2019阿里云安全白皮书
阿里云安全白皮书 版本30 6.4存储与CDN.245 6.4.1对象存储○SS 45 6.4.2表格存储 Table store 48 6.4.3归档存储… 49 6.4.4内容分发网络CDN 50 6.5数据与智能….52 6.5.1大数据计算服务 MaxCompute 52 6.52分析型数据库 AnalyticDB. 54 66应用服务与中间件 …,55 6.6.1日志服务 55 6.6.2开放搜索服务 Open Search 56 6.6.3媒体转码…... 6.6,4消息队列.. 57 6.6.5性能测试服务PTS 58 6.7管理与监控……. ·, 59 6.7.1身份与访问管理 59 6.7.2密钥管理服务…… 67 6.73操作审计… .18 6.7.4云监控 69 7阿里云云盾 …,………,71 7.1基础防护..... 7.1.1DDoS基础防护 7.1.2最佳实践 7.2高级防护..… 7.2.1DDS高防|P… D着看 71 7.2.2移动安全 73 7.23Web应用防火墙 74 724安骑士(主机安全) 76 7.2.5态势感知. 78 7.2.6先知-安全众测 ..·:.::::..::a:::::.::::.::.:::::.:::::.::.: 79 7.2.7云盾混合云 翻量 81 7.2.8安全管家…… ::·:::a:::::..:::::.:::::.:::.:::.a::::.::.::::::::::·:·::·:: 82 7.2.9数据风控…. 84 7.2.10内容安全 85 7.2.11加密服务 .87 7.2.12证书服务 88 7.2.13堡垒机 89 7.2.14数据库审计.90 C】阿里云 阿里云安全白皮书 版本30 8阿里云安全生态 92 9版本历史 92 C】阿里云 阿里云安全白皮书 版本30 1白皮书介绍 数据安全和用户隐私是阿里云的最重要原则。阿里云致力于打造公共、开放、安全的云计算服务 平台。通过技术创新,不断提升计算能力与规模效益,将云计算变成真正意义上的基础设施。 阿里云竭诚为客户提供稳定、可靠、安全、合规的云计算基础服务,帮助客户保护其系统及数据 的可用性、机密性和完整性。 本白皮书介绍了阿里云云安仝体系,内容包括 安全责任共担 安全合规和隐私 阿里云基础设施 阿里云安全架构 阿里云产品提供的安全功能 阿里云云盾提供的安全服务 阿里云安全生态 同时,本白皮书提供了安全使用阿里云产品和云盾安全产品的最佳实践来帮助客户更好地使用阿 里云平台以及理解整体安全控制环境 C】阿里云 5 阿里云安全白皮书 版本30 2安全责任共担 基于阿里云的客户应用,其安全责任由双方共同承担:阿里云确保云服务平台的安全性,客户负 责基于阿里云服务构建的应用系统的安全。 数据 应用 客户 账号认证授权审计 主机(虚拟机) 网络(虚拟网络) 云盾安全服务 & 云安全生态 账号认 资源抽象ECS: RDS OSS: Max Compute 和控制 飞天分布式云操作系统 阿里云证 授 物理设备 订算 右储 络 权审计 And Ta :基础设施区城 Region)):可用区AZ)::阿里骨干周络: 面m面mm 阿里云负责基础设施(包括跨地域、多可用区部署的数据中心,以及阿里巴巴骨干传输网络)、 物理设备(包括计算、存储和网络设备)、飞天分布式云操作系统及之上的各种云服务产品的安 全控制、管理和运营,从而为客户提供高可用和高安全的云服务平台。 阿里云基于阿里巴巴集团多年攻防技术积累,为客户提供云盾安全服务,保护客户的应用系统 客户负责以安全的方式配置和使用云服务器(ECS)、数据库(RDS)实例及其他云产品,基于这 些云产品以安全可控的方式构建自己的应用;客户可选择使用云盾安全服务或者阿里云安全生态 里的第三方安全厂商的安全产品为其应用系统提供安全防护 安全责仼共担模式之下,阿里云提供并保障基础设施的安全,能够让用户降低|aaS层的安全性的 顾虑,安心使用阿里云aaS服务,更专注于核心业务发展 C】阿里云 阿里云安全白皮书 版本30 2.1阿里云安全责任 阿里云负责基础设施、物理设备、分布式云操作系统及云服务产品安全,并为客户提供保护云端 应用及数据的技术手段。 阿里云保障云平台自身安全 保障云数据中心物理安全; 保障云平台硬件、软件和网络安全,如操作系统及数据库的补丁管理、网络访问控制、DDS 防护、灾难恢复等; 及时发现云平台的安全漏洞并修复,修复漏洞过程不影响客户业务可用性; 通过与外部第三方独立安全监管与审计机构合作,对阿里云进行安全合规与审计评估。 阿里云为客户提供保护云端信息系统的技术手段: 为客户提供多地域、多可用区分布的云数据中心以及多线BGP接入网络,使得客户可利用阿 里云基础设施构建跨机房高可用的云端应用; 云账户支持主子账号、多因素认证、分组授权、细粒度授权、临时授权 为客户提供安全审计于段; 为客户提供数据加密手段 为客户提供云盾安全服务 引入第三方安全厂商,为客户提供个性化的行业安全解决方案。 2.2客户安全责任 客户基于阿里云提供的服务构建自己的云端应用系统,综合运用阿里云产品的安全功能、云盾安 全服务以及安全生态提供的第三方安全产品保护自己的业务系统。 客户应保护阿里云账户,使用阿里云资源访问控制服务( Resource Access management RAM)为每个运维管理人员分配独立的RAM用户账号,授予完成运维管埋工作需要的最小权限, 通过群组授权实现职责分离。阿里云建议客户为重要账户启用多因素(MFA)认证。使用阿里云 操作审计服务( Actiontrail)记录管理控制台操作及 OpenMP|调用日志。使用阿里云加密服务 对敏感数据进行加密 阿里云提供的云服务器(ECS)、专有网络(VPC)服务的实例完全由客户控制,客户应管理实 例并进行安全配置。例如客户应加固租用的云服务器操作系统、升级补丁,配置安全组防火墙进 行网络访问控制。 阿里云提供的其他服务,例如云数据库(RDS)、大数据计算服务( MaxCompute),客户不需 要关心如何维护实例,也不需要关心操作系统、数据库的补丁升级、配置加固,只需要管理这些 服务的账户及授权,并使用这些服务提供的安仝功能,例如配置RDS服务的源P白名单 C】阿里云 阿里云安全白皮书 版本30 3安全合规和隐私 阿里云的安全流程机制已经得到国内外相关权威机构的认可,我们将基于互联网安全威胁的长期 对抗经验融入到云平台的安全防护中,将众多的合规标准融入云平台合规内控管理和产品设计中 同时广泛参与各类云平台相关的标准制定并贡献最佳实践,并通过独立的第三方验证阿里云如何 符合标准。至目前为止,阿里云一共拿到了海内外十余家机构的认证,是亚洲资质最全的云服务 商。下表是阿里云具有的资质列表。 资质 简介 S○27001 信息安全管理体系国际认证,从数据安全、网络安全、通信安 全、操作安全等各个方面证明阿里云平台履行的安全职责 CSA STAR 云安全管理体系国际认证,阿里云获得全球首个金牌 S○20000 ∏服务管理体系认证,意味着阿里云建立了标准的服务流程, 并严格执行,云平台服务规范化,提高效率并降低整体风险 SO2230 业务连续性管理体系认证,进行业务连续性计划、灾备建设和 定期演练,提升云平台稳定性 等级保护测评(4级) 阿里云金融云成为全国首个通过云计算等级保护四级测评的云 平台,意味着阿里云金融云正稳步成为国家关键信息基础设施 中央网信办党政部门云服务网阿里云是全国首批通过网信办云安全审查的社区云的服务商 络安全审查 中,唯一增强级别审查(500多项检查点)的 工信部云服务能力标准测试工信部云服务能力标准测评是基于国家标准的,唯一公共云和 专有云的服务能力认证 CNAS云计算国家标准测试云产品国家实验室认证是基于国家标准的唯一产品级分级认证 PCI DSS PC|DSS主要关注支付卡信息在组织范围内全生命周期的管理 (支付卡行业数据安全标准)和控制,包括产生/进入、传输、存储、处理和销毁等 MTCS T3 新加坡云服务商安全最高等级认证,意味着阿里云可以参与新 加坡政府项目 服务组织控制(SOC)审计阿里云通过了C1、2的TYPE、TYPE、S○C3审计 TRUSTe 阿里云国际站通过美国企业隐私标准认证,标志着阿里云采 集、使用、管理和销毁个人信息的合规性 HIPAA 阿里云支持HPAA的业务伙伴协议以满足客户的需求,遵守美 国健康保险可携性和责任法案,以保护健康信息的隐私和安全 MPAA 阿里云遵守美国电影协会(MPAA的最佳实践指引 PDPA 阿里云遵守新加坡个人信息保护要求 C】阿里云 阿里云安全白皮书 版本30 Trusted Cloud会员 阿里云成为德国联邦经济和能源部推动的 Trusted cloud会员 SCOPE云守则创始会员 阿里云作为创始会员积极参与欧盟机构 SCOPE,为GDPR实 施准备的云行为准则标准 发起“数据保护倡议” 中国云计算服务商首个“数据保护倡议”,明确数据所有权, 以及阿里云的责任和义务 发布《阿里云数据安全白皮通过完善的数据安全管理和先进的技术支撑实现对用户数据安 书》 全的承诺 3.1合规 阿里云依据标准和行业最佳实践不断完善自身的管理与机制,并通过了一系列的标准认证、三方 审计以及自评估,务求更好的向客户展示阿里云的合规实践。 同时,中小型企业客户在面对合规需求时,存在自身经验与资源的局限性。阿里云也希望借由审 计报告、合规解决方案、以及合规架构咨询等诸多方式,来帮助中小企业开展合规工作,将阿里 云合规实践的价值最大化。 阿里云面对不同角度、不同行业、不同地区的合规需求,整体合规工作可以划分为如下几类 1)管理体系合规:旨在体现阿里云目前成熟的管理机制和遵从的行业最佳实践。 ·|SO27001:信息安全管理体系 S○20000:Ⅱ服务管理体系 S○22301:业务可持续性管理体系 CSA STAR:云服务安全的成熟度模型 等级保护测评(4级) 中国CNAS云计算国家标准测试 2)体系化合规报告∶旨在冋客户展示云平台管控的完整性和有效性。例如:体系控制是否持续有 效,职责分离是否准确,运维操作审计等 PC|-DSS:支付卡行业数据安全标准 MPAA:美国电影协会(MPAA)的最佳实践指引 TRUSTe: TRUSTe企业隐私认证 SoC1/2TYPE出:服务组织控制(S○C)报告是阿里云请三方机构出具的一系列独立第三方检 查报告,旨在阐述阿里云关键合规性控制和目标的持续有效性。这些报告的目的是帮助客户和 客户的审计机构了解支持运营和合规性的控制措施。阿里云SOC报告分为三种类型 oSOC1 TYPE II:针对财报的内控报告 oS○C2TYPE:安全性、可用性与机密性报告 C】阿里云 阿里云安全白皮书 版本30 S○C3:安全性、可用性与机密性报告 3)法务合规:在不同地区开展云服务时,符合当地的法律法规是首要条件。但由于法务合规的独 特性,无法通过证书或审计报告的形式来体现 H|PAA一阿里云支持H|PAA的业务伙伴协议(BAA)以满足客户的需求,遵守美国健康保险 可携性和责任法案(HPAA),以保护健康信息的隐私和安全。 GDPR-阿里云在努力满足欧盟数据保护法规的同时也致力于为阿里云的客户和伙伴提供支 持 4)其他:一些合规工作无法通过上述的三种形式展现,阿里云一直致力协助各个地区的监管机构 建立和完善标准,分享阿里云的最佳实践。 MTCS-多层云安全MTCS是由新加坡政府的新加坡资讯通讯发展管理局发起,新加坡标准、 生产力与创新局推出的云安全标准。其安全认证分为三个层次,其中阿里云得到第三级,为最 高、最安全。 3.2隐私保护 阿里云的个人信息处理原则:客户对所有提供给阿里云的个人信息拥有所有权和控制权。 每个客户在使用阿里云服务的时候,出于信任将最宝贵的个人信息托付给我们。阿里云也致力于 保护每位客户的个人信息,并严格保障在客户期望范围内使用。阿里云在隐私政策方面对于公众 完全透明,可以参考官网的隐私政策。同时,阿里云采用各种技术手段确保客户的个人信息仅存 在于阿里云业务范围。 阿里云的信任中心提供了全面的合规信息,希望可以帮助客户更好地理解阿里云在合规方面的各 种实践,并希望客户不仅可以一如既往地信任阿里云,也可以从阿里云的实践中获取合规方面的 经验,与我们一起提高全球范围内的合规能力。同时,阿里云与 TrustEr合作,为云上客户提供 隐私合规服务。 在此,我们再一次声明,阿里云致力于保护世界各地客户的个人信息,并遵守经营业务市场所属 国家或地区的适用法律。 阿里云的隐私政策可以在官方网站上找到,任何隐私相关问题都可以通过我们的信任中心网页提 父 隐私政策官方网站https://www.alibabacloud.com/help/faq-detail/42425.html C】阿里云