6.2 邊界保護

6.2.1 一般要求

云服務商應：

a）在連接外部系統的邊界和內部關鍵邊界上，對通信進行監控；在訪問系統的關鍵邏輯邊界上，對通信進行監控。

b）將允許外部公開直接訪問的組件，劃分在一個與內部網絡邏輯隔離的子網絡上。并確保允許外部人員訪問的組件與允許客戶訪問的組件在邏輯層面實現嚴格的網絡隔離。

c）確保與外部網絡或信息系統的連接只能通過嚴格管理的接口進行，該接口上應部署有邊界保護設備。

6.2.2 增強要求

云服務商應：

a）為云計算服務搭建物理獨立的計算平臺、存儲平臺、內部網絡環境及相關維護、安防等設施，并經由受控邊界與外部網絡或信息系統相連。

b）限制信息系統外部訪問接入點的數量，以便對進出通信和網絡流量實施有效監控。

c）采取以下措施：

• 1）對每一個外部的電信服務接口進行管理。

• 2）對每一個接口制定通信流策略。

• 3）采取有關措施對所傳輸的信息流進行必要的保密性和完整性保護。

• 4）當根據業務需要，出現通信流策略的例外情況時，將業務需求和通信持續時間記錄到通信流策略的例外條款中。

• 5）按照[賦值：云服務商定義的頻率]，對網絡通信流策略中的例外條款進行審查，在通信流策略中刪除不再需要的例外條款。

d）確保信息系統的外部通信接口經授權后方可傳輸數據。

e）當遠程維護管理云計算平臺時，防止遠程管理設備同時直接連接其他網絡資源。

f）支持客戶使用獨立的代理服務器實現信息的導入導出。

g）構建物理上獨立的管理網絡，連接管理工具和被管設備或資源，以對云計算平臺進行管理。

h）確保在[賦值：云服務商定義的邊界保護失效情況]下，云計算平臺中[賦值：云服務商定義的受影響部分]能夠安全地終止運行。

i）采取有關措施，滿足不同客戶或同一客戶不同業務的信息系統之間隔離的需求。