云計算時代的企業電子文件安全管理

沈昊

摘 要：云計算有著廣泛的應用領域和良好的應用前景，也為信息安全管理帶來了機遇與挑戰。本文介紹了云計算的基本概念，分析云計算在電子文件安全管理領域出現的新特點，并提出了相應的策略。

關鍵詞：云計算；電子文件管理；風險管理

1 云計算概述

云計算（Cloud Computing）是分布式處理（Distributed Computing）、并行處理（Parallel Computing）和網格計算（Grid Computing）的發展，或者說是這些計算機科學概念的實現。

云計算不僅帶來了是技術上的革新，更改變了傳統的管理理念和服務模式。在云計算時代，人們對資源的管理與利用將會更加集成化，虛擬化，并且不再受時間、地域、物理條件的限制。在全球化背景下，人們可以方便地對云端的資源進行統一的管理調度，還可以利用云端強大的數據處理能力進行信息的深入開發。

2 企業信息安全管理應用云計算技術的必要性分析

從企業層面來說，目前的信息安全管理出現了許多新問題，比如呈幾何級數增長的信息需要大型的存儲設備和處理器進行存儲和管理、人們對企業信息的共享需求日益增多、企業信息安全管理流程日益繁雜等等，這些都需要云計算技術加以解決。從外圍環境來說，如筆者開頭提到的，云計算的發展普及是大勢所趨，而且云計算技術主要涉及的就是信息的存儲、管理、開發等環節，企業作為社會發展的主要力量，在今后的發展中不可能離開信息與云計算，尤其是信息安全管理環節。

信息安全要掌握主動性原則，越早采取措施越好。因為如果越晚發現存在的風險，那么需要彌補的時間就越長，花費的成本就越多，對企業的造成的損失也越大。而且企業信息安全的基礎數據、標準往往是在初期設定好的，如果后期出現問題需要更改，將會耗費巨大的工作量。

基于上述分析，盡管云計算才剛剛到來，但是企業已經有必要將強對云計算的了解和研究，并逐步開始涉及基于云計算的信息安全管理。

3 云計算環境下信息安全管理的新特點

云計算對信息安全管理的影響主要體現在技術和管理模式這兩個方面。云計算的特點之一便是高安全性?！霸啤笔褂昧藬祿喔北救蒎e、計算節點同構可互換等措施來保障服務的高可靠性，使用云計算比使用本地計算機可靠。同時，有專業的團隊負責云端數據的安全維護，保證云端服務器的正常運行和信息安全。云計算的構成有天然的優勢，包括云計算的云端集中管理，超大規模服務器的同時運作，還有近期提出的“共有云”、“私有云“等等都從各個方面分散了信息安全的風險。

但與之相對應的，目前的云端往往存儲著多個用戶的數據，而且存儲的數據的規模和設計范圍都極為廣泛，這樣也就造成了風險的集中，一旦出現問題，損失也會加大。

在傳統環境下，企業的信息安全管理多是相對封閉的，因為按照一些人的理解就是“越封閉，越安全”。封閉只能是先對的，完全封閉更是不可能的。企業的運作管理需要時刻保持與外界的交流，其中很大一部分就是信息的交流；而且在信息的價值越來越被人們重視的今天，企業對自身信息資源的開發與利用越來越多的展開，在這種背景下談封閉無異于明清時期的“閉關鎖國”。云計算技術是以網絡為基礎的，也就是說是一個相對開放的平臺。根據目前的發展來看，在控制好權限，做好軟硬件維護的前提下，云計算環境下（亦或網絡環境下）的信息安全管理的安全性是完全可以保障的。

4 云時代的信息安全風險管理

云計算環境下，由于云端與用戶端的功能、作用、管理工作環節的不同，云端與用戶端的風險來源也會有明顯的不同。

云端的風險主要來自實體的、技術性的，操作性的，用戶端的風險則主要來自內部人員和組織管理的漏洞。

本文結合傳統的信息安全評估方法，參照《信息安全管理》（人民郵電出版社），云計算特點，從資產的識別與估價，威脅的識別與評估，脆弱性評估、現有安全控制確認的角度給出基于云計算的測評分析方法。

（1）、資產的識別與估價。在云計算環境下，云服務商擁有大多數的實體資產，而企業用則輸出自己的信息資產。因而在對資產進行評估的時候也是雙向的，尤其是信息資產，企業和云服務商可能對其價值會有不同的理解。但是雙方又比較能夠達成一致，因為對信息資產的不同估價涉及到之后對不同價值信息的不同強度的保管。企業和云服務商會在信息安全和保管成本之間找到平衡。

（2）、威脅的識別與評估。威脅識別與評估的主要任務是識別產生威脅的原因、確認威脅的目標以及評估威脅發生的可能性。云計算環境由以往的封閉環境轉變為開放的網絡環境，所面臨的威脅更為復雜。就目前云計算的發展情況來看，云計算的威脅主要來自人員威脅和系統威脅。谷歌公司、亞馬遜公司和微軟公司的云計算服務都曾因為代碼編寫失誤、軟件故障、硬件故障等造成中斷，給用戶造成了損失。

（3）脆弱性評估。脆弱性評估一般分為技術脆弱性、操作脆弱性和管理脆弱性。云計算的脆弱性主要表現在技術脆弱性方面。云服務商的平臺都是統一的，就如電腦的操作系統一樣。如果其中某一個小小的文件或者某一句代碼出現問題，都可能對整個系統以及上面運行的服務造成極大地影響，可以說是牽一發而動全身。

（4）現有安全控制確認。在風險評估過程中，應當識別已有的安全控制措施，分析安全控制措施效力，有效地安全措施繼續保持，而對于那些不適當的控制應當核查是否被取消，或者用更合適的控制代替。

5 結語

云計算是繼計算機、網絡出現后的又一次信息領域的革新，雖然目前在安全、標準等方面有待完善，但是云計算的發展前景不可估量。云計算環境下，云服務商在企業信息安全管理中扮演著重要的決策。從國家戰略考慮，我們應該在新一輪的競爭中占領制高點，積極參與信息安全領域的云計算標準、技術的建設，培養國內領頭的云服務企業，將我國的信息安全管理推向新的階段。

參考文獻

[1] http：//do.chinabyte.com/64/12859064.shtml

[2] http：//news.hexun.com/2014-02-24/162443075.html

[3] 蔡盈芳.基于云計算的信息安全系統安全風險評估模型[J]中國管理信息化，2010（12）

[4] 張紅旗，王新昌，楊英杰.信息安全管理[M]北京：人民郵電出版社，2007