标准规范下载简介和预览

JR／T 0167-2020 云计算技术金融应用规范 安全技术要求.pdf简介：

"JR/T 0167-2020 云计算技术金融应用规范 安全技术要求"是一个由中国金融行业标准委员会发布的标准。这个标准主要针对云计算技术在金融领域的应用，重点强调了在金融业务中采用云计算时的安全技术要求。它涵盖了云计算服务的安全架构、数据安全、身份认证与访问控制、安全监控、应急响应与恢复等方面，目的是为了保障金融云服务的稳定运行和客户信息的安全，以适应金融行业对信息安全的严格要求。通过遵循这个标准，金融机构和云服务提供商能够确保在云计算环境中提供安全、可靠和合规的服务。

JR／T 0167-2020 云计算技术金融应用规范 安全技术要求.pdf部分内容预览：

JR/T01672020

附录A （规范性附录） 云计算平台可选组件的安全要求

基本要求： a）容器应具备资源隔离机制，通过操作系统内核机制等保证不同容器进程、网络、消息、文件系 统和主机名相互隔离和资源限制。 b） 应支持镜像仓库安全机制，能够保证镜像仓库链路安全，对镜像文件数据进行加密。 C 云计算平台应支持镜像配置安全机制。 d）应具备一定的安全机制保障单一容器故障或感染恶意代码时，不影响其他容器的使用或安全 性。 扩展要求： 无。 增强要求： 无。

中间件是1种独立的系统软件或服务程序。云计算环境下，不同的应用场景需要不同功能的中间件， 要包括消息处理中间件、事务中间件、数据访问中间件等。中间件组件应具备高性能，支持独立的集 样部署、完善的日志记录、多租户隔离，并提供良好的用户管理界面和用户操作审计功能。 基本要求： a）应提供身份识别和登录控制功能。 b）针对中间件的所有操作，应提供完整的审计功能。 C）应提供基于安全网络协议的接入方式， 扩展要求： a）应对运行在中间件中的不同租户之间的服务实例提供隔离机制。 b）对中间件不同服务的通信，可提供协议和接口的安全控制。 增强要求： 应支持会话全生命周期的安全管理，包括会话的生成、隔离、保持、结束等环节，应支持对会话信 息的加密存储。

基本要求： a）应提供用户操作审计功能。 b) 应进行数据库安全加固《民用机场飞行区技术标准 MH5001-2013》，防止用户访问物理服务器上运行的其他用户的数据库实例。 c）应支持用户可设定只允许云服务器从内网访问数据库服务

JR/T01672020

d）应提供白名单设置功能，用户可以设置IP白名单，仅允许指定源IP访问用户的数据库实例服 务。 扩展要求： 应支持每个云服务使用者拥有自已的数据库管理员权限，数据库实例不可共用。 增强要求： 应支持每个云服务使用者的数据库部署在不同的存储设备上。

JR/T01672020

附录B （资料性附录） 云计算的安全风险

使用者、云服务提供者等多方合作建设，其安全防护需要多方联合采取措施。不明确的安全责任划分 不科学的安全任务分工等可能使原本严密的防护机制产生安全缝隙，给云计算环境下的信息系统安全带 来一定挑战。

用户使用云服务时，不可避免地将数据存储到云计算平台上，使得云服务提供者具有访问和操作云 服务使用者数据的能力。一方面，云服务提供者内部人员失职、云计算平台遭受攻击等多种原因，均可 能导致数据丢失或隐私泄露；另一方面，云服务提供者掌握使用者的登录记录、操作习惯、访问轨迹、 资源使用等大量数据，能够通过数据分析获取用户不愿公布的隐私信息

为提升资源利用效率，云服务将软硬件资源分配给多个用户共享。从空间维度上，不同用户有可能 共用1台物理服务器的内存、硬盘等资源，如隔离措施失效，可能干扰其他用户应用运行或导致信息泄 露；从时间维度上，同一软硬件资源在不同时间被不同用户使用，如果资源在被重分配给新用户之前， 没有完全清除数据，新用户可能通过数据恢复技术还原之前用户的数据，从而带来数据泄露风险

漏洞的危害。服务集中使云计算平台更易成为不法分子的攻击目标JT∕T 876-2013 填充型环氧涂层钢绞线体外预应力束，一且发生问题将导致大量 的异常终止和数据泄露。

B.6不安全接口的风险

云服务按照硬件、平台和应用软件等层次将标准API接口开放给用户，由用户按需与上层应用进 由于这些标准API接口直接通过网络对外开放，并且用户可以使用各类终端设备通过互联网获

JR/T01672020

云服务，因此存在注入攻击、密钥窃取、安全漏洞等安全性风险JJF(冀) 3006-2019标准下载，同时也直接影响云计算平台的整体安 全性。

云服务，因此存在注入攻击、密钥窃取、安全漏洞等安全性风险，同时也直接影响云计算平台的整体安 全性。