企業(yè)應用云計算技術的風險評估

朱嫻睿

［摘要］ 云計算是一種全新的商業(yè)模式，用戶能夠以更少的開銷享用更多的IT資源，這給云客戶帶來了巨大的利益。但是，從普通信息科技環(huán)境向云計算環(huán)境過渡的過程中，出現(xiàn)了許多新的安全問題，傳統(tǒng)的風險識別與風險分析方法在云環(huán)境下并不適用。

［關鍵詞］ 云計算；風險評估；云安全

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 13. 031

［中圖分類號］ TP309.2［文獻標識碼］A［文章編號］1673 - 0194（2014）13- 0046- 01

１云計算的定義

美國國家標準技術研究所（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ， ＮＩＳＴ）的 Ｐｅｔｅｒ Ｍｅｌｌ 和Ｔｉｍ Ｇｒａｎｃｅ 提出了關于云計算的一套定義，他們把云計算描述為一種模型，用戶可以按照需求從可配置的計算資源池中隨需應變獲取資源，資源可以被快速供應和釋放，在這種模式下，管理資源的工作量會減小到最低限度，提升了資源的可用性。

云計算包含5個基本特點，3種服務模式，以及4種部署模式。5個基本特點如下：

（１）按需自助服務。消費者可以按照自己的業(yè)務需求，從資源池中自動獲取資源，免去了與供應商交互的復雜過程。

（２）無處不在的網(wǎng)絡訪問。可以通過統(tǒng)一的標準機制從多樣化的胖客戶端或者瘦客戶端接入互聯(lián)網(wǎng)訪問云服務。

（３）資源池。云提供商將各種計算資源匯集起來，形成資源池。采用多租戶的方式將資源與用戶共享，根據(jù)用戶不同的需求對各種物理和虛擬資源進行 動態(tài)分配，用戶通常不知道資源確切的位置。

（４）快速彈性?？梢造`活快速地提供各項功能，在用戶使用完資源后還可以迅速釋放資源來實現(xiàn)回收。消費者可以在任何時間根據(jù)需要任意購買資源。

（５）計量付費服務?？梢员O(jiān)控用戶對資源的使用情況，根據(jù)不同的服務類型，按照不同的度量標準自動進行收費計量（如存儲服務、計算服務等）。

3種云服務模式定義如下：

（１）云軟件即服務（ＳａａＳ）。ＳａａＳ 最常見的形式就是交付應用程序給最終用戶。用戶僅具有使用應用程序的權限，應用程序背后的細節(jié)都被隱藏起來。常見的 ＳａａＳ有Ｇｏｏｇｌｅ 公司的 ＧＭＡＩＬ 或者 Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ 公司提供的客戶關系管理服務。

（２）云平臺即服務（ＰａａＳ）。云服務商為最終用戶提供可以編程的容器，用戶可以在該容器上托管他們開發(fā)的應用程序或服務。ＰａａＳ 提供的是完整的應用程序環(huán)境。常見的 ＰａａＳ有Ｇｏｏｇｌｅ Ａｐｐ Ｅｎｇｉｎｅ。

（３）云基礎設施即服務（ＩａａＳ）。ＩａａＳ 一般交付給用戶的是各種虛擬化資源。如存儲資源、客戶虛擬機等。用戶可以在上面部署和運行任意軟件。常見的 ＩａａＳ 服務有 Ａｍａｚｏｎ 公司的 Ｗｅｂ 服務或者 ＲａｃｋＳｐａｃｅ 公司的云服務等。

4種云部署模式定義如下：

（１）公有云。云基礎設施由銷售云服務的機構(gòu)所有，對公眾和大型的行業(yè)組織公開使用權，通常位于最終用戶的外部，普遍形式是通過 Ｉｎｔｅｒｎｅｔ 進行訪問。

（２）私有云。云基礎設施是為機構(gòu)單獨構(gòu)建的，位于機構(gòu)的內(nèi)部?？梢杂蓹C構(gòu)進行管理，也可以交由第三方管理，存在本地運行和遠程運行兩種模式。

（３）社區(qū)云。云基礎設施由具有相同利益的機構(gòu)共同構(gòu)建，存在本地運行和遠程運行兩種模式。

（４）混合云。云基礎設施是由以上兩種或兩種以上的云共同組成，不同云之間相互獨立，采用標準接口聯(lián)系在一起，從而實現(xiàn)數(shù)據(jù)的互通和應用程序的移植。

２基于云計算的風險評估模型

云計算的發(fā)展歷史雖然短暫，但云所包含的4種部署模式和3種服務模式使得云計算的產(chǎn)品范圍相當廣泛，不同云模式下，企業(yè)面臨的風險有所不同。

在云服務模式方面，ＳａａＳ 模式下，云運營商擁有更多的資源控制權，這是因為 ＳａａＳ 對用戶來講，是高度抽象的，用戶僅僅享用基于軟件的服務，而控制基本由運營商進行。與 ＳａａＳ 模式相比，ＰａａＳ 模式為云用戶或租戶提供了較高級別的資源控制權。ＩａａＳ模式相對于ＰａａＳ或ＳａａＳ模式，可以提供給客戶更多的控制。資源控制權的轉(zhuǎn)移使得風險評估變得更加復雜，資產(chǎn)安全性與資產(chǎn)所在的云的安全性息息相關。

在云部署模式方面，私有云位于企業(yè)內(nèi)部，并且通常是企業(yè)專用的，不會與外部數(shù)據(jù)混雜，傳統(tǒng)的風險評估方法可以在私有云模式下得到較好的應用。與私有云不同的是，公共云、社區(qū)云、混合云的一部分位于企業(yè)外部，如果云服務提供商的產(chǎn)品環(huán)境遭受災難，對可用性有較高需求的業(yè)務會因為云服務的中斷而使企業(yè)遭受巨大損失。此外，云服務提供商在存儲或傳輸客戶數(shù)據(jù)的過程中，可能將數(shù)據(jù)置于不受法律管轄的區(qū)域，造成數(shù)據(jù)信息的泄露，使企業(yè)遭受巨大損失，從評估的角度來看，風險評估不再僅僅局限于企業(yè)內(nèi)部。

在云服務商的選擇方面，云服務商的業(yè)務能力以及云服務的透明性對風險評估有很大的影響，即便是在同一種云模式下，企業(yè)面臨的風險也會因為云服務商的不同而有很大差異。因此，在云計算風險評估的過程中，還需要對云服務提供商進行充分的調(diào)查分析，綜合考慮云計算中企業(yè)可能面臨的安全風險。

綜上所述，云安全風險評估會因云模式的不同而有巨大差別，需要針對不同的云模式具體識別資產(chǎn)存在的弱點和面臨的威脅，以便能夠準確評估企業(yè)使用云服務后面臨的風險大小。