公司新聞

云時(shí)代的密碼保障系統(tǒng)建設(shè)（上）| 云上安全，云平臺(tái)首當(dāng)其沖

發(fā)布時(shí)間: 2022-05-31

數(shù)字化發(fā)展至今，“上云”幾乎成了企事業(yè)單位尋求業(yè)務(wù)創(chuàng)新的共同目標(biāo)。誠然，云所帶來的好處顯而易見。低成本、高彈性、快速敏捷、易集成……然而，隨著越來越多業(yè)務(wù)系統(tǒng)遷至云端，云上安全也正在成為護(hù)航數(shù)字化發(fā)展的“主戰(zhàn)場(chǎng)”。云端用戶身份鑒別、非授權(quán)訪問、數(shù)據(jù)傳輸和存儲(chǔ)安全、以及關(guān)鍵操作的抗抵賴等，都需要強(qiáng)而有力的密碼技術(shù)來作為基礎(chǔ)安全支撐。

然而，目前云端業(yè)務(wù)普遍呈現(xiàn)出密碼應(yīng)用較為薄弱的特點(diǎn)，在身份認(rèn)證、網(wǎng)絡(luò)層間安全通道的構(gòu)建、敏感數(shù)據(jù)傳輸安全等風(fēng)險(xiǎn)地帶，未采用密碼措施、采用高風(fēng)險(xiǎn)算法、密鑰管理不合規(guī)等密碼應(yīng)用不規(guī)范、密碼應(yīng)用不成體系等問題屢見不鮮，給云平臺(tái)及云上系統(tǒng)帶來了不小的安全隱患。

隨著國家《密碼法》、《GB/T 39786-2021 信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》(以下簡(jiǎn)稱“GB/T 39786”)、《信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》等政策相繼落地，關(guān)鍵信息基礎(chǔ)設(shè)施、等保三級(jí)及以上信息系統(tǒng)必須“過密評(píng)”，成為業(yè)內(nèi)心照不宣的一道應(yīng)試題。GB/T 39786明確對(duì)云平臺(tái)/信息系統(tǒng)的物理層、網(wǎng)絡(luò)層、設(shè)備層、應(yīng)用層分別提出了要求和考核指標(biāo)，因此，建設(shè)一套安全、合規(guī)、有效的云上密碼保障系統(tǒng)，不但是云上業(yè)務(wù)安全發(fā)展的剛需，也是順利通過密評(píng)的“王道”。

01“籃子”和“雞蛋”

在密碼保障系統(tǒng)建設(shè)之前，我們需要明確，云上密碼保障系統(tǒng)建立主要分為兩個(gè)層次：

1 云平臺(tái)密碼保障系統(tǒng)：針對(duì)云平臺(tái)自身密碼應(yīng)用的密碼保障系統(tǒng)建設(shè)，該部分建設(shè)的責(zé)任主體為云平臺(tái)的運(yùn)營(yíng)者。

2云上應(yīng)用密碼保障系統(tǒng)：針對(duì)云上應(yīng)用系統(tǒng)密碼應(yīng)用的密碼保障系統(tǒng)建設(shè)，該部分建設(shè)的責(zé)任主體為云上應(yīng)用的運(yùn)營(yíng)者。

就好比“籃子”和“雞蛋”的關(guān)系，如果云平臺(tái)這個(gè)“籃子”自身安全不保，那部署在云平臺(tái)上的業(yè)務(wù)系統(tǒng)就更無安全可言。原則上說，只有云平臺(tái)通過商用密碼應(yīng)用測(cè)評(píng)后，云上應(yīng)用系統(tǒng)才能通過商用密碼應(yīng)用測(cè)評(píng)。因此，要保障云上業(yè)務(wù)安全，云平臺(tái)的密碼保障系統(tǒng)建設(shè)首當(dāng)其沖，也是我們今天討論的重點(diǎn)。

02 先打破一個(gè)“誤區(qū)”

在討論如何建設(shè)云平臺(tái)密碼保障系統(tǒng)之前，我們先打破一個(gè)“誤區(qū)”。

很多廠商認(rèn)為，“云平臺(tái)密碼應(yīng)用，就是為云上系統(tǒng)提供密碼服務(wù)”。在這樣的思想誤導(dǎo)下，很多廠商密碼應(yīng)用方案的側(cè)重點(diǎn)在于面向租戶提供密碼服務(wù)的能力，而忽略了云平臺(tái)自身的合規(guī)性建設(shè)，這就違背了密碼保障系統(tǒng)建設(shè)的初衷。

事實(shí)上，云平臺(tái)系統(tǒng)的密碼應(yīng)用分為兩個(gè)層面：一是云平臺(tái)系統(tǒng)為滿足自身安全需求所采用的密碼技術(shù)，二是云平臺(tái)為云上應(yīng)用提供的密碼支撐能力。因此，在云平臺(tái)密碼保障系統(tǒng)建設(shè)中，首先應(yīng)考慮的是云平臺(tái)自身的安全、合規(guī)性問題，其次才是面向云上系統(tǒng)的密碼供給能力。舍本逐末的做法不僅難以保障業(yè)務(wù)安全，在實(shí)際評(píng)估中也很難通過密評(píng)。

03 威廉希尔云平臺(tái)密碼保障系統(tǒng)建設(shè)之道

遵循國家政策“三同步一評(píng)估”的指導(dǎo)思想，云平臺(tái)的密碼保障系統(tǒng)建設(shè)同樣按照“明確范圍與保護(hù)對(duì)象、分析密碼應(yīng)用需求、制定密碼應(yīng)用方案”的三步方法論開展。

首先，通過梳理重要數(shù)據(jù)信息流向和承載實(shí)體（物理安全邊界、計(jì)算環(huán)境），明確范圍和保護(hù)對(duì)象。

云平臺(tái)的訪問對(duì)象包括云租戶、云平臺(tái)管理員、遠(yuǎn)程運(yùn)維人員3類，其業(yè)務(wù)操作類型為業(yè)務(wù)訪問、虛擬資源管理和調(diào)度、設(shè)備運(yùn)維，由此可以梳理出云平臺(tái)的業(yè)務(wù)信息流包括3條：租戶通過互聯(lián)網(wǎng)訪問云資源區(qū)、云平臺(tái)管理員訪問云管平臺(tái)、遠(yuǎn)程運(yùn)維人員訪問安全管理區(qū)進(jìn)行設(shè)備運(yùn)維。這其中涉及的重要數(shù)據(jù)，包括鑒別數(shù)據(jù)（如口令）、快照、鏡像數(shù)據(jù)、日志審計(jì)數(shù)據(jù)、關(guān)鍵配置數(shù)據(jù)等。

其次，通過重要數(shù)據(jù)信息流向節(jié)點(diǎn)，從機(jī)密性、完整性、真實(shí)性、不可否認(rèn)性四個(gè)方面，分析各個(gè)環(huán)節(jié)存在的安全風(fēng)險(xiǎn)及密碼應(yīng)用需求。以作為云平臺(tái)重要數(shù)據(jù)的鏡像文件保護(hù)為例，其安全需求到底是機(jī)密性還是完整性，或者二者兼有，業(yè)界說法不一。威廉希尔認(rèn)為，鏡像文件數(shù)據(jù)的分級(jí)分類是由云上應(yīng)用系統(tǒng)的具體業(yè)務(wù)所決定的，并非鏡像文件的全部?jī)?nèi)容都是敏感信息，無需全部進(jìn)行機(jī)密性保護(hù)。因此，鏡像文件只有完整性需求，機(jī)密性需求應(yīng)歸結(jié)到云上應(yīng)用系統(tǒng)的安全方案中去做。這點(diǎn)也在實(shí)踐中得到了權(quán)威測(cè)評(píng)機(jī)構(gòu)的認(rèn)可。

最后，方案制定。

基于多年服務(wù)于各個(gè)領(lǐng)域的密碼應(yīng)用經(jīng)驗(yàn)，北京威廉希尔股份有限公司（簡(jiǎn)稱“威廉希尔”）面向云平臺(tái)密碼保障系統(tǒng)建設(shè)需求，推出基于密碼云服務(wù)平臺(tái)的密碼保障系統(tǒng)建設(shè)方案。該方案根據(jù)GB/T 39786的基本要求，針對(duì)云平臺(tái)大文件加密等特性需求，在云平臺(tái)自身合規(guī)性和對(duì)云上系統(tǒng)提供的密碼服務(wù)等方面進(jìn)行了重點(diǎn)設(shè)計(jì)，為云平臺(tái)的云管平臺(tái)以及云平臺(tái)下三層（物理與環(huán)境安全、網(wǎng)絡(luò)與通信安全、設(shè)備與計(jì)算安全）提供安全、合規(guī)的密碼能力支撐，為云上應(yīng)用系統(tǒng)提供敏捷、高效的密碼服務(wù)，保障云平臺(tái)用戶身份真實(shí)性，以及數(shù)據(jù)的機(jī)密性、完整性和不可否認(rèn)性。

融合云架構(gòu)特點(diǎn)及密碼服務(wù)能力的全面化，云平臺(tái)密碼保障系統(tǒng)建設(shè)方案通過將密碼資源和密碼服務(wù)虛擬化，構(gòu)建CRaaS、CFaaS、CBaaS三層架構(gòu)，提供統(tǒng)一的、標(biāo)準(zhǔn)的、規(guī)范的全場(chǎng)景密碼服務(wù)，涵蓋身份認(rèn)證、電子簽名、數(shù)據(jù)加解密、時(shí)間戳服務(wù)等，并配套門禁系統(tǒng)、SSL VPN安全網(wǎng)關(guān)、安全認(rèn)證網(wǎng)關(guān)等密碼產(chǎn)品，全面支撐云平臺(tái)在物理和環(huán)境層、網(wǎng)絡(luò)和通信層、設(shè)備和計(jì)算層、應(yīng)用和數(shù)據(jù)層的密碼應(yīng)用需求。

依托于“安全合規(guī)、敏捷高效、廣泛兼容、功能完備”的密碼服務(wù)能力，威廉希尔已面向多家部級(jí)單位、省級(jí)大數(shù)據(jù)局等的私有云平臺(tái)、政務(wù)云平臺(tái)提供以密碼為核心的云平臺(tái)安全保障系統(tǒng)建設(shè)，保障云平臺(tái)業(yè)務(wù)開展的安全性、合法性、合規(guī)性。

案例

某政務(wù)云平臺(tái)密碼保障系統(tǒng)建設(shè)

某省政務(wù)云平臺(tái)，主要為各市級(jí)單位用戶提供標(biāo)準(zhǔn)化、規(guī)范化、統(tǒng)一化的政務(wù)云服務(wù)，承載著多個(gè)政務(wù)部門以及政府門戶網(wǎng)站等政務(wù)應(yīng)用系統(tǒng)。為順利推進(jìn)政務(wù)云平臺(tái)密碼應(yīng)用升級(jí)改造，威廉希尔在前期調(diào)研密碼應(yīng)用需求的基礎(chǔ)上，通過在互聯(lián)網(wǎng)接入?yún)^(qū)、公共網(wǎng)絡(luò)接入?yún)^(qū)、安全管理區(qū)配置合規(guī)的網(wǎng)關(guān)設(shè)備，采用密碼技術(shù)建立安全的數(shù)據(jù)傳輸通道，實(shí)現(xiàn)各鏈路通信實(shí)體的身份鑒別，同時(shí)保障了數(shù)據(jù)在通訊過程中的機(jī)密性、完整性；在政務(wù)公共網(wǎng)云資源區(qū)部署密碼云服務(wù)平臺(tái)，云管平臺(tái)調(diào)用密碼云服務(wù)平臺(tái)的加解密服務(wù)、簽名服務(wù)等實(shí)現(xiàn)了用戶鑒別數(shù)據(jù)的傳輸和存儲(chǔ)機(jī)密性保護(hù)以及鏡像數(shù)據(jù)、日志審計(jì)數(shù)據(jù)和關(guān)鍵配置數(shù)據(jù)的存儲(chǔ)完整性保護(hù)；結(jié)合部署在政務(wù)互聯(lián)網(wǎng)云資源區(qū)的密碼云服務(wù)平臺(tái)，面向政務(wù)互聯(lián)網(wǎng)、政務(wù)公共網(wǎng)的云上應(yīng)用系統(tǒng)提供多種密碼服務(wù)。

威廉希尔云平臺(tái)密碼保障系統(tǒng)的建設(shè)，保障了該省政務(wù)云平臺(tái)自身的合規(guī)性，實(shí)現(xiàn)了云平臺(tái)密碼資源管理的全面觸達(dá)，密碼服務(wù)應(yīng)用的全面覆蓋。

數(shù)字化時(shí)代，云安全已成為企事業(yè)單位乘“云”破浪的剛需標(biāo)配?！拔从昃I繆而勿臨淵掘井”，建設(shè)一套安全有效的密碼保障系統(tǒng)，是滿足國家密評(píng)要求的必需之舉，也是企事業(yè)單位行穩(wěn)致遠(yuǎn)的基礎(chǔ)支撐。威廉希尔將不斷完善解決方案，助力客戶打造安全、可信、高效的云上環(huán)境，更好地迎接數(shù)字化挑戰(zhàn)和變革。

分享到: