云计算安全初探.ppt

* * * 让我们共同努力，真正做好云计算安全防护 结语 本ppt引用了许多网站及会议报告中的相关资料，在此一并表示感谢。 报告内容仅供参考，欢迎批评指正。 欢迎会后联系，合作共享。 * * * * * * * * * * * * * * * * * * * * * D2 治理与企业风险管理 机构治理和评测云计算带来的企业风险的能力。例如违约的司法惯例、用户机构充分评估云提供商风险的能力、当用户和提供商都有可能出现故障时保护敏感数据的责任、国际边界对这些问题有何影响等都是讨论的一些问题。 D3 法律与电子证据发现 使用云计算时可能的法律问题。本部分关系到的问题包括信息和计算机系统的保护要求、安全性被破坏时的披露法律、监管要求、隐私要求和国际法等。 D4 合规与审计 这部分考虑保持和证实使用云计算时的合规性，包括评估云计算如何影响内部安全策略的合规性、以及不同的合规性要求（规章、法规等）。这个域还包括通过审计证明合规性的一些指导。 D5 信息生命周期管理 以下这些问题将在这部分讨论：管理云中的数据，包括与身份和云中的数据控制相关的项；可用于处理数据搬移到云中时失去物理控制这一问题的补偿控制；其它项，如谁负责数据机密性、完整性和可用性等 D6 可移植性和互操作性 将数据或服务从一个提供商搬移到另一个提供商，或将它全部搬移到本地的能力。提供商间互操作性相关的问题也在这里讨论。 * D7 传统安全、业务连续性和灾难恢复 云计算如何影响当前用于实现安全性、业务连续性和灾难恢复的操作处理和规程，主要关注点是讨论和检查云计算的潜在风险，希望增加对话和讨论以解决令人生畏的企业风险管理模型的提升需求。进而，本节还讨论了如何帮助人们识别云计算在什么地方可以有助于减少安全风险，在某些其它领域则增加了风险。 D8 数据中心运行 如何评估提供商的数据中心架构和运行。主要关注在帮助用户识别对于后面服务不利的数据中心特征，以及有助于长期稳定性的基础特征。 D9 应急响应、通告和补救 适当的、充分的事件检测、响应、通告和补救。尝试解决为了启动适当的事件处理和事后分析机制，在用户和提供商两边都需要就绪的一些条目。本域将会帮助您理解云给您现有的事件处理程序带来的复杂性。 D10 应用安全 保护在云中运行或即将开发的应用。包括将某个应用迁移到或设计进云中运行是否适当，如果适当，什么类型的云平台最适当（SaaS, PaaS, or IaaS）。还讨论了一些跟云有关的具体安全问题。 D11 加密和密钥管理 识别恰当使用加密以及可扩充规模的密钥管理的方法。本节并不是什么规定，而是侧重提供信息，为什么需要这些方法，识别使用过程中出现的问题，包括保护对资源的访问以及保护数据。 D12 身份和访问管理 利用目录服务来管理身份，提供访问控制能力。关注点是组织将身份管理扩展进云中遇到的问题。本域提供了就评估组织实施身份访问管理IAM的就绪性的一些见解。 D13 虚拟化 虚拟化在云计算中的应用。本域关系到与多租户、VM 隔离、VM共居（coresidence）、hypervisor脆弱性等相关的项。特别关注于系统和硬件虚拟化相关的安 全问题，而不是对各种形式的虚拟化的综述。 * * * * * * * * 云计算安全初探 报告内容 关于云计算 云计算面临的安全威胁 云计算安全初探 高能所在云计算安全方面的相关工作 计算技术发展的五个阶段 云计算来自网格 NIST给出的云计算定义 云计算在中国 2. 关于云计算 高能物理网格站点 云计算来自网格GRID 从网格到云计算 —从科技到商业 网格具备 IaaS, PaaS 云计算更强调 SaaS 两种平台类型 数据密集型 CPU密集型 NIST给出的云计算定义 云计算在中国 2010年10月18日，工信部和发改委发出通知，决定在北京、上海、江苏、浙江、深圳这五个试点城市先行发展云计算 地方政府比中央政府反应更快 北京（祥云工程）、上海（ 云海计划 ）、福州（数字福建云计算工程实施方案）、无锡（IBM在无锡落户云计算）、武汉、天津、重庆等二十多个城市宣布建云计算基地 中国移动研究院发布了 “大云”系统…… 高校云服务计划启动，清华、北大、复旦、南开、浙江大学、北京理工大学、北京邮电大学、华北电力大学等200余家国内高校正在考虑开设云计算专业 成立中国电子学会云计算专家委员会 云计算进入十二.五规划，发展势头超过国外，但安全风险凸现，需关注云计算安全问题。 安全是云计算面临的主要问题—IDC Enterprise Panel 2008 云计算面临的传统威胁 云计算面临的主要威胁 云计算为安全带来的七大利好 云计算存在的7大风险— Gartner 2008 云计算