摘要： 信息安全是当前计算机科学的一个研究热点；云计算是一个新的技术，给信息安全提供了挑战和机遇．介绍了云计算的基本概念，云计算的安全问题，通过云计算用户以及云计算服务提

导读：信息安全是当前计算机科学的一个研究热点；云计算是一个新的技术，给信息安全提供了挑战和机遇．介绍了云计算的基本概念，云计算的安全问题，通过云计算用户以及云计算服务提供商两方面分析了云计算中确保信息安全的方法。

信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于人类具有特别重要的意义。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。信息安全服务至少应该包括支持信息网络安全服务的基本理论，以及基于新一代信息网络体系结构的网络安全服务体系结构。

1、云计算简介

何为云(cloud)?云实际上就是互联网(Internet)的别称，其实是指分布在Internet中的形形色色的计算中心，包含成千上万甚至几十万、几百万台计算机或服务器。用户不再购买高性能的硬件，也不再购买或开发各种功能的软件，而是使用任何可上网的设备，连接“云”，利用“云”提供的软件或服务，直接在“云”上处理并存储数据。云计算的概念最早可以追溯到图灵奖得主Jone McCarthy在60年代发表的观点：“计算有可能在未来成为一种公共设施。”进入21世纪后，SaaS(Software as a Service)，软件服务的概念越来越广泛的应用于业界。随后，从2007年开始，云计算开始出现，包括Google、Amazon、IBM、Microsoft等业界的领袖企业都宣布了各自的与技术项目。

简言之，云计算(cloud computing)是一种基于Internet的计算。在云计算中，存储和运算将不再运行在本地计算机或服务器中，而是运行在分布于Internet上的大量计算机上，也就是说，云计算通过把原来由个人计算机和私有数据中心执行的任务转移给分布在Internet上由全体用户共享的大型计算中心来完成，实现了计算机硬件、软件等计算资源及对这些计算资源进行安装、配置与维护等服务资源的充分共享。

但是云计算远远不止这些。云计算目前的主要架构是基于一个新一代的数据中心，提供虚拟的计算和存储资源。而这些资源的消费和使用，可以按照事先规定的可以计量的标准进行收费。

2、云计算的安全问题

尽管很多研究机构认为云计算提供了最可靠、最安全的数据存储中心，但安全问题是云计算存在的主要问题之一。表面上看，云计算好像是安全的，但如果仔细分析，“云”对外部来讲其实是不透明的。云计算的服务提供商并没有对用户给出许多细节的具体说明，如其所在地、员工情况、所采用的技术以及运作方式等等。当计算服务是由一系列的服务商来提供(即计算服务可能被依次外包)时，每一家接受外包的服务商基本上是以不可见的方式为上一家服务商提供计算处理或数据存储的服务，这样，每家服务商使用的技术其实是不可控的，甚至有可能某家服务商会以用户未知的方式越权访问用户数据。

总的说来，由云计算带来的信息安全问题有以下几个方面：

2.1特权用户访问若使用云计算，机密数据将由公司外面的人员来处理，所以可想而知：不是公司的员工完全可以访问这些数据。

2.2法规遵从在(萨班斯一奥克斯利法案)当道的时代，公司有责任实施严格的数据监控和归档级别。即便一家公司与外部的云计算服务提供商签订了合同，这些法规仍要求这家公司负有责任。云计算服务提供商应当提交审计和安全方面的证书，确保对方能够履行约定的承诺。

2.3数据位置若使用云计算，用户不知道自己的数据到底存放在什么地方。服务器可能建在马来西亚、加拿大或者美国的新泽西州，说不定同时建在上述三个地方。

2.4数据隔离当然，云计算提供商会使用SSL来保护传输中的数据，但当公司的数据位于存储设备中时，可能与其他公司的数据共用一只“虚拟保管箱”。公司的数据与别人的数据能经过适当隔离吗?

2.5可用性从理论上来说，如果用户使用云计算服务提供商。没有必要担心自己的数据会消失——这些提供商很容易采用冗余机制把你的数据复制到众多地方，这样万一系统崩溃，仍可以高枕无忧。

但公司的员工能不能随时访问完成工作所需的数据呢?比方说，要是虚拟管道受到堵塞会怎样?要是提供商自身出现的某种内部故障导致你无法访问自己的关键数据，又会怎样?

2.6灾难恢复希望最糟糕的永远不会发生：任何重大的灾难也不会发生在你、你的提供商或者整个世界头上。但你的提供商必须为此作好防备。

2.7调查支持开展内部的法律调查向来就不是容易的事，因为这需要清查可能散布在实体位置和虚拟位置的大批文档。如果你使用云计算服务提供商，那么开展这种调查更是困难重重：许多客户的数据也许放在一块儿，散布在地点不断变化的一系列数据中心。

2.8存活能力你的提供商会被收购吗?或者更糟糕的是，会破产吗?如果是这样，对方需要多久才能把数据交还给你、而且采用的格式让你可以导入到另一家提供商的基础设施上?

2.9降低风险方面的支持你的员工开始使用外部提供商时，会经历一个学习过程。这家提供商提供的界面用起来多容易?提供商是否帮助你的管理人员设置监控政策?又采取了哪些措施来防范恶意软件和网络钓鱼?

3、云计算中确保信息安全的具体方法

尽管云计算存在安全问题，但它仍然给信息安全带来了机遇。在云计算方式下，数据是集中存储的，这样至少给数据安全带来了两个好处：

降低了数据被盗、被破坏和外泄的可能。这也是云计算服务商讨论最多的一个优点。在云计算出现之前，数据很容易被泄露，如便携式笔记本电脑的失窃、计算机维修时的数据被盗(如“艳照门”事件)。而随着云计算的推广应用，用户可以将自己的数据存储在“云”中，只要用户能够接入Internet，就能根据需要随时进行访问，根本就用不着自己随身携带，也用不着自己去维护或维修。能够更容易地对数据进行安全监测。数据集中存储在一个或若干个数据中心，数据中心的管理者可以对数据进行统一管理，负责资源的分配、负载的均衡、软件的部署、安全的控制，并能更可靠地进行数据安全的实时监测以及数据的及时备份和恢复。

3.1云计算用户的安全办法

3.1.1听取专家建议，选用相对可靠的云计算服务提供商用户在享受云计算服务之前，要清楚地了解使用云服务的风险所在?一般地，专家推荐使用那些规模大、商业信誉良好的云计算服务提供商。Gartner咨询公司副总裁DavidCearley表示，“使用云计算的局限是企业必须认真对待的敏感问题。企业必须对云计算发挥作用的时间和地点所产生的风险加以衡量”。企业通过减少对某些数据的控制，来节约经济成本，意味着可能要把企业信息、客户信息等敏感的商业数据存放到云计算服务提供商的手中，对于信息管理者而言，他们必须对这种交易是否值得做出选择。基于内容感知的技术可以帮助用户判断什么数据可以上载，什么数据不可以上载，如果发现试图将敏感数据传到云端，系统将及时阻断并报警。

3.1.2增强安全防范意识幸运的是，一点点常识和一些简单的正确电脑操作练习可以将这类安全性失误的影响降至最低，避免将你的机密资料放在云端上，如果你真的放了，例如利用网上银行时。避免在网络咖啡厅、学校或图书馆内的公用电脑上进行，也别太随便给出自己真正的联络资料，避免每个账号都使用同一个密码，就算只更改一个字母也好。云计算下增强安全意识。清楚地认识到风险，并采取必要的防范措施来确保安全。

3.1.3经常备份存储在云里的数据，要经常备份，以免在云计算服务遭受攻击、数据丢失的情况下，数据得不到恢复。

3.1.4建立企业的“私有云”当数据重要到不放心放在别人管理的云里，就建立自己的私有云。私有云也叫企业云，它是居于企业防火墙以里的一种更加安全稳定的云计算环境，面向内部用户或者外部客户提供云计算服务，企业拥有云计算环境的自主权。与之相对应的是“公共云”，通过云计算提供商自己的基础架构直接向用户提供服务，用户通过互联网访问服务，但用户不拥有云计算资源。

3.1.5数据加密后放到云端保存透明加密技术可以帮助企业强制执行安全策略，保证存储在云里的数据只能是以密文的形式存在，企业自主控制数据安全性，不再被动依赖服务提供商的安全保障措施。

3.2云计算服务提供商的安全办法

3.2.1国家对云计算服务提供商进行规范和监督美国加利福尼亚州公用事业委员会的CIO Carolyn Lawson认为：“从政府的角度来讲，我们不会将所有的数据信息都迁移到‘云’中，因为我们的数据包括个人社会保障号码、驾驶执照、还有子女信息等等，公众把他们的个人信息交给我们希望我们能够很好的保护这些信息。如果我们将这些信息交给一家云计算公司，而这家公司非法将这些信息出售的话，我们该怎么解决?我们要承担这个责任”。这充分显示了云计算安全问题的症结，即云计算公司的安全可信度成了当今云计算应用的主要障碍。

3.2.2解决这个问题的根本办法不是依赖云计算提供商的自觉性，而是依赖政府部门或相当的权威部门强制要求云计算公司采用必要的措施，保证服务的安全性。

也许不久的将来，国家政府部门将制定相应的法规，对云计算企业强制进行合规性检查，检查包括厂商对客户承诺的不合理性、厂商信守承诺的程度、厂商在对待客户的数据的审计和监管力度。像检查自来水公司水的安全性那样，国家要对云计算厂商的安全性进行规范和监督。

3.2.3云计算厂商采用必要的安全措施云计算厂商内部的网络和我们大多数企业的网络没什么不一样的地方，其要实施的安全措施也是传统的安全措施。包括访问控制、入侵防御、反病毒部署、防止内部数据泄密和网络内容与行为监控审计等。

3.2.4云计算厂商采用分权分级管理为了防止云计算平台供应商“偷窥”客户的数据和程序，可以采取分级控制和流程化管理的方法。银行是一个很好的例子，银行虽然储存着所有客户银行卡的密码，但即使是银行内部员工，也无法获取客户的密码信息；同时，银行系统内也有一系列流程防止出现“内鬼”。例如，将云计算的运维体系分为两级，一级是普通的运维人员，他们负责日常的运维工作，但是无法登录物理主机，也无法进入受控的机房，接触不到用户数据：二级是具备核心权限的人员，他们虽然可以进入机房也可以登录物理主机，但受到运维流程的严格控制。

4、结束语

计算机网络信息的发展极大的促进了经济和社会的发展，然而在网络中总有一些不安全的因素存在，对于已经网络化的社会和企业而言，正常的网络运行和信息服务是极为重要的，因此深入做好计算机网络信息安全管理工作的研究必将推动网络应用的进一步发展。在云计算的背景下，无论是数据发布中的隐私，还是位置服务中的位置隐私，用户个人信息的保护显的尤为重要。在人们把数据放于本机硬盘都还嫌不够安全的今天，如何保证个人隐私不泄漏，将是云计算是否能够普及和攻克的另一难题。