信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求意见处理表

《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求意见处理表》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、意见汇总处理表标准项目名称：《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求》承办人：张振峰共14页标准项目负责起草单位：公安部第三研究所电话：186111271092016年9月28日填写序号标准章条编号意见内容提出单位处理意见备注1.全文因22239.2是22239的一部分，文本中“本标准”应改为“本部分”国家信息中心采纳2.8.2.2.3建议在术语和定义中给出“社会化云服务”的定义国家信息中心未采纳。与中网办发文【2015】14号及31168保持一致3.引言建议加入一句话，说明使用时需与22239.1同时使用国家信息

2、中心采纳4.全文建议在术语和定义中给出“云租户”的定义；建议根据不同的部署模式和商业模式分开写标准内容。中科院信工所采纳5.全文私有云和公有云的适用条款应该有描述。不同的部署模式应如何使用标准，要考虑商业模式。中科院信工所未采纳。私有云和公有云的威胁场景不适合在在本标准区分，只有极个别条款会区分公有云和私有云。私有云也有多租户的概念。6.全文建议本部分名称改为“指南”中软信息系统工程公司未采纳。本部分作为22239的一部分，名称需保持一致7.全文建议加入SLA相关的条款中国信息安全认证中心采纳-14-1.6.2.1.1、7.2.1.1、8.

3、2.1.1条款中不涉及审批内容，建议标题去掉“审批”国家信息技术安全研究中心采纳2.6.1.1、7.1.1、8.1.1建议细化明确对于云租户的数据和云平台管理运行数据处境的要求IBM采纳3.2规范性引用文件应包括GB/T32400-2015云计算概览与词汇和GB/T32399-2015云计算参考架构IBM未采纳。概念上保持一致，不直接引用非安全标准4.3术语和定义应参照GB/T32400-2015云计算概览与词汇和GB/T32399-2015云计算参考架构IBM部分采纳。保持一致性，但主要术语和定义以31167和31168为准5.4.1云计

4、算平台构成IaaS,PaaS,SaaS是NIST的老提法。这些术语已在GB/T32400-2015云计算概览与词汇中被规范。云能力类型有3个基础设施（Infrastructure），平台（Platform）和应用（Application）。7个云服务类别除了IaaS，PaaS，SaaS还有DaaS,NaaS,CaaS等。在GB/T32400-2015云计算概览与词汇中，描述了7个云服务类别与3个云能力类型之间的关系。IBM部分采纳。与GB/T31167保持一致6.6.1.1.1，7.1.1.1，8.1.1.1物理位置选择除了党政及涉及国家安

5、全部门的云计算机房须位于中国境内外，用于纯商用云计算的机房不一定要求必须位于中国境内。IBM未采纳。1.与31168把持一致。2等保二级以上的系统涉及社会秩序、公众利益，不是纯商业问题。7.附录C不同交付模式的安全管理责任和4.1相同，IaaS,PaaS,SaaS是NIST的老提法。这些术语已在GB/T32400-2015云计算概览与词汇中被规范。云能力类型有3个基础设施IBM部分采纳。与GB/T31167保持一致-14-主体（Infrastructure），平台（Platform）和应用（Application）。7个云服务类别除了Iaa

6、S，PaaS，SaaS还有DaaS,NaaS,CaaSetc.在GB/T32400-2015云计算概览与词汇中，描述了7个云服务类别与3个云能力类型之间的关系。1.6.1.2.4，7.1.2.4访问控制8.1.2.3边界防护在通用要求的网络和通信安全部分的6.1.2.5，7.1.2.5，8.1.2.5均提到应在关键网络节点处监视、检测、防止或限制从外部或内部发起的网络攻击行为。关键网络节点在物理网络中可以从物理上与其它节点区隔，但在云环境的虚拟网络中这种区隔及防护手段将失效在云计算安全扩展要求中6.1.2.4，7.1.2.4，8.1.2.3

7、中仅提到应能检测并阻断云租户对外的攻击行为，并能记录攻击类型、攻击时间、攻击流量；需要针对云计算虚拟网络特点检测、防止或限制从外部或内部发起的网络攻击行为。建议增加对云计算虚拟网络的检测。IBM采纳。其中关键网络节点包括互联网边界、关键第三方边界和虚拟网络的关键节点2.6.1.2.5建议增加：6.1.2.5应在跨网段通讯节点处监视网络攻击行为，其中包括软件定义网络上的虚拟网段以及网络节点。跨网段通讯包括横跨私有网段的通讯以及不同云租户间的通讯。IBM未采纳。网络和通信安全中，“网络结构”中的e条和入侵防范的a条已满足这样的需求-14-1.7

8、.1.2.5安全审计8.1.2.4安全审计建议增加：d)如果以上a)、b)、c)项在虚拟网络上，包含软件定义的网络，则应在跨私有网段通讯节点实行相同的监测及监控。IBM未采纳。在