发布日期：2026-11-06 浏览次数：
香港金融管理局（Hong Kong Monetary Authority, HKMA）于 2026 年 1 月 8 日发布最新版《云应用实务指引》（Practice Guide on Cloud Adoption，以下简称"实务指引"），在"Fintech 2030"战略下提出强化后的指引，支持认可机构（Authorized Institutions, AI）安全、负责任地采用云技术。
鉴于云相关项目现已占香港银行须呈报技术项目的约 80%（其中三分之一至二分之一涉及关键系统），金管局最新实务指引阐明了监管原则与最佳实践，帮助认可机构在混合云与多云环境中安全地扩展云应用。
实务指引将所涵盖的云相关领域从四个扩展至八个，包括治理、安全与韧性，以协助认可机构管理风险、强化运营韧性并推动数字化转型。指引同时将相关《监管政策手册》（Supervisory Policy Manual, SPM）各模块中的既有要求，转化为与工作负载关键性相称的、可执行的、基于生命周期的指引。其"双层结构"（dual-layered）方法将高层原则与源自金管局监管及全球基准的可选良好实践相结合，取代了 2022 年的云应用通函。
我们的解决方案可帮助香港认可机构通过简化合规流程、以可见性与可控性实现安全自动化，减轻安全与合规团队的负担，从而应对实务指引在五个领域的要求。
下表按实务指引的原则编号，逐条对照具体监管要求、Thales 的应对方式及所涉产品线。
2B —— 服务提供商选择与尽职调查
实务指引要求 | Thales 如何协助 | 涉及产品线 |
"……审视云服务提供商（CSP）关键运营与数据存储所在地的法律与监管环境，以识别司法辖区或主权风险……" | 允许认可机构在香港本地的高度安全环境中保护密码系统的信任根，以满足数据主权要求；提供经 FIPS 140-3 Level 3 与 Common Criteria 验证的硬件级密码密钥运算能力，使认可机构在密码运算方面拥有强健、经独立测试的物理与逻辑保障，并保持本地控制而非依赖 CSP 的原生方案；为认可机构提供本地的数据发现、分类与保护方案，以达成"与内部标准相当"；通过在混合与多云环境中集中化加密密钥管理实现数据主权，支持"自带密钥"（BYOK）与"持有自有密钥"（HYOK）模式，使认可机构得以保持对加密密钥与数据访问的控制；集中管理加密密钥、提供细粒度访问控制并配置安全策略，以本地密钥管理方案实现跨境数据传输实践 | CipherTrust 数据安全平台 企业与云密钥管理 |
3D —— 标准与证书保证
实务指引要求 | Thales 如何协助 | 涉及产品线 |
采用经 FIPS 140 验证的虚拟密钥管理方案，在多云与混合环境中管理加密密钥、安全策略与数据保护，相较 CSP 原生方案具备更佳的控制力与可见性 | 在防篡改、经 FIPS 140-3 Level 3 验证的环境中保护密码密钥以守护密钥生命周期，为认可机构提供更强且经独立证明的密码运算保护 | 数据安全 CipherTrust 数据安全平台 密钥管理 |
4 —— 云韧性
实务指引要求 | Thales 如何协助 | 涉及产品线 |
4A —— 云韧性："……以设计实现韧性……"
| 在本地与多个 CSP 之间集中化密钥管理，使加密工作负载可在环境间迁移，同时保持一致的密钥与访问策略控制 保护以 HSM 为根的加密密钥，同时跨云区域/提供商使用，支撑具备韧性、与 CSP 无关的数据保护设计 | 数据安全 企业与云密钥管理 HSM |
4B —— 业务连续性与备份："……全面的业务连续性管理框架……"
| 管理用于本地与云存储中主备份、次备份及第三备份的加密密钥，提供安全的密钥备份/恢复与集群能力 即使 CSP 区域或原生 KMS 不可用，仍可通过集中化密钥托管恢复加密备份 | 数据安全 企业与云密钥管理 HSM |
4C —— 可移植性与互操作性："……通过将云工作负载设计为可移植，为长期灵活性做好规划……"
| 使密钥与加密策略独立于任何单一 CSP；加密数据可重新部署至其他环境，同时访问仍由中央统一治理；以云密钥管理跨 AWS、Azure、GCP、SAP 等多家云提供商编排原生/BYOK/HYOK 密钥，在各环境间提供一致的可移植密钥层 | 数据安全 企业与云密钥管理 HSM |
4D —— 退出策略："……建立可行的退出策略……确保即便某一云安排被终止，云依赖的运营仍能继续运行……"
| 借助云密钥管理，以"持有自有密钥"（HYOK）与"自带密钥"（BYOK）方式吊销、轮换或禁用密钥，使数据在原 CSP 处变为不可读，并可在新环境中重新加密保护；提供密钥生命周期事件（创建、轮换、删除）的审计轨迹，以证明安全退出、数据擦除与访问权限的退役 | 数据安全 企业与云密钥管理 |
5 —— 云安全框架
实务指引要求 | Thales 如何协助 | 涉及产品线 |
5A —— 云安全框架："……为安全架构与部署、身份与访问管理（IAM）、数据治理与保护、密码密钥管理等领域提供总体指引……以及其他相关控制……"
| 通过将加密密钥安全存储于对应云之外，对本机构数据与外部方及云服务提供商（CSP）实施职责分离；以流程与工具自动化跨云与混合环境的密钥生命周期管理；在 FIPS 140-3 Level 3 环境中保护密码密钥，提供强健且经独立验证的密码控制；支持与供应商、合作伙伴或任何第三方用户建立关系管理，明确委派访问权限；借助基于关系的细粒度授权实现权限最小化 | 数据安全 企业与云密钥管理 HSM 身份与访问管理 委派用户管理 第三方访问控制 |
5B —— 安全架构与部署："……设计并部署……以抵御攻击与未授权入侵……"
| 应用与 API 安全：提供对全部公有、私有与影子 API 的持续发现与分类能力；监控 API 活动、追踪使用情况、检测异常并识别潜在的未授权访问尝试；提供高级 API 验证能力以强化对潜在漏洞的防御；保护登录端点免遭撞库、暴力破解与账户欺诈；借助 Web 应用防火墙检测并阻断网络威胁，确保业务顺畅运行；整合机器人防护、API 安全与机器学习，抵御全部 OWASP Top 10 威胁；实现完整可见性，助您甄别出全企业范围的攻击战役；抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；以单一可弹性扩展的方案同时抵御容量型与应用层 DDoS 攻击；在混合与多云应用中部署数据保护控制以守护 DevSecOps；保护并自动化 DevOps 工具链中的密钥访问；为凭据与密钥提供 FIPS 140-2 Level 3 信任根。 | 应用安全 账户接管防护 API安全 攻击分析 机器人防护 云 Web 应用防火墙 DDoS 防护 弹性 WAF Web 应用防火墙 数据安全 云密钥管理 社区版 CipherTrust 数据安全平台 数据活动监控 数据保护网关 HSM RESTful数据保护 令牌化 Kubernetes 透明加密 |
5C —— 身份与访问管理："云管理员与密钥访问须具备强健的 IAM 与最小权限，并辅以审计。"
| 基于角色与上下文以策略限制对系统与数据的访问；基于风险评分实施上下文安全措施；在单一视图中集中化面向多个混合环境的访问策略与执行；支持持续监控以采集并分析全部数据存储活动，提供详细审计轨迹，显示何人于何时访问了哪些数据、以及对数据做了什么；为所有用户群体提供统一的访问控制策略；就所有用户对其 IT 资产、数据与服务的标识、认证与授权，提供一致且策略驱动的方法；管理全部用户，涵盖员工、承包商、客户/供应商/物流等第三方用户以及 B2B 或 B2C 类型用户 | 数据安全 数据活动监控 数据风险分析 透明加密 身份与访问管理 身份验证 多因素认证 Thales OneWelcome 身份平台 员工访问管理 |
5D —— 数据分类与保护："……依据数据的敏感性与业务重要性进行分类，并实施……数据保护措施，……其中考虑的要素包括加密、密码密钥管理、数据泄露防护与数据安全处置方式……"
| 在定义数据存储与针对不同数据集的分类档案时，为数据分类并指定具体敏感级别；识别当前合规状态并记录差距；在本地、各云平台以及大数据或容器环境中对静态数据加密；在数据源头即对敏感数据进行假名化，确保明文数据在处理或存储过程中绝不暴露给未授权应用或人员；提供高级多云自带加密（BYOE）方案，以集中化且独立的加密密钥管理实现数据可迁移，高效保护跨多家云厂商的数据；对云端与本地系统中的结构化与非结构化数据提供数据活动监控；持续监控数据访问活动，对可能使认可机构陷入风险的活动设置告警；管理加密密钥，提供细粒度访问控制并配置安全策略；集中化密钥生命周期管理，涵盖生成、轮换、销毁、导入与导出；通过从 CipherTrust Manager 中移除密钥实现安全删除，对数据的所有实例进行数字粉碎；强制执行访问控制，包括使用口令短语或密钥加密密钥——存储于 HSM 内的私钥始终保持加密，需经正确身份验证方可访问；提供针对密码操作与密钥管理活动的详细日志与审计轨迹，以满足报告要求；以单一视图跨区域统一所有云密钥管理服务，兼容云原生、BYOK 与 HYOK 密钥，并配备简洁统一的操作界面；通过将加密密钥安全存储于对应云之外，对本机构数据与外部方及 CSP 实施职责分离；支持无应用停机的自动密钥轮换，使认可机构在需要时轻松迁移至更新的密码标准；管理与保护所有秘密及敏感凭据；在 FIPS 140-3 Level 3 这一高安全环境中保护密码系统的信任根；采纳后量子敏捷性以应对量子计算带来的威胁；以高速加密保护传输中的数据；借助机密计算保护使用中的数据；以真实风险评分进行分类与优先级排序，而非依赖异常检测；支持与供应商、合作伙伴或任何第三方用户建立关系管理，明确委派访问权限；借助基于关系的细粒度授权实现权限最小化 | 应用安全 云Web 应用防火墙 数据安全 数据活动监控 数据发现与分类 数据风险分析 高速加密 HSM 云密钥管理 密钥管理 机密管理 令牌化 透明加密 身份与访问管理 委派用户管理 第三方访问控制 |
5E —— 数据驻留与监管保证："……确保在选择云存储与处理地点时，妥善处理数据驻留与监管义务，尤其针对客户数据……"
| 以单一界面支持在多云基础设施与 SaaS 应用中使用"自带密钥"（BYOK）与"持有自有密钥"（HYOK）场景；整合对云厂商 BYOK API 的支持、云密钥管理自动化以及密钥使用日志与报告，为云用户提供具备强大加密密钥生命周期控制的云密钥管理服务；为加密密钥提供严格的职责分离——认可机构得以保持对自身密钥的控制，而非将其托付给 CSP | 数据安全 云密钥管理 |
7 —— 监控与日志管理
实务指引要求 | Thales 如何协助 | 涉及产品线 |
7A —— 整合式安全监控："……对 CSP 安排的持续监控；集中化可见性与及时告警。"
| 记录对数据库系统的访问并检测数据库系统上的登录尝试；生成全系统访问事件的审计轨迹与报告，将日志流式发送至外部 SIEM 系统；通过支持多因素认证与单点登录（SSO）并展示访问日志报告来管理认证与访问控制；发现异常访问尝试时向管理员告警，管理员可快速响应；检测并精准定位针对数据的关键威胁，优先处理最重要事项，并提供可执行的洞察；支持生成全访问审计轨迹报告，以便在发生任何事件时用于审计与调查；通过 Web 应用防火墙、API 安全与数据库安全检测系统威胁，并将日志流式发送至 SIEM 系统；监控 API 活动、追踪使用情况、检测异常并识别潜在的未授权访问尝试；抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；基于风险评分实施上下文安全措施；有效管理与监控面向全企业范围系统的访问控制；标记访问异常以供安全团队调查，并与 SIEM 方案无缝集成，形成更全面的威胁与异常检测方法；记录全部用户访问与认证活动 | 应用安全 API安全 攻击分析 机器人防护 DDoS 防护 Web 应用防火墙 数据安全 数据活动监控 数据风险分析 文件活动监控 透明加密 身份与访问管理 自适应访问控制 私有云认证服务 多因素认证 基于风险的认证 SafeNet Trusted Access (STA) 单点登录 (SSO) |
7B —— 服务表现与日志管理 "……在适用情况下进行管理运营，以支持对云相关事件的及时发现、调查与审计……" | 将数以千计的安全事件关联提炼为少数几条清晰可读的事件叙述，实现对威胁的快速果断响应；实现完整可见性，助您甄别出全企业范围的攻击战役；通过 Web 应用防火墙、API 安全与数据库安全检测系统威胁，并将日志流式发送至 SIEM 系统；监控 API 活动、追踪使用情况、检测异常并识别潜在的未授权访问尝试 | 应用安全 API安全 攻击分析 云 Web 应用防火墙 |
Thales 在网络安全三大关键领域提供全面的解决方案：应用安全、数据安全，以及身份与访问管理。
应用安全：在云端、本地数据中心或混合架构下，以规模化能力保护应用与 API。其市场领先的产品套件涵盖 Web 应用防火墙（WAF）——用于抵御分布式拒绝服务（DDoS）与恶意机器人攻击、API 安全，以及安全的内容分发网络（CDN）。
数据安全：在混合 IT 环境中发现并分类敏感数据，并通过加密、令牌化与密钥管理，自动实现对静态、传输中及使用中数据的全生命周期保护。Thales 方案还能够识别、评估并排序潜在风险，为准确的风险评估提供支撑；同时识别异常行为、监控活动以发现潜在威胁并验证合规性，帮助组织确定资源投入的优先次序。
身份与访问管理：为客户、员工与合作伙伴提供无缝、安全、可信的应用与数字服务访问。方案基于角色与上下文，通过细粒度访问策略与多因素认证限制内部与外部用户的访问权限，确保正确用户在正确时间获得正确资源的访问授权。
组织可以依托 Thales 统一的平台，使用涵盖身份、应用与数据安全的完整解决方案套件，实现当下的合规并持续保持未来的合规。
揽阁信息是Thales的重要合作伙伴，如需了解更多信息，请联系揽阁信息。
揽阁信息 · 值得您信赖的信息安全顾问！
沪公网安备31011202021337号 网站地图
友情链接： Thales官网 芯片产品网站 服务热线
