云计算安全责任共担白皮书（2020年）_69页_2mb

云计算安全责任共担白皮书总结

核心内容概述

云计算作为新型基础设施，已成为企业数字化转型的重要支撑。然而，随着其广泛应用，安全问题日益突出，成为影响其发展的重要因素。因此，建立“安全责任共担”模型，明确云计算相关方的责任划分，成为保障云计算安全的重要举措。

本白皮书分析了云计算安全责任共担的必要性，构建了适用于公有云的精细、可落地的安全责任共担模型，并对不同服务模式（IaaS、PaaS、SaaS）下的安全责任进行了分类与划分。此外，白皮书还探讨了云计算安全责任共担的未来发展趋势，并提供了多个优秀案例，如阿里云和华为云等，说明其在不同场景下的责任承担方式。

主要观点

1. 云计算安全责任共担已成为行业共识

• 云计算的复杂性与多级嵌套的服务关系决定了单一责任方难以承担所有安全责任。
• 安全责任共担模式通过明确云服务商与云客户之间的责任边界，确保云计算平台与用户数据的安全性。
• 各大云服务商（如AWS、Azure、阿里云、华为云等）均推出了各自的“责任共担”模型，推动行业标准化与规范化。

2. 安全责任共担模型结构清晰，适用性强

• 模型将安全责任划分为七类：物理基础设施、资源抽象和管理、操作系统、网络控制、应用、数据、身份识别和访问管理（IAM）。
• 该模型适用于IaaS、PaaS、SaaS等不同云服务模式，并为其他部署模式（如私有云、社区云、混合云）提供参考。

3. 安全责任划分需结合实际场景

• 部分安全责任必须由云服务商或云客户承担，部分责任可协商分配。
• 云服务商与云客户需协同工作，确保责任划分的合理性与可执行性。

关键信息

1. 云计算安全责任共担的必要性

• 事前：深入落实安全责任可有效规避安全事件。
• 事中：根据事件属性快速响应与处置，防止损失扩大。
• 事后：明确责任划分，为法律、保险等后续处理提供依据。

2. 安全责任共担模型的应用现状

• 云服务商已普遍推出各自的安全责任共担模型。
• 标准组织（如中国信通院、CSA）也提出了相关规范与指南，如《GB/T 22239-2019》与《GB/T31167-2014》。
• 模型的实施仍面临诸多挑战，包括责任划分差异、客户意识薄弱、技术审查难度大等。

3. 安全责任共担模型的结构

• 物理基础设施：包括数据中心环境、运营、容灾、设备生命周期、基础架构安全。
• 资源抽象和管理：涵盖安全隔离、虚拟化平台、云控制台、API、产品安全。
• 操作系统：涉及镜像安全、安全监测、备份。
• 网络控制：包括安全组、网络类型选择、IP黑白名单配置。
• 应用：应用生命周期、安全管理、内容安全、域名备案。
• 数据：数据存储、传输、访问、迁移、销毁、分类分级、合规、审查与取证。
• 身份识别和访问管理：包括密码策略、身份认证、操作日志、用户与权限管理、实名备案。

未来发展趋势

1. 行业成熟度提升：随着云计算的发展，云服务商与客户的责任共担意识将不断增强，行业将更加规范。
2. 监管政策完善：政府将不断健全相关法律法规，如《网络安全法》《侵权责任法》等，为责任划分提供法律依据。
3. 技术进步：AI、大数据等技术将提升云服务商对云客户行为的巡查能力，实现更全面的安全审查。
4. 安全生态完善：云安全产品生态日趋丰富，云服务商与安全厂商共同推动云客户安全能力提升，增强其责任承担能力。

优秀案例

阿里云

• 物理基础设施安全：满足国家和国际标准，提供容灾服务。
• 资源抽象和管理安全：通过飞天系统实现安全隔离，提供云控制台、API、产品安全。
• 操作系统安全：保障镜像安全，提供主机安全监测与备份。
• 网络控制安全：提供安全组、VPC、IP黑白名单等功能。
• 应用安全：建立漏洞管理机制，进行内容安全审查与域名备案。
• 数据安全：保障数据生命周期安全，提供数据分类分级、传输加密、存储加密等服务。
• IAM安全：提供密码策略、身份认证、操作日志审计、权限管理、实名认证等功能。

华为云

• 物理基础设施安全：满足标准，提供容灾和设备生命周期管理。
• 资源抽象和管理安全：以统一虚拟化平台为核心，实现安全隔离与平台安全。
• 操作系统安全：保障镜像安全，提供主机安全监测与备份。
• 网络控制安全：提供安全组、VPC、IP黑白名单等服务。
• 应用安全：进行漏洞管理与内容安全审查，提供备案服务。
• 数据安全：覆盖数据生命周期各阶段，保障数据安全。
• IAM安全：实施严格的权限管理、密码策略、身份认证等。

总结

本白皮书系统阐述了云计算安全责任共担的必要性、模型框架、责任识别与划分，以及未来发展趋势。它不仅为云服务商和云客户提供了清晰的责任划分依据，也对云计算安全生态的发展提出了展望。通过优秀案例的分享，进一步明确了不同云服务模式下的责任承担方式，为行业实践提供了重要参考。