云計(jì)算對(duì)信息安全的影響與對(duì)策

孫序銘

摘要：隨著云計(jì)算技術(shù)的不斷成熟與發(fā)展，云計(jì)算應(yīng)用在我國(guó)逐漸得到普及，云計(jì)算在當(dāng)代社會(huì)經(jīng)濟(jì)中的地位已經(jīng)開(kāi)始變得越來(lái)越重要。由此云計(jì)算的安全問(wèn)題就顯得尤為重要。該文從云計(jì)算的概念出發(fā)，介紹了云計(jì)算幾個(gè)應(yīng)用方面，闡述了如今云計(jì)算所面臨的安全問(wèn)題，并對(duì)諸多安全問(wèn)題提出了相應(yīng)的解決方案。

關(guān)鍵詞：云計(jì)算；信息安全；安全對(duì)策

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（201 6）29-0062-02

1云計(jì)算的基本概念與應(yīng)用

1.1云計(jì)算的基本概念

業(yè)界對(duì)云計(jì)算的各種定義有許多，以下對(duì)從美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)研究所提取的定義比較受業(yè)界認(rèn)可，云計(jì)算的付費(fèi)方式按使用多少計(jì)算，此類方式為用戶供應(yīng)可用的，便利的，按需網(wǎng)絡(luò)訪問(wèn)，加入到可配置的籌劃資源共享池，這些資源可以被快速供給，人員只要參與較少的管理工作，或更少的與服務(wù)提供單位從事交互。（其中包括網(wǎng)絡(luò)，存儲(chǔ)，服務(wù)器，應(yīng)用與服務(wù)）對(duì)云計(jì)算應(yīng)用的形式有很多種，比如當(dāng)你應(yīng)用一個(gè)資源的時(shí)候，客戶端不需要過(guò)高的配置，只需要基本處理能力，大部分的文件與數(shù)據(jù)處理都通過(guò)服務(wù)器來(lái)運(yùn)行，并將處理后的內(nèi)容通過(guò)壓縮經(jīng)過(guò)互聯(lián)網(wǎng)傳遞給用戶。用戶則可以省去購(gòu)買高配置硬件的資金，而運(yùn)營(yíng)商也無(wú)需花大量的精力財(cái)力來(lái)研發(fā)新的硬件設(shè)備，只需要對(duì)服務(wù)器進(jìn)行升級(jí)。這樣運(yùn)營(yíng)商與客戶就可以在一定程度上達(dá)到雙贏的局面。

1.2云計(jì)算技術(shù)在企業(yè)層面應(yīng)用

在云計(jì)算技術(shù)方面走在世界前列的甲骨文公司與海天輕紡集團(tuán)合作海天輕紡集團(tuán)的主要業(yè)務(wù)是進(jìn)行高科技紡織產(chǎn)品的研發(fā)生產(chǎn)，集團(tuán)是一家高科技公司，早已形成規(guī)?；漠a(chǎn)業(yè)鏈。公司在產(chǎn)品的研發(fā)不斷成熟的過(guò)程中，其對(duì)ERP的需求也愈加強(qiáng)烈。甲骨文憑借一個(gè)全面的，全球和集成的企業(yè)資源計(jì)劃，以幫助財(cái)政部門，使用，項(xiàng)目組合管理和供應(yīng)鏈管理。幫助進(jìn)行財(cái)務(wù)、采用、項(xiàng)目組合管理和供應(yīng)鏈管理。甲骨文云服務(wù)上使用最新的移動(dòng)互聯(lián)網(wǎng)技術(shù)，關(guān)注客戶的用戶習(xí)慣和用戶體驗(yàn)信息，對(duì)其進(jìn)行分析和處理，用戶的采用程度可以提高。甲骨文的ERP套件支持金融財(cái)務(wù)、風(fēng)險(xiǎn)和控制管理、采購(gòu)、庫(kù)存和項(xiàng)目組合管理。通過(guò)支持多個(gè)通用會(huì)計(jì)準(zhǔn)則、多貨幣、多語(yǔ)言、多分支的全球企業(yè)，通過(guò)使用“甲骨文”，以確?？蛻艨梢员３炙蟹种У目蛻舳藦囊粋€(gè)到另一個(gè)保持相同的過(guò)程。

1.3云計(jì)算技術(shù)在國(guó)家層面應(yīng)用

在剛結(jié)束不久的G20峰會(huì)上，阿里云計(jì)算有限公司就為保障G20峰會(huì)的安全領(lǐng)域做出貢獻(xiàn)，在峰會(huì)準(zhǔn)備過(guò)程中，阿里云對(duì)中國(guó)200多家政府網(wǎng)站進(jìn)行了全面檢測(cè)，查找并處理漏洞，并在峰會(huì)期間攔截超1億次針對(duì)網(wǎng)站的攻擊，為峰會(huì)期間的重要網(wǎng)站安全做出貢獻(xiàn)。依照對(duì)未來(lái)的判斷，2018年全世界云計(jì)算的市場(chǎng)容量有望突破790多億美元。由此可見(jiàn)云計(jì)算對(duì)國(guó)家安全與經(jīng)濟(jì)發(fā)展有這舉足輕重的地位。

2云計(jì)算的安全事故

隨著移動(dòng)互聯(lián)技術(shù)的不斷普及，云計(jì)算安全對(duì)國(guó)家安全與經(jīng)濟(jì)發(fā)展的影響愈加重要。因此用戶在享受云計(jì)算帶來(lái)的利益的同時(shí)云計(jì)算的安全問(wèn)題同樣的給予重視。微軟在2010年發(fā)生了云服務(wù)中斷的事故，事故造成美國(guó)多地用戶受到影響，隨后微軟聲稱故障得到解決，并說(shuō)明是由于網(wǎng)絡(luò)基礎(chǔ)設(shè)施的問(wèn)題造成的本次事故?？呻S后的一個(gè)月內(nèi)有發(fā)生了兩次同樣的事故。2011年同樣作為提供云計(jì)算服務(wù)的IT大亨也爆發(fā)安全事故，此次谷歌郵箱爆發(fā)了大規(guī)模的用戶信息泄流事件，15以上的用戶聊天記錄甚至帳號(hào)消失，谷歌極力發(fā)展云計(jì)算，但云計(jì)算中的存儲(chǔ)卻一再發(fā)生事故。亞馬遜，F(xiàn)acebook，Twitter等云計(jì)算的企業(yè)都曾因?yàn)樵朴?jì)算安全事故受到影響。

3云計(jì)算安全問(wèn)題

3.1內(nèi)部安全

現(xiàn)如今大部分安全系統(tǒng)都可以阻止來(lái)自外部網(wǎng)絡(luò)的攻擊，其實(shí)內(nèi)部的安全問(wèn)題往往更容易導(dǎo)致信息的泄漏。而對(duì)內(nèi)部的安全問(wèn)題也最容易被人們所忽視，內(nèi)部工作人員如安全專家，工程師與系統(tǒng)管理員這些內(nèi)部工作人員有較大的權(quán)限，并且更容易接觸到企業(yè)的核心信息，一旦企業(yè)工作人員通過(guò)合法的身份泄漏或損害信息完整性，就會(huì)對(duì)組織造成嚴(yán)重影響。

3.2云存儲(chǔ)與訪問(wèn)安全

隨著信息技術(shù)的發(fā)展數(shù)據(jù)管理不僅僅是存儲(chǔ)和管理數(shù)據(jù)。而轉(zhuǎn)化為客戶所需的各種數(shù)據(jù)管理方式，云存儲(chǔ)的數(shù)據(jù)安全也存在各方面的威脅，如何建立安全可靠的云存儲(chǔ)機(jī)制與如何通過(guò)訪問(wèn)控制來(lái)保護(hù)云數(shù)據(jù)安全成為服務(wù)提供商的重大課題。當(dāng)用戶將數(shù)據(jù)傳輸?shù)健霸啤睍r(shí)服務(wù)商同時(shí)擁有了對(duì)數(shù)據(jù)進(jìn)行訪問(wèn)的權(quán)限，云計(jì)算服務(wù)商自身權(quán)限管理存在疏忽就很容易通過(guò)非法的渠道得到用戶數(shù)據(jù)，導(dǎo)致用戶信息被泄露。同樣在用戶向“云端”傳輸數(shù)據(jù)時(shí)不嚴(yán)格加密也會(huì)導(dǎo)致用戶所傳輸?shù)臄?shù)據(jù)可能泄漏或影響數(shù)據(jù)的完整性。

3.3安全事故處理

為保證云計(jì)算核心資源的完整也就是數(shù)據(jù)的完整性。一旦放生災(zāi)難，保護(hù)數(shù)據(jù)的完整性就變得尤為重要，不少企業(yè)就應(yīng)為核心數(shù)據(jù)的丟失導(dǎo)致經(jīng)濟(jì)利益受到巨大損害，安全事故處理不當(dāng)極有可能造成數(shù)據(jù)的二次損壞，甚至威脅的運(yùn)營(yíng)商的存亡，因此如何在遇到安全事故的情況下保護(hù)云計(jì)算數(shù)據(jù)安全是擺在每個(gè)企業(yè)面前的課題。

4云計(jì)算安全對(duì)策

4.1云計(jì)算內(nèi)部員工安全策略

云計(jì)算技術(shù)在引進(jìn)在企業(yè)內(nèi)部以前，企業(yè)的管理者和信息技術(shù)部門人員應(yīng)當(dāng)根據(jù)所在單位本身的詳細(xì)需要，以需求為根據(jù)對(duì)現(xiàn)實(shí)情況引進(jìn)到公司內(nèi)部的云計(jì)算戰(zhàn)略對(duì)風(fēng)險(xiǎn)性開(kāi)始評(píng)估，根據(jù)計(jì)劃來(lái)評(píng)價(jià)云計(jì)算，并且到底會(huì)給所在單位帶來(lái)什么，是利潤(rùn)還是威脅，利潤(rùn)是多少，威脅在何處。企業(yè)IT管理部門需要認(rèn)識(shí)到，云服務(wù)提供商可以作為企業(yè)內(nèi)部IT部門的一個(gè)擴(kuò)展。危機(jī)可能存在于企業(yè)內(nèi)部與此同時(shí)云服務(wù)商也面臨這危機(jī)。關(guān)鍵的區(qū)別是，在企業(yè)內(nèi)部可以更容易地驗(yàn)證，執(zhí)行和管理控制這些風(fēng)險(xiǎn)。

如今不少云計(jì)算服務(wù)商的方案內(nèi)中都包括了例如SSAE審計(jì)和數(shù)據(jù)訪問(wèn)以及數(shù)據(jù)中心等安全掌控和數(shù)據(jù)加密等類型標(biāo)準(zhǔn)，這些準(zhǔn)則的達(dá)成不但能夠提升云計(jì)算安全方案的可靠性與安全性，在一般情況下的管理同樣提供了保障。

不管是私有云還是公有云，企業(yè)采納一種與本單位要求相適應(yīng)的云計(jì)算部署方案而且以最快效率轉(zhuǎn)移到另一種新的信息技術(shù)服務(wù)形式當(dāng)中，這中間必定有巨大的數(shù)據(jù)量，必定要用強(qiáng)大的加密技術(shù)來(lái)保證其安全。

4.2用戶身份安全加密認(rèn)證

基于身份的安全技術(shù)意味著你可以跟蹤用戶的身份、機(jī)器用戶、數(shù)據(jù)、服務(wù)等，以便您可以仔細(xì)管理安全問(wèn)題，確定誰(shuí)可以訪問(wèn)特定的服務(wù)，以及他們能夠通過(guò)這些服務(wù)做什么。例如，我們知道機(jī)器的特定身份可以調(diào)用服務(wù)，因?yàn)闄C(jī)器在允許呼叫服務(wù)之前已經(jīng)被授權(quán)了。身份管理安全軟件系統(tǒng)通常需要一個(gè)資源庫(kù)來(lái)跟蹤身份，需要能夠?qū)λ械膮⑴c者進(jìn)行授權(quán)和認(rèn)證。

加密是另一個(gè)標(biāo)準(zhǔn)的云服務(wù)安全機(jī)制?？蛻艉头?wù)提供商應(yīng)該能夠提供加密措施，在有需求的時(shí)候，以確保服務(wù)提供商和客戶的談話是保密的。當(dāng)加密數(shù)據(jù)從一個(gè)系統(tǒng)中傳輸?shù)搅硪粋€(gè)系統(tǒng)中，我們稱之為動(dòng)態(tài)加密。

4.3確認(rèn)云存儲(chǔ)數(shù)據(jù)的完整性

如今云存儲(chǔ)是云計(jì)算公司的重要業(yè)務(wù)之一，例如谷歌公司，亞馬遜公司，都推出了自己的云存儲(chǔ)業(yè)務(wù)，用戶可以將信息通過(guò)互聯(lián)網(wǎng)傳遞到網(wǎng)云當(dāng)中，但在傳輸過(guò)程中有一些潛在的威脅篡改用戶數(shù)據(jù)，因此保護(hù)數(shù)據(jù)傳輸?shù)耐暾猿蔀榱艘淮髥?wèn)題，Hash算法可以保證輸入數(shù)據(jù)的完整性，當(dāng)數(shù)據(jù)是散列算法時(shí)，會(huì)對(duì)數(shù)據(jù)進(jìn)行處理，并輸出相應(yīng)的代碼，稱之為信息摘要。在用戶發(fā)送的過(guò)程中會(huì)加人摘要來(lái)保護(hù)數(shù)據(jù)的完整性。

4.4訪問(wèn)控制與權(quán)限設(shè)置

設(shè)立可靠的訪問(wèn)控制策略從而有效的保護(hù)云資源的安全。根據(jù)設(shè)立的權(quán)限來(lái)控制用戶對(duì)資源的訪問(wèn)，對(duì)不被授權(quán)的用戶無(wú)法訪問(wèn)資源。保證了資源的完整性與保密性。在建立訪問(wèn)控制策略時(shí)，主要遵循以下三個(gè)原則：最小特權(quán)原則、職責(zé)分離原則和多級(jí)安全原則。最小特權(quán)原則指用戶只能使用完成任務(wù)所要用到合理資源進(jìn)行操作，不得進(jìn)行其他不必要的操作也不得訪問(wèn)其他無(wú)關(guān)任務(wù)的資源。例如在企業(yè)當(dāng)中員工可以訪問(wèn)企業(yè)的一些保密資源，而不可隨意對(duì)企業(yè)的保密資源進(jìn)行修改。職責(zé)分離原則指把管理權(quán)限進(jìn)行分割處理，不同的權(quán)限交由不同的管理員。防止權(quán)力過(guò)大的同時(shí)，防止對(duì)權(quán)限的不合理運(yùn)用。多級(jí)安全原則對(duì)不同的資源設(shè)立各級(jí)管理等級(jí)。根據(jù)訪問(wèn)者的等級(jí)來(lái)設(shè)立相應(yīng)的資源訪問(wèn)，從而對(duì)云計(jì)算資源進(jìn)行合理的保護(hù)與分配。

4.5解決安全事故標(biāo)準(zhǔn)方式

云計(jì)算企業(yè)在投入使用的過(guò)程中應(yīng)建立一套標(biāo)準(zhǔn)的安全事故處理規(guī)范，一旦放生云計(jì)算安全事故，企業(yè)員工應(yīng)按照科學(xué)的規(guī)章制度進(jìn)行標(biāo)準(zhǔn)化的處理，保證事故影響降到最低。首先，員工應(yīng)對(duì)安全事故進(jìn)行評(píng)估，評(píng)估安全事故所造成的影響范圍。并聯(lián)系相關(guān)的安全處置部門尋求幫助，有必要的情況下需即使聯(lián)系警方協(xié)同處理。處置事故的成員在進(jìn)行相應(yīng)工作的同時(shí)需記錄人員名單及工作中的各種信息。響應(yīng)安全事故的小組成員按標(biāo)準(zhǔn)化規(guī)章來(lái)處理，使處理過(guò)程變得高效。

4.6制定災(zāi)難恢復(fù)體制

災(zāi)難備份系統(tǒng)可以有效減少災(zāi)難所造成的損失，此系統(tǒng)可以在數(shù)據(jù)受到不可預(yù)知損壞的情況下，通過(guò)其他的備份數(shù)據(jù)中心繼續(xù)為用戶提供服務(wù)。現(xiàn)如今無(wú)論是政府機(jī)關(guān)，交通，金融等行業(yè)都逐漸應(yīng)用云計(jì)算服務(wù)，建立災(zāi)害備份中心可提高了服務(wù)的可依靠度。

4.7建立系統(tǒng)的法律法規(guī)

由于云計(jì)算技術(shù)目前還只是處于起步階段，并且發(fā)展速度迅猛，云計(jì)算相關(guān)領(lǐng)域還沒(méi)有形成統(tǒng)一的完整的法律法規(guī)，在國(guó)內(nèi)的相關(guān)法律還沒(méi)有完善。因此完善云計(jì)算安全方面的法規(guī)顯得尤為急迫。有體系的法規(guī)建立可謂是云計(jì)算構(gòu)建安全服務(wù)的重要衡量標(biāo)準(zhǔn)。應(yīng)有國(guó)家層面統(tǒng)一協(xié)調(diào)，完善云計(jì)算安全法規(guī)，使云計(jì)算服務(wù)有法可依。

5結(jié)論

在云計(jì)算技術(shù)不斷普及的時(shí)代下，如何為用戶提供更為安全可靠的服務(wù)成為關(guān)鍵。截至當(dāng)前社會(huì)各界關(guān)于如何解決云計(jì)算安全方案各有不同，基本根據(jù)本單位對(duì)云計(jì)算信息安全的解讀，結(jié)合其單位所專注的某一安全方向，運(yùn)用到解決方案。但是運(yùn)用對(duì)云計(jì)算平臺(tái)的整體安全解決策略是當(dāng)代云計(jì)算信息安全的大趨勢(shì)，也是必由之路。保證云計(jì)算平臺(tái)的技術(shù)體系建立，也必將會(huì)使云計(jì)算平臺(tái)更加便利可信，使云計(jì)算領(lǐng)域得到長(zhǎng)足的進(jìn)步與發(fā)展。