)邦云計算風(fēng)險與授權(quán)管理項目提出了高影響級別的安全控制基線。強調(diào)云計算實施的安全性和透明度，并要求建立相應(yīng)的安全管理制度和應(yīng)急管理制度，以確保云平臺的正常運作和數(shù)據(jù)安全。2022 年 1 月，美國白宮發(fā)布《加強國家安全、國防部和情報系統(tǒng)網(wǎng)絡(luò)安全》，明確要求構(gòu)建國家安全系統(tǒng)云技術(shù)網(wǎng)絡(luò)安全能力，要求國家安全系統(tǒng)委員會制定并發(fā)布與國家安全系統(tǒng)委員會云遷移和運營相關(guān)的最低安全標準和控制指南。同年 3 月，美國國務(wù)院情報研究局發(fā)布《國務(wù)院情報研究局網(wǎng)絡(luò)安全戰(zhàn)略》，強調(diào)加快云計算環(huán)境遷移，改進網(wǎng)絡(luò)安全風(fēng)險管理。2022 年美國聯(lián)邦網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局還發(fā)布一系列技術(shù)指南，包括《安全云業(yè)務(wù)應(yīng)用程序技術(shù)參考框架》《可信互聯(lián)網(wǎng)連接 3.0：云計算用例》等，加強云計算環(huán)境下的安全能力，確保云計算環(huán)境下的數(shù)據(jù)安全。

（三）我國在云計算數(shù)據(jù)安全的頂層設(shè)計和制度設(shè)計不斷完善

我國已發(fā)布一系列云計算數(shù)據(jù)安全相關(guān)的政策法規(guī)和標準指南，這些文件對云計算服務(wù)商和云計算用戶都提出了明確的要求，并重點關(guān)注云安全監(jiān)管和評估等方面。

1. 政策法規(guī)層面

2014 年 12 月，中央網(wǎng)信辦發(fā)布《關(guān)于加強黨政部門云計算服務(wù)網(wǎng)絡(luò)安全管理的意見》，明確提出了黨政部門提供給服務(wù)商的數(shù)據(jù)、設(shè)備等資源，以及云計算平臺上黨政業(yè)務(wù)系統(tǒng)運行過程中收集、產(chǎn)生、存儲的數(shù)據(jù)和文檔等資源屬黨政部門所有。服務(wù)商應(yīng)保障黨政部門對這些資源的訪問、利用、支配，未經(jīng)黨政部門授權(quán)，不得訪問、修改、披露、利用、轉(zhuǎn)讓、銷毀黨政部門數(shù)據(jù)；在服務(wù)合同終止時，應(yīng)按要求做好數(shù)據(jù)、文檔等資源的移交和清除工作。2019 年 7 月，國家互聯(lián)網(wǎng)信息辦公室、國家發(fā)展和改革委員會、工業(yè)和信息化部和財政部聯(lián)合發(fā)布了《云計算服務(wù)安全評估辦法》，該《辦法》明確了云計算服務(wù)安全評估的重點，包括對云服務(wù)商人員背景及穩(wěn)定性的評估，特別是能夠訪問客戶數(shù)據(jù)、能夠收集相關(guān)元數(shù)據(jù)的人員；客戶遷移數(shù)據(jù)的可行性和便捷性等要求。通過這些評估，旨在提高黨政機關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運營者在采購和使用云計算服務(wù)的安全可控水平，降低采購和使用云計算服務(wù)帶來的數(shù)據(jù)安全風(fēng)險。

2. 標準指南層面

目前，國家已發(fā)布云計算安全相關(guān)標準共 5 項，包括《云計算服務(wù)安全指南》《云計算服務(wù)安全能力要求》《云計算安全參考架構(gòu)》《云計算服務(wù)安全能力評估方法》《云計算服務(wù)運行監(jiān)管框架》，每項標準均對數(shù)據(jù)安全提出了不同層面的要求。

一是《信息安全技術(shù) 云計算服務(wù)安全指南》（GB/T 31167-2023）在 2014 版標準的基礎(chǔ)上進行了修訂，提出了客戶采用云計算服務(wù)的安全管理基本原則，給出了采用云計算服務(wù)的生命周期各階段的安全管理和技術(shù)措施，提出了云計算服務(wù)安全管理原則和相關(guān)責(zé)任劃分，標準針對數(shù)據(jù)移交范圍、數(shù)據(jù)完整性驗證、數(shù)據(jù)安全刪除等方面對云服務(wù)商提出了相關(guān)要求。

二是《信息安全技術(shù) 云計算服務(wù)安全能力要求》（GB/T 31168-2023）在 2014 版標準的基礎(chǔ)上進行了修訂，規(guī)定了云服務(wù)商提供云計算服務(wù)時應(yīng)具備的安全能力，適用于對云計算服務(wù)能力的建設(shè)、監(jiān)督、管理和評估，標準設(shè)置專章“數(shù)據(jù)安全保護”，從通用數(shù)據(jù)安全、媒體訪問和使用、剩余信息保護、數(shù)據(jù)使用保護、數(shù)據(jù)共享保護、數(shù)據(jù)遷移保護等方面提出了數(shù)據(jù)加密、數(shù)據(jù)備份、數(shù)據(jù)脫敏、數(shù)據(jù)防泄漏、數(shù)據(jù)防篡改等要求。

三是《信息安全技術(shù) 云計算安全參考架構(gòu)》（GB/T 35279-2017）針對云服務(wù)級別協(xié)議所具有的動態(tài)性及多方參與的特點導(dǎo)致對責(zé)任認定不清、云計算的強大計算與存儲能力被非法利用等問題，規(guī)定了云計算安全參考架構(gòu)，描述了云計算角色，規(guī)范了各角色的安全職責(zé)、安全功能組件及其關(guān)系，適用于指導(dǎo)所有云計算參與者在進行云計算系統(tǒng)規(guī)劃時對安全的評估與設(shè)計。

四是《信息安全技術(shù) 云計算服務(wù)安全能力評估方法》（GB/T 34942-2017）提出了開展評估的原則、實施過程以及針對各項具體安全要求進行評估的方法。該標準為第三方評估機構(gòu)對云服務(wù)商提供云計算服務(wù)的安全能力進行評估提供了依據(jù)，也為云服務(wù)商在對其云計算服務(wù)安全能力進行自評估提供了參考。

五是《信息安全技術(shù) 云計算服務(wù)運行監(jiān)管框架》（GB/T 37972-2019）規(guī)范了政府部門云服務(wù)客戶在使用云計算服務(wù)的過程中的監(jiān)管框架、監(jiān)管過程及監(jiān)管方式。同時，標準為云服務(wù)商制定和實施云計算服務(wù)持續(xù)監(jiān)管策略和計劃提供指導(dǎo)，也為監(jiān)管方進行持續(xù)監(jiān)管活動提供指導(dǎo)。該標準采用與聯(lián)邦云計算風(fēng)險與授權(quán)管理項目（FedRAMP）不同的云計算服務(wù)持續(xù)監(jiān)管方式，主要從云計算服務(wù)審查或檢查的視角制定云計算服務(wù)運行監(jiān)管過程，定義了云服務(wù)商和運行監(jiān)管方兩個角色，并明確了安全控制措施有效性運行監(jiān)管、重大變更監(jiān)管和應(yīng)急響應(yīng)監(jiān)管三個過程。

三、云計算服務(wù)數(shù)據(jù)安全工作建議

持續(xù)提升云計算服務(wù)數(shù)據(jù)安全防護能力，需要國家、行業(yè)的監(jiān)管引領(lǐng)下，科研機構(gòu)、高校、云服務(wù)商等方面共同參與，協(xié)力合作。

（一）加快云數(shù)據(jù)安全相關(guān)標準研制和試點推廣工作

一是按照數(shù)據(jù)安全工作急需、云技術(shù)發(fā)展急用的原則，研制云計算服務(wù)數(shù)據(jù)安全參考框架、云計算服務(wù)數(shù)據(jù)安全能力成熟度模型、云計算服務(wù)數(shù)據(jù)風(fēng)險評估方法、云計算服務(wù)數(shù)據(jù)接口安全等標準。二是提升云計算服務(wù)安全標準的有效性和可操作性，解決云計算服務(wù)數(shù)據(jù)安全突出風(fēng)險，探索云計算服務(wù)數(shù)據(jù)安全難點問題標準化路徑，選取云服務(wù)商、第三方合作商、云評估機構(gòu)等典型組織，開展標準適用性和實施效果評價；在標準應(yīng)用實踐中全程進行跟蹤，及時發(fā)現(xiàn)問題、總結(jié)經(jīng)驗、完善標準，推動云計算服務(wù)數(shù)據(jù)安全標準化工作高速、高質(zhì)量發(fā)展。

（二）制定出臺云計算服務(wù)數(shù)據(jù)安全相關(guān)制度文件，加強云計算服務(wù)數(shù)據(jù)安全相關(guān)監(jiān)督管理

針對云服務(wù)商和云服務(wù)用戶的數(shù)據(jù)安全主體責(zé)任不清、未對重要數(shù)據(jù)上云進行評估保護等新問題，國家應(yīng)出臺云計算服務(wù)數(shù)據(jù)管理辦法、標準合同模板等文件。一是指導(dǎo)云服務(wù)商對云平臺上的數(shù)據(jù)進行分類分級管理，重點保護重要數(shù)據(jù)和個人信息，對云平臺收集和承載數(shù)據(jù)分別建立管理機制，并通過云平臺提供數(shù)據(jù)分類分級保護功能服務(wù)；二是建立云服務(wù)用戶分類管理機制，對黨政機關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運營者使用云計算服務(wù)加強安全風(fēng)險提醒，對其部署在云平臺上的信息系統(tǒng)和數(shù)據(jù)加強安全保護；三是在合同模板中明確云服務(wù)商、云服務(wù)用戶和第三方服務(wù)商的數(shù)據(jù)安全責(zé)任。

（三）以關(guān)鍵環(huán)節(jié)和關(guān)鍵技術(shù)為突破點，完善云計算服務(wù)數(shù)據(jù)安全技術(shù)體系

應(yīng)加強在云計算服務(wù)過程中的數(shù)據(jù)收集、存儲、使用、加工、傳輸、提供、公開等關(guān)鍵環(huán)節(jié)的安全保障能力建設(shè)，強化云上數(shù)據(jù)的審計監(jiān)測、安全預(yù)警、應(yīng)急處置和追蹤溯源能力。目前，數(shù)據(jù)防泄露、數(shù)據(jù)庫安全防護等技術(shù)發(fā)展相對成熟，數(shù)據(jù)識別、分類分級、數(shù)據(jù)脫敏、數(shù)據(jù)權(quán)限管理等基礎(chǔ)技術(shù)以及隱私合規(guī)檢測、數(shù)據(jù)濫用分析、隱私計算、數(shù)據(jù)流轉(zhuǎn)分析等關(guān)鍵技術(shù)還相對薄弱，應(yīng)積極推動產(chǎn)學(xué)研用結(jié)合，加強基礎(chǔ)、關(guān)鍵技術(shù)在云計算服務(wù)數(shù)據(jù)安全防護中的研究和應(yīng)用推廣。

數(shù)據(jù)作為關(guān)鍵生產(chǎn)要素的價值日益凸顯，隨著云平臺廣泛應(yīng)用、云計算服務(wù)的深入發(fā)展，作為數(shù)據(jù)流通的重要基礎(chǔ)設(shè)施，把安全貫穿云計算服務(wù)數(shù)據(jù)管理的全過程，嚴守數(shù)據(jù)安全底線，對帶動數(shù)據(jù)要素高質(zhì)量供給、合規(guī)高效流通具有重要作用。

（本文刊登于《中國信息安全》雜志2024年第2期）