等保三级与粮食信息化

文/骆景旭

等保三级与粮食信息化

文/骆景旭

“国以民为本，民以食为天”。粮食既是关系国计民生和国家经济安全的重要战略物资，也是人民群众最基本的生活资料。粮食安全与社会的和谐、政治的稳定、经济的持续发展息息相关。完善粮食应急储备体系，确保粮食市场供应，最大限度地减少紧急状态时期的粮食安全风险，是政府的职责，也是粮食安全保障体系的重要组成部分。

目前，我国正在加紧进行粮食信息化建设，根据粮食行业信息化发展“十三五”规划，我国将在“十三五”期间构建国家、省、企业三级平台架构，优先考虑运用云计算、大数据、“互联网+”等先进理念和技术，完成国家及省级粮食管理平台建设，着力做好“粮库智能化升级改造、粮食交易中心和现货批发市场电子商务信息一体化平台建设、重点粮食加工企业信息化改造、粮食应急配送中心信息化建设”，形成粮食行业信息化“1+1+4”核心体系，健全安全保密体系，落实信息安全等级保护和分级保护规定，明确数据采集、存储、加工等各环节网络安全保障的范围边界、责任主体和具体要求，为宏观调控、行政管理、公共服务和行业发展提供支撑。鉴于粮食在国计民生中的重要作用，粮食行业信息化过程中，需要满足国家信息安全等级保护制度第三级（简称等保三级）的要求。

什么是等保三级

《信息安全等级保护管理办法》规定信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度以及信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。信息系统的安全保护等级分为以下五级：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

鉴于粮食的重要作用，粮食信息化建设需要按照等保三级要求进行建设，需要通过国家等保三级测评。

等保三级要求

安全等保三级基线主要从以下几个层面进行控制：

图1 IaaS层安全体系架构

图2 PaaS层安全体系架构

粮食云的安全设计

云平台的安全同样也要遵守等保三级要求，但云平台自身架构决定了各个层级对安全的关注点和侧重点各有不同，因此平台的安全模型设计采用了分层设计准则，通过不同的安全实施细则和方案防护措施，在IaaS、PaaS、应用与服务层均能确保可控、可信、可靠、安全的业务目标。

1.IaaS层基础设施安全

IaaS层的目标是帮助粮食云构建更为安全、稳定、高效、敏捷的IDC，降低IT投资与运维成本，为服务与应用开发提供弹性可伸缩的资源。IaaS层提供网络、存储及计算功能， 在基础设施层面的安全体系如图1所示，分别从云平台操作的透明化管理、4A管理、数据备份与容灾，以及监控和安全加固方面进行安全防御，满足基础设施层的安全需求，为用户创建服务与应用提供足够安全的计算基础设施保证。（图1）

安全措施1：虚拟机透明的云平台安全高性能监控系统，在用户虚拟机执行环境底层拦截其内部发生的事件，建立面向多用户虚拟执行环境的统一监控模型，解决访问控制、监控的可控问题。

安全措施2：IaaS层4A安全管理系统主要从账号管理、认证管理、权限管理、审计管理的思路进行设计，采用“物理旁路，逻辑串联”的部署模式，解决IaaS云平台系统与供应链可信、运行与维护管理的可信问题。

安全措施3：基于云计算模式的数据备份与容灾解决云平台灾备、迁移的可靠问题。

安全措施4：基于云计算模式的业务系统安全监控与实时应急响应系统解决应急响应、风险评估与持续监控的安全问题。

安全措施5：IaaS层安全加固系统解决IaaS云平台系统与通信保护、配置管理、维护的安全问题，主要分为控制节点加固、虚拟机加固、虚拟机监视器加固和宿主机加固四个方面。

安全措施6：应用多级备份的网络基础设施，同时进行不间断的监控和管理，保证用户能够使用云资源建立来源分散的、具有容错作用的网络架构。

2.PaaS层平台资源安全

PaaS层是基于Docker容器技术建立的资源集中调配与管理平台。PaaS层平台资源的安全体系如图2所示，分别从PaaS平台透明化监控，Docker镜像仓库的4A安全管理，数据持久化，核心组件加固和数据加密保护方面进行安全防御。该层的安全体系防御，为用户提供足够安全的平台资源，使开发过程安全、健康、稳定进行。（图2）

安全措施1：PaaS层智能监控系统，能确保平台、节点、资源访问、应用运行状态全程可控。

安全措施2：PaaS层4A安全管理解决了Docker镜像仓库的权限、访问、授权、认证等机制。不同用户对于镜像仓库内的dockerfile提供不同的操作权限管理。

安全措施3：PaaS层的数据持续化旨在解决PaaS云平台的数据灾备、迁移、定时上传下载及高可用等可靠问题。

安全措施4：PaaS层的应用数据加密与数据保护系统针对应用数据进行加密，能够有效防止数据泄露，只有用户才拥有数据的控制权。

安全措施5：PaaS层核心组件安全加固系统分为Docker加固、Nginx加固、Kubernetes加固、资源池加固四个方面，确保系统核心组件的稳定可靠。

3.API/APP层应用服务创建安全

API/APP层提供服务及应用的全生命周期管理，其业务能力是基于底层的资源层PaaSOS提供的，是完整的微服务与应用自助开发门户。API/APP层应用与服务的安全体系如图3所示，APIManger和APPFactory两个模块的定位是用来管理服务和应用，为开发者提供自助服务平台，可以帮助粮食云快速获取DevOps能力。因此，安全体系从应用服务的运行状态监控与告警，服务与API的4A安全管理，以及授权与认证方面进行安全防御，保证应用能时刻安全稳定运行，具备高可用性。（图3）

安全措施1：应用与服务的智能监控，针对不同的应用与服务可以定制告警策略配置与管理，能够保证及时发现应用运行过程中出现的问题，并及时告知到相关责任人，不出现应用宕机现象。

安全措施2：应用服务层4A安全管理系统解决应用服务平台与供应链可信，以及运行与维护管理的可信问题。不管是API服务或者是APP应用的创建、运行使用或管理查看，都要经过云平台的授权。

安全措施3： API/APP层中所有服务应用的调用采用SSL加密传输，通过OAuth认证生成对API调用者身份的认证，即验证应用key和应用secret生成token和校验token的功能，防止恶意调用。

安全措施4：根据应用运行状态，动态伸缩应用实例，并可自行扩展动态伸缩策略。平台提供审批管理流程，可以对环境、数据、服务调用权限等进行审批管理。

等保三级是目前粮食云建设的标准，在设计之初，就要充分考虑如何满足等保三级要求。同时，在平台和应用设计中，要考虑在等保之上，需要做充分的安全加固，以确保系统的长期稳定运行。

从云安全的角度看，建设需要达到可控、可信、可靠和安全的目标，对于平台的安全模型设计采用分层设计准则，通过不同的安全实施细则和方案防护措施，在IaaS、PaaS、应用与服务层均能确保可控、可信、可靠、安全的业务目标。其中IaaS层是从透明云平台，4A安全管理，物理环境及业务管理，数据备份，安全监控与加固方面进行保护；PaaS层是从监控透明的PaaS平台，用户4A安全管理，数据持久化，核心组件加固和数据加密保护方面进行保护；API/APP层是从平台监控，4A安全管理，授权与认证以及应用运行状态监控方面对API/APP层应用服务安全进行保护。

安全是伴随信息系统全生命周期的话题，除了系统设计和建设阶段，在运维阶段也要随时关注和调整，不断加固以应对各种安全场景。粮食信息安全涉及国计民生，所有的设计、实施和运营方，都必须高度重视，以等保三级为基础要求，以可控、可信、可靠和安全作为长期目标，不懈努力。

图3 API/APP层安全体系架构

作者单位：怡和祥云（北京）科技有限公司