如何進行云計算安全性評估與戰略制定

云計算使得商業或消費類IT服務能夠通過互聯網，以一種靈活地，成本較低的方式。無論用戶使用什么設備在什么地點，進程，應用以及服務都能夠快速部署和擴展。因此，云計算可以幫助各類組織提供服務水平，更好地進行IT管理，更好滿足內部不斷變化的對IT支持的需求。此外，云計算還可以同時支持核心業務的要求，為業務創新創造條件。

目前采用的云計算模式有公共云模式，私有云模式以及兩種模式共存的混合模式。公有云模式下，任何人通過互聯網，都可以按需購買或者按固定費用租用服務。私有云是某個組織擁有并使用。它提供了與公有云一樣的很多便利，同時使所有者有更大的靈活性和控制力。

云計算的好處是顯而易見的。而在云計算實施中的安全性問題也必須重視。采用云計算方式而忽略安全性無疑會使整個IT設施暴露于風險之下。云計算導致了新一個層面的風險。由于云計算模式下，大量服務外包給第三方，使得保證數據真實性和隱私性，數據和服務的可靠性，以及保證合規性方面變得更加困難。盡管IT服務已經轉移到云端，用戶依然需要保證合規性以及數據安全。因此，用戶必須與他們的云計算合作伙伴之間建立信任關系，理解公共云或者私有云環境帶來的風險。

云計算帶來的安全挑戰

云計算安全與傳統IT安全最重要的不同之一來自于大規模的基礎設施共享。來自于不同公司，不同安全信任水平的人員長期共享同一套計算資源。對于公有云服務由一大批服務商所提供，數據存儲和處理都在外部環境中完成。

就算在云內部，也很難具體定位數據的存儲位置。傳統的可見安全過程被抽象層所屏蔽。這種不可見性會導致數據安全，服務可靠性，合規性，SLA保障以及整體安全管理的一系列問題。

安全過程的可見性對于合規要求尤其重要，無論是薩班斯法案，美國的醫療保險責任法案（HIPAA）歐盟關于隱私方面的法律，以及其他很多國家的法律都對系統的可審計性提出要求。而很多公共云對于用戶來說就是一個黑盒子，這樣的話，用戶很難證明自身系統的合規性。（私有云和混合云模式通過一定程度的配置，可以滿足這類合規性的要求）。

此外，云服務商會被要求提供第三方審計功能，或者提供對電子取證的支持。這樣就使的安全的可見性變得尤其重要。如果數據沒有被正確的隔離，那么對某個用戶的數據取證可能會影響到其他用戶的數據安全。這就意味著，一些敏感數據不適合存放在云環境中。

考慮采用云服務的組織必須理解云服務相關的風險以及保持安全可見性的重要。對于云安全的實施，可以重點從以下幾個方面入手：

●建立安全程序●保護數據安全●強化訪問與鑒權●應用的配置與解除●審計管理●漏洞管理●測試與驗證由于云服務有多種不同的模式，每一種模式對應了不同級別的安全管理。引入可信的第三方可能可以幫助企業或組織根據他們的商業要求，采用適合他們的最好的云安全方案。

制訂云安全戰略

在云安全方面，沒有一個放之四海皆準的模式。因為不同的企業或組織有不同的業務需要轉型云服務或者通過云提供服務，這樣就產生了不同的安全管理的需求。在云計算戰略規劃時，需要認真評估云計算模式的風險。

以下是第三方安全服務所采用的云計算風險評估的框架：

定義商業和IT戰略

進行云計算風險評估的第一步就是分析商業和IT戰略。通過云進行存儲，訪問和傳輸的數據的價值有多大是不是商業的敏感或者保密數據，有沒有合規性的要求，同時，也需要考慮數據的可用性的要求。通過對商業IT戰略以及數據的分析，才能進行風險評估，確定采用何種云計算模式。

分析風險

每一種云計算模式（公有云，私有云或者混合模式）都有不同級別的IT安全風險。需要針對不同的模式，分析漏洞和威脅的風險。設計安全機制來控制風險，并且要設計維護和測試的過程來保證系統運行后的風險控制。

制訂云安全計劃

需要制訂一個云安全戰略計劃的路線圖。確定需要轉型云計算的業務或者應用，以及所需要的法律，法規以及安全方面的要求。需要計劃好對風險的控制。包括對鑒權和訪問控制管理，以及如何在安全控制方面平衡服務商與用戶之間的關系等等。（編選：中國電子商務研究中心）