《云安全聯盟：企業架構參考指南（2023）（75頁）.pdf》由會員分享，可在線閱讀，更多相關《云安全聯盟：企業架構參考指南（2023）（75頁）.pdf（75頁珍藏版）》請在三個皮匠報告上搜索。

1、 2022 國際云安全聯盟大中華區版權所有1 2022 國際云安全聯盟大中華區版權所有2云安全聯盟企業架構研究工作組官網:https:/cloudsecurityalliance.org/research/working-groups/enterprise-architecture/2022 國 際 云 安 全 聯 盟 大 中 華 區-保 留 所 有 權 利。本 文 檔 英 文 版 本 發 布 在 云 安 全 聯 盟 官 網（https:/cloudsecurityalliance.org），中 文 版 本 發 布 在 國 際 云 安 全 聯 盟 大 中 華 區 官 網（http:/www.c

2、-）。您可在滿足如下要求的情況下在您本人計算機上下載、存儲、展示、查看、打印此文檔：（a）本文只可作個人信息獲取，不可用作商業用途；（b）本文內容不得篡改;（c）不得對本文進行轉發散布;（d）不得刪除文中商標、版權聲明或其他聲明。在遵循美國版權法相關條款情況下合理使用本文內容，使用時請注明引用于國際云安全聯盟。2022 國際云安全聯盟大中華區版權所有3序言序言企業數字化安全轉型面臨著選擇、判斷和組合的困擾，對組織、技術、人才、管理和業務模型等多方面的有機融合和運轉構成了架構，而安全是高效的基礎，二者都是競爭力。國內企業普遍在學華為、海爾、格力，同時也在吸收IBM、微軟、谷歌、亞馬遜等企業的成長

3、模型。CSA編著的本指南是國外大型企業實踐經驗的總結凝練，是一個與時俱進的參考書。本文聚焦實踐，沉淀知識，而不必全面冗長的去解讀，非常適合企業管理者和IT、業務、運營、安全的負責人快速學習，定位問題，抓住要領，快速實踐，企業對每一項組件的投入都可以在此架構中找到位置，找到他上層面的組、域。指南用1-2-3-4表達出每一個組件的層次，我們既可以看到1的面貌，又可以細化到2的構成和3、4的細節，是思維導圖模式的簡潔變形?？v觀一個企業的成長與治理，指南對企業架構建設、優化和運營實踐的價值指導意義，在于他抽取、吸收了COBIT、TOGAF、ITIL、SABSA、Jericho、NIST SP 500-

4、299、NIST SP 500-292、ISO 27001、ISO 27002等系列框架理論的精要，從而在”云大物智移”環境下，使得企業架構的高效搭建與運行既擁有了理論框架，又有了可查找的實踐行動。企業IT治理、安全治理、生產運營、應急事件處理是數字化轉型基礎內容，指南可服務于對安全、效率、和運營有持續優化訴求的大中小企業。本指南展開的對四個域的解構：業務運營支持服務(BOSS)、信息技術運營與支持(ITOS)、技術解決方案服務(TSS)、安全和風險管理(SRM)?？梢杂脰|方人的模式和中國人的，即“你我它”思維思考，你：是指框架中的任何組件、域，我：企業架構的需求、困難、鏈接方式、緊要度等，它

5、：傳遞的下一站，實現企業架構期望的目標或階段方向。對于未來的延伸，任何一個架構都是有時效的，因為變是萬物常態，運動是活力之源，企業架構的運營是指南中所提所有相關技術，組織，業務，風險應對與系統管理的多維協同，任何之一的變動延伸，都是對指南演進的新要求。本指南也為這種延伸鋪墊了未來持續發揮的思路和舞臺，努力為企業把技術用精，把業務做順，把組織做通，把管理做活。李雨航 Yale LiCSA 大中華區主席兼研究院院長 2022 國際云安全聯盟大中華區版權所有4致謝致謝企業架構參考指南（Enterprise Architecture Reference Guide）由CSA研究工作組專家編寫，CSA大

6、中華區秘書處組織翻譯并審校。中文版翻譯專家組中文版翻譯專家組（排名不分先后）：組長：組長：李巖翻譯組：翻譯組：程偉強仇蓉蓉鄧輝伏偉任高亞楠賀志生江楠李鈉李巖李程林藝芳劉潔鹿淑煜沈勇蘇泰泉滕偉王永霞吳嘉雯吳瀟謝琴楊喜龍余曉光審校組：審校組：陳欣煒單美晨何伊圣江楠李巖劉潔陶瑞巖王陽姚凱研究協調員：研究協調員：孫天一感謝以下單位的支持與貢獻：感謝以下單位的支持與貢獻：北京安訊奔科技有限責任公司北京山石網科信息技術有限公司北京天融信網絡安全技術有限公司廣東美云智數科技有限公司華為技術有限公司奇安信科技集團股份有限公司三六零數字安全科技集團有限公司三未信安科技股份有限公司上海安幾科技有限公司上海締安科技

7、股份有限公司騰訊云計算（北京）有限責任公司長春吉大正元信息技術股份有限公司浙江極氪智能科技有限公司 2022 國際云安全聯盟大中華區版權所有5英文版本編寫專家英文版本編寫專家主要作者：主要作者：Jon-Michael C.BrookMichael Roza貢獻者：貢獻者：Shawn HarrisSunil ShanthiMichael TheriaultRolando Marcelo VallejosAshish VashishthaSuri VenkatHenry WerchanCSA團隊：團隊：Sean HeideStephen Lumpe(Cover)Jim ReavisAnnMarie

8、 Ulskey(Layout)John Yeoh總架構師：總架構師：Jairo Orea首席架構師：首席架構師：Dan Logan貢獻者：貢獻者：Richard AustinRyan BagnuloCharleton BarretoJon-Michael BrookPhil CoxEarle HumphreysTuhin KumarSubra KumaraswamyYaron LeviYale LiDan LoganScott MatsumotoRajiv MishraAnish MohammedPrice OdenJairo OreaDavid SherrKen TrantRavila Wh

9、iteVern WilliamsRob WilsonCSA團隊團隊：Jim ReavisJ.R.SantosKendall Cline ScoboriaEvan ScoboriaJohn Yeoh在此感謝以上專家。如譯文有不妥當之處，敬請讀者聯系CSA GCR秘書處給與雅正!聯系郵箱：researchc-；國際云安全聯盟CSA公眾號。2022 國際云安全聯盟大中華區版權所有6目錄序言.3致謝.4前言.8企業架構概述.9如何使用企業架構.9評估機會.9創建路線圖.10識別可復用的安全模式.10評估云服務提供商和安全技術供應商.10使用定義列表.10CSA 企業架構.11業務運營支持服務（BOSS

10、）.12描述.12示例.16提供的服務.17與其他域的關系.20信息技術運營與支持（ITOS）.21描述.21示例.27提供的服務.27與其他領域的關系.31技術解決方案服務(TSS).31描述.31展示層服務.31描述.31示例.33提供的服務.33與其他域的關系.35應用服務.35描述.35示例.37提供的服務.37與其他域的關系.38信息服務.38描述.38示例.45提供的服務.45與其他域的關系.48基礎架構服務.48描述.48示例.53提供的服務.53與其他域的關系.56安全和風險管理（SRM）.56 2022 國際云安全聯盟大中華區版權所有7描述.56示例.68提供的服務.68與其

11、他領域的關系.75 2022 國際云安全聯盟大中華區版權所有8前言前言云安全聯盟企業架構工作組發布“企業架構參考指南”第2版。通過此版本，讀者可以看到CSA 企業架構2.3中每個域的詳細說明。CSA企業架構是安全、身份感知云基礎架構的綜合方法。EAWG利用了TOGAF、ITIL、SABSA和Jericho這四種行業標準架構模型。這種方法將同類的最佳架構范例結合到云安全的綜合方法。EAWG通過將業務驅動因素與安全基礎設施結合，增加了企業業務模型中云服務的價值取向。CSA企業架構參考美國國家標準與技術研究所的NIST SP 500-299 和 NIST SP 500-292。本文檔匯編了現有的企業

12、架構定義，同時，對于即將發布的EAWG版本，包括CSA云控制矩陣（CCM3.0.1）到EA的映射以及對企業架構本身的更新，都可以參考。感謝讀者企業架構組組長Jon-Michael C.BrookJohn YeohMichael RozaJim Reavis 2022 國際云安全聯盟大中華區版權所有9企業架構概述企業架構概述共同的需求產生共同的解決方案。企業架構既是一種方法，也是一組工具，使安全架構師、企業架構師和風險管理專業人員能夠利用一組通用的解決方案和控制措施。這些解決方案和控制措施滿足了一系列共同的要求，風險管理者必須評估內部IT安全和云提供商控制措施的運營狀態。這些控制措施以安全能力形

13、式表現出來，旨在創建一個通用的路線圖，滿足業務的安全需求。業務需求必須指導架構。在企業架構中，這些要求分別來自Sarbanes-Oxley和Gramm-Leach-Bliley之類的法規、ISO-27002之類的標準框架、支付卡行業數據安全標準以及COBIT等IT審計框架驅動的控制矩陣，所有這些都包含在云服務交付模型之中，例如軟件即服務（SaaS）、平臺即服務（PaaS）和基礎設施即服務（IaaS）。按照這些需求，根據架構框架最佳實踐定義并組織了一套安全能力。（SABSA）從業務角度定義了安全模型。信息技術基礎設施庫（ITIL）指定了管理公司IT服務所需的模式，以及安全地管理這些服務的安全指南

14、。杰里科論壇指定了技術安全規范，這些規范源于傳統數據中心內技術環境向解決方案跨越多個數據中心的互聯網環境轉變的現實，而這些數據中心中一些由企業所有，另一些純粹用外包服務。最后，開放組架構框架（TOGAF）提供了一個企業架構框架和方法，用于規劃、設計和管理信息體系架構，最終形成一個通用框架，將安全架構師的工作與組織的企業架構集成在一起。如何使用企業架構如何使用企業架構企業架構可用于評估改進機會、創建技術采用路線圖、識別可復用的安全模式，并根據一組通用能力評估各種云提供商和安全技術供應商。評估機會評估機會因為云安全聯盟控制矩陣映射回各種法律和監管框架的現有安全控制需求，并且因為相同的矩陣映射到架構

15、的安全能力，為了遵守適用的法規和最佳實踐框架，公司可以很容易評估自己具備哪些能力。2022 國際云安全聯盟大中華區版權所有10創建路線圖創建路線圖在評估組織當前能力后，可以使用參考架構根據公司作為云消費者或云提供商的業務需求來指導需要投資的能力。例如，在基于云的解決方案中，物理安全控制和能力對云消費者不太重要，但對云提供商卻更為重要。此外，該參考架構能力可用于整理組織中的技術標準集合，識別是否存在多種技術實現能力相同的領域，進一步證明這些技術功能可以被整合。反之，它也可以顯示公司還有哪些尚未具備的標準技術能力。識別可復用的安全模式識別可復用的安全模式由于安全模式和最佳實踐是圍繞參考架構構建的，

16、因此這些模式在公司內部和公司之間的共享將因為將它們聯系在一起的通用功能模型而得到增強。供應商可以根據架構中的一組能力和控制措施驗證解決方案，從而使消費者能夠更信任和理解供應商的解決方案。評估云服務提供商和安全技術供應商評估云服務提供商和安全技術供應商已定義的控制措施是用簡潔明了的合同要求措辭進行書寫的，幾乎不需要修改就可以作為服務合同和建議邀請書（RFP）的基礎。使用定義列表使用定義列表以下每個領域表（BOSS、ITOS、TSS、SRM）都會細分出所有的域、組件組、子組和容器。領域組件列中每個元素開頭的連字符指明了在圖表中自然理解的企業架構層次。領域組件領域組件定義定義1 域頂層條目，將領域劃

17、分為不同域，如 SRM 中的治理、風險與合規（GRC），或BOSS中的合規。2 組件組第二層條目，將域劃分為子主題，例如“BOSS-合規“下的審計計劃，或”SRM-治理、風險與合規“下的合規管理。3 組件子組第三層條目（取決于組件，容器可能在此級別）。4 容器架構圖中的最低層元素。2022 國際云安全聯盟大中華區版權所有11CSA 企業架構CSA 企業架構這份企業架構參考指南(第二版)對應C S A 企業架構的兩種表示形式。在云安全聯盟的網站有更多交互形式的內容，并且可以深入研究各部分內容。業務運營支持服務業務運營支持服務(BOSS)信息技術運營與支持信息技術運營與支持(ITOS)技術解決方案

18、服務技術解決方案服務(TSS)安全和風險管理安全和風險管理(SRM)圖1:交互式CSA企業架構圖1另外一種表示形式是Visio圖適用于離線參考的情況。圖2企業云架構圖表21https:/ea.cloudsecurityalliance.org/index.php/explore/2 https:/ea.cloudsecurityalliance.org/index.php/resources/2022 國際云安全聯盟大中華區版權所有12業務運營支持服務（BOSS）業務運營支持服務（BOSS）描述描述BOSS域是對安全計劃至關重要的所有公司支持的職能部門，如人力資源、合規和法務。它也是監控公司運

19、營及其系統是否存在任何濫用或欺詐跡象的位置。BOSS是基于最佳實踐和參考框架設計的，在協調業務和將跨組織的信息安全實踐轉化為業務賦能因素方面頗有成效。大多數安全架構只關注技術能力，錯過了與業務建立動態協同與將被動實踐轉化為主動領域，從而使業務指揮中心具有提供有關信息資產和業務流程健康狀況的相關信息的能力的機會。當組織決定將服務與云提供商集成時，一個常見的問題是提供商提供的安全級別，以及在多租戶模式上托管數據時的風險程度。該領域概述了除技術解決方案之外還必須考慮的因素，例如法律指導、合規和審計活動、人力資源以及側重于預防欺詐的監控能力等方面。BOSS組件組件定義定義1 合規組織在確保了解相關法律

20、、政策和法規并采取措施遵守這些法律、政策和法規的流程中預期實現的目標。2 審計規劃審計規劃確保配備充足的人員安排和審計，且為整體業務交付方面的一部分。2 聯系方式權威維護確保有關部門和關鍵業務合作伙伴的聯系信息保持最新，以便在需要時正確無誤，并強制實施企業角色級別的風險限制。2 獨立審計獨立審計能夠有效地防止“自欺欺人”地確保對安全與合規相關的當前業務狀態進行公正的審查。2 第三方審計確保所依賴的服務符合安全要求。2 內部審計在組織內部提供交叉檢查機制。在較大的組織中，可能也會有一定程度的獨立性。2 信息系統監管映射確保識別所有監管要求，并確保業務的合規工作考慮到這些要求。2 知識產權保護確保

21、知識產權保護被確定為關鍵的業務驅動因素，并確保業務的合規性工作考慮到該點。1 運營風險管理運營風險管理從業務角度為風險評估提供了一個整體視角，使用風險管理框架有助于洞察組織面臨的風險和威脅，并且該框架將提供評估、管理和業務伙伴 2022 國際云安全聯盟大中華區版權所有13控制整個組織不同風險的方法。應設立運營風險委員會（ORC），定期討論組織始終面臨的威脅和合規情況。通常，該委員會的參與者由業務部門（即首席執行官、首席運營官、首席信息官、首席財務官）、合規部（首席風險官、合規官）和控制人員（審計、安全和風險管理）組成。使用業務影響評估方法將有助于組織確定哪些流程對組織至關重要，并相應地規劃以保

22、護這些流程，確保適當的連續性計劃，并使用關鍵風險指標衡量相關風險。通過風險記分卡定期監控關鍵風險指標，集成來自安全監控服務的信息或信息服務領域整合的信息。2 運營風險委員會確保對所有已識別的業務風險給予運營方面的考慮。除非考慮真正的運營考量因素，否則不可能對風險進行充分的優先排序。2 危機管理組織有效應對危機的總體協調，總體目標是避免或最大限度地減少對組織的盈利能力、聲譽或運營能力的損害。1 業務影響分析確保在風險管理流程中考慮業務影響，而不僅僅考慮技術方面風險。2 關鍵風險指標從管理層或執行層識別可能影響特定業務的關鍵風險因素是什么。2 業務連續性確保在風險管理流程中考慮業務連續性。不僅應解

23、決業務連續性問題，還應解決業務恢復問題。3 規劃準備業務連續性計劃以及必要時付諸實施所需的所有步驟。3 測試測試業務連續性計劃以確保其有效性。2 風險管理框架確保在業務范圍內定義并記錄可重復的流程。風險管理框架必須在其定義的業務環境中使用。3 業務評估確保對業務風險進行識別、記錄，并確定適當的處理方法。3 技術評估確保對技術風險進行識別、記錄，并確定適當的處理方法。2 獨立風險管理由第三方進行風險評估，以從參考框架角度（即COBIT、ISO27001）、監管角度（即SOX、PCI）評估組織控制的成熟度。此類評估還可包括安全測試（黑盒、白盒、滲透測試）。1 人力資源安全本節重點關注與人員(員工、

24、承包商或任何其他第三方)與組織人力資源職能互動相關的流程、最佳實踐的安全和風險管理視角。2 解雇確保員工離職程序將離職員工在任職后濫用信息資產的風險降至最低的流程。該流程通常包括刪除對電子帳戶的訪問、關閉VPN或外部電子郵件服務等。2022 國際云安全聯盟大中華區版權所有142 雇傭協議組織與員工、承包商、第三方用戶和客戶之間簽訂的所有合同協議，在授予對數據和服務的訪問權限之前，這些協議明確規定了其雇傭或服務合同的條款和條件，其中必須明確包括負責信息安全的各方。例如隱私政策、知識產權協議、可接受的使用、網站條款和條件。2 背景篩查人員、承包商和第三方的背景核實必須到位，并且應與根據當地法律、法

25、規和道德規范訪問的數據分類相稱。2 職位描述工作職責的明確定義有助于確定從事該工作的人員的數據訪問要求，確保職員只有最低限度的訪問權限。2 角色和職責將工作劃分為具有不同角色和職責的多個職位，允許職責分離，以確保組織流程中的適當完整性。2 員工意識此能力將側重于與提供意識的流程相關的材料和工具的管理，以確保遵守監管要求、安全策略和風險管理最佳實踐，從而確保組織將擁有一個安全、合規和安全的工作環境。這方面的例子包括桌面清理、災難恢復、在線培訓、PII/PHI信息保護等。2 員工行為準則此能力旨在管理與組織的數據、資產和服務交互的人員之間的正式協議的生命周期。行為準則必須包括從監管角度看與組織相關

26、的預期行為、信息安全策略和風險管理最佳實踐。1 數據治理在組織管理應用程序、服務和企業信息集成活動之間的數據時，需要有一個定義良好的治理模型，該模型概述并尋找在整個IT基礎架構（包括內部和外部服務即SaaS、PaaS、IaaS、ASP或其他）中如何處理、轉換和存儲數據的合規性（。數據治理中包含的流程包括數據所有權、應如何對數據進行分類、數據/資產所有者對其應用程序和服務負有的責任，以及在整個生命周期內對數據的必要控制。2 數據所有權管理工作此能力為在數據的整個生命周期中與數據交互的人員管理通信、職責和相關流程。與數據交互關聯的角色包括數據所有者、資產托管人、數據用戶、支持服務和代表。2 數據分

27、類評估信息對業務的價值，并根據數據被未經授權的個人獲取對業務的影響將其分配到不同級別的流程，如(受保護的、公開的、絕密的)。2 處理/標記/安全策略該能力管理與數據和包含數據的對象的標簽、處理和安全相關的策略、流程和通信。2 數據安全處置確保數據被適當銷毀，以防恢復(例如，通過數字取證技術)。此類銷毀的 2022 國際云安全聯盟大中華區版權所有15文件記錄應落實到位，并應包括在信息生命周期管理流程中。2 清理桌面政策一種公司政策，確保敏感信息不會被未授權用戶公開查看或竊取。2 信息防泄露規則此能力管理與整個組織內數據保密和保護相關的數據泄露防護和控制相關的策略、程序和業務需求。這方面的示例包括

28、內容管理、共享文件存儲庫和終端視角的數據使用。2 數據保存規則此能力根據業務和監管角度的需要，管理與保存數據(交易信息、電子郵件、文檔圖像、刷卡、在線瀏覽歷史記錄)相關的策略、程序或要求，然后進行安全處置。1 安全監控服務與整個組織的主動式安全和風險管理態勢感知相關的所有功能，以業務為重點，防止內部或外部攻擊、濫用權限和數據丟失，同時保持對組織數據和訪問的適當監控，無論這些服務在何處分配或管理（云、內部、托管等）2 安全信息事件管理平臺（SIEM）安全信息和事件管理平臺收集、關聯、報告多個安全信息源，以保持態勢感知。2 事件挖掘對歷史事件進行統計分析，確定正常和異常行為模型。2 數據庫監控此能

29、力是數據庫管理系統相關事件的集合，包括登錄、查詢、處理和管理活動。2 應用監控該能力是應用程序相關事件的集合，包括登錄、對敏感數據的訪問、處理、管理活動。2 蜜罐一種真實的或虛擬的系統，通過配置真實的生產系統的鏡像來吸引和檢測入侵者。2 終端監控收集與最終用戶使用設備相關的事件。2 事件關聯分析一個源中的事件并將其與相同或其他源中的事件關聯以獲取附加信息或檢測活動模式的流程。2 云監控在應用程序堆棧的所有層上收集與云解決方案提供服務的使用相關聯的事件。2 電子郵件記錄監控電子郵件內容以檢測數據丟失、惡意軟件傳播或其他基于電子郵件的威脅。2 安全運營中心門戶由安全運營中心維護的儀表盤應用程序，提

30、供組織安全狀態的總體可見性。2 對抗威脅管理管理威脅和對抗策略的整個流程。2 市場威脅情報由分布式IDS傳感器收集并由安全公司分析的網絡情報。此外，這種能力可以鞏固來自行業同行的威脅情報(例如，HITRUST,NSA的商業分支機構 2022 國際云安全聯盟大中華區版權所有16等)。2 安全托管服務為組織提供部分或全部安全運營能力的外包協議。2 知識庫一個能夠使安全運營中心高效響應事件的，有關組織基礎設施和運營的知識庫，2 品牌保護監控對組織品牌構成風險的外部實體和活動，如冒名頂替者網站、蓄意錯誤拼寫等。2 防釣魚能夠檢測針對組織用戶的網絡釣魚攻擊，如入站網絡釣魚電子郵件。2 實時網絡防護（SC

31、AP）安全內容自動化協議是一個持續的保障流程，可實時驗證安全策略和程序的合規性。2 用戶行為與畫像有關用戶的事件和信息的集合，用于分析和識別正常和異常行為模式，如特定用戶或角色使用應用程序的情況。1 內部調查內部調查關注的是確定事實真相和政策或刑事調查的影響。這一流程涉及欺詐檢測、預防和取證調查。2 取證分析取證分析涉及保存、識別、提取和分析與違反政策或刑事犯罪的事實問題相關的潛在證據價值項。2 電子郵件記錄確保按照監管合規或支持訴訟的要求記錄和保存所有電子郵件流量的流程和程序。1 法律服務當安全事件發生時，組織對法律顧問的需求至關重要。其中包括幾項能力，可以幫助法律顧問領導合規活動、處理訴訟

32、以及跟蹤整個組織的預防意識。2 合約兩個或多個當事人之間的協議，其目的是創造一項或多項法律義務。2 電子檔案查詢（電子發現）電子檔案查詢涉及如何識別、保存和生成對已經計劃或正在進行的訴訟作出響應的數據。2 應急響應法律準備確保識別、收集和保存相關信息的流程和程序，支持未來有關該事件的訴訟。示例示例安全監控工具提醒分析師，客戶提款交易操作的發起方是 IT 部門的工作站而不是客戶聯絡中心。在人力資源部和法務部的幫助下進行一項特別調查顯示，確定是一名心懷不滿的系統管理員持續竊取公司信息。2022 國際云安全聯盟大中華區版權所有17提供的服務提供的服務合規性：合規性：合規能力的重點是跟蹤內部、外部、第

33、三方（如客戶）人員行為，執行審計活動及發現相關問題。為了合規工作的順利開展，有必要建立一個通用資料庫，使組織能夠跟蹤和修復這些發現所概述的技術或運營差距。審計活動包括制定審計年度計劃，精簡審計流程，防止重復審計。監管映射流程將幫助組織協調和簡化各種能力或流程生成的控制證據，以便存儲在風險注冊表（信息服務域）中。相關組件：相關組件：2 審計計劃2 聯系人/權威維護2 獨立審計2 第三方審計2 內部審計2 信息系統合規映射2 知識產權保護數據治理：數據治理：當組織管理應用程序、服務和企業信息集成活動之間的數據時，需要有一個定義明確的治理模型，指導包括內外部服務（即SaaS，PaaS，IaaS，AS

34、P或其他）的整個IT基礎設施中，數據的合規銷毀、轉換和存儲。作為數據治理一部分的流程，包括數據確權，數據分類以及數據/資產所有者對其應用程序和服務的責任劃分，以及整個生命周期中對數據的必要控制。相關組件：相關組件：2 數據所有權/管理權2 數據分類2 處理/標簽/安全策略2 數據安全銷毀2 明確的桌面政策2 防止信息泄露規則2 數據保留規則 2022 國際云安全聯盟大中華區版權所有18運營風險管理：運營風險管理：運營風險管理從業務視角提供了風險評估的整體視角，使用風險管理框架可以洞察組織面臨的風險和威脅?？蚣軐⑨槍M織面臨的不同風險提供風險評估，管理和控制方法。應該設立運營風險委員會（ORC）

35、定期討論組織長期面臨的威脅和合規情況。通常，該委員會參與者按照業務人員（即CEO，COO，CIO，CFO），合規人員（CRO，合規官員）和控制人員（審計，安全和風險管理）分組。業務影響評估方法的使用將有助于組織確定對組織至關重要的流程，并制定相應的保護計劃，確保適當的連續性計劃，并通過關鍵風險指標衡量相關風險?？梢酝ㄟ^風險記分卡定期監控關鍵風險指標，整合來自安全監控服務的信息或信息服務領域的綜合信息。相關組件：相關組件：2 運營風險委員會2 危機管理2 業務影響分析2 關鍵風險指標2 業務連續性3 規劃3 測試2 風險管理框架3 業務評估3 技術評估2 獨立風險管理人力資源安全：如果缺乏針對人

36、員這一最核心資產的正式控制措施、安全意識和指導方針，組織可能會經常發生安全事故和違規行為。本節旨在確保組織制定正式程序，行為準則，人員篩選和其他最佳實踐，采用了第三方云計算服務的組織更是如此。相關組件：相關組件：2 人員離職2 就業協議2 背景審查 2022 國際云安全聯盟大中華區版權所有192 職位描述2 角色和責任2 員工意識2 員工行為準則安全監控服務：安全監控服務：安全和可用性監控服務隸屬于業務運營和支持服務，其核心任務是確保業務安全而不是聚焦于事件或硬件。通常的錯誤做法是未將安全功能聚焦于在流程背后的業務操作、活動和人員行為上。安全監控服務的目標應從傳統的基礎架構監控轉變為以業務運營

37、為中心，專注于欺詐防范，與業務戰略保持一致，關注業務影響和運營需求。組織通常只將監控活動聚焦在響應模式上，失去了成為業務合作伙伴的機會。通過使用監控服務，收集有關員工行為知識，企業可以獲得流程改進的新契機。相比其他員工，有些員工比其他人更容易接觸到許多機構最關鍵的信息，例如客戶數據，信用卡信息等。如果安全監控服務側重于這些用戶及其行為，則可以防止潛在的欺詐活動。隨著監控服務開始變得不那么被動，而是更主動化，安全監控服務的重點將從內部威脅轉向外部威脅。該架構概述了基于網絡情報的多種能力，旨在防止威脅演變為安全事件。相關組件：相關組件：2 SIEM平臺2 事件挖掘2 數據庫監測2 應用程序監控2

38、蜜罐2 端點監測2 事件相關性2 云監控2 電子郵件日志2 SOC門戶2 反威脅管理2 市場威脅情報2 安全服務托管 2022 國際云安全聯盟大中華區版權所有202 知識庫2 品牌保護2 反釣魚2 實時互聯網工作防御（SCAP）2 用戶行為和側寫描述法律服務：法律服務：隨著安全事件的發生，法律顧問對組織至關重要。法律顧問可指導合規工作/訴訟處理，以及跟蹤和提升組織的法律風險防范意識。本節還包括和詳述了有助于提高、跟蹤和管理合規性的功能。相關組件：相關組件：2 合同2 電子取證2 事件響應的法律準備內部調查：內部調查：內部調查的作用因組織而異；一些公司讓信息安全團隊執行取證活動，而更成熟的公司可

39、能會有一個專注于內部和/或外部欺詐活動的專門團隊。為了更好地協助調查人員，這些團隊的能力以幫助開展安全事件響應、網絡情報分析、遵守法律、安全監控、人力資源和信息安全團隊管理等為導向。相關組件：相關組件：2 取證分析2 電子郵件日志與其他域的關系與其他域的關系業務運營支持服務定義了IT運營支持服務、演示服務、應用程序服務、信息服務、基礎設施服務以及安全和風險管理所要支持的高級戰略要求。BOSS體現了云消費者的業務方向和目標。BOSS體現在合規目標、法律目標、人力資源要求、運營風險容忍度和安全監控服務中，這些服務是滿足客戶的服務級別目標和司法管轄權法定要求所必需的。BOSS域致力于使ITOS和SR

40、M域與業務所需的戰略、能力和風險組合保持一致。2022 國際云安全聯盟大中華區版權所有21信息技術運營與支持（ITOS）信息技術運營與支持（ITOS）ITOS就是IT部門。它是發現問題時接聽電話的服務臺；是在半夜里協調變更并推進實施的團隊；是即便是在災難事件發生時仍保持系統繼續運行的規劃與流程。描述描述ITOS概述了IT組織支持業務需求時所需的全部必要服務。該領域提供了與行業標準和最佳實踐的對標（PMBOK、CMMI、ISO/IEC 27002、COBIT和ITIL v3），從兩個主要角度提供參考，使組織能夠支持業務需求。然而，技術組件之間的關系并不是與PMBOK、ISO/IEC 27002、

41、CMMI、COBIT和ITIL v3中描述的流程接觸點一一對應。領域組件定義1 IT運營IT運營定義了IT組織的組織結構和技能要求，以及一組標準的運營管理程序和實踐，允許組織管理IT運營及相關的基礎設施。IT運營能力的目標是對齊業務和IT戰略、項目和技術組合管理，并需要確保貫穿IT體系的架構治理。2 災難恢復計劃（DRP）該文檔定義了在業務中斷時管理業務恢復流程所需的資源、操作、任務和數據。該計劃用于在指定的災難中，幫助恢復目標及業務。3 計劃管理確保DRP持續獲得更新以反映業務及關鍵功能變更的整體流程。4 測試管理管理對DRP進行定期測試及后續審視的整個流程。2 IT治理本能力涵蓋了以確立決

42、策權和責任框架為導向的所有流程和組件，并鼓勵IT服務生命周期中的良好行為。3 架構治理一組工具，可用于開發廣泛不同的架構透視圖，通常集成為一個通用的架構框架。治理流程必須包括以下元素:描述一種方法，用一組構建模塊定義信息系統展示構建模塊是如何組合在一起的標準列表的技術路線圖包含一組工具，并執行一份技術標準清單提供通用詞匯確?，F有解決方案和新IT服務與框架保持一致的治理流程。3 標準與指南此能力是對架構治理的補充，概述了所有的技術標準，以及關于如何在整個組織中使用它們的指南。這些標準應包括與組織的戰略、行業IT管理過程 2022 國際云安全聯盟大中華區版權所有22標準、原則、可在整個組織中重復使

43、用的模式保持一致，以及確保一致實施和采用所需的其他要素。2 資源管理資源管理功能能夠處理將資源準確分配給IT服務交付功能的問題。它被認為是與項目管理分離的共享服務，因為相同的模式可以應用于解決操作、生產和緊急資源分配問題。資源管理包括了協助資源集中、預測和平衡的技術。其他資源管理功能則與人力資源管理解決方案的關系更為密切。該服務為BOSS領域的成本計算、預測和計劃活動提供了有價值的輸入。3 職責分離職責分離（SoD）是指一項任務需要一人以上完成，防止欺詐和錯誤。3 分包商為組織提供服務的合同所綁定的所有第三方雖然不被視為員工，但可以訪問整個公司的各種資源和數據。本能力的目的是管理這些分包商，以

44、及和人員進場及釋放相關的流程。2 項目管理辦公室（PMO）項目管理辦公室（PMO）是定義和維護流程標準的部門或團體，通常與組織內的項目管理有關。項目管理辦公室致力于在項目執行的流程中引進“重復經濟”并使其標準化。PMO是項目管理與執行實踐相關文檔、指南、度量指標的來源。在一些組織中，它被稱為項目集管理辦公室）。3 項目集管理項目集管理在事件開始整個周期之后通過修復流程處理事件。項目集管理架構與服務臺交互。項目集管理提供了高級的根本原因分析工具和技術，以及與信息存儲庫的接口，以在環境中執行趨勢分析和預防服務。3 項目管理與項目管理辦公室相關的所有流程、制品和方法，用于跟蹤項目（最佳實踐包括PMI

45、知識體系等）。3 修復這個能力側重于修復對企業造成影響的現有差距或問題的項目。建議使用修復儀表盤跟蹤高級管理層的進度。2 項目組合管理本能力專注于為企業規劃、跟蹤、優先考慮當前和未來的項目和計劃。3 成熟度模型比較行業最佳水平，跟蹤企業的能力實踐、基準和成熟度，并顯示一段時間后的進展。3 路線圖在技術組合（包括安全路線圖）中變更能力及解決方案的戰略方向和計劃，以實現期望的未來狀態（例如，持續創新、能力集成等)。這個流程必須與業務策略保持一致。3 戰略匹配以流程為導向理解業務需求和戰略，并確保信息技術和安全與風險管理戰略一致，以支持路線圖中的目標。1 服務交付服務交付功能處理對維持不間斷技術服務

46、至關重要的技術。這類服務通常包括更適合技術人員使用的服務，如可用性管理、服務級別管理、服務連續性和容量管理。2022 國際云安全聯盟大中華區版權所有23然而，盡管這些類別本身就足以滿足ITIL服務管理指南，還有一些其他的IT規程是與服務支持和交付緊密結合的，例如項目管理和服務供應。服務交付主要關注業務需要信息技術提供的主動和前瞻性的服務，以向業務用戶提供充分的支持。它關注的是作為IT服務客戶的業務。（該規程由以下流程組成，在下面的小節中進行解釋。）2 服務級別管理本功能負責確保所提供服務水平與合同義務持續地保持一致。3 目標可度量的目標，用于對照服務級別協議來對服務及交付的績效表現進行評估。3

47、 內部服務級別協議（SLAs）組織內部的服務級別協議，對要交付的特定服務及對交付進行治理的績效標準進行規定。3 運營級別協議必須定義運營級別協議，以支持區域或組織之間的服務級別協議(SLA)。此能力致力于從操作角度跟蹤與特定SLA相關流程之間的有效集成。3 外部服務級別協議（SLAs）與外部實體的服務級別協議，規定要交付的特定服務及對交付進行治理的績效標準。3 供應商管理本能力對管理供應商關系的流程進行治理，相關流程包括選擇、審查、評估、安全和合規。通常，這些流程還包括風險評估，以及對供應商可以訪問、處理、托管或查看的數據類型（考慮到他們在風險剖面）、財務及其他領域的成熟度）和連接類型進行評級

48、。3 服務儀表盤所有SLA、OLA和合同都應該關聯并定義關鍵績效指標、關鍵目標指標和關鍵風險指標，必須定期跟蹤這些指標以管理這些協議。服務儀表盤應該提供這些測量指標以助決策。2 信息技術韌性信息技術實體及其服務在發生意外事件（如電源中斷、網絡連接中斷等）時能夠持續提供充分服務的屬性。3 可用性管理管理（內部和外部）用戶的服務可用性的總體流程。3 韌性分析本流程評估組織在發生各種事件（如斷電、網絡連接中斷等）的情況下繼續提供服務的能力。3 容量規劃容量規劃確保資源和工作負載在當前和未來均是相稱的。2 應用程序性能監控當應用程序性能度量結果（例如響應時間）超過服務水平目標時，提供告警、增量資源供應

49、等功能。2 資產管理本部分管理由信息技術組織提供的配置項和服務的所有財務狀況。3 服務成本計算該內部職能分析交付某一特定服務的應計總成本，使收入（無論是外部或內部的收款）足以支持交付該項服務。3 運營預算編制用于確定日常投資的規劃流程，例如對現有服務、基礎設施、應用程序，以及允許組織運行的其他相關因素的維護。通常來說，成本分攤流程用于在中到大型組織中分配這些成本。2022 國際云安全聯盟大中華區版權所有243 成本分攤此流程管理組織內某個區域或用戶的IT服務消耗，并計算這些服務的相關成本，包括人員、技術和支持材料。該流程確保對總體擁有成本和每項服務的成本（即桌面支持、網絡服務、安全服務等）有清

50、晰的了解。3 投資預算該計劃流程用于確定組織的長期投資（如新的基礎設施、現有服務和基礎設施的更換）新數據中心、新產品或服務、研究、應用程序開發、安全性和項目部署是否值得投入。通常，成本效益分析是投資預算流程的一部分。1 服務支持服務支持的重點是信息技術服務的用戶，主要是確保他們能夠訪問適當的服務以支持業務功能。對于業務、客戶和用戶來說，這是服務請求的入口點。他們通過以下方式參與服務支持：要求變更需要溝通、更新有困難、疑問。服務臺是客戶記錄問題的唯一聯絡點。如果有直接解決方案或會造成事故，服務臺將嘗試解決問題。事件啟動了一系列流程：事件管理、問題管理、變更管理、發布管理和配置管理（有關詳細信息，

51、請參閱以下部分）。使用配置管理數據庫（CMDB）跟蹤此流程鏈，該數據庫記錄每個流程，并創建輸出文檔以跟蹤（質量管理）。2 配置管理配置管理架構很容易被認為是服務交付的“主干”。配置管理架構提供基本技術支持用于自動發現資產、許可證管理、邏輯庫存、物理庫存、電子軟件分發和軟件配置。配置管理嚴重依賴于稱為配置管理數據庫（CMDB）的信息架構組件，這是一個ITIL術語，是所有配置項的本源。就CMDB而言，比配置項存儲庫（CI）更重要的是定義配置項的技術關系索引或技術元數據的概念每個項目之間的關系。CI之間存在著多對多的邏輯關系，如軟件應用程序支持服務的物理合同。3 容量規劃確保提供服務的容量（CPU功

52、率、網絡帶寬等）持續符合該服務需求的流程。3 軟件管理應用管理活動規劃、協調、測量、監控、控制和報告，確保軟件的開發和維護是系統化、規范化和量化的。這包括在不同的時間點進行測量，系統地控制配置的變更，并在整個系統生命周期內保持配置的完整性和可追溯性。3 物理資產此流程跟蹤整個信息技術組織的所有物理組件，還跟蹤這些資產的所有權和保管權。3 自動資產發現此功能允許配置管理流程識別整個基礎架構中的新資產和不斷變更的資產，并維護現有的配置項清單。通常，必須有一個流程正式確定這些新資產的所有權。3 配置管理配置管理用于管理資產（服務器、存儲陣列、網絡設備等）配置的流程和步驟，確保部署的配置符合策略、標準

53、和指導方針的規定。2022 國際云安全聯盟大中華區版權所有252 知識管理通常情況下，隨著事件的解決和根本原因分析，大量的知識可能會丟失，當其中一些事件在一段時間內再次出現時，就會導致延遲。知識管理流程積累了有關事件如何解決或根本原因修復的信息，一旦收集到這些信息，這些信息就會轉化為常見問題或自助服務功能，用戶和技術支持社區可以重用這些功能解決IT服務的問題。3 最佳實踐制定并遵循多個組織以高效方式執行的標準方式的流程，該流程包括方法、技術或框架，這些方法、技術或框架始終顯示出優于通過其他方式實現的結果，并用作基準。隨著改進的發現（使用經驗教訓等機制），這些實踐可以演變成更好的方法。這種能力旨

54、在作為強制性立法標準的替代品保持交付質量，并可以以自我評估或基準為基礎。3 趨勢分析從項目咨詢、政策問題、最終用戶培訓反饋等方面分析安全方面的幫助請求，識別常見問題和知識庫所需文檔的新領域。3 基線管理確定給定的實踐領域中的領導者，并將組織的實踐與領導者和其他組織比較的流程。這有助于組織了解他們在知識、能力和能力方面與行業內其他組織的比較。3 安全工作輔助由于安全標準和模式是在整個組織中創建的，因此應該包括可以幫助員工以一致的方式遵守法規要求或安全標準的指導方針和流程。3 安全常見問題知識管理流程的成果之一是為員工經常提出的問題建立標準和一致的答案。此流程記錄了與信息安全和合規性相關的問題。2

55、 變更管理變更是一種主要的模式，充當請求、發布和配置/供應之間的中介。變更管理允許范圍管理、影響分析以及變更計劃。變更管理從數據維護的角度為配置管理提供了一個主要輸入，使應用程序數據保持最新。3 服務供應實現新配置項或變更現有配置項的流程。3 審批工作流審查所請求變更的流程，確保適當性，并從必要的審查人員處獲得繼續授權。3 變更顧問委員會（CAB）一個跨職能團隊，負責確保仔細考慮和審查環境的所有變更，盡量減少對用戶和現有服務的影響。3 計劃變更計劃變更是指在需要實施之前很早就確定的變更。這些變更經過仔細考慮并充分記錄。4 項目變更由項目產生的計劃變更。項目變更是由于實施或業務需求的變更而發生的

56、。4 運維變更由現有服務的持續維護活動導致的計劃變更。3 緊急變更為修復生產服務或應用程序上的問題而生成的變更。2 事件管理事件管理的架構模式包括故障查詢和事件分類服務。事件管理與架構的其他區域直接交互（如服務臺）、間接交互（通過處理公共數據）或異步交互（作為事件管理業務流程的一部分）。事件開始于 2022 國際云安全聯盟大中華區版權所有26人類的電話事件、環境中檢測到的錯誤（通常是來自系統管理域的事件關聯的結果）或來自其他應用程序的事件消息。3 安全事件響應對明確的安全事件作出響應的流程和程序。3 自動生成工單根據事故系統自動生成事件的能力。3 自服務此能力允許組織中的任何人報告事件并開始事

57、件管理流程。3 工單創建事件記錄的流程，可在事件的整個生命周期中進行跟蹤。這些事件應由唯一標識符引用。3 跨云安全事件響應跨云安全事件響應由于云計算的普遍性，一個安全事件可能會在多個云實例中檢測到或影響到多個云實例。事件響應計劃必須包括處理跨云安全事件的流程和步驟。2 問題管理問題管理的目標是通過分析問題以防止其再次發生，從而將問題對組織的影響降至最低。3 事件分類事故已經發生或正在發生無法通過一個事件表示。事件分類提供了分析和事件關聯的流程，提供事件發生的評估和置信度估計。3 根因分析事件響應的重要組成部分，超越了事件的表面細節，確定事件的根本原因（例如，缺少的補丁可能會導致成功入侵，但根本

58、原因分析可能會顯示，該易受攻擊的服務無論如何都不應該運行）。3 趨勢分析作為根本原因分析的一部分，這一能力將使組織能夠識別某些事件或根本原因將影響整個信息技術服務。應始終跟蹤所有這些趨勢。也可以是評估資源使用的總體趨勢、事件發生情況等的持續流程。3 問題解決識別配置項的適當變更和/或解決問題根本原因所需的流程，最大限度地降低再次發生的可能性。3 孤立事件管理對無人負責的事件的識別，以便使用適當的資源解決問題。3 發布管理發布管理架構是一組概念模式，支持將預生產技術資源轉移到生產中。預生產包括證明特定資源適用于技術、業務和運營環境，且不超過特定任務的風險狀況的所有活動。重要的發布管理模式包括用于

59、發布計劃、發布驗收和審核的模式。發布管理作為流程和技術扮演著重要的角色，為請求、變更和配置管理流程和架構提供了一個重要的控制點。3 發布規劃作為發布管理的一部分，應制定詳細的發布時間表及功能，以便將許多變更請求捆綁到單個變更日歷中。3 測試測試與發布相關的所有變更的流程，確保它們滿足要求并且不會中斷現有服務。這是一個通過發布管理協調的質量保證功能。3 構建將源代碼和配置編譯成一個或多個可部署單元并交給變更管理流程的流程。3 版本控制跟蹤源代碼、配置項和文檔的所有變更并為這些變更分配版本標識 2022 國際云安全聯盟大中華區版權所有27符的流程。3 源代碼管理源代碼的版本控制形式，允許對軟件進行

60、版本控制，將軟件分為不同的版本，并控制對軟件的訪問。示例示例一名員工收到一封可疑電子郵件，她認為其中可能包含惡意軟件程序。員工通知服務臺。服務臺會開啟一個安全事件，響應團隊會阻止發件人，識別其他受影響的用戶，并恢復可能已經造成的任何損壞。提供的服務提供的服務IT運營：運營：IT運營定義IT組織的組織結構、技能要求以及標準運營管理程序和實踐，以允許組織管理IT運營和相關基礎設施。IT操作功能是面向業務和IT戰略的。項目和技術組合的管理確保了整個IT領域的架構治理。相關組件相關組件:2 災難恢復計劃（DRP）3 規劃管理3 測試管理2 IT治理3 架構治理3 標準與指南2 資源管理3 職責分離（S

61、oD）3 外包商2 項目管理辦公室（PMO）3 項目群管理3 項目管理3 流程管理3 修復措施2 項目組合管理 2022 國際云安全聯盟大中華區版權所有283 成熟度模型3 路線圖3 戰略調整服務交付：服務交付：服務交付涉及維持不間斷技術服務的關鍵技術。這類服務通常包括如：可用性管理、服務級別管理、服務連續性和容量管理等更適合技術人員使用的服務。盡管這些服務類別本身就足以滿足ITIL服務管理指導方針，也常于其他幾個IT支持和交付服務緊密結合，例如，項目管理、服務準備和項目組合管理。服務交付主要關注業務需要信息技術提供的主動和前瞻性服務，向業務用戶提供充分的支持。它關注的是作為IT服務客戶的業務

62、。相關組件相關組件:2 服務水平管理（SLM）3 目標3 內部SLA3 運營級別協議OLAs3 外部SLA3 供應商管理3 服務儀表盤2 信息技術彈性3 可用性管理3 彈性分析3 容量規劃2 應用性能監控2 資產管理3 服務成本3 運營預算3 資源成本分攤3 投資預算服務支持服務支持:服務支持以用戶為中心，主要關注確保用戶能夠訪問適當的服務支持業務功能。2022 國際云安全聯盟大中華區版權所有29對于業務客戶和用戶，服務支持是服務請求的入口點。用戶通過以下方式參與服務支持:需求變更溝通、升級請求困難咨詢及答疑服務臺是客戶記錄問題的唯一聯絡點。如果有直接的解決方案或自動創建事件，服務臺將嘗試解決

63、問題。事件啟動了一系列流程：事件管理、問題管理、變更管理、發布管理和配置管理(有關詳細信息，請參閱下面的部分)。使用配置管理數據庫(CMDB)跟蹤這一流程鏈，該數據庫記錄每個流程并創建輸出文檔以供跟蹤(質量管理)。相關組件相關組件:2 配置管理3 容量規劃3 軟件管理3 物理庫存3 自動化資產發現3 配置管理事件管理事件管理:事件管理的架構模式包括故障記錄和事件分類服務。事件管理與架構的其他領域交互。形式很多樣，可以是直接的，如：服務臺；或間接的，如：通過操作公共數據進行；也可以是異步的，如：將事件管理作為業務流程的一部分，事件其生命周期的開始方式一般被動觸發，或來自人工的電話事件、環境中檢測

64、到的錯誤(通常是由于來自系統管理域的事件相關性)，或通過另一個應用程序的事件消息傳遞。相關組件相關組件:3 安全事件響應3 自動化工單3 自助服務3 工單流轉3 跨云的安全事件響應問題管理問題管理:問題管理在事件通過修復流程開始循環后處理事件。問題管理架構與服務臺交互。問題管理提供先進的根本原因分析工具和技術，并與信息存儲庫接口以在環境中執行趨勢和預防服務。2022 國際云安全聯盟大中華區版權所有30相關組件相關組件:3 事件分類3 根本原因分析3 趨勢分析3 問題解決方案3 孤立事件管理知識管理知識管理:通常，隨著事件得到解決并進行根本原因分析，流程中大量知識可能會丟失。從而導致事件處理效率

65、低下，甚至其中一些事件會隨著時間的推移再次出現。知識管理流程主要關注積累根本原因、解決方案等信息。一旦收集了這些知識，就轉換為用戶和技術支持社區可以復用的常見問題或自助服務功能，解決常見的IT服務問題。相關組件相關組件:3 最佳實踐3 趨勢分析3 基線3 安全輔助工具3 安全常見問答FAQ變更管理：變更管理：變更管理是一個重要的模式，充當請求、發布和配置/供應之間的中介。變更管理允許范圍管理、影響分析以及變更的調度。變更管理從數據維護的角度提供了配置管理的主要輸入之一，保持應用程序數據的最新。相關組件相關組件:3 服務供應3 審批工作流3 變更顧問委員會（CAB）3 計劃變更4 項目變更4 操

66、作變更3 緊急變更發布管理：發布管理：發布管理架構是一組概念模式，支持將預生產技術資源轉移到生產環境中。預生產 2022 國際云安全聯盟大中華區版權所有31用以證明待發布資源的技術、業務和操作環境妥帖，且驗證特定任務的所有活動不會超出風險范圍。重要的發布管理模式包括發布計劃、發布驗收和審批流程。發布管理在ITOS（流程和技術集）中扮演至關重要的角色，為請求、變更和配置管理流程和架構提供了重要的控制點。相關組件相關組件:3 計劃3 測試3 構建3 版本控制3 源代碼管理與其他領域的關系與其他領域的關系使用ITOS分析服務(如數據倉庫、數據集市和通用操作數據存儲)是實現有效業務操作服務的關鍵。IT

67、OS支持業務運營支持服務，以保持業務和IT之間的戰略一致性。ITOS實現了表現、應用、信息和基礎設施服務。技術解決方案服務(TSS)技術解決方案服務(TSS)描述描述IT解決方案可以被認為是一個技術棧：在頂層，實際上是用戶和協議棧以及應用程序的互動。協議棧和應用程序接收到互動之后，把數據傳輸到底層的電腦和網絡，并在此進行數據操作。四個技術解決方案領域(表現服務、應用服務、信息服務和基礎設施服務)基于用于構建這些解決方案的標準多層架構。展示層服務展示層服務展示層是你去網上銀行時看到的網站。它是你打電話給航空公司預訂系統時電話里的聲音，或是你遠程訂購時的移動平臺。描述展示層服務域是終端用戶與IT解

68、決方案互動的地方。展示層的安全要求將因用戶的類型和所提與用戶互動 2022 國際云安全聯盟大中華區版權所有32供服務類型而有所不同。例如，企業對消費者（B2C）網站與社交媒體網站有不同的安全問題。安全要求也將根據終端用戶使用的終端類型而有所不同。展示層服務組件展示層服務組件定義定義1 展示模式展示模式服務關注的安全問題因用戶和服務類型差異而不同。有兩個主要類型，一種是消費者服務平臺，如社交媒體、協作、搜索、電子郵件和電子閱讀器；另一種是企業服務平臺，如企業對消費者（B2C）、企業對雇員（B2E）、企業對企業（B2B）等。2 消費者服務平臺這個容器容納了各種面向消費者而不是面向企業的展示模式。3

69、 社交媒體一種展示模式，這種模式下平臺將用戶聯系在一起，交換信息、照片等，以建立網絡，進行一對一或小組溝通。3 協作一種面向協同工作的展示模式（如項目協同工作或文檔協同工作）。協作應用程序共享文件，允許多個編輯者編輯文檔，并經常為其參與者提供日歷、任務跟蹤和信息傳遞。3 搜索一種展示模式，允許用戶查詢單個網站或多個網站中與查詢條件有關的內容。這種模式經常被用作整個互聯網或網站內導航的初始形式。3 電子閱讀器一種模擬閱讀書籍或其他印刷材料的展示模式。3 電子郵件能夠展示消息收件箱，并允許用戶發送新信息或將舊信息整理到文件夾中的展示模式。通常情況下，電子郵件與日歷功能和聯系人管理功能結合。2 企業

70、服務平臺這個平臺面向企業用戶或者是企業的合作伙伴或者用戶。3 B2E企業對雇員（B2E）應用允許企業的雇員處理公司的業務。3 B2M企業對移動（B2M）應用程序利用移動設備，如智能手機，使客戶或員工能夠在任何地方、任何時間與企業的系統互動。3 B2B企業對企業（B2B）應用允許企業批量交換常見的交易，例如采購訂單、發票等。3 B2C企業對消費者（B2C）應用是在線企業的一種形式，允許其客戶通過互聯網與企業開展業務。3 P2P點對點（P2P）應用允許企業內的用戶直接連接到對方，交換即時信息或文件。1 展示層平臺展示層平臺服務的重點是不同類型的終端，這些終端是最終用戶用來與與解決方案互動的，如臺式

71、機、移動設備（智能手機、平板電腦）、便攜式設備（筆記本電腦）或特殊用途設備，如醫療設備或智能電器。演示平臺還包括不同的交互技術，如語音識別或手寫識別，可用于與解決方案的交 2022 國際云安全聯盟大中華區版權所有33互。2 終端終端是用戶在使用IT解決方案時與之互動的設備。它們之所以被稱為終端，是因為它們處于解決方案的邊緣，是技術與人相遇的地方。3 移動設備移動設備包括智能手機、PDA和平板電腦。4 移動設備管理移動設備管理使企業能夠管理移動終端的安全，類似于管理臺式機的方式。安全功能包括鎖定或擦除被破壞的設備，向設備推送軟件更新，以及在允許設備連接到企業網絡之前要求啟用某些安全功能。3 便攜

72、式設備一類設備，如筆記本電腦全功能或幾乎全功能的計算機，具有與臺式（固定）設備相同的操作系統。3 固定設備不易移動且只能從一個地方使用的裝置。3 醫療設備本架構內容中提及的醫療設備指的是一種與網絡連接的設備或能夠下載數據的設備，以便與病人佩戴的設備（如監測設備）進行信息交流。3 臺式電腦臺式機是典型的計算機，通常在桌上或桌下，包括CPU、顯示器、鍵盤、鼠標和其他外圍設備。4 公司所有的由企業購買、擁有和管理，并發放給員工使用或由客戶租用的設備。4 第三方第三方設備由一家企業擁有，提供給另一家企業使用。4 公共信息亭公共信息亭是一種設備，通常是個人電腦，由多人在一個共享空間使用。3 智能應用主要

73、不用于計算，但包括與網絡連接以提供其狀態的實時更新或被遠程控制的設備。3 安全沙箱在自定義代碼或第三方代碼與基礎系統之間提供信任關系抽象的隔離環境。允許應用程序在一個不影響彼此或主機操作系統的環境中運行，并允許企業擁有一個具有敏感數據的應用程序的管理安全控制區域。1 語音識別（IVR）語音識別可以將語音翻譯成計算機輸入。交互式語音應答（IVR）系統提供了用戶與這個系統互動的選擇菜單。1 手寫識別（ICR）手寫識別或交互式字符識別（ICR）可以將手寫文本翻譯成計算機輸入。示例示例移動設備在本地存儲的數據有跟隨設備丟失的風險，而共享的公共信息亭則存在后續終端用戶訪問先前用戶數據的風險。提供的服務提

74、供的服務展示模式：展示模式服務側重于基于用戶和服務類型不同的安全關注點。兩大主要類型是消費者服務平臺，如社交媒體、協作、搜索、電子郵件、電子閱讀器和企業服務平臺，如企業對消費者(B2C)、企業對員工(B2E)、企業對企業(B2B)等。2022 國際云安全聯盟大中華區版權所有34相關組件：相關組件：2 消費者服務平臺3 社交媒體3 合作3 搜索3 電子閱讀器3 電子郵件2 企業服務平臺3 企業對員工(B2E)3 面向市場營銷的電子商務企業(B2M)3 企業對企業(B2B)3 企業對消費者(B2C)3 點對點（P2P)演示平臺：演示平臺：演示平臺服務專注于最終用戶用來與解決方案交互的不同類型的終端

75、，例如臺式機、移動設備（智能手機、平板電腦）、便攜式設備（筆記本電腦）或特殊用途設備（例如醫療設備或智能設備）。演示平臺還包括不同的交互技術，例如可用于與解決方案交互的語音識別或手寫識別相關組件：相關組件：2 終端3 移動設備4 移動設備管理3 便攜式設備3 固定設備3 醫療設備3 桌面4 公司所有4 第三方4 公共信息亭 2022 國際云安全聯盟大中華區版權所有353 智能家電3 安全沙箱1 語音識別(IVR)1 手寫(ICR)與其他域的關系演示服務利用安全和風險管理域對最終用戶進行身份驗證和授權，保護端點設備上和傳輸到應用程序服務域的數據，并保護端點設備本身免遭篡改、盜竊和惡意軟件。信息技

76、術運營和支持域提供服務部署和變更終端設備，并管理最終用戶遇到的問題和事件。業務運營支持服務為終端設備、為人力資源(HR)以及終端用戶對于技術解決方案的使用合規性戰略提供安全監控。應用服務應用服務將應用程序服務視為開發人員用來編寫代碼的流程，以及代碼本身。描述應用程序服務是用戶界面背后的規則和流程，用于為用戶操作數據和執行事務。在網上銀行中，這可能是從用戶的帳戶中扣除付款金額并向收款人發送支票的賬單支付交易。除了IT解決方案的應用程序服務外，應用程序服務域還代表程序員在創建應用程序時所經歷的開發流程。應用服務組件應用服務組件定義定義1 編程接口應用程序 編程接口(API)允許應用程序或服務相互通

77、信或允許應用程序的各個部分相互通信。輸入驗證對于這些接口很重要，確保只提供預期的輸入。缺乏這種驗證可能會導致攻擊者將惡意代碼注入應用程序或檢索比應該訪問的數據更多的數據，從而產生漏洞。2 輸入驗證輸入驗證檢查用戶的輸入并確定哪些輸入是系統可接受的。此流程有助于提高數據質量，并允許將惡意輸入注入系統。1 安全知識生命周期為了構建安全的應用程序，開發團隊必須在開發流程中及時了解最新的威脅和適當的對策。當開發團隊構建多個應用程序時，安全框架通常用于提供可重用的組件。2 安全設計模設計模式是解決常見技術挑戰的藍圖和說明。安全設計模式側重于身份驗證、授業務邏輯的開發與實現業務邏輯的開發與實現 2022

78、國際云安全聯盟大中華區版權所有36式權、日志監控、單點登錄等安全功能的設計。2 安全應用框架應用程序框架提供了一組充當應用程序基本起點的組件?？蚣苁箲贸绦蜷_發人員能夠跨多個應用程序，并將工作重點放在應用程序的特定業務需求上。安全應用框架提供了擴展特定應用框架的安全組件。例如，ACEGI 安全框架成為 Spring框架的正式組成部分，用于使用Java構建Web應用程序。2 代碼示例代碼示例提供了向程序員演示如何編寫特定算法的代碼片段。出于安全編碼目的，示例可能包括編寫不易受到 SQL 注入影響的數據庫查詢。2 攻擊模式攻擊模式是對惡意方使用的常見攻擊的描述，程序員必須注意防御Open WebA

79、pplication Security Project(OWASP)Top 10 Security Risks 描述的用于利用Web應用程序的前10種攻擊模式。1 集成中間件集成中間件是一組工具，如服務總線和消息隊列，允許應用程序在不直接對話的情況下交換信息。這些服務的安全問題包括確保在傳遞流程中正在交換的消息不會被讀取或篡改，并且這些可靠的來源只發送這些消息。1 開發流程開發流程必須解決安全問題，并且同時使用源代碼掃描器（可以定位代碼中的常見安全漏洞）和Web應用程序漏洞掃描器（可以測試Web應用程序是否可以被黑客使用的常用技術操縱）等工具構建解決方案。2 自助服務自助服務能力可供開發團隊獨

80、立利用，無需將工作交給另一個團隊。3 安全代碼審查從自助服務的角度來看，安全代碼審查能力是指，使用源代碼分析器工具讀取程序的源代碼以及識別容易受到眾所周知的攻擊模式攻擊的代碼區域的能力。3 應用漏洞掃描應用程序漏洞掃描是一項自動化能力，檢查正在運行的應用程序并確定存在可以利用的弱點的區域。3 壓力和負載測試性能和容量測試旨在各自地探明違反服務級別目標的工作負載級別，或在不違反服務級別目標的情況下可支持的最大工作負載。2 軟件質量保證軟件質量保證是測試軟件和跟蹤發現的缺陷的流程。作為軟件質量保證流程的一部分，應測試應用程序的安全漏洞。1 連接和交付連接和交付服務是用來集成在應用程序之間移動消息的

81、中間件的底層機制。這些服務還必須保護正在傳遞的消息，包括加密消息以隱藏其內容。1 抽象多個應用程序做同樣的事情時通常會使用抽象的概念，這樣就有了一種其他人可以理解的通用語言。雖然航空公司管理其航班的方式可能與其他航空公司不同，2022 國際云安全聯盟大中華區版權所有37但都可能使用相同的抽象概念，以便在線旅行服務可以跨多個航空公司查找航班。這些抽象概念必須包括適當的安全機制，確保只有授權用戶才能訪問它們，而一個用戶未經許可不能訪問他人信息。示例示例開發人員正在編寫一個應用程序接口(API)，允許銀行系統與其他銀行交易。他使用源代碼分析器掃描代碼，識別出一段代碼未防范非法輸入而可能損壞系統。開發

82、人員會立即變更，新 API 現在可以安全使用。提供的服務提供的服務開發流程：開發流程必須解決安全問題，同時使用源代碼掃描器等工具構建解決方案，這些工具可以定位代碼中的常見安全漏洞；Web 應用程序漏洞掃描器可以測試 Web 應用程序是否被黑客使用常用技術進行操控。相關組件相關組件:2 自助服務3 安全代碼評審3 應用漏洞掃描3 壓力&容量測試2 軟件質量保證安全知識生命周期：安全知識生命周期：為了構建安全的應用程序，開發團隊必須及時了解最新的威脅和在開發流程中使用的適當對策。當開發團隊正在構建多個應用程序時，安全框架通常用來提供可重用的組件。相關組件相關組件:2 安全設計模式2 安全應用框架2

83、 代碼樣例2 攻擊模式編程接口：編程接口允許一個應用程序與另一個應用程序通信或讓應用程序的各個部分相互通信。輸入驗證對于這些接口至關重要，確保只能提供預期的輸入。缺乏這種驗證可能會導致攻擊者將惡意代碼注入應用程序或檢索比有權訪問的更多的數據，從而產生漏洞。2022 國際云安全聯盟大中華區版權所有38相關組件相關組件:2 輸入驗證集成中間件：集成中間件：集成中間件是一種類似于服務總線和消息隊列的工具，允許應用程序在不直接相互連接的情況下交換信息。這些服務的安全問題包括確保在傳遞流程中不會讀取或篡改正在傳輸的消息，并且確保只有可靠的來源能給他們發送消息。連接和交付：連接和交付：連接和交付服務是集成

84、中間件用于在應用程序之間傳輸消息的底層機制。這些服務還必須保護正在傳遞的消息（包括隱藏內容的加密消息）。抽象：抽象：當多個應用程序做同樣的事情時，經常使用抽象的概念，以便擁有一種其他人可以理解的共同語言。雖然航空公司可能會以不同的方式管理他們的航班，但都可能使用相同的抽象，以便在線旅行服務可以找到跨多個航空公司的航班。這些抽象必須包括適當的安全機制，以確保只有授權用戶才能訪問，并且一個用戶未經許可不能訪問另一個用戶的信息。與其他域的關系與其他域的關系應用程序服務利用安全和風險管理領域進行應用間的信息加密，并且對應用進行授權和認證使其能夠互相交流。應用程序服務域的開發依賴于SRM的威脅與漏洞管理

85、服務。威脅與漏洞管理服務用主要用于評估正在開發的解決方案。應用程序服務主要從展示服務域接受輸入并且在信息服務域進行數據處理。它也需要基礎設施服務域的服務器和網絡服務。信息技術操作和支持域用于管理應用程序服務的變更。業務操作支持服務域提供安全監視服務使得管理員能夠監視任何應用程序的數據異常行為。信息服務信息服務通常來講，信息服務就是在數據庫中的信息存儲，但有時候也是在文件中的數據存儲。描述企業最常見的痛點之一就是內部產生的大量數據，有時候包含了很多冗余數據。（從不同維度查出的同一種威脅漏洞）。所有這些數據都需要轉化為有用的信息，業務資產所有者可以使用這些信息確定優先級、制定戰略和管理他們的風險組

86、合。本節信息的提取，轉換，清除以及加載都會以通用信息模式進行，以供進行進一步分析和操作。典型的提取、轉換和加載（ETL）數據規范化、數據挖掘、平衡記分卡分析等功能將駐留在這里。應用程序服務域通過數據管理簡化所有的數據源。所有的數據存儲器會分布在此，并且會提取，轉化以及加載到如下地點：運營數據存儲：運營數據存儲：日常以及交易信息資產將會被360無死角監控（例如，應用程序和基礎架構漏洞、修補漏洞、滲透測試結果、審計結果和每項資管理數據 2022 國際云安全聯盟大中華區版權所有39產的控制）。數據倉庫：數據倉庫：所有歷史交易將用于開發數據倉庫或數據集市，可以衡量風險管理程序取得的成功。此外，該模型可

87、用于識別整個組織的行為模式、趨勢、傾向和系統性差距。信息服務組件信息服務組件定義定義1 服務交付服務交付專注于信息和通信技術（ICT）主動服務，為企業用戶提供充分的支持。它專注于作為ICT服務客戶的企業。2 服務目錄服務目錄是企業為其雇員和客戶提供服務清單。主要包括：服務說明、履行服務的時間框架或服務級別協議、誰有權請求/查看服務、服務成本（如有）以及如何履行服務2 服 務 級 別 協 議（SLAs）服務級別協議(SLA)是經客戶（終端使用者）和提供服務者達成的協議。這可以是具有法律約束力的正式或非正式“合同”（例如，內部部門關系）。SLA記錄了雙方對服務、優先級、責任、承諾和保修的共識。SL

88、A可以指定服務的可用性、可服務性、性能、操作或其他屬性（例如計費）的級別?！胺账健币部梢灾付椤澳繕恕焙汀白畹汀?，能夠讓客戶了解預期值（最低要求），同時提供可測量（平均）的目標值，顯示組織績效水平。在一些合約里面，會規定懲罰措施，以防不遵守SLA（但是下面所提到的內部用戶除外）需要注意的是，協議只規定了消費者所接收的服務，并不是服務者怎么提供服務。SLA通常包括：服務定義、性能度量、問題管理、客戶職責、保修和災難恢復和協議的終止。2 運 營 級 別 協 議（OLAs）運營級別協議（OLA）定義了支持服務級別協議（SLA）的組織的內部支持組之間的相互依存關系。該協議描述了每個內部支持小組對其

89、他支持小組的責任，包括提供服務的流程和時間框架。OLA的目標是對提供服務商的內部支持關系進行清晰、簡明和可衡量的描述。2 合同（UC）企業與其提供服務商之間的合同規定了各方的責任以及未能滿足服務級別協議的相關處罰。2 恢復計劃恢復計劃描述了中斷或災難后恢復提供服務所需的流程和流程。這些計劃通常包括逐步恢復服務的步驟，同時監控每個關鍵的性能和系統運行狀況1 報告服務報告服務能夠以各種方式呈現數據，從頂級聚合駕駛艙到原始數據。報告服務還能夠供挖掘和分析數據，并為決策者提供商業智能2 儀表盤儀表盤提供了信息服務各個方面的頂級視圖。儀表盤通常包括聚合關鍵績效 2022 國際云安全聯盟大中華區版權所有4

90、0指標（KPI）和關鍵質量指標（KQI）。2 數據挖掘數據挖掘是深入了解KPI和KQI的能力，以便找到指標結果的根本原因。實際的數據挖掘任務可以是對大量數據的自動或半自動分析，以提取以前未知的有趣模式，例如數據記錄組（集群分析）、異常記錄（異常檢測）和依賴關系（關聯規則挖掘）。這些模式可以作為輸入數據的數據總結，并用于進一步的分析。例如在機器學習和可預見分析中，數據挖掘步驟可以識別多個數據組，從而通過決策支持系統可以使用這些數據獲得更準確的預測結果。2 商業智能商業智能是指用于識別、提取和分析商業數據的技術。BI技術提供了業務運營的歷史、當前和預測視圖。2 報告工具報告工具為最終用戶提供了生成

91、報告、與其他用戶共享報告以及分析信息域數據的能力。1 ITOS信息技術操作和支持2 項目管理辦公室（PMO）項目管理辦公室（PMO）是定義和維護流程標準的部門或小組，通常與組織內的項目管理有關。PMO努力在項目執行流程中實現標準化并引入可復制經濟模式。PMO是項目管理和執行實踐的文件、指南和指標的來源。2 戰略ITOS中的戰略信息表示一種商業和技術的趨勢。這種趨勢影響著企業，期望能力和現實能力的差距值，以及填補這種差距所需的投資。2 產品規劃圖ITOS中的路線圖信息表示隨著時間的推移組織能力的計劃變更。2 問題管理將重復發生的事件作為問題管理的流程，以發現并修復根本原因，防止未來事件再次發生。

92、2 事件管理從檢測到審查和解決的管理流程。2 配置管理數據庫（CMDB）配置管理數據庫（CMDB）是與信息系統組件相關的信息存儲庫。它包含IT基礎架構中配置項（CI）的詳細信息。CMDB有助于組織了解這些組件之間的關系并跟蹤它們的配置。CMDB記錄CI以及有關重要屬性和CI之間關系的詳細信息。配置管理器通常使用三個可配置屬性描述CI：技術、所有權和關系2 知識管理組織信息和提供檢索能力。例如根據以往經驗快速找到問題。在信息領域中，這表示知識庫中存儲的有關安全常見問題解答、最佳做法和工作輔助的實際知識。2 服務管理服務管理是一門管理信息技術（IT）系統的學科，從哲學上講，它是從客戶的角度看IT對

93、商業貢獻的一種理論。2 變更管理管理IT環境中變更的生命周期的流程。2022 國際云安全聯盟大中華區版權所有411 服務支持服務管理是一門管理信息技術（IT）系統的學科，從哲學上講，它是從客戶的角度看IT對商業的貢獻的一種理論。2 配置規則（元數據）此配置項包含如何部署特定配置的元數據變更。2 服務事件支持IT操作的服務的信息。包括部署、變更和維護事件。事件可以基于超過閾值的關鍵性能指標、網絡警報、設備指標。2 配置管理數據庫（CMDB）配置管理數據庫（CMDB）是與信息系統所有組件相關的信息存儲庫。它包含了IT基礎設施中的配置項的細節信息。CMDB有助于組織了解這些組件之間的關系并跟蹤它們的

94、配置。CMDB記錄CI以及有關重要屬性和CI之間關系的詳細信息。配置管理器通常使用三個可配置屬性描述CI：技術、所有權和關系2 知識庫知識庫包含關于已知模式、流程和流程的信息。2 變更日志從安全角度來看，監視變更日志并將其與配置管理變更比較并檢測到環境中的未經授權的變更。1 數據治理數據治理體現了組織中的數據質量、數據管理、數據策略、業務流程管理和風險管理的融合。2 風險評估風險評估從參考框架角度（即COBIT、ISO27001）、監管角度（即SOX、PCI）衡量組織控制的成熟度。2 非生產數據為了在非生產環境中測試和開發，應生成測試數據，以避免在控件較少的環境中托管實時數據。當必須使用實時數

95、據時，應屏蔽或標記以消除包含的個人信息的標識。2 信息泄漏元數據附加到關鍵信息塊上的元數據，用于標記以供數據泄漏預防工具檢測。2 數據隔離數據隔離是確保數據在多租戶環境中隔離的流程和控制，因此每個租戶都可以訪問自己的數據，并且只能訪問自己的數據1 BOSS業務操作支持服務（BOSS）2 風險管理風險評估從參考框架角度（即COBIT、ISO27001）、監管角度（即SOX、PCI）衡量組織控制的成熟度。2 數據分類描述數據業務價值的流程，將數據分為公開、私有、機密等類別，以指導數據處理流程。2 進程所有權有關業務流程以及負責監督和操作這些流程的責任方的文件。2 審計結果關于通過審計流程發現的組織

96、控制措施中的具體差距的文件。2 人力資源數據有關組織員工和承包商的信息，可用于各種流程，包括訪問控制、業務連續 2022 國際云安全聯盟大中華區版權所有42性規劃、數據治理和背景檢查。2 業務戰略業務目標的文檔，可用于確定支持業務的信息技術和安全戰略.2 風險管理風險管理是識別、評估和確定風險優先級，然后協調和經濟地應用資源，最小化、監控和控制不幸事件的概率以及影響。2 治理、風險與合規(GRC)治理、風險與合規描述了一個完整的管理方法，高級主管通過這套方法指導和控制整個組織，這個方法使用管理信息和曾計劃管理控制結構。治理行為確保傳遞給執行層的關鍵信息是足夠完整、精確和及時以保證制定的管理決策

97、是恰當的，并提供了控制機制以確保管理層的戰略、方向和指令被系統有效地執行。風險管理是一個流程集，通過這些流程管理部門鑒別、分析風險，并對有可能對組織業務目標有負面影響的分享做出恰當的處理響應。對風險的處理響應取決于感知到的風險嚴重性，響應行為包括控制風險、避免風險、接受風險和把風險轉移給第三方。而組織日常例行管理廣泛的風險(比如技術風險、商業/金融風險、信息安全風險)，外部合法和監管合規風險是本節重點討論的關鍵話題合規意味著遵守規定的要求。在組織層面，需要管理部門鑒別出所有使用法規要求(比如法律條文、監管法規、合約、策略和政策)，評估當合規的狀態，評估風險和違規的潛在成本以及達成合規的預計開支

98、，并因此發現并啟動必須的正確合規動作，并對其排列優先級。2 風險評估(RA)對風險評估的結果和范圍進行文檔記錄。2 業 務 影 響 評 估(BIA)業務影響評估信息有關于業務流程或者其數據不可用、丟失或被盜后對組織的影響2 災備恢復(DR)和業務可持續性計劃(BC P)對恢復IT運營的災備恢復計劃和在計劃或非計劃宕機時確保企業連續服務的業務可持續性計劃進行文檔記錄。2 供應商風險評估（VRA）對組織相關第三方供應商造成的風險之評估結果進行文檔記錄。2 威 脅 漏 洞 管 理(TVM)有關威脅、漏洞管理測試、滲透測試以及合規測試的信息。1 用戶目錄服務用戶目錄服務這個系統負責存儲、組織目錄中用戶

99、的信息并提供對這些信息做訪問操作的能力。目錄允許根據給定的用戶ID做搜索，用戶ID有可能關聯多種不同類型的數據。2022 國際云安全聯盟大中華區版權所有432 活動目錄服務活動目錄服務是網絡管理和安全的中心位置?；顒幽夸涁撠熞粋€Windows網絡域類所有用戶和機器的身份驗證和授權，對網絡類所有的機器做安全策略的分配和強化以及在網絡計算機上安裝和更新軟件。2 注冊服務注冊服務目錄服務在IT基礎設施內可用還有他們應該如何服務的元數據。2 輕型目錄訪問協議資源庫輕量級目錄訪問協議資源庫組織用戶和用戶組信息成為一個層級的組織結構。2 位置服務有關資產、資源、設施和人的物理位置的地理定位信息。2 X.5

100、00目錄服務協議資源庫X.500目錄服務協議資源庫根據面向電子目錄服務的X.500系列計算機網絡標準存儲層級化的條目組織結構。2 數據庫管理系統資源庫數據庫管理系統用來存儲用戶賬號以及把他們的數據以表的形式存儲在數據庫中。2 虛擬目錄服務虛擬目錄服務聚合多個目錄為一個統一視圖，該視圖將用戶應用視為單個目錄。2 元目錄服務提供一個或多個目錄服務或數據庫的數據流以導入或維護這些數據源的同步性。1 安全監控這個模塊將BOSS中的信息源集中在一起-安全監控服務。2 會話事件表示用戶與計算機資源之間的交互開始和結束的事件。2 授權事件表示對給定主體訪問給定客體的可訪問性策略決策結果的事件。2 身份認證事

101、件表示一個成功或不成功的驗證用戶憑證的事件。2 應用事件在應用內被認為是對安全監控有用的事件，比如訪問受保護數據或者執行欺詐交易。2 網絡事件在應用內被認為是對安全監控有用的事件，比如訪問受保護數據或者執行欺詐交易。2 計算機事件被服務器、桌面計算機或其它終端設備所產生的事件，包括啟動、關機、配置變更和系統錯誤。2 特殊權限使用事件表示對系統做管理變更的事件，一般意味著會影響系統的保密性、可用性、和完整性。2 電子取證事件電子取證事件意味著保留數據用于法律和調查目的。2 數據泄露防御事件當特權數據被截獲并流出組織之外時觸發數據泄漏防御事件。2 網絡入侵防護服務事件網絡入侵防護服務事件(NIPS

102、)意味著入侵企圖的來源和目標信息。2022 國際云安全聯盟大中華區版權所有442 合規性監控對當前配置和期望配置基線的對比信息。2 身份憑證注銷列表身份憑證注銷列表是一個已注銷憑證的列表，所以這些憑證不能再被信任。2 訪問控制列表訪問控制列表表示訪問主體被授予的訪問或改變系統內客體的權限。2 數據庫事件數據庫事件表示數據庫管理系統內的事件包括登錄、事務和管理性變更。2 主機入侵檢測系統-主機入侵防御系統（HIDS-HIPS)主機入侵檢測系統(HIDS)可以檢測到視圖攻陷資源保密性、完整性和可用性的行為。主機入侵防御系統包括沒有直接人介入的前提下采取防御措施。3 安全事件數據轉換服務安全監控事件

103、數據的轉換和規劃化以便于將數據挖掘和事件關聯。2022 國際云安全聯盟大中華區版權所有45示例示例管理員創建用戶帳戶時，用戶標識和密碼存儲在用戶目錄中。當用戶登錄系統時，顯示登錄日期和時間的日志會存儲在安全監控數據庫中。提供的服務提供的服務用戶目錄服務用戶目錄服務:所有身份驗證和授權存儲庫都分配到本部分，簡化用戶目錄的技術占用。相關組件相關組件:2 活動目錄服務2 注冊服務2LDAP存儲庫2 位置服務2X.500存儲庫2 聯合服務2 數據庫管理系統（DBMS）存儲庫2 虛擬目錄服務2 元目錄服務安全監控數據管理安全監控數據管理:與安全監控相關的所有數據都被分配到本部分，考慮以下幾個主要的組:外

104、部監控外部監控:品牌保護、蜜罐、網絡爬蟲防護和網絡智能。內部監控內部監控:SIEM相關數據、趨勢、行為模式和取證信息。執行報告執行報告:平衡記分卡、執行儀表盤和ODS(風險注冊)。威脅和漏洞管理數據-應用程序合規、補丁、配置健康檢查、基礎架構、應用程序和漏洞。相關組件相關組件:2 會話事件2 授權事件2 身份認證事件2 應用程序事件2 網絡事件2 計算機事件2 權限使用事件 2022 國際云安全聯盟大中華區版權所有462 電子發現事件2 數據泄露防護（DLP）事件2 網絡入侵檢測系統（NIPS）事件2 合規性監控2 證書吊銷列表（CRL）2 訪問控制列表（ACL）2 數據庫事件2 主機入侵檢測

105、系統（HIDS）-主機入侵防御系統（HIPS）2 轉換服務服務交付數據管理:關注與整個公司的信息技術服務管理相關的結構或非結構化數據。這包括服務級別管理、可用性管理、災難恢復和服務接收方。在考慮這些服務的相關成本時，應進行成本效益分析。相關組件相關組件:2 服務目錄2 服務級別協議（SLA）2 運營級別協議（OLA）2 合同2 恢復計劃服務支持數據管理服務支持數據管理:與面向整個公司的業務提供服務相關的所有數據都將屬于本部分。這包括與服務臺、事件管理、配置管理、問題管理和知識管理相關的信息。相關組件相關組件:2 配置規則(元數據)2 服務事件2 配置管理數據庫(CMDB)2 知識庫2 變更日志

106、數據治理數據管理：數據治理數據管理：隨著應用程序和信息技術服務在整個組織中的推廣和管理，本部分將在整個軟件開發生命周期中存儲證據和適當的合規性數據。2022 國際云安全聯盟大中華區版權所有47相關組件相關組件:2 風險評估2 非生產數據2 信息泄露元數據2 數據隔離風險數據管理風險數據管理:與信息安全技術能力相關的所有信息都將存儲于本部分，包括數據治理、應用程序安全和數據泄露防護等有助于改善收集到的每個信息資產風險狀況的信息源。相關組件相關組件:2 治理、風險與合規（GRC）2 風險評估（RA）2 業務影響分析（BIA）2 災難恢復（DR）和業務連續性（BC）計劃2 供應商風險評估（VRA）2

107、 威脅漏洞管理（TVM）ITOS數據管理數據管理:本部分將包含與IT組織的戰略和典型運營相關的數據，例如質量管理、項目管理辦公室（PMO）、企業架構合規性、業務和信息技術協調，以及在支持業務需求時如何將所有這些服務轉化為協議。相關組件相關組件:2 項目管理辦公室（PMO）2 戰略2 路線圖2 問題管理2 事故管理2 配置管理數據庫（CMDB）2 知識管理2 服務管理2 變更管理BOSS數據管理：數據管理：與業務運營支撐服務領域相關的所有數據源都分配到本部分。2022 國際云安全聯盟大中華區版權所有48相關組件相關組件:2 風險評估2 數據分類2 流程負責人2 審計結果2 人力資源數據(員工和承

108、包商)2 商業戰略報告服務：所有用于生成運營報告、決策制定、平衡記分卡、儀表盤的工具，及其他將不同的數據源和數據模型轉化為對業務有用的信息和對風險管理戰略的適當支撐(運營和戰略)的能力，都將在本部分。相關組件相關組件:2 儀表盤2 數據挖掘2 商業智能2 報告工具與其他域的關系與其他域的關系信息服務域為應用程序和展示服務域提供上下文支持。信息技術運營和支持域管理其他域需要定期實施的應用程序服務變更和部署流程。業務運營支持服務域管理信息服務應用程序的安全監控。業務運營支持服務（BOSS域）監控應用程序正在執行的活動是否有任何異常行為?；A架構服務基礎架構服務不同于基礎設施即服務(IaaS)，基礎

109、設施服務可以看作是由能在任何標準數據中心內看到的一排排計算機、網線、電源、冷卻通風口和滅火管道提供的基本能力。這些能力包括虛擬化、計算、存儲和網絡；設施和環境；以及物理安全和訪問限制?；A設施服務也可以參考設施、硬件、網絡和虛擬環境。描述基礎設施服務是分層的基本核心能力，支持其他架構領域的高層面能力。這些層面包括虛擬機、應用程序、數據庫，以及網絡和物理硬件和設施。由于它們提供了一個基礎，基礎設施服務對于云服務的終端用戶大多不可見。例如，客戶可能會被要求盡職調查，確保云設施提供物理安全以匹配他們使用云服務的風險特征，但除此之外，他 2022 國際云安全聯盟大中華區版權所有49們會忽略如何實施物理

110、訪問控制的操作細節?；A架構服務組件基礎架構服務組件定義定義1 內部基礎架構內部基礎架構服務主要涉及云服務提供商為支持云用戶實際看到的虛擬化服務使用的物理資產。在許多方面，這些服務是最底層的，對終端云用戶也是最不可見的，盡管它們是支撐云服務可靠和安全運行的基礎。例如，如果沒有良好的設施安全，對手就沒有必要對云服務進行網絡攻擊，因為只要走進設施，拔掉服務器或網絡連接就可以了。2 設施安全涉及在云計算設施中運用的安全控制，確保云基礎設施的物理組件有一個安全和可靠的操作環境。例如：包括適用于物理訪問的控制、環境控制等。3 受控物理訪問限制對設施及其內容的物理訪問的安全控制措施。4 圍欄拒絕或限制對設

111、施或其部分的物理訪問（例如，在設施和道路之間設置柱子，禁止車輛進入）。4 電子監控對連續觀察一個地區以檢測入侵情況，記錄進入情況并監測運動。4 安全巡邏由人或動物看守定期巡視，阻止和發現非法活動，并核實其他安全控制的狀況（例如，核實門是否鎖好）。4 物理認證通過物理手段驗證所聲稱的身份的流程（例如，保安人員驗證身份證上的照片與提供照片的人相符）。3 資產處理管理實物資產所涉及的流程和程序（例如，庫存控制、位置管理等）。4 數據各種事物以任何形式的數字表示（SNIA詞典）。4 存儲一種記錄數據并支持檢索的功能（SNIA詞典）。4 硬件一般來說，用于提供基礎設施服務的物理設備（例如，一臺服務器、一

112、臺路由器等）。3 環境風險管理評估和控制基礎設施周圍環境產生的風險的一般流程（例如，估計備用發電機廠的規模，以便在公用事業電力損失時提供電力的連續性）。4 物理安全關注減輕對設施及其員工的物理威脅（例如，滅火設備和定期消防演習）。4 設備位置將設備安置在適當的地點所涉及的流程和程序（例如，將關鍵的網絡設備安置在有冗余電源、溫度控制等的安全房間內）。4 電源冗余提供多種電力來源，確保在失去公共電力的情況下繼續運行?？捎眯苑贞P注確?；A設施組件的可用性，匹配服務級別目標。這個層次的控制措施包括在地理上分散的站點之間的數據鏡像、冗余組件和它們之間的切換流程。2 補丁管理關注確保所需的軟件修復在基礎

113、設施內以受控和及時的方式應用，包括清點 2022 國際云安全聯盟大中華區版權所有50基礎設施中實際存在的服務（操作系統、應用程序、嵌入式軟件等），確定特定修復的適用性，并監測基礎設施，確保所需的修復實際存在并安裝。3 合規監測為確保提供服務符合適用的政策和監管框架而進行的處理和程序，可以通過定期審計或持續監測實現。3 服務發現為假定適當的補丁已經安裝，識別實際存在的服務（相對于那些被記錄為存在的服務）的流程和程序，。2 服務器關注安裝在物理服務器上的軟件鏡像，以及用于確保安全構建這些軟件鏡像的控制措施，以及如何管理這些鏡像。3 安全構建保證符合安全策略的標準軟件鏡像。3 鏡像管理在一個基礎設施

114、內管理軟件鏡像集合的流程和程序。2設備維護關注確保物理基礎設施設備得到適當的維護，以保證持續運行。例如，定期檢查、清潔和更換空氣過濾器，在發現退化時主動更換部件等。2 網絡服務關注管理網絡環境所帶來的安全風險。這一層面的控制措施包括適當的網絡隔離（例如，組織A使用的資產對組織B不可見）并提供基本的網絡服務，如準確和可追蹤的時間標準。3 網絡隔離確保網絡結構與基礎設施內建立的風險域相匹配的流程和程序（例如，對外的服務器與內部服務器所處網段相互獨立）。3 權威時間來源確保在基礎設施內使用可追蹤的標準時間源（例如，服務器時間與時間源同步，以便在事件響應期間將一臺服務器上發生的事件與另一臺服務器上發生

115、的事件聯系起來）。2 存儲服務關注基礎設施中物理存儲的提供、遷移和數據清洗。這一層次的控制措施保證了存儲在需要時是可用的，其冗余/可靠性要求符合服務要求，等等。1 虛擬基礎架構虛擬基礎架構繼承了一些與物理基礎架構中存在的相同服務。例如，必須為虛擬服務器安全地構建和管理軟件鏡像，這些虛擬服務器托管在物理服務器提供的虛擬化平臺上。然而，對于虛擬化基礎架構本身也有獨特的要求。2 桌面客戶端虛擬化關注如何創建、展示和管理傳統桌面的虛擬實例。3 本地在終端上安裝和管理但與終端的其余部分隔離的虛擬機或應用程序沙箱。管理可以是集中的，但虛擬機在終端設備（平板電腦、PC 等）上本地運行。3 遠程通過網絡交付的

116、虛擬機，而不是本地安裝在設備上。4 基于會話任何設備的遠程桌面展示，該展示由一個遠程終端控制。4基于虛擬機虛擬桌面（VDI）與演示服務器集成的虛擬桌面，用于控制訪問和管理多個用戶。2022 國際云安全聯盟大中華區版權所有512 應用程序虛擬化刪除應用程序與承載它的服務器之間的連接。消費者將訪問應用程序實例不考慮應用程序駐留的地點或內容。3 客戶端應用程序流應用程序流解決方案的終端組件?？蛻艨梢允瞧桨咫娔X、手機、智能設備。服務器應用程序流應用流解決方案的服務器端組件，負責向多個客戶端交付內容。2 虛擬工作區云提供商定義的虛擬化基礎架構的模板定義了虛擬基礎設施實例的特性，如主機數量、網絡分段、存儲

117、和安全元素。對于高可用性，可以在實例或云提供商之間復制工作區，以提供用于故障轉移目的的冗余功能。3 垂直隔離垂直隔離了工作區的所有虛擬化組件，例如使用細節、通信、內存或數據，這些組件可能不會在工作區之間泄漏。2 服務器虛擬化關注虛擬服務器的創建、訪問和管理。此級別的控件確保服務器配置正確，包括正確的軟件鏡像等。3 基于主機虛擬機物理主機可以虛擬化其各種組件和功能，提供多個機器、應用程序等的虛化。4 全虛擬化包括處理器、存儲和網絡功能在內的完全虛擬化的環境或結構?？勺鳛槲锢頇C器的一部分或跨多個物理機器提供。4半虛擬化虛擬操作系統，其中客戶操作系統的源代碼修改為專門作為客戶操作系統而不是作為原始硬

118、件目標操作系統的二進制等效物運行。4 硬件輔助支持給定處理器架構中用于虛擬機管理程序（hypervisor）執行（通常通過提供支持在客戶實例之間切換等的專門指令等）。3 操作系統虛擬化具有虛擬工作空間的功能，可以根據客戶需求安裝不同的操作系統。3 TPM虛擬化受信任的平臺模塊可以存儲軟件認為攻擊者無法變更的代碼簽名或密鑰。此功能是指虛擬化的TPM實例。TPM由受信任計算組(Trusted Computing Group)定義。3 虛擬內存一種操作系統特性，使用物理內存和后備存儲(通常是磁盤)的組合創建虛化有更大的內存空間可用。為了獲得良好的性能，它依賴于局部性原則，該原則假設程序的地址空間(工

119、作集)在任何時間點實際上都只有一小部分在使用。2 存儲虛擬化關注如何創建、分配和管理虛擬化存儲。這既包括“基于塊的”存儲，如SAN(存儲區域網絡)，也包括“基于文件的”虛擬化，如NAS(網絡附加存儲)，無論是否由文件服務器提供或設備。這個級別的控制確保存儲足夠滿足需求，適當地隔離和保護，并且其性能符合服務級別協議（SLA）中指定的概要文件。3 基于塊的虛擬化塊級設備級別的虛擬化（例如，主機帶有虛擬磁盤設備）。4 基于主機虛擬化文件系統可能由服務器提供（例如提供多個文件共享的文件服務器）。2022 國際云安全聯盟大中華區版權所有525 邏輯設備管理器（LDM）邏輯設備管理器(LDM)。在功能上類

120、似于邏輯卷管理（LVM）的MicrosoftWindows功能。5 邏輯卷管理（LVM）邏輯卷管理(LVM)。允許將多個物理磁盤分組到主機查看的單個邏輯卷中5 協議邏輯單元號（LUN）SCSI協議的邏輯單元號（LUN)的首字母縮寫，通常用作一個術語，指通過SAN提供給主機的塊設備。4 基于存儲設備存儲設備控制器可以允許虛擬化磁盤卷(例如，硬件RAID控制器將多個物理卷或列的部分分組到單個主機可見的RAID-5陣列)。4 基于網絡文件系統級別的虛擬化（即主機帶有虛擬文件系統）。5 設備由專用硬件設備（例如 NAS 文件服務器）提供的基于網絡的可視化。5 交換更復雜的存儲區域網絡架構，包括連接主機

121、和LUN的交換網絡。交換式SAN可以基于光纖通道，也可以基于以太網光纖通道(FCoE)或ISCSI。3 基于文件的虛擬化更高級別的文件視圖，使文件在很大程度上獨立于其呈現方式。例如，一個消費者會訪問我的預算（mybudget.global），而不管它是駐留在NAS設備、SAN還是物理服務器上2 網絡虛擬化關注提供適當的虛擬網絡服務。此級別的控件可確保虛擬網絡實現適當的隔離（見上面的分段）、所需的連接和適當的訪問控制。3 網絡地址空間在虛擬工作空間中定義網絡地址以創建獨立于物理主機的虛擬網絡分段的能力。4 互聯網協議第4版（IPv4）IPv4是互聯網協議（IP）的第四版，是互聯網和其他分組交換網

122、絡中基于標準的互聯網工作方法的核心協議之一。IPv4是1982年在SATNET上部署的第一個版本，1983年1月部署在ARPANET上。盡管正在部署后續協議 IPv6，但IPv4仍然負責大部分互聯網流量的路由。4 互聯網協議第6版（IPv6）IPv6是互聯網協議（IP）的最新版本，該通信協議為計算機提供互聯網網絡和路線流量的識別和定位系統。IPv6由互聯網工程專責小組（IETF）處理期待已久的IPv4地址耗盡問題。3 外部虛擬局域網（VLAN)虛擬局域網是一組主機（前提是在云端，本地主機、云中主機、云間主機或混合主機）。它們具有一組通用的需求，就是不管它們的物理位置如何，就像連接到同一個廣播域

123、一樣通信。3 內部虛擬網絡接口(VNIC）虛擬網絡接口是一種虛擬網絡接口，提供與實際接口相同的介質訪問控制（MAC）接口。2 數據庫虛擬化數據庫虛擬化是對數據庫層的解耦，數據庫層位于應用程序堆棧中的存儲層和應用層之間。數據庫層的虛擬化允許擴展硬件資源，以便在應用程序和用 2022 國際云安全聯盟大中華區版權所有53戶之間更好地共享資源，屏蔽查詢程序中數據庫的物理位置和配置，并支持更可伸縮的計算。2 移動設備虛擬化移動設備虛擬化允許組織測試不同移動設備的新技術的兼容性。2 智能卡虛擬化允許用戶將本地智能卡虛擬化的方法和系統，以便可以遠程連接到服務器并與服務器交互，就像本地智能卡物理連接到服務器一

124、樣。示例云位于物理位置的某處，即數據中心。通過采用圍欄、攝像頭、保安人員、陷阱和門卡激活等措施對這些數據中心進行物理保護。通過連接多個互聯網服務提供商的線路、停電時的發電機以及多臺計算機在一臺計算機出現故障時執行相同的工作來確?；A設施的可用性。提供的服務基礎設施服務基礎設施服務基礎設施服務主要涉及云服務提供商為云用戶提供虛擬化服務的物理資產。在很大程度上，這些服務是最低級別的，對最終云用戶也是最不可見的。盡管如此，它們卻是云服務可靠和安全運行的基礎。例如，如果沒有良好的設施安全性，攻擊者就沒有必要對云服務發起網絡攻擊。只需拔掉服務器或網絡連接即可。設施安全：設施安全：涉及云計算設施中應用的安

125、全控制措施，確保云基礎設施的物理組件有一個安全可靠的操作環境。例如，適用于對物理訪問和環境控制的限制。相關組件相關組件:3 受控物理訪問4 圍欄4 電子監控4 安全巡邏4 物理認證3 資產處理4 數據4 存儲4 硬件3 環境風險管理 2022 國際云安全聯盟大中華區版權所有544 物理安全4 設備位置4 電源冗余服務器：服務器：涉及安裝在物理服務器上的軟件映像以及用于確保這些軟件映像的安全構建以及如何管理這些映像的控制措施。相關組件相關組件:3 安全構建3 鏡像管理存儲服務：存儲服務：涉及基礎設施中物理存儲的配置、遷移和清理。此級別的控制可確保存儲在需要時可用，且其冗余/可靠性要求與服務要求匹

126、配。網絡服務：網絡服務：涉及管理網絡環境帶來的安全風險。此級別的控制包括適當的網絡分段（例如，組織A使用的資產對組織B不可見）和提供基本網絡服務（例如，準確且可追溯的時間標準）。相關組件相關組件:3 網絡分段3 權威時間源可用性服務：可用性服務：涉及確?；A設施組件的可用性，匹配服務級別目標。此級別的控制措施包括地理上分散的站點、冗余組件之間的鏡像數據，以及它們之間的切換。補丁管理：補丁管理：涉及確保在基礎設施內以受控和及時的方式應用所需的軟件修復程序。包括盤點基礎設施中實際存在的服務（操作系統、應用程序、嵌入式軟件等）以確定特定修復程序的適用性，以及監控基礎設施以確保存在并安裝所需的修復程序

127、。相關組件相關組件:3 合規監控3 服務發現設備維護：設備維護：涉及確保物理基礎設施設備得到適當維護以確保持續運行。包括定期檢查、清潔和更換空氣過濾器，以及在檢測到性能下降時主動更換組件。虛擬基礎設施服務虛擬基礎設施服務虛擬基礎設施繼承了物理基礎設施中已有的一些服務。例如，必須為運行于物理服務器之上，安全地構建和管理托管在在虛擬化平臺上的虛擬服務器中的軟件鏡像。此外，虛擬化基礎設施本身也有獨特的要求。桌面“客戶端”虛擬化：涉及如何創建、顯示和管理傳統桌面的虛擬實例。相關組件相關組件:2022 國際云安全聯盟大中華區版權所有553 本地3 遠端4 基于會話4 基于虛擬桌面基礎架構存儲虛擬化：存儲

128、虛擬化：涉及如何創建、分配和管理虛擬化存儲。無論是由文件服務器還是設備提供的存儲，包括“基于塊”的存儲（例如，SAN（存儲區域網絡）和“基于文件”的虛擬化（例如，NAS（網絡附屬存儲）。通過采用特定的控制確保存儲滿足要求、充分隔離和保護，并且其性能符合服務級別協議中指定的配置文件。相關組件：相關組件：3 基于塊的虛擬化4 基于主機5 邏輯磁盤管理5 邏輯卷管理5 邏輯單元號4 基于存儲設備4 基于網絡5 設備5 交換3 基于文件的虛擬化服務器虛擬化：服務器虛擬化：涉及創建、訪問和管理虛擬服務器。此級別的控制措施可確保服務器配置正確，以及正確的軟件鏡像和管理程序。相關組件相關組件:3 虛擬機(基

129、于主機)4 全虛擬化4 半虛擬化4 硬件輔助3 操作系統虛擬化3 可信平臺模塊虛擬化 2022 國際云安全聯盟大中華區版權所有563 虛擬內存網絡虛擬化：網絡虛擬化：涉及提供適當的虛擬網絡服務。此級別的控制可確保虛擬網絡實施適當的隔離（請參閱上面的“分段”）、所需的連接性和適當的訪問控制。相關組件相關組件:3 網絡地址空間4 互聯網協議版本4(IPv4)4 互聯網協議版本6(IPv6)3 外部虛擬局域網（VLAN)3 內部虛擬網絡接口卡(VNIC）與其他域的關系基礎設施服務提供了許多核心組件和功能，用于支撐架構其他部分所提供的功能。例如，如果基礎設施的基礎級別沒有良好的物理安全性，那么在安全和

130、風險管理領域提供更高級別的治理在很大程度上是毫無意義的。信息技術運營與支持（ITOS）領域下的服務交付和支持同樣取決于基礎設施級別提供的性能和可靠性保證。安全和風險管理（SRM）安全和風險管理（SRM）安全和風險管理一般指通過使用密碼、防火墻和加密技術等，定義策略并根據這些策略審計系統的用以保護計算機系統和數據的流程。大多數人在想到網絡安全時，都會想到使用滲透測試和工具測試系統中的脆弱環節。描述描述安全和風險管理領域提供了一個組織的信息安全計劃的核心組成部分，保護資產和檢測、評估、監測運營活動中的固有風險。其功能包括身份管理和訪問控制、治理、風險管理與合規（GRC）、政策和標準、威脅和漏洞管理

131、以及基礎設施和數據保護?；A設施服務組件基礎設施服務組件定義定義1 治理、風險管理與合規（GRC）云計算中治理和企業風險管理的基本問題涉及適當的組織結構、流程和控制的識別及實施，保持有效的信息安全治理、風險管理和合規性。GRC包括、整合和協調諸如公司治理、企業風險管理和公司遵守適用的法律法規等活動。保護數據和管理風險 2022 國際云安全聯盟大中華區版權所有57組件包括：組件包括：a.合規管理（確保遵守所有內部信息安全策略和標準）b.供應商管理（確保服務提供商和外包商遵守適用所有權和保管權的預期的和合同規定的信息安全策略）c.審計管理（強調需要改進的地方）d.IT風險管理（確保所有類型的風險可

132、以被識別、理解、溝通、接受、修復、轉移或規避）e.策略管理（維護支持創建、實施、異常處理和支持業務需求框架的組織結構和流程）f.技術意識和培訓（以提高選擇和實施有效技術安全機制、產品、流程和工具的能力）2 合規管理分析所有指定的內部信息安全策略、控制標準和程序的合規性。2 策略管理安全策略是安全計劃的主要目標。策略管理努力維持這樣一個組織結構和流程，支持代表業務需求的創建、實施、異常處理和框架。3 例外誤差包括當無法滿足或只能部分滿足的情況下對常用策略給予例外。通過這種方式，信息安全團隊意識到一種不合規定的場景，因此可以了解相關風險并監控異常情況。有時異常是有時間限制的，并定期審查以評估風險及

133、實施修復計劃。3 自我評估一種由所有者/用戶而非第三方分析/評估風險或合規性的工具和流程。2 供應商管理確保服務提供商和外包商遵守適用所有權和保管權概念的預期的和合同規定的信息安全策略2 審計管理獨立審計師必須能夠核實系統是否符合安全策略。為此，系統和流程必須確保將安全相關事件記錄在防篡改的審核日志中。2 IT風險管理信息風險管理是將風險暴露和風險管理能力與數據所有者的風險承受能力結合的行為，為信息技術資源提供決策支持的主要手段，旨在保護信息資產的機密性、完整性和可用性。確保所有類型的風險可以被識別、理解、傳達、接受、糾正、轉移或避免。IT風險管理可以查看合規性管理活動的輸出，以協助組織評估整

134、體安全態勢，并與確定的風險目標保持一致。2 技術意識和培訓提高選擇和實施有效技術安全機制、產品、流程和工具的能力。1 信息安全管理信息安全管理的主要目標是實施適當的措施，盡量減少或消除與安全相關的威脅和漏洞可能對組織產生的影響。衡量標準包括能力成熟度模型（隨著組織經驗和知識的增加，確定組織從不成熟狀態到幾個成熟度級別的發 2022 國際云安全聯盟大中華區版權所有58展階段）、能力映射模型（描述企業為實現其目標所做的工作，并促進業務模式和支持業務需求的技術基礎設施之間的緊密關系，從而形成業務和IT都能理解的觀點）、安全架構形式的路線圖（為服務于單個業務計劃的單個項目提供了指南）以及風險組合（登記

135、、監控和報告已識別的風險）。安全管理和風險管理的儀表盤用于衡量和報告決策的有效性，并幫助組織做出新的決定，以保持和提高這種有效性。修復殘余風險的分析和計劃也是整體風險管理框架的一部分。2 能力映射信息安全計劃的能力可以通過安全服務目錄描述，該目錄是一些發布給企業的IT組織文檔的更大目錄的一部分。這些能力可以通過描述業務如何實現其目標的方式映射，并促進業務模式和支持業務需求的技術安全基礎設施之間的緊密關系，從而形成業務和IT都能理解的觀點。2 成熟度模型隨著組織經驗和知識的增加，確定組織從不成熟狀態到幾個成熟度級別的發展階段。COBIT定義了一個能力成熟度模型，有六個成熟度級別：不存在、初始、可

136、重復、已定義、管理和優化。2 風險組合管理信息安全計劃的范圍和章程的闡述包括，諸如聲譽、公司治理和監管、公司社會責任和信息保證等重點領域。組合可以根據需要改變，與業務目標保持一致，并對不斷變更的威脅環境和不斷發展的法律和法規保持相關性和響應性。2 風險儀表盤以圖形方式衡量和報告潛在、固有和殘余風險的水平以及控制措施的有效性，幫助組織了解威脅和漏洞，并做出基于風險的決策以維持或提高控制措施的有效性。2 殘余風險管理在理論上或應用上實施緩解控制后，為了提高控制有效性并最終將風險降到可以接受的水平，修復仍然存在的信息安全風險的分析和計劃。1 授權管理基礎設施權限管理基礎設施通過身份管理、身份驗證服務

137、、授權服務和權限使用管理等身份和訪問管理功能，確保用戶擁有執行其職責和職責所需的訪問控制措施的權限。此安全規則使合適的人員能夠在合適的時間以合適的理由訪問合適的資源，解決了關鍵任務的需求，確保在日益異構的技術環境中對資源的適當訪問以及滿足日益嚴格的合規性要求。這種安全實踐對于任何企業都是至關重要的工作。權限管理基礎設施的技術控制集中于身份提供、密碼和多因素身份驗證、策略管理等。它也越來越與業務掛鉤，需要業務技能而不僅僅是技術專長。2022 國際云安全聯盟大中華區版權所有592 身份管理通過監督一個身份的整個生命周期，確?？尚派矸菘捎糜谏矸蒡炞C、授權和訪問管理。3 域唯一識別符在計算機軟件中用作

138、標識符的唯一參考號（例如GUID、32個字符的十六進制字符串、用于Microsoft的通用唯一標識符標準的實施）3 聯合身份管理指一種基于新標準的目錄服務方法，簡化和確保了用戶對網絡資源的訪問，能夠在各種安全域之間建立信任關系，實現身份驗證、授權和隱私斷言的傳遞。3 身份配置創建、維護和停用存在于一個或多個系統、目錄或應用程序中的用戶對象，響應自動化或交互式的業務流程。3 屬性配置創建、維護和停用存在于一個或多個系統、目錄或應用程序中的用戶屬性，響應自動化或交互式的業務流程。2 認證服務一種確定人或物是否有身份/內容符實的功能/API/流程。3 SAML令牌安全斷言標記語言（SAML）令牌是一

139、個基于XML的開源標準數據格式，在當事方之間交換身份驗證和授權數據。3 基于身份認證的風險一種非靜態身份驗證系統，考慮了請求訪問系統的代理的概況（IP地址、用戶代理HTTP標頭、訪問時間等），確定與該交易相關的風險概況。然后使用風險概況確定挑戰的復雜性。較高的風險概況會帶來更大的挑戰，而靜態用戶名/密碼可能足以應對較低風險的情況?；陲L險的實施允許應用程序僅在風險級別合適時才向用戶挑戰額外的憑據。3 多因子認證一種依賴于兩個或多個要素的組合進行身份驗證形式。常見形式有“something you have”（例如智能卡）、“something you know”（例如密碼或PIN碼）和“som

140、ething you are”（例如物理指紋或鍵盤的動作節奏）。3 一次性密碼（OTP）一次性密碼(OTP)是一種在短期內有效的密碼（例如，只有一次登錄會話或交易），旨在避免與傳統靜態密碼相關的幾個缺點。生成 OTP的最流行的方法之一是身份驗證服務器和客戶端之間的時間同步。OTP實現通常用于雙因素身份驗證解決方案中，用戶輸入pin作為算法中的變量，該算法生成身份證據，發送給執行代理以確定身份是否有效。3 智能卡智能卡（又稱微處理器卡、芯片卡或集成電路卡）傳統上采用的是一種帶嵌入式集成電路的袖珍卡。智能卡通常用于雙因素身份驗證解決方案，用戶輸入pin，智能卡上的操作系統使用pin發布身份證據，如

141、數字證書或允許私鑰簽署身份令牌（該令牌發被送給一個確定身份是否有效的執行代理）。3 密碼管理明確多個密碼策略、定義密碼組合規則、維護密碼歷史記錄、限制密碼、2022 國際云安全聯盟大中華區版權所有60配置密碼有效期、創建密碼規則等流程。3 生物特征識別生物特征識別是指通過一個或多個固有的生理或行為特征識別唯一人的方法。生物特征被認為是身份的一種形式，用于身份認證和訪問控制。3 網絡認證認證服務為用戶（或設備）提供登錄到網絡的方法、協議及其他便利（例如，SSO）。3 單點登錄（SSO）一種訪問控制功能，用戶登錄一次即可獲得對許多其他系統的訪問權限，而無需在每個系統上再次登錄。Kerberos是S

142、SO單點登錄的一種實現方式。3 服務安全基于簡單對象訪問協議（SOAP）靈活且功能豐富的擴展，可將安全性應用于web服務。該協議規定了如何對消息實施完整性和保密性，并支持各種令牌格式的通信，如SAML、Kerberos和X.509。3 中間件認證對用戶永遠不會直接看到的應用程序/服務/組件的身份認證。3 身份驗證通過使用生理和行為特征或權威機構簽發的派生文件鑒定其身份的流程3 開箱即用（OTB）認證一種通過身份提供商的服務在應用程序中實現用戶登錄功能的方法，無需自定義身份認證代碼。2 授權服務一種功能、API或流程，有助于對操作系統/應用程序/服務/數據的受限區域進行訪問控制，并允許管理員限制

143、用戶或設備對特定功能的訪問。3 權限審查檢查現有的用戶和角色訪問授權是否恰當的流程3 策略執行授權服務中的一個階段，在此階段批準或拒絕訪問請求。3 策略定義授權服務中的一個階段，描述對資源的訪問流程或細粒度訪問控制及約束。3 策略管理用于集中化的策略創建、存儲和管理的流程或平臺。3 主體數據管理管理與訪問控制決策主體相關的所有屬性的能力。這些主體可以是用戶、機器或服務。授權決策可能需要考慮關于主體的許多屬性，包括角色、位置、與帳戶的關系、其他主體等。3 資源數據管理授權通過為應用程序信息資源同時提供訪問和保護，在數據管理中發揮著關鍵作用。3 可擴展訪問控制標記語言（XACML）可擴展訪問控制標

144、記語言是一種用XML實現的聲明性訪問控制策略語言。3 角色管理角色代表一組權限和特權，角色管理確保角色被正確定義為僅包含所需的權限和特權，并充分地分配給實體。3 義務在XACML中，義務是指從策略決策點到策略執行點的指令，用于指示在授予訪問權限之前或之后必須完成哪些操作。2022 國際云安全聯盟大中華區版權所有613 開箱即用（OTB）授權一種允許從應用程序外部進行授權的方法，例如，通過提供授權插件。這使得開發人員能夠避免創建自定義訪問控制的費用和權衡。OTB授權解決方案可以提供全功能授權，包括完整的RBAC模型、策略存儲、用戶界面、內置應用程序組支持、規則和查詢支持、集成系統審計和性能優化。

145、2 特權使用管理特權賬戶一般包括用于安裝、配置、操控管理操作系統、應用程序和數據庫的管理帳戶，如管理員。特權用戶管理系統可以通過對特權賬戶管理，實現對敏感信息資源的訪問控制。健壯管理的特征包括：集中化、策略驅動、自動化、細粒度和可審計。3 鍵盤/會話日志獲取與實體交互的詳細記錄的方法（在單個擊鍵級別或與實體交互級別）3 密碼保管一種基于軟件的解決方案，可安全存儲和管理多個密碼。3 特權使用網關根據工作負載上的使用特權為會話授予/拒絕連接的網關。3 資源保護防止濫用計算機資源。3 Hypervisor合規性與治理基于與Hypervisor管理員相關聯的角色和用戶進行特權管理和監控的能力。這還包括

146、管理云環境中的虛擬網絡、服務器和應用程序。1 威脅和漏洞管理該規程涉及核心安全，如漏洞管理、威脅管理、合規性測試和滲透測試。漏洞管理是一項復雜的工作，在這項工作中，企業跟蹤其資產，監視、掃描已知/新出現的漏洞，并通過修補軟件、變更配置或部署其他控制措施減少資源層的攻擊面。威脅建模和安全測試也是有效識別漏洞活動的一部分。該規程旨在通過漏洞掃描、虛擬補丁以及安全測試和響應的其他方面，主動檢查運行云的基礎設施，以應對新的安全威脅。2 合規性測試合規性測試確定對信息安全策略、標準和控制程序的遵從程度。例如是通過掃描檢測虛擬機和物理機上是否存在要求的補丁與更新。3 數據庫（DBs）對數據集合進行合規性測

147、試，該數據集合經過組織以便使其內容易于訪問、管理和更新。3 服務器針對軟件程序或運行該程序的計算機進行的合規性測試為在同一計算機或網絡上的其他計算機上運行的客戶端軟件提供特定類型的服務。3 網絡針對由通信路徑互連的一系列點或節點進行合規性測試。網絡可以與其他網絡互連并包含子網絡。2 漏洞管理識別、分類、修復和緩解漏洞的周期性實踐（通常在軟件中）。3 應用程序為幫助用戶執行特定任務而設計的計算機軟件。例如企業軟件、會計軟件、辦公套件、圖形軟件和媒體播放器等。3 基礎架構一個共享、不斷發展、開放、標準化和異構的安裝基座，以及支持信息的 2022 國際云安全聯盟大中華區版權所有62創建、使用、傳輸、

148、存儲和銷毀的所有人員、流程、程序、工具、設施和技術（也稱為信息基礎設施）。3 數據庫（DB）見數據庫（前文）2 滲透測試一種通過模擬惡意外部人員（不具有訪問組織內系統的權限）和惡意內部人員（具有一定級別的訪問權限）的攻擊評估計算機系統或網絡安全性的方法，也可簡稱為“滲透（pentest）”。3 內部關注可能由內部人士發起的攻擊。與遠程攻擊者相比，該攻擊者可能具有某種形式的訪問權限，并且已經能訪問內部網絡。內部人員還可以對有價值數據的位置有更多的了解。3 外部重點關注遠程攻擊者訪問內部網絡的能力。這種形式的滲透測試旨在通過利用外部暴露的設備（包括服務器、客戶端、應用程序和無線接入點）訪問位于內部

149、網絡中的數據。2 威脅管理威脅管理主要關注可能危及數據保密性、完整性和可用性的威脅、威脅源和威脅代理。威脅管理可以利用威脅分類法提供結構，威脅管理也有助于整體風險評估流程。3 源代碼掃描使用靜態代碼分析工具識別軟件中安全缺陷的方法。3 風險分類用于識別、捕獲和分類已知威脅的分類法。SABSA威脅建?？蚣苤惺褂玫囊粋€示例定義威脅域(人員、流程、系統、外部事件)和基于經驗和觀察的威脅類別。1 基礎設施保護服務基礎設施保護服務保護服務器層、端點層、網絡層和應用層。該規程使用傳統的縱深防御方法確保數據容器和管道的安全?；A設施保護服務的控制通常被視為預防性技術控制措施，如入侵檢測/防御系統（IDS/I

150、PS）、防火墻、反惡意軟件、白/黑名單等。它們在防御大多數傳統或非高級攻擊時具有較好的成本效益。3 惡意軟件行為防護基于事件識別惡意軟件行為的能力。例如，一封附帶有針對性惡意軟件的入站電子郵件通過安全虛擬機過濾，識別負載何時會觸發非典型性活動。3 白名單由于某種原因而被提供特定特權、服務、流動性、訪問或認可的實體的列表或登記冊。3 敏感文件保護保護敏感信息不被管理員讀取或修改的能力，這些管理員可以訪問文件系統，但沒有權限讀取某些文件中的受保護數據。此外，還能夠監視敏感文件的變更，以便審核對其進行變更或讀取的人員。3 主機入侵檢測（防主機入侵檢測系統(HIDS)可以檢測到試圖破壞機密性、完整性或

151、資源可用性 2022 國際云安全聯盟大中華區版權所有63御）系統（HIPS/HIDS）的行為。主機入侵防御系統(HIPS)包括在沒有直接人工干預的情況下采取預防措施。3 反病毒請參閱反病毒、反垃圾郵件、反惡意軟件。3 主機防火墻保護終端的一種形式是使用個人防火墻，通常是控制與計算機之間的網絡通信的應用程序，基于作為規則集實現的安全策略允許或拒絕通信。終端防火墻不同于通常放置在網絡上并為終端提供服務的防火墻設備。2 終端用戶使用的計算設備（如臺式機、平板電腦、智能手機）。3 反病毒、反垃圾郵件、反惡意軟件用于預防、檢測和刪除惡意軟件的軟件程序，惡意軟件包括但不限于計算機病毒、計算機蠕蟲、特洛伊木

152、馬、垃圾郵件、間諜軟件和廣告軟件。3 HIPS/HIDS基于主機的入侵檢測是一種檢測試圖破壞主機或終端上資源的保密性、完整性或可用性的行為的能力?；谥鳈C的入侵防御包括在沒有直接人工干預的情況下采取預防措施。3 主機防火墻在單臺主機上運行的一種軟件程序或功能，只能限制進出該主機的網絡活動3 介質封禁也稱為可移動介質鎖定，一種阻止用戶訪問可寫入設備（如USB閃存棒和CD/DVD-RW驅動器）以防止數據泄漏的控制措施。3 基于硬件的可信資產具有硬件可信根的資產（例如帶有TPM芯片的計算機）。3 惡意軟件行為防護基于事件識別惡意軟件行為的能力。例如，一封附帶有針對性惡意軟件的入站電子郵件，將通過使用

153、安全虛擬機過濾，識別負載何時會觸發非典型性活動。3 資產庫存控制為組織的物理和數字資產提供管理控制和問責制。在云計算和虛擬化場景中，當試圖以傳統跟蹤物理機的方式盤點虛擬機時，會產生挑戰。3 內容過濾基內容過濾技術是基于對訪問內容的分析來允許或阻止訪問，而不是通過來源或其他條件。它在互聯網上廣泛用于過濾電子郵件和網絡訪問。3 取證工具確保授權方可獲得適當的工具和流程，促進與調查相關的相關數字工件的識別和保存(例如，違反政策、電子發現請求或刑事調查)3 白名單白名單是一種過濾形式，創建一個列表注冊授予訪問權限或受歡迎簽名的實體。當使用白名單時，默認為“拒絕所有”，過濾器中枚舉的條目除外。白名單通常

154、在更容易（或用更短的列表）識別什么是被許可的而非什么是不被許可的情況下使用。3 惡意軟件行為防護基于事件識別惡意軟件行為的能力。例如，一封附帶有針對性惡意軟件的 2022 國際云安全聯盟大中華區版權所有64入站電子郵件通過使用安全虛擬機過濾，識別負載何時會觸發非典型性活動。3 防火墻防火墻是一個或一組基于一系列規則來允許或拒絕網絡傳輸的設備，并常用于保護網絡免于被未授權訪問的同時允許合法的網絡流量通過。許多個人計算機操作系統包含軟件防火墻，防止來自公網的威脅。許多在網絡之間傳遞數據的路由器都包含防火墻組件3 內容過濾內容過濾技術是基于對訪問內容的分析而不是通過來源或其他條件允許或阻止訪問。此技

155、術廣泛用于過濾電子郵件和相關的網絡訪問。3 深度報文檢測（DPI）深度報文檢測(DPI)（也稱為完全數據包探測和信息提取、深度包檢測)是一種計算機網絡數據包過濾形式，在數據包通過檢測點時檢查數據部分（也可能包括數據包頭），主要檢測不合規的協議、病毒、垃圾郵件、入侵或事先定義好的標準，確定數據包是否可以通過或是否需要路由到其他地址，或收集統計信息。3 網絡入侵防御（檢測）（NIPS/NIDS）網絡入侵防御包括在沒有直接人工干預的情況下采取防御措施。網絡入侵檢測是能夠檢測試圖破壞網絡上資源的機密性、完整性或可用性的行為的能力。3 無線保護保護通過無線媒體傳輸的數據，包括802.11 Wi-Fi、蜂

156、窩和藍牙。典型的保護方法是使用各種的加密手段，例如利用TKIP或AES的Wi-Fi保護訪問(WPA)。3 鏈路層網絡安全數據保護可以應用于OSI第2層數據鏈路層。網絡交換機是第2層通信的關鍵組件，容易受到CAM表溢出、VLAN跳躍、生成樹協議操作、MAC地址欺騙和ARP等攻擊。緩解措施包括在交換機上配置端口安全、修改VLAN配置、路由器端口上的ACL配置和802.1X。3 黑名單過濾黑名單是一種過濾機制，主要是通過創建列表記錄禁止訪問或不受歡迎的簽名的實體。使用黑名單時，除了過濾器中明確列舉的那些條目，其他默認值是允許的。通常在更容易確定不應允許哪些實體，即禁止列表更短時使用。3 XML設備用

157、于保護、管理和調解XML流量的專用網絡設備。它們最普遍地在面向服務的架構中實現以控制基于XML的Web服務流量，并且越來越多地在面向云的計算中實現，幫助企業將內部部署應用程序與外部云托管應用程序集成。XML設備通常也稱為SOA設備、SOA網關、XML網關、云代理。3 安全消息傳遞當將敏感數據被發送到公司網絡外時，啟動服務器層面的防御機制，以符 2022 國際云安全聯盟大中華區版權所有65合HIPAA、GLBA和SOX等合規要求3 應用防火墻一種防火墻的形式，用于控制應用程序或服務的輸入、輸出和/或訪問。它通過監視并可阻止不符合防火墻配置策略的輸入、輸出或系統服務調用運行。3 安全協作一種用于保

158、護協作服務（例如 SharePoint）的技術或解決方案，將訪問權限擴展到移動辦公的員工、合作伙伴、供應商甚至客戶。3 實時過濾一種跟蹤使用模式和信息的控制，例如根據策略可實時訪問或屏蔽某些站點。1 數據保護在信息時代，數據是一種資產。但是，大多數數據只有在受到保護時才有價值。數據保護需要覆蓋全數據生命周期的各階段、數據類型和數據狀態。數據生命周期包括創建、存儲、使用、傳輸、共享和銷毀等階段。數據類型包括非結構化數據（例如文字處理文檔）、結構化數據（例如數據庫中的數據）和半結構化數據（例如電子郵件）。數據狀態包括靜態數據(DAR)、傳輸中數據(DIT)（又名動態數據、飛行數據）、和使用中的數據

159、(DIU)。數據保護控制包括數據生命周期管理、數據防泄露（DLP）、通過數字權限管理的知識產權保護以及密鑰管理和PKI/對稱加密等加密服務。2 數據全生命周期管理數據生命周期管理包括以下六個階段：創建、存儲、使用、共享、歸檔和銷毀。盡管顯示為線性進展，但一旦創建，數據可以在各個階段之間不受限制地流動，并且在可用期間內可能不會經歷所有階段。3 元數據控制控制底層數據附帶的元數據類型（例如，由文字處理應用程序生成的文檔修改記錄的維護文檔元數據，不應該與文檔一起發布）3 電子簽名（非結構化數據）電子簽名表明某人采用數碼數據的內容，或者聲稱編寫了消息的人就是本人。這最常用于非結構化數據。3 數據去標識

160、化通過使用數據屏蔽等方法從數據集中刪除識別信息的流程，最常用于保護個人隱私。數據去標識化還可用于保護組織，例如統計調查中包含的企業，或其他信息，例如礦物或考古發現或瀕危物種的空間位置。3 生命周期管理用于管理數據從創建到使用、存檔到最終銷毀的整個生命周期的政策、流程和程序3 數據屏蔽在數據存儲中隱藏（屏蔽）特定數據元素的流程。它確保敏感數據被替換為實際可用但不真實的數據，目標是敏感數據在授權環境之外不可用。3 數據模糊通過某種形式的混淆（例如加密）保護字段或數據記錄的一種方法。例如，可以在源代碼中使用數據混淆技術來防止應用程序的逆向工程。還有一些 2022 國際云安全聯盟大中華區版權所有66技

161、術含量低的解決方案，比如用油墨印花涂抹紙質文件上的敏感信息。3 數據打標數據標簽是通常作為元數據形式分配給一條信息的關鍵字或術語，有助于描述一個項目，并有助于通過瀏覽或搜索再次找到。3 數據標記數據標記是一種在數據中植入易于識別的對象用以檢測和跟蹤被抓取、抄襲和盜竊的數據的最終位置，或是使用虛假記錄破壞數據的價值的方法。例如，通過在電話號碼數據庫中插入奇怪名稱的記錄，如果該虛假記錄出現在競爭對手的數據庫中，則真正的發起人/所有者可以識別該記錄。2 數據防丟失（DLP）DLP是指執行通過策略以確保知識產權和客戶信息等關鍵數據不會從企業內泄露到非預期方的保護系統。包含發現和分類敏感數據，根據內容和

162、上下文形成定義和管理策略，監控和執行數據移動路徑，以及報告、審計和記錄數據泄漏事件的一組策略。3 數據發現掃描和分類保存在網絡、端點和服務器中的數據。3 網絡（傳輸中的數據）請參閱傳輸中的數據加密（在本例中為 DLP）3 端點（使用中的數據）請參閱使用中的數據加密（在本例中為 DLP）3 服務器（靜態數據）請參閱靜態數據加密（在本例中為 DLP）2 知識產權保護防止濫用和不當披露知識產權的活動（例如應用流程或技術控制措施）。3 知識產權是基于創造成果經特定程序被法律所承認的權利的統稱。根據知識產權法，所有者被授予如音樂、文學和藝術作品；發現和發明；以及單詞、短語、符號和設計等無形資產的專有權。

163、常見的知識產權類型包括版權、商標、專利、工業設計權和某些司法管轄區的商業秘密。3 數字版權管理DRM是硬件制造商、出版商、版權所有者、企業和個人用來限制使用數字內容和設備的訪問控制技術的術語。這個詞至少有兩種含義。一種是指支持1998年跨世紀數字版權法(Digital Millennium Copyright Act，或稱數字千禧著作權法)的技術，保護受版權保護的媒體、維持版稅并確保藝術的控制措施。另一種則適用于企業權限管理技術，這些技術試圖使安全控制措施更貼近企業數據本身，通常是在指加密及元數據中攜帶的訪問控制信息。2 加密服務一組加密功能（例如，編碼和解碼、加密和解密），計算機應用程序可以

164、使用這些功能實現安全解決方案（例如，強用戶身份驗證或安全電子郵件）。例如，在Microsoft Windows中，加密服務提供程序(CSP)是實現(CAPI)的 2022 國際云安全聯盟大中華區版權所有67軟件庫。3 密鑰管理密鑰管理涵蓋密鑰從始至終的整個生命周期，包括生成、通信和分發、存儲、輸入和安裝、檢查有效性、使用、變更活動密鑰、歸檔、銷毀、密鑰操作和使用的審計、密鑰備份和恢復，以及緊急儲備鑰匙。4 對稱密鑰也稱為對稱密碼密碼，雙方必須使用相同的密鑰加密和解密。在對消息解密之前，雙方必須共享加密密鑰。4 非對稱密鑰也稱為非對稱密碼，加密密鑰和解密密鑰是分開的。在非對稱系統中，每個人都有兩

165、把鑰匙。一個密鑰，即公鑰，是公開共享的。第二個密鑰，即私鑰，不應與任何人共享。3 公鑰基礎設施（PKI）公鑰基礎設施(PKI)是創建、管理、分發、使用、存儲和撤銷數字證書所需的一組硬件、軟件、人員、策略和程序，支持商業社區中的所有使用公鑰密碼的參與者.組件包括注冊機構和證書機構。PKI是一個典型的分層模型，由根證書頒發機構、注冊機構和證書頒發機構組成。3 簽名服務一種提供電子編碼消息的軟件程序或功能，該消息對文檔和簽名者都是唯一的，并將兩者綁定在一起。數字簽名確保簽名者的真實性。簽名后，對文檔所做的任何變更都會使簽名無效，從而防止簽名偽造和信息篡改。3 使用中的數據加密（內存）“使用中的數據”

166、（在內存、交換、處理器緩存或磁盤緩存等中的數據）的加密。3 傳輸中的數據加密（臨時的/永久的）傳輸中的數據加密（臨時的/永久的）3 靜態數據加密（數據庫、文件、SAN、桌面、移動設備）“靜態數據”（記錄在存儲介質上的數據）的加密。1 策略與標準安全策略是企業安全架構邏輯抽象的一部分。它們源自基于業務需求的風險，存在于多個不同級別，包括信息安全策略、物理安全策略、業務連續性政策、基礎設施安全策略、應用程序安全策略和總體業務運營風險管理策略。安全策略是業務的狀態體現，指什么樣的業務應該用怎樣的安全手段以及需要多少投入。政策通常應該說明要做什么，同時避免涉及特定的技術解決方案。安全標準是組件級別的抽

167、象，需要確保許多不同的組件可以集成到系統中。有許多國際公認標準機構的安全標準，如 ISO、IETF、IEEE、ISACA、OASIS 和 TCG。還可以在操作安全基線、工作指南、最佳實踐、監管要求的相關性和基于角色的意識方面提供指導。對信息分類并將策略與 2022 國際云安全聯盟大中華區版權所有68生成的數據類別關聯是安全處理策略及其實施的一種方法。2 運維安全基線基線列舉了一個可以進一步專業化的符合策略的起點（例如，轉移到生產流程可能包括一個基線配置，該配置要求所有默認用戶/密碼、SNMP社區名稱等變更它們的默認值，然后設備才能用于生產。如果設備需要額外的加固，例如部署在DMZ中，則將應用進

168、一步的專業基線）。2 工作指南又名標準操作程序或手冊，通過存儲信息或指令提供給用戶，指導他們正確執行任務。在實際應用中，當用戶需要了解信息或流程時，可以在需要時快速查閱，為用戶提供具體、簡潔的信息，從而降低個人的記憶成本。在執行某些嚴格依賴步驟順序的情況下，是一種有效減少問題發生的方法。2 基于角色配置政策與給定角色的關聯。例如，用戶可以被指定為“本地用戶”，并且數據傳輸等功能可以配置為僅對“本地用戶”角色可用，而對具有“移動用戶”角色的用戶不可用。2 信息安全策略指導組織信息安全操作的管理意圖的廣義聲明。策略是通過標準和程序實現，并且可以通過審計驗證其合規性。2 技術安全標準規定必須如何實施

169、特定的安全技術控制措施（例如，安全策略可能要求對特定類別的數據進行靜態加密，而安全技術標準可能指定加密必須使用FIPS 140-2 認證的 AES-256）.2 數據/資產分類將所涉及信息數據分為若干類，并為每個分類配置一組安全策略的實現方法。服務器和終端等資產也可照此進行分類定義。在特定情況下，數據只能在具有相同分類級別的計算機上處理或存儲。2 監管要求與最佳實踐最佳實踐與強制性監管要求的映射關系。如果監管要求需要加密某種類型的數據（例如，HIPPA中的PHI），那么供應商的最佳實踐文檔將與監管要求相關聯，以顯示滿足合規的最佳實踐。示例示例在家工作的員工必須使用其密鑰卡上的一次性密碼令牌登錄

170、公司的VPN。正在構建的新網站經過了公司安全策略合規性測試。如果硬盤加密，竊賊就無法讀取被盜的筆記本電腦上的數據。提供的服務提供的服務治理、風險管理與合規治理、風險管理與合規：GRC涵蓋、整合和協調公司治理、企業風險管理和公司遵守適用法律法規等活動。組件包括合規管理（確保遵守所有內部信息安全策略和標準）、供應商管理（確保服務提供商和外包商遵守預期的和合同規定的信息安全策略，應用所有權和托管概念）、審計管理（突出需要改進的領域）、IT 風險管理（確保所有類型的風險都被識別、理解、傳達，并被接受、修復、2022 國際云安全聯盟大中華區版權所有69轉移或避免）、策略管理（維護組織結構和流程，支持代表

171、業務需求的戰略的創建、實施、異常處理和管理），以及技術意識和培訓（提高選擇和實施有效技術安全機制、產品、流程和工具的能力）。相關組件：相關組件：2 合規管理2 策略管理3 例外3 自評估2 供應商管理2 審計管理2IT風險管理2 技術意識和培訓信息安全管理：信息安全管理：“信息安全管理”的主要目標是實施適當的措施，最大限度地減少或消除與安全相關的威脅和漏洞可能對組織產生的影響。衡量標準包括：“能力成熟度模型”（確定組織的發展階段，從不成熟的狀態到隨著組織獲得經驗和知識而達到的幾個成熟度級別）；“能力映射模型”（描述企業為實現其目標所做的工作，以及促進業務模型和支持業務需求的技術基礎設施之間的強

172、關聯，從而形成業務和 IT 都可以理解的視圖）；安全架構路線圖（為服務于特定業務計劃的特定項目提供指導）和風險組合（已識別的風險被登記、監控和報告的地方）。使用安全管理和風險管理儀表盤衡量和報告決策的有效性水平，并幫助組織做出新的決策，保持和提高安全的有效性。對殘余風險進行修復的分析和計劃，也是整體風險管理框架的一部分。相關組件：相關組件：2 能力映射2 成熟度模型2 風險組合管理2 風險儀表盤2 殘余風險管理權限管理基礎設施：權限管理基礎設施：“權限管理基礎設施”通過“身份和訪問管理”(IAM)功能（例如身份管理、認證服務、授權服務和權限使用管理）確保用戶具有執行其職責所需的訪問權限。此安全

173、規則使合適的人員能夠在合適的時間出于合適的原因訪問合適的資源。它滿足了確保在日益異構的技術環境中訪問適當資源的關鍵任務需求，并滿足日益嚴格的合規性要求?！皺嘞薰芾砘A設施”的技術控制措施側重于身份配置、密碼、多因素身份驗證和策略管理。2022 國際云安全聯盟大中華區版權所有70這種安全實踐對任何企業都是一項至關重要的工作。由于它與業務越來越保持一致，因此需要同時具備業務能力，而不僅僅是技術專長。相關組件：相關組件：2 身份管理3 域唯一標識符3 聯合身份管理3 身份配置3 屬性配置2 認證服務3 令牌3 基于風險授權3 多因子認證3 一次性密碼（OTP）3 智能卡3 密碼管理3 生物特征識別3

174、 網絡認證3 單點登錄（SSO）3 服務安全3 中間件認證3 身份核實3 開箱即用（OTB）的身份認證2 授權服務3 權限審查3 策略執行3 策略定義3 策略管理 2022 國際云安全聯盟大中華區版權所有713 主體數據管理3 資源數據管理3 可擴展訪問控制標記語言（XACML）3 角色管理3 必要操作指令3 開箱即用（OTB）的授權2 特權使用管理3 鍵盤/會話日志3 密碼保管庫3 特權使用網關3 資源保護3 Hypervisor合規和治理威脅和漏洞管理：威脅和漏洞管理：這個領域涉及核心安全，例如漏洞管理、威脅管理、合規性測試和滲透測試。漏洞管理是一項復雜的工作，企業跟蹤其資產、監控和掃描已

175、知漏洞，并通過軟件補丁、變更配置或部署其他控制措施，嘗試減少可利用的攻擊資源。威脅建模和安全測試也是有效識別漏洞的一部分活動。相關組件：相關組件：2 合規測試3 數據庫3 服務器3 網絡2 漏洞管理3 應用程序3 基礎架構3 數據庫2 滲透測試3 內部 2022 國際云安全聯盟大中華區版權所有723 外部2 威脅管理3 源代碼掃描3 風險分類基礎設施保護服務：基礎設施保護服務：“基礎設施保護服務”保護服務器、終端、網絡設備和應用程序層。該領域使用傳統的縱深防御方法確保容器和數據管道的健康?！盎A設施保護服務”通常視為預防性技術控制措施，例如 IDS/IPS、防火墻、反惡意軟件、“白名單”、“黑

176、名單”等。它們在防御大多數傳統或非高級攻擊方面相對具有成本效益優勢。相關組件：相關組件：2 服務器3 惡意軟件行為防護3 白名單3 敏感文件保護3 主機入侵防護系統/主機入侵檢測系統（HIPS/HIDS）3 反病毒3 主機防火墻2 終端3 反病毒、反垃圾郵件、反惡意軟件3 主機入侵防護系統/主機入侵檢測系統（HIPS/HIDS）3 主機防火墻3 介質鎖定3 基于硬件的可信資產3 惡意軟件行為防護3 資產庫存控制3 內容過濾3 取證工具3 白名單 2022 國際云安全聯盟大中華區版權所有732 網絡3 惡意軟件行為防護3 防火墻3 內容過濾3 深度報文檢測（DPI）3 主機入侵防護系統/主機入侵

177、檢測系統（NIPS/NIDS）3 無線防護3 鏈路層網絡安全3 黑名單過濾2 應用程序3 XML應用機3 安全消息傳遞3 應用防火墻3 安全協作3 實時過濾數據保護：數據保護：在信息時代，數據是一種資產。但是，大多數數據只有在受到保護的情況下才能保有價值?！皵祿Ｗo”需要涵蓋數據生命周期的所有階段、所有的數據類型和數據狀態。數據生命周期階段包括數據采集、數據傳輸、數據存儲、數據處理、數據交換和數據銷毀。數據類型包括非結構化數據（例如文字處理文檔）、結構化數據（例如數據庫中的數據）和半結構化數據（例如電子郵件）。數據狀態包括靜態數據(DAR)、傳輸中數據(DIT)（也稱為“運動中的數據”或“飛行

178、中的數據”）和使用中的數據(DIU)。數據保護控制包括數據生命周期管理、數據泄漏預防、通過數字權限管理的知識產權保護，以及密鑰管理和 PKI/對稱加密等密碼服務。相關組件：相關組件：2 數據生命周期管理3 元數據控制3 電子簽名（非結構化數據）3 數據去標識化3 生命周期管理 2022 國際云安全聯盟大中華區版權所有743 數據屏蔽3 數據模糊3 數據打標3 數據標記2 數據防泄露（DLP）3 數據發現3 網絡（傳輸中的數據）3 終端（使用中的數據）3 服務器（靜態數據）2 知識產權保護3 知識產權3 數字版權管理2 加密服務3 密鑰管理4 對稱密鑰4 非對稱密鑰3 公鑰基礎設施（PKI）3

179、簽名服務3 使用中數據加密（內存）3 傳輸中數據加密（臨時的、永久的）3 靜態數據加密（數據庫、文件、SAN、桌面、移動設備）策略和標準：策略和標準：安全策略是“企業安全架構”邏輯抽象的一部分。它們源自基于風險的業務需求，并存在于多個不同級別，包括信息安全策略、物理安全策略、業務連續性策略、基礎設施安全策略、應用程序安全策略以及總體業務運營風險管理策略。安全策略是獲取了企業安全要求的陳述，指定什么類型的安全以及應該采用多少安全措施保護業務。策略通常說明應該做什么，同時避免提及特定的技術解決方案。安全標準是組件級別的抽象，需要確保許多不同的組件可以集成到體系中。來自標準機構的國際公認的各個方面的

180、安全標準包括 ISO、IETF、IEEE、ISACA、OASIS 和 TCG。其他還可以提供指導的形式包括操作安全基線、工作輔助指南、最佳實踐、監管要求的相關性和基 2022 國際云安全聯盟大中華區版權所有75于角色的意識等。處理安全策略及其實施的一種方法是對信息進行分類，并將策略與產生的數據類關聯起來。相關組件：相關組件：2 運維安全基線2 工作輔助指南2 基于角色的配置2 信息安全策略2 技術安全標準2 數據/資產分類2 監管要求與最佳實踐與其他域的關系與其他域的關系SRM 為“IT 運營和支持”提供安全環境。ITOS能力和功能方面的安全，對于支持業務的IT服務的交付至關重要。SRM 是“業務運營支持服務”下“運營風險管理”的關鍵組成部分，安全風險是組織商業智能(BI)的關鍵數據點，商業智能提供了做出合理業務決策所需的信息?！叭肆Y源”通過對員工的高度關注支持 SRM。SRM提供“身份和訪問管理服務”，這些服務是向用戶展示數據的先決條件。保護傳輸、存儲和使用中的數據是“應用服務”處理和操控數據的關鍵基礎。SRM依賴“基礎設施服務”提供的核心組件和功能，包括設施的物理安全和補丁管理。