随着中国企业加速全球化布局，企业出海正在从“业务先行”走向“业务、数据、治理和合规同步落地”。海外业务对企业的云基础设施提出了更高的要求：既要支撑多区域、多业务形态的稳定运行，也要满足海外安全与合规框架对数据保护、访问控制、网络隔离、业务连续性和可审计性的要求。
针对这一趋势，SmartX 发布《以 SmartX 榫卯企业云平台构建可安全“出海”的云基础设施》白皮书，为企业构建可安全“出海”的基础设施提供可落地的建设思路。核心内容包括：
- 解读业务出海对企业 IT 基础设施带来的安全合规要求。
- 基于合规要求与实践经验，梳理云基础设施的六维安全框架。
- 解读 SmartX 榫卯企业云平台如何基于六维安全框架构建云基础设施安全体系。
- 解读 SmartX 榫卯企业云平台如何满足 GDPR、ISO 27001、NIST CSF 等主流海外安全框架要求。
海外安全与合规框架正在把基础设施安全能力前置
GDPR、ISO/IEC 27001、NIST Cybersecurity Framework 虽然适用范围、法律效力和实施方式不同，但在 IT 基础设施层面形成了较一致的安全要求：企业需要知道数据和资产在哪里、谁可以访问、如何隔离和保护、异常如何发现、故障和攻击后如何恢复，以及这些控制措施能否被持续验证和审计。
- GDPR（通用数据保护条例）：适用于欧盟境内数据主体的个人数据处理，企业需要围绕个人数据处理建立风险适配的技术和组织措施，包括加密、假名化、访问控制、持续保障系统机密性 / 完整性 / 可用性 / 韧性、故障后及时恢复数据可用性，以及定期测试和评估安全措施有效性。
- ISO/IEC 27001（信息安全管理体系）：常作为信息安全管理成熟度依据，要求企业建立以风险评估和风险处置为核心的信息安全管理体系，支持资产识别、权限管理、日志审计、配置管理、备份恢复、供应商管理和变更管理等控制措施持续落地。
- NIST CSF（网络安全框架）：常用于企业构建网络安全治理、风险沟通和能力评估体系，适用于跨国经营中的安全成熟度建设；要求企业将治理、资产识别、防护、检测、响应和恢复贯穿基础设施生命周期。
六大维度，构建安全的云基础设施
基于业界主流安全合规框架要求和实际部署经验，我们梳理出云基础设施的六维安全框架及其具体能力要求。
| 维度 | 说明 |
| 安全访问架构
（IAM） |
身份与访问管理（Identity and Access Management）是零信任的基础，主要包括身份管理、访问权限控制和凭据安全三类能力；这一层通过验证每个用户和服务，阻止因凭据泄露导致的未授权访问。 |
| 零信任网络安全 | 使用软件定义的微隔离（Software-Defined Micro-Segmentation）和零信任策略执行能力保护云中的网络层，防止横向移动；这是防御内部横向移动的主要手段，也是满足 PCI 等严格合规隔离要求的基础。 |
| 数据保护与数据安全 | 该维度关注数据机密性、完整性与可用性，包括静态数据加密、密钥管理、不可变快照/备份，以及面向勒索攻击的数据恢复能力；通过加密保障数据机密性，并通过不可变备份提升恢复确定性。 |
| 平台与主机加固 | 重点保护 Hypervisor 和底层主机操作系统免受漏洞影响，实施最小权限，并执行严格的配置基线（如 CIS）；通过保护基础设施的信任根基，防止可能影响所有工作负载的关键性失陷。 |
| 持续安全与合规 | 确保安全状态持续可见、安全策略持续执行，并保留可追溯证据；将合规从阶段性检查清单转变为持续安全态势，简化外部审计，降低监管风险，并为事件响应提供快速取证数据。 |
| 运营安全与治理 | 确保安全流程可自动化、可重复执行，覆盖配置变更、安全事件响应和业务连续性管理等关键环节；通过经过测试的 DR 策略保障业务连续性。 |
SmartX 榫卯企业云平台：对齐六维框架，保障云平台安全
SmartX 榫卯企业云平台以软件定义的网络与安全组件 Everoute、SMTX 备份与容灾、SMTX Kubernetes 服务（SKS）等组件能力为基础，围绕六维安全框架构建云基础设施安全体系，覆盖身份、网络、数据、工作负载、合规态势和运营流程。通过内置零信任原则、自动化加固、持续合规和治理能力，平台能够帮助企业在传统虚拟化、容器、AI 等各类环境中安全运行业务系统并满足合规要求。部分能力包括：
| 条目 | SmartX 榫卯企业云平台能力 |
| 安全访问架构（IAM） | |
| SSO/OIDC | CloudTower 支持将 Thales SafeNet Trusted Access（STA）、Okta、Duo 等作为 SSO 身份提供方（IdP）接入，或与 LDAP/AD 集成。 |
| MFA | CloudTower 支持基于邮件的双因素认证。 |
| RBAC | 在 CloudTower 中，可以创建自定义角色，并配置基础设施、运营，以及 Everoute、SMTX 备份与容灾、容器镜像仓库、SKS、监控与维护、升级中心、文件存储等模块/能力的操作权限。 |
| 零信任网络安全 | |
| 防火墙 | Everoute 分布式防火墙支持在虚拟机级别执行微隔离策略。Everoute 可基于 VM 标签、IP 范围、无类别域间路由网段等条件，自动将工作负载分配到安全组并应用策略。 |
| 面向虚拟机和容器的统一安全策略 | Everoute 为虚拟化环境和 Kubernetes 环境（SKS）中的工作负载提供分布式安全策略的统一管理与执行能力。 |
| 流量可视化 | CloudTower 可观测平台的流量可视化功能可与 Everoute 分布式防火墙配合，用于安全策略观测和审计。管理员可以监控策略动作，图形化拓扑可清晰展示哪些未授权端点正在尝试连接受保护对象。 |
| 数据保护与数据安全 | |
| 静态数据加密（DaRE） | 平台支持通过符合 FIPS 140-2 要求的加密机制保护数据，帮助满足 PCI-DSS、HIPAA 等安全与监管要求。支持与第三方 KMS（Thales）集成，并提供静态数据加密能力，使用 AES-256 加密算法保护新创建的虚拟卷、NFS 文件、LUN 和文件系统。 |
| 勒索攻击防护 | 平台提供一体化勒索攻击防护方案，通过检测、隔离和恢复等环节，应对勒索攻击的传播与影响。
|
| 平台与主机加固 | |
| 平台加固 | SMTX OS 基于 Red Hat Enterprise Linux（RHEL）7 安全技术实施指南实现自动化合规。SMTX OS 安全加固补丁支持对平台进行快速、持续的评估和修复，帮助企业对齐相关安全基线和监管要求。 |
| 平台滚动补丁 | SmartX 升级中心可为集群中的 SMTX OS 和内核自动执行非中断式滚动升级和补丁更新。 |
| 软件供应链安全 | SKS 提供基于 Harbor 的镜像仓库，并内置针对推送到仓库的容器镜像的漏洞扫描能力。 |
| 持续安全与合规 | |
| 集中式日志 | CloudTower 可以采集并汇总集群中操作系统、SMTX OS 服务、Coredump 和节点信息相关的日志，便于查询、审计和长期保留。 |
| SIEM 集成 | CloudTower 可通过 syslog 协议将日志和告警快速导出并传输到任意第三方 SIEM 系统，使 SIEM 平台能够进行实时分析、关联和告警，从而第一时间响应威胁。 |
| 运营安全与治理 | |
| IR 工作流 | 通过 SNMP、SMTP 或 webhook 集成向 SIEM/SOAR 系统发送实时告警，支持事件响应。 |
| DR 测试 | SMTX 备份与容灾支持基于 DR 计划的非中断式 DR 回切和故障切换测试，确保恢复可靠性。 |
SmartX 榫卯企业云平台如何满足 GDPR 及其他安全法规要求
SmartX 榫卯企业云平台提供的安全体系可与 GDPR、NIST、ISO 27001 等主流国际合规框架要求对齐。这些内置能力可帮助企业加快审计准备，并进行持续治理。
GDPR（通用数据保护条例）
GDPR 对欧盟公民个人数据的处理和保护提出了严格要求。平台能够与关键 GDPR 条款对齐，帮助组织履行数据安全、事件报告和数据驻留方面的合规义务。
| GDPR 要求 | SmartX 榫卯企业云平台能力 |
| 设计与默认的数据保护（第 25 条） | 静态数据加密（DaRE）：对所有存储进行透明 AES-256 加密，确保个人数据免受未授权访问。 |
| 违规通知/事件响应（第 33、34 条） | 集中式日志与 SIEM 集成：集中式审计日志与长期保留能力和 Syslog 转发能力，可快速检测并报告安全事件。 |
| 数据驻留与跨境传输治理支持 | 超融合架构确保数据保留在指定地理边界内的本地集群节点上，为企业按业务、地区和监管要求规划数据位置提供基础设施条件，保持对存储和计算资源的完整物理控制。总体而言，企业可以基于平台构建数据机密性、完整性和访问边界方面更可控的主权私有云。 |
| 访问控制与密码技术 | RBAC、MFA 与静态数据加密：基于角色的访问控制（RBAC）、多因素认证（MFA）和静态数据加密（DaRE）共同保护数据机密性。 |
NIST 网络安全框架（CSF）
NIST 网络安全框架（Cybersecurity Framework，CSF）重点关注网络安全风险管理方面的要求。平台的控制能力可直接映射到 CSF 的核心功能：
| NIST CSF 功能 | SmartX 榫卯企业云平台能力 |
| 治理（Govern，GV） | 通过统一策略、权限治理、审计、告警、DR 演练和合规证据，为网络安全风险管理提供治理基础。 |
| 识别（Identify，ID） | 数据本地性与驻留：支持企业按区域、业务和合规要求规划数据位置，明确数据存放边界。 |
| 保护（Protect，PR） | 静态数据加密（DaRE）与访问控制：AES-256 加密、RBAC/MFA 等核心安全功能提供基础数据保护。 |
| 检测（Detect，DE） | 集中式日志与审计：支持集中式审计日志与长期保留并集成 SIEM，能够快速检测恶意活动和配置变更。 |
| 响应（Respond，RS） | 事件响应工作流：通过 SNMP/SMTP/webhook 的实时告警可与外部 SOAR/SIEM 平台集成，启动自动化响应流程。 |
| 恢复（Recover，RC） | 多站点容灾复制与测试：提供全面的备份与容灾保护，以及支持非中断式测试的双活数据中心方案，确保在重大事件后实现经过验证且可靠的恢复。 |
ISO/IEC 27001
ISO 27001 要求企业实施信息安全管理体系（Information Security Management System，ISMS）。平台作为其中的基础设施组件，可支持关键的附录 A 控制项，具体包括：
| ISO 27001 附录 A 控制项 | SmartX 榫卯企业云平台能力 |
| A.9 访问控制 | RBAC 和 MFA：基于最小权限原则，为控制用户和服务访问提供技术机制。 |
| A.12 运营安全 | 集中式审计日志与长期保留能力：提供所有运营活动的可验证证据，用于取证分析和合规检查。 |
| A.17 信息安全连续性 | 多站点 DR 复制与测试：全面的备份与 DR，以及支持非中断式测试的双活数据中心方案，确保在重大事件发生时能够进行可靠的恢复。 |
点击获取《以 SmartX 榫卯企业云平台构建可安全“出海”的云基础设施》白皮书。
推荐阅读：
