云安全平台责任与治理_61页_2mb

云平台安全责任治理报告总结

核心内容概述

本报告聚焦于云平台安全责任议题，探讨了云平台在系统、应用、数据、内容四个安全域中的责任划分问题。报告基于“安全域-责任主体-服务模式”的分析框架，结合国内外政策法规和行业实践，提出了构建“权利-责任”动态匹配的云平台安全责任分担框架，并为我国云平台安全治理提供了对策建议。

主要观点

1. 云平台是经济社会运行的重要网络基础设施，提供包括互联网资源协作服务、内容分发服务、接入服务和域名解析服务等四类电信业务。
2. 云平台安全责任涉及多方主体，包括监管部门、云平台服务商和云平台用户。
3. 云平台安全责任划分与服务模式密切相关，不同服务模式（IaaS、PaaS、SaaS）下，服务商与用户的责任范围和程度不同。
4. 当前国内外云平台安全政策法规较为原则，在具体责任界定方面存在模糊地带，影响监管实践的有效性。
5. 云平台安全治理需考虑权利与义务的对等性，避免“一刀切”的治理方式，以提升治理效率和公平性。
6. 云平台安全责任治理需创新监管理念和方式，推动多方协同治理，提升安全责任分担的合理性。
7. 云平台安全责任治理应注重行业实践，如金融云、医疗云、教育云等重点领域的最佳实践。

关键信息

云平台服务模式

• IaaS（基础设施即服务）：云平台服务商负责底层基础设施安全，用户负责操作系统、应用程序、网络配置等。
• PaaS（平台即服务）：云平台服务商负责平台基础安全，用户负责应用和数据安全。
• SaaS（软件即服务）：云平台服务商负责平台及软件安全，用户负责数据安全和访问控制。

四大安全域

1. 系统安全：包括云主机、虚拟化平台、通讯安全等，涉及云平台服务商与用户共同的责任。
2. 应用安全：包括应用部署、开发、配置、运行等环节的安全，主要由用户负责，但云平台服务商也有相应义务。
3. 数据安全：涵盖数据传输、存储、使用等环节，云平台服务商需履行日志留存、数据分类、数据跨境管理等义务，用户需承担最终安全责任。
4. 内容安全：涉及内容的合法性和合规性，云平台服务商需承担内容巡查、违法内容处置等责任，但用户也有相应义务。

国内外监管现状

• 国内监管：主要依据《网络安全法》《计算机信息网络国际联网安全保护管理办法》等法规，对云平台服务商和用户的责任进行了规定，但尚未形成专门的云平台安全法律。
• 国外监管：
  • 美国：通过FedRAMP等机制对云平台进行安全评估和授权，强调云平台服务商与用户的共同责任。
  • 欧盟：重视云安全标准与合同规范，如GDPR对数据安全提出新的义务，强调用户与服务商在数据安全和内容安全方面的责任划分。

行业实践

• AWS：提供IaaS和PaaS服务，责任划分明确，云平台服务商负责基础设施安全，用户负责业务系统安全。
• 微软Azure：根据用户部署模式划分安全责任，强调云平台服务商和用户共同管理部分安全措施。
• 腾讯云：基于信息资产和产品功能划分责任，提供安全服务，用户需负责数据和应用安全。
• 阿里云：构建了多层安全防护体系，提供云盾等安全服务，用户需负责应用系统的安全。
• 华为云：构建了多维立体安全防护体系，租户需负责虚拟网络、平台、应用、数据、管理、安全等服务的配置与运维。
• 行业标准：
  • PCI DSS：谷歌云和HealthcareBlocks云均基于该标准，云平台服务商和用户共同承担安全责任。
  • HIPAA：HealthcareBlocks云基于HIPAA合规要求，提出了专门的安全责任分担模型。

对策建议

1. 完善政策法规，合理界定云平台服务商和用户的安全责任边界。
2. 创新监管方式，通过个案授权和类型化监管提高监管的精准性与效率。
3. 加强治理理念，推动多元主体协同治理，形成安全责任共担机制。
4. 探索服务模式，推动云平台安全责任分担模型的创新与应用。
5. 抓住重点行业，在金融、医疗、教育、工业等关键领域探索最佳实践。

结论

云平台安全责任治理是一个复杂而重要的议题，涉及多方主体的协同合作。当前政策法规尚未完全适应云平台的特殊性，行业实践已形成一定共识，但仍需进一步标准化和制度化。构建“权利-责任”动态匹配的治理框架，有助于提升云平台安全治理的效率与公平性，推动云平台安全责任的合理划分。