企業(yè)云安全問題及解決方案

李婷

摘要：隨著云計算技術的廣泛應用，云安全問題變得越來越重要。目前企業(yè)為保證云安全使用了各種各樣的方案與技術，但云安全問題仍不容忽視。本文在分析云安全定義的基礎上，根據(jù)企業(yè)云安全現(xiàn)狀發(fā)現(xiàn)其存在的問題并通過對云安全各方面的深入思考與研究找到問題存在的原因，文章最后還給出了云安全問題解決方案以期對企業(yè)提高云安全有所幫助。

關鍵詞：企業(yè)云 云安全 計算機 網(wǎng)絡

中圖分類號：TP393.08 文獻標識碼：A 文章編號：1007-9416（2016）07-0199-01

隨著Web2.0時代的到來，“云”正在被人們越來越廣泛地使用。但與此同時，這些“云”也開始成為不法分子為某種利益而攻擊的目標，所以企業(yè)云仍存在安全問題，云安全仍需深入研究。

1 云安全含義

云安全主要包含兩方面的含義：一是云自身的安全保護，也稱為云計算安全，包括云計算的應用系統(tǒng)、應用服務及用戶信息的安全，云計算安全是云計算技術健康可持續(xù)發(fā)展的基礎；二是云計算技術在安全領域的具體應用，也稱為安全云計算，即通過采用云計算技術提升安全系統(tǒng)服務效能的安全解決方案。①

2 企業(yè)云安全存在的問題及原因

2.1 云安全存在的問題

目前企業(yè)云安全存在的主要問題為數(shù)據(jù)安全問題。這一問題主要表現(xiàn)在四方面：（1）數(shù)據(jù)傳輸安全問題，即數(shù)據(jù)加密、云計算服務商泄露數(shù)據(jù)等問題。（2）數(shù)據(jù)存儲安全問題，數(shù)據(jù)存儲包括數(shù)據(jù)的存儲位置、數(shù)據(jù)的相互隔離、數(shù)據(jù)的災難恢復等問題。（3）數(shù)據(jù)審計安全問題，企業(yè)協(xié)助第三方對數(shù)據(jù)進行安全性和準確性的審計或認證時出現(xiàn)的問題。②（4）數(shù)據(jù)恢復安全問題，資源池和彈性擴展的云特性可能會將前面用戶寫入的數(shù)據(jù)恢復出來。

2.2 云安全存在問題的原因

通過對企業(yè)云安全存在的問題進行分析，可以歸納出企業(yè)云安全存在問題的主要原因：（1）企業(yè)缺乏對云服務的有效監(jiān)控。大部分企業(yè)在企業(yè)業(yè)務遷移到云模式后，忘記對服務和數(shù)據(jù)安全措施進行定期和持續(xù)的監(jiān)控，這導致企業(yè)在數(shù)據(jù)安全方面面臨威脅。（2）不安全的API接口。云服務提供商只管讓企業(yè)把數(shù)據(jù)遷移到云中而不思考他們的API接口中的不安全因素，從身份認證到訪問控制，再到加密和監(jiān)控都在這些API中體現(xiàn)出來，這是造成企業(yè)云環(huán)境面臨危險的重要因素。（3）企業(yè)的認識存在盲區(qū)。有些企業(yè)認為基礎設施服務提供商所提供的虛擬私有云很安全，但其實不然。虛擬私有云的運算方式會使該企業(yè)與其他企業(yè)共用硬件資源與交換網(wǎng)絡，彼此間僅由VLAN隔離，由于組態(tài)設定錯誤的情況時有發(fā)生，因而企業(yè)信息安全問題不可避免。

3 企業(yè)云安全問題解決方案

在云計算環(huán)境下，針對當前企業(yè)云安全存在的問題，本文從技術和非技術兩方面提出解決方案，以期對企業(yè)提高云安全有所幫助。

3.1 云計算安全的技術方案

云計算安全的技術方案主要包括：（1）動態(tài)數(shù)據(jù)保護。加密發(fā)送到云的敏感數(shù)據(jù)，可以為云服務提供受保護的訪問，如果使用或存儲的數(shù)據(jù)未被加密，企業(yè)就要面臨信息泄露的危險。（2）訪問控制。企業(yè)應要求加密服務提供商提供用戶訪問和管理控件以及強效驗證替代方式，如多要素驗證。（3）保護云中的API密鑰。API密鑰的有效管理可以改善企業(yè)云環(huán)境，避免敏感信息的泄露。（4）經(jīng)常備份。企業(yè)應該增強安全意識，對存儲在云中的數(shù)據(jù)經(jīng)常備份，做到有備無患，以免在云計算服務遭受攻擊、數(shù)據(jù)丟失的情況下，數(shù)據(jù)得不到恢復。

3.2 云計算安全的非技術方案

目前的技術手段可以避免來自其他用戶的安全威脅，但是對于服務提供商，要想從技術上完全杜絕安全威脅還是比較困難的，在這方面企業(yè)需要非技術手段作為補充。云計算安全的非技術方案包括兩部分：（1）企業(yè)的安全辦法。企業(yè)可采用的安全辦法有三種：1）第三方認證，即采用一個中立機構對信任雙方進行約束。這個機構不僅需要具備良好的公信力和定力，而且在安全領域具有豐富的經(jīng)驗和技術能力。2）角色轉換。企業(yè)作為價值鏈的組成部分，需要向客戶和合作伙伴提供服務。因此為實現(xiàn)云服務的最大化利益，企業(yè)需轉換思想，適應自己的云服務提供商的角色。3）法律和協(xié)議。法案和制度的建立不僅能讓云服務提供商開發(fā)更優(yōu)秀的構架，提供更好的服務，而且還為企業(yè)提供了法律保障。（2）云安全廠商的安全辦法。云安全廠商可采用分級控制的管理方法提高云計算公司的安全可信度。分級控制是指將云計算的管理體系分成兩級，一級是無特殊權限的普通人員，他們負責日常的運維工作，但是不能進入受控的機房和登錄物理主機，所以接觸不到用戶的數(shù)據(jù)；二級是具備核心權限的特殊人員，雖然他們有權限進入機房并登錄主機，能夠接觸到用戶的數(shù)據(jù)，但其操作行為受到流程的嚴格控制。云計算廠商通過使用分級控制的管理方法，在一定程度上可避免云計算平臺提供商竊取用戶的數(shù)據(jù)。

4 結語

云技術固然能給企業(yè)帶來利益，但其安全問題也不容小覷。企業(yè)要想保證云安全，還需要對其進行持續(xù)深入的研究與探索。相信未來在各方面力量的共同努力下，企業(yè)云安全能有更好的保障。

注釋

①陳軍，薄明霞.云安全研究進展及技術解決方案發(fā)展趨勢[J].現(xiàn)代電信科技，2011（06）：50-54.

②吳旭東.云計算數(shù)據(jù)安全研究[C].第26次全國計算機安全學術交流會論文集.中國計算機學會計算機安全專業(yè)委員會，2011：3.

③陳尚義.淺談云計算安全問題[J].網(wǎng)絡安全技術與應用，2009（10）：20-22.

參考文獻

[1]Winkler，J.R.Securing the Cloud：Cloud Computer Security Techniques and Tactics[M].Beijing：China Machine Press，2013.1-215.

[2]Michael hugus，Derek Hulitzky.Business in the Cloud：What Every Business Needs to Know About Cloud Computing[M].Beijing：Posts&Telecom Press，2012：47-75.