美國云計算安全策略分析

導語：美國云計算安全策略分析一文來源于網(wǎng)友上傳，不代表本站觀點，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

美國聯(lián)邦政府云計算安全發(fā)展過程

昆德拉上任時就承認云計算可能存在隱私泄露或其它安全隱患，但表示不能因此而錯過云計算的速度和效率[3]。2009年5月召開的云計算倡議工業(yè)界峰會[2，7]上，美國產(chǎn)業(yè)界認識到云計算在法律法規(guī)和政策以及IT安全和隱私方面的挑戰(zhàn)，深入討論了云計算認證認可、訪問控制和身份管理、數(shù)據(jù)和應用安全、可移植性和互操作性以及服務級別協(xié)議（SLA等。5月份的《遠景分析》中指出了與新技術服務交付模型相關的風險，包括政策的變化、動態(tài)應用的實施以及動態(tài)環(huán)境的安全保障，要求建立一個項目管理辦公室來實施工業(yè)界最佳實踐和政府項目管理方面的政策。10月份國家標準和技術研究所（NIST在《有效安全地使用云計算范式》[8]的研究報告中分析了云計算安全的眾多優(yōu)勢和挑戰(zhàn)。2010年2月美國啟動了政府范圍的云計算解決方案的安全認證認可過程的開發(fā)[9]。8月CIOC了《聯(lián)邦部門和機構使用云計算的隱私建議》[10]，指出云環(huán)境下隱私風險跟法律法規(guī)、隱私數(shù)據(jù)存儲位置、云服務商服務條款和隱私保護策略有關，并指出了9類風險，通過使用相關標準、簽署隱私保護的補充合同條款、進行隱私門檻分析和隱私影響評估、充分考慮相關的隱私保護法律，可以有效加強云計算環(huán)境下的隱私保護。9月非盈利組織MITRE給出了《政府客戶云計算SLA考慮》[11]。11月份，NIST、GSA、CIOC以及信息安全及身份管理委員會（ISIMC等組成的團隊歷時18個月提出了《美國政府云計算安全評估和授權建議方案》[12]，該方案由云計算安全要求基線、持續(xù)監(jiān)視、評估和授權三部分組成。12月，在《改革聯(lián)邦信息技術管理的25點實施計劃》中指出安全、互操作性、可移植性是云計算被接納的主要障礙。2011年1月國土安全部(DHS)給出了《從安全角度看云計算：聯(lián)邦IT管理者入門》[13]讀本，指出了聯(lián)邦面臨的16項關鍵安全挑戰(zhàn)：隱私、司法、調(diào)查與電子發(fā)現(xiàn)、數(shù)據(jù)保留、過程驗證、多租戶、安全評估、共享風險、人員安全甄選、分布式數(shù)據(jù)中心、物理安全、程序編碼安全、數(shù)據(jù)泄露、未來的規(guī)章制度、云計算應用、有能力的IT人員挑戰(zhàn)，NIST了《公共云計算安全和隱私指南》[14]和《完全虛擬化技術安全指南》[15]。2月份的《聯(lián)邦云計算戰(zhàn)略》指出在管理云服務時要主動監(jiān)視和定期評估，確保一個安全可信的環(huán)境，并做出了戰(zhàn)略部署，包括推動聯(lián)邦風險和授權管理項目（FedRAMP、DHS要每6個月或按需一個安全威脅TOP列表并給出合適的安全控制措施和方法，NIST要一些安全技術指南。2011年12月OMB了一項關于“云計算環(huán)境下信息系統(tǒng)安全授權”的首席信息官備忘錄[16]，正式設立FedRAMP項目。2012年2月成立了FedRAMP項目聯(lián)合授權委員會（JAB[17]并了《FedRAMP概念框架（CONOPS》[18]、《FedRAMP安全控制措施》[19]。

美國聯(lián)邦政府云計算安全策略分析

美國聯(lián)邦政府在推動云計算一開始就認識到云計算安全和隱私、可移植性和互操作性是云計算被接納的主要障礙，并給予了高度重視。美國聯(lián)邦政府認為，對于云服務要實施基于風險的安全管理，在控制風險的基礎上，充分利用云計算高效、快捷、利于革新等重要優(yōu)勢，并啟動了聯(lián)邦風險和授權管理項目（FedRAMP。首先，明確了云計算安全管理的政府部門角色及其職責：1聯(lián)合授權委員會（JAB：成立了由國防部（DOD、DHS、GSA三方組成的聯(lián)合授權委員會JAB，主要負責制定更新安全基線要求、批準第三方評估機構認可標準、設立優(yōu)先順序并評審云服務授權包、對云服務供應進行初始授權等；2FedRAMP項目管理辦公室（FedRAMPPMO：設立于GSA，負責管理評估、授權、持續(xù)監(jiān)視過程等,并與NIST合作實施對第三方評估組織的符合性評估；3國土安全部：主要負責監(jiān)視、響應、報告安全事件，為可信互聯(lián)網(wǎng)聯(lián)接提供指南等；4各執(zhí)行部門或機構：按照DHS、JAB等要求評估、授權、使用和監(jiān)視云服務等，并每年4月向CIOC提供由本部門CIO和CFO簽發(fā)的認證；5首席信息官委員會：負責出版和分發(fā)來自FedRAMPPMO和JAB的信息。其次，明確了FedRAMP項目相關方的角色和職責（如圖1。這些角色中除了DHS、JAB、FedRAMPPMO、各執(zhí)行部門或機構、CIOC外，還包括云服務商（CSP和第三方評估組織（3PAO。云服務商實現(xiàn)安全控制措施；創(chuàng)建滿足FedRAMP需求的安全評估包；與第三方評估機構聯(lián)系，執(zhí)行初始的系統(tǒng)評估，以及運行中所需的評估與授權；維護連續(xù)監(jiān)視項目；遵從有關變更管理和安全事件報告的聯(lián)邦需求。第三方評估組織保持滿足FedRAMP所需的獨立性和技術優(yōu)勢；對CSP系統(tǒng)執(zhí)行獨立評估，并創(chuàng)建滿足FedRAMP需求的安全評估包清單。美國聯(lián)邦政府注重對云計算安全管理的頂層設計。在政策法規(guī)的指導下，以安全控制基線為基本要求，以評估和授權以及監(jiān)視為管理抓手，同時提供模板、指南等協(xié)助手段，建立了云計算安全管理的立體體系（如圖2。政策備忘錄：OMB于2011年12月8日，為政府級云計算安全提供方向和高級框架。安全控制基線：基于NIST的SP800-53第三版中所描述的安全控制措施指南，補充和增強了控制措施，以應對云計算系統(tǒng)特定的安全脆弱性。FedRAMP的安全控制基線于2012年1月6號單獨。運營概念（CONOPS：提供對FedRAMP的運營模型與關鍵過程的概述。運營模型：FedRAMP的運營模型基于OMB的政策備忘錄，明確FedRAMP實現(xiàn)的關鍵組織，對各個組織運營角色與職責進行抽象描述。關鍵過程：指“安全評估與授權”、“第三方評估”、“正在進行的評估與授權”，它們?yōu)镕edRAMP運營過程的三個主要功能。詳細的模板與指南：云服務商與第三方評估組織在FedRAMP整個過程中需要這些文檔模板作為文檔規(guī)范。

在《推薦的聯(lián)邦信息系統(tǒng)和組織安全措施》（sp800-53基礎上，根據(jù)云計算特點，針對信息系統(tǒng)的不同等級（低影響級和中影響級，制定了云計算安全基線要求《FedRAMP安全控制措施》。與傳統(tǒng)安全控制措施相比，云計算環(huán)境下需增強的安全控制措施包括：1訪問控制：要求定義非用戶帳戶（如設備帳戶的存活期限、采用基于角色的訪問控制、供應商提供安全功能列表、確定系統(tǒng)使用通知的要素、供應商實現(xiàn)的網(wǎng)絡協(xié)議要經(jīng)過JAB同意等。2審計和可追蹤：供應商要定義審計的事件集合、配置軟硬件的審計特性、定義審計記錄類型并經(jīng)過同意、服務商要實現(xiàn)合法的加密算法、審計記錄90天有效等。3配置管理：要求供應商維護軟件程序列表、建立變更控制措施和通知措施、建立集中網(wǎng)絡配置中心且配置列表符合或兼容安全內(nèi)容自動化協(xié)議（SCAP、確定屬性可追蹤信息等。4持續(xù)性規(guī)劃：要求服務商確定關鍵的持續(xù)性人員和組織要素的列表、開發(fā)業(yè)務持續(xù)性測試計劃、確定哪些要素需要備份、備份如何驗證和定期檢查、至少保留用戶級信息的3份備份等。5標識和鑒別：要求供應商確定抗重放的鑒別機制、提供特定設備列表等。6事件響應：要求每天提供演練計劃、提供事件響應人員和組織要素的列表等。7維護：要確定關鍵的安全信息系統(tǒng)要素或信息技術要素、確定獲取維護的期限等。8介質(zhì)保護：確定介質(zhì)類型和保護方式等。9物理和環(huán)境保護：要確定緊急關閉的開關位置、測量溫濕度、確定可替代的工作節(jié)點的管理、運維和技術信息系統(tǒng)安全控制措施等。10系統(tǒng)和服務獲取：對所有外包的服務要記錄在案并進行風險評估、對開發(fā)的代碼提供評估報告、確定供應鏈威脅的應對措施列表等。11系統(tǒng)和通信保護：確定拒絕服務攻擊類型列表、使用可信網(wǎng)絡聯(lián)接傳輸聯(lián)邦信息、通信網(wǎng)絡流量通過經(jīng)鑒別的服務器轉發(fā)、使用隔離措施。12系統(tǒng)和信息完整性：在信息系統(tǒng)監(jiān)視時要確定額外的指示系統(tǒng)遭到攻擊的指標。其他方面如意識和培訓、評估和授權、規(guī)劃、人員安全、風險評估則與傳統(tǒng)差別不大。安全授權越來越變?yōu)橐环N高時間消耗的過程，其成本也不斷增加。政府級的風險和授權項目通過“一次授權，多次應用”的方式加速政府部門采用云服務的過程，節(jié)約云服務采用費用，實現(xiàn)在政府部門內(nèi)管理目標的開放和透明。1以第三方評估機構作支撐，對云服務進行安全評估CSP向FedRAMPPMO提出安全評估請求，并經(jīng)已獲得授權的3PAO檢查與驗證后，向FedRAMPPMO提交評估材料，由FedRAMPPMO組織專家組對其進行評審。當專家組通過評估后，由FedRAMPPMO向CSP頒發(fā)初始授權。云計算應用部門不應該把部門的安全責任轉嫁給CSP，政府部門以該初始授權為基礎，頒發(fā)部門的云服務運營授權（ATO。2通過初始安全授權，加強雙層授權機制FedRAMPPMO維護一個初始授權以及相關安全評估材料的信息庫，政府部門可以基于這些初始授權和評估材料頒發(fā)部門的服務運營授權，政府部門也可以添加另外的安全控制。3對云服務商持續(xù)監(jiān)視，保證云服務運營安全對已獲得初始授權的CSP，F(xiàn)edRAMPPMO應與3PAO一同開展對其系統(tǒng)和服務的連續(xù)監(jiān)視活動。連續(xù)監(jiān)視需要判斷安全控制是否持續(xù)有效。政府部門在采用云服務、特別在采用公有云服務時，將會面臨諸多嚴重安全風險，如多租戶引入的安全問題、信息安全與隱私泄露、業(yè)務連續(xù)性、廠商鎖定等諸多安全問題。在云服務采購合同中包含有效的SLA內(nèi)容將會為云服務采購及其使用過程提供充分的安全保障。2010年9月MITRE給出的《政府客戶云計算SLA考慮》[11]中，對政府部門與云服務商之間的SLA設計給出了具體的指南，指出SLA設計要考慮如下11方面的內(nèi)容，每個方面的內(nèi)容又劃分為具體的細項給予了具體的指導：SLA背景、服務描述、測量與關鍵性能指標、連續(xù)性或業(yè)務中斷、安全管理、角色與責任、支付與賠償及獎勵、術語與條件、報告指南與需求、服務管理、定義/術語表。另外，在合同方面，2012年2月的《聯(lián)邦政府制定有效的云計算合同——獲取IT即服務的最佳實踐》，給出了采購云服務的合同需求和建議，包括服務協(xié)議條款、保密協(xié)議、服務級別協(xié)議等，并分析安全、隱私、電子發(fā)現(xiàn)、信息自由訪問、聯(lián)邦記錄保留等方面的需求并給出了具體建議。

本文作者：趙章界劉海峰工作單位：北京信息安全測評中心