華為云聯(lián)合信通院發(fā)布《云服務(wù)安全治理白皮書(shū)》，構(gòu)建安全治理新體系

7月28日，以“數(shù)字裂變，可信發(fā)展”為主題的2021可信云大會(huì)在北京繼續(xù)舉行。大會(huì)主題演講環(huán)節(jié)，華為云安全治理總監(jiān)鄒豐發(fā)表了“面向可信的云安全治理體系“的主題演講，分享了華為云在安全治理上的成果以及華為云整體的安全能力。大會(huì)上，華為云還聯(lián)合中國(guó)信通院發(fā)布了《云服務(wù)安全治理白皮書(shū)》，系統(tǒng)闡釋了華為云對(duì)云服務(wù)安全治理的理解和能力，詳細(xì)解讀了云服務(wù)網(wǎng)絡(luò)安全與合規(guī)標(biāo)準(zhǔn)(CLOUD SERVICE CYBERSECURITY & COMPLIANCE STANDARD，簡(jiǎn)稱“3CS”)，幫助云服務(wù)提供商和客戶快速提升安全治理能力。

鄒豐表示，隨著云計(jì)算飛速發(fā)展，全球網(wǎng)絡(luò)安全監(jiān)管也越來(lái)越嚴(yán)，云服務(wù)提供商和客戶需要加強(qiáng)自身安全能力建設(shè)，滿足監(jiān)管要求。于云服務(wù)提供商來(lái)說(shuō)，“3CS”體系可幫助其建立覆蓋云計(jì)算服務(wù)所有流程的云安全治理體系，從而更好地為客戶提供安全可信的云計(jì)算服務(wù)，增強(qiáng)客戶的信任；于云服務(wù)客戶來(lái)說(shuō)，可參考3CS治理體系來(lái)提高客戶自身的云安全管理能力，另外可借助華為云提供的20+自研安全服務(wù)、200+伙伴安全服務(wù)，滿足保護(hù)云工作負(fù)載、保護(hù)應(yīng)用服務(wù)、保護(hù)數(shù)據(jù)資產(chǎn)、管理安全態(tài)勢(shì)和合規(guī)上云等方面的需求，構(gòu)建立體的云安全防護(hù)能力。

華為云首創(chuàng)“3CS” 體系，滿足更高安全治理需求

目前，業(yè)界多數(shù)的云安全管理體系與云服務(wù)各管理流程缺乏關(guān)聯(lián)性，不利于職能部門(mén)理解自身需要承擔(dān)的安全職責(zé)，一定情況下導(dǎo)致部分安全職責(zé)無(wú)人承擔(dān)，無(wú)法滿足業(yè)務(wù)規(guī)模不斷發(fā)展壯大的云服務(wù)提供商的安全治理需求。在此背景下，華為云通過(guò)持續(xù)經(jīng)營(yíng)和反復(fù)探索，確立了一種開(kāi)放、包容、不斷發(fā)展和優(yōu)化的安全治理方法，用以控制、審核、度量與評(píng)估云服務(wù)安全管理的有效性以及對(duì)監(jiān)管要求的遵從性，即“3CS”體系。

“3CS”體系的創(chuàng)建以業(yè)界多個(gè)主流安全標(biāo)準(zhǔn)為參考基礎(chǔ)，并融合了華為三十年安全運(yùn)營(yíng)管理經(jīng)驗(yàn)。其基礎(chǔ)理念是基于云服務(wù)各業(yè)務(wù)模塊的流程，劃分相對(duì)應(yīng)的安全控制領(lǐng)域，使安全控制要求得以嵌入到云服務(wù)管理流程中，且確保安全管理責(zé)任清晰明確、可度量、可追溯，從而實(shí)現(xiàn)全面有效的安全治理。“

3CS”體系具備以下核心亮點(diǎn)：

1、與云服務(wù)各業(yè)務(wù)流程緊密結(jié)合

在“3CS”體系的安全管理框架中，各種安全控制活動(dòng)可被劃分為三大板塊，涵蓋云服務(wù)安全治理、云服務(wù)管理支撐、數(shù)據(jù)中心運(yùn)營(yíng)、云基礎(chǔ)架構(gòu)、云平臺(tái)運(yùn)營(yíng)、云服務(wù)產(chǎn)品安全、安全運(yùn)營(yíng)、商業(yè)運(yùn)營(yíng)八個(gè)領(lǐng)域。這些領(lǐng)域包含了云服務(wù)各業(yè)務(wù)模塊的全流程，各領(lǐng)域之間層次關(guān)系鮮明，組織可以有明確的依據(jù)，將各種安全管理職責(zé)落實(shí)到相關(guān)職能的責(zé)任部門(mén)當(dāng)中。

基于云服務(wù)全流程的“3CS”安全管理框架

2、可審核、可追溯、可度量，便于落地

為便于推動(dòng)“3CS”體系的有效落地，體系中對(duì)各部門(mén)該履行的責(zé)任進(jìn)行了明確劃分，對(duì)每條控制要求均制定了具體的審核指南，采用自動(dòng)化工具對(duì)操作行為進(jìn)行跟蹤管理，對(duì)所有審核記錄保留完整證據(jù)鏈，對(duì)管理效果制定了可度量方法和指標(biāo)。

3、具備行業(yè)普適性

“3CS”體系不止使用于華為云自身，對(duì)于業(yè)界進(jìn)行有效的安全治理均有極大參考意義。相比傳統(tǒng)的安全管理體系，它在進(jìn)行框架設(shè)計(jì)時(shí)就考慮到在行業(yè)內(nèi)的普遍適用性，各組織在應(yīng)用此治理框架時(shí)均可根據(jù)本組織的職能劃分，進(jìn)一步對(duì)框架內(nèi)各控制領(lǐng)域進(jìn)行調(diào)整，使之更好地適配組織的治理架構(gòu)。

鄒豐指出，目前“3CS”已經(jīng)在華為云內(nèi)部成功落地實(shí)施并取得優(yōu)秀成果。依據(jù)“3CS”的控制要求，華為云對(duì)云服務(wù)各流程領(lǐng)域執(zhí)行了對(duì)應(yīng)的控制措施，在各部門(mén)進(jìn)行了安全控制的強(qiáng)化，各部門(mén)及產(chǎn)品線的安全能力都得到進(jìn)一步的提升。

在練好內(nèi)功，強(qiáng)化安全能力的同時(shí)，華為云通過(guò)接受多國(guó)監(jiān)管部門(mén)的監(jiān)督及國(guó)際權(quán)威機(jī)構(gòu)的審計(jì)及評(píng)估，確保華為云的安全能力是可驗(yàn)證的。目前，華為云已累計(jì)獲得80+安全合規(guī)認(rèn)證，并發(fā)布20+安全遵從性白皮書(shū)，滿足全球客戶業(yè)務(wù)合規(guī)和可適用的隱私保護(hù)要求，為客戶業(yè)務(wù)安全保駕護(hù)航。