云安全合规与评估第06页：合规技术落地与控制实施

01 · 合规即代码（Compliance as Code）

云上资源分钟级变化决定了合规检测必须自动化。"合规即代码"将控制项表达为可执行策略：通过CSPM（云安全态势管理）、Config规则、OPA（Open Policy Agent）等工具，对资源配置做持续评估，违反即告警或自动修复。其合规价值在于：①检测记录本身即"控制有效性"的运行证据（第3页测评方法）；②策略代码纳入版本管理，控制变更可审计；③多云环境下策略可移植，支撑子课题05的策略等价性。

1.1 策略代码示例（示意）

示例：对象存储桶不得公开可读（对应等保"访问控制"与"数据保密性"控制项；OPA Rego 示意片段，需按实际环境适配）：

# 示意：禁止存储桶公开可读（Rego）
package cloudcompliance.storage

deny[msg] {
    resource := input.resource_changes[_]
    resource.type == "aws_s3_bucket_public_access_block"
    not resource.change.after.block_public_acls
    msg := "存储桶公开访问阻断未开启：违反等保访问控制与数据保密性要求"
}

deny[msg] {
    input.configuration.bucket_acl == "public-read"
    msg := "存储桶ACL为public-read：默认拒绝原则不成立"
}

02 · 日志留存六个月的技术实现

《网络安全法》第21条要求"采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月"。云上落地需解决四个技术问题：

2.1 留存范围界定

2.2 技术要点

• 集中化：多账号、多地域日志统一汇集至独立审计账号（不与业务运维同权），防篡改的第一前提是日志所有权独立于被审计对象；
• 不可篡改：对象存储锁（WORM/Object Lock）或一次写入多次读取策略；审计日志关闭删除权限；
• 时间完整性：统一NTP时间源，日志带可信时间戳；时钟漂移会破坏证据链可信度；
• 留存参数：留存期写入基线（≥180天）并纳入CSPM检测项；到期销毁亦需记录（留存≠无限期，兼顾《个保法》最小化）；
• 可检索性：六个月不是"封存"——监督检查要求按时间、按主体检索取证，需平衡归档成本与检索性能（冷热分层）。

03 · 密码应用与密评技术落地

《密码法》与GB/T 39786-2021确立的密评要求覆盖四个技术层面，云上系统各层面落地形态如下：

04 · 审计证据自动化采集

面向等保测评与云评估的"证据工程"，建议建立自动化证据管道：

05 · 身份与访问合规技术

• MFA强制：特权账号100%覆盖；根账号/主账号禁用日常使用、封存密钥；MFA覆盖率纳入KRI月度报告（第8页度量）；
• 最小权限：权限基线化（角色目录+默认拒绝）；通配符策略（*:*）零容忍检测（CSPM规则）；定期权限复核（建议季度）并留存复核记录——测评"访问控制"类核心证据；
• 短期凭证：CI/CD与人员访问全面替代长期AccessKey（OIDC联邦）；长期密钥存量清零计划；
• 账号生命周期：入职授权、转岗调整、离职回收的自动化流程与SLA；离职回收时效是测评高频核查点。

06 · 容器环境合规特例

• 日志新维度：容器日志随Pod销毁即失，必须通过节点级采集（DaemonSet/节点日志代理）+控制面审计（API审计日志）双轨留存；等保"安全审计"控制项在容器场景的等价实现（子课题02/04技术栈）；
• 镜像供应链证据：镜像签名（cosign）验证记录、SBOM存档、准入控制器拦截日志，构成"镜像与快照保护"控制项的直接证据（子课题03）；
• 弹性环境下的身份：ServiceAccount令牌短期化、绑定最小RBAC；服务账号清单与权限报告作为"身份鉴别"证据；
• Serverless：函数平台日志（调用日志+平台审计）转存客户侧，补齐"日志留存"责任面（子课题04）。

本节参考来源（第6页）