浅谈云安全之等级保护测评.docVIP

浅谈云安全之等级保护测评 　　摘 要： 随着网络进入更加自由和灵活的Web2.0时代，云计算的概念风起云涌。云安全问题已成为云计算推广面临的最大挑战。针对云环境下计算模式的特点，结合实际云计算安全测评中的问题，分析了现行信息安全等级保护测评标准应用到云环境的一些局限性，提出了云安全应重点关注的内容。 　　关键词： 云计算； 云安全； 信息安全； 等级保护测评； 局限性 　　中图分类号：TP309 文献标志码：A 文章编号：1006-8228（2016）11-35-03 　　Discussion on the testing and evaluating of cloud computing security level protection 　　Liu Xiaoli， Shen Xiaohui 　　（Zhejiang Provincial Testing Institute of Electronic Information Products， Hangzhou， Zhejiang 310007， China） 　　Abstract： Cloud computing has recently attracted extensive attention since Internet has accessed Web 2.0 with more freedom and flexibility. However， the cloud security has become the biggest challenge for cloud promotion. Combined with the problems of the actual testing and evaluation in cloud computing security， the limitations of the application of the current information security level protection evaluation standard to the cloud environment are analyzed， and the contents that cloud security should focus on are proposed. 　　Key words： cloud computing； cloud security； information security； testing and evaluation of security level protection； limitations 　　0 引言 　　近年来，随着网络进入更加自由和灵活的Web2.0时代，云计算的概念风起云涌。美国国家标准与技术研究院（NIST）定义云计算是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池（资源包括网络，服务器，存储，应用软件，服务），这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。云计算因其节约成本、维护方便、配置灵活已经成为各国政府优先推进发展的一项服务。美、英、澳大利亚等国家纷纷出台了相关发展政策，有计划地促进政府部门信息系统向云计算平台迁移。但是也应该看到，政府部门采用云计算服务也给其敏感数据和重要业务的安全带来了挑战。美国作为云计算服务应用的倡导者，一方面推出“云优先战略”，要求大量联邦政府信息系统迁移到“云端”，另一方面为确保安全，要求为联邦政府提供的云计算服务必须通过安全审查[1]。我国也先后出台了一系列云计算服务安全的国家标准，如GB/T 31167-2014《信息安全技术云计算服务安全指南》、GB/T 31168-2014 《信息安全技术 云计算服务安全能力要求》等。本文关注的是云计算安全，包括云计算应用系统安全、云计算应用服务安全、云计算用户信息安全等[2]。 　　当前，等级保护测评的依据主要有GB/T 22239- 　　2008《信息安全技术 信息系统安全等级保护基本要求》、GB/T 28448-2012《信息安全技术 信息系统安全等级保护测评要求》和GB/T 28449-2012《信息安全技术 信息系统安全等级保护测评过程指南》等。然而，这些标准应用于传统计算模式下的信息系统安全测评具有普适性，对于采用云计算服务模式下的信息系统却有一定的局限性。 　　本文结合实际云计算服务安全测评中的问题，首先讨论现行信息安全等级保护测评标准应用到云环境的一些局限性，其次对于云计算安全特别需要关注的测评项进行分析。 　　1 云计算安全 　　正如一件新鲜事物在带给我们好处的同时，也会带来问题一样