基于等级保护策略的云计算安全风险评估_朱圣才.pdf

COMPUTER
SECURITY
学术.技术

基于等级保护策略的云计算安全风险评估

朱圣才，徐御，金铭彦，盛璐
(上海市信息安全测评认证中心，上海200011)

摘要：随着云计算的进一步推进和发展，云计算面临的安全问题变得越来越突出，特别是在云计算带来的诸多利益下，
如何满足用户在云计算环境下对用户数据的机密性、完整性等相关性能的需求，已成为云计算安全的首要难题；从云计
算应用安全和系统安全两个层面，依据等级保护策略在信息系统中的策略要求，提出了云计算安全中应用安全和系统安
全的威胁所在以及相应的基本保护要求，为进一步推进云计算安全走向成熟。
关键词：云计算；等级保护；应用安全；系统安全；风险评估
CloudComputingSecurityRiskAssessmentBasedonLevelProtectionStrategy
ZHUSheng-Cai，XUYu，JINMing-Yan，SHENGLu-Yi
ShanghaiInformationSecurityTestingEvaluationandCertificationCenter,Shanghai200011China
Abstract:Withcloudcomputingtofurtherpromoteanddevelop,thesecurityproblemsfacedbycloudcomputingisbecomingmoreand
moreprominent,inparticular,underthebenefitsofcloudcomputing,howtosatisfyuserrequirementabouttheconfidentialityand
integralityofuserdata,andcorrelativecapabilityinthecloudcomputingenvironment,andbecometheprimarysecurityproblemofcloud
39
computing;Thisarticlefromthetwolevelsofapplicationssecurityandsystemsecurityofcloudcomputing,inaccordancewiththepolicy
requirementsofthelevelprotectionstrategyintheinformationsystem,Proposedthelocalityofthreattoapplicationsecurityandsystem
securityandprotectionrequirementstothesethreats,ordertofurtheradvancecloudcomputingsecuritymaturing.
Keywords:CloudComputing;LevelProtection;ApplicationSecurity;SystemSecurity;RiskAssessment

0引言控制在可接受的水平，最大限度地保障信息安全提供

在传统的计算模式下，用户对数据的存储与计算科学依据。

拥有完全的控制权；然而，在云计算模式下，用户数云计算信息安全风险评估作为云计算信息安全保

据与机器的管理将完全依赖于各种云服务提供商，而障的基础性工作和重要环节，要始终贯穿于云计算系

用户仅仅保留对虚拟机的控制。因此，从用户的角度统的规划、设计、实施、运行、维护和销毁的各个阶

来说，如何保证存储数据与计算结果的安全性、私密段，是建设基于等级保护制度的云计算环境的重要科

性和可用性显得尤为重要。学方法之一[1-6]。
云计算信息安全分析评估就是从风险管理的角度，

运用科学的方法和手段，系统地分析云计算系统所面1云计算等级保护

临的威胁及其存在的脆弱性，评估安全事件一旦发生，等级保护的本质是从管理和技术两个方面，对信

就可能造成危害，提出有针对性的抵御威胁的防护对息系统安全进行分级保护。从管理角度分析，等级保

策和整改措施，为防范和化解信息安全风险，将风险护制度是将信息系统按照社会化的组织原则进行有序规

2013.05
COMPUTER
SECURITY
学术.技术

范化的管理，从而提升信息系统的安全防护水平[7-10]。制在本质上没有什么不同，然而，由于云计算中采

从管理角度来讲，在云计算中进行等级保护和传用了云服务模型、运行模式以及提供云服务的技术

统的IT环境下进行等级保护是一样的，并且在传统要求，使得云计算信息安全所面临的风险比传统IT

等级保护中涉及到的管理部分依旧适用于云计算；从系统中信息安全面临的风险有所增加[11-13]，具体表

技术角度分析，等级保护制度