关于开发符合国家信息安全等级保护标准的存储产品
等级保护一直是我国重要的信息安全国策，备案的三级四级五级系统更是关乎国家安全的重要信息系统，随着数据量和安全需求的增加，信息系统的存储安全要求也越来越高，存储厂家有必要开发符合等保体系标准的存储设备，同时对于存储在国内市场进一步开拓也有助力，随着我国第一个关键信息基础设施安全保护标准于今年5月1日开始实施，等级保护作为其重要组成部分，对于存储厂商参与国家关键信息基础设施的建设也是重要的执行标准。最后我们以加密存储为切入点，分析传统存储厂商在等保领域如何参与的问题。
第一部分 框架介绍
如何开发符合等级保护标准的存储设备，我从《信息安全技术—网络安全等级保护基本要求》 (以下简称“等保基本要求”)和《信息安全技术 网络安全等级保护实施指南》(以下简称“实施指南”)，并结合关键信息基础设施安全保护标准进行了分析，框架如下所示：
图 - 开发符合等级保护标准的存储产品导图
首先围绕等级保护基本要求GB/T 22239，梳理与存储相关的安全要求，包含数据完整性、数据保密性、数据备份恢复、剩余信息保护，再结合关键信息基础设施安全保护要求，新增加供应链安全和数据安全。基于这些安全标准，推导出存储应该具有的特性，最终能进一步提升产品安全特性，保障三级四级五级信息系统的安全。
再围绕等级保护实施指南中关于安全运行和维护的标准，涉及的安全标准有运行管理职责确定、运行管理过程控制、安全状态监控、安全自查和持续改进、服务商管理和监控、应急响应和保障，基于这些标准，推导出存储应该具有的特性，最终提升产品的安全可服务行性，提升客户安全运维体验。
最后以加密存储为切入点，围绕国家关于加密存储的规定，分析可以介入的等级保护领域，使加密存储作为存储的一个新增长点。
第二部分 与存储安全相关的等保标准解读
由于业务目标的不同、使用技术的不同、应用场景的不同等因素，不同的等级保护对象会以不同的形态出现，表现形式可能称之为基础信息网络、信息系统（包含采用移动互联等技术的系统）、云计算平台/系统、大数据平台/系统、物联网、工业控制系统等。形态不同的等级保护对象面临的威胁有所不同，安全保护需求也会有所差异。按照基本要求和关基对三级及以上信息系统的要求，存储需要满足数据完整性、数据保密性、数据备份恢复、剩余信息保护、供应链安全、数据安全，与之对应的存储特性如下：
分类 | 安全控制点 | 存储特性 |
数据完整性 | 应采用校验技术或密码技术保证重要数据在存储过程中的完整性 | 传输完整性(如IPSec、HMAC)，静态数据完整性DIF |
数据保密性 | 应采用密码技术保证重要数据在存储过程中的保密性 | 静态数据加密（POOL级加密，Namespace/Volume级加密、对象存储文件级加密、加密盘）、密钥管理（外置密管，内置密管），传输加密如复制链路加密、和计算主机之间加密(HTTPS、SMB、Kerberos、FTPS、NFS）、端到端透明加密 |
数据备份恢复 | 应提供重要数据的本地数据备份与恢复功能； | 副本、EC、快照、克隆； 自动备份、备份文件设置保留周期和策略设置、备份数据恢复、数据回溯 |
应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地； | 多AZ、跨区域复制、云端备份、数据下载到本地备份数据、远程复制、复制上云、分级上云、备份归档、容灾备份 | |
应提供重要数据处理系统的热冗余，保证系统的高可用性 | 两地三中心、双活、多活 | |
剩余信息保护 | 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除； 应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。 | 数据安全删除、内存删除、加密数据防泄漏、磁盘数据删除、物理磁盘报废、数据迁移服务 |
供应链安全 | 合格供应方目录、来源的稳定或多样性、知识产权、源代码安全能检测 | 软件包完整性校验、代码签名校验、源码可信证明、安全启动，内核完整性校验，禁止恶意软件（软件病毒扫描） |
数据安全 | 数据安全保护计划、数据分类分级、境内存储、重要数据和个人信息保护、容灾备份、数据安全风险评估、数据处理活动全流程保护 | 数据隐私保护、数据分级分类、境内存储； 多租户隔离、数据访问审计、数据访问控制、数据入侵检测、数据防病毒扫描； 故障域、容灾保护计划、分级上云、容灾备份、双活 |
第三部分 围绕安全可服务性的标准解读
安全运行与维护是等级保护实施过程中确保等级保护对象正常运行的必要环节，与存储系统相关的涉及运行管理职责确定，包含创建运行管理角色、授权等活动，运行管理过程控制，包含记录操作过程，安全状态监控包含监控对象状态和信息收集以及状态分析和报告输出，安全自查和持续改进，包含自查相关的所有活动，服务商管理和监控，包含对服务商能力的分析和跟进等事务，应急响应和保障，包含应急准备和响应，针对安全事件的分级和应急以及后期的评估和改进，这一系列活动可以在存储产品中给予很好的流程和数据支持。
分类 | 安全控制点 | 存储特性 |
运行管理和控制 | 创建运行管理角色、授权 | 用户和用户组管理，协议用户权限 |
变更管理和控制 | 操作规程、操作过程记录 | 可服务性的固件更换、操作日志/安全日志 |
安全状态监控 | 监控对象确定、监控对象状态信息收集、监控状态分析和报告 | 性能监控、集群状态监控、节点硬盘电源风扇等设备状态监控等 |
安全自查和持续改进 | 安全状态自查、安全持续改进 | 安全检查工具、热补丁 |
服务商管理和监控 | 服务商选择有资质的、服务商管理、监控 | 具备安全信誉、技术和行业经验、内部控制、持续经营的相关证明材料；存储设备服务购买 |
应急响应和保障 | 建立应急组织、明确应急工作职责、安全事件分类分级、应急预案对象，应急演练 | 告警分类分级、远程复制、3DC，多AZ，容灾备份、容灾演练、备份归档、双活 |
第四部分 加密存储可作为等保领域切入点
根据《中华人民共和国网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，采取数据分类、重要数据备份和加密等措施；国务院办公厅发文《国家政务信息化项目建设管理办法》要求国家政务信息化项目必须有密码应用方案和密码应用安全性评估报告；国家密码管理局发文《商用密码管理条例》规定非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统必须使用商用密码进行保护；中国人民银行发文《金融数据安全 数据生命周期安全规范》规定3级数据的存储应采取加密等技术措施，4级及以上数据应使用密码算法加密存储；公安部发文《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》要求第三级及以上网络在规划、建设和运行阶段充分考虑符合要求的密码产品及服务。
从以上发文可知，加密存储是等级保护的一个重要特征，所以传统存储厂商可以加密存储作为切入点，据笔者考察，华为海量存储在以上技术领域和安全服务领域都颇有成果，值得推荐。（文/邓芙秋）
