等保2.0之云租户合规指南
互联网时代，网络安全已经成为了企业发展绕不开的问题。根据《网络安全法》的要求，网络运营者应当按照网络安全等级保护制度的要求，履行各项安全保护义务。网络安全等级保护制度（以下简称“等保”）的升级版——“等保2.0”已于2019年12月1日实施，其共包括《信息安全技术 网络安全等级保护基本要求》（以下简称“《基本要求》”）、《信息安全技术 网络安全等级保护测评要求》（以下简称“《测评要求》”）、《信息安全技术 网络安全等级保护安全设计技术要求》三个部分，其中新增了对云计算、大数据、物联网等保护对象的扩展性要求。
《RightScale 2018云服务报告》显示，在国外使用至少一种公共或私有云的受访者总体比例为96%。而根据中国信息通信研究院统计，同年在中国有云计算应用的企业占比为 54.7%，还有很大的提升空间。可以预计在未来，在政策刺激、云技术成熟和企业自身的需求等诸多因素影响下，越来越多的企业都将通过云计算平台（以下简称“云平台”）实现业务“上云”。
但是“上云”企业（以下称为“云租户”）在获得高效率云服务的同时，也在面临着新的风险。2018年媒体披露，北京清博数控科技有限公司（以下简称“前沿数控”）在使用腾讯云服务时平台数据全部丢失，且无法还原。这个事件中有一个重要的细节：前沿数控，作为云租户并未对自身的业务数据进行过任何备份，而是相信腾讯云已经代而行之——事实上双方签订的书面合同中亦并未规定腾讯云有主动备份的义务。腾讯云确实构成违约，违反了合同中约定的服务指标保证，但前沿数控也因为自身过失付出了惨重代价。
那么，广大使用云服务的云租户企业如何落实“等保2.0”？如何执行2.0版本中新增加的云计算安全扩展要求、如何处理云租户与云服务商的关系呢？以下我们便站在云租户企业的立场，就几个重要问题展开解读。
一、 云计算环境下等保2.0的定级原则
2.对于大型云平台，当运管平台共用时，可将云计算基础设施与运管平台系统分开定级。责任分离，分别定级，各自备案。
3.针对私有云用户，其也要按照云平台和业务系统，分别进行定级。定级流程为云平台先定级测评，再将已定级业务系统向云平台迁移。
二、 公有云环境下开展等保工作的主要原则
2.应确保云计算基础设施位于中国境内。
3.云平台的运维地点应位于中国境内，如需境外对境内云平台实施运维操作，应遵循国家相关规定。
4.云平台运维过程产生的配置数据、鉴别数据、业务数据、日志信息等存储于中国境内，如需出境应遵循国家相关规定。
等保2.0特别强调了云计算安全的本地化要求，包含了云计算基础设施本地化、运维地点本地化，以及数据本地化存储三个方面。
三、 云租户如何选择云服务商？
如果发现云平台的安全保护等级，与云租户的业务系统等级不匹配，则建议云租户敦促平台尽快升级保护等级，或者及时更换至与业务系统相适应的云平台，以免影响其自身的业务安全及开展等保工作。
四、 云服务商与云租户如何进行安全责任划分？
软件即服务（SaaS）、平台即服务（PaaS） 、基础设施即服务（IaaS）构成了三种基本的云计算服务模式。在不同的服务模式中，云服务商和云租户对计算资源拥有不同的控制范围，控制范围则决定了安全责任的边界。简而言之，SaaS、PaaS、laaS这三种模式中，云服务商的控制范围依次降低，而云租户的责任范围依次提高（如下图所示）。
基于不同云计算服务模式，需要采取不同职责划分方式：
1.对于IaaS基础设施服务模式，云服务商的职责范围包括虚拟机监视器和硬件，云租户的职责范围包括操作系统、中间件和应用数据。
2.对于PaaS平台即服务的服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统和中间件。云租户的职责范围为应用和数据。
3.对于SaaS软件服务模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统、中间件和应用，云租户的职责范围包括部分应用职责及用户使用职责。
2017年公安部发布的《信息安全技术 网络安全等级保护基本要求 第2部分：云计算安全扩展要求》，则就云服务商与云租户的责任分担进行了更为细致的梳理（见下表），值得参考。云租户还应特别注意，除去明确规定由一方承担的以外，剩余的责任都是可由双方间签订协议进行划分的。
五、 云服务等级协议（SLA）中的合规要点
1.云服务的各项服务内容和具体的技术指标；
2.云服务商的权限与责任，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任；
3.整个服务供应链各方需履行的网络安全相关义务（包括云服务商、云租户的责任分担）；
4.服务合约到期时，完整提供云服务客户数据，并将相关数据在云计算平台上清除的承诺（限于等保二至四级）；
5.保密协议或保密条款（限于等保三至四级）。
六、 安全意识层面的问题
前文提到的案例暴露出一些云租户安全意识层面的问题：企业“上云”，本是解放自身生产力、提高网络安全能力的决策，却使得一些云租户过于依赖云平台的计算优势、安全能力和品牌背书，而降低了自身的安全意识，甚至默认将全部安全责任转移给了云平台。数据丢失给企业造成了无法弥补的损失，甚至可能直接导致公司倒闭，也再次给所有企业敲响了网络安全的警钟。
七、 云租户企业合规指南
1.等保2.0合规工作是网络安全的基础，必须高度重视并尽快落实；
2.选择安全合规的云服务商；
3.通过书面协议，明确约定云服务商的权限和责任，特别是与己方的责任划分；
4.应与云服务商签署保密协议；
5.明确云租户自身的安全管理责任，及时做好数据备份等安全工作；
6.建立完整的危机处理流程与制度，明确安全责任人，从组织结构与内控制度的层面加强安全能力；
7.加强高管及普通员工的安全培训工作，培养公司的网络安全文化。
// End //