云计算信息安全管理 CSA C-STAR实施指南

《云计算信息安全管理 CSA C-STAR实施指南》包括理论篇和实践篇两部分，详细介绍了云计算环境下的信息安全管理指南。理论篇从梳理Gartner、云计算安全联盟（CSA）、欧洲网络与信息安全局（ENISA）等知名研究组织提出的云计算环境下所面临的安全问题着手，分析总结了现阶段常见的云计算环境下的信息安全风险；同时，对现有的国内外成熟的云计算信息安全管理标准及常见的云计算信息安全管理方法和模型进行了分析，有针对性地提出了C－STAR分级模型及评估方法。实践篇从应用和接口安全，审计保证与合规性，业务连续性管理和操作弹性，变*控制和配置管理，数据安全和信息生命周期管理，数据中心安全，加密和密钥管理，治理和风险管理，人力资源，身份识别和访问管理，基础设施和虚拟化安全，互操作性和可移植性，移动安全，安全事件管理、电子证据及云端调查取证，供应链管理、透明性及责任，威胁和脆弱性管理等16个方面详细解读了C－STAR体系规范中各项条款的内容和含义，同时给出了企业实施落地的实践参考，使C－STAR管理体系的建立者能深入理解各项条款的要求，并正确应用相关参考内容建设云计算环境的信息安全管理体系，有针对性地开展云计算安全管理。
《云计算信息安全管理 CSA C-STAR实施指南》融通俗性、完整性、实用性于一体，为打算／正在建立云计算信息安全管理体系的企业提供参考，为准备接受C－STAR评估的企业提供自我检查的依据，为开展C－STAR的评估人员提供技术指导，也可作为云计算工程技术人员、云安全应用研究人员、信息安全从业人员的参考工具书。

理论篇

第1章 云计算发展历程 （2）
1．1 云计算的出现和发展 （2）
1．2 云计算与传统IT的联系 （3）
1．2．1 云计算与网格计算的关系 （3）
1．2．2 云计算与对等计算的关系 （5）
1．2．3 云计算与集群计算的关系 （5）
1．2．4 云计算与资源虚拟化的关系 （6）
1．2．5 云计算与Web服务技术的关系 （8）
1．2．6 云计算与传统IT的区别 （8）
1．3 云计算的特点 （10）
1．3．1 泛在网络访问 （11）
1．3．2 服务可度量 （11）
1．3．3 多租户 （11）
1．3．4 按需自助服务 （11）
1．3．5 快速弹性伸缩 （12）
1．3．6 资源池化 （13）
1．4 本章小结 （14）
第2章 云计算所面临的安全问题 （15）
2．1 案例分析 （16）
2．1．1 Google安全问题及事件分析 （16）
2．1．2 Amazon宕机事件及应对措施分析 （16）
2．1．3 Apple服务安全事件及应对措施分析 （17）
2．1．4 微软云服务安全事件及应对措施分析 （17）
2．2 云计算所面临的安全问题总结 （18）
2．2．1 云安全问题的研究分析 （18）
2．2．2 安全问题分类 （23）
2．3 本章小结 （31）
第3章 云计算信息安全管理标准介绍 （32）
3．1 云计算信息安全管理标准化工作概述 （32）
3．1．1 国外标准化概况 （32）
3．1．2 国内标准概况 （37）
3．2 云计算信息安全管理标准化主要成果分析 （42）
3．2．1 CSA云安全控制矩阵 （42）
3．2．2 国标云服务安全标准 （44）
3．2．3 美国联邦政府风险与授权管理项目FedRAMP （47）
3．2．4 ENISA《云计算信息安全保障框架》 （51）
3．2．5 ISO/IEC 27018 《信息技术―安全技术―公有云中作为个人信息（PII）
处理者的个人信息保护实用规则》 （54）
3．2．6 ISO/IEC 27001：2013《信息技术―安全技术―信息安全管理体系要求》 （56）
3．3 本章小结 （58）
第4章 云计算信息安全管理方法和模型 （60）
4．1 常见的信息安全管理方法 （60）
4．1．1 信息安全管理体系 （60）
4．1．2 信息安全等级保护 （65）
4．1．3 CERT-RMM模型 （68）
4．1．4 其他ISMS 成熟度模型 （73）
4．1．5 专业领域的信息安全管理方法 （76）
4．2 云计算安全管理方法 （78）
4．2．1 云计算安全管理体系 （79）
4．2．2 云计算安全管理的实施 （81）
4．3 云计算信息安全评估模型 （84）
4．3．1 SSE-CMM模型 （84）
4．3．2 C-STAR模型 （87）
4．4 本章小结 （90）
实践篇

第5章 应用和接口安全（AIS） （94）
5．1 应用和接口安全要求 （94）
5．1．1 应用和接口安全概述 （95）
5．1．2 控制条款解读 （96）
5．2 落地实施建议 （100）
第6章 审计保证与合规性（AAC） （102）
6．1 审计保证与合规性要求 （102）
6．1．1 审计保证与合规性概述 （103）
6．1．2 控制条款解读 （103）
6．2 落地实施建议 （113）
第7章 业务连续性管理和操作弹性（BCR） （116）
7．1 业务连续性管理和操作弹性要求 （116）
7．1．1 业务连续性管理和操作弹性概述 （117）
7．1．2 控制条款解读 （117）
7．2 落地实施建议 （126）
第8章 变更控制和配置管理（CCC） （133）
8．1 变更控制和配置管理要求 （133）
8．1．1 变更控制和配置管理概述 （134）
8．1．2 控制条款解读 （135）
8．2 落地实施建议 （138）
第9章 数据安全和信息生命周期管理（DSI） （150）
9．1 数据安全和信息生命周期管理要求 （150）
9．1．1 数据安全和信息生命周期管理概述 （151）
9．1．2 控制条款解读 （151）
9．2 落地实施建议 （157）
第10章 数据中心安全（DCS） （161）
10．1 数据中心安全要求 （161）
10．1．1 数据中心安全概述 （162）
10．1．2 控制条款详解 （162）
10．2 落地实施建议 （167）
第11章 加密和密钥管理（EKM） （170）
11．1 加密和密钥管理要求 （170）
11．1．1 加密和密钥管理概述 （171）
11．1．2 控制条款解读 （172）
11．2 落地实施建议 （176）
第12章 治理和风险管理（GRM） （178）
12．1 治理和风险管理要求 （178）
12．1．1 治理和风险管理概述 （179）
12．1．2 控制条款解读 （179）
12．2 落地实施建议 （189）
第13章 人力资源（HRS） （197）
13．1 人力资源安全要求 （197）
13．1．1 人力资源安全概述 （198）
13．1．2 控制条款解读 （199）
13．2 落地实施建议 （208）
第14章 身份识别和访问管理（IAM） （210）
14．1 身份识别和访问管理要求 （210）
14．1．1 身份识别和访问管理概述 （211）
14．1．2 控制条款解读 （212）
14．2 落地实施建议 （221）
第15章 基础设施和虚拟化安全（IVS） （225）
15．1 基础设施和虚拟化安全要求 （225）
15．1．1 基础设施和虚拟化安全概述 （226）
15．1．2 控制条款解读 （227）
15．2 落地实施建议 （241）
第16章 互操作性和可移植性（IPY） （243）
16．1 互操作性和可移植性要求 （243）
16．1．1 互操作性和可移植性概述 （244）
16．1．2 控制条款解读 （245）
16．2 落地实施建议 （248）
第17章 移动安全（MOS） （250）
17．1 移动安全要求 （250）
17．1．1 移动安全概述 （251）
17．1．2 控制条款解读 （252）
17．2 落地实施建议 （269）
第18章 安全事件管理、电子证据及云端调查取证（SEF） （271）
18．1 安全事件管理、电子证据及云端调查取证要求 （271）
18．1．1 安全事件管理、电子证据及云端调查取证概述 （272）
18．1．2 控制条款解读 （273）
18．2 落地实施建议 （278）
第19章 供应链管理、透明性及责任（STA） （283）
19．1 供应链管理、透明性及责任要求 （283）
19．1．1 供应链管理、透明性及责任概述 （284）
19．1．2 控制条款解读 （286）
19．2 落地实施建议 （292）
第20章 威胁和脆弱性管理（TVM） （295）
20．1 威胁和脆弱性管理要求 （295）
20．1．1 威胁和脆弱性管理概述 （296）
20．1．2 控制条款解读 （297）
20．2 落地实施建议 （300）
附录A CSA云安全控制矩阵ISO/IEC 27001：2013对照条款 （302）
参考文献 （317）

《云计算信息安全管理 CSA C-STAR实施指南》：
2.管理安全
数据的所有权与管理权分离是云服务模式的一个重要特点。由于用户并不直接控制云计算系统，对系统的防护依赖于云服务提供商，而云服务提供商对用户的上层应用并不清楚，因此双方需要在安全界面上达成一致。安全责任分配不清，很可能带来新的安全风险。用户使用云计算模式，也意味着放弃或降低了诸多影响安全问题的决策权和管理权。用户将所属的数据外包给云服务商或者委托其运行所属的应用时，云服务商就获得了该数据或应用的优先访问权。在这种情况下，云服务提供商的管理规范度、对合同的履行情况、双方安全界面的划分、服务提供商的连续服务能力将直接影响到用户应用和数据的安全。云计算管理方面的安全问题主要体现在以下几个方面。
1）资产管理
针对云服务的特性，在信息安全领域将组织的资产划分为数据资产和应用／功能／过程资产两个方面。企业的核心价值通过这两类资产的形式体现出来，通过风险评估识别出每类资产所面临的风险（如泄露、破坏、篡改等），以对每类资产采取相应的控制措施，将组织资产遭受损失的可能性和破坏性降到最低。
（1）数据资产。信息安全的主要目标之一是保护系统和应用程序的基础数据。当向云计算过渡的时候，传统的数据安全方法将遭遇到云模式架构的挑战。弹性、多租户、新的物理和逻辑架构，以及抽象的控制需要新的数据安全策略。在许多云部署中，数据会传输到外部甚至公众的环境中，这种方式在前几年是无法想象的。云服务提供商必须向数据所有者保证按照SLA中定义的安全实践和规程提供“全面披露”（透明性）。
（2）应用／功能／过程资产。把应用／功能／过程（从某些部分功能一直到全部的应用程序）搬进云里，在云计算体系中，应用并不需要一定在同一地点，可以只转移部分功能到云里。在这样的情况下，对于云风险的评估就首先需要确定把什么样的功能迁移进云，某些资产在项目范围逐渐扩大时有可能会逐渐被牵扯进来。对于这类资产也应当作为资产管理所考虑的一部分。2）人员管理
人员管理的风险主要体现在内部人员管理风险和用户管理风险。云服务提供商的内部人员，特别是具有高级权限管理员的失职，将可能给用户数据安全带来很大的威胁，如导致用户数据泄露，甚至将其盗卖给竞争对手。而另一方面，云服务提供商如果对用户登记管理不严，任何人或组织都可以注册并立即使用云服务，将为网络犯罪分子滥用云计算提供便利，网络犯罪分子将可以利用云服务进行攻击或发送恶意软件，危及其他用户的安全。
3）业务连续性管理
服务供应商应保证数据中心的运行连续性，保障服务连续性，尤其是在出现一些严重问题时，如火灾、长时间停电以及网络故障等。对于云服务提供商，需要进行业务连续性管理，制定相应的业务连续性规划，并且能够得以落实和实施，使得当出现灾难时，可以快速地恢复业务，继续为用户提供服务。
4）合规性管理
云计算的虚拟性及国际性特点催生出了许多法律和监管层面的问题。首先，云计算应用具有地域性弱、信息流动性大的特点，信息服务或用户数据可能分布在不同地区甚至国家，在政府信息安全监管等方面可能存在法律差异与纠纷，不同国家有不同的司法系统，这就会带来潜在的法律风险。将数据存储到云上或许会突破本地政府的监管范围，而这是监管部门通常所不允许的；即便允许，当出现冲突时，应该遵从哪一方制定的规则也是一个问题。其次，如果出现了云计算安全问题，谁应该为此负责，不同国家对数据丢失责任、数据知识产权保护、数据的公开政策的司法解释可能是不一样的。最后，由于虚拟化等技术引起的用户间物理界限模糊而可能导致的司法取证问题也十分棘手。
5）运营管理
云计算的发展趋势之一是IT服务专业化，云服务提供商在对外提供服务的同时，自身也购买其他云服务提供商所提供的服务。因而用户所享用的云服务间接涉及多个服务提供商，多层转包无疑极大地增加了问题的复杂性，也进一步增加了安全风险。此外，在理想情况下，云服务提供商将不会破产或被大公司收购，但是用户仍需要确认，在这类问题的情况下，自己的数据不会受到影响。用户需要向云服务提供商确认如何拿回自己的数据，以及拿回的数据是否能被导入到替代的应用程序中。
……