浅谈云安全之等级保护测评

《浅谈云安全之等级保护测评》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、浅谈云安全之等级保护测评　　摘要：随着网络进入更加自由和灵活的Web2.0时代，云计算的概念风起云涌。云安全问题已成为云计算推广面临的最大挑战。针对云环境下计算模式的特点，结合实际云计算安全测评中的问题，分析了现行信息安全等级保护测评标准应用到云环境的一些局限性，提出了云安全应重点关注的内容。　　关键词：云计算；云安全；信息安全；等级保护测评；局限性　　中图分类号：TP309文献标志码：A文章编号：1006-8228（2016）11-35-03　　Discussiononthetestingandevaluatingofcloudc

2、omputingsecuritylevelprotection　　LiuXiaoli，ShenXiaohui　　（ZhejiangProvincialTestingInstituteofElectronic&InformationProducts，Hangzhou，Zhejiang310007，China）　　Abstract：CloudcomputinghasrecentlyattractedextensiveattentionsinceInternethasaccessedWeb2.0withmorefreedomandflex

3、ibility.However，thecloudsecurityhasbecomethebiggestchallengeforcloudpromotion.Combinedwiththeproblemsoftheactualtestingandevaluationincloudcomputingsecurity，thelimitationsoftheapplicationofthecurrentinformationsecurity8levelprotectionevaluationstandardtothecloudenviron

4、mentareanalyzed，andthecontentsthatcloudsecurityshouldfocusonareproposed.　　Keywords：cloudcomputing；cloudsecurity；informationsecurity；testingandevaluationofsecuritylevelprotection；limitations　　0引言　　近年来，随着网络进入更加自由和灵活的Web2.0时代，云计算的概念风起云涌。美国国家标准与技术研究院（NIST）定义云计算是一种按使用量付费的模式

5、，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池（资源包括网络，服务器，存储，应用软件，服务），这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。云计算因其节约成本、维护方便、配置灵活已经成为各国政府优先推进发展的一项服务。美、英、澳大利亚等国家纷纷出台了相关发展政策，有计划地促进政府部门信息系统向云计算平台迁移。但是也应该看到，政府部门采用云计算服务也给其敏感数据和重要业务的安全带来了挑战。美国作为云计算服务应用的倡导者，一方面推出“云优先战略”，要求大量联邦政府信息系统迁移到“

6、云端”，另一方面为确保安全，要求为联邦政府提供的云计算服务必须通过安全审查[1]。我国也先后出台了一系列云计算服务安全的国家标准，如GB/T31167-2014《信息安全技术云计算服务安全指南》、GB/T31168-2014《信息安全技术8云计算服务安全能力要求》等。本文关注的是云计算安全，包括云计算应用系统安全、云计算应用服务安全、云计算用户信息安全等[2]。　　当前，等级保护测评的依据主要有GB/T22239-　　2008《信息安全技术信息系统安全等级保护基本要求》、GB/T28448-2012《信息安全技术信息系统安全等级保护

7、测评要求》和GB/T28449-2012《信息安全技术信息系统安全等级保护测评过程指南》等。然而，这些标准应用于传统计算模式下的信息系统安全测评具有普适性，对于采用云计算服务模式下的信息系统却有一定的局限性。　　本文结合实际云计算服务安全测评中的问题，首先讨论现行信息安全等级保护测评标准应用到云环境的一些局限性，其次对于云计算安全特别需要关注的测评项进行分析。　　1云计算安全　　正如一件新鲜事物在带给我们好处的同时，也会带来问题一样，云计算的推广也遇到了诸多困难，其中安全问题已成为阻碍云计算推广的最大障碍。　　云计算安全面临着七大风

8、险，主要包括客户对数据和业务系统的控制能力减弱、客户与云服务商之间的责任难以界定、可能产生司法管辖权问题、数据所有权保障面临风险、数据保护更加困难、数据残留和容易产生对云服务商的过度依赖等。文献[3]提出了云计算安全测评框架，与传统信