如果說過去的十年，云計算走過了從概念到落地的“青澀歲月”，那么今天的云計算已經(jīng)邁入了發(fā)展壯大的“黃金時代”。雖然云計算的市場依然呈現(xiàn)出一片混戰(zhàn)的局面，但是主流企業(yè)的規(guī)模和實力卻在不斷提升，云服務正在轉(zhuǎn)變成真金白銀為企業(yè)發(fā)展注入強勁動力。在市場發(fā)展的同時，云計算技術(shù)也在快速發(fā)展，云計算開源正在成為一股不可阻擋的趨勢，應“云”而生的SDN、NFV等技術(shù)不斷成熟，助力電信網(wǎng)絡(luò)重構(gòu)，而云計算安全的重要性也日漸提升。
隨著我國經(jīng)濟的快速發(fā)展和信息通信技術(shù)的快速進步，公眾對云服務的認知度和認可度不斷提升。據(jù)中國信息通信研究院統(tǒng)計顯示，2016年我國云計算市場總體保持快速發(fā)展態(tài)勢，增速為25.5%，市場規(guī)模達到346億元人民幣。我國公共云服務正在從包括游戲、電商、移動、社交等在內(nèi)的互聯(lián)網(wǎng)行業(yè)向制造、政府、金融、交通、醫(yī)療健康等傳統(tǒng)行業(yè)滲透，尤其是政府、金融成為主要突破口。
相比較其他行業(yè)，政務、金融對于云服務的質(zhì)量以及安全水平有更高的要求。因而，隨著越來越多的云服務在政務、金融領(lǐng)域落地，如何進一步提升云服務的安全水平，如何構(gòu)建云計算的安全認證體系成為業(yè)界關(guān)注的焦點。
打造云服務安全評估標準
云服務的大規(guī)模應用必然帶來服務質(zhì)量評價、云服務可信度等一系列問題。早在2013年，中國信息通信研究院就擁有了一些云計算技術(shù)研究成果，認為應建立可信的云計算體系，以培養(yǎng)用戶信心，引導市場良性發(fā)展。2014年，由中國信息通信研究院聯(lián)合云計算行業(yè)內(nèi)企業(yè)在數(shù)據(jù)中心聯(lián)盟成立可信云工作組，共同研究建立可信云認證體系。至今，可信云已經(jīng)成為云計算領(lǐng)域信任體系的唯一權(quán)威認證，覆蓋云計算全產(chǎn)業(yè)：從公有云擴展到覆蓋公有云、托管云和私有云三大類云服務模式的認證;從云主機擴展到包括企業(yè)級SaaS、桌面云、云分發(fā)、解決方案等20多款云計算服務和產(chǎn)品測試評估等。
可信云服務認證體系的不斷完善，表明我國云計算產(chǎn)業(yè)的日漸成熟壯大，也意味著將有越來越多的云計算企業(yè)需要這樣客觀的認證。對于用戶來說，安全無疑是決定云服務選型的一大重要考量指標，可信云服務認證體系中雖有涉及安全的認證內(nèi)容，但卻是零散地分布在各項服務指標中，未有一套完整、全面的安全評估方法，因而云服務的安全狀況不能全面、有效地反映給用戶。
為滿足市場需求，數(shù)據(jù)中心聯(lián)盟可信云工作組成員進行了多次探討，認為十分有必要設(shè)立可信云服務安全專項認證，以進一步增強用戶對云服務的信心，保護正規(guī)的云服務提供商，促進云計算產(chǎn)業(yè)良性發(fā)展。對此，2015年年底，中國信息通信研究院、阿里云計算有限公司、廣州賽寶認證中心服務有限公司、北京奇虎科技有限公司、北京世紀互聯(lián)寬帶數(shù)據(jù)中心有限公司、藍盾信息安全技術(shù)股份有限公司、華為技術(shù)有限公司、深圳市深信服電子科技有限公司、北京中睿天下信息技術(shù)有限公司、北京升鑫網(wǎng)絡(luò)科技有限公司等單位的專家共同組成可信云服務安全認證標準起草團隊。團隊參考了國內(nèi)外已有的信息安全標準，結(jié)合國內(nèi)云服務的特性和現(xiàn)有的可信云評價體系，決定從云服務用戶視角出發(fā)，起草制定符合國內(nèi)云服務市場環(huán)境的安全認證標準。經(jīng)過多輪的集中討論，多家云服務提供商試評估和反復修訂完善，數(shù)據(jù)中心聯(lián)盟于2016年12月正式發(fā)布《可信云服務安全認證測評方法第1部分：云主機》。
可信云安全評估全面推進
《可信云服務安全認證測評方法第1部分：云主機》是對云主機這種云服務業(yè)務形態(tài)進行的安全評估。評估完全從用戶的角度出發(fā)，考察云服務提供商所提供的云主機服務的安全保障程度。具體評估分為兩個方面：一方面是通過技術(shù)手段，測試云主機服務本身的安全狀況。測試的方法主要采用黑盒、遠程測試的方式，對用戶可見的Web Portal管理平臺和云主機鏡像進行技術(shù)測試，測試內(nèi)容包含云主機密鑰登錄、身份鑒別、登錄失敗處理、傳輸安全、訪問控制、口令歷史有效次數(shù)、雙因子認證、異常錯誤測試、敏感信息泄露探測、SQL注入測試等34個用例，幾乎覆蓋了所有技術(shù)安全風險點，最大限度地反映出云服務提供商的安全能力和安全狀況。
另一方面是通過材料審查的方式，評估云服務運營/管理機構(gòu)的安全管理狀況，包含參評企業(yè)/組織內(nèi)與被認證云服務相關(guān)的人員、設(shè)備設(shè)施、物理環(huán)境等方面的安全性，同時特別考察了云主機漏洞修復或補丁更新周期。為降低企業(yè)負擔，減少重復工作，管理評估部分可采信當前行業(yè)認可度較高的云安全第三方評估/認證結(jié)果，如被評估企業(yè)已獲得CSA C-STAR、ISO27001等云安全相關(guān)的第三方證書，則無需補充現(xiàn)場審核。為了進一步確保測評結(jié)果的真實、有效，數(shù)據(jù)中心聯(lián)盟特邀請了云計算行業(yè)和第三方企業(yè)的專家組成評審團，對技術(shù)測試結(jié)果和提交的材料進行審核評價，最終確認結(jié)果，確保了可信云安全認證結(jié)果的真實、公正。
可信云服務安全評估雖然不是從技術(shù)角度解決云服務面臨的實際安全問題，但卻是以第三方身份向用戶客觀、公正地反映云服務的安全狀況，為云服務提供商和用戶之間建立信任的橋梁，確保了正規(guī)的云服務提供商和用戶的利益。自標準發(fā)布以來，已有數(shù)家云服務提供商參與了評估工作，對提升國內(nèi)云服務的安全水平起到了積極的引導促進作用。
國內(nèi)云計算雖已進入高速發(fā)展時期，但整個云服務的生態(tài)鏈還不健全，未來還將有更多云服務的形態(tài)出現(xiàn)。數(shù)據(jù)中心聯(lián)盟將緊跟云計算產(chǎn)業(yè)的發(fā)展，針對不同行業(yè)用戶的需求和不同云服務的形態(tài)，繼續(xù)起草完善相關(guān)安全標準，以專業(yè)、公正、高效的方式為用戶甄別安全、可信的云服務，幫助正規(guī)云服務提供商脫穎而出，推動產(chǎn)業(yè)健康、可持續(xù)發(fā)展。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。