企業應用云計算技術的風險評估

朱嫻睿

［摘要］ 云計算是一種全新的商業模式，用戶能夠以更少的開銷享用更多的IT資源，這給云客戶帶來了巨大的利益。但是，從普通信息科技環境向云計算環境過渡的過程中，出現了許多新的安全問題，傳統的風險識別與風險分析方法在云環境下并不適用。

［關鍵詞］ 云計算；風險評估；云安全

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 13. 031

［中圖分類號］ TP309.2［文獻標識碼］A［文章編號］1673 - 0194（2014）13- 0046- 01

１云計算的定義

美國國家標準技術研究所（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ， ＮＩＳＴ）的 Ｐｅｔｅｒ Ｍｅｌｌ 和Ｔｉｍ Ｇｒａｎｃｅ 提出了關于云計算的一套定義，他們把云計算描述為一種模型，用戶可以按照需求從可配置的計算資源池中隨需應變獲取資源，資源可以被快速供應和釋放，在這種模式下，管理資源的工作量會減小到最低限度，提升了資源的可用性。

云計算包含5個基本特點，3種服務模式，以及4種部署模式。5個基本特點如下：

（１）按需自助服務。消費者可以按照自己的業務需求，從資源池中自動獲取資源，免去了與供應商交互的復雜過程。

（２）無處不在的網絡訪問。可以通過統一的標準機制從多樣化的胖客戶端或者瘦客戶端接入互聯網訪問云服務。

（３）資源池。云提供商將各種計算資源匯集起來，形成資源池。采用多租戶的方式將資源與用戶共享，根據用戶不同的需求對各種物理和虛擬資源進行 動態分配，用戶通常不知道資源確切的位置。

（４）快速彈性。可以靈活快速地提供各項功能，在用戶使用完資源后還可以迅速釋放資源來實現回收。消費者可以在任何時間根據需要任意購買資源。

（５）計量付費服務。可以監控用戶對資源的使用情況，根據不同的服務類型，按照不同的度量標準自動進行收費計量（如存儲服務、計算服務等）。

3種云服務模式定義如下：

（１）云軟件即服務（ＳａａＳ）。ＳａａＳ 最常見的形式就是交付應用程序給最終用戶。用戶僅具有使用應用程序的權限，應用程序背后的細節都被隱藏起來。常見的 ＳａａＳ有Ｇｏｏｇｌｅ 公司的 ＧＭＡＩＬ 或者 Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ 公司提供的客戶關系管理服務。

（２）云平臺即服務（ＰａａＳ）。云服務商為最終用戶提供可以編程的容器，用戶可以在該容器上托管他們開發的應用程序或服務。ＰａａＳ 提供的是完整的應用程序環境。常見的 ＰａａＳ有Ｇｏｏｇｌｅ Ａｐｐ Ｅｎｇｉｎｅ。

（３）云基礎設施即服務（ＩａａＳ）。ＩａａＳ 一般交付給用戶的是各種虛擬化資源。如存儲資源、客戶虛擬機等。用戶可以在上面部署和運行任意軟件。常見的 ＩａａＳ 服務有 Ａｍａｚｏｎ 公司的 Ｗｅｂ 服務或者 ＲａｃｋＳｐａｃｅ 公司的云服務等。

4種云部署模式定義如下：

（１）公有云。云基礎設施由銷售云服務的機構所有，對公眾和大型的行業組織公開使用權，通常位于最終用戶的外部，普遍形式是通過 Ｉｎｔｅｒｎｅｔ 進行訪問。

（２）私有云。云基礎設施是為機構單獨構建的，位于機構的內部。可以由機構進行管理，也可以交由第三方管理，存在本地運行和遠程運行兩種模式。

（３）社區云。云基礎設施由具有相同利益的機構共同構建，存在本地運行和遠程運行兩種模式。

（４）混合云。云基礎設施是由以上兩種或兩種以上的云共同組成，不同云之間相互獨立，采用標準接口聯系在一起，從而實現數據的互通和應用程序的移植。

２基于云計算的風險評估模型

云計算的發展歷史雖然短暫，但云所包含的4種部署模式和3種服務模式使得云計算的產品范圍相當廣泛，不同云模式下，企業面臨的風險有所不同。

在云服務模式方面，ＳａａＳ 模式下，云運營商擁有更多的資源控制權，這是因為 ＳａａＳ 對用戶來講，是高度抽象的，用戶僅僅享用基于軟件的服務，而控制基本由運營商進行。與 ＳａａＳ 模式相比，ＰａａＳ 模式為云用戶或租戶提供了較高級別的資源控制權。ＩａａＳ模式相對于ＰａａＳ或ＳａａＳ模式，可以提供給客戶更多的控制。資源控制權的轉移使得風險評估變得更加復雜，資產安全性與資產所在的云的安全性息息相關。

在云部署模式方面，私有云位于企業內部，并且通常是企業專用的，不會與外部數據混雜，傳統的風險評估方法可以在私有云模式下得到較好的應用。與私有云不同的是，公共云、社區云、混合云的一部分位于企業外部，如果云服務提供商的產品環境遭受災難，對可用性有較高需求的業務會因為云服務的中斷而使企業遭受巨大損失。此外，云服務提供商在存儲或傳輸客戶數據的過程中，可能將數據置于不受法律管轄的區域，造成數據信息的泄露，使企業遭受巨大損失，從評估的角度來看，風險評估不再僅僅局限于企業內部。

在云服務商的選擇方面，云服務商的業務能力以及云服務的透明性對風險評估有很大的影響，即便是在同一種云模式下，企業面臨的風險也會因為云服務商的不同而有很大差異。因此，在云計算風險評估的過程中，還需要對云服務提供商進行充分的調查分析，綜合考慮云計算中企業可能面臨的安全風險。

綜上所述，云安全風險評估會因云模式的不同而有巨大差別，需要針對不同的云模式具體識別資產存在的弱點和面臨的威脅，以便能夠準確評估企業使用云服務后面臨的風險大小。