科技行者

行者學院 轉型私董會 科技行者專題報道 網紅大戰科技行者

知識庫

知識庫 安全導航

知識庫分類索引
技術分類
廠商分類

合規性和審計

隨著云計算逐漸發展成為一種可行的且具有高性價比的整體系統、甚至整體商業流程外包方式,如何通過執行安全策略和相關法規,來保持組織自身的合規性已經成為一個課題,并且變得越來越困難,特別是如何演示給審計者和評估者更是一個難題。

目前IT技術相關的法律法規在編寫時大多沒有將云計算考慮在內。通常情況審計者和評估者可能對云計算不熟悉,有時候也許使用過特定的云服務。基于以上情況,云的消費者需要理解以下幾點:

· 使用特定云服務時的監管法規適用性

· 云提供商和消費者在合規責任上的區別

· 云提供商提供合規所需資料的能力

· 云消費者需要協助云提供商縮小和審計者/評估者之間的差異.

建議

• 引入法律和合同團隊。云提供商的標準服務可能無法滿足你的合規需求;因此法律和合同團隊的早期介入對于保證云服務合同條款滿足合規和審計要求是有好處的。

• 審計條款的權利。由于云和管理環境的動態變化特點,消費者經常需要審計云提供商的能力。特別是當云消費者有合規責任時,審計合同條款的權利應該可以隨時獲得。隨著云提供商獲得了相關的認證,這種需求應該會逐漸減少,稍后我們會介紹ISO/IEC 27001認證的相關內容。

• 分析合規的范圍。對于給定的應用和數據,確定組織遵守的合規條例是否會受到使用云服務的影響。

• 分析合規條例對數據安全的影響。潛在的云服務消費者應該考慮哪種應用和數據適合以云服務的形式提供,以及這種服務合規的范圍。

• 審核相關的合作伙伴和服務提供商。這是保證服務提供商不會對合規起負面作用的基本指導。基礎的做法是,評估那些處理有合規性要求的數據的服務提供商,進而評估這些服務提供商的安全控制手段。有些合規性法規對如何訪問和管理第三方廠商風險有專門的說明。對于那些沒有在自身IT和業務服務中采用云架構的組織,也需要了解其云業務合作伙伴在處理數據時是否遵從合規性法規。

• 理解合同中的數據保護責任和相關的合同。云服務模型要求,消費者或者是云服務提供商都有責任部署安全控制策略。相對于SaaS(軟件即服務)來說,IaaS(基礎架構即服務)場景中的消費者具有較高的控制度和責任。從一個安全控制標準點來看,這意味著IaaS的消費者將需要為合規部署很多安全控制點。在SaaS場景中,云服務提供商必須提供必需的(安全)控制。從合同的角度來看,理解特殊的需求,并保證云服務合同和服務水平協議(SLA)可以最終解決合規性的問題。

• 分析合規條例對提供商基礎架構的影響。將基礎架構遷移到云服務上同樣需要慎重的分析。某些管理要求決定了控制策略很難,或者不可能以云服務類型進行部署。

• 分析合規條例對政策和規程的影響。將數據和應用遷移到云服務上將可能對政策和規程產生影響。消費者應該評估那些與合規條例相關的政策和規程,有關的例子包括活動報告、日志、數據保存、事故響應、控制測試以及隱私政策等。

• 準備滿足合規需求的證據。 如何從大量的合規條例和要求中收集合規的證據將是一個挑戰。云服務的消費者應該指定出收集和存儲合規證據的流程,包括日志、事件報告、系統配置備份、變更管理報告和其他流程輸出資料。基于云服務模型,云提供商可能需要提供類似的大量信息。

• 審計師的資質和選擇。在很多時候組織沒有權利去選擇審計師或安全評估人員。如果組織有一定選擇的權利(selection input),由于很多審計師對云和虛擬化技術不熟悉,強烈建議選擇一個對云有一定了解的審計師。詢問一下關于IaaS/PaaS/SaaS相關術語的熟悉程度是一個不錯的開始點。

• 云提供商的SAS 70 Type II。提供商應該有最低級別的審計聲明,因為其要為審計師和評估人員提供一個可識別的參考點。由于SAS 70 Type II只保證文檔中安全控制的實施,所以理解SAS 70 Type II審計的范圍和安全控制是否滿足你的要求是同等重要的。

• 云提供商通過ISO/IEC 27001/27002的計劃。提供關鍵服務的云提供商應該在信息安全管理系統中達到ISO/IEC 27001的標準。如果云提供商沒有通過ISO/IEC 27001的認證,他們應該證明與ISO 27002實踐的契合程度。

• ISO/IEC 27001/27002的范圍(Scoping)。云安全聯盟正在業內呼吁未通過ISO/IEC 27001認證的云提供商聯合起來,以保證范圍定義沒有忽略關鍵的認證準則。

相關新聞
云南时时彩福利 电竞比分直播网 黑龙江6+1 微信群真的能赚钱 五分彩 深圳代购港货赚钱吗 球探体育比分下载 在家一台电脑怎么靠谱的赚钱 足球北单比分玩法规则 街头小吃摊赚钱吗 自己是个学生如何赚钱 中国足球直播 1000炮金蟾捕鱼游戏机打法 老公会赚钱又顾家 体彩p3 手机写书赚钱 手机雪缘园比分