合规活动¶
存在许多标准活动，将极大地协助合规流程。本章概述了一些最常见的合规活动。这些活动并非 OpenStack 特有的，但是提供了相关的本书章节作为有用的参考。
信息安全管理体系 (ISMS)¶
信息安全管理体系 (ISMS) 是组织创建和维护的一套全面的策略和流程，用于管理信息资产的风险。云部署中最常见的 ISMS 是 ISO/IEC 27001/2，它为实现更严格的合规认证创建了可靠的安全控制和实践基础。该标准于 2013 年更新，以反映云计算服务的日益普及，并更加强调衡量和评估组织的 ISMS 表现。
风险评估¶
风险评估框架识别组织或服务中的风险，并指定这些风险的所有权，以及实施和缓解策略。风险适用于服务的各个领域，从技术控制到环境灾难场景和人为因素。例如，恶意内部人员。可以使用各种机制对风险进行评级。例如，可能性与影响。OpenStack 部署的风险评估可以包括控制差距。
访问和日志审查¶
需要定期进行访问和日志审查，以确保服务部署中的身份验证、授权和责任追溯。OpenStack 上这些主题的具体指导在 监控和日志记录 中进行了深入讨论。
OpenStack Identity 服务支持云审计数据联合 (CADF) 通知，为符合安全、运营和业务流程提供审计数据。有关更多信息，请参阅 Keystone 开发者文档。
备份和灾难恢复¶
灾难恢复 (DR) 和业务连续性计划 (BCP) 是 ISMS 和合规活动中的常见要求。这些计划必须定期测试并记录。在 OpenStack 中，关键领域位于管理安全域，以及任何可以识别出单点故障 (SPOF) 的地方。
安全培训¶
年度、特定角色、安全培训是几乎所有合规认证和证明的强制要求。为了优化安全培训的有效性，一种常见的方法是提供特定角色的培训，例如针对开发人员、运维人员和非技术人员。基于本加固指南的额外云安全或 OpenStack 安全培训将是理想的选择。
安全审查¶
由于 OpenStack 是一个流行的开源项目，其代码库和架构已被个人贡献者、组织和企业审查。从安全角度来看，这可能是有利的，但是安全审查的必要性仍然是服务提供商的关键考虑因素，因为部署方式各不相同，而且安全并不总是贡献者的首要关注点。全面的安全审查过程可能包括架构审查、威胁建模、源代码分析和渗透测试。可以公开找到许多技术和建议，用于进行安全审查。一个经过良好测试的示例是 Microsoft SDL，它是 Microsoft Trustworthy Computing Initiative 的一部分。
漏洞管理¶
安全更新对于任何 IaaS 部署（无论是私有还是公共）都至关重要。易受攻击的系统会扩大攻击面，并且是攻击者的明显目标。常见的扫描技术和漏洞通知服务可以帮助缓解此威胁。重要的是扫描必须经过身份验证，并且缓解策略应超出简单的外围加固。像 OpenStack 这样的多租户架构特别容易受到虚拟机监控程序漏洞的影响，这使其成为系统漏洞管理的关键部分。
数据分类¶
数据分类定义了一种对信息进行分类和处理的方法，通常是为了保护客户信息免遭意外或故意的盗窃、丢失或不当披露。最常见的是，这涉及将信息分类为敏感或非敏感，或作为个人身份信息 (PII)。根据部署的上下文，可以使用各种其他分类标准（政府、医疗保健）。基本原则是数据分类必须明确定义并投入使用。最常见的保护机制包括行业标准的加密技术。
例外处理流程¶
例外处理流程是 ISMS 的重要组成部分。当某些操作不符合组织定义的安全性策略时，必须对其进行记录。需要包含适当的理由、描述和缓解细节，并由适当的授权机构签署。OpenStack 默认配置在满足各种合规标准方面可能存在差异，未能满足合规要求的领域应记录在案，并考虑将其修复贡献给社区。
