云计算中基于等级保护的安全控制措施与探讨.pdfVIP

人选论文 云计算中基于等级保护 的安全控制措施探讨 孙药舟王伟 申银万国证券股份有限公司 【摘要】 云计算已成为各行业在互联网时代发展自身业务的重要技术手段，随着应用范围的不断扩 展，其面临的安全问题也逐渐成为关注重点，现行的信息安全等级保护技术体系需要针对 新的环境作出新的安全要求。通过对云计算下安全风险的分析，与并现行等级保护基本要 求的控制点进行比较，找出新环境下需重点关注的安全控制措施。从技术和管理两个角度 使等级保护基本要求适用于新的环境，并保障企业云计算环境符合安全运行的标准。 【关键词】 云计算等级保护信息安全安全管理 一、现状概述 竺要更有针对性地在云计算环境中开展等级保护 ，一．。拿繁，季?!竺竺!}耋．三量了_登!苎!： 二、云计算下等级保护 ’一…。。 一…” 行业企业、个人和家庭用户等领域，云计算在给 用户日常生活带来便利的同时，也存在着许多安 工作面临的问题 全隐患。其具有资源共享、数据大集中、虚拟化、 谷歌、亚马逊、微软等一些国际知名的大型 基础设施和边界多变等特点，因此它的数据安全、 IT企业，在使用云计算服务虚拟化架构时，由于 基础设施安全等相较于传统信息系统架构而言更 缺少对网络、数据的有效保护，造成了诸如数据 具复杂性，同时也对传统的信息安全等级保护提 泄露、服务停滞等严重的信息安全事件，对企业 出了新的要求。 自身及其客户都带来了严重的负面影响。 我国信息安全保障工作实行的是等级保护制 云计算环境最大的特点在于它的资源集中、 度。信息系统安全保护的目的是提高信息系统对 边界多，也正是由于这些特点，传统的信息系统 抗风险的能力，降低遭受攻击后的影响。现行的 架构在云计算环境中被完全打破带来的新的安全 等级保护通过技术和管理两方面来实现。技术上 问题不容小视。传统意义上的基于物理边界防护 从物理设施、网络、系统、应用及数据安全方面 概念将失去其存在的意义，所有的资源及数据都 对系统资源进行防护；管理上通过组织、人员、 无法基于物理范围管控，信息系统管理者们面临 制度、系统建设等行政管理措施的完善来进行 的全新挑战将是如何对这些无法掌握的信息资产 管控。 进行有效管控，从而降低安全风险。我们从以下 本文将对云计算环境下的新增风险进行分析， 几个方面分析云计算架构出现的新安全风险： 并通过与现行等级保护基本要求进行比较研究， (一)物理资源 对现行的保护要求控制点根据新环境的新安全风 云计算环境下，基础物理资源的区域分布变 险特性进行完善或补充，使其适用于云计算环境， 得分散化，同一信息系统所需的物理基础设施可 第三届全国信息安全等级保护技术大会论文集 能分散在不同物理地点，如何对这些基础资源在 息系统，具有信息系统的普遍特点和共性，就应 传统物理安全技术防护的基础上进行更有效地管 该有信息系统的安全保护需求，就应该有等级保 理面临挑战。 护去保护它。 (=)主机层面 下文中作者将以等级保护第三级基本要求的 虚拟机管理程序(Hypen，isor)的引入增加了 控制点为例，通过和云计算实