亚洲免费av电影一区二区三区,日韩爱爱视频,51精品视频一区二区三区,91视频爱爱,日韩欧美在线播放视频,中文字幕少妇AV,亚洲电影中文字幕,久久久久亚洲av成人网址,久久综合视频网站,国产在线不卡免费播放

        ?

        政府網(wǎng)站上云如何確保安全

        2019-04-03 05:06:16北京劉國偉李珣
        網(wǎng)絡(luò)安全和信息化 2019年3期
        關(guān)鍵詞:上云運營者服務(wù)商

        ■ 北京 劉國偉 李珣

        編者按:隨著政務(wù)云的建設(shè),政府網(wǎng)站逐步遷移到云計算環(huán)境,新的環(huán)境下如何確保網(wǎng)站安全是必須解決的問題。本文分析了采用云計算技術(shù)后政府網(wǎng)站的風(fēng)險變化以及面臨的新問題,并結(jié)合實踐給出應(yīng)對的措施和建議。

        政府網(wǎng)站作為信息化條件下政府履行職責(zé)的重要平臺,走在了采用云計算技術(shù)的前列,很多省市已經(jīng)完成了政府網(wǎng)站的云化工作,并依托云計算平臺進(jìn)行網(wǎng)站集約化的建設(shè)或改造。

        政府網(wǎng)站采用云計算技術(shù)勢不可擋,云計算技術(shù)帶來未知的風(fēng)險,原有防護(hù)體系不再適用,如不能及時調(diào)整則無法保障網(wǎng)站安全。下面我們就探討網(wǎng)站上云后風(fēng)險的變化,以及如何應(yīng)對這些變化以確保網(wǎng)站安全。

        網(wǎng)站上云后的風(fēng)險變化

        云計算之前,政府網(wǎng)站一般使用物理服務(wù)器,并部署操作系統(tǒng)、中間件、數(shù)據(jù)庫和應(yīng)用等網(wǎng)站支撐環(huán)境,并基于此完成網(wǎng)站的搭建。一般所用軟硬件均自己采購,自管或托管在傳統(tǒng)機(jī)房,從底層網(wǎng)絡(luò)環(huán)境到上層的應(yīng)用均自己來運維,并基于此建立完備的安全防護(hù)體系。

        采用云計算后整個架構(gòu)發(fā)生巨大變化。從基礎(chǔ)設(shè)施使用模式看,由對物理設(shè)備的所有權(quán)變成通過租用獲得云資源的使用權(quán),原來依靠自己進(jìn)行的基礎(chǔ)設(shè)施運維工作變成對云服務(wù)商服務(wù)能力的監(jiān)管,模式上發(fā)生巨大變化。

        資產(chǎn)和基礎(chǔ)設(shè)施模式的變化導(dǎo)致網(wǎng)站系統(tǒng)的威脅和脆弱性隨之發(fā)生變化,最終導(dǎo)致風(fēng)險的改變。從威脅上看,外部威脅如黑客攻擊等依舊如常,主要是內(nèi)部的威脅發(fā)生變化。使用云計算技術(shù)后,一方面內(nèi)部人員發(fā)生變化,增加了云服務(wù)商的人員,另一方面增加了來自云內(nèi)部不同租戶之間的威脅。

        從脆弱性看,來自物理設(shè)備的脆弱性變成云計算的脆弱性,如云平臺帶來的安全漏洞等。同時因為采用了購買服務(wù)的方式,管理上由內(nèi)部技術(shù)管理變成外部供應(yīng)商管理,相應(yīng)的管理風(fēng)險也發(fā)生了變化,一些原有的技術(shù)防范手段要靠對供應(yīng)商的管理手段來實現(xiàn)。

        除系統(tǒng)的風(fēng)險變化外,另一個較大的變化來自運維模式。傳統(tǒng)環(huán)境中,運維人員能通過各種安全設(shè)備和監(jiān)控手段實時監(jiān)控網(wǎng)站系統(tǒng)的運行狀況,發(fā)現(xiàn)異常能立即到機(jī)房進(jìn)行現(xiàn)場處置。上云后,很多原有的監(jiān)測手段不再適用,也很難到云機(jī)房內(nèi)去操作自己的系統(tǒng),自己的系統(tǒng)即“看不見”也“摸不著”,給用戶帶來直覺上的不安全感,從風(fēng)險角度講,不能掌控并及時處理風(fēng)險,這是亟需解決的問題。

        新風(fēng)險、新問題的應(yīng)對

        1.上云后的問題分析

        從上面的分析能看出網(wǎng)站上云后為應(yīng)對風(fēng)險的變化,有幾個問題亟需解決。

        一是使用云服務(wù)后,因原有物理的安全設(shè)備無法接入,原來的部分技術(shù)防范措施不再適用,需要購買相應(yīng)的云上的安全服務(wù),使用管理的方式解決。如何確保服務(wù)商的管理和技術(shù)措施與原有安全管理體系有效銜接,是第一個需要解決的問題。

        二是對網(wǎng)站系統(tǒng)運行情況不能掌握,對系統(tǒng)的操作無法控制,無法掌握并及時處置風(fēng)險。

        三是從省市政務(wù)云角度看,上云后政務(wù)系統(tǒng)高度集中,云平臺成為一個高價值目標(biāo),被攻擊的風(fēng)險成倍提高,在這種情況下如何及時感知內(nèi)外部的風(fēng)險并提前發(fā)現(xiàn)和處置安全隱患,也是一個需要解決的問題。

        2.應(yīng)對措施

        2014年出臺的《關(guān)于加強(qiáng)黨政部門云計算服務(wù)網(wǎng)絡(luò)安全管理的意見》(中網(wǎng)辦發(fā)文〔2014〕14號)中進(jìn)一步明確了黨政部門在采購使用云計算服務(wù)過程中要遵循安全管理責(zé)任不變,數(shù)據(jù)歸屬關(guān)系不變,安全管理標(biāo)準(zhǔn)不變。網(wǎng)站上云后,雖然威脅和脆弱性發(fā)生了變化,但安全責(zé)任,安全保障目標(biāo),防護(hù)水平等不變。從要求看原有的防護(hù)體系仍然有效,但需要進(jìn)行改進(jìn),以適應(yīng)云計算的模式。改進(jìn)可分為兩方面:管理方面,使用云計算后要更新管理制度,更新管理機(jī)制,將新的云服務(wù)商納入原有的管理體系;技術(shù)方面,需要建立完備的云上的監(jiān)控系統(tǒng)及時掌控系統(tǒng)情況,發(fā)現(xiàn)并處置安全風(fēng)險。

        管理方面,網(wǎng)站上云或者說系統(tǒng)云化的過程是逐步剝離非核心資產(chǎn)的過程,以便把有限的精力放在核心業(yè)務(wù)上。以政府網(wǎng)站為例,網(wǎng)站的核心是信息服務(wù),是通過網(wǎng)站更好地為市民提供信息服務(wù),而網(wǎng)站所采用的軟硬件環(huán)境并非核心,使用云計算就是把這些非核心的部分通過購買服務(wù)的方式包出去,以節(jié)約有限的時間和精力,降低網(wǎng)站運營的整體成本。從這個角度講,上云根本的變化是從自己做技術(shù)變成租用外部的技術(shù)服務(wù),也就是從做技術(shù)變成做管理。

        因此,上云后對政府網(wǎng)站運營單位來說首先要從做技術(shù)的思路逐步變成做安全管理的思路。具體措施則是修訂完善本單位的管理體系文件,把云服務(wù)商納入,形成新的安全管理機(jī)制。

        技術(shù)方面,為解決“看不見摸不著”等問題,給管理提供相應(yīng)的監(jiān)管手段,應(yīng)建立安全基線監(jiān)控系統(tǒng),通過管理和技術(shù)結(jié)合的方式解決云上網(wǎng)站的安全問題。

        在這里我們將安全基線擴(kuò)展到系統(tǒng)所有組成部分的安全措施防護(hù)信息、運行環(huán)境信息、管理信息等,把所有可能影響系統(tǒng)安全運行的因素都納入進(jìn)來,力爭形成整個系統(tǒng)的完整基線,對系統(tǒng)的進(jìn)行全面監(jiān)控。

        安全基線監(jiān)控系統(tǒng)包括三個子系統(tǒng):安全基線監(jiān)測子系統(tǒng)、安全基線變更管理子系統(tǒng)和安全風(fēng)險監(jiān)測子系統(tǒng)。安全監(jiān)測子系統(tǒng)實時收集網(wǎng)站系統(tǒng)的安全基線信息,發(fā)現(xiàn)異常及時報警,解決看不見的問題。該系統(tǒng)還對云服務(wù)商提供的服務(wù)內(nèi)容和質(zhì)量進(jìn)行監(jiān)測,并作為云服務(wù)水平評價的重要依據(jù)。

        安全基線變更子系統(tǒng)是一套與監(jiān)測系統(tǒng)密切結(jié)合的審批系統(tǒng),用來控制安全基線的變更?;€變更分主動變更和被動變更,當(dāng)因業(yè)務(wù)或其他原因調(diào)整系統(tǒng)時,需要主動變更安全基線,比如軟件產(chǎn)品升級等。當(dāng)監(jiān)測到有新的安全風(fēng)險,如新漏洞,需要被動調(diào)整安全基線,以應(yīng)對安全風(fēng)險。無論是主動還是被動,當(dāng)需要調(diào)整安全基線時,都需要通過基線變更管理系統(tǒng),經(jīng)運營者批準(zhǔn)后方能執(zhí)行。該系統(tǒng)是安全基線變更的唯一合法渠道。安全風(fēng)險監(jiān)測子系統(tǒng)監(jiān)測來自內(nèi)外部的風(fēng)險,包括外部威脅情報以及內(nèi)部日志安全分析,系統(tǒng)能及時發(fā)現(xiàn)安全隱患,并及時給出整改措施,提交到變更管理系統(tǒng),更新安全基線。

        需要說明的是,因受技術(shù)及現(xiàn)實條件限制,安全基線在系統(tǒng)中很難100%覆蓋,未能通過技術(shù)系統(tǒng)實現(xiàn)的部分,還需要通過人工或其他方式來實現(xiàn),并不斷減少人工參與的部分,逐步實現(xiàn)100%覆蓋的目標(biāo)。

        在安全基線監(jiān)控系統(tǒng)建設(shè)的同時,還應(yīng)結(jié)合現(xiàn)有安全管理制度同步制定安全基線監(jiān)管辦法,配合系統(tǒng)使用。一般網(wǎng)站系統(tǒng)的運維由眾多公司共同參與,主要分四種角色。政府單位運營者,負(fù)責(zé)日常運維的運維商,負(fù)責(zé)網(wǎng)站整體安全的安全服務(wù)商和提供云資源的云服務(wù)商。

        圖1 安全基線監(jiān)控系統(tǒng)示意圖

        在管理制度中都應(yīng)明確各方職責(zé),并在安全基線監(jiān)管辦法中對各方使用系統(tǒng)的權(quán)限進(jìn)行明確。運營者主要掌握基線變更的權(quán)限,運維商和云服務(wù)商主要使用基線監(jiān)測功能,安全服務(wù)商主要使用安全監(jiān)測功能,幾方合理分配權(quán)限并互相制衡。運營者除了掌控基線變更外,還使用該系統(tǒng)的審計功能對各方的服務(wù)進(jìn)行監(jiān)管,監(jiān)督各方的服務(wù)。通過管理制度加技術(shù)系統(tǒng)的方式,規(guī)范各方工作,形成一個有機(jī)的工作整體,保障云上網(wǎng)站系統(tǒng)的安全運行。

        其他問題探討

        政府網(wǎng)站上云后,數(shù)據(jù)安全性凸顯。網(wǎng)站用戶的注冊數(shù)據(jù)及用戶訪問網(wǎng)站的行為數(shù)據(jù)較為敏感,因為均存儲在云上或經(jīng)過云的各種設(shè)備,所以存在較高的泄漏風(fēng)險。這些數(shù)據(jù)安全風(fēng)險需要運營者著重關(guān)注,網(wǎng)絡(luò)安全法在這方面也有明確和嚴(yán)格的要求。作為運營者,一方面要制定用戶信息保護(hù)的制度,另一方面要跟云服務(wù)商明確數(shù)據(jù)的歸屬權(quán)限,作為云計算資源的提供者,云服務(wù)商無權(quán)收集使用系統(tǒng)的用戶數(shù)據(jù)。

        結(jié)語

        云計算飛速發(fā)展,政務(wù)網(wǎng)站采用IaaS服務(wù)后,必然會向PaaS和SaaS模式發(fā)展,以適應(yīng)共享整合與集約化等方便的政策要求。云服務(wù)模式升級后,相應(yīng)安全風(fēng)險會進(jìn)一步變化,按照本文思路,根據(jù)風(fēng)險變化調(diào)整安全基線,更新管理文件和管理機(jī)制,即可適應(yīng)新的模式。另一方面SaaS模式后,握在政府單位手中的只有最核心的數(shù)據(jù),其他都變成服務(wù),作為網(wǎng)站運營者的政府單位可以把精力集中于數(shù)據(jù)的使用和安全防護(hù),這與現(xiàn)在國家的大數(shù)據(jù)戰(zhàn)略也相吻合。

        猜你喜歡
        上云運營者服務(wù)商
        基于交控數(shù)智云的業(yè)務(wù)系統(tǒng)上云遷移研究與實踐
        航天衛(wèi)星領(lǐng)域?qū)I(yè)服務(wù)商
        高速公路視頻上云工程建設(shè)淺析
        公眾號再增視頻號入口
        綜藝報(2021年21期)2021-08-28 14:13:19
        論IaaS云服務(wù)商的著作權(quán)侵權(quán)責(zé)任
        自然資源應(yīng)用系統(tǒng)“上云”研究與探討
        企業(yè)上云成數(shù)字化轉(zhuǎn)型必經(jīng)之路
        網(wǎng)絡(luò)運營者不得泄露個人信息
        鏈接:網(wǎng)絡(luò)運營者不得泄露其收集的個人信息
        期刊展示宣傳服務(wù)商
        天堂中文а√在线| 精品人妻一区二区三区蜜臀在线| 美腿丝袜视频在线观看| 色综合久久蜜芽国产精品| 欧美日韩精品| 亚洲精品黄网在线观看| 白白白色视频在线观看播放| 国产黑丝美腿在线观看| 精品国产一区二区三区免费 | 免费 无码 国产在线观看不卡| 亚洲成人色黄网站久久| 亚洲天堂精品成人影院| 久久久久亚洲av无码专区首jn| 久草视频福利| 国产在线拍91揄自揄视精品91| 99人中文字幕亚洲区三| 免费人成视频xvideos入口| 五月中文字幕| 伊人狼人影院在线视频| 亚洲乱码一区二区三区在线观看| 国产精品无码av一区二区三区| 国产一级在线现免费观看| 国产福利一区二区三区在线观看 | 在线观看免费无码专区| 国产亚洲av片在线观看18女人| 国产日韩久久久久69影院| 成人免费播放视频影院| 精品久久人妻av中文字幕| 岛国AV一区二区三区在线观看| 一区二区三区在线蜜桃| 亚洲国产精品高清一区| 桃花色综合影院| 无码人妻丝袜在线视频| 日韩av一区二区三区高清| 国产三级久久久精品麻豆三级| 无国产精品白浆免费视| 亚洲一区二区三区天堂av| 国产精品免费观看调教网| 国产av国片精品| 伊人亚洲综合影院首页| 精品人妻少妇av中文字幕|