4.4 云計算參與角色的安全職責

4.4 云計算參與角色的安全職責

在GB/T 31167-2014中描述了云服務商和云服務客戶在不同服務模式下的安全控制范圍。如圖1所示，云服務客戶實施安全組件的責任在IaaS服務中較大，在PaaS服務中降低，在SaaS服務中最小，而云服務商與云代理者共同負責實施的安全組件，責任從IaaS、PaaS到SaaS分別增多。

4.4.1　云服務客戶

云服務客戶瀏覽來自云服務商或云代理者的服務目錄，請求適當的服務。云服務客戶應遵循云服務商或云代理者的云服務級別協議（SLA）。云服務客戶可在有效使用服務前，與云服務商或云代理者簽署服務合同，使用云服務級別協議方式明確云服務商與/或云代理者需要滿足的安全技術與安全要求。
任何代表組織（例如政府）處理組織信息或運行信息系統的云服務客戶、云服務商與云代理者應滿足與原組織相同的安全需求。安全需求也適用于在外部子系統上存儲、處理或傳輸的政府信息，以及子系統或相關系統所提供的任何服務。

4.4.2　云服務商

云服務商是負責為云服務客戶直接或間接提供服務的實體，獲取并管理用于提供服務的云基礎架構，運行SaaS、PaaS云軟件，通過網絡向云服務客戶交付云服務。云服務商的活動可以分類為：服務部署、服務編排、服務管理、安全與隱私保護。
從技術角度，云服務商既可以直接向云服務客戶提供服務，也可以面向技術代理者提供服務。技術代理者可以加入透明的功能層改進與擴展云服務商的服務（詳見5.4）。目前，主要有兩種類型的云服務商：主服務商與中介服務商。
——主服務商。主服務商通過其自有的基礎設施為用戶提供服務。雖然主服務商可以通過第三方（如代理者、中介服務商等）向云服務客戶提供服務，但主服務商一般不會提供源自其他云服務商的服務。

4.4.3　云代理者

云代理者是管理云服務使用、性能與交付的實體，并在云服務商與云服務客戶之間進行協商。
隨著云計算的演進，由云服務客戶完成云服務的集成可能過于復雜。這種情況下，云服務客戶可以向云代理者請求服務，而不是直接與云服務商簽署合同。云代理者提供一個單一的入口點管理多個云服務。云代理者與云中介服務商的主要區別有兩點：一是云代理者有能力為多個不同的云服務商提供一個單獨的一致性接口；二是對客戶的透明可見性：客戶明確知道誰在后臺提供服務；而中介云服務商則不提供這種透明可見性。
承擔云代理者角色的組織可能提供下列服務：
——聚合：云代理者聚合與集成多個服務到一個或多個新服務中。云代理者提供數據集成，并確保數據在云服務客戶與多個云服務商之間安全移動；
——仲裁：服務仲裁與服務聚合相似，只是被聚合的服務不固定。服務仲裁說明云代理者可以根據
數據或服務上下文的特點，從多個云服務商靈活地選擇服務。
——中介：云代理者為云服務客戶改進某些服務，或提供增值服務增強原有的服務。例如：訪問云服務的管理、身份管理、性能報告、增強的安全性等。
作為云代理者的組織可以提供下述一種或兩種服務：
——業務與關系支持服務（例如，計費與合同中介、仲裁與聚合）；
——技術支持服務（例如，服務聚合、仲裁與技術中介）；主要的工作是處理多個云服務商之間的互操作性。
云業務代理者只提供業務與關系服務，不處理云服務客戶在云中的任何數據、操作或組件（例如圖像、卷、防火墻）。
相反，云技術代理者與云服務客戶的資產進行交互：云技術代理者從多個云服務商處聚合服務，并通過處理單點入口與互操作性增加一個技術功能層。這兩種云代理者角色不是相互排斥的。例如，一個特定實體可以在一個場景下作為云業務代理者，在另一個場景下作為云技術代理者，并在第三種場景下同時作為云業務代理者與云技術代理者。
云業務代理者也可以提供增值中介服務，例如服務目錄查詢、訂購處理、客戶關系管理、統一計費等。

4.4.4　云審計者

云審計者是對云服務進行獨立評估的一方，對云服務商提供的服務在安全控制、隱私影響、性能等方面進行評估。
云審計者應對信息系統的安全措施與已接受的審計標準的一致性進行評估，確定安全措施是否正確實施，判斷產生的結果是否符合系統的安全需求。安全審計也應包括與法規與安全策略的一致性驗證。云審計者應確保審計記錄未被修改，法律與業務數據已按需求歸檔。

4.4.5　云基礎網絡運營者

云基礎網絡運營者通過網絡、通信與其他訪問設備為云服務客戶與云服務商之間提供云服務的連接與傳輸。例如，云服務客戶可以通過網絡設備（例如計算機、筆記本電腦、移動電話、移動互聯網設備（MIDs）等）獲得云服務。云服務的分配一般由網絡與電信運營商或傳輸代理提供，傳輸代理是指提供存儲介質（如高容量的硬盤驅動器）物理傳輸的商業組織。云服務商與云基礎網絡運營者應簽署服務級別協議（SLA），提供與SLAs級別一致的服務，并可要求云基礎網絡運營者提供云服務客戶與云服務商之間專用、安全的連接。
云基礎網絡運營者還應關注數據進出云時可能面臨的安全風險與威脅，負責維護跨越其管理系統的安全措施，并進行安全測試與風險管理。云基礎網絡運營者還應能提供專用線路，包括國際專用線路。