基于等保合规和滑动标尺模型的云安全建设方法

---

前言

常规的网络安全防护体系与云计算安全建设不能完全兼容，云计算作为信息化基石，以等级保护制度为基础，依据滑动标尺模型的软件定义安全、分层防御、区域自治、全面纳管的思想，结合云环境识别、边界安全设计、云内安全设计、特权管理、安全管控等方面对今后云计算安全防护提出理论指导。

---

一、云计算平台面临的安全挑战

（一）新兴风险和传统风险的冲击

云计算将传统的算力供应方式进行了颠覆式的改变，高效、弹性、按需是云计算的核心功能，但资源的使用方式本质上并没有发生变化，如业务形态、运行环境等，继承了传统网络结构下业务运行方式。
云数据中心同样没有将传统数据中心“一刀切”式地全部摒弃，传统数据中心向云数据中心演变不是一蹴而就的，同样安全体系建设的思路也是一致，目的是有效应对传统风险与新兴风险长期并存的局面。

（二） 云计算安全日益严峻，面临更大的安全挑战

云计算带来了便利，但没有降低或者转移原有传统数据中心面临的安全风险，反而云计算作为新技术带来了新的安全暴露面。加上云数据中心是应用、流量、数据的大型集散地，因此云数据中心被越来越多的破坏者注意。

目前，对云数据中心的攻击呈现隐匿、动态的特性，常以单点爆破、横向扩散为手段进行云上攻击，因此，当以云计算的弹性、动态等特点为业务提供方便时，对安全也提出了新考验，导致静态的安全体系无法适应动态变化的节奏。

（三）提升对云计算平台的全面系统性安全建设的认知

云计算从虚拟化技术到传统数据中心云化高速发展，该过程仅用不到 10 年时间。用户借鉴传统数据中心的安全防御体系进行建设，数据中心云化后继续沿用了传统安全防护经验指导云数据中心的安全建设，但两者在IT建设、安全运营、防御重心方面具有较大差异，安全责任人未能将云计算多层次的网络纵深、多角色的、多形态的服务和业务特点安全相结合，导致与现有运行业务和安全管理脱节，无法有效地保护现有云上业务安全运行。

二、在云计算安全建设上的误区

（一）缺乏整体视角构建云上安全，安全及运营存在割裂

多数行业用户由于缺乏整体安全防护视角下的云安全规划建设，导致企业在安全建设当中存在缺失和不足。云计算安全建设往往不能覆盖安全滑动标尺模型要求的基础架构安全、纵深防护安全、主动防御、威胁情报等安全能力；又因历史原因，企业的安全建设、制度建设往往只关注传统网络环境下的业务安全保障，而忽略了整个云化进程带来的与传统业务混合紧密结合的云数据中心，从而衍生出云计算平台多种安全风险。

云业务具有极强的运营属性，在面向企业客户提供云基础服务时往往需要一起提供安全服务，但当前云计算安全建设往往与信息化建设存在一定的割裂，安全能力无法与云业务有效结合，从而导致安全服务游离于云基础服务之外，安全效果得不到保障。

（二） 缺乏云内外安全态势，安全需要统管、统知

云计算作为信息化基础设施，云平台本身可以成为一个完整的生态环境，所以企业需要构建对云上生态的感知能力，但当前建设情况差强人意，要么云上感知缺失，要么没有与企业整体安全态势联通，从而无法将云安全情况与企业安全情况联动，导致云安全体系保障效果大打折扣，也降低了云数据中心的服务效能。

三、面向云计算安全防护建设的要点

（一）概念阐释

所谓云计算安全防护，是基于私有云模式，基于基础设施即服务（Infrastructure as a Service，IaaS）、平台即服务（Platform as a Service，PaaS）、基础设施即服务（Infrastructure as a Service，SaaS）层不同云服务类型，结合云技