ENISA雲認證計劃：在歐洲建立可信的雲服務

歐盟網絡安全局（ENISA）的歐盟雲服務網絡安全認證計劃（ European Union Cybersecurity Certification Scheme on Cloud Services ，EUCS）旨在通過增強和簡化雲服務的網絡安全保證，進一步改善歐盟雲服務的内部市場狀況。

EUCS候選方案草案旨在使雲服務的安全性與歐盟法規、國際标準、行業最佳實踐以及歐盟成員國中現有的認證相協調。

歐盟網絡安全局（ENISA）執行總監Juhan Lepassaar表示：“雲服務在受封鎖的歐洲公民和企業生活中起着越來越重要的作用；其安全性對于數字單一市場的運作至關重要。單一的歐洲雲認證對于實作資料在歐洲的自由流通至關重要，同時也是促進歐洲創新和競争力的重要因素。”

在2020年12月18日的ENISA網絡安全認證會議上，歐洲委員會通信網絡、内容和技術總局(DG CONNECT)的數字社會、信任和網絡安全主任Lorena Boix Alonso表示:“我們必須確定網絡安全認證遵循明智的基于風險的方法，并采用靈活的解決方案和認證方案，跟上時代的腳步，避免過時。我們需要一個清晰的路線圖，讓行業、國家當局和标準化機構提前做好準備。”

雲服務認證面臨諸多挑戰，如市場參與者的多樣性、複雜的系統和不斷演變的雲服務格局，以及成員國存在的不同方案。為了應對這些挑戰，EUCS候選方案草案呼籲在三個保障級别上實施網絡安全最佳實踐，并允許歐盟現有的國家方案進行過渡。EUCS候選方案草案是一個橫向的技術方案，旨在為整個雲供應鍊提供網絡安全保障，并為部門方案奠定良好的基礎。

更具體地說，EUCS候選方案草案：

• 是一項自發的計劃；

• 該計劃的證書将适用于整個歐盟成員國；

• 适用于各種雲服務——從基礎設施到應用程式；

• 通過定義安全需求參考集來增強對雲服務的信任;

• 涵蓋“基本”、“實質性”及“高”三個保障級别;

• 提出一種受現有國家計劃和國際标準啟發的新方法；

• 定義了歐盟國家計劃的過渡路徑；

• 頒發可續期的三年證書;

• 包括透明度要求，例如資料處理和存儲的位置。

經磋商後，EUCS候選計劃将被更新并送出給歐洲網絡安全認證組織（European Cybersecurity Certification Group ，ECCG）審查。

ENISA網絡安全認證的背景

根據2019年的《歐盟網絡安全法》（CSA），歐盟網絡安全局（ENISA）協助制定候選網絡安全認證計劃。EUCS協商是根據CSA第49（3）條建立的。

EUCS候選計劃的目前草案基于雲服務提供商認證（CSPCERT） 工作組和EUCS特設工作組的專家意見，該工作組由來自行業的人員以及來自成員國和歐洲機構的參與者組成。該草案還考慮到了歐盟的國際标準和國家認證計劃。

草案原文下載下傳位址：

https://www.enisa.europa.eu/publications/eucs-cloud-service-scheme/

（本文出自SCA安全通信聯盟，轉載請注明出處。）