首頁 > 資訊 >正文

關(guān)于開發(fā)符合國家信息安全等級(jí)保護(hù)標(biāo)準(zhǔn)的存儲(chǔ)產(chǎn)品

2023-06-19 10:43:28 來源：- 作者：-

等級(jí)保護(hù)一直是我國重要的信息安全國策，備案的三級(jí)四級(jí)五級(jí)系統(tǒng)更是關(guān)乎國家安全的重要信息系統(tǒng)，隨著數(shù)據(jù)量和安全需求的增加，信息系統(tǒng)的存儲(chǔ)安全要求也越來越高，存儲(chǔ)廠家有必要開發(fā)符合等保體系標(biāo)準(zhǔn)的存儲(chǔ)設(shè)備，同時(shí)對(duì)于存儲(chǔ)在國內(nèi)市場(chǎng)進(jìn)一步開拓也有助力，隨著我國第一個(gè)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)標(biāo)準(zhǔn)于今年5月1日開始實(shí)施，等級(jí)保護(hù)作為其重要組成部分，對(duì)于存儲(chǔ)廠商參與國家關(guān)鍵信息基礎(chǔ)設(shè)施的建設(shè)也是重要的執(zhí)行標(biāo)準(zhǔn)。最后我們以加密存儲(chǔ)為切入點(diǎn)，分析傳統(tǒng)存儲(chǔ)廠商在等保領(lǐng)域如何參與的問題。

第一部分框架介紹

如何開發(fā)符合等級(jí)保護(hù)標(biāo)準(zhǔn)的存儲(chǔ)設(shè)備，我從《信息安全技術(shù)—網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》 (以下簡(jiǎn)稱“等保基本要求”)和《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指南》(以下簡(jiǎn)稱“實(shí)施指南”)，并結(jié)合關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)標(biāo)準(zhǔn)進(jìn)行了分析，框架如下所示：

圖片1.png

圖 - 開發(fā)符合等級(jí)保護(hù)標(biāo)準(zhǔn)的存儲(chǔ)產(chǎn)品導(dǎo)圖

首先圍繞等級(jí)保護(hù)基本要求GB/T 22239，梳理與存儲(chǔ)相關(guān)的安全要求，包含數(shù)據(jù)完整性、數(shù)據(jù)保密性、數(shù)據(jù)備份恢復(fù)、剩余信息保護(hù)，再結(jié)合關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求，新增加供應(yīng)鏈安全和數(shù)據(jù)安全。基于這些安全標(biāo)準(zhǔn)，推導(dǎo)出存儲(chǔ)應(yīng)該具有的特性，最終能進(jìn)一步提升產(chǎn)品安全特性，保障三級(jí)四級(jí)五級(jí)信息系統(tǒng)的安全。

再圍繞等級(jí)保護(hù)實(shí)施指南中關(guān)于安全運(yùn)行和維護(hù)的標(biāo)準(zhǔn)，涉及的安全標(biāo)準(zhǔn)有運(yùn)行管理職責(zé)確定、運(yùn)行管理過程控制、安全狀態(tài)監(jiān)控、安全自查和持續(xù)改進(jìn)、服務(wù)商管理和監(jiān)控、應(yīng)急響應(yīng)和保障，基于這些標(biāo)準(zhǔn)，推導(dǎo)出存儲(chǔ)應(yīng)該具有的特性，最終提升產(chǎn)品的安全可服務(wù)行性，提升客戶安全運(yùn)維體驗(yàn)。

最后以加密存儲(chǔ)為切入點(diǎn)，圍繞國家關(guān)于加密存儲(chǔ)的規(guī)定，分析可以介入的等級(jí)保護(hù)領(lǐng)域，使加密存儲(chǔ)作為存儲(chǔ)的一個(gè)新增長(zhǎng)點(diǎn)。

第二部分與存儲(chǔ)安全相關(guān)的等保標(biāo)準(zhǔn)解讀

由于業(yè)務(wù)目標(biāo)的不同、使用技術(shù)的不同、應(yīng)用場(chǎng)景的不同等因素，不同的等級(jí)保護(hù)對(duì)象會(huì)以不同的形態(tài)出現(xiàn)，表現(xiàn)形式可能稱之為基礎(chǔ)信息網(wǎng)絡(luò)、信息系統(tǒng)（包含采用移動(dòng)互聯(lián)等技術(shù)的系統(tǒng)）、云計(jì)算平臺(tái)/系統(tǒng)、大數(shù)據(jù)平臺(tái)/系統(tǒng)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等。形態(tài)不同的等級(jí)保護(hù)對(duì)象面臨的威脅有所不同，安全保護(hù)需求也會(huì)有所差異。按照基本要求和關(guān)基對(duì)三級(jí)及以上信息系統(tǒng)的要求，存儲(chǔ)需要滿足數(shù)據(jù)完整性、數(shù)據(jù)保密性、數(shù)據(jù)備份恢復(fù)、剩余信息保護(hù)、供應(yīng)鏈安全、數(shù)據(jù)安全，與之對(duì)應(yīng)的存儲(chǔ)特性如下：

分類	安全控制點(diǎn)	存儲(chǔ)特性
數(shù)據(jù)完整性	應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲(chǔ)過程中的完整性	傳輸完整性(如IPSec、HMAC)，靜態(tài)數(shù)據(jù)完整性DIF
數(shù)據(jù)保密性	應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲(chǔ)過程中的保密性	靜態(tài)數(shù)據(jù)加密（POOL級(jí)加密，Namespace/Volume級(jí)加密、對(duì)象存儲(chǔ)文件級(jí)加密、加密盤）、密鑰管理（外置密管，內(nèi)置密管），傳輸加密如復(fù)制鏈路加密、和計(jì)算主機(jī)之間加密(HTTPS、SMB、Kerberos、FTPS、NFS）、端到端透明加密
數(shù)據(jù)備份恢復(fù)	應(yīng)提供重要數(shù)據(jù)的本地?cái)?shù)據(jù)備份與恢復(fù)功能；	副本、EC、快照、克隆；自動(dòng)備份、備份文件設(shè)置保留周期和策略設(shè)置、備份數(shù)據(jù)恢復(fù)、數(shù)據(jù)回溯
	應(yīng)提供異地實(shí)時(shí)備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實(shí)時(shí)備份至備份場(chǎng)地；	多AZ、跨區(qū)域復(fù)制、云端備份、數(shù)據(jù)下載到本地備份數(shù)據(jù)、遠(yuǎn)程復(fù)制、復(fù)制上云、分級(jí)上云、備份歸檔、容災(zāi)備份
	應(yīng)提供重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性	兩地三中心、雙活、多活
剩余信息保護(hù)	應(yīng)保證鑒別信息所在的存儲(chǔ)空間被釋放或重新分配前得到完全清除；應(yīng)保證存有敏感數(shù)據(jù)的存儲(chǔ)空間被釋放或重新分配前得到完全清除。	數(shù)據(jù)安全刪除、內(nèi)存刪除、加密數(shù)據(jù)防泄漏、磁盤數(shù)據(jù)刪除、物理磁盤報(bào)廢、數(shù)據(jù)遷移服務(wù)
供應(yīng)鏈安全	合格供應(yīng)方目錄、來源的穩(wěn)定或多樣性、知識(shí)產(chǎn)權(quán)、源代碼安全能檢測(cè)	軟件包完整性校驗(yàn)、代碼簽名校驗(yàn)、源碼可信證明、安全啟動(dòng)，內(nèi)核完整性校驗(yàn)，禁止惡意軟件（軟件病毒掃描）
數(shù)據(jù)安全	數(shù)據(jù)安全保護(hù)計(jì)劃、數(shù)據(jù)分類分級(jí)、境內(nèi)存儲(chǔ)、重要數(shù)據(jù)和個(gè)人信息保護(hù)、容災(zāi)備份、數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估、數(shù)據(jù)處理活動(dòng)全流程保護(hù)	數(shù)據(jù)隱私保護(hù)、數(shù)據(jù)分級(jí)分類、境內(nèi)存儲(chǔ)；多租戶隔離、數(shù)據(jù)訪問審計(jì)、數(shù)據(jù)訪問控制、數(shù)據(jù)入侵檢測(cè)、數(shù)據(jù)防病毒掃描；故障域、容災(zāi)保護(hù)計(jì)劃、分級(jí)上云、容災(zāi)備份、雙活

第三部分圍繞安全可服務(wù)性的標(biāo)準(zhǔn)解讀

安全運(yùn)行與維護(hù)是等級(jí)保護(hù)實(shí)施過程中確保等級(jí)保護(hù)對(duì)象正常運(yùn)行的必要環(huán)節(jié)，與存儲(chǔ)系統(tǒng)相關(guān)的涉及運(yùn)行管理職責(zé)確定，包含創(chuàng)建運(yùn)行管理角色、授權(quán)等活動(dòng)，運(yùn)行管理過程控制，包含記錄操作過程，安全狀態(tài)監(jiān)控包含監(jiān)控對(duì)象狀態(tài)和信息收集以及狀態(tài)分析和報(bào)告輸出，安全自查和持續(xù)改進(jìn)，包含自查相關(guān)的所有活動(dòng)，服務(wù)商管理和監(jiān)控，包含對(duì)服務(wù)商能力的分析和跟進(jìn)等事務(wù)，應(yīng)急響應(yīng)和保障，包含應(yīng)急準(zhǔn)備和響應(yīng)，針對(duì)安全事件的分級(jí)和應(yīng)急以及后期的評(píng)估和改進(jìn)，這一系列活動(dòng)可以在存儲(chǔ)產(chǎn)品中給予很好的流程和數(shù)據(jù)支持。

分類	安全控制點(diǎn)	存儲(chǔ)特性
運(yùn)行管理和控制	創(chuàng)建運(yùn)行管理角色、授權(quán)	用戶和用戶組管理，協(xié)議用戶權(quán)限
變更管理和控制	操作規(guī)程、操作過程記錄	可服務(wù)性的固件更換、操作日志/安全日志
安全狀態(tài)監(jiān)控	監(jiān)控對(duì)象確定、監(jiān)控對(duì)象狀態(tài)信息收集、監(jiān)控狀態(tài)分析和報(bào)告	性能監(jiān)控、集群狀態(tài)監(jiān)控、節(jié)點(diǎn)硬盤電源風(fēng)扇等設(shè)備狀態(tài)監(jiān)控等
安全自查和持續(xù)改進(jìn)	安全狀態(tài)自查、安全持續(xù)改進(jìn)	安全檢查工具、熱補(bǔ)丁
服務(wù)商管理和監(jiān)控	服務(wù)商選擇有資質(zhì)的、服務(wù)商管理、監(jiān)控	具備安全信譽(yù)、技術(shù)和行業(yè)經(jīng)驗(yàn)、內(nèi)部控制、持續(xù)經(jīng)營的相關(guān)證明材料；存儲(chǔ)設(shè)備服務(wù)購買
應(yīng)急響應(yīng)和保障	建立應(yīng)急組織、明確應(yīng)急工作職責(zé)、安全事件分類分級(jí)、應(yīng)急預(yù)案對(duì)象，應(yīng)急演練	告警分類分級(jí)、遠(yuǎn)程復(fù)制、3DC，多AZ，容災(zāi)備份、容災(zāi)演練、備份歸檔、雙活

第四部分加密存儲(chǔ)可作為等保領(lǐng)域切入點(diǎn)

根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》，網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施；國務(wù)院辦公廳發(fā)文《國家政務(wù)信息化項(xiàng)目建設(shè)管理辦法》要求國家政務(wù)信息化項(xiàng)目必須有密碼應(yīng)用方案和密碼應(yīng)用安全性評(píng)估報(bào)告；國家密碼管理局發(fā)文《商用密碼管理?xiàng)l例》規(guī)定非涉密的關(guān)鍵信息基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全等級(jí)保護(hù)第三級(jí)以上網(wǎng)絡(luò)、國家政務(wù)信息系統(tǒng)等網(wǎng)絡(luò)與信息系統(tǒng)必須使用商用密碼進(jìn)行保護(hù)；中國人民銀行發(fā)文《金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》規(guī)定3級(jí)數(shù)據(jù)的存儲(chǔ)應(yīng)采取加密等技術(shù)措施，4級(jí)及以上數(shù)據(jù)應(yīng)使用密碼算法加密存儲(chǔ)；公安部發(fā)文《貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見》要求第三級(jí)及以上網(wǎng)絡(luò)在規(guī)劃、建設(shè)和運(yùn)行階段充分考慮符合要求的密碼產(chǎn)品及服務(wù)。

從以上發(fā)文可知，加密存儲(chǔ)是等級(jí)保護(hù)的一個(gè)重要特征，所以傳統(tǒng)存儲(chǔ)廠商可以加密存儲(chǔ)作為切入點(diǎn)，據(jù)筆者考察，華為海量存儲(chǔ)在以上技術(shù)領(lǐng)域和安全服務(wù)領(lǐng)域都頗有成果，值得推薦。（文/鄧芙秋）

責(zé)任編輯：小穎