针对云计算服务环境下关键信息基础设施安全保障的思考

针对云计算服务环境下关键信息基础设施安全保障的思考

张峰¹  江为强¹  王光涛¹  刘畅¹  张明天²

（1.中国移动通信集团有限公司信息安全管理与运行中心，北京 100053；2.中国电子技术标准化研究院，北京 100007）

摘要：围绕打造通信行业高安全云目标，分析了相关背景与云安全面临的挑战；给出了从规划推进、优势发挥、三同步落实、资质夯实、产品打造五个方面树立高安全云品牌，实现云安全“可管、可控、可信”的总体安全框架；提出了基于“点线面体”的推进方法，发挥行业优势，构建“两个体系”、强化“一个平台”的总体思路，全面落实《关键信息基础设施安全保护条例》要求，为云服务的健康持续发展提供有力保障。

关键词：云计算；基础设施；高安全

中图分类号：TN929.11              文献标志码：A

引用格式：张峰, 江为强, 王光涛, 等. 针对云计算服务环境下关键信息基础设施安全保障的思考[J]. 信息通信技术与政策, 2022,48(8):31-35.

DOI：10.12267/j.issn.2096-5931.2022.08.005

0  引言

过去十年是云计算突飞猛进的十年，全球云计算市场规模增长数倍，我国云计算市场增长到千亿规模，云计算应用从互联网行业向通信、政务、金融、工业、医疗等传统行业加速渗透。从网络来看，云成为通信运营商网络的承载平台；从业务来看，云成为通信运营商政企业务与产品的统一入口；从行业来看，云成为深刻改变ICT行业格局的重要契机。云服务能力成为通信运营商在竞争中取胜的关键因素。

随着《关键信息基础设施安全保护条例》（简称《条例》）的正式实施，国家已将关键云服务基础设施纳入关键信息基础设施（简称“关基”）安全保护范畴，构建合规、差异化、高安全的云基础设施已成为通信行业打造云服务差异化优势的重中之重^[1]。

1  背景与形势分析

1.1  云安全面临严峻挑战

云计算技术的快速迭代更新推动着云技术架构和应用模式不断演进，使得云服务面临的安全风险日益多元化、复杂化、扩大化，云正在成为安全攻防的主战场^[2]。

1.1.1  外部形势日益严峻

全球各类针对虚拟化架构的逃逸攻击、资源滥用、横向穿透、APT攻击等新安全问题层出不穷，且攻击活动越来越有组织性；全球网络战威胁日趋明显，各国持续加大网络空间的军事投入，重要业务平台面临国家级网络攻击风险，我国面临的网络战威胁愈加严峻。

1.1.2  国家监管日趋严格

《中华人民共和国数据安全法》（简称《数据安全法》）和《中华人民共和国个人信息保护法》（简称《个人信息保护法》）的颁布，云上数据安全与个人隐私保护得到空前重视。国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、财政部（简称“四部门”）联合印发的《云计算服务安全评估办法》（简称《评估办法》）要求面向党政机关、关基提供服务的云平台必须通过安全评估。随着《条例》的实施，现有承载着能源、交通、水利、金融、公共服务、电子政务等重要行业应用的云计算服务平台，将越来越多地纳入到关基安全管控范畴当中，云服务提供者及其客户将面临常态化的合规监管约束。

1.1.3  安全服务日益重要

云计算平台从基础设施层面的计算环境到云端应用的开发部署模式一直处于快速发展演进的态势，以云原生技术为代表的云计算新技术的广泛应用持续不断地引入各类新型安全风险，“安全边界”的定义方式正在随着系统技术架构的演进“悄悄”发生着变化^[3]，构建内、外部综合防护的整体安全能力，进一步建立健全安全保障体系，强化覆盖整个业务链、供应链的应急响应能力，为客户提供全栈式安全产品与服务，满足重点行业、关键领域的业务安全需求已成为云服务提供者提供高安全服务的首要任务。同时，随着客户的安全需求不断提升，云安全服务和产品已成为云业务发展的重要领域，为客户提供高安全的云服务，成为云服务提供者打造差异化优势的重中之重。

1.2  云安全的分类与范围

2021年9月1日起施行的《条例》进一步细化和补充了《中华人民共和国网络安全法》（简称《网络安全法》）中关于关基运行安全的要求。《条例》第二条明确：关基是指“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的”以及“其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益”的重要网络设施、信息系统等^[1]。

该定义包括两层含义，目前纳入关基保护的信息系统也可据此分为两大类型：第一类为可明确列入《条例》第二条中重要行业和领域的；第二类为重要行业和领域之外的重要网络设施、信息系统。据此，可将云计算服务环境下的关基分为以下两类。

《条例》中明确的重要行业和领域通过采购云计算服务的方式将业务系统部署在云上的可称为：云上的关键信息基础设施。

重要行业和领域之外的，按照《条例》第二条要求纳入关基保护的云平台可称为：界定为关键信息基础设施的云。

1.2.1  云上关键信息基础设施的安全

目前，越来越多的关基运营者选择将业务系统部署在云上，为提高关基运营者等使用云计算服务的安全可控水平，四部门依据《评估办法》建立了云计算服务安全评估工作协调机制，对面向党政机关、关基提供云计算服务的云平台进行安全评估，保障为关基提供云计算服务的云平台安全。同时，运行在云平台之上的关基业务系统由关基运营者按照《条例》及相关法规标准实施安全保护。

可见，云上的关基安全保护不仅是依据《条例》对云上业务系统的保护，还包括对其所在云平台的安全保护，即承载关基业务系统的云平台应按照《评估办法》实施安全评估及服务资质认定。

1.2.2  界定为关键基础设施的云的安全

依据《条例》第32条“国家采取措施，优先保障能源、电信等关键信息基础设施安全运行”，将能源和电信行业摆在更为突出的位置优先保障^[1]。随着5G的应用，国内外通信运营商纷纷加快推进通信网络云化进程，将核心网部署在云平台上。同时，对通信行业政企市场而言，云平台正在成为各类业务与产品的统一入口。该类云平台一旦遭到破坏、丧失功能或者泄露数据，可能严重危害国家安全、国计民生、公共利益^[3]。

因此，被界定为关基的云平台，其自身就是关基，云服务提供者承担关基运营者的角色，应按照《条例》要求对云平台实施安全保护。

2  总体安全框架

电信行业的云平台上承载着重要的通信类设施，也承载着关系国计民生的重要业务与系统，安全风险突出，亟待建立完善的云安全保障体系。在具体目标上，突出“合规、差异化、高安全”，发挥“云网一体、云数融合、云智融通”的比较优势，在满足《条例》等合规监管要求的前提下，从以下五个方面打造高安全云品牌，实现云安全“可管、可控、可信”。

2.1  落实云安全规划，健全安全保障体系

落实《条例》第十五条“建立健全网络安全管理、评价考核制度，拟订关键信息基础设施安全保护计划”“履行个人信息和数据安全保护责任，建立健全个人信息和数据安全保护制度”等相关要求^[1]。以建立高安全云为目标，以云上数据安全保障为中心，围绕安全治理、安全运营和安全技术横向建立安全保障机制，纵向覆盖基础设施、平台、业务和客户，形成“三横四纵”立体化的云安全防护体系。

2.2  发挥差异化优势，深化安全技术防护

发挥运营商在电信行业的“云网一体、云数融合、云智融通”的比较优势，建立覆盖边界、资产、系统、虚拟化、业务、平台、数据等各层面的安全技术防护手段，打造集中化、全局性的安全威胁监测、风险感知与安全处置能力，具备云原生安全能力及内外综合防护的整体安全能力^[4]。

2.3  落实安全三同步，强化安全运营管理

落实《条例》第十二条“安全保护措施应当与关键信息基础设施同步规划、同步建设、同步使用”的“安全三同步”要求，具备安全职责明晰、制度完善、落实有力的安全运营管理机制，并将云安全能力建设融合到DevSecOps研发运营一体化工作中，实现敏捷开发^[1]。安全运营整体流程符合“风险识别、安全防御、安全监测、安全响应、安全恢复”（IPDRR）框架模型。

2.4  具备权威性资质，落实合规监管要求

针对所提供的关键行业或领域的云服务，应具备相应的安全运营资质，全面满足国家、行业在安全合规监管、资质认证上的要求，争取“行业领先”“国内权威”“全球认可”。同时，通过“抓两头、促中间”，满足国家行业相关法律法规要求，确保安全合规。

2.5  打造全栈式产品，满足关基业务需求

针对不同重点行业的差异化服务要求，为客户提供全栈式安全产品与服务，打造完善的优秀安全产品与服务的遴选机制与能力内化机制，为各个领域提供典型的代表性产品，在产品安全与安全产品上具备良好的协同与演进机制。

3  实现方法思考

在实施方法上，紧密围绕打造高安全云的目标，在国家网信部门统筹协调领导下依据《条例》要求，构建“两个体系”、强化“一个平台”，构筑网络安全防线，为云服务的健康持续发展提供强有力的支撑保障，并为所承载行业或领域的关基安全运行提供重点保障。

3.1  构建以威胁情报为核心的一体化云安全防御体系

在大力推动威胁情报库建设和持续完善威胁情报共享机制的基础上，建立健全覆盖“点—线—面—体”的一体化云安全防御体系。

（1）以“云—管—数—边—端”等各类业务为“点”，做好安全防护。

（2）以安全应急响应为“线”，强化上下贯通、一体联动的云安全闭环管理机制。

（3）以全网安全监测为“面”，推动云安全风险与威胁整体可视、可感、可控。

（4）以网络安全工作责任制为“体”，满足《条例》第十三条“运营者应当建立健全网络安全保护制度和责任制”等要求，确保责任制各项要求落地做实，形成“全网一盘棋”的云安全工作格局。

特别是在安全应急响应方面，应落实《条例》第十五条“按照国家及行业网络安全事件应急预案，制定本单位应急预案，定期开展应急演练，处置网络安全事件”要求，以及工业和信息化部《关于印发网络产品安全漏洞管理规定的通知》的相关要求，发挥应急响应安全人才联动效用，并基于以下四大方向，打造云安全应急响应中心。

• 云安全漏洞监管：健全云安全应急预案，监管漏洞处置情况，确保漏洞管理有效闭环。

• 高级持续性攻击监测：获取威胁情报,了解最新威胁动态，提升威胁展示与管理、多级配置与联动能力，提升风险监测水平，确保威胁及时防控。

• 安全攻击性测试：借助攻击演习、安全职业技能竞赛和云安全众测活动，提升团队技能水平。

• 安全风险预警响应：持续开展内外部风险监测监控，强化风险鉴别，形成“监测+通报+处置”的一体化机制。

3.2  形成以“严选”为特色的可管理业务安全防控体系

落实《条例》第三十二条“能源、电信行业应当采取措施，为其他行业和领域的关键信息基础设施安全运行提供重点保障”要求，加快打造“严选”业务安全管理模式，建立健全可管理业务安全防控体系^[5]。在各领域选择最优质的安全供应商，结合海量用户及“云网一体、云数融合”优势，构建差异化的、可全面满足云计算安全监管要求和发展需求的云安全产品与服务清单和体系，产品应覆盖应用、业务、数据、网络、主机等多领域，并逐步与云计算客户需求精确匹配，做好以下三点，全面实现“一站式”云安全产品与服务能力。

一是抓好云安全产品标准制定。做好安全产品与服务规划，建立各类产品与服务的准入、上线、运营的管理制度、标准规范、评估方法等，完善安全产品与服务的标准体系。

二是建立云安全产品测评机制。全面强化云安全产品测评能力，通过检测，对问题产品及供应商采取相应的处理措施，快速形成可上架的云安全产品与服务。

三是紧贴客户安全需求，安全产品要优先应用于云平台自有防护，先行先试，经现网检测具备良好效果后，再面向租户开放，提升客户满意度。

3.3  建立以能力中心为支撑的集中化云安全能力平台

落实《条例》第十五条“组织推动网络安全防护能力建设，开展网络安全监测、检测和风险评估”要求，坚持以“抓两头、促中间”为原则，深化推动云安全能力平台建设，健全集中化云安全能力，在确保合规的基础上，有力提升云安全整体防护水平^[6]。

在“抓两头”上：一方面，抓好标准研发。全面对标国家有关网络安全等级保护、网络安全审查、安全可控等政策法规要求，配合落实《条例》第三十四条“国家制定和完善关键信息基础设施安全标准”要求，积极推进和深化各类云安全标准研发，为云安全能力提升夯实基础。另一方面，在满足《条例》第十七条“每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改”的基础上，加大云安全产品、技术测试、风险评估工作力度，推动强化云安全能力有效落地。

在“促中间”上：首先，推动建设云安全能力平台，统一建设部署覆盖资产、系统、虚拟化、应用、数据等各层面的纵深防护与风险监测能力，围绕云安全保障和支撑做好能力输出与共享。其次，建立云安全数据的集中管理能力、安全运行管理能力、智能安全联动和统一调度能力。建设智能安全运维技术支撑手段，强化安全风险感知与集中可视化能力，有力提升云安全运营运维的智能化、自动化水平，实现云内外部风险的统一集中化管理。最后，在满足《条例》第十九条“运营者应当优先采购安全可信的网络产品和服务”的基础上，推进信创云创新试点应用，例如以ARM架构为主开展信创云技术架构设计工作，通过发展信创云，推广承载党政军重要级别业务。

4  结束语

云安全已经成为关基安全保护不可或缺的重要领域，《条例》的出台为云计算服务环境下的关基规划设计、开发建设、运行维护等生命周期管理提供了安全基线要求与方向指导，将在推动通信行业高安全云的基础设施建设上发挥重要作用。通信行业要结合自身特点，发挥云网融合差异化优势，通过底层承载网络的安全架构优化、网络入口侧高级别认证管控等手段，实现系统资产不可知、攻击威胁不可达、业务系统不被控的“三重境界”，打造合规、差异化、高安全的云。

参考文献

[1] 国务院. 关键信息基础设施安全保护条例[Z], 2021.

[2] 中国信息通信研究院. 云计算白皮书[R], 2021. 

[3] 袁捷, 张峰, 江为强, 等. 5G数据安全防护白皮书[R], 2022.

[4] 杨文强, 王友祥, 唐雄燕, 等. 面向云原生的5G核心网云化架构和演进策略[J]. 邮电设计技术, 2021(3):12-15.

[5] 田雯, 马华伟, 余瀚, 等. 电信运营商公有云平台安全解决方案研究[J]. 电信工程技术与标准化, 2021,34(9):45-51. 

[6] 沈昌祥. 按照《关键信息基础设施安全保护条例》筑牢网络空间安全底线[J]. 中国信息安全, 2021,7(10):890-893.

Thoughts on security assurance for critical information infrastructure in the cloud computing service environment

ZHANG Feng¹, JIANG Weiqiang¹, WANG Guangtao¹, LIU Chang¹, ZHANG Mingtian²

(1. China Mobile Information Security Center, Beijing 100053, China; 2. China Electronic Standardization Institute, Beijing 100007, China)

Abstract: This paper focuses on the goal of creating a high-security cloud in the communication industry, and analyzes the background and challenges faced by cloud security; It provides an overall security framework for establishing a high security cloud brand and makes cloud security being “manageable, controllable and reliable” from five aspects: advancing the planning, playing to advantages, implementation of safety measures, consolidating the qualifications and building products. Taking advantages of the industry, it provides a method of implementation called “point-line-flatbody”. Furthermore, it proposes a general idea that we can build “Two System”, strengthen “One Platform” obediencing the Regulations, and provide strong support for the healthy and sustainable development of cloud services.

Keywords: cloud computing; infrastructure; high security

本文刊于《信息通信技术与政策》2022年 第8期