标准规范下载简介

DB15／T 2196-2021 大数据应用 云服务安全技术指南.pdf简介：

"DB15/T 2196-2021 大数据应用 云服务安全技术指南"是一份由中国制定并发布的标准。这份指南主要关注于大数据应用领域中云服务的安全技术，它为大数据处理和云计算环境下的安全保障提供详细的指导。它涵盖了云服务架构、数据安全、身份认证与授权、访问控制、数据加密、安全审计、风险管理等方面的内容，旨在帮助企业、组织和个人在利用云服务进行大数据处理时，确保数据的完整性和隐私保护，降低安全风险。它是一个重要的参考标准，帮助企业在数字化转型中建立和维护安全可控的大数据云服务环境。

DB15／T 2196-2021 大数据应用 云服务安全技术指南.pdf部分内容预览：

本文件规定了云服务客户信息系统从迁移上云到退出云计算平台过程中各阶段的安全服务内容与 技术要求。 本文件适用于党政机关云计算平台使用单位、云服务商和云服务安全提供商。云安全测评机构也可 参考使用。

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T20984信息安全技术信息安全风险评估规范 GB/T22240信息安全技术网络安全等级保护定级指南 GB/T25069信息安全技术术语 GB/T31167信息安全技术云计算服务安全指南 GB/T32400信息技术云计算概览与词汇

JGJ 361-2014 人工碎卵石复合砂应用技术规程DB15/T2196—202

云服务用户迁移信息系统至云计算平台、使用、退出云计算环境过程中，安全服务生命周期包括上 云前安全分析与设计、安全建设、安全运维与安全退出四个阶段。云安全服务生命周期各个阶段输入输 出文档，见附录A。 针对尚未建设的信息系统（以下简称“新建系统”），安全服务过程如图1所示。在上云前安全分 所与设计阶段，完成安全评估与需求分析、安全开发及定级备案；在安全建设阶段，完成安全管理体系 建设、安全技术体系建设、安全自测，根据安全自测结果进行整改和加固，最后进行第三方测评；在安 全运维阶段，进行安全运维体系建设及落地实施；在安全退出阶段，针对信息系统退出云计算平台的过 开展安全管控

图1新建信息系统安全服务过程

针对已建信息系统，安全服务过程如图2所示。在上云前安全分析与设计阶段，完成安全评估与需 求分析、定级备案；在安全建设阶段，通过安全自测得出差距分析，设计整改方案，开展安全管理体系 建设、安全技术体系建设、整改和加固，最后开展第三方测评；在安全运维阶段，进行安全运维体系建 设及落地实施：在安全退出阶段，针对信息系统退出云计算平台的过程开展安全管控。

DB15/T 21962021

1.2上云前安全分析与

图2已建信息系统安全服务过程

信息系统迁移至云计算平台（以下简称“上云”）前，完成上云前安全需求分析及定级备案。针对 新建系统，根据信息系统安全需求，设计系统安全开发方案，实现软件安全开发生命周期管理。

信息系统迁移至云计算平台后，开展安全管理体系设计及落地、安全技术体系的设计和实施、安全 自测、整改加固以及第三方测评，以提升信息系统在云上的安全防护能力

信息系统完成安全建设后，需开展安全运维活动，包括了安全运维体系的建设以及安全运维实施。 在识别、防护、检测、预警、响应、处置等环节，通过团队、技术平台、运维三要素的密切协同，持续 性开展安全运维，形成安全闭环。

信息系统退出云计算平台（以下简称“下线”）过程需进行安全退出管理，主要确保业务数据得到 有效保护，在系统下线的过程中不造成信息的泄露

5上云前安全分析与设计

5.1上云安全评估及需求分析

对于适合上云的信息系统，安全需求分析重点是合 过上云评估及 安全需求分析，发现待上云信息系统的安全风险，挖掘信息系统的合规性要求和安全需求，完成信息系 统上云前的安全准备工作。具体内容包括： a 调研系统业务，包括调研信息系统的业务功能、系统用户、安全保护等级，梳理信息系统资 产，根据业务数据的敏感程度以及系统功能，判断信息系统是否适合上云； b 调研云计算平台是否已通过云计算服务安全评估： C 调研上云前是否存在对信息系统的安全测试要求以及通过情况； d 调研系统网络架构及IP地址，包括调研信息系统的网络架构、外联线路情况、IP地址划分 VLAN划分、业务高峰期流量峰值以及业务流向情况，梳理信息系统架构和业务数据流向； 调研信息系统安全现状，包括安全能力现状及其安全策略： 调研运维终端设备情况，包括设备的安全策略、主机防病毒情况

g） 调研数据及备份情况，包括信息系统配置信息、业务数据信息、备份策略。 评估信息系统安全风险，对信息系统所面临的安全风险以及上云后面临的安全风险进行风险 分析，提出应对建议； i分析系统上云信息系统安全需求，

针对尚未定级备案的信息系统开展定级备案工作。定级备案的措施包括： 依据GB/T22240要求，确定定级对象，确定受损害的客体以及侵害程度，从业务信息及系统 服务两个方面最终确定信息系统安全保护等级； b 编写定级报告及备案表； c）根据专家评审意见进行修订，完成信息系统备案工作。

5.3新建系统安全方案设计

对新建信息系统设计安全开发过程。具体措施包括： a） 在安全需求阶段，应考虑信息系统的安全需求，细化安全需求并完成安全需求确认； b) 在安全设计阶段，根据安全需求进行安全设计，制定安全编码规范； C 在安全开发阶段，根据安全编码规范进行安全开发，编码完成后开展代码审计，并根据审计 结果进行整改； d 在安全测试阶段，开展安全功能测试及交互式安全测试，并根据测试结果进行整改

依据信息系统的安全需求，对信息系统进行安全自测，找出信息系统与安全需求之间的安全差距

6. 1. 2 漏洞扫描

对信息系统及云上环境进行漏洞扫描，通过技术手段以及人工验证等手段发现漏洞，包括但不限 用漏洞、主机操作系统漏洞、数据库漏洞、逻辑缺陷、弱口令、信息泄露及配置不当等脆弱性

对信息系统及云上环境进行配置核查，采用人工检查用表、脚本程序或基线扫描工具进行配置核查， 针对主机系统、数据库、中间件等方面，检查系统策略配置、服务配置、保护措施、系统及软件升级更 新情况以及是否存在后门等内容。

6. 1. 4 代码审计

对具有代码审计安全需求的信息系统，以审计工具或人工分析方式，系统化分析程序代码的弱点 发现用户输入错误的可能情况，评估可能产生的衍生问题

6. 1.5 应用渗透测试

通过应用渗透测试，找出目前信息系统存在的代码缺陷和漏洞，具体措施包括：

DB15/T21962021

a）通过工具扫描与人工测试、分析的手段，以模拟黑客入侵的方式对信息系统进行模拟入侵测 试； b） 评估信息系统是否存在SQL注入、跨站脚本攻击、跨站伪造请求、弱口令、明文传输、文件 包含、目录浏览、不安全的跳转、溢出、上传漏洞、不安全的数据传输、未授权的访问等脆 弱性问题，识别信息系统存在的安全风险。

6.2安全管理体系建设

梳理信息安全管理组织现状、信息安全管理制度及落地情况，依据信息安全管理体系要求、制度和 标准，结合信息安全管理现状以及安全管理过程中存在的安全痛点和安全需求，设计满足合规性要求及 信息系统安全需求的安全管理体系，开展安全管理体系落地

6.3安全技术体系建设

依据安全需求、差距分析报告或风险评估报告，对云服务客户信息系统面临的安全风险进行总结分 析，设计安全技术方案并实施。具体内容包括： a）根据云计算平台以及云安全资源，结合信息系统的安全需求及差距分析，设计安全技术方案； b） 将安全技术方案的实现方法落实到具体的产品功能或措施，使信息系统达到相应的安全能力 要求； 合理划分信息系统安全区域，制定安全产品配置策略以及安全基线； d）完成安全产品的安全配置，按照安全基线对操作系统、数据库及其他组件进行安全加固

应根据安全自测的差距分析的结果，对信息系统进行整改和安全加固。

全自测的差距分析的结果，对信息系统进行整改

根据云服务客户的安全需求进行第三方测评。第三方测评内容包括但不限于：网络安全等级保 依据GB/T20984进行的风险评估等，

7.1安全运维体系建设

7.2.1日常安全运维

应定期进行常规性安全检查，包括以下要求。 a） 安全巡检：对信息系统进行安全巡检，包括漏洞扫描、配置核查、应用渗透测试，并提交巡 检报告； b）安全监控：自动化安全监控平台结合人工监控，详见7.2.2章节内容； c）安全值守：人员驻场值守。

7. 2. 2 安全监测

DB15/T 2196202

7.2.4应急预案及演练

7. 2. 5 应急响应

7.2.6重大活动安全保障

在重大活动期间制定 全服务指 施包括： 实时监测攻击态势； b) 安全保障手段包括但不限于漏洞扫描、配置检查、渗透测试、安全值守、日志分析、应急响 应。

7.2.7专项安全检查

针对云服务客户信息系统的特殊安全需求，进行专项安全检查，包括但不限于弱口令检查、入侵痕 迹检查、专项漏洞检查、钓鱼邮件检查等方面。

7.2.8安全意识及培训

定期开展信息安全培训，根据不同的岗位人员进行有针对性的培训内容。

DB15/T 2196202

应依据GB/T31167规定的退出服务实施退出，确保在系统下线的过程中不会造成信息的泄露。退出 评估实施的措施包括： a）对业务系统下线过程进行监管； b）评估下线过程的安全风险，梳理并评估业务数据重要性，以及评估对其他信息系统的影响； 制定下线过程的安全防范措施，应在退出云计算平台后再变更相关安全防护措施，防止下线 过程中数据泄露； d）制定针对性的信息系统安全下线流程。

DB15/T 2196202

GTCC-091-2019标准下载附录 （资料 各阶段输 安全服务过程的四个阶段输入输出物见表A.1。

安全服务过程的四个阶段输入输出物见表A

表A.1阶段输入输出物

DB15/T 21962021

安全部件安装施工工艺标准表A.1表阶段输入输出物（续）

DB15/T 2196202