如何进行云计算安全性评估与战略制定

云计算使得商业或消费类IT服务能够通过互联网，以一种灵活地，成本较低的方式。无论用户使用什么设备在什么地点，进程，应用以及服务都能够快速部署和扩展。因此，云计算可以帮助各类组织提供服务水平，更好地进行IT管理，更好满足内部不断变化的对IT支持的需求。此外，云计算还可以同时支持核心业务的要求，为业务创新创造条件。

目前采用的云计算模式有公共云模式，私有云模式以及两种模式共存的混合模式。公有云模式下，任何人通过互联网，都可以按需购买或者按固定费用租用服务。私有云是某个组织拥有并使用。它提供了与公有云一样的很多便利，同时使所有者有更大的灵活性和控制力。

云计算的好处是显而易见的。而在云计算实施中的安全性问题也必须重视。采用云计算方式而忽略安全性无疑会使整个IT设施暴露于风险之下。云计算导致了新一个层面的风险。由于云计算模式下，大量服务外包给第三方，使得保证数据真实性和隐私性，数据和服务的可靠性，以及保证合规性方面变得更加困难。尽管IT服务已经转移到云端，用户依然需要保证合规性以及数据安全。因此，用户必须与他们的云计算合作伙伴之间建立信任关系，理解公共云或者私有云环境带来的风险。

云计算带来的安全挑战

云计算安全与传统IT安全最重要的不同之一来自于大规模的基础设施共享。来自于不同公司，不同安全信任水平的人员长期共享同一套计算资源。对于公有云服务由一大批服务商所提供，数据存储和处理都在外部环境中完成。

就算在云内部，也很难具体定位数据的存储位置。传统的可见安全过程被抽象层所屏蔽。这种不可见性会导致数据安全，服务可靠性，合规性，SLA保障以及整体安全管理的一系列问题。

安全过程的可见性对于合规要求尤其重要，无论是萨班斯法案，美国的医疗保险责任法案(HIPAA)欧盟关于隐私方面的法律，以及其他很多国家的法律都对系统的可审计性提出要求。而很多公共云对于用户来说就是一个黑盒子，这样的话，用户很难证明自身系统的合规性。(私有云和混合云模式通过一定程度的配置，可以满足这类合规性的要求)。

此外，云服务商会被要求提供第三方审计功能，或者提供对电子取证的支持。这样就使的安全的可见性变得尤其重要。如果数据没有被正确的隔离，那么对某个用户的数据取证可能会影响到其他用户的数据安全。这就意味着，一些敏感数据不适合存放在云环境中。