2014年12月，中央網(wǎng)信辦發(fā)布《關(guān)于加強黨政部門云計算服務(wù)網(wǎng)絡(luò)安全管理的意見》，明確了黨政部門在采購使用云計算服務(wù)過程中，安全管理責(zé)任不變、數(shù)據(jù)歸屬關(guān)系不變、安全管理標(biāo)準(zhǔn)不變和敏感信息不出境的基本要求，提出了統(tǒng)一組織黨政部門云計算服務(wù)網(wǎng)絡(luò)安全審查、加強云計算服務(wù)過程的持續(xù)指導(dǎo)和監(jiān)督、強化保密審查和安全意識培養(yǎng)等基本舉措。
2019年7月，為提高黨政機關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運營者采購使用云計算服務(wù)的安全可控水平，國家互聯(lián)網(wǎng)信息辦公室、國家發(fā)展和改革委員會、工業(yè)和信息化部和財政部聯(lián)合發(fā)布《云計算服務(wù)安全評估辦法》。2021年8月，國務(wù)院發(fā)布《法制政府建設(shè)實施綱要（2021-2025年）》提出，要及時跟進(jìn)研究數(shù)字經(jīng)濟(jì)、互聯(lián)網(wǎng)金融、人工智能、大數(shù)據(jù)、云計算等相關(guān)法律法規(guī)。
云計算服務(wù)中的主要安全風(fēng)險
云計算技術(shù)作為快速迭代的新興技術(shù)，云平臺在設(shè)計、應(yīng)用、測試和部署時對安全性考慮仍顯不足，在資源高度集中的運行環(huán)境下，云平臺容易成為黑客的攻擊目標(biāo)，與傳統(tǒng)企業(yè)的網(wǎng)絡(luò)環(huán)境相比，云平臺所面臨的攻擊威脅更大，產(chǎn)生的影響更大。
一、基礎(chǔ)平臺風(fēng)險
?云計算基礎(chǔ)平臺相比傳統(tǒng)IT基礎(chǔ)設(shè)施系統(tǒng)結(jié)構(gòu)更加復(fù)雜，設(shè)備規(guī)模大、應(yīng)用類型多，這給云計算基礎(chǔ)平臺安全管理帶來了更大的挑戰(zhàn)。從歷年的安全檢查和安全演練情況來看：部分云計算基礎(chǔ)平臺核心軟硬件設(shè)備中仍然存在大量操作系統(tǒng)漏洞、配置錯誤、策略失效等高、中風(fēng)險安全漏洞；各類云管理平臺、業(yè)務(wù)運營支撐系統(tǒng)中也經(jīng)常暴露出信息泄露、越權(quán)訪問、跨站腳本等安全漏洞；云平臺遠(yuǎn)程運維模式和身份認(rèn)證機制在工程實現(xiàn)中暴露出嚴(yán)重風(fēng)險隱患；共享物理基礎(chǔ)設(shè)施的不同租戶之間因分離存儲、內(nèi)存、路由等機制失敗而導(dǎo)致的虛機跳躍攻擊、側(cè)信道攻擊等案例時有發(fā)生；通過網(wǎng)絡(luò)釣魚竊取用戶憑據(jù)后進(jìn)行云計算服務(wù)跟蹤和本地攻擊，最終導(dǎo)致大量數(shù)據(jù)泄露的案例日益增多；云計算服務(wù)密鑰管理機制不完善，密碼技術(shù)的合規(guī)性、正確性和有效性得不到保障，一直是云計算服務(wù)基礎(chǔ)平臺的安全隱憂。
二、數(shù)據(jù)安全風(fēng)險
數(shù)據(jù)安全是云計算服務(wù)安全的最終目標(biāo)之一，與此同時，數(shù)據(jù)安全風(fēng)險也是用戶選擇云計算服務(wù)商時首要考慮的因素，然而從目前情況來看，當(dāng)前云計算服務(wù)中存在的數(shù)據(jù)安全風(fēng)險隱患依然很多：數(shù)據(jù)傳輸和共享過程中，數(shù)據(jù)未采取加密機制或加密機制存在缺陷，第三方調(diào)用采用明文方式進(jìn)行傳輸，數(shù)據(jù)在同一臺物理服務(wù)器上不同VM之間通過服務(wù)器內(nèi)部虛擬網(wǎng)絡(luò)進(jìn)行通信時的數(shù)據(jù)安全防護(hù)機制考慮不周，這些都可能被攻擊者利用從而導(dǎo)致數(shù)據(jù)信息泄露；云計算基礎(chǔ)設(shè)施中依然存在大量重要、敏感數(shù)據(jù)未使用加密技術(shù)進(jìn)行保護(hù)，給黑客等不法分子帶來可乘之機，導(dǎo)致信息泄露或篡改等行為發(fā)生；云服務(wù)數(shù)據(jù)在遷移過程中，遺留數(shù)據(jù)得不到徹底清除，傳輸數(shù)據(jù)得不到有效保護(hù)，備份數(shù)據(jù)得不到合理處置，往往引發(fā)數(shù)據(jù)泄露風(fēng)險；對開發(fā)、測試、生產(chǎn)環(huán)境開放接口管理不嚴(yán)格，而導(dǎo)致數(shù)據(jù)遷移項目中的數(shù)據(jù)泄露案例時有發(fā)生；云計算服務(wù)中過度收集用戶個人信息，違規(guī)使用個人信息，違反個人信息保護(hù)法等問題還頻頻出現(xiàn)。
三、供應(yīng)鏈安全風(fēng)險
目前，國內(nèi)云計算服務(wù)平臺所采用的云管平臺軟件、服務(wù)器、網(wǎng)絡(luò)安全設(shè)備、網(wǎng)絡(luò)交換設(shè)備和各類應(yīng)用軟件雖已廣泛采用國內(nèi)廠商供貨，但上述設(shè)備中使用的CPU、內(nèi)存、硬盤、關(guān)鍵芯片方面主要供應(yīng)商仍主要來自美國、韓國等境外企業(yè)，“芯片斷供事件”給我們敲響了警鐘，這些隱藏在二級、三級供應(yīng)鏈中的安全風(fēng)險在今后一段時間內(nèi)依然是云計算服務(wù)商需要持續(xù)關(guān)注的現(xiàn)實風(fēng)險。此外，數(shù)字供應(yīng)鏈發(fā)展是未來趨勢，供應(yīng)鏈安全成為網(wǎng)絡(luò)安全體系面臨的重要挑戰(zhàn)。
四、專業(yè)人才匱乏風(fēng)險
據(jù)最新發(fā)布的《網(wǎng)絡(luò)信息安全產(chǎn)業(yè)人才發(fā)展報告》顯示，2021年國內(nèi)網(wǎng)絡(luò)安全專業(yè)人才累計缺口超140萬人，而云計算服務(wù)安全專業(yè)人才缺口更顯突出，在歷年網(wǎng)絡(luò)安全攻防演練活動中，由于云計算服務(wù)安全管理人員意識不強、技能不足而導(dǎo)致的云平臺受到社會工程釣魚攻擊情況時有發(fā)生，云平臺技術(shù)人員由于操作失誤、配置不當(dāng)而引發(fā)的網(wǎng)絡(luò)安全事故也屢屢發(fā)生，這些都給云平臺安全穩(wěn)定運行帶來了很大的風(fēng)險隱患。
五、其它風(fēng)險
當(dāng)前，考慮到云計算服務(wù)應(yīng)用場景固有的潛在風(fēng)險，國家各部門陸續(xù)出臺了多項監(jiān)管政策和合規(guī)要求，云計算服務(wù)供應(yīng)商要做好兼顧合規(guī)與風(fēng)險管控是極具挑戰(zhàn)的事情。另外，種類復(fù)雜多樣的云上應(yīng)用尚缺乏整體統(tǒng)一的安全規(guī)劃和策略，快速應(yīng)對云計算新技術(shù)演進(jìn)面臨的風(fēng)險能力仍存不足。云計算服務(wù)中數(shù)據(jù)泄露和濫用、數(shù)據(jù)違規(guī)共享等安全管理問題也值得關(guān)注。
云計算服務(wù)安全風(fēng)險應(yīng)對措施?
通過對云計算服務(wù)中的安全風(fēng)險分析，可采取以下措施對云計算服務(wù)安全風(fēng)險進(jìn)行防范和持續(xù)改進(jìn)。
一、加強云計算服務(wù)中技術(shù)和管理安全標(biāo)準(zhǔn)體系研究
據(jù)研究表明，云計算平臺中的安全問題絕大部分是傳統(tǒng)IT系統(tǒng)存在的問題（如各類系統(tǒng)安全漏洞），而剩下的安全問題主要來自新技術(shù)架構(gòu)應(yīng)用帶來的安全技術(shù)風(fēng)險，傳統(tǒng)IT技術(shù)機制在云計算服務(wù)應(yīng)用場景中產(chǎn)生的技術(shù)風(fēng)險，以及新的服務(wù)模式帶來的安全管理隱患，這些都需要結(jié)合云計算服務(wù)特點研究制定有針對性的技術(shù)和管理標(biāo)準(zhǔn)來降低隱患。目前，圍繞云計算平臺之間的元數(shù)據(jù)和數(shù)據(jù)交換，不同云平臺之間的應(yīng)用遷移，云運營服務(wù)的監(jiān)控、審計、計費和通告機制，云計算服務(wù)中密碼支撐體系建設(shè)應(yīng)用，云平臺的業(yè)務(wù)連續(xù)性要求以及服務(wù)水平協(xié)議等，都需要開展研究并逐步形成標(biāo)準(zhǔn)體系以保障云計算服務(wù)安全。
二、保障云計算服務(wù)供應(yīng)鏈安全
隨著云技術(shù)和其他新興科技的發(fā)展，供應(yīng)鏈生態(tài)安全日益受到關(guān)注，整個供應(yīng)鏈生態(tài)環(huán)境的每個環(huán)節(jié)都需要通力合作，在設(shè)計研發(fā)、采購、運行維護(hù)、日常監(jiān)督階段均應(yīng)關(guān)注供應(yīng)鏈安全問題，一是要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商在系統(tǒng)生命周期的早期階段說明系統(tǒng)中的功能、端口、協(xié)議和服務(wù)；二是要求信息系統(tǒng)、組件或服務(wù)的提供商對供應(yīng)鏈產(chǎn)品開展安全性評價工作；三是要求信息系統(tǒng)、組件或服務(wù)的開發(fā)商即使在交付信息系統(tǒng)、組件或服務(wù)后，也應(yīng)跟蹤漏洞情況，在發(fā)布漏洞補丁前便應(yīng)通知云計算服務(wù)商；四是定期對供應(yīng)鏈上的服務(wù)商進(jìn)行評審和論證，要求供應(yīng)鏈的供應(yīng)商遵守信息安全、保密、訪問控制、隱私、審計、人事策略和服務(wù)級別要求和標(biāo)準(zhǔn)。
三、加速培養(yǎng)云計算服務(wù)安全專業(yè)人才
相對于傳統(tǒng)網(wǎng)絡(luò)安全問題，云計算服務(wù)中的網(wǎng)絡(luò)安全問題更加復(fù)雜，一旦發(fā)生網(wǎng)絡(luò)安全事件，其造成的影響和破壞性也會更大。我們需要集中精力在信息安全領(lǐng)域培養(yǎng)更多合格的專業(yè)人員，滿足日益增長的云計算安全專業(yè)人員的迫切需求，同時提升現(xiàn)有從業(yè)人員安全技能，尤其是云計算安全評估方面的技能。一方面高等院校在網(wǎng)絡(luò)空間安全人才培養(yǎng)中可通過開設(shè)云計算安全技術(shù)相關(guān)課程，提升學(xué)生在云計算安全技術(shù)方面的素養(yǎng)，為今后的就業(yè)打下良好的基礎(chǔ)；一方面可通過社會職業(yè)技能教育方式，開展云計算服務(wù)安全技能集訓(xùn)、考核和認(rèn)證，不斷完善云計算服務(wù)安全技術(shù)人員培訓(xùn)認(rèn)證體系，培養(yǎng)更多、更優(yōu)質(zhì)的云計算服務(wù)安全專業(yè)人才。
四、進(jìn)一步夯實云計算服務(wù)網(wǎng)絡(luò)安全評估工作
實踐經(jīng)驗表明，云計算服務(wù)安全評估是網(wǎng)絡(luò)安全工作中的重要抓手，是提升云計算服務(wù)安全防護(hù)能力的關(guān)鍵一環(huán)，通過持續(xù)安全評估可及時發(fā)現(xiàn)、排除安全隱患，提升云計算服務(wù)的可控性和安全性。云計算服務(wù)網(wǎng)絡(luò)安全評估是依據(jù)國家云計算服務(wù)安全評估辦法和相關(guān)標(biāo)準(zhǔn)規(guī)范，對云計算服務(wù)從系統(tǒng)開發(fā)與供應(yīng)鏈安全、系統(tǒng)與通信保護(hù)、訪問控制、配置管理、維護(hù)、應(yīng)急響應(yīng)與災(zāi)備、審計、風(fēng)險評估與持續(xù)監(jiān)控、安全組織與人員、物理與環(huán)境安全等方面進(jìn)行綜合評估。云計算服務(wù)安全評估涵蓋了《網(wǎng)絡(luò)安全法》中等級保護(hù)要求，可滿足物理環(huán)境、通信網(wǎng)絡(luò)、區(qū)域邊界、計算環(huán)境、管理中心、管理制度、管理機構(gòu)、管理人員、建設(shè)管理和運維管理等十個方面的等保測評要求。云計算服務(wù)安全評估還涵蓋了商用密碼測評要求，滿足《密碼法》中密碼算法、密碼技術(shù)、密碼產(chǎn)品等方面有相應(yīng)要求。
網(wǎng)絡(luò)安全已經(jīng)成為國家戰(zhàn)略，相關(guān)責(zé)任和義務(wù)已通過法律形式進(jìn)行明確，網(wǎng)絡(luò)安全工作沒有終點，云計算服務(wù)中的安全工作更顯復(fù)雜。隨著云計算技術(shù)的快速發(fā)展和廣泛應(yīng)用，云計算服務(wù)必將會面臨更多的安全風(fēng)險挑戰(zhàn)，云計算服務(wù)安全工作需要在國家、行業(yè)的監(jiān)管引領(lǐng)下，云服務(wù)商、安全解決方案提供商、供應(yīng)鏈企業(yè)、第三方評估機構(gòu)和人員培訓(xùn)認(rèn)證機構(gòu)等共同參與，持續(xù)提升安全防護(hù)能力。
