近日,华为云公有云平台全体系(包括IaaS、PaaS、SaaS、运营系统、运维系统等)顺利通过最新标准的商用密码应用安全性评估(以下简称“密评”),符合密评标准第三级要求。本次测评由国家密码局授权的权威评估机构——信息产业信息安全测评中心,对华为云公有云平台乌兰、广州等Region进行综合测评,依据了国标GB/T39786-2021《信息安全技术 信息系统密码应用基本要求》、GB/T 43206-2023《信息安全技术 信息系统密码应用测评要求》、《商用密码应用安全性评估量化评估规则(2023版)》等要求,测评范围涵盖技术(物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全)和管理(管理制度、人员管理、建设运营、应急处置)多个层面。
密码是保障网络与信息安全的核心技术和基础支撑,是解决网络与信息安全问题最有效、最可靠、最经济的手段。密码如同网络空间的安全DNA,可完整实现面向主体的身份认证及防抵赖、面向客体的机密性及完整保护,依此构筑起信息系统的安全基石。近年来国家陆续出台了《网络安全法》、《密码法》、《商用密码管理条例》等一系列法律法规,保障规范自主的商用密码在关键信息基础设施、重要信息系统等应用落地,切实守护网络空间身份和数据安全、数字主权。本次评估旨在衡量采用商用密码技术、产品的华为云公有云平台在密码应用方面的合规性、正确性和有效性。
华为云公有云平台基于软件密码模块及认证合格的密码硬件设备,对机房、OS、中间件、IaaS/PaaS/DaaS/SaaS各类云服务、云运营系统、云运维系统等进行多方面商密建设,落地敏感数据存储加密、链路传输加密、OS/服务等口令保护、敏感数据完整性保护、基于数字证书的用户身份鉴别、统一密钥管理及证书管理等功能,构建完善的商用密码防护体系,在云平台原生安全能力上做到“商密inside”,保障重点行业客户的云平台安全与合规,提升云平台自身内生安全防护,实现机密性、完整性、真实性、不可否认等安全目标。
同时华为云各类云服务基于内生密码模块及深度融合的密码设备,在面向租户服务的云服务数据面默认支持商密算法和各类密码功能,为租户提供“开箱即用”的存储加密、传输加密、身份认证、专属密码服务能力,如云上各类存储默认支持高性能的商密算法加密(包含块存储、对象存储、文件存储、数据库存储、大数据存储、数据仓库存储等),使租户应用部署华为云平台时,可以免改造或轻改造,快速具备商密能力,满足自身数据安全以及国家要求。
公有云平台涵盖大量组件,提供众多云服务,云平台的整体密码改造不是单个组件和单个服务的数量乘积,需要从全局视角端到端统一规划、设计,将各云服务、云运营系统、云运维系统、公共组件、密码设备紧密结合组合成互相协同的精密架构。华为云平台经过深入分析、设计、开发、验证完成了密码改造,通过了技术方案评审、机房检查、流量抓包、加密算法分析等测评验证,符合了公有云平台第三级密评标准要求,对商密在公有云平台落地具有广泛的示范意义。
本次华为云公有云平台密评的顺利通过并达到第三级密评标准要求,表明了华为云公有云平台具备强密码防护能力,可更好满足业务系统上云后业务安全及合规要求。结合丰富的安全和各类云服务,华为云公有云将为广大政企客户的业务安全和合规建设提供强有力支撑和保障。
