云计算平台安全性评测方法-征求意见稿教材.doc

ICS?点击此处添加ICS号 点击此处添加中国标准文献分类号 ????? DB 广东省地方标准 DB44/T XXXXX—XXXX ????? 云计算平台安全性评测方法 Testing method for security of cloud computing platform （征求意见稿） 2014 - XX - XX发布 2014 - XX - XX实施 广东省质量技术监督局???发布 目????次 前言 II 1　范围 1 2　规范性引用文件 1 3　术语和定义 1 4　缩略语 2 5　平台安全通用要求 2 5.1　数据中心安全 2 5.2　访问控制 4 5.3　虚拟化安全 4 5.4　终端接入安全 5 5.5　数据安全 5 5.6　业务应用安全 6 5.7　灾难恢复 7 5.8　安全事件与应急预案 7 5.9　评估和审计 8 6　评测方法 8 6.1　数据中心安全评测 8 6.2　访问控制评测 10 6.3　虚拟化安全评测 10 6.4　终端接入安全评测 11 6.5　数据安全评测 11 6.6　业务应用安全评测 12 6.7　灾难恢复评测 13 6.8　安全事件与应急预案评测 13 6.9　评估和审计评测 14 前??言 本标准按照GB/T 1.1—2009给出的规则起草。 请注意本标准的某些内容可能涉及专利。本标准的发布机构不承担识别这些专利的责任。 本标准由广东省质量技术监督局提出并归口。 本标准起草单位：工业和信息化部电子第五研究所，广州市标准化研究院，广州市信息安全测评中心，国云科技股份有限公司，广东省标准化研究院，广州杰赛科技股份有限公司。 本标准主要起草人：杨林，刘群兴，杨晓明，王颍凯，孔德智，钟晶，罗衡峰，李倩，李琳，余以义，王贺珍，徐超，谢学富，顾维鑫，罗小松，陈祺。 本标准为首次发布。 云计算平台安全性评测方法 范围 本标准规定了云计算平台的术语和定义、符号和缩略语、平台安全通用要求及评测方法。 本标准适用于云计算平台安全性的评测。 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。 GB/T 5271.8-2001 信息技术 词汇 第8部分：安全 GB 17859-1999 计算机信息系统 安全保护等级划分准则 GB/T 18336.1-2001 信息技术 安全技术 信息技术安全性评估准则 第1部分:简介和一般模型 GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 术语和定义 GB/T 5271.8-2001、GB 17859-1999和GB/T 18336.1-2001界定的及下列术语和定义适用于本文件。 云计算 cloud computing 基于互联网的相关服务的增加、使用和交付模式，通常涉及通过互联网来提供动态易扩展且经常是虚拟化的资源，描述了由“资源池”化的计算、网络、信息和存储等组成的服务、应用、信息和基础设施等的使用。 数据中心 data center 指基于超级计算机系统对外提供计算资源、存储资源等服务的机构或单位，以高性能计算机为基础面向各界提供高性能计算服务。Denial of Service） Guest OS：客机操作系统（Guest Operating System） IaaS：基础设施即服务（Infrastructure as a Service） PaaS：平台即服务（Platform as a Service） SaaS：软件即服务（Software as a Service） SSL：安全套接层（Secure Sockets Layer） VLAN：虚拟局域网（Virtual Local Area Network） VM：虚拟机（Virtual Machine） VPN：虚拟专用网络（Virtual Private Network） 平台安全通用要求 数据中心安全 环境安全 管理制度要求 管理制度要求满足以下条件： 数据中心应建立人员出入管理制度、设备进出管理制度、节假日巡检巡查制度、应急管理及预案制度等； 应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理； 对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定，并按照规定执行。 物理位置的选择 数据中心机房应选择在具有防震和防风等能力的建筑内，且要避免在建筑物的高层或地下室内。 防盗窃和防破坏 防盗窃和防破坏应满足以下要求： 数据中心机房内应设置监控报警和防盗报警系统； 通信线缆应铺设在隐蔽处，介质应存放在档案室或介质库中。 防雷击 防雷击应满足以下要求： 数据中心机房