云计算安全体系介绍

在进行云计算安全建设时，不论公有云还是私有云，都应遵循安全建设原则，来保护基础设施安全、网络安全、数据安全、应用安全。在面对云计算信息系统建设新需求时更应该注意对虚拟化的支持、安全威胁的防护、风险的快速反应等问题结合云计算技术体系、管理体系、运维体系，构建了云计算安全总体架构，如图1所示。

 

（1）云计算安全标准及政策法规。

云计算安全标准及政策法规是进行云计算信息系统安全建设的基础。

（2）云计算安全技术。

①云计算安全接入∶在进行云计算信息系统安全建设时，首先要考虑云计算安全接入问题，可通过云边界防护、传输通道安全、可信接入和API 安全使用等技术来保障云边界接入的安全。

②物理安全∶ 物理安全包括环境安全和设备安全。

③IT架构安全∶基础设施安全是IT架构安全的基石，基础设施包括计算设备、存储设备、网络设备，不仅要从物理上保障这些基础设备的安全性，还要通过部署一定的安全策略保护其不受攻击和非法访问；基础设施的安全性直接关系到虚拟化安全，云服务提供商需要进行Hypervisor安全、虚拟机安全、虚拟网络安全和虚拟管理系统安全等方面的部署，提高云计算信息系统抵御攻击的能力。

④运行安全∶在PaaS中，云服务提供商需要保证租用PaaS的系统之间的隔离性及PaaS运行环境的安全性，保障云计算PaaS安全、稳定运行。

⑤应用安全∶在SaaS中，云服务提供商需要从应用（迁移）安全、Web安全和内容安全三个方面来保障应用安全，增强用户对SaaS的信任。

⑥数据安全∶数据安全从数据加密与检索、用户隐私与保护、完整性保护验证、数据备份与容灾、用户数据隔离、残留数据处理几个方面进行安全保护。

⑦用户管控∶用户管控主要从访问控制、身份鉴别和行为审计三个方面进行部署，通过用户管控增强云计算资源的可控性。

（3）云计算安全管理。

云计算安全管理分为物理安全管理、IT架构安全管理、应用安全管理三大方面，提高云应用的安全性。

（4）云计算安全运维。

在云计算信息系统运行期间，需要从系统的物理安全，安全事件的事前、事中和事后进行安全运维管理。

（5）云计算安全测评与云计算安全认证。

在云计算信息系统建设完成后，需要对云计算信息系统和云服务进行安全评估，通过取得认证来增强云计算信息系统和云服务的安全可信可靠程度，从而获得用户的信任。