云计算下的信息安全研究
发表时间：2019-06-10T11:07:59.187Z 来源：《电力设备》2018年第36期作者：李明
[导读] 摘要：在现代化的今天，每一个国家都时刻经历着信息化浪潮带来的机遇，而云计算技术，正是在信息化背景下，由并行计算、网络计算发展的必然结果，同时它也为IT产业及其应用开辟了崭新的空间。
（国网通辽供电公司内蒙古通辽市 028000）
摘要：在现代化的今天，每一个国家都时刻经历着信息化浪潮带来的机遇，而云计算技术，正是在信息化背景下，由并行计算、网络计算发展的必然结果，同时它也为IT产业及其应用开辟了崭新的空间。但是云计算下信息安全成为了一个急需解决的问题，本文对这些问题进行了分析并提出一些解决办法。
关键词：云计算；信息安全；措施
一、云计算的含义及特点
云计算借用了量子物理中的“电子云”思想，强调计算的弥漫性和无所不在的分布性和社会性特征。所谓的云计算中的“云”，是指用来完成数据存储和应用服务的几十万台、甚至上百万台的计算机群。
1.1云计算的概念
云计算是一种新型的技术，对于这个概念还没有统一公认的界定。以下列举两个比较权威机构对云计算的解释。
维基百科指出云计算是一种能够将动态伸缩的虚拟化资源通过互联网以服务的方式提供给用户的计算模式，用户不需要知道如何管理那些支持云计算的基础设施。IBM则认为云计算是一种共享的网络交付信息服务的模式，云服务的使用者看到的只有服务本身，而不用关心相关基础设施的具体实现。在比较和总结两个定义后，可认为云计算是一种由经济驱动的大规模分布式计算模式，实现抽象的、虚拟的、可动态扩展、可管理的计算、存储、平台和服务等资源池，通过互联网提供给用户，用户无需知道相关基础设施的具体实现。
1.2云计算的特征
从上述定义中，可得出云计算的4个显著特征：
（1）硬件和软件都是资源，通过互联网提供给用户。云计算改变传统的自给自足的IT运作模式，形成分工专业、协同配合的模式。资源不再限定在处理器、网络带宽等物理范畴，而是扩展到软件平台、Web服务和应用程序的软件范畴。
（2）资源可根据需要进行动态扩展和配置。例如，AmazonEC2（Amazon公司构建的云基础设施服务）可以在极短的时间内为华盛顿邮报报社初始化200台虚拟服务器的资源，并在9个小时的任务完成后快速地回收这些资源，来满足用户的需求。
（3）提供给用户的资源在物理上以分布式的共享方式存在，但在结果上以单一整体形式呈现。IBM公司在世界范围内共拥有8所研究院，IBMRC2系统将研究院中的数据中心通过企业内部网连接起来，为世界各地提供服务。作为最终用户，并不知道每次的科学计算运行在哪个研究院的哪台服务器上，分布式的资源隐藏了实现细节，以单一整体的形式呈现给用户。
（4）用户按需使用云中的资源，按实际使用量付费，而不需管理它们。
二、云计算的信息安全问题
云计算作为一项新兴技术，在降低IT管理成本方面有着巨大诱惑力。它可以使公司将计算处理工作的一部分外包出去，信息主管不用花费太多精力在内部服务器维护上，也没有必要额外配备专业技术人员，同时，公司也可以通过互联网实现访问、计算基础设施等操作。一些厂商正是看到了云计算带来的巨大商机，于是陆续设立部门推出专项服务。在此背景下，云计算受到越来越多企业的青睐。但是，与此同时，不可忽略一个关键性问题，那就是：信息安全。一家公司将数据交给云计算供应商管理是有一定风险性的。比如，公司A与某外包公司B签订云计算合同，而B公司又可能与另一个外包商C签订类似合同，C可能又将业务外包给D，如此反复，公司的机密文件将层层传递出去，有着很大的安全风险。
总体来讲，它存在的风险包括：
第一，事前审查性问题。云计算用户对自己的数据资源负有最终责任，为保证数据安全和云计算服务的有效性，有必要在事前对云计算提供商进行外部审计和安全认证。但是，一些提供商却并不接受这样的审查，所以这也是一个问题。
第二，数据存储地点不明。在使用服务时，用户并不了解自己的数据存储地点，不了解数据的存储是否保存于专门介质，不了解提供商时候有效遵循了当地隐私协议。
第三，数据隔离加密问题。因为在云计算服务中，用户的数据存储在一个共享环境中，虽说有加密这一措施，但仍不够，用户该弄清加密服务是不是由专家设计并已经通过一定级别的安全测试，一旦加密系统出现问题，那么用户数据将全部报废。
第四，数据恢复。“天有不测风云，人有旦夕祸福”，一旦数据存储真出现问题，提供商要有辈分文件，以备用户恢复数据。
第五，数据有效性。在理想情况下，云计算提供商不会出现较大危机波动，或者破产或者被收购，但是用户仍然需要确认，如果一旦发生类似问题，自己的数据是否会受到影响，若发生影响，如何取回数据，如何保证取回的数据仍然能有效被使用。
三、云计算中信息安全策略
针对云计算的安全风险评估和信息安全问题，在云计算应用过程中应采用以下几方面的安全策略：
（1）操作权限管理及访问控制。根据用户对信息的需求及数据信息的保密级程度不同，将用户、信息划分为不同的等级，严格控制和管理对信息的访问权限。其次，用户的身份认证和管理也是非常重要的。只有通过认证的授权用户，在其身份的生命周期内才可以访问云中的相应信息。身份认证可以通过单点登录认证、强制用户认证、代理、协同认证、资源认证、不同安全域之间的认证或者不同认证方式相结合的方式，控制信息资源的访问，从而保证数据和信息的安全。
（2）建立私有云、公共云及混合云的安全防护。云计算可按照服务对象划分为私有云、公共云和混合云。私有云一般部署在企业网内部，使用传统的IT安全措施可直接应用到私有云的保护上，安全防护相对比较简单，但也应做好系统容灾、数据备份及业务回退机制，提高针对突发安全事件的处理能力。公共云和混合云则涉及到云服务商和云计算用户，安全防护较复杂，需要云计算服务提供商和用户系统配合，共同提高云计算服务安全水平，以应对云计算系统故障等突发安全风险。
（3）数据的隔离、加密和保护。云计算服务提供商应根据数据和服务的类型而使用不同的隔离技术，来实现用户间及用户不同类型数据间的隔离。为保证云计算的安全必须加强数据的私密性，因而不论是用户还是提供商，都要对数据进行加密。
