摘要：如何证明和确保云服务的安全性是当前电子政务建设中的重要问题。本文试图总结欧美政府采购云服务的安全管理经验, 为我国构建政府采购电子政务云服务的安全管理框架提供参考。本文主要使用了文献研究法。通过对已有文献及公开资料的分析, 先是分别对美国和欧盟的政务云服务安全管理框架进行研究剖析, 然后在针对性和系统性的整合对比研究的基础上, 得出对我国政务云安全管理工作的启示。分析发现, 欧美的安全管理框架在流程与内容上略有区别, 但各有优劣。本文综合考虑美国的评估认证机制和欧盟ENISA的流程控制思想, 在我国现有相关信息安全管理政策及标准的基础上, 提出了4点启示:统一规划, 政府引导;需求导向, 全程控制;动态开放, 互联互通;健全制度, 保障安全。

　　关键词：美国; 欧盟; 电子政务; 云服务; 安全管理框架; 政务云;

　　Abstract：How to prove and ensure the security of governmental clouds is an important issue in the current e-government construction. This paper attempted to analyse the security frameworks for governmental clouds in Europe and the United States to provide help for the construction of e-government cloud services in China. This article mainly used the literature research method. Through the analysis of literature and publicly available data, this paper first analyzed the security frameworks for governmental clouds of the United States and the European Union, and then on the basis of targeted and systematic integration and comparison research, it concluded implications for China's governmental clouds safety management.The analysis found that the safety management frameworks in Europe and the United States were slightly different in terms of process and content, but also had advantages and disadvantages. This paper comprehensively considered the SAF of FedRAMP and SFGC of ENISA. Based on the existing related information security management policies and standards in China, this paper proposed four implications: unified planning, government guidance; demand-oriented, full control; dynamic open, interconnected; improve the system and ensure safety.

　　Keyword：the United Sates; European Union; e-government; cloud service; security management framework; governmental cloud;

　　1 问题的提出

　　我国的电子政务建设已经取得了初步的成果, 大多数政府部门已经建立了较为完备的基础设施和众多的信息系统[1,2]。但是, 传统的电子政务建设项目存在着重复建设、资源利用率低、系统管理和维护困难等问题。而云计算的虚拟化、按需配置等特性为解决这些问题提供了可能性, 基于云计算的电子政务研究已成为各界人士探讨的热点之一。

　　从我国政务云建设的现状来看, 主要是分为自建云计算平台和采购供应商提供的云服务两种建设途径。过去, 政务云建设以自建为主, 即政府自投资建设云计算平台。但是各地大力兴建的各个云计算数据中心不仅无法形成规模效应、节省财政资金, 同时也很难发挥出云计算提高资源利用率的重要作用[3,4]。与此同时, 我国政府出台了一系列相关政策, 如财政部2013年印发的《政府采购品目分类目录》将云计算服务纳入其中;国务院2015年印发的《关于促进云计算创新发展培育信息产业新业态的意见》, 提出政府部门要加大采购云计算服务的力度, 完善政府采购云计算服务的配套政策, 到2017年政府自建数据中心数量减少5%以上。现在看来, 采购政务云服务已成为政务云建设的趋势, 即服务商建设云平台, 政府购买云服务, 包括委托代建、以租代建、BOT、服务外包等新模式。但安全隐患问题是目前政务云服务采购发展的极大阻碍, 不少掌握着大量敏感信息或秘密信息的中央部门和单位, 从安全保障角度出发, 对政务云大体上有两种应对态度:有的排斥抵触, 继续扩容机房, 不采用云计算技术;有的积极自建云平台, 造成资源浪费。正如2014年财政部政府采购管理办公室主任王瑛在可信云服务大会上所言, 开展面向政务的云服务采购, 应关注服务的规范性、信息的安全性以及采购的积极性3个方面的问题。因此如何证明和确保云服务的安全性就成了政府建设政务云的重点关注问题。针对这个问题, 本文通过介绍分析欧美两地电子政务云服务的安全管理经验, 得出对我国政务云安全管理工作的启示。

　　2 研究方法

　　本文主要使用了文献研究法。通过对已有文献及公开资料的分析可知, 美国、欧盟、英国、日本、韩国和德国等都在不同程度上对政府采购云服务进行了安全评估与标准制定工作, 但由于美国是云计算的发源地, 其政务云发展得最早也最为成熟, 形成了体系化的政务云安全管理框架, 并且取得了实际的应用成果, 因而本文选取了美国的政务云服务安全管理框架作为研究对象。此外, 欧盟也是最早一批进行政务云服务实践的地区, 却有着和美国不同的政务云服务安全管理框架, 本文将其作为另一个研究对象, 以便进行对比分析。而中国于2014年后才陆续发布了云计算服务的两个相关安全标准《信息安全技术云计算服务安全指南》 (GB/T 31167-2014) 和《信息安全技术云计算服务安全能力要求》 (GB/T 31168-2014) , 尚未形成完善的政务云服务安全管理体系, 对美国和欧盟这两个政务云服务安全管理框架的研究也浅尝辄止, 大多数是将它们作为云计算政策的一部分进行简介[5,6,7,8], 或者仅仅是单一的政务云安全策略介绍[9,10,11], 缺少具有针对性和系统性的整合对比研究。因此, 本文通过对美国和欧盟有关政务云服务安全管理框架的公开资料的二次分析, 总结欧美政府采购云服务的安全管理框架情况, 为我国构建政府采购电子政务云服务的安全管理框架提供启示。

　　3 美国FedRAMP的安全管理框架

　　在联邦IT环境“资产利用低效、资源需求琐碎、系统冗余、管理困难、新能力形成周期长”的情况下[12], 2009年3月, 美国任命了第一位联邦首席信息官Vivek Kundra, 并于一年后, 在2011年2月发布了“联邦云计算战略”, 支持政府的“云优先政策 (Cloud First Policy) ”, 且提出了建设联邦风险与授权管理项目 (Federal Risk and Authorization Management Program, FedRAMP) 的计划需求。美国设立的联邦风险与授权管理项目 (FedRAMP) 是一个由多个部门、机构和政府团体组成的全联邦政府范围的项目。该项目的主要决策机构是联合授权委员会 (Joint Authorization Board, JAB) , 由国防部 (DOD) 、国土安全部 (DHS) 和总务管理局 (GSA) 的CIO组成。除了JAB, 行政管理和预算局 (OMB) 、联邦CIO委员会、国家标准与技术研究所 (NIST) 、国土安全部 (DHS) 和FedRAMP项目管理办公室 (PMO) 均在不同环节参与了FedRAMP。

　　3.1 项目目标

　　美国《联邦信息安全管理法案》 (The Federal Information Security Management Act, FISMA) 规定, 联邦机构需要根据该法评估和授权信息系统。相对应地, FedRAMP流程旨在帮助机构满足FISMA对云系统的要求, 并解决云系统的复杂性在遵守FISMA时的独特挑战。基于风险评估, FedRAMP为云服务提供安全评估、授权和持续监控的标准化方法。它使用“可重复使用” (Do Once, Use Many Times) 的框架, 旨在节省机构进行安全评估和过程监测所需的冗余的成本、时间和人员, 其具体项目目标包括:确保政府使用的云系统具有充分的安全保障;消除重复工作, 降低风险管理成本;实现快速和具有成本效益的政务云服务采购。

　　FedRAMP提供了流程、组件和安全库, 使政府机构在采购云服务时可以利用FedRAMP认证来进行以下活动:

　　标准化安全需求;

　　确保合格的独立第三方安全评估者身份的一致性;

　　所有机构都可以利用的安全云的认证包存储库;

　　政务云的标准化持续评估和认证方法;

　　标准化合同语言, 帮助机构将FedRAMP要求和最佳实践整合到采购中。

　　3.2 认证步骤

　　FedRAMP通过3个步骤来认证云系统, 分别是:

　　安全评估:安全评估过程根据FISMA, 使用一组标准化的要求和NIST 800-53控制基准集合来授予安全授权。

　　充分利用并认证:联邦机构在FedRAMP存储库中查看安全认证集, 并充分利用安全认证集在自己的机构授予安全认证。

　　持续评估与认证:一旦授予认证, 必须开展持续进行的评估和认证活动, 以维护安全认证。

　　3.3 安全评估框架

　　2015年12月4日, FedRAMP更新发布了风险管理框架, 也被称为FedRAMP安全评估框架 (Security Assessment Framework, SAF) , 定义了基于NIST标准 (NIST SP800-53, 修订版) 的低和中等安全影响级的控制措施, 以及一组涉及到云计算的独特的安全要求的控制措施, 有助于描述和总结云服务供应商 (CSP) 和政府机构的安全责任。SAF通过创建4个流程领域来简化NIST风险管理框架 (对应于NIST SP 800-37中详细描述的6个步骤) , 这4个流程领域分别是:文档准备、安全评估、认证授权和持续监控, 它沿袭自2002年政府发布的FISMA, 并在FISMA的基础上根据云服务的复杂性和独特挑战进行了精简与改进, 对云信息系统的安全评估流程进行了标准化的规定, 与FISMA中规定的NIST风险管理框架具有对应关系的一致性, 见图1。

　　图1 FedRAMP风险管理框架

　　其中, 文档准备阶段包括对信息系统进行分类、选择安全控制、实施和记录系统安全计划 (SSP) 以及支持文件中的安全控制和实施计划;安全评估阶段中, CSP必须使用独立的评估人员来测试信息系统, 以证明控制措施是有效的, 并按照SSP中记录的方式实施;认证授权阶段表示, 一旦测试完成, 下一步是让授权官员 (Authorizing Official, AO) 根据完整的文件包和在测试阶段识别的风险做出授权决定;持续的评估和授权 (也称为持续监控) 意味着CSP收到FedRAMP授权后, 必须配合实施连续监控功能, 以确保云服务处于可接受的风险状态, 该过程根据系统及其环境中随时间发生的计划和计划外变化, 来确定云系统中部署的安全控制是否保持有效。

　　政务云服务的安全由CSP和政府机构用户共同负责, CSP仅需负责不同的云服务模式中自己负责部分的安全控制。虽然FedRAMP要求的安全规划于对象而言不区分虚拟和物理环境, 但CSP在文档准备阶段需要提交的《SSP》必须明确虚拟化、隔离、安全控制责任划分和热迁移等相关内容。

　　FedRAMP自2012年6月开始正式运作以来, 其项目内容也在不断更新完善, 发布了包括《SAF》等文档在内的针对不同利益相关者的40多篇指导文件。并且, 截至2018年4月15日, 已有包括Amazon、Google、IBM、Microsoft等在内的110多家云服务提供商 (CSP) 的99个云服务产品获得了FedRAMP的认证授权, 61个云服务产品正在进行FedRAMP的授权认证, 并且已有45家独立机构拥有了FedRAMP的第三方评估组织 (Third Party Assessment Organization, 3PAO) 资格。

　　4 欧盟ENISA的安全管理框架

　　欧盟网络和信息安全局 (ENISA) 于2004年建立, 它与欧盟、其成员国、私营部门和欧洲公民合作, 旨在发展欧盟社会中的网络和信息安全, 提高对网络和信息安全的认识, 就信息安全的良好做法提出建议和推荐, 是欧盟网络和信息安全专业领域的中心。2012年9月, 欧盟委员会发布了“欧洲云战略”[13], 强调了采用云服务所带来的巨大商业和财务收益, 促使一些欧盟国家制定了云计算国家战略。但截至2014年9月, 仅有极少数的欧盟成员国具有明确和全面的云安全战略 (包括风险简介、资产分类、安全目标和措施) [13]。之后ENISA虽然发布了报告《政务云的安全和恢复力》和《安全部署政务云的良好做法指南》, 却还没有建立一个评估政务云安全风险的模型和安全管理框架。2015年2月, ENISA通过收集和分析现有的云计算安全文献、相关的安全最佳实践以及欧洲政务云的少数现实案例进行研究, 为政务云提供了一个规范的通用安全管理框架———《政务云安全框架》 (Security Framework for Governmental Clouds, SFGC) 。

　　4.1 目标

　　《政务云安全框架》 (SFGC) 是欧洲云战略的一部分, 着重于政府云计算安全框架的开发, 目的是为欧盟的公共管理部门和欧盟成员国无缝安全地部署云计算提供部署步骤指南。该框架为政务云服务的预采购到最终部署完成, 再到从云合同退出的整个过程提供指导, 阐述采购政务云服务时, 关注安全和隐私时应采取的相关安全管理步骤。而且在框架之外, ENISA提供了相对应的实用工具, 即可供获取和利用的问卷模板。当然, 由于SFGC针对的是安全管理, 它只是政府机构为采购云服务而设计的更大计划的一部分, 强调应加以考虑决策的安全性。具体来说, SF-GC的目标对象是:

　　欧盟政策制定者:希望获得有关政务云安全策略的简明信息, 以便制定进一步的经济、法律和技术激励政策, 以改善公共部门云计算的应用;

　　欧盟私营部门:特别是中小企业, 需要更多经验的研究和指导, 以发挥云计算的全部潜力;

　　CSP和云代理商:寻求与现有政务云采用的安全管理方法相关的进一步指导, 以识别并更好地理解政务云的特定需求和要求, 更好地调整其现有云服务产品。

　　而为了实现欧洲云战略提出的“云友好、云活性” (Making Europe Cloud-friendly and Cloud-active) 和“电子化” (Connecting Digital Agenda Initiatives) 的两大战略目标, SFGC从执行层面提出了3个目标:

　　标准和认证;

　　安全公平的合同条款;

　　欧洲云合作伙伴。

　　4.2 管理阶段

　　“计划—实施—检查—调整/更新” (Plan-Do-CheckAct, PDCA) 是欧盟政务云的安全框架概念的主要内容, 用以建模政务云的信息安全管理系统。PDCA模型 (也称为“戴明循环”) 是信息系统建设中的常用模型, 因为它清楚地标识了过程的各个步骤, 并且包括所有网络和信息安全方面非常重要的评估 (Check) 和调整/更新 (Act) 的概念。ENISA通过4个阶段来对政务云进行安全管理:

　　计划阶段着重于制定政策和实施控制, 以实现安全目标;

　　实施阶段涉及实现和操作安全控制;

　　检查阶段的重点是审查和评价该系统的业绩 (效率和效力) , 执行测试以确保安全控制按预期操作并满足目标;

　　调整/更新阶段涉及对检查阶段中确定的缺陷或差距进行补救、更改和改进, 或在必要时使系统恢复到计划的良好性能状态。

　　4.3 政务云安全框架

　　ENISA通过对4个Gov Cloud案例 (爱沙尼亚、希腊、西班牙和英国) 的研究, 以及一些欧盟成员国在其Gov Cloud中实施安全控制的实例经验研究, 基于对现有技术和使用案例的初步分析以及从个人访谈获得的反馈, 最终形成了《政务云安全框架》 (SFGC) 。SFGC由4个阶段、9个安全活动和14个步骤组成, 详细说明了每个成员国应该遵循的一套行动方案, 以确定和实施一个安全的政务云, 见表1。

　　表1 欧盟网络和信息安全局 (ENISA) 的《政务云安全框架》

　　根据文献研究和现有的政务云部署的初步经验, PDCA模型被欧盟确定为政务云安全框架的主要内容。SFGC中, PDCA每个阶段可以被细分为若干反映国家公共行政必要的具体需要和要求的样本任务, 并且可以灵活地进行相应的调整以适应或多或少的安全需求变化。并且, ENISA为每一个阶段都提供了示例来提升这个框架的实用性。此外, ENISA还为每个阶段提供了1个模板, 以确定在PDCA循环期间, 政府机构必须收集和使用的安全相关信息。

　　总的来说, ENISA提出了一个以通用的“计划—实施—检查—调整/更新” (PDCA) 为安全周期构建的政务云安全管理框架。该框架基于综合研究开发, 覆盖了相关的现有技术和实践, 经过了4个选定用例 (爱沙尼亚、希腊、西班牙和英国) 的重复验证。从该SFGC的实践情况来看, 对从爱沙尼亚、希腊、西班牙和英国收集的案例分析表明, 这些政务云虽然在证据注册、选择监控工具、SLA违规管理、执行审计的类型和频率以及认证程序方面采用不同的做法, 但均符合上述PDCA安全管理模型。

　　5 美国与欧盟政务云安全管理框架对比

　　通过分析比较欧美地区对电子政务云服务的安全管理政策与方案可以发现, 两者存在许多相似之处, 但由于地区情况与理念的差异, 也有一些本质上的区别, 具体见表2。

　　表2 美国与欧盟政务云安全管理框架对比

　　可见, 无论是美国还是欧盟, 他们均有一个专门的组织机构负责电子政务云服务的相关研究与实施, 并在本国已有的相关信息安全政策与基础之上, 基于电子政务云计算的特点进行了必要的研究与拓展, 在具有充分的理论与实践之后, 以固化流程的形式搭建了一个普适性的电子政务云服务采用与实施安全标准框架。虽然两者在流程与内容上略有区别, 但在政务云服务的安全框架中均着重强调了风险分析、认证授权和持续监控的思想。

　　6 对我国的启示

　　欧美在云计算领域的先行优势与在政务云安全领域的先进经验, 为我国构建电子政务云服务的安全管理框架, 采购电子政务云服务提供了宝贵的参考作用, 对我国的启示主要包括:

　　6.1 统一规划, 政府引导

　　发挥政府统筹的作用, 加强顶层规划, 优化政策环境, 通过政府采购引导云计算服务的安全部署与运行, 加快促进电子政务云服务的市场化发展, 保障电子政务云服务的安全。如美国专门重新设立了FedRAMP, 通过评估认证过程, 对进入云服务采购名单的产品进行统一的质量控制, 进行事先防控, 整体把关, 通过准入机制保障电子政务云服务的安全;欧盟ENISA面向欧盟各个国家的政府机构, 引导这些国家按照PDCA的方法论来开展电子政务云服务的安全管理, 侧重于流程掌控。

　　6.2 需求导向, 全程控制

　　坚持以政府采购模式下的云服务安全与隐私需求为导向, 针对电子政务云服务采购与应用的全生命周期进行安全控制, 保障电子政务云服务全生命周期中的风险安全可控。如美国FedRAMP和欧盟ENISA的安全管理均从安全需求开始, ENISA着重强调流程控制思想, 将统一的评估认证过程与政府采购结合起来, 明确各阶段利益相关者的权利与责任, 在电子政务云服务的全生命周期中保障其安全与可控。

　　6.3 动态开放, 互联互通

　　加强政府与社会力量的联系, 向专业机构开放权限, 破除评估认证壁垒, 构建政府与社会互动的安全管理机制, 搭建灵活动态的电子政务云服务安全框架, 避免重复评估认证, 降低安全管理成本。如美国FedRAMP安全框架通过深入的安全评估与认证工作, 引入专业第三方评估机构, 对电子政务云服务的安全风险尤其是技术类风险进行了规避与控制, 细节更丰富, 保障性更强。

　　6.4 健全制度, 保障安全

　　制定并完善安全管理架构和制度标准, 建立健全的政府采购电子政务云服务的安全防护体系, 提升政府采购模式下应用电子政务云服务各环节的安全和可靠性, 落实相关安全责任。如美国FedRAMP安全管理框架在各阶段明确利益相关方的责任, 以合同和文件形式固化;欧盟ENI-SA提出的安全框架通过对电子政务云服务全生命周期的安全掌控, 来保障电子政务云服务的安全, 通用性强, 覆盖全面, 能较方便地对利益相关者进行权利与义务划分。

　　7 总结

　　我国虽然非常重视政务云建设中的安全问题, 也在2014年9月发布了《信息安全技术云计算服务安全能力要求》, 提出了云服务商在为政府部门提供服务时应该具备的安全能力要求。但是却没有从顶层规划层面搭建完整的政务云安全管理框架, 没有专门的政务云服务安全管理机构和政府采购云服务指南。在此现状背景下, 为了规避和控制电子政务云服务的安全风险, 本文首先对以美国和欧盟为主的电子政务云服务安全管理框架进行了研究与介绍, 以期吸收其先行先试的经验。分析发现, 无论是美国还是欧盟, 他们均有一个组织机构负责电子政务云服务的相关研究与实施, 并在本地区已有的相关信息安全政策与基础之上, 基于电子政务云计算的特点进行了必要的研究与拓展, 在具有充分的理论与实践之后, 以固化流程的形式搭建了一个普适性的电子政务云服务采用与实施安全标准框架。虽然两者在流程与内容上略有区别, 但各有优劣。在此基础上, 本文对其取长补短, 借鉴美国的评估认证机制和欧盟ENISA的流程控制思想, 在我国现有相关信息安全管理政策及标准的基础上, 提出了4点启示, 目的是希望搭建一个通用的电子政务云服务安全管理框架, 系统性地保障政府采购和使用电子政务云服务的安全、提高政府采购电子政务云服务的效率、降低电子政务云服务的采购与安全管理成本。为了真正保障电子政务云服务的安全, 后续还需要对我国政务云实践进行深入的调查访问, 对发展现状和需求情况等积累实际认识, 并进行实践验证。今后也需要更多的相关研究和实践, 包括:可信云的评估认证中系列要求与标准的研究、安全保障技术的研究、法律法规的完善和体系化以及政务云服务的建设实例研究等。

　　参考文献

　　[1]高森.面向服务的党务电子政务平台的设计与实现[D].成都:电子科技大学, 2013.
　　[2]国务院.“十三五”国家信息化规划[EB/OL]. http://www.e-gov.org.cn/article-162528.html, 2017-12-28.
　　[3]高工物联网产业研究院. GIII:警惕云计算中心过剩[EB/OL]. gg-ii. com/gg/cygc/qita/20121128/251. html, 2017-10-23.
　　[4]工信部通信发展司.工业和信息化部关于2011年以来我国数据中心规划建设情况的通报[EB/OL]. http://www.miit.gov.cn/n1146295/n1652858/n1652930/n4509650/c4509686/content.html, 2016-10-23.
　　[5]周平, 王志鹏, 刘娜, 等.美国政府云计算相关工作综述[J].信息技术与标准化, 2011, (11) :20-24.
　　[6]张晓娟, 郭娟.国外政府云计算安全标准建设及启示[J].电子政务, 2016, (4) :83-90.
　　[7]张如辉, 郭春梅, 毕学尧.美国政府云计算安全策略分析与思考[J].信息网络安全, 2015, (9) :257-261.
　　[8]贾一苇, 赵迪, 蒋凯元, 等.美国联邦政府云计算战略[J].电子政务, 2011, (7) :2-16.
　　[9]何延哲, 王敏, 范博, 等.欧盟网络与信息安全局政务云安全策略研究[J].保密科学技术, 2016, (7) :42-46.
　　[10]张如辉, 郭春梅, 毕学尧.美国政府云计算安全策略分析与思考[J].信息网络安全. 2015, (9) :257-261.
　　[11]赵章界, 刘海峰.美国联邦政府云计算安全策略分析[J].信息网络安全, 2013, (2) :1-4.
　　[12] Kundra V. Federal Cloud Computing Strategy. Washington, DC:Executive Office of the President, Office of Management and udge, 2011.
　　[13] European Commission. Unleashing the Potential of Cloud Computing in Europe[EB/OL]. http://eur-lex. europa. eu/Lex Uri Serv/Lex Uri Serv.do? uri=COM:2012:0529:FIN:EN:PDF, 2018-01-26.
　　[14] FedRAMP[EB/OL]. https://www. fedramp. gov/, 2018-01-25.
　　[15] Security Framework for Governmental Clouds[EB/OL]. https://www.enisa.europa. eu/publications/security-framework-forgovernmental-clouds, 2018-01-26.
　　[16]胡潜, 林鑫.云环境下国家学术信息资源安全体制建设[J].情报理论与实践, 2018, (1) :33-37.
　　[17] GB/T 22080-2008, 信息技术安全技术信息安全管理体系要求[S].北京:中国标准出版社, 2008.
　　[18] GB/T 32926-2016, 政府部门信息技术服务外包信息安全管理规范[S].北京:中国标准出版社, 2016.
　　[19] GB/T 31167—2014, 信息安全技术云计算服务安全指南[S].北京:中国标准出版社, 2014.
　　[20]姜茸, 张秋瑾, 李彤.电子政务云安全风险分析[J].现代情报, 2014, 34 (12) :12-16.

TAG标签： 安全管理框     电子政务     美国