2024云安全责任共担模型报告

云安全责任共担模型 云安全责任共担白皮书 华为云计算技术有限公司 中国信息通信研究院云计算与大数据研究所 2024年 前前言言 近年来，云计算成为千行百业数字化转型的重要支撑，承载海量业务和数据，其安全性影响着企业的生产经营及社会稳定。与传统数据中心相比，云服务商与云服务客户对云及云上资产的可见性不同，云安全工作无法仅由某一方承担完成，云安全责任共担模式成为行业共识。 随着政策标准不断完善，外部安全态势日益严峻，各行业云计算应用程度加深，云安全责任共担面临新的发展需求。本报告以应对新态势为关键，建立了云安全责任共担2.0体系，旨在提升云服务客户责任共担意识，促进云服务客户、云服务商、云安全厂商在责任共担中充分识别自身定位、发挥作用价值，协同推动云安全工作高质量开展。 首先，报告提出云安全责任共担四大基本原则，以责任划分合理条件下如何高质量开展云安全工作为根本目的，理清云安全责任共担关键环节；其次，报告给出云安全责任共担实施参考，探索云服务客户、云服务商、云安全厂商落实云安全责任共担机制的举措手段。最后，报告对云安全责任共担发展进行了展望，剖析标准规范、保险机制、生态建设等方面的意义价值与发展方向。 目录 一、新态势：云安全责任共担模式面临新发展需求1 （一）政策标准为云安全责任共担提供更坚实的发展基础1 （二）安全风险加剧，对云安全责任共担提出更明确的发展要求3 （三）行业用户共担意识仍存提升空间，实际需求为云安全责任共担指明发展方向4 二、新理念：建立云安全责任共担2.0体系6 （一）明确云安全责任共担主体角色6 （二）遵循四大云安全责任共担基本原则8 （三）依据云计算的服务类型和服务模式开展云安全责任共担9 1、云计算的服务类型影响云安全责任范围9 2、云计算的服务模式影响云安全责任范围11 （四）构建云安全责任共担三大关键环节14 三、云安全责任共担实施参考17 （一）夯实云平台安全建设与使用能力17 1、云服务商提升云平台自身安全性17 2、云服务客户增强云平台安全使用能力19 （二）共筑云上持续安全防护体系20 1、识别云安全防护能力域，打造安全履责能力20 2、依托云安全服务构建安全防护体系23 （三）多主体建立信息传递机制，促进云安全责任共担协同25 1、云服务商和云服务客户之间的信息传递机制25 2、云安全厂商和云服务客户之间的信息传递机制27 四、云安全责任共担发展建议29 �、结语31 附录：云安全责任共担模式在多场景下的应用案例32 一、一、新新态态势势：：云云安安全全责责任任共共担担模模式式面面临临新新发展展需需求求 近年来，我国云计算产业持续高速增长。据统计1，2022年，我国云计算市场规模达4360亿元，同比增长35.0%，产业发展势头强劲。千行百业以云计算为技术底座开展数字化转型，云安全成为保障业务和数据的关键。 与传统数据中心相比，云计算存在运营方与使用方分离、数据保管权与所有权分离等情况，云服务商与云服务客户对云及云上资产的可见性不同，云安全工作必然无法仅由某一方承担，云安全责任共担模式成为行业共识。同时，随着政策标准不断完善，外部安全态势日益严峻，各行业云计算应用程度加深，云安全责任共担也呈现新的发展态势。 （一）政策标准为云安全责任共担提供更坚实的发展基础 政策法规加强对多方主体安全建设的指引，云服务客户不可因上云而将责任全部转包。云服务客户上云后，部分IT资源的运营和管理模式与传统数据中心相比发生变化，一些安全责任转移至云服务商，但仍有一部分责任需由云服务客户承担。近几年，我国安全政策法规不断健全，对上述责任给出了更加明确的要求与指引。《网络安全法》对网络运营者等主体的法律义务和责任做了全面规定，是云服务商承担责任的最小集合；《数据安全法》对在我国境内开展数据处理活动的组织做出了数据安全权责规定，云服务客户上云后，虽然业务数据 1中国信息通信研究院《云计算白皮书（2023年）》 在云平台中存储和传输，云平台由云服务商运维运营，但云服务客户仍应承担数安法规定的数据安全责任；2022年11月，国务院新闻办公室发布《携手构建网络空间命运共同体》，白皮书强调“构建安全共同体和责任共同体”，“倡导开放合作的网络安全理念”，要求“发挥各主体作用，建立相互信任、协调有序的合作”。云安全领域涉及云服务客户、云服务商、云安全厂商等多个主体，坚持白皮书提及的共同体基本原则，是保障云上业务和数据安全的必然选择。 多项标准规范推动建立云安全责任共担共识。YD/T4060-2022 《云计算安全责任共担模型》行业标准建立了公有云的安全责任共担模型，在厘清云计算安全责任的基础上，充分识别云服务商和云服务客户两大主体间的责任分担方式；GB/T31168-2023《信息安全技术云计算服务安全能力要求》国家标准给出了不同云能力类型中云服务商和云服务客户安全责任的控制范围。上述标准的发布实施一定程度上提升了行业对云安全责任共担模式的认识与认可。 来源：YD/T4060-2022《云计算安全责任共担模型》 图1云计算安全责任共担模型 （二）安全风险加剧，对云安全责任共担提出更明确的发展要求 云安全配置风险凸出，“建好云”和“用好云”并重。云服务客户因不熟悉云环境进行错误配置，如开放过多访问端口、设置过低的权限控制，将导致数据泄漏等事件发生。调查显示2，不合理的安全配置是过去一年中导致公有云发生安全事件的最主要因素。规避云安全配置风险不能仅靠云服务客户或云服务商的单方努力，双方必须推动能力提升，承担各自的责任。一方面，云服务商应“建好云”，优化云服务安全功能的设计，为云服务客户提供完善的、易用的用户友好型安全功能；另一方面，云服务客户应“用好云”，基于云服务商提供的云服务安全功能，建立合理的配置规范并切实执行。 软件供应链风险频发，云计算上下游应急响应与协作需求迫切。近年来，软件供应链攻击规模持续增长，调查显示3，过去三年全球软件供应链攻击的平均年增长率高达742%。云计算在企业数字化转型过程中扮演越来越重要的角色，提质降本增效的同时也带来了复杂的软件供应链风险。一方面企业上云方式多样，云服务商、云软件等成为攻击企业的跳板，2021年5月云服务商Everis被入侵，导致北约云平台相关数据泄露。另一方面公有云等模式下，云平台的基本运维和运营由云服务商开展，企业不掌握源码，对云平台控制力低，当一些重大安全漏洞被披露时，企业可能无法确认漏洞是否波及自身使用的云服务及云上业务。为有效规避软件供应链安全事件，云服务商、 2CybersecurityInsiders《2023CloudSecurityReport》 3Sonatype《8thStateofthesoftwaresupplychain》 云服务客户、云安全厂商等需形成上下游沟通渠道，在发生软件供应链安全事件时及时沟通、联动处置，控制事件危害的传播。 云上勒索软件攻击形势严峻，联防联控成为必然。当前，勒索软件攻击对信息基础设施等领域造成严重影响，据预测4，勒索软件损失到2031年将达到2650亿美元。云服务因分布式、弹性易扩展等特性，易受到勒索软件攻击，为云服务客户带来业务中断、经济损失等危害。防范勒索软件风险要求云服务客户建立覆盖人员、技术、制度等多个维度的完备安全体系，同时也离不开云服务商的有效支撑。一方面，数据备份等手段是抵御勒索的有效机制，而备份数据的可用性、完整性依赖于云平台的技术架构。另一方面，云平台承载海量租户，云服务商在云平台中能监测到更多全网安全信息，当发现潜在的勒索威胁时可及时与云服务客户预警沟通。 （三）行业用户共担意识仍存提升空间，实际需求为云安全责任共 担指明发展方向 随着云计算产业不断发展，在政策标准引导下，各行业上云用云程度不断加深，云服务客户对云计算的了解以及对云安全责任共担的认知有一定增强，《中国私有云发展调查报告（2023年）》显示，42.3%的受访用户表示接受与云服务商共同承担责任，这一比例较2021年提升了2.7%。但从调查数据可以看出，仍有一半以上用户对云安全责任共担的认知不够清晰，同时在责任共担模式应用过程中，云服务 4世界经济论坛《2022年全球网络安全展望报告》 客户也面临诸多实践痛点，对云安全责任共担模式提出了更切实的需求和期望。 不同行业上云形式复杂，多主体安全责任划分需求迫切。各行业在推进数字化转型的过程中，结合业务需求和安全要求，常选择多云 /混合云的部署模式，需与多个云服务商建立安全责任划分机制。同时，云安全建设涉及网络安全防护、数据保护、安全审计等多个方面，云服务客户往往整合多家云安全厂商能力，也需进一步明确各厂商的责任范围。如何建立和实现与多个云服务商、云安全厂商的责任共担协作机制成为云服务客户的迫切需求。 企业内云安全涉及多个相关部门，需通过责任划分推动各方落实安全举措。随着各行业用云程度不断加深，企业不仅仅购买计算、存储、网络等云服务资源，更加侧重基于微服务、DevOps等云计算技术重构软件架构，单体软件实现微服务分布式部署，传统线下业务也不断迁移至云上。仅依靠安全部门进行网络安全防护难以有效应对云带来的安全挑战，云服务客户的安全工作需融入软件开发、业务运营等各个环节，要求安全部门、开发部门、业务部门、运维部门等多个部门的参与，通过梳理各部门安全责任以推动相关人员提升安全意识、落实安全举措十分必要。 二、二、新新理态念势：：建建立立云云安安全全责责任任共共担担22.0.0体体系系 过去几年，云安全责任共担相关的标准规范、模型实践侧重云服务商与云服务客户间的责任划分，范围聚焦在基础设施能力类云服务、平台能力类云服务、应用能力类云服务中，目的是理清双方责任边界。随着政策标准、外部安全态势、各行业上云情况的变化，云安全责任共担也面临新的发展需求，本报告以应对新态势为关键，建立了云安全责任共担2.0体系，与以往相比，2.0体系具备如下新特征： 一是增加关注主体，考虑云安全厂商角色在责任共担中的定位作用，适应云服务客户安全建设发展的需求；二是明确基本原则，以责任划分合理条件下如何高质量开展云安全工作为根本目的，强调最大化发挥各主体优势、协作保障云上业务和数据安全，加强各主体对责任共担的理解；三是剖析云安全服务和云运维运营服务对云安全责任共担的影响与作用，在以往聚焦资源类云服务的责任共担实践基础上，进一步扩展保障类云服务。 （一）明确云安全责任共担主体角色 在以往的云安全责任共担体系中，往往关注云服务客户和云服务商两类主体，随着安全需求和工作的复杂化发展，云服务客户使用的云安全服务增多，云安全厂商在责任共担中的作用凸显。本报告提出的2.0体系中增加云安全厂商这一主体角色，进一步贴合上云用云时的实际安全场景。 云服务客户：使用云服务的企事业客户和个人客户。云服务客户 可能购买和使用不同类型的云服务，如基于基础设施能力类云服务开发应用软件，或直接使用应用能力类云服务。 云服务商：提供云服务的组织机构。云服务商可以提供基础设施能力类云服务、平台能力类云服务、应用能力类云服务中的一种或多种云服务，或云运维运营服务。对于仅提供平台能力类云服务或应用能力类云服务的云服务商，其基础资源可以是基础设施能力类云服务 /平台能力类云服务，也可以是物理机等非云服务资源。 云安全厂商：提供云安全服务的组织机构。云安全厂商可以提供云工作负载保护、云网络防护、数据安全、安全运营等一种或多种云安全服务，服务可以是技术工具，也可以是人员服务。云安全厂商主要包括两类，一类是云服务商，在为云服务客户提供云服务的同时提供原生化的云安全服务；另一类是传统安全厂商，将已有安全工具云化改造或面向云场景开发新的云安全服务。 图2云安全责任共担主体 7 一个组织机构可能同时承担一种以上的主体角色，如云服务商为云服务客户提供云安全工具或人员服务，则云服务商同时承担云安全厂商的职责；云服务客户基于基础设施能力类云服务或平台能力类云服务开发应用软件后，对外提供应用能力类云服