Mettre en œuvre la protection des données à chaque étape d’utilisation
Les données statiques, les liens de transmission et les clés de chiffrement doivent être gérés ensemble. Nous planifions les modalités de chiffrement, de contrôle d'accès et de sauvegarde en fonction de produits et de scénarios de déploiement spécifiques, et clarifions les limites de responsabilité, les exigences de configuration et les mécanismes de récupération dès la livraison. Les capacités spécifiques de chiffrement sont soumises à la documentation technique du service correspondant.
Données au repos
La protection des données au repos peut employer des technologies telles qu’AES-256, associées à la gestion des clés, au contrôle d’accès et aux sauvegardes selon le périmètre du déploiement.
Données en transit
La protection du transport utilise des protocoles tels que TLS et IPsec configurés par le service. La spécification actuelle de TLS 1.3 fait référence à RFC 9846 ; la version du protocole, la suite d'algorithmes et la configuration du certificat sont soumises au point final réel et aux documents techniques.
Clés de chiffrement
Les clés et autres secrets doivent être gérés conformément aux autorisations, à un accès restreint et organisés pour le stockage, la rotation et la récupération conformément aux accords de service. Les clés gérées par le client et celles gérées par le service doivent respectivement avoir un contrôle et des responsabilités clairs.
Principes de traitement des demandes de données
Lorsque des gouvernements ou d'autres agences font des demandes de données, nous examinons l'identité de la partie requérante, la base juridique, la juridiction et la portée de la demande. Dans la mesure permise par la loi applicable, la priorité est donnée à l'obligation pour les parties requérantes de demander des informations directement aux clients et de limiter la divulgation à ce qui est licite et nécessaire. Demander des éclaircissements ou soulever des objections juridiques à des demandes insuffisamment fondées, peu claires dans leur portée ou trop larges.
Nos engagements :
- 1. Ne fournissez pas de portes dérobées générales ou de clés principales dans le but de contourner l'authentification et le contrôle d'accès normaux. Les demandes du gouvernement ou des forces de l’ordre sont sujettes à un examen au cas par cas dans le cadre des procédures légales applicables.
- 2. Améliorer continuellement les processus de divulgation d'informations, de contrôle d'accès et de réponse, et promouvoir un traitement des données transparent et traçable.
- 3. Examiner l'identité, l'autorité, la base juridique et la nécessité des demandes de données ; ne fournissent pas un accès illimité aux données des clients. Lorsque la loi le permet et que cela est raisonnablement possible, adresser les demandes aux clients et gérer les litiges conformément au contrat et aux procédures applicables.
En cas de demande des autorités :Après avoir reçu une demande valide impliquant des données client, informez-en rapidement le client dans la mesure permise par la loi et raisonnablement possible, en expliquant la nature de la demande et le contenu qui peut être divulgué. Aucune divulgation pertinente ne sera faite sans instructions du client ou base juridique valable ; lorsque la divulgation est requise par la loi, la portée sera limitée aux informations nécessaires.
Principes de transparenceNous accordons de l’importance à la transparence du traitement des demandes de données et publions les informations agrégées appropriées lorsque la loi le permet, tout en protégeant la vie privée, les secrets commerciaux et la confidentialité légale des enquêtes.
Établissez une confiance à long terme avec des normes claires
Cloudlung adapte la gouvernance de la sécurité, la protection des données et les responsabilités de service aux lieux d’activité, aux données et au périmètre de déploiement. Les normes internationales et les règles applicables guident les mesures techniques et organisationnelles. Les certifications, les évaluations et les responsabilités sont définies par les certificats, les documents techniques et les contrats correspondants.
Normes de sécurité et cadres d’évaluationCette section présente les principales normes et cadres d’évaluation du cloud, de la vie privée et des applications cryptographiques. Les exigences sont choisies selon l’usage, le périmètre du système et le lieu de déploiement. Les certifications et autorisations sont délimitées par les certificats, les registres officiels et les documents techniques correspondants.
Sélectionner les normes applicables selon les scénariosLes systèmes de management, la sécurité du cloud, les données personnelles, les modules cryptographiques et les autorisations sectorielles couvrent des périmètres différents. L’usage détermine les objectifs d’évaluation, le champ de mise en œuvre et les exigences de livraison.
Référence standard des produits et services
FIPS 140-3 · Vérification du module de mot de passe
FIPS 140-3 est la norme actuelle du programme de validation des modules cryptographiques (CMVP), mené par le NIST et le Centre canadien pour la cybersécurité. Elle définit quatre niveaux, dont le niveau 4 est le plus élevé. La validation couvre un module, une version et un environnement précis. Les validations FIPS 140-2 figurent sur la liste historique depuis le 22 septembre 2026 ; leur usage dans les systèmes existants dépend des politiques applicables.ITAR · Règlement sur le contrôle du commerce de la défense
ITAR est une réglementation américaine sur le contrôle du commerce de la défense dans 22 CFR Parts 120-130, administrée par le Bureau of Defence Trade Controls du Département d'État des États-Unis. Cela implique le contrôle des exportations d’articles, de données techniques et de services spécifiques à la défense. Il ne s’agit pas d’une certification générale de sécurité du cloud et on ne peut pas non plus prétendre qu’elle répond à toutes les exigences simplement parce qu’elle utilise une certaine technologie.FedRAMP · Évaluation et autorisation des services cloud
FedRAMP fournit un cadre d'évaluation de la sécurité, d'autorisation et de surveillance continue pour l'utilisation des services cloud par les agences fédérales américaines. Le statut correspondant correspond au service cloud spécifique et à ses limites d'autorisation, et doit être soumis aux enregistrements actuels et aux documents applicables sur le marché officiel.FIPS 199 traite de la catégorisation de sécurité des informations et systèmes ; NIST SP 800-53 fournit un catalogue de contrôles de sécurité et de confidentialité. Le statut FedRAMP concerne un service cloud et un périmètre d’autorisation précis, définis par le dossier correspondant.
DoD · Exigences de sécurité cloud spécifiques à la mission
Les exigences cloud du département américain de la Défense distinguent des niveaux d’impact selon la sensibilité des données et la mission. IL2 et IL5 s’appliquent à des situations déterminées ; les projets évaluent le périmètre du service, l’autorisation et les exigences du responsable de mission.GB/T 39786-2021 · Demande de mot de passe du système d'information
Cette norme nationale en vigueur définit les exigences cryptographiques selon le niveau de sécurité du système : environnement physique, réseaux, équipements, calcul, applications, données et gestion. Elle guide la conception, la mise en œuvre et l’évaluation des applications cryptographiques.Produits cryptographiques commerciaux et protocoles réseau
Pour la version actuelle relative au réseau et à la passerelle, reportez-vous à : GM/T 0022-2023 « Spécifications techniques VPN IPSec ». Les domaines techniques suivants et les versions alternatives vérifiées sont répertoriés ci-dessous. Les exigences applicables sont soumises à l'annonce de l'Administration nationale de cryptozoologie, aux produits spécifiques et à la portée de l'évaluation :
GM/T 0023-2023 · Spécifications du produit de la passerelle VPN IPSecGM/T 0024-2023 · Spécifications techniques du VPN SSL
GM/T 0025-2023 · Spécifications du produit de la passerelle VPN SSL
GM/T 0026-2023 · Spécifications du produit de la passerelle d'authentification de sécurité
Clé de mot de passe intelligente : évaluée selon les spécifications du produit applicables et les exigences de l'interface d'application de mot de passe GM/T 0016-2023.
GM/T 0028-2024 · Exigences de sécurité pour les modules cryptographiques
Serveur de vérification de signature : vérifiez les spécifications applicables et les matériaux de test en fonction des limites spécifiques du produit.
Machine cryptographique du serveur : vérifiez le modèle du produit, la certification valide et l'environnement d'exploitation réel.
Signature électronique : Distinguer technologie cryptographique, interface applicative et effet juridique. L'interface fait référence à GM/T 0131-2023.
Autorisation et contrôle d'accès : concevez et vérifiez par identité, rôle, moindre privilège et exigences d'audit.
GM/T 0033-2023 · Spécification de l'interface d'horodatage
Système d'authentification de certificat : vérifié selon l'algorithme SM2 applicable, le format de certificat numérique et les exigences du protocole.
Système d'identification par radiofréquence : sélectionnez les exigences de mot de passe applicables en fonction des étiquettes, des dispositifs de lecture et d'écriture et des environnements d'application.
Accès par carte sans contact : combinaison de médias, de gestion des clés et d'évaluation de la portée de l'intégration du système.
Tests du système de certification de certificat : vérifiez les spécifications de test et les rapports de test applicables.
Gestion des clés d’authentification des certificats : vérifiez la gestion du cycle de vie des clés et la portée de détection.
Détection de mot de passe et interopérabilité
Les éditions suivantes, mises à jour par l’annonce no 50 de l’Administration nationale de la cryptographie, s’appliquent depuis le 1er juillet 2025 aux essais de sécurité et aux évaluations d’interopérabilité correspondants :
GM/T 0039-2024·Exigences de tests de sécurité pour les modules cryptographiquesGM/T 0040-2024 · Spécification de détection de mot de passe du module d'étiquette RFID
GM/T 0041-2024 · Spécifications de détection de mot de passe de carte IC intelligente
Protocole de sécurité de mot de passe ternaire peer-to-peer : vérifiez les spécifications de test applicables et la portée des rapports en fonction du protocole spécifique.
GM/T 0043-2024 · Spécification de détection d'interopérabilité des certificats numériques
Références normatives actuelles
Versions des normes mises à jour le 18 octobre 2026.
Le management de la sécurité, la sécurité du cloud et la protection de la vie privée ont chacun leur objet. Les mesures techniques et organisationnelles relient les normes aux usages concrets.
ISO/IEC 27001:2022 (y compris Amd 1:2024) · Système de gestion de la sécurité de l'information
Un cadre de gestion de la sécurité de l’information fondé sur les risques, les responsabilités et l’amélioration continue.
Afficher les informations sur les normes officielles ↗ISO/IEC 27017:2026 · Contrôle de la sécurité des services cloud
Des mesures propres au cloud pour préciser les responsabilités de sécurité des clients et des fournisseurs.
Afficher les informations sur les normes officielles ↗ISO/IEC 27018:2025 · Protection des informations personnelles dans le cloud public
Des lignes directrices de protection des données personnelles pour les services de cloud public agissant comme sous-traitants.
Afficher les informations sur les normes officielles ↗ISO/IEC 27701:2025 · Système de gestion des informations confidentielles
Un système de management de la vie privée couvrant la gouvernance, la responsabilité et l’amélioration continue.
Afficher les informations sur les normes officielles ↗TLS 1.3 · RFC 9846
TLS 1.3 protège les données en transit au niveau du protocole. La sécurité dépend aussi des certificats, des suites cryptographiques et du déploiement des points de terminaison.
Afficher les informations sur les normes officielles ↗FIPS 203 / 204 / 205 · Norme de cryptographie post-quantique
ML-KEM, ML-DSA et SLH-DSA concernent l’encapsulation de clés et les signatures numériques, et servent de référence pour la migration cryptographique à long terme et le choix des technologies.
Afficher les informations sur les normes officielles ↗GB/T 22239-2019 · Exigences de base pour la protection du niveau de sécurité du réseau
La protection graduée de la cybersécurité s’organise par système d’information, avec classification, enregistrement, mise à niveau et évaluation, pour des mesures adaptées à son niveau.
Afficher les informations sur les normes officielles ↗Niveau de disponibilité IV · Référence du niveau de tolérance aux pannes du centre de données
Tier IV est le niveau le plus élevé des quatre niveaux Uptime et met l’accent sur la tolérance aux pannes. Les certifications de conception, d’installation construite et d’exploitation ont des périmètres distincts ; le niveau d’un site correspond à son certificat.
Afficher les informations sur les normes officielles ↗