美国联邦政府云计算安全策略分析

《美国联邦政府云计算安全策略分析》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、美国联邦政府云计算安全策略分析关键字：安全策略云安全云计算云计算在经济高效、敏捷和创新等方面的突出优势，受到各国政府的广泛重视。文章在考察美国政府云计算安全进展基础上，详细分析了美国政府在云计算安全组织建立、安全管理框架设计、安全基线制定、评估和授权、安全服务采购等方面的策略，这些策略可以为中国政府部门采购和管理安全的云服务提供参考。　　引言　　由于云计算在经济、敏捷和创新方面的突出特点，受到美国政府高度重视。早在2009年1月,美国行政管理和预算局(OMB)就开始关注云计算和虚拟化。3月维维克·昆德拉被任命为联邦政府首席信息官委员会(CIOC)的首席

2、信息官后即表示将推动政府采用云计算，启动了联邦云计算倡议(FCCI)，成立了专门管理组织，包括下设于CIOC的决策机构“FCCI执行促进委员会”(ESC)和顾问机构“FCCI云计算顾问委员会”(CCAC)以及下设于总务管理局(GSA)的FCCI日常办公机构“云计算项目管理办公室”(CCPMO)，并确定了联邦政府云计算发展目标。5月份发布的2010财年美国政府预算报告的《远景分析》中明确提出要开展云计算示范项目，通过优化云计算平台来优化通用的服务和解决方案，并在随后发布了联邦政府云服务采购书面需求单和上线了app.gov云服务在线店面。2010年12月份

3、发布了《改革联邦信息技术管理的25点实施计划》，要求联邦政府与数据中心整合相配合，实施“云首选”的策略等。2011年发布了《联邦云计算战略》,确定了云迁移的三步走决策框架以及促进云计算发展的6方面措施。　　在美国联邦政府大力推进云计算的同时，美国政府大力研究和制定云计算安全策略。本文在简要分析美国政府云计算安全进展的基础上，重点剖析了美国政府云计算安全策略，可为我国政府发展云计算提供有价值的参考。　　1美国联邦政府云计算安全发展过程　　昆德拉上任时就承认云计算可能存在隐私泄露或其它安全隐患，但表示不能因此而错过云计算的速度和效率。2009年5月召开的云

4、计算倡议工业界峰会上，美国产业界认识到云计算在法律法规和政策以及IT安全和隐私方面的挑战，深入讨论了云计算认证认可、访问控制和身份管理、数据和应用安全、可移植性和互操作性以及服务级别协议(SLA)等。5月份的《远景分析》中指出了与新技术服务交付模型相关的风险，包括政策的变化、动态应用的实施以及动态环境的安全保障，要求建立一个项目管理办公室来实施工业界最佳实践和政府项目管理方面的政策。10月份国家标准和技术研究所(NIST)在《有效安全地使用云计算范式》的研究报告中分析了云计算安全的众多优势和挑战。　　2010年2月美国启动了政府范围的云计算解决方案的安

5、全认证认可过程的开发。8月CIOC发布了《联邦部门和机构使用云计算的隐私建议》，指出云环境下隐私风险跟法律法规、隐私数据存储位置、云服务商服务条款和隐私保护策略有关，并指出了9类风险，通过使用相关标准、签署隐私保护的补充合同条款、进行隐私门槛分析和隐私影响评估、充分考虑相关的隐私保护法律，可以有效加强云计算环境下的隐私保护。9月非盈利组织MITRE给出了《政府客户云计算SLA考虑》。11月份，NIST、GSA、CIOC以及信息安全及身份管理委员会(ISIMC)等组成的团队历时18个月提出了《美国政府云计算安全评估和授权建议方案》，该方案由云计算安全要求

6、基线、持续监视、评估和授权三部分组成。12月，在《改革联邦信息技术管理的25点实施计划》中指出安全、互操作性、可移植性是云计算被接纳的主要障碍。　　2011年1月国土安全部(DHS)给出了《从安全角度看云计算：联邦IT管理者入门》读本，指出了联邦面临的16项关键安全挑战：隐私、司法、调查与电子发现、数据保留、过程验证、多租户、安全评估、共享风险、人员安全甄选、分布式数据中心、物理安全、程序编码安全、数据泄露、未来的规章制度、云计算应用、有能力的IT人员挑战，NIST发布了《公共云计算安全和隐私指南》和《完全虚拟化技术安全指南》。2月份的《联邦云计算战略

7、》指出在管理云服务时要主动监视和定期评估，确保一个安全可信的环境，并做出了战略部署，包括推动联邦风险和授权管理项目(FedRAMP)、DHS要每6个月或按需发布一个安全威胁TOP列表并给出合适的安全控制措施和方法，NIST要发布一些安全技术指南。　　2011年12月OMB发布了一项关于“云计算环境下信息系统安全授权”的首席信息官备忘录，正式设立FedRAMP项目。　　2012年2月成立了FedRAMP项目联合授权委员会(JAB)并发布了《FedRAMP概念框架(CONOPS)》、《FedRAMP安全控制措施》。　　2美国联邦政府云计算安全策略分析　　2

8、.1高度重视云计算安全和隐私、可移植性和互操作性，对云服务实施基于风险的管理　　美国联邦政府在