一種基于二級模糊綜合評價的云服務安全評估方法

摘要：針對現有云服務安全評估方法指標體系覆蓋面較窄，且云服務安全評估當中涉及很多難以量化的指標的問題，本文提出一種基于二級模糊綜合評價的云服務安全評估辦法。首先依據國家標準和云服務安全能力要求，建立一個較為全面的云服務安全評估指標體系和證據交付件列表，然后結合德爾菲法和層次分析法分別得到第一級和第二級安全評估指標權重，再使用二級模糊綜合評價法對云服務安全進行評估并得到云服務商的安全能力評分。

關鍵詞：云計算;安全評估;二級模糊綜合評價法

1.前言

云計算是一種通過網絡向用戶按需提供計算、存儲資源的新型服務模式，也是一種新型的商業計算模式。云用戶在使用云服務時，不需要考慮基礎設施的維護和更新，以及業務是如何交付的，只需要根據自身需求選擇合適的云服務，這種高效率、高利用率的服務模式吸引了越來越多的云用戶。然而，隨著云計算以及互聯網技術的快速發展，帶來了許多的安全問題，當前云服務安全評估問題逐漸引起了人們的關注。

晏裕生等人[1]依據《信息安全等級保護》[2]和國家相關標準通過德爾菲法設計相應的云服務安全評估指標體系，專注從服務技術和人員管理等安全問題進行安全評估，最后考慮到云服務安全評估的多因素性和模糊性，運用模糊綜合評價法得到最終的評估結果，但是僅從服務技術和人員管理層面對云服務安全能力進行評估，得到的安全能力評分較為片面。Li等人[3]依據云控制矩陣（Cloud Control Matrix，CCM）中定義的安全指標類，根據用戶自身業務安全需求結合層次分析法對安全指標類中的各個指標進行權重賦值，之后再通過理想逼近解排序法（Technique for Ordering Preference by Similarity to Ideal Solution，TOPSIS）計算每個云服務到最優、最劣方案的距離，從而獲得各個云服務的安全能力得分情況。

在當前云服務安全評估研究當中指標大多以可量化指標為主，但是云服務安全評估涉及到很多難以量化的指標，例如一些安全措施、應急響應策略以及云服務基礎設施和物理架構等等。所以導致云服務安全評估不全面，指標體系覆蓋面較窄。

2.云服務安全評估模型

云服務安全評估模型如圖1所示，云服務安全評估模型主要由兩個角色組成，分別是：云服務商、評估方。

1）云服務商。云服務商即評估對象，根據評估方依據云服務安全評估指標體系提供的交付件列表，按照自身真實情況搜集相關信息填寫交付件并上傳證據材料，開始進行云服務安全評估并等待云服務安全評估反饋結果。在得到云服務安全評估反饋結果之后及時對云服務業務進行安全整改，防止云用戶和云服務商因安全問題產生不必要的損失。

2）評估方。評估方即云審查方，根據云服務商提供的證據交付件組建行業專家小組對云服務商業務進行安全評估。同時可以委托第三方機構和專家小組通過采用業務管理負責人訪談、技術測試以及實地檢查三種方式相結合的方法對云服務商提供的交付件中各種云服務屬性、配置以及相關安全措施進行測試和度量，評估方在得到專家小組評估結果后及時反饋給云服務商。

2.1 云服務安全指標體系

云服務安全評估指標體系是對云服務進行安全評估的基礎。本小節依照《云服務安全能力要求》[4]，制定了科學合理的云服務安全評估指標體系如圖2所示。

2.2綜合評估

云服務安全綜合評估是專家小組對云服務安全能力進行綜合評估的過程。綜合評估由權重賦值和安全能力評估組成。

1）權重賦值。評估專家小組依據云服務安全評估指標體系，根據德爾菲法確定所有相關安全指標的初始權重，然后使用層次分析法確定出相關安全指標的權重終值。

2）安全能力評估。在得到各個安全指標最終權重以后，專家小組對各個安全指標進行評價，建立模糊評價集，生成專家模糊評價矩陣，最后使用二級模糊綜合評價法得到云服務安全能力評估結果。

2.2.1 權重賦值

由于在云服務安全評估當中，大多數的安全指標都無法通過測試獲取或者難以量化，其中一些指標也只是針對安全問題的處理和預防措施。所以本文通過將德爾菲方法和層次分析法相結合設計了針對云服務安全評估的權重賦值方法，首先通過德爾菲方法獲得初始權重，再使用層次分析法對初始權重進行處理得到最終權重。

2.2.2 安全能力評估

云服務安全評估當中所涉及的每個安全控制類包含了多個安全指標，而每個安全指標又含有多個安全措施交付項。因此云服務安全評估工作是在依據安全措施交付項內容對單個安全指標進行評估的基礎上，不斷向上迭代，達到最終確定云服務安全能力得分的目的，整個過程是一個綜合評估的過程。

在云服務安全評估當中，云服務商的安全能力由安全控制類層決定，而安全控制類層的十個指標的安全性又由安全指標層的指標決定，所以云服務安全評估是以一個由下層往上層逐級評估的過程。所以為了保證安全評估的科學合理性和指標細化，將安全控制類層和安全指標層分別設為了第一級和第二級評估指標。由于云服務安全評估當中涉及許多無法量化的指標，所以本文采用二級模糊綜合評價法依據安全措施交付層內容對安全指標層開始向上迭代評估，最終得到云服務安全能力評估結果。

2.3 評估結果反饋

為了使進行評估的云服務商能夠快速了解自身安全能力強度并作出良性整改。在評估方完成云服務安全評估，得到云服務商安全能力整體得分以后，需要遵循及時、準確的原則將評估結果反饋給云服務商。反饋機制主要有：

1）通過電話以及郵件相結合的形式通知。評估方在完成云服務安全評估工作以后，應當首先及時通過電話告知云服務商評估負責人關于此次安全評估工作的結果及需要進行整改的大體方向，之后在評估方形成詳細評估工作報告以后通過郵件的形式發送給云服務商。

2）通過云服務安全評估系統通知。完成評估工作以后，評估方在云服務安全評估系統對云服務商發布評估結果和詳細評估報告，便于云服務商及時查看。

通過以上兩種方法，可以保證云服務商能夠準確、及時的得到評估結果并進行相關安全措施整改，避免對業務和云用戶造成損失。

3.結語

針對現有的云服務安全評估中指標體系覆蓋面較窄且云服務安全評估當中涉及很多難以量化的指標的問題，本文提出一種基于二級模糊綜合評價的云服務安全評估辦法，從一定程度上達到了對云服務進行整體安全評估的目的。

參考文獻：

[1]晏裕生.基于等級保護的云計算 IaaS 安全評估研究[D].北京交通大學，2016.

[2] 中國信息安全等級保護網.關于開展全國重要信息系統安全等級保護定級工作的通知[EB/OL].[2017-7-24].http：//www.mps.gov.cn/n2254098/n2254129/n2254134/c3758949/content.html.

[3]Li X，Jin X，Wang Q，et al. SCCAF：A Secure and Compliant Continuous Assessment Framework in Cloud-Based IoT Context[J].Wireless Communications and Mobile Computing，2018，2018（1）：1-18.

[4]Zuo Xiaodong，Chen Xingshu，Zhang Jianjun，et al.GB/T 31168-2014 Information Security Technology-Security Capability of Cloud Computing Services[S]. Beijing：China Standardization Committee，2014.[左曉棟，陳興蜀，張建軍，等.GB/T 31168-2014 信息安全技術 云計算服務安全能力要求[S]. 北京：中國標準化委員會，2014.]

作者簡介：李富誠（1995.08—），男，四川省成都人，成都市雙流區四川大學網絡空間安全專業 碩士研究生。