7月28日,华为云服务公众号发布消息,华为云联合中国信通院在以“数字裂变,可信发展”为主题的2021可信云大会上发布了《云服务安全治理白皮书》。

 

《云服务安全治理白皮书》系统阐释了华为云对云服务安全治理的理解和能力,详细解读了云服务网络安全与合规标准(CLOUD SERVICE CYBERSECURITY & COMPLIANCE STANDARD,简称“3CS”),助力云服务提供商和客户快速提升安全治理能力。

 

在大会上,华为云安全治理总监邹丰表示,伴随着云计算的飞速发展,全球网络安全监管也愈加严格,云服务提供商和客户皆需加强自身安全能力建设,满足监管要求。

 

目前,业界多数的云安全管理体系与云服务各管理流程间缺乏关联性,不利于职能部门理解自身需要承担的安全职责,一定情况下导致部分安全职责无人承担,无法满足业务规模不断发展壮大的云服务提供商的安全治理需求。在此背景下,华为云通过持续经营和反复探索,确立了一种开放、包容、不断发展和优化的安全治理方法,用以控制、审核、度量与评估云服务安全管理的有效性和对监管要求的遵从性,即“3CS”体系。

 

在“3CS”体系的安全管理框架中,各种安全控制活动可被划分为三大板块,涵盖云服务安全治理、云服务管理支撑、数据中心运营、云基础架构、云平台运营、云服务产品安全、安全运营、商业运营八个领域。这些领域覆盖了云服务各业务模块的全流程,各领域之间层次关系鲜明,组织可以有明确的管理依据,将各种安全管理职责落实到相关职能的责任部门当中。

 

为推动“3CS”体系的有效落地,体系中对各部门的责任进行了明确划分,对每条控制要求均制定了具体的审核指南,同时采用自动化工具对操作行为进行跟踪管理,对所有审核记录保留完整证据链,对管理效果制定了可度量方法和指标。

 

同时,“3CS”体系不止实践于华为云自身,对业界的安全治理亦有极大参考意义。相比传统的安全管理体系,“3CS”在进行框架设计时就考虑到行业的普遍适用性,各组织在应用此治理框架时均可根据本组织的职能划分,进一步对框架内各控制领域进行调整,使之更好地适配组织的治理架构。