等保2.0正式实施，阿里云发布全国首个《阿里公共云用户等保2.0合规能力白皮书》 深度解读云计算、物联网扩展要求

《网络安全法》出台后，网络安全等级保护制度上升到了法律层面，不作等保就“等于”违法早已深刻人心。等保2.0最大的特色就是从原有传统系统基础上延伸到了云计算、移动互联、物联网和大数据等新兴领域，所以云上用户从12月1日正式迎来云等保大考验。
那么，问题来了，等保条款那么多，用户在云上看不见摸不着，对物联网要求又一头雾水，该测什么？能测什么？等保物联网扩展要求怎么作才能合规？用户到底该关注哪些内容呢？在作等保过程当中，云服务商到底能帮助用户作什么呢？
面对大量的上述咨询和疑惑，阿里云发布了全国首个《阿里公共云用户等保2.0合规能力白皮书》，针对等保通用安全要求、云技术及物联网扩展要求一一解答。

（一）择“优”云服务商才能得优
按照等保2.0定级指南要求，明确指出云上用户应用系统和云服务商云计算部分、物联网部分要分别做为单独的定级对象。同时，等保2.0测评要求又有了更新变化，测评结论从原有等保1.0时代的“符合、基本符合、不符合”变成如今的“优、良、中、差”，低于70分就是差，70分以上才算基本符合要求，所以及格分数调高了，测评要求也更严格了。
同时，对于用户来讲想要拿到“优”，必须同时知足如下三个条件：（1）选择的云平台等级测评结论为优；（2）业务应用系统存在的问题中无中、高风险项；（3）得分高于90分（含90分）。也就是说，用户的等保测评结论与云平台绑定，只有选择测评结论为“优”的云平台，用户才有可能拿到“优”。
做为云等保2.0时代的先行者和践行者，阿里云继2016年成为全国惟一一家云计算等保新标准试点示范单位后，又再一次成为全国首家以高分经过权威机构等保2.0测评的云服务商，为云上用户拿“优”奠基了良好基础。

（二）公共云上比云下等保测评更轻松
除了选择优质的云平台，若是用户想要拿到较好的测评结论，还须要关注哪些点呢？白皮书中明确指出云上用户等保测评范围和使用的云服务模式紧密相关。
白皮书一方面根据IaaS、PaaS和SaaS服务模式对阿里云全系云产品进行了分类，让用户可以快速定位到本身使用的云产品到底属于哪一种服务模式；另外一方面明确了三种服务模式下云上用户适用的等保2.0标准中的技术条款，让用户提早准备须要关注的测评指标和范围。

图1 不一样服务模式下的云上用户等保2.0技术测评项数量

从图1不一样服务模式下的云上用户等保2.0技术测评项能够看出，若是用户是自建云平台或传统IDC托管，那么等保中的全部技术条款都要进行测评。若是是IaaS用户，只需关注涉及自身虚拟基础环境和业务应用系统安全的83项技术指标，不需关注物理机房环境和云平台网络等内容，测评条款数约是自建云平台的62.4%。若是是PaaS用户则须要测评内容更少，只须要关注涉及产品配置以及自身业务应用系统安全的49项技术指标，测评范围是自建云平台的36.8%。对于SaaS用户来讲，只须要关注涉及应用安全配置以及业务数据保护的45项技术指标，须要投入的人力和经费成本也最少。
综合来说，云时代因服务模式不一样带来的云上用户合规责任的变化，使得公共云用户比自建云平台或传统IDC用户在等保2.0中投入的合规成本大幅下降，而且在PaaS和SaaS服务模式下优点更为突出，可让用户将更多精力聚焦自身的业务应用系统和数据安全保护上。

（三）物联网扩展要求其实不难
根据等保2.0物联网三级要求，物联网场景用户需关注包括感知节点设备物理防御、接入控制、入侵防范、感知节点设备安全、网关节点设备安全、抗数据重放、数据融合处理及感知节点管理这8大要求，共计20条要求项。
白皮书根据这8大要求，经过阿里云IoT安全产品进行了合规性阐述，让用户可以经过阿里云快速定位到更安全、更便捷、更轻量的安全产品。
不论用户是自建物联网平台或使用阿里云物联网平台，用户都须要关注涉及设备物理防御及感知节点管理相关的7条技术指标。
做为物联网领域的先驱者，阿里云具有全面的物联网安全基础设施能力,包括具备自主知识产权的物联网可信执行环境、设备身份认证、可信服务管理,并结合阿里云大数据强大的安全情报、风险检测和分析能力及人工智能构建物联网安全运营中心,为用户提供设备全生命周期安全管理服务，为用户经过物联网扩展要求奠基了坚实的基础。

（四）阿里云助力云上用户经过等保2.0考验
白皮书依照云计算等保2.0合规能力技术体系，结合阿里云安全技术和管理优点，详细阐述了用户等保合规体系，须要依赖云平台安全、云产品安全、云安全产品以及只能由用户自建的四项安全能力。
其中，云平台安全能力由阿里云自行承担，用户无需关注；云产品安全能力则是利用云计算优点云平台自带的原生安全能力以及云产品默认的安全属性，用户只需负责安全配置；云安全产品能力是基于阿里巴巴集团多年的安全实践以及云平台常态化的攻防实践，为云上用户提供专业的安全产品和服务。

图2 阿里云IaaS服务模式下用户等保2.0安全能力组成

白皮书从最典型的IaaS服务模式场景出发，经过上述四项安全能力，为用户提供了最佳安全合规实践指引。从图2能够看出，用户在依赖云平台安全能力基础之上，利用云原生安全优点和产品默认安全属性，直接实现66项（占79.1%）技术控制点安全能力。同时，若是用户还能够选择配套的阿里云安全产品，实现55项（占65.1%）技术控制点安全能力，咱们也面向不一样需求用户提供了等保2.0安全套餐，为用户顺利经过等保2.0保驾护航。
等保2.0已正式实施，云等保做为等保2.0时代的重要创新，用户须要了解云上等保与传统云下等保的区别，也要充分利用云计算、物联网服务模式带来的技术优点，更好的复用云基础设施的合规能力，让本身更聚焦于自身的业务应用系统和数据安全保护。