IaaS层实现密评合规！ZStack 重磅发布云平台密评合规解决方案

　　ZStack Cloud 云平台密评合规解决方案已经在武汉市洪山区政务云成功落地，为政务云平台上的业务系统提供统一的国产密码服务，保障政务数据和公民信息存储、传输和使用的安全，帮助政府节约财政投入数千万元。

　　近日，云轴科技ZStack 重磅发布云平台密评合规解决方案，旨在帮助客户快速搭建符合商用密码应用安全性评估（简称”密评“）要求的云平台。这是业内率先在IaaS层云平台上实现密评合规模块，通过建立以商用密码为核心的云安全保障体系，充分满足政府、运营商、企业用户在密评场景的云平台合规要求。

　　安全性挑战推动“密评”上升到战略高度

　　密评指在采用商用密码技术、产品和服务集成建设的网络和信息系统中，对其密码应用的合规性、正确性和有效性等进行评估。

　　近年来，随着各行业信息技术的发展，互联网技术、云计算大数据技术、物联网技术等逐步应用到重要信息系统，在给系统带来便利的同时也带来了安全性挑战，为了增强系统的安全性，防止重要信息泄露，密码技术及其应用成为重中之重。但在发展过程中，出现了商业密码应用不广泛、不规范、不安全的问题。

　　为提供科学的网络和信息系统安全评价方法、逐步规范商用密码的使用和管理，国家颁布实施了一系列法律法规，对密码应用安全性评估提出要求。例如《中华人民共和国密码法》第二十七条提到：法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。

　　ZStack Cloud密评合规解决方案，率先在IaaS层实现密评合规

　　密评的测评对象是整个信息系统，从这个角度来看，ZStack Cloud云平台部署在客户侧的形式是一套软件。因此，对于密评测评，云平台仅需要负责其中一部分，如应用数据安全。

　　ZStack Cloud密评合规解决方案是通过产品化的模块对接国家密码管理局检测认证的硬件密码机，以密码机资源池为单位，提供统一的证书登录和数据保护功能，满足密评场景下的云平台合规要求。其中，证书登录功能基于SM2算法实现，开启该功能后，需使用UKey进行登录认证，确保身份的真实性；数据保护功能基于SM3、HMAC- SM3和SM4算法实现，开启该功能后，可对日志、口令、镜像等重要数据进行加密保护，保障数据的机密性和完整性。

　　图1：密评合规架构图

　　ZStack Cloud密评合规解决方案具备以下三类密评能力：

　　1、身份认证：支持口令+硬件 UKey 双因素认证；

　　2、数据传输：无缝兼容安全网关，支持通过国密浏览器 HTTPS 安全访问云平台；

　　3、数据保护：对云平台重要数据进行完整性和机密性保护。云平台重要数据包括身份认证信息、平台配置信息、平台日志记录、平台管理镜像、平台业务镜像、平台业务快照。

　　云平台密评合规解决方案，除了需要使用ZStack Cloud密评合规增值模块，还需要集成配套的第三方软硬件：

　　1、应用安全网关（硬件）：为进出云平台的管理面流量，使用国密协议，在传输过程中提供机密性、完整性的保护；

　　2、签名服务器（硬件）：提供签名、加密能力。ZStack Cloud云平台调用签名服务器接口，对云平台内的重要数据进行加密、签名；

　　3、国密浏览器（软件）：配合应用安全网关（硬件）使用。国密浏览器与普通浏览器的一个主要区别是通过了国密算法的支持，访问云平台的管控面流量，通过应用安全网关进行传输过程的机密性、完整性保护，对应则需要使用国密浏览器对访问流量进行解密、校验等处理；

　　4、UKey+数字证书（硬件）：作用类似于银行U盾，主要配合云平台口令，对云平台的用户提供双因子“身份鉴别”。

　　多场景适用，为客户构建符合密评要求的云

　　ZStack Cloud云平台密评解决方案主要适用的场景有关键信息基础设施、网络安全保护第三级以上的系统、国家政务信息系统等方面使用的IaaS云平台，具体包括：

　　1、基础信息网络所运行的云：电信网、广播电视网、互联网；

　　2、重要信息系统所在的云：能源、教育、公安、测绘地理信息、社保、交通、卫生计生、金融等涉及国计民生和基础信息资源的重要信息系统；

　　3、重要工业控制系统所在的云：核设施、航空航天、先进制造、石油石化、油气管网、电力系统、交通运输、水利枢纽、城市设施等重要工业控制系统

　　4、面向社会服务的政务信息系统所在的云：党政机关和使用财政性资金的事业单位和团体组织使用的面向社会服务的信息系统。

　　通过采用ZStack Cloud云平台密评合规解决方案，可以为政府、运营商、企业用户带来以下三方面的价值：

　　1、基于ZStack Cloud 产品化密评改造手段，避免项目制的定制化开发，高效构建符合密评要求的云；

　　2、基于ZStack Cloud产品化密评服务，降低用户合规门槛，低成本实现密评合规能力；

　　3、基于ZStack Cloud构建的云，积极响应国家政策及相关法律法规，为政企用户提供有效的安全防护。

　　结语

　　“没有强大的网络安全产业，国家网络安全就缺乏支撑；没有强大的网络安全企业，就形成不了强大的网络安全产业”。推动信创产业的发展、保障国家信息网络安全，离不开商用密码技术的蓬勃发展，更离不开密评测评的有力保障。未来，云轴科技ZStack仍将发挥自己产品化的优势，提出更多密评合规的解决方案，充分满足各行业用户在密评场景的云平台合规要求，为保障国家网络信息安全添砖加瓦！