当等级保护遇到云计算——中国行业（私有）云安全能力者联盟成立

ZD至顶网安全频道 10月29日 综合消息：在中国的信息安全史上，信息安全等级保护管理办法绝对是一件大事。2007年6月，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定了《信息安全等级保护管理办法》，明确了信息安全等级保护的具体要求，为我国的信息安全明确了发展方向，有力地提升了我国整体信息安全水平。不过，近年来，随着技术的不断演进，特别是云计算的普及，越来越多的企业将其IT系统迁移到云平台上，原来的等级保护办法面临新的挑战。有人甚至怀疑，在新的技术水平之下等级保护还有用吗？

 中国工程院院士沈昌祥

“等级保护仍然是适用的。” 中国工程院院士沈昌祥在日前举行的中国首届行业（私有）云安全技术论坛暨联盟成立仪式（简称PCSF2016）上对此问题做出了明确的回答。本次会议由中国信息协会信息安全专委会和公安部信息安全等保评估中心联合主办，会议以“质由新生，信仰共造”为主题，政府、专家学者、行业代表共计700多人参加了大会。代表们就如何推动行业（私有）云安全关键技术以及标准的研究、应用和推广，以及在国家信息安全等保制度指导下，如何紧紧围绕行业用户需求及新技术特点，依托云等保标准实现等保合规的标准落地进行研讨。

毫不意外，“等级保护制度”是大会的最核心议题。沈昌祥院士在《等保制度的创新与发展》主题演讲中指出，为保护我们国家网络空间安全的等保制度是适用于新型技术条件下的信息安全保护需求的，等保制度也是科学的，是创新的。不过，在新的技术水平之下，等级保护制度也需要进行升级。

“我们的等级保护制度最早确定了从业务和系统两个维度来定级，比国外的部件定级更为科学的。我认为在云计算中等级保护定级仍然适用，要保证云环境的安全，需要在可信支撑技术和等级保护。只是原来完全由自己负责，而现在是两家负责（一个是提供计算资源的数据中心，另一个是提供应用程序的用户）。”沈昌祥院士说。

据记者了解，业界的确有了等级保护2.0时代的提法。10月10日在昆明举办的由公安部网络安全保卫局、中央网信办网络安全协调局、工信部网络安全管理局、国家密码管理局、国家保密局、中国科学院办公厅为指导单位和由公安部第三研究所主办的第五届全国信息安全等级保护技术大会上就明确提出了“等级保护制度2.0”，并宣布要共同推动等级保护关键技术的研发、应用以及解决新技术新应用安全问题，为深入推进落实国家信息安全等级保护制度发挥重要作用。

公安部信息安全等级保护评估中心副主任张宇翔介绍说，随着新技术、新应用的出现，相比于等保1.0时代安全领域的问题形势严峻了许多，工作的内容发生了变化。比如，过去传统监控对象是对信息系统，它就在自己的数据中心，如今随着云计算的流行，信息系统究竟在哪里运行变成不确定。同时，随着系统不断扩大和用户越来越广，系统从2B向2C扩展，大型互联网企业监管也纳入了等保监管对象，监管对象也发生了变化。因此才有了等保2.0的提法。

“在等级保护2.0时代，面对威胁常态化，安全合规是基础，更需要创新，现实需要大家聚合在一起，利用各方的技术成果和服务能力为行业提供有效的云安全落地解决方案。”张宇翔在演讲时表示。

实际上，更好地聚合多方力量也正是本地大会最主要的目的之一，而行业（私有）云安全能力者联盟（简称PCSA）的成立就是落地行动之一。会上，行业（私有）云安全能力者联盟（简称PCSA）正式宣布成立。主办方中国信息协会信息安全专业委员会副主任、联盟理事长吴亚非为首批联盟单位颁发了证书。

据悉，PCSA在中国信息协会信息安全专业委员会的领导下组织成立，是信息安全专业委员会的一个工作组，由信息安全专业研究机构、信息安全测评机构、IT（安全）服务商、云安全产品及服务商、云平台产品及服务商、信息安全媒体自愿结成的社会组织。联盟的宗旨是致力于云安全关键技术及标准的研究、应用和推广，为各行业（私有）云建设提供安全咨询和解决方案；在国家信息安全等级保护制度的指导下，紧紧围绕行业用户需求及新技术特点，依托国家相关工程实验室进行标准的验证和落地，通过广泛吸纳行业云关键技术领域的生态组织，融汇联盟成员智慧，同时加强对网际空间发展的跟踪研判，加强国际安全产业交流，不断提升安全研究能力、技术研发能力与落地能力，为我国重要行业的关键基础设施网络安全领域贡献力量。未来，联盟将吸纳更多能力者企业。