云安全联盟

在云计算环境下提供安全的方案

云安全联盟CSA是在2009年的RSA大会上宣布成立的。自成立后，CSA迅速获得了业界的广泛认可。

信息简介

CSA——Cloud Security Alliance

CSA和ISACA、OWASP等业界组织建立了合作关系，很多国际领袖公司成为其企业成员。

到截稿时，企业成员达到33个，名单中涵盖了国际领先的电信运营商、IT和网络设备厂商、网络安全厂商、云计算提供商等。值得注意的是，中国领先的专业安全公司绿盟科技成为中国、乃至亚太地区第一个企业成员。相信在不远的将来，企业成员中还会出现越来越多的中国知名和新兴企业机构的身影。

云安全联盟成立的目的是为了在云计算环境下提供最佳的安全方案。

发展历程

2023年9月7日，云安全联盟大中华区宣布成立“AI安全工作组”，中国电信、蚂蚁集团、华为、百度、字节跳动、西安电子科技大学、国家金融测评中心等30余家机构成为首批发起单位。该组织致力于共同解决AI技术快速发展所带来的安全难题。

STAR认证

云安全联盟作为业界权威组织，致力于在云计算环境下为业界提供最佳安全解决方案。商业标准公司BSI(英国标准协会)与云安全联盟强强联手推出STAR认证，致力于帮助企业在日趋激烈的云服务市场竞争中脱颖而出。

STAR认证是信息安全管理体系认证（ISO/IEC 27001）的增强版本，旨在应对与云安全相关的特定问题。2013年9月26日，两机构正式宣布推出STAR认证项目，BSI成为目前全球唯一可以进行STAR认证的第三方认证机构。

该项目采用中立性认证技术对云服务供应商安全性开展缜密的第三方独立评估，并充分运用ISO/IEC 27001:2005管理体系标准以及CSA云控制矩阵，帮助企业满足对安全性有特定要求的客户需求。

2015年6月15日，C-STAR发布会在广州中国赛宝实验室召开。C-STAR的发布代表着广州赛宝认证中心服务有限公司与CSA合作推出的国内首个全球认可的云安全评估服务落地中国。

C-STAR采用云计算安全的行业黄金标准----CSA发布的云控制矩阵(Cloud Control Matrix)，评估过程采用国际先进的成熟度等级评价模型，同时结合国内相关法律法规和标准要求，对云计算服务进行全方位的安全评价。

C-STAR评估将在帮助企业有效提升云计算服务安全水平、管理策略的同时，证明安全水平领先于云服务提供者行列，保持企业的云服务业务持续发展和竞争优势，维护企业的声誉、品牌和客户信任。

云安全指南

自其成立起，云安全联盟发布的云安全指南及其开发成为云计算领域令人瞩目的安全活动。2009年12月17日，云安全联盟发布了新版的《云安全指南》 v2.1，代表着云计算和安全业界对于云计算及其安全保护的认识的一次重要升级。新版安全指南有以下两大鲜明特色：

特色1：务实，贴近当前的最新的业界实践。参加编写的数十位专家横跨学术界和各主要行业，大多在美国、欧洲、亚太和中国等的第一线工作，指南的内容较为真实地反映了最新的业界最佳实践和观点，提供了非常详详细、务实的大量建议，非常容易转化为项目的检查列表等形式，方便读者参考。

特色2：技术上面明确阐述了法律、电子证据发现（D3）以及虚拟化（D13）方面的建议指南，另外对于数据的可移植性和互操作性（D6）也是新版CSA安全指南的独特之处。这些内容在ISO27001或者PCI-DSS中或者没有要求，或者很少阐述。大家知道，信息安全相关法律和信息安全技术业界的相互沟通是当前国际范围的一个趋势和热点。

例如，识别用户隐私数据和适用的法律法规符合性要求是云计算提供商的安全必修课。指南在此作出了重要的探索，将法律和电子证据发现单独列为一个域，就云服务用户在服务商选择、合约内容和签署等过程中应该注意的相关要点做了总结建议。虚拟化是云服务的基石技术，它给包括安全在内的各种IT流程提出了新课题。译者相信指南将会在迅速发展的云计算服务及其安全保护中扮演非常关键的角色，将会得到越来越多的企业、机构、个人的关注、研究和采纳，用以指导云计算的相关项目。

中文版项目将会有助于指南在中文读者中的普及并提升使用效率。大家知道，此次发布的指南新版只包含D1和其它各域的摘要，除D1之外其它各域的全文将会以白皮书的形式陆续单独发布。项目组也会继续关注后续发布，也欢迎各位同仁专家学者加入我们。应该说，指南原版的遣词造句对于英语非母语的读者来说相对复杂。和大家熟悉的ISO标准文件相比，不是很容易透彻理解。同时，由于多个开发小组共同开发，在术语的使用方面也没有做到完全一致。在翻译过程中，项目组在“信达雅”的原则下，尽量做到体现原作精髓，术语一致，符合当前大家所熟知的中文词汇用法。

对于很难找到完全准确翻译词汇时，我们保留了原版的英文作为对照、或者没有翻译。尽管如此，我们意识到翻译稿距离完全贴切地体现原版的专业含义还有相当距离，建议读者尽可能地阅读英文原版或者对照阅读。另外，在当前中文版中，文档中所有的图和表都没有来得及翻译。

项目组：

赵粮和裘晓峰翻译了前言、编者寄语和编者按

D1-云计算架构框架；

焦婷翻译了D2-治理和企业风险管理、D11-加密和密钥管理；

郭宇翻译了D3-法律与电子证据发现、D4-合规与审计、D6-可移植性和互操作性；

石屹嵘翻译了D5-信息生命周期管理

闻剑峰翻译了D7-传统安全业务连续性和灾难恢复、D8-数据中心运行、D9-应急响应通告和补救、D10-应用安全；

温劲翻译了D12-身份和访问管理；

裘晓峰翻译了D13-虚拟化。

赵粮负责总稿，裘晓峰统一审校了翻译稿。

CSA的宗旨是：提供用户和供应商对云计算必要的安全需求和保证证书的同样认识水平；促进对云计算安全最佳实践的独立研究；发起正确使用云计算和云安全解决方案的宣传和教育计划；创建有关云安全保证的问题和方针的明细表。