ISO27001認證
熱線：
Q Q：ISO/IEC27040標準保障多租戶控制措施
發(fā)布時間：2020-07-13 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
ISO/IEC27040標準保障多租戶控制措施
一、條款、目標、控制措施
1、提供安全隔離，同時仍然提供共享資源的管理和靈活性好處，確保沒有租戶可以阻止任何其他租戶的存在或身份，可以訪問任何其他租戶的動態(tài)（網(wǎng)絡）數(shù)據(jù)，可以訪問任何其他租戶的靜態(tài)（存儲）數(shù)據(jù)，可以執(zhí)行影響另一個租戶執(zhí)行的操作的操作，也可以執(zhí)行可能拒絕向另一個租戶提供服務的操作，并確保每個租戶都可以擁有獨立于其他租戶的存在和配置的配置
2、當資源（計算、存儲或網(wǎng)絡）從租戶退役時，應清除所有數(shù)據(jù)和配置信息
3、在租戶級別提供責任和可追溯性措施
4、使用與租戶使用資源一致的加密存儲
5、使用強對稱加密（即至少128位安全強度）保護靜止數(shù)據(jù)
6、使用安全和快速的取消配置（媒體清理，包括加密擦除）
7、使用可信的第三方數(shù)據(jù)存儲管理（例如，SNMPv3、SMI-S和TLS等）
8、使用自動密鑰管理提供租戶控制的密鑰管理（利用符合KMIP的服務器）
9、使用安全的數(shù)據(jù)復制（例如，動態(tài)數(shù)據(jù)和靜態(tài)加密）
10、保護數(shù)據(jù)不受管理員的影響（例如，實施最低權限訪問模型、管理員無權訪問密鑰材料等）
11、使用高可用性存儲網(wǎng)絡結構（多路徑和多種路徑）
12、使用集中和安全的審核日志記錄（例如，通過TLS的syslog）
密碼模塊和其他安全措施（如媒體凈化、訪問控制等）的驗證和認證（如通用標準）
二、企業(yè)要做的內容
1.準備《安全多租戶安全策略》
2. 準備《數(shù)據(jù)清理管理程序》
3. 準備《加密和密鑰管理安全策略》
4準備《安全審計、會計和監(jiān)控安全策略》
5.準備《信息備份復制安全策略》
三、審核員關注的內容
1. 是否依據(jù)《安全多租戶安全策略》實施管理
2. 是否依據(jù)《數(shù)據(jù)清理管理程序》實施管理
3. 是否依據(jù)《加密和密鑰管理安全策略》實施管理
4 是否依據(jù)《安全審計、會計和監(jiān)控安全策略》實施管理
5是否依據(jù)《信息備份復制安全策略》實施管理
