《云計(jì)算平臺(tái)滲透測(cè)試實(shí)施指南》征求意見(jiàn)稿編制說(shuō)明

陜西省地方標(biāo)準(zhǔn)《云計(jì)算平臺(tái)滲透測(cè)試實(shí)施指南》編制說(shuō)明陜西省網(wǎng)絡(luò)與信息安全測(cè)評(píng)中心2024年03月05日1陜西省地方標(biāo)準(zhǔn)《云計(jì)算平臺(tái)滲透測(cè)試實(shí)施指南》一、工作概況自《中華人民共和國(guó)網(wǎng)絡(luò)安全法》出臺(tái)以來(lái)，國(guó)家陸續(xù)出臺(tái)了一法律法規(guī)來(lái)強(qiáng)調(diào)網(wǎng)絡(luò)安全的重要性，包括《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》、《中華人民共和國(guó)數(shù)據(jù)安全法 》、《中華人民共和國(guó)個(gè)人信息保護(hù)法》等，尤其是黨的二十大報(bào)告提出，要構(gòu)建新一代信息技術(shù)等一批新的增長(zhǎng)引擎，打造具有國(guó)際競(jìng)爭(zhēng)力的數(shù)字產(chǎn)業(yè)集群。隨著數(shù)字化轉(zhuǎn)型的加速，云計(jì)算平臺(tái)已成為國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施的重要組成部分，確保云計(jì)算平臺(tái)的安全性對(duì)于維護(hù)國(guó)家網(wǎng)絡(luò)安全至關(guān)重要。隨著云計(jì)算技術(shù)的廣泛應(yīng)用，云計(jì)算平臺(tái)的安全問(wèn)題日益突出。滲透測(cè)試是評(píng)估和提升云計(jì)算平臺(tái)安全性的重要手段。通過(guò)對(duì)云計(jì)算平臺(tái)進(jìn)行滲透測(cè)試，以模擬黑客的攻擊方法，主動(dòng)分析云計(jì)算平臺(tái)的任何弱點(diǎn)、技術(shù)缺陷或漏洞。這有助于發(fā)現(xiàn)系統(tǒng)中存在的安全隱患和問(wèn)題，從而及時(shí)進(jìn)行修復(fù)，提高系統(tǒng)的安全性。2滲透測(cè)試其主要目的在于驗(yàn)證整個(gè)云計(jì)算平臺(tái)的技術(shù)安全性。通過(guò)滲透測(cè)試，可以在技術(shù)層面定性地分析系統(tǒng)的安全性，從而確保平臺(tái)在復(fù)雜的應(yīng)用環(huán)境中能正常運(yùn)行而不至于導(dǎo)致安全問(wèn)題。同時(shí)可以及時(shí)發(fā)現(xiàn)并解決安全問(wèn)題，確保平臺(tái)在遭受攻擊時(shí)能夠保持業(yè)務(wù)連續(xù)性，避免因安全問(wèn)題導(dǎo)致的業(yè)務(wù)中斷和數(shù)據(jù)泄露。目前，在國(guó)家層面尚未建立成熟的滲透測(cè)試相關(guān)標(biāo)準(zhǔn)的情況下，需要結(jié)合云計(jì)算平臺(tái)的特點(diǎn)，針對(duì)性地制定《云計(jì)算平臺(tái)滲透測(cè)試實(shí)施指南》，對(duì)云計(jì)算平臺(tái)滲透測(cè)試的具體實(shí)施提出指導(dǎo)性建議，填補(bǔ)云計(jì)算平臺(tái)滲透測(cè)試標(biāo)準(zhǔn)化領(lǐng)域的空白，明確云計(jì)算平臺(tái)滲透測(cè)試實(shí)施的過(guò)程和方法，提高各類滲透測(cè)試機(jī)構(gòu)或被測(cè)單位對(duì)云計(jì)算平臺(tái)滲透測(cè)試項(xiàng)目的監(jiān)控與管理水平，推動(dòng)云計(jì)算平臺(tái)滲透測(cè)試項(xiàng)目組織、實(shí)施、驗(yàn)收等工作的順利開(kāi)展，使云計(jì)算平臺(tái)滲透測(cè)試工作系統(tǒng)化、規(guī)范化、標(biāo)準(zhǔn)化，最終有效提升云計(jì)算平臺(tái)的安全水平，促進(jìn)云計(jì)算產(chǎn)業(yè)持續(xù)健康發(fā)展。2.任務(wù)來(lái)源目前，云計(jì)算相關(guān)指南類標(biāo)準(zhǔn)主要為國(guó)家標(biāo)準(zhǔn)，研究方向主要集中在云計(jì)算服務(wù)安全、云服務(wù)采購(gòu)、云平臺(tái)間應(yīng)用和數(shù)據(jù)遷移、服務(wù)測(cè)試、性能測(cè)試、能力評(píng)估、質(zhì)量評(píng)價(jià)等方面，以支撐云服務(wù)監(jiān)管部門(mén)、規(guī)范云防護(hù)服務(wù)市場(chǎng)。滲透測(cè)試相關(guān)標(biāo)準(zhǔn)主要為地方標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)，研究方向主要側(cè)3重于一般信息系統(tǒng)和銀行信息系統(tǒng)等方面，國(guó)家層面亦尚未建立成熟的滲透測(cè)試相關(guān)標(biāo)準(zhǔn)。因此，按照陜西省市場(chǎng)監(jiān)督管理局《關(guān)于下達(dá)2023年度陜西省地方標(biāo)準(zhǔn)制修訂項(xiàng)目計(jì)劃的通知》（陜市監(jiān)函計(jì)算平臺(tái)滲透測(cè)試實(shí)施指南》編制工作（項(xiàng)目編號(hào)：SDBXM011-2023為云計(jì)算平臺(tái)運(yùn)營(yíng)機(jī)構(gòu)或第三方服務(wù)機(jī)構(gòu)提供提供操作指導(dǎo)，保障云計(jì)算平臺(tái)滲透測(cè)試實(shí)施質(zhì)量，規(guī)范滲透測(cè)試項(xiàng)目的組織、實(shí)施和驗(yàn)收等。3.承擔(dān)單位陜西省網(wǎng)絡(luò)與信息安全測(cè)評(píng)中心陜西正觀政務(wù)信息技術(shù)研究院有限公司陜西中認(rèn)信安技術(shù)服務(wù)有限公司陜西省信息化工程研究院4.主要工作過(guò)程自本標(biāo)準(zhǔn)編制任務(wù)下達(dá)后，陜西省網(wǎng)絡(luò)與信息安全測(cè)評(píng)中心、陜西正觀政務(wù)信息技術(shù)研究院有限公司、陜西中認(rèn)信安技術(shù)服務(wù)有限公司、陜西省信息化工程研究院聯(lián)合成立標(biāo)準(zhǔn)起草組，明確了工作指導(dǎo)思想，制定了工作原則，確定了起草組成員和任務(wù)分工。起草組先后組織成員對(duì)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)發(fā)布的GB/T31168-2023《信息安全技術(shù)云計(jì)4語(yǔ)》、GB/T28448-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》等相關(guān)標(biāo)準(zhǔn)進(jìn)行了研究學(xué)習(xí)，并對(duì)收集的相關(guān)資料進(jìn)行分析整理。同時(shí)，采取專家咨詢，召開(kāi)座談會(huì)等形式，對(duì)擬制定標(biāo)準(zhǔn)的內(nèi)容、范圍、適用性等進(jìn)行了充分研討，明確了《云計(jì)算平臺(tái)滲透測(cè)試實(shí)施指南》的具體內(nèi)容。5.起草組成員及任務(wù)分工男男女男女男男二、標(biāo)準(zhǔn)編制原則和標(biāo)準(zhǔn)主要內(nèi)容1.標(biāo)準(zhǔn)編制所遵循的原則本標(biāo)準(zhǔn)編制依據(jù)《中華人民共和國(guó)標(biāo)準(zhǔn)化法》和《地方標(biāo)準(zhǔn)制定規(guī)范》的相關(guān)規(guī)定。本標(biāo)準(zhǔn)編制遵循適用性、合理性、統(tǒng)一性的原則，全面、科學(xué)地提出了云計(jì)算平臺(tái)滲透測(cè)試實(shí)施指南。本標(biāo)準(zhǔn)編制遵循面向市場(chǎng)、服務(wù)社會(huì)，保護(hù)環(huán)境，自主制定、及時(shí)修訂、不斷完善的原則，可為云計(jì)算平臺(tái)運(yùn)營(yíng)機(jī)5構(gòu)或第三方服務(wù)機(jī)構(gòu)提供操作指導(dǎo)，規(guī)范滲透測(cè)試項(xiàng)目的組織、實(shí)施和驗(yàn)收等。本標(biāo)準(zhǔn)編制遵循公正、公開(kāi)、透明的原則，廣泛征求意見(jiàn)，并不斷修正、完善標(biāo)準(zhǔn)內(nèi)容。2.標(biāo)準(zhǔn)的結(jié)構(gòu)、要素、技術(shù)要求、關(guān)鍵指標(biāo)的確定依據(jù)和主要內(nèi)容為保證標(biāo)準(zhǔn)的科學(xué)性、公正性、實(shí)用性，除了廣泛征集省內(nèi)外企業(yè)、高校、研究機(jī)構(gòu)的技術(shù)專家和學(xué)者的意見(jiàn)外，起草組成員連同合作單位形成了產(chǎn)、學(xué)、研的權(quán)威陣容，在標(biāo)準(zhǔn)制訂過(guò)程中做了非常充分的調(diào)查、研究、討論，最終形成了范圍、規(guī)范性引用文件、術(shù)語(yǔ)和定義、滲透測(cè)試實(shí)施概述、準(zhǔn)備階段、方案編制階段、現(xiàn)場(chǎng)實(shí)施階段、報(bào)告編制階段等主要內(nèi)容。三、實(shí)證研究標(biāo)準(zhǔn)內(nèi)容是基于起草組成員的學(xué)術(shù)理論知識(shí)和產(chǎn)業(yè)界遇到的實(shí)際情況而編制，且有來(lái)自省內(nèi)外高校、企業(yè)、研究機(jī)構(gòu)專家的意見(jiàn)和指導(dǎo)，不斷進(jìn)行修正和完善，并計(jì)劃組織開(kāi)展標(biāo)準(zhǔn)相關(guān)應(yīng)用及效果實(shí)施評(píng)價(jià)，以確保達(dá)到預(yù)期目標(biāo)。四、知識(shí)產(chǎn)權(quán)說(shuō)明本標(biāo)準(zhǔn)知識(shí)產(chǎn)權(quán)歸編制單位所有，沒(méi)有知識(shí)產(chǎn)權(quán)爭(zhēng)議。五、采標(biāo)情況6目前，云計(jì)算相關(guān)指南類標(biāo)準(zhǔn)主要為國(guó)家標(biāo)準(zhǔn)，研究方向主要集中在云計(jì)算服務(wù)安全、云服務(wù)采購(gòu)、云平臺(tái)間應(yīng)用和數(shù)據(jù)遷移、服務(wù)測(cè)試、性能測(cè)試、能力評(píng)估、質(zhì)量評(píng)價(jià)等方面，以支撐云服務(wù)監(jiān)管部門(mén)、規(guī)范云防護(hù)服務(wù)市場(chǎng)。滲透測(cè)試相關(guān)標(biāo)準(zhǔn)主要為地方標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)，研究方向主要側(cè)重于一般信息系統(tǒng)和銀行信息系統(tǒng)等方面，國(guó)家