《云計(jì)算平臺(tái)滲透測試技術(shù)規(guī)范》征求意見稿編制說明

2024年2月23日陜西省地方標(biāo)準(zhǔn)《云計(jì)算平臺(tái)滲透測試技術(shù)規(guī)范》編制說明陜西省網(wǎng)絡(luò)與信息安全測評中心1陜西省地方標(biāo)準(zhǔn)《云計(jì)算平臺(tái)滲透測試技術(shù)規(guī)范》一、工作概況黨的二十大報(bào)告提出，要構(gòu)建新一代信息技術(shù)等一批新的增長引擎，打造具有國際競爭力的數(shù)字產(chǎn)業(yè)集群。云計(jì)算是信息技術(shù)發(fā)展和服務(wù)模式創(chuàng)新的集中體現(xiàn)，是信息化發(fā)展的重大變革和必然趨勢，是信息時(shí)代國際競爭的制高點(diǎn)和經(jīng)濟(jì)發(fā)展新動(dòng)能的助燃劑。云計(jì)算引發(fā)了軟件開發(fā)部署模式的創(chuàng)新，成為承載各類應(yīng)用的關(guān)鍵基礎(chǔ)設(shè)施，并為大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等新興領(lǐng)域的發(fā)展提供基礎(chǔ)支撐。加快推動(dòng)云計(jì)算創(chuàng)新發(fā)展，順應(yīng)新一輪科技革命和產(chǎn)業(yè)變革趨勢，是推進(jìn)中國式現(xiàn)代化進(jìn)程的關(guān)鍵。云計(jì)算平臺(tái)是實(shí)現(xiàn)云計(jì)算主要方式之一。它通過虛擬機(jī)化技術(shù)，實(shí)現(xiàn)硬件資源的共享。同時(shí)，根據(jù)用戶的需求提供彈性的服務(wù)，不僅節(jié)約了用戶成本，也提高了資源的利用率。然而，云計(jì)算平臺(tái)在快速發(fā)展的同時(shí)，也面臨著越來越多安全性的問題。通過對云計(jì)算平臺(tái)進(jìn)行滲透測試，模擬真實(shí)世界中的攻擊，發(fā)現(xiàn)并利用安全漏洞，進(jìn)而檢驗(yàn)、評估云計(jì)算2平臺(tái)實(shí)際安全水平，是主動(dòng)提升云計(jì)算平臺(tái)安全的有力手段，也是保障云計(jì)算平臺(tái)安全的現(xiàn)實(shí)需求。滲透測試雖然是一項(xiàng)基礎(chǔ)的安全技術(shù)，但在不同的應(yīng)用場景下又有各自的特殊性。云計(jì)算平臺(tái)具有虛擬化、動(dòng)態(tài)可擴(kuò)展、靈活性高等特點(diǎn)，且需要非常高的穩(wěn)定性，不規(guī)范的滲透測試不僅無法全面覆蓋與云計(jì)算平臺(tái)安全密切相關(guān)的核心安全風(fēng)險(xiǎn)，還可能給云計(jì)算平臺(tái)的安全穩(wěn)定帶來負(fù)面影因此，在國家層面尚未建立成熟的滲透測試相關(guān)標(biāo)準(zhǔn)的情況下，需要結(jié)合云計(jì)算平臺(tái)的特點(diǎn)，針對性地制定《云計(jì)算平臺(tái)滲透測試技術(shù)規(guī)范》，填補(bǔ)云計(jì)算平臺(tái)滲透測試標(biāo)準(zhǔn)化領(lǐng)域的空白，以保障測試質(zhì)量、控制測試風(fēng)險(xiǎn)，確保測試機(jī)構(gòu)能更加規(guī)范地開展云計(jì)算平臺(tái)滲透測試工作，增強(qiáng)用戶對云計(jì)算平臺(tái)的信心，營造良好的云計(jì)算技術(shù)和應(yīng)用市場環(huán)境，推動(dòng)云計(jì)算產(chǎn)業(yè)持續(xù)健康發(fā)展。2.任務(wù)來源目前，云計(jì)算相關(guān)技術(shù)類標(biāo)準(zhǔn)主要為國家標(biāo)準(zhǔn)，研究方向主要集中在云計(jì)算服務(wù)參考架構(gòu)、級別協(xié)議、能力類型、服務(wù)模式、部署模式、安全運(yùn)行能力、供應(yīng)商安全、業(yè)務(wù)和數(shù)據(jù)遷移上云等要求方面，以支撐云服務(wù)監(jiān)管部門、規(guī)范云防護(hù)服務(wù)市場。滲透測試相關(guān)標(biāo)準(zhǔn)主要為地方標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)，研究方向主要側(cè)重于信息系統(tǒng)、金融行業(yè)安全等方面，3國家層面亦尚未建立成熟的滲透測試相關(guān)標(biāo)準(zhǔn)。因此，按照陜西省市場監(jiān)督管理局《關(guān)于下達(dá)2023年度陜西省地方標(biāo)準(zhǔn)制修訂項(xiàng)目計(jì)劃的通知》（陜市監(jiān)函計(jì)算平臺(tái)滲透測試技術(shù)規(guī)范》編制工作（項(xiàng)目編號：SDBXM010-2023為云計(jì)算平臺(tái)監(jiān)管部門、運(yùn)營機(jī)構(gòu)和第三方服務(wù)機(jī)構(gòu)提供滲透測試指導(dǎo)及參考。3.承擔(dān)單位陜西省網(wǎng)絡(luò)與信息安全測評中心陜西正觀政務(wù)信息技術(shù)研究院有限公司陜西省信息化工程研究院4.主要工作過程自本標(biāo)準(zhǔn)編制任務(wù)下達(dá)后，陜西省網(wǎng)絡(luò)與信息安全測評中心、陜西正觀政務(wù)信息技術(shù)研究院有限公司、陜西省信息化工程研究院聯(lián)合成立標(biāo)準(zhǔn)起草組，明確了工作指導(dǎo)思想，制定了工作原則，確定了起草組成員和任務(wù)分工。起草組先31168-2023《信息安全技術(shù)云計(jì)算服務(wù)安全能力要求》、GB/T25069-2022《信息安全技術(shù)術(shù)語》、GB/T28448-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評要求》等相關(guān)標(biāo)準(zhǔn)進(jìn)行了研究學(xué)習(xí)，并對收集的相關(guān)資料進(jìn)行分析整理。同時(shí)，采取專家咨詢，召開座談會(huì)等形式，對擬制定標(biāo)準(zhǔn)的內(nèi)容、4范圍、適用性等進(jìn)行了充分研討，明確了《云計(jì)算平臺(tái)滲透測試技術(shù)規(guī)范》的具體內(nèi)容。5.起草組成員及任務(wù)分工女男女男女男男二、標(biāo)準(zhǔn)編制原則和標(biāo)準(zhǔn)主要內(nèi)容1.標(biāo)準(zhǔn)編制所遵循的原則本標(biāo)準(zhǔn)編制依據(jù)《中華人民共和國標(biāo)準(zhǔn)化法》和《地方標(biāo)準(zhǔn)制定規(guī)范》的相關(guān)規(guī)定。本標(biāo)準(zhǔn)編制遵循適用性、合理性、統(tǒng)一性的原則，全面、科學(xué)地提出了云計(jì)算平臺(tái)滲透測試技術(shù)規(guī)范。本標(biāo)準(zhǔn)編制遵循面向市場、服務(wù)社會(huì)，保護(hù)環(huán)境，自主制定、及時(shí)修訂、不斷完善的原則，可為云計(jì)算平臺(tái)監(jiān)管部門、運(yùn)營機(jī)構(gòu)和第三方服務(wù)機(jī)構(gòu)等提供滲透測試指導(dǎo)及參考。本標(biāo)準(zhǔn)編制遵循公正、公開、透明的原則，廣泛征求意5見，并不斷修正、完善標(biāo)準(zhǔn)內(nèi)容。2.標(biāo)準(zhǔn)的結(jié)構(gòu)、要素、技術(shù)要求、關(guān)鍵指標(biāo)的確定依據(jù)和主要內(nèi)容為保證標(biāo)準(zhǔn)的科學(xué)性、公正性、實(shí)用性，除了廣泛征集省內(nèi)外企業(yè)、高校、研究機(jī)構(gòu)的技術(shù)專家和學(xué)者的意見外，起草組成員連同合作單位形成了產(chǎn)、學(xué)、研的權(quán)威陣容，在標(biāo)準(zhǔn)制訂過程中做了非常充分的調(diào)查、研究、討論，最終形成了范圍、規(guī)范性引用文件、術(shù)語和定義、云計(jì)算平臺(tái)特性、總則、測試對象、測試方法及工具、測試分類、測試流程、測試內(nèi)容等主要內(nèi)容。三、實(shí)證研究標(biāo)準(zhǔn)內(nèi)容是基于起草組成員的學(xué)術(shù)理論知識(shí)和產(chǎn)業(yè)界遇到的實(shí)際情況而編制，且有來自省內(nèi)外高校、企業(yè)、研究機(jī)構(gòu)專家的意見和指導(dǎo)，不斷進(jìn)行修正和完善，并計(jì)劃組織開展標(biāo)準(zhǔn)相關(guān)應(yīng)用及效果實(shí)施評價(jià)，以確保達(dá)到預(yù)期目標(biāo)。四、知識(shí)產(chǎn)權(quán)說明本標(biāo)準(zhǔn)知識(shí)產(chǎn)權(quán)歸編制單位所有，沒有知識(shí)產(chǎn)權(quán)爭議。五、采標(biāo)情況目前，云計(jì)算相關(guān)技術(shù)類標(biāo)準(zhǔn)主要為國家標(biāo)準(zhǔn)，研究方向主要集中在云計(jì)算服務(wù)參考架構(gòu)、級別協(xié)議、能力類型、服務(wù)模式、部署模式、安全運(yùn)行能力、供應(yīng)商安全、業(yè)務(wù)和6數(shù)據(jù)遷移上云等要求方面，以支撐云服務(wù)監(jiān)管部門、規(guī)范云防護(hù)服務(wù)市場。滲透測試相關(guān)標(biāo)準(zhǔn)主要為地方標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)，研究方向主要側(cè)重于信息系統(tǒng)、金融行業(yè)安全等方面