https://ad.doubleclick.net/ddm/trackclk/N1114924.376585INFORMATIONSECURI/B26202047.309881952;dc_trk_aid=502706469;dc_trk_cid=155369661;dc_lat=;dc_rdid=;tag_for_child_directed_treatment=;tfua=;ltd=
https://ad.doubleclick.net/ddm/trackclk/N1114924.376585INFORMATIONSECURI/B26202047.309881952;dc_trk_aid=502706469;dc_trk_cid=155369661;dc_lat=;dc_rdid=;tag_for_child_directed_treatment=;tfua=;ltd=

觀點

雲的服務標準與產業主管機關管理辦法 (下篇)

2016 / 08 / 03
廖珮君
雲的服務標準與產業主管機關管理辦法 (下篇)

上篇談到建立雲服務可信度從驗標準或驗證制度開始,接下來將續談剖析雲服務的標準。

CSA STAR:驗證雲服務的資安管理能力
CSA STAR以ISO/IEC 27001認證為基礎,專注於雲端服務之「安全性」所設計的標準,它強調的不是雲服務供應商有無遵循條款,而是如何進行資安管理。 

吳晟熙指出,CSA STAR以雲端安全聯盟(CSA STAR)所提出的雲端安全控制矩陣(CCM),共16個控制區域及133個控制措施作為評鑑準則,再運用BSI所制定的管理能力模式,綜合評估雲服務供應商在每一個區域的雲端安全管理和技術能力,統計出總分(共有15分)後,再依據分數高低歸類至銅牌、銀牌、金牌三個等級,不過自2015年起,CSA要求證書上不得揭露獎牌等級,只能出現在稽核報告中。 

目前CSA STAR中的16個控制區域分別是:應用程式介面安全(AIS)、稽核審查與法規遵循(AAC)、業務持續管理和營運彈性(BCR)、變更控制與組態管理(CCC)、資料安全與資訊生命周期的管理(DSI)、資料中心的安全(DCS)、加密與金鑰管理(EKM)、治理與風險管理(GRM)、人力資源(HRS)、識別與存取管理(IAM)、基礎設施及虛擬化安全(IVS)、資料互通性及可攜性(IPY)、行動安全(MOS)、安全事件管理、搜尋與雲證據(SEF)、供應鏈管理與責任(STA)、威脅與弱點管理(TVM)。

從這16個控制面向來看,CSA STAR除了站在ISO 27001的基礎上向雲端延伸,也有一些因應雲服務而新增的要求,例如:應用程式介面安全、基礎設施及虛擬化安全、資料互通性及可攜性、行動安全。

由於CSA STAR把安全規格拉得很高,有些甚至會直接對應到解決方案,如上述談到的行動安全,在標準中便直接點出須導入行動設備管理解決方案(MDM),雲端供應商若要取得較高分數,勢必得投入一定成本並建置相關工具,也因此雖然市場知名度高,但認證張數並不多,大部份雲端供應商選擇自我評鑑的方式。 

雲端安全聯盟在提出雲端安全控制矩陣不久後,便發佈了開放認證框架(Open Certification Framework),共分成自我評鑑(Level 1)、認證(Level 2)及持續監視(Level 3)三個等級。自我評鑑是由雲服務供應商填寫問卷,自行宣告對CCM的遵循程度,並上傳至CSA官方網站,Level 2以上才是由第三方認證機構進行評鑑。 

STAR Audit:保護雲服務使用者權益 
STAR Audit(雲服務星級驗證制度)是歐盟官方認可的雲端驗證標準之一,適用於SaaS、PaaS、IaaS等不同層面的雲端服務。何星翰強調,STAR Audit是從使用者角度出發的驗證制度,不只關注在雲服務的資安控制措施,更在意對使用者權益的保護,例如:在變更合約前必須先通知客戶,而客戶可以在3個月內決定是否要解約、必須在合約內列出客戶可以終止合約的理由、客戶可以指定資料要存放在哪一個國家的機房(前提是該雲服務供應商在多個據點佈建機房)、如果遇到不正常合約終止情況時,不能任意刪除客戶資料。 

ISO 19086:建立雲服務SLA的共同概念 
ISO 19086是一個驗證雲服務透明度與信任度的標準。過往,雲服務供應商和使用者對雲服務SLA沒有相同想法,導致使用者對雲服務供應商抱持不正確的期待,因此在ISO 19086中便明確指出,一個完整的雲服務SLA首先要說明以下五大政策:可接受的使用政策、安全政策、資料保護政策、業務持續政策、終止政策,這五個大方向往下又可以展開14個項目:
1. 存取方式(Accessibility)
2. 可用性(Availability)
3. 效能(Performance)
4. 反應時間(response time)
5. 容量(capacity):即能否隨時滿足客戶擴充容量的需求
6. 個人資料的保護方式
7. 資訊安全政策與措施
8. 服務終止相關規範
9. 客服能力
10. 恢復服務的能力/災難備援
11. 資料管理政策與做法
12. 資料可攜性:即客戶能否將資料轉移至其他平台
13. 資料刪除作法
14. 有無取得稽核或證書 

至於企業該如何要求每一個項目所要達到的標準,則可分成雲端服務水準目標(SLO)、雲端服務品質目標(SQO)兩種。SLO適用於可以訂出具體量化指標的SLA條款,例如:雲服務反應時間要在8秒以內,至於無法列出量化指標的項目,則可應用SQO概念,從管理面來要求雲服務供應商,例如:資安管理要通過ISO 27001的驗證。 

產業主管機關管理辦法 
除了雲服務相關的國際標準或驗證制度外,企業在評估雲服務供應商時,還需要考慮到有沒有產業法規的限制。 

舉例來說,新加坡信息技術標準委員會(ITSC)所制定的多層雲端安全認證(Multi-Tier Cloud Security; MTCS),便要求雲服務供應商必須把資料存在新加坡機房。何星翰指出,對於企業資料存放地點,其實各國政府的態度都一樣,希望雲服務供應商把當地企業客戶的資料存在本國機房,未來若遇到爭議,企業才能受到本國法規的保護,只是有些有明確規範,有些沒有罷了。 

英國的政府雲服務(G-cloud)對雲端供應商的管理,採取比較開放自由的態度,其在網站上列出跟雲端安全有關的51個問題,每個問題預設1~6種答案,每1個答案代表1~6分,由雲服務供應商自行選擇答案並加總分數後,就進入了雲市集,讓需要使用雲服務的公部門可以採購,而這個總分代表著雲服務供應商的服務品質,公部門在採購時可依自身預算和需求,選擇適合的雲服務供應商,同時,G-cloud也協同民間力量組成稽核團隊,每年抽選市場中20%的供應商進行查檢,若發現供應商自評分數與事實不合就立即下架,確保市集內雲服務供應商的資訊透明度與可信度。 

回到台灣來看,吳晟熙表示,對於雲端服務的使用與管理,各產業主管機關目前並沒有明確的條文或規範,只有一些周邊相關政策,例如:金融業要求銀行必須將客戶資料存放在境內,政府機關則正在研擬公部門採購雲端服務的辦法。何星翰則補充談到電信業,由NCC與全國認證基金會(TAF)共同合作,將ISO 27017轉化成電信事業資通訊安全驗證基準/增項稽核表。 

何星翰進一步指出,政府正計畫將ISO 19086條款譯成中文,未來將據此制定一份規格表,雲服務供應商根據規格表撰寫SLA,並送到資策會成立的雲端開發測試平台進行實測,實測結果若與SLA所記載的內容一致就能上架,公部門若需要使用雲端服務便可透過共同採購契約去購買。 

雲端運算已經是無可避免的趨勢,企業/組織也必須正視因為雲端運算所帶來的衝擊與挑戰,從成本、功能、與合約/SLA全面檢視雲服務,藉由驗證制度或國際標準來強化使用信心與信賴度,才能透過雲端服提高IT應用的效率與彈性。

閱讀上篇 建立雲服務可信度從驗標準或驗證制度開始 文章