安全常見問題
安全常見問題
華為云提供的基礎(chǔ)設(shè)施足夠安全嗎？
華為云將基礎(chǔ)設(shè)施安全視為構(gòu)筑多維全棧的云安全防護(hù)體系的核心組成部分。為了讓您可以更放心地上云，并利用安全的華為云服務(wù)聚焦在業(yè)務(wù)發(fā)展上，華為云參考業(yè)界最佳實踐在數(shù)據(jù)中心、網(wǎng)絡(luò)等基礎(chǔ)設(shè)施的設(shè)計和管理上充分考慮安全性與合規(guī)性。
華為云在全球布局多個地理區(qū)域和可用區(qū)，您可以通過華為云官網(wǎng)的首頁查看華為云全球基礎(chǔ)設(shè)施的具體站點和產(chǎn)品部署分布。華為云在數(shù)據(jù)中心機(jī)房建設(shè)和管理過程中，充分考慮機(jī)房選址、訪問控制、監(jiān)控措施以及數(shù)據(jù)中心業(yè)務(wù)連續(xù)性等，以保障華為云基礎(chǔ)設(shè)施的安全性和可靠性。詳細(xì)的數(shù)據(jù)中心安全設(shè)計和實踐，您可以訪問數(shù)據(jù)中心頁面了解。
在網(wǎng)絡(luò)安全設(shè)計方面，華為云參考 ITU E.408 安全區(qū)域的劃分原則并結(jié)合業(yè)界網(wǎng)絡(luò)安全的優(yōu)秀實踐，對華為云網(wǎng)絡(luò)進(jìn)行安全區(qū)域、業(yè)務(wù)層面的劃分和隔離。
更多華為云基礎(chǔ)設(shè)施的安全設(shè)計和實踐，您可以下載《華為云安全白皮書》了解。
華為云如何保障平臺和應(yīng)用的安全性？
華為云結(jié)合30多年的安全經(jīng)驗積累和現(xiàn)狀，積極推行快速迭代的全新 DevOps 流程，將華為的安全生命周期（SDL）無縫嵌入其中，進(jìn)行平臺和應(yīng)用的開發(fā)，以保障整個開發(fā)過程安全可靠。
● 在中國可信云認(rèn)證中， 華為云平臺的云主機(jī)獲得最高級的五星+認(rèn)證。 為保證平臺安全，華為云對主機(jī)操作系統(tǒng)進(jìn)行最小化裁剪并對服務(wù)做安全加固。對接入平臺的人員執(zhí)行嚴(yán)格的權(quán)限訪問控制，并實施全面的運(yùn)維運(yùn)營操作審計機(jī)制。所有接入均須通過堡壘機(jī)，并實行雙因素認(rèn)證。作為華為云平臺操作系統(tǒng)，華為統(tǒng)一虛擬化平臺從 CPU、內(nèi)存和 I/O 三個方面實現(xiàn)資源安全隔離。具體實現(xiàn)機(jī)制，您可以通過《華為云安全白皮書》的“平臺安全”章節(jié)內(nèi)容了解。
● API是云服務(wù)應(yīng)用至關(guān)重要的安全邊界，采用多重機(jī)制和措施進(jìn)行重點保護(hù)是非常必要的。華為云開放的API是通過華為自研的API網(wǎng)關(guān)APIG實現(xiàn)的，API網(wǎng)關(guān)支持身份認(rèn)證及鑒權(quán)、傳輸保護(hù)、邊界防護(hù)、API流量控制等多種機(jī)制使API得到有效保護(hù)。
華為云如何保障我云上數(shù)據(jù)的安全性？
華為云高度重視您的數(shù)據(jù)資產(chǎn)，把數(shù)據(jù)保護(hù)作為華為云安全策略的核心。因此華為云遵循數(shù)據(jù)安全生命周期管理的業(yè)界先進(jìn)標(biāo)準(zhǔn)，在身份認(rèn)證、權(quán)限管理、訪問控制、數(shù)據(jù)隔離、傳輸安全、存儲安全、數(shù)據(jù)刪除、物理銷毀等方面，采用優(yōu)秀技術(shù)、實踐和流程，為您提供切實有效的數(shù)據(jù)保護(hù)能力。您可以在《華為云數(shù)據(jù)安全白皮書》中找到更多實踐內(nèi)容。
但是，值得強(qiáng)調(diào)的是，對于您使用云服務(wù)產(chǎn)生的內(nèi)容數(shù)據(jù)，華為云只是其托管者，您對其擁有所有權(quán)和控制權(quán)。您需要負(fù)責(zé)各項具體的數(shù)據(jù)安全配置，對其保密性、完整性、可用性以及數(shù)據(jù)訪問的身份驗證和鑒權(quán)進(jìn)行有效保障。例如在使用統(tǒng)一身份認(rèn)證服務(wù)IAM和數(shù)據(jù)加密服務(wù)DEW時，由您負(fù)責(zé)妥善保管您自行配置的服務(wù)登錄賬戶、密碼和密鑰，并負(fù)責(zé)執(zhí)行密碼密鑰設(shè)定、更新和重設(shè)規(guī)則的業(yè)界優(yōu)秀實踐。更多提供數(shù)據(jù)保護(hù)的產(chǎn)品，您可以打開安全服務(wù)頁面了解。
華為云承諾絕不會在未經(jīng)授權(quán)的情況下訪問您的內(nèi)容數(shù)據(jù)，同時遵從華為云服務(wù)適用的法律法規(guī)，并持續(xù)關(guān)注內(nèi)外部合規(guī)要求的變化，開展所服務(wù)行業(yè)的安全標(biāo)準(zhǔn)評估，并且向您分享我們的合規(guī)實踐，保持應(yīng)有的透明度。
華為云是否將我的數(shù)據(jù)轉(zhuǎn)移到其它地區(qū)或國家？
● 對于內(nèi)容數(shù)據(jù)：您可以決定內(nèi)容數(shù)據(jù)存儲的區(qū)域。沒有獲得您的明確同意或者其他法律義務(wù)要求時，華為云不會將您的內(nèi)容數(shù)據(jù)轉(zhuǎn)移到其他區(qū)域。您若有將內(nèi)容數(shù)據(jù)進(jìn)行跨境轉(zhuǎn)移的需求，且需華為云協(xié)助時，可聯(lián)系和授權(quán)華為云，華為云根據(jù)您的授權(quán)對數(shù)據(jù)進(jìn)行轉(zhuǎn)移。
● 對于個人數(shù)據(jù)：華為云通過遍布全球的資源和服務(wù)器為您提供產(chǎn)品與服務(wù)，收集您的個人數(shù)據(jù)可能存儲在華為云及其關(guān)聯(lián)公司、服務(wù)提供商/分包商所在的國家/地區(qū)。這意味著，您的個人數(shù)據(jù)可能會被轉(zhuǎn)移到您使用的產(chǎn)品或服務(wù)所在的國家/地區(qū)以外的其他司法管轄區(qū)，或者受到來自這些司法管轄區(qū)的訪問。
此類個人數(shù)據(jù)存儲地的司法管轄區(qū)可能采用保護(hù)程度不一的個人數(shù)據(jù)保護(hù)法律，甚至未訂立相關(guān)法律。華為云會確保您的個人數(shù)據(jù)得到適用的法律法規(guī)和《隱私政策聲明》的保護(hù)。對于中國大陸的用戶，您的個人數(shù)據(jù)將被存儲于中國大陸境內(nèi)的服務(wù)器。
如果我的企業(yè)要實現(xiàn)業(yè)務(wù)上云，我應(yīng)該如何做才能保障其安全性？
在云服務(wù)模式下，華為云致力于保障其提供的IaaS、PaaS和SaaS各類云服務(wù)自身的安全及基礎(chǔ)設(shè)施安全。但企業(yè)的云安全保障不能完全依賴于云服務(wù)提供商， 作為客戶，您需要基于業(yè)務(wù)需求合理使用和配置云服務(wù)能力以自建安全能力和安全防護(hù)體系，從而構(gòu)建完整的云上安全體系。
云上安全體系的構(gòu)建不僅依托于云服務(wù)提供商的安全能力，同時也需要您在上云遷移階段的關(guān)鍵節(jié)點采取相應(yīng)的安全措施。
華為云以企業(yè)上云遷移流程為基準(zhǔn)，基于多年在企業(yè)業(yè)務(wù)上云實踐中的經(jīng)驗，吸收業(yè)界的優(yōu)秀經(jīng)驗，識別上云遷移流程中建立安全體系的關(guān)鍵節(jié)點，并總結(jié)了實踐步驟，幫助您在上云過程中實現(xiàn)上云安全建設(shè)。
您可以通過華為云《企業(yè)上云安全白皮書》詳細(xì)了解上云安全建設(shè)過程中您具體需要做什么以及如何做。此外，您也可以查看華為云的上云安全建設(shè)實踐以了解有哪些服務(wù)和方案可以幫助您快速實現(xiàn)業(yè)務(wù)安全上云。
除了云自身的安全保障，我還可以選擇哪些安全服務(wù)提高云上業(yè)務(wù)的安全性？
華為云基于多年安全經(jīng)驗，以數(shù)據(jù)安全為核心，開發(fā)了一系列多維立體、縱深防御的軟硬一體化的安全服務(wù)。
您可以在安全服務(wù)頁面找到幫助您管理系統(tǒng)安全態(tài)勢的產(chǎn)品，如安全云腦SecMaster；您也可以找到如企業(yè)主機(jī)安全HSS、云防火墻CFW等保護(hù)您云中負(fù)載和應(yīng)用服務(wù)的產(chǎn)品。此外為了保護(hù)您的云上數(shù)據(jù)資產(chǎn)，華為云研發(fā)了非常多的數(shù)據(jù)安全產(chǎn)品，如數(shù)據(jù)安全中心DSC、數(shù)據(jù)加密服務(wù)DEW、數(shù)據(jù)湖治理中心DGC等。在協(xié)助您實現(xiàn)安全合規(guī)方面，華為云提供了如管理檢測與響應(yīng)MDR、等保安全解決方案等服務(wù)。
通過這些安全產(chǎn)品和安全解決方案的加持，結(jié)合華為云自身的安全保障，您可以快速構(gòu)建一個完整的云上安全體系。
在運(yùn)維運(yùn)營階段，華為云有哪些優(yōu)秀實踐或產(chǎn)品可以幫助我？
在DevOps/DevSecOps云服務(wù)流程中，運(yùn)維運(yùn)營與研發(fā)同等重要。華為云對運(yùn)維運(yùn)營尤為重視，在運(yùn)維安全、漏洞管理、安全事件管理和業(yè)務(wù)連續(xù)性與災(zāi)難恢復(fù)管理等方面均有諸多具體實踐。以運(yùn)維接入為例，華為云通過數(shù)據(jù)中心部署的VPN和堡壘機(jī)，實現(xiàn)運(yùn)維管理平臺的統(tǒng)一運(yùn)維管理和審計，并根據(jù)具體場景設(shè)置了不同的安全管控措施。您可以通過《華為云安全白皮書》的“運(yùn)維運(yùn)營安全”章節(jié)獲取更多信息。
另一方面，華為云基于經(jīng)驗和實踐開發(fā)了各種運(yùn)維，并開設(shè)相關(guān)的賦能培訓(xùn)課程，幫助您實現(xiàn)運(yùn)維安全和運(yùn)維智能化。針對運(yùn)維場景的產(chǎn)品推薦，您可以訪問運(yùn)維運(yùn)營安全頁面進(jìn)行了解。
如果我云上的業(yè)務(wù)要滿足安全合規(guī)，我需要做什么？
在云服務(wù)模式下，云服務(wù)提供商（CSP）和云客戶基于責(zé)任共擔(dān)模型進(jìn)行安全合規(guī)云環(huán)境的構(gòu)建。即華為云負(fù)責(zé)云服務(wù)自身的安全合規(guī)遵從，您和您的企業(yè)負(fù)責(zé)云服務(wù)內(nèi)部的安全合規(guī)遵從。
華為云關(guān)注內(nèi)外部合規(guī)要求的變化，遵從華為云服務(wù)自身適用的法律法規(guī)，開展所服務(wù)行業(yè)的安全標(biāo)準(zhǔn)評估，并且向您分享華為云的合規(guī)實踐，保持應(yīng)有的透明度。
作為云客戶，對于您企業(yè)自行部署于華為云上、不屬于華為云提供的各項應(yīng)用和服務(wù)，您需負(fù)責(zé)遵從其適用的法律法規(guī)，并自行開展所服務(wù)行業(yè)的安全標(biāo)準(zhǔn)評估。
關(guān)于華為云已通過的認(rèn)證、遵從的法律法規(guī)以及合規(guī)實踐指導(dǎo)，您可以訪問合規(guī)中心以及安全合規(guī)相關(guān)資源了解更多。
如果發(fā)生了安全事件，我將如何從華為云獲得通知？
華為云會遵循相關(guān)法律法規(guī)，在規(guī)定時間內(nèi)以郵件或短信的方式通知您，有效降低安全事件對您業(yè)務(wù)的影響。此外，華為云還會通過安全公告頁面向您展示最新的安全事件，漏洞相關(guān)的資訊。
華為云會進(jìn)行哪些安全測試活動以保障云服務(wù)是安全的？
華為云服務(wù)在開發(fā)編碼階段，就引入了靜態(tài)代碼掃描工具對代碼每日檢查，所有云產(chǎn)品、云服務(wù)在發(fā)布前，均需完成靜態(tài)代碼掃描的告警清零。
所有云服務(wù)發(fā)布前都經(jīng)過了多輪安全測試，測試內(nèi)容包括但不限于接口安全測試，代碼掃描，漏洞掃描，滲透測試。
服務(wù)上線后，華為云的安全運(yùn)維團(tuán)隊也會通過定期的漏洞掃描、滲透測試等方式進(jìn)行安全測試活動以保障產(chǎn)品的安全，并極大程度降低您數(shù)據(jù)的泄露風(fēng)險。
華為云提供了客戶在華為云上執(zhí)行滲透測試的規(guī)則，幫助客戶有效評估所購買華為云服務(wù)的安全性。
我如何上報安全漏洞？
當(dāng)您發(fā)現(xiàn)華為云服務(wù)網(wǎng)站及產(chǎn)品服務(wù)的任何安全漏洞，或者懷疑華為云服務(wù)資源正被用于可疑活動，請發(fā)送電子郵件至hwssecurity@huaweicloud.com報告事件。為了更高效的回復(fù)您的報告，請在郵件中提供必要的支持資料（漏洞復(fù)現(xiàn)條件、驗證代碼、從事可疑活動的資源IP、可疑行為日志等），這些資料對于幫助我們了解漏洞和可疑活動的嚴(yán)重性非常有幫助。華為云服務(wù)將跟蹤回復(fù)每一個反饋報告。在您初次反饋后的 1個工作日內(nèi)，您將收到一封我們的確認(rèn)郵件。
除了華為云的郵箱反饋渠道外，PSIRT（華為產(chǎn)品安全事件響應(yīng)團(tuán)隊）在華為官網(wǎng)公開了漏洞收集郵箱psirt@huawei.com及漏洞獎勵計劃，鼓勵全球漏洞協(xié)調(diào)組織、供應(yīng)商、安全公司、組織、安全研究者和華為員工等提交華為產(chǎn)品或解決方案的漏洞。
