云等保，你准备好了吗？

等级保护作为我国网络安全法明确的重要制度，已在我国信息系统安全保驾护航中发挥着重要作用。目前，等级保护已经进入了2.0时代，“云、大、物、移、工控”纳入等保监管。

当前，按照传统等级保护技术要求实施的安全策略已经不能适应云环境的安全变化。由于云计算边界的消失，数据中心内部“东西向”威胁成为了主要的安全问题，而传统的安全设备更偏向“南北向” 内外网的防护，无法保障数据中心云计算环境内的安全。除此之外，还面临着在不同云服务模式下，云平台运营方如何通过技术手段满足不同租户提出的多样化安全需求等问题。

云等保要点解读

要点一：系统定级与管理职责划分

云计算服务带来了“云主机”等虚拟计算资源，将传统IT环境中信息系统运营、使用单位的单一安全责任转变为云租户和云服务商双方“各自分担”的安全责任，使得云计算环境下定级工作相对比较复杂。

云计算系统的定级对象在原有定级对象基础上进行了扩展，原有定级对象主要是信息系统和相关基础网络，而云计算将定级对象扩展为云服务商的云平台和云租户的应用系统。

云计算系统定级时，云服务商的云平台和云租户的应用系统应分别定级，云平台等级应不低于应用系统的安全保护等级。对于公有云，定级流程为云平台先定级测评，再提供云服务。对于私有云，定级流程为云平台先定级测评，再将已定级应用系统向云平台迁移。

云计算系统定级的重点在于定级对象管理职责的划分，职责的划分根据不同云计算服务模式采取不同划分方式。

（一） 对于IaaS基础设施服务模式，云服务商的职责范围包括虚拟机监视器和硬件，云租户的职责范围包括操作系统、中间件和应用等。

（二） 对于PaaS平台即服务的服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统和中间件，云租户的职责范围为应用。

（三） 对于SaaS软件服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统、中间件和应用，云租户的职责范围包括部分应用职责及用户使用职责。

云计算服务模式以及角色的不同决定着定级对象的管理职责不同，从而决定着定级的系统范围的不同。

要点二：云计算系统保护对象的扩展

由于虚拟化等新技术的应用，IaaS/PaaS/SaaS按需服务模式的引入，相对于传统信息系统，云计算系统的保护对象有所增加。云计算系统的保护对象与传统信息系统保护对象对照如下表所示，其中加黑的对象为云计算系统所特有的保护对象：

层面	云计算系统保护对象	传统信息系统保护对象
物理和环境安全	机房及基础设施	机房及基础设施
网络和通信安全	网络结构、网络设备、安全设备、综合网管系统、虚拟化网络结构、虚拟网络设备、虚拟安全设备、虚拟机监视器、云管理平台	网络设备、安全设备、网络结构、综合网管系统
设备和计算安全	主机、数据库管理系统、终端、网络设备、安全设备、虚拟网络设备、虚拟安全设备、物理机、宿主机、虚拟机、虚拟机监视器、云管理平台、网络策略控制器	主机、数据库管理系统、终端、中间件、网络设备、安全设备
应用和数据安全	应用系统、中间件、配置文件、业务数据、用户隐私、鉴别信息、云应用开发平台、云计算服务对外接口、云管理平台、镜像文件、快照、数据存储设备、数据库服务器	应用系统、中间件、配置文件、业务数据、用户隐私、鉴别信息等
安全管理机构和人员	信息安全主管，相关文档	信息安全主管、相关文档
安全建设管理	系统建设负责人、服务水平协议、云计算平台、供应商资质、相关文档、相关资质、相关检测报告	系统建设负责人、记录表单类文档
安全运维管理	安全管理员、相关文档、运维设备、云计算平台、第三方审计结果	系统管理员、网络管理员、数据库管理员、安全管理员、运维负责人、相关文档

360的云等保实践

经过几年来的客户成功实践，360企业安全的数据驱动安全方法论成为了满足客户云环境下网络安全合规的最佳指导思路，而基于“云计算安全可运营”的业务设计思路，更贴合了云等保安全体系要求，实现了在云计算环境中落地丰富的安全技术能力，有效解决了客户在云及云化业务面临的安全与合规挑战。

目前，360云安全整体解决方案已经在全国多个省市的政务云系统成功落地，为政企客户的政务云安全防护起到了的关键作用。同时，也为后续满足云等保测评提供了云主机安全和云内网络安全的技术支撑。值得一提的是，360企业安全助力军工行业中国航天科工集团旗下航天云网，成功实践整体云安全解决方案，为高标准、高要求的行业云开辟了一条云化合规之路。

360企业安全集团云安全事业部总经理刘浩表示，“长期以来，360企业安全积极参与行业前沿安全技术的探索，在云计算安全领域与众多知名云计算厂商展开云安全风险评估及云等保技术要求对标工作，通过自主研发的云安全管理平台结合多种领先的虚拟化安全技术，很好的将传统安全与虚拟化技术深度融合，不仅能够有效应对云计算带来的全新安全风险，同时更能满足新的云等保相关技术要求，成为政企客户云安全整体解决方案的首选。”