如何進(jìn)行云計(jì)算安全性評估與戰(zhàn)略制定

目前采用的云計(jì)算模式有公共云模式，私有云模式以及兩種模式共存的混合模式。公有云模式下，任何人通過互聯(lián)網(wǎng)，都可以按需購買或者按固定費(fèi)用租用服務(wù)。私有云是某個組織擁有并使用。它提供了與公有云一樣的很多便利，同時使所有者有更大的靈活性和控制力。云計(jì)算的好處是顯而易見的。而在云計(jì)算實(shí)施中的安全性問題也必須重視。采用云計(jì)算方式而忽略安全性無疑會使整個IT設(shè)施暴露于風(fēng)險之下。云計(jì)算導(dǎo)致了新一個層面的風(fēng)險。由于云計(jì)算模式下，大量服務(wù)外包給第三方，使得保證數(shù)據(jù)真實(shí)性和隱私性，數(shù)據(jù)和服務(wù)的可靠性，以及保證合規(guī)性方面變得更加困難。盡管IT服務(wù)已經(jīng)轉(zhuǎn)移到云端，用戶依然需要保證合規(guī)性以及數(shù)據(jù)安全。因此，用戶必須與他們的云計(jì)算合作伙伴之間建立信任關(guān)系，理解公共云或者私有云環(huán)境帶來的風(fēng)險。云計(jì)算帶來的安全挑戰(zhàn)云計(jì)算安全與傳統(tǒng)IT安全最重要的不同之一來自于大規(guī)模的基礎(chǔ)設(shè)施共享。來自于不同公司，不同安全信任水平的人員長期共享同一套計(jì)算資源。對于公有云服務(wù)由一大批服務(wù)商所提供，數(shù)據(jù)存儲和處理都在外部環(huán)境中完成。就算在云內(nèi)部，也很難具體定位數(shù)據(jù)的存儲位置。傳統(tǒng)的可見安全過程被抽象層所屏蔽。這種不可見性會導(dǎo)致數(shù)據(jù)安全，服務(wù)可靠性，合規(guī)性，SLA保障以及整體安全管理的一系列問題。安全過程的可見性對于合規(guī)要求尤其重要，無論是薩班斯法案，美國的醫(yī)療保險責(zé)任法案(HIPAA)歐盟關(guān)于隱私方面的法律，以及其他很多國家的法律都對系統(tǒng)的可審計(jì)性提出要求。而很多公共云對于用戶來說就是一個黑盒子，這樣的話，用戶很難證明自身系統(tǒng)的合規(guī)性。(私有云和混合云模式通過一定程度的配置，可以滿足這類合規(guī)性的要求)。此外，云服務(wù)商會被要求提供第三方審計(jì)功能，或者提供對電子取證的支持。這樣就使的安全的可見性變得尤其重要。如果數(shù)據(jù)沒有被正確的隔離，那么對某個用戶的數(shù)據(jù)取證可能會影響到其他用戶的數(shù)據(jù)安全。這就意味著，一些敏感數(shù)據(jù)不適合存放在云環(huán)境中?？紤]采用云服務(wù)的組織必須理解云服務(wù)相關(guān)的風(fēng)險以及保持安全可見性的重要。對于云安全的實(shí)施，可以重點(diǎn)從以下幾個方面入手：?●建立安全程序?●保護(hù)數(shù)據(jù)安全?●強(qiáng)化訪問與鑒權(quán)?●應(yīng)用的配置與解除?●審計(jì)管理?●漏洞管理?●測試與驗(yàn)證由于云服務(wù)有多種不同的模式，每一種模式對應(yīng)了不同級別的安全管理。引入可信的第三方可能可以幫助企業(yè)或組織根據(jù)他們的商業(yè)要求，采用適合他們的最好的云安全方案。制訂云安全戰(zhàn)略在云安全方面，沒有一個放之四海皆準(zhǔn)的模式。因?yàn)椴煌钠髽I(yè)或組織有不同的業(yè)務(wù)需要轉(zhuǎn)型云服務(wù)或者通過云提供服務(wù)，這樣就產(chǎn)生了不同的安全管理的需求。在云計(jì)算戰(zhàn)略規(guī)劃時，需要認(rèn)真評估云計(jì)算模式的風(fēng)險。以下是第三方安全服務(wù)所采用的云計(jì)算風(fēng)險評估的框架：定義商業(yè)和IT戰(zhàn)略進(jìn)行云計(jì)算風(fēng)險評估的第一步就是分析商業(yè)和IT戰(zhàn)略。通過云進(jìn)行存儲，訪問和傳輸?shù)臄?shù)據(jù)的價值有多大？是不是商業(yè)的敏感或者保密數(shù)據(jù)？有沒有合規(guī)性的要求？同時，也需要考慮數(shù)據(jù)的可用性的要求。通過對商業(yè)IT戰(zhàn)略以及數(shù)據(jù)的分析，才能進(jìn)行風(fēng)險評估，確定采用何種云計(jì)算模式。分析風(fēng)險每一種云計(jì)算模式(公有云，私有云或者混合模式)都有不同級別的IT安全風(fēng)險