馬飛 中國信息通信研究院通信標(biāo)準(zhǔn)研究所工程師

馬可 中國信息通信研究院電信設(shè)備認(rèn)證中心助理工程師

郭晨 中國信息通信研究院電信設(shè)備認(rèn)證中心助理工程師

網(wǎng)絡(luò)技術(shù)——云計(jì)算與數(shù)據(jù)中心專題

云計(jì)算安全現(xiàn)狀及我國政策思考＊

馬飛 中國信息通信研究院通信標(biāo)準(zhǔn)研究所工程師

馬可 中國信息通信研究院電信設(shè)備認(rèn)證中心助理工程師

郭晨 中國信息通信研究院電信設(shè)備認(rèn)證中心助理工程師

隨著云計(jì)算的發(fā)展，其安全問題也日益突出，已成為制約云計(jì)算發(fā)展的關(guān)鍵因素。本文探討了云計(jì)算安全問題的范疇及其特征，介紹了云計(jì)算安全的發(fā)展現(xiàn)狀，分析了我國云計(jì)算安全面臨的主要問題，并提出了我國云計(jì)算安全發(fā)展的建議。

云計(jì)算 云安全 現(xiàn)狀 政策

1 引言

云計(jì)算已經(jīng)成為當(dāng)前ICT領(lǐng)域關(guān)注的熱門話題之一，但云計(jì)算的發(fā)展也面臨著諸多關(guān)鍵性的問題，其中安全問題首當(dāng)其沖，并且隨著云計(jì)算的深入普及，安全問題也越來越突出，已成為制約云計(jì)算發(fā)展的關(guān)鍵因素。據(jù)IDC報(bào)告，超過74%的用戶認(rèn)為安全威脅是制約云計(jì)算發(fā)展的主要問題。近年來，Amazon、Google等公司的云計(jì)算服務(wù)不斷爆出各種安全事故更加劇了人們對(duì)云計(jì)算安全問題的擔(dān)憂。

2 云計(jì)算安全概述

2.1 云計(jì)算

云計(jì)算是指能夠通過網(wǎng)絡(luò)隨時(shí)、方便、按需訪問可配置的共享資源池的資源管理和使用模式，可共享的資源包括網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)、應(yīng)用、服務(wù)等，它們能通過輕量管理被快速部署和釋放。

按照服務(wù)類型，云計(jì)算服務(wù)一般可分為3類：基礎(chǔ)設(shè)施即服務(wù)（InfrastructureasaService，IaaS）、平臺(tái)即服務(wù)（Platform asaService，PaaS）和軟件即服務(wù)（Software asaService，SaaS）。

2.2 云計(jì)算安全

在云計(jì)算出現(xiàn)之后，云計(jì)算就與安全密切交織在一起，產(chǎn)業(yè)界、學(xué)術(shù)界提出了多種不同的云安全概念?？傮w來看，目前對(duì)于云安全一詞，業(yè)界還沒有明確的定義。但是，云安全可以從以下兩方面來理解：

（1）云計(jì)算本身的安全

主要針對(duì)云計(jì)算自身存在的安全隱患，研究相應(yīng)的安全防護(hù)措施和解決方案，如云計(jì)算安全體系架構(gòu)、云計(jì)算環(huán)境的數(shù)據(jù)保護(hù)、云計(jì)算應(yīng)用服務(wù)安全等。

（2）云計(jì)算在信息安全領(lǐng)域的具體應(yīng)用

主要利用云計(jì)算架構(gòu)，采用云服務(wù)模式，實(shí)現(xiàn)安全的服務(wù)化或者統(tǒng)一安全監(jiān)控管理。

本文聚焦于云計(jì)算本身的安全。

2.3 云計(jì)算安全的特征

由于云計(jì)算的資源虛擬化和服務(wù)化，與傳統(tǒng)安全相比，云計(jì)算安全具有一些新的特征：

（1）傳統(tǒng)的物理安全邊界正在消失

在傳統(tǒng)安全中，可以通過在物理和邏輯上劃分安全域的方式來定義安全邊界，但是由于云計(jì)算采用了虛擬化技術(shù)并且具有多租戶的特征，因此傳統(tǒng)的物理邊界被打破，從而使基于物理安全邊界的防護(hù)機(jī)制難以在云計(jì)算的環(huán)境中得到有效的應(yīng)用。

（2）云計(jì)算服務(wù)具有較強(qiáng)的動(dòng)態(tài)性

在云計(jì)算環(huán)境中，用戶的數(shù)量和需求不同，而且變化頻率較高。云計(jì)算服務(wù)的動(dòng)態(tài)性和移動(dòng)性，要求其安全防護(hù)也需要進(jìn)行相應(yīng)的動(dòng)態(tài)調(diào)整。

（3）云計(jì)算服務(wù)需要全生命周期的安全保障

云計(jì)算涉及服務(wù)的設(shè)計(jì)、開發(fā)和交付，需要對(duì)服務(wù)的全生命周期進(jìn)行保障，確保服務(wù)的可用性和機(jī)密性。

（4）數(shù)據(jù)安全保護(hù)在云計(jì)算環(huán)境下變得尤為重要

在云計(jì)算中用戶的數(shù)據(jù)不在本地存儲(chǔ)，數(shù)據(jù)的加密、恢復(fù)和完整性保護(hù)等安全保護(hù)手段對(duì)于用戶數(shù)據(jù)的私密性和安全性顯得更加重要。

（5）云計(jì)算服務(wù)需要第三方監(jiān)管和審計(jì)

在云計(jì)算服務(wù)模式中，云服務(wù)提供商的權(quán)利較大，導(dǎo)致用戶的權(quán)利可能受到擠壓，如何確保和維護(hù)兩者之間權(quán)益平衡，需要第三方的監(jiān)管和審計(jì)。

圖1 FedRAMP認(rèn)證程序

3 云計(jì)算安全現(xiàn)狀

3.1 各國政府對(duì)云計(jì)算安全的關(guān)注

云計(jì)算在美國和歐洲等國得到了政府的大力支持和推廣，同時(shí)云計(jì)算安全和風(fēng)險(xiǎn)問題也受到了各國政府的廣泛重視。

（1）美國

在政策法規(guī)的指導(dǎo)下，以評(píng)估、授權(quán)、監(jiān)視為監(jiān)管抓手實(shí)施云計(jì)算安全監(jiān)管。其中，最主要的評(píng)估方法是聯(lián)邦風(fēng)險(xiǎn)與授權(quán)管理計(jì)劃項(xiàng)目（FederalRisk and AuthorizationManagementProgram，F(xiàn)edRAMP）。該項(xiàng)目主要針對(duì)政府采用云服務(wù)時(shí)進(jìn)行評(píng)估，要被納入政府采購范圍的服務(wù)商必須通過該評(píng)估。

FedRAMP是美國預(yù)算管理辦公室（OMB）與美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）、美國總務(wù)管理局（GSA）、美國國家安全局、聯(lián)邦CIO委員會(huì)和美國國土安全部（DHS）聯(lián)合開展的，其認(rèn)證程序如圖1所示。

（2）歐盟

為保護(hù)云服務(wù)安全，歐盟出臺(tái)了監(jiān)管政策，并制定了相應(yīng)指南，規(guī)范服務(wù)商行為。另外，歐盟的《安全港協(xié)議》確保其他國家和地區(qū)能達(dá)到歐盟要求，并促進(jìn)數(shù)據(jù)共享，同時(shí)可以限制云服務(wù)數(shù)據(jù)跨境隨意流動(dòng)。

此外，“棱鏡門”事件后，歐盟考慮修改數(shù)據(jù)跨境流動(dòng)的規(guī)定，包括與美國之間的協(xié)定。

3.2 國內(nèi)外云計(jì)算安全標(biāo)準(zhǔn)研究及進(jìn)展

目前，各國政府、標(biāo)準(zhǔn)組織等正在積極著手云計(jì)算安全標(biāo)準(zhǔn)研究、制定工作。國內(nèi)外云計(jì)算安全標(biāo)準(zhǔn)組織及其目前研究進(jìn)展如下：

（1）ISO/IECJTC1SC27

ISO/IEC JTC1SC27是信息安全領(lǐng)域中最具代表性的國際標(biāo)準(zhǔn)化組織，其為國際標(biāo)準(zhǔn)化組織（ISO）和國際電工委員會(huì)（IEC）的信息技術(shù)聯(lián)合技術(shù)委員會(huì)（JTC1）下專門從事信息安全標(biāo)準(zhǔn)化的分技術(shù)委員會(huì)（SC27）。SC27下設(shè)了5個(gè)工作組，包括信息安全管理體系（WG1）、密碼與安全機(jī)制（WG2）、安全評(píng)價(jià)準(zhǔn)則（WG3）、安全控制與服務(wù)（WG4）和身份管理與隱私保護(hù)技術(shù)（WG5），這些工作組的工作范圍涵蓋了信息安全管理和技術(shù)領(lǐng)域。目前，SC27已經(jīng)基本確定了云計(jì)算安全和隱私的概念體系架構(gòu)，并明確了云計(jì)算安全和隱私標(biāo)準(zhǔn)研制的3個(gè)領(lǐng)域，即信息安全管理、安全技術(shù)、身份管理和隱私技術(shù)。

（2）CSA

CSA（云安全聯(lián)盟）是在2009年的RSA信息安全大會(huì)上宣布成立的，其致力于提供云計(jì)算環(huán)境下的最佳安全解決方案。CSA的主要成果包括《云安全聯(lián)盟的云控制矩陣》、《云計(jì)算關(guān)鍵領(lǐng)域安全指南》、《身份管理和訪問控制指南》和《云計(jì)算的主要風(fēng)險(xiǎn)》。CSA目前已經(jīng)與ITU-T、ISO等標(biāo)準(zhǔn)組織建立了定期的交流機(jī)制，互相通報(bào)并吸收各自在云計(jì)算安全方面的進(jìn)展和成果。CSA所有的成果均以研究報(bào)告的形式發(fā)布，并沒有制定相應(yīng)的標(biāo)準(zhǔn)。

（3）ITU

ITU（國際電信聯(lián)盟）于2010年6月成立了ITU-T云計(jì)算焦點(diǎn)組，聚焦于云計(jì)算在電信領(lǐng)域的應(yīng)用研究，包括電信領(lǐng)域的云計(jì)算安全和管理，輸出有《云安全》報(bào)告。2011年12月，云計(jì)算焦點(diǎn)組關(guān)閉后，后續(xù)的工作已經(jīng)轉(zhuǎn)移到第十三研究組SG13（未來互聯(lián)網(wǎng)）和第十七研究組SG17（安全）。其中，SG13成立了云計(jì)算工作組，工作組負(fù)責(zé)輸出ITU-T推薦的關(guān)于云服務(wù)互操作性、云數(shù)據(jù)可移植性的相關(guān)技術(shù)標(biāo)準(zhǔn)；SG17開展了針對(duì)云計(jì)算的安全框架和需求等標(biāo)準(zhǔn)的研究工作。

（4）CCSA

CCSA（中國通信標(biāo)準(zhǔn)化協(xié)會(huì)）于2011年9月在網(wǎng)絡(luò)與信息安全技術(shù)工作委員會(huì)（TC8）的安全基礎(chǔ)工作組（WG4）下成立了云計(jì)算安全子工作組，專門負(fù)責(zé)云計(jì)算安全標(biāo)準(zhǔn)的研發(fā)工作。目前，工作組在云計(jì)算總體架構(gòu)、云中隱私和數(shù)據(jù)保護(hù)、訪問控制、基于云計(jì)算的IDC、行業(yè)云、云計(jì)算應(yīng)用安全等方面正在制定相應(yīng)的標(biāo)準(zhǔn)。

4 我國云計(jì)算安全問題分析

現(xiàn)階段，我國云計(jì)算安全方面的問題主要表現(xiàn)為：

（1）我國缺乏數(shù)據(jù)安全、個(gè)人隱私保護(hù)、知識(shí)產(chǎn)權(quán)保護(hù)、數(shù)據(jù)跨境流動(dòng)等方面的法律法規(guī)

云計(jì)算帶來的集中托管和數(shù)據(jù)跨境流動(dòng)增加了管控難度，而目前我國關(guān)于個(gè)人數(shù)據(jù)、政府及企業(yè)重要信息保護(hù)方面的法律法規(guī)存在較大的缺失，一方面影響了用戶對(duì)云計(jì)算的接受程度，另一方面也給國家的信息安全造成了一定的風(fēng)險(xiǎn)。

（2）云計(jì)算安全領(lǐng)域的關(guān)鍵技術(shù)與國外先進(jìn)水平存在較大差距

●一方面表現(xiàn)在分布式系統(tǒng)管理、面向虛擬化的核心芯片等關(guān)鍵技術(shù)領(lǐng)域仍由國外公司掌握。

●另一方面，擁有核心技術(shù)主導(dǎo)權(quán)的公司可以通過開源系統(tǒng)來影響云計(jì)算技術(shù)的發(fā)展方向，而我國企業(yè)目前掌握的技術(shù)和解決方案更多源自開源系統(tǒng)，在技術(shù)路徑、知識(shí)產(chǎn)權(quán)等方面都存在風(fēng)險(xiǎn)。

（3）云服務(wù)運(yùn)維和管理效率低下

●特權(quán)用戶如管理員的過失行為，可能造成服務(wù)中斷等嚴(yán)重后果。

●云服務(wù)的運(yùn)維層級(jí)發(fā)生了變化，原來基于物理主機(jī)的監(jiān)控不再有效，尚無法有效監(jiān)控虛擬主機(jī)是否已經(jīng)出現(xiàn)問題。

●我國云服務(wù)還處于發(fā)展初期，云服務(wù)商在管理上的漏洞較多，對(duì)運(yùn)維人員缺少針對(duì)性管理，缺少專門的機(jī)構(gòu)、崗位和管理制度等。

（4）我國云計(jì)算安全領(lǐng)域的人才匱乏

我國云計(jì)算公司的信息安全管理人員嚴(yán)重不足，雖然也有一些安全設(shè)備做防護(hù)，但是沒發(fā)揮出應(yīng)有的作用。對(duì)于安全設(shè)備上的告警，一般的IT管理人員可能不能做出正確的識(shí)別是否是安全攻擊。

5 我國云計(jì)算安全發(fā)展對(duì)策

云計(jì)算可以說是一把“雙刃劍”，其中的安全問題不容小視，否則可能無法享受其帶來的信息化便利，而且會(huì)面臨更加嚴(yán)峻的信息安全問題。因此，需要充分認(rèn)識(shí)云計(jì)算的特點(diǎn)和服務(wù)模式，制定較為完善的安全監(jiān)管要求，建設(shè)精確、精細(xì)的技術(shù)管控手段，確保云平臺(tái)的可管可控，以便更好地發(fā)揮和利用云計(jì)算，從而帶來技術(shù)上的創(chuàng)新和變革。

（1）加快推進(jìn)我國云計(jì)算安全法律法規(guī)建設(shè)

●研究制定國家、商業(yè)機(jī)構(gòu)和個(gè)人的核心數(shù)據(jù)云端管理規(guī)范，解決云計(jì)算模式下的知識(shí)產(chǎn)權(quán)、用戶隱私保護(hù)、商業(yè)保密信息等一系列問題。

●盡快建立云計(jì)算服務(wù)平臺(tái)的建設(shè)規(guī)范、運(yùn)營服務(wù)軟件的驗(yàn)收規(guī)范，建立云服務(wù)資格許可證制度，建立云計(jì)算產(chǎn)品技術(shù)準(zhǔn)入制度。

●對(duì)于涉及國家政治、經(jīng)濟(jì)、國防、社會(huì)公共安全的云計(jì)算信息系統(tǒng)的引進(jìn)和建設(shè)，應(yīng)建立行政審核機(jī)制，引導(dǎo)采用自主品牌的產(chǎn)品和技術(shù)。

（2）加強(qiáng)和完善我國云計(jì)算安全標(biāo)準(zhǔn)體系建設(shè)

●研究梳理國內(nèi)云計(jì)算應(yīng)用及標(biāo)準(zhǔn)化的需求，解決云計(jì)算的規(guī)劃設(shè)計(jì)、系統(tǒng)建設(shè)、服務(wù)運(yùn)營和質(zhì)量保障等各個(gè)環(huán)節(jié)的問題。

●標(biāo)準(zhǔn)化工作需要產(chǎn)業(yè)鏈上各方的共同參與，包括政府、行業(yè)協(xié)會(huì)、專家學(xué)者、第三方研究機(jī)構(gòu)、云計(jì)算相關(guān)軟硬件和服務(wù)提供商，以及最終用戶。

●積極參與ISO、ITU等國際標(biāo)準(zhǔn)化組織的標(biāo)準(zhǔn)研制工作，在與國際標(biāo)準(zhǔn)的交流和產(chǎn)業(yè)發(fā)展的實(shí)踐中不斷修改完善國家和行業(yè)標(biāo)準(zhǔn)，用標(biāo)準(zhǔn)指導(dǎo)國內(nèi)云計(jì)算產(chǎn)業(yè)的有序發(fā)展。

（3）加強(qiáng)我國云計(jì)算的自主知識(shí)產(chǎn)權(quán)創(chuàng)新和人才培養(yǎng)

●大力支持云計(jì)算關(guān)鍵技術(shù)的研發(fā)，加快推進(jìn)云計(jì)算軟件、硬件、中間件及網(wǎng)絡(luò)設(shè)施等資源的創(chuàng)新，提高云計(jì)算技術(shù)和產(chǎn)業(yè)的自主可控能力。

●完善培養(yǎng)人才模式，積極推進(jìn)教育培訓(xùn)，建立云計(jì)算認(rèn)證、評(píng)測及安全體系，推動(dòng)院校開設(shè)課程培育云計(jì)算人才隊(duì)伍。

1 Mell P,Grance T.The NISTDefinition of Cloud Computing. National Institute of Standards and Technology.Information Technology Laboratory.2009

2段翼真,王曉程,劉忠.云計(jì)算安全:概念,現(xiàn)狀與關(guān)鍵技術(shù).信息網(wǎng)絡(luò)安全.2012

3 FedRAMP.http://cloud.cio.gov/fedramp

4 ISO.JTC 1/SC 27 IT Security Techniques[EB/OL].http// www.iso.org/iso/iso_technical_committee?comm id=45306

5 Cloud SecurityAllianc.https://cloudsecurityalliance.org/

6 ITU-TFG-Cloud.http://www.itu.int/ITU-T/focusgroups/cloud

ThoughtsonCloudComputingSecurity PresentandPolicy

With thedevelopmentofcloud computing,itssecurity issuehasbecomeincreasinglyoutstanding,andhasbecome thekey factorof restricting thedevelopmentofcloud computing.Thispaper firstly discussesthedefinitionand characteristics of cloud computing security,then introduces thepresentdevelopmentofcloud computing security,finally analysisthemajor problemsofcloud computingsecurity inChina,andputsforward thesuggestionsofcloud computingsecurity inChina.

cloudcomputing,cloudcomputingsecurity,present,policy

2015-01-28）

云計(jì)算標(biāo)準(zhǔn)與測試驗(yàn)證北京市重點(diǎn)實(shí)驗(yàn)室項(xiàng)目資助