云计算安全规划的重要性及实施要点

从IT网络和安全的专业视角出发,可以用统一分类的方法来解构云服务架构,也可以被映射到某个包括安全、可操作控制、风险评估和管理控制等诸多要素的补偿模型中,从而使云服务和架构符合合规性要求。

云数据中心的安全形势取决于成熟度、有效性以及实现基于风险调节的安全控制的完全程度,这些安全控制可以在一层或多层上实现,包括设备(物理安全)、网络基础设施(网络安全)、IT系统(系统安全),一直到信息和应用(应用安全),更多的控制还包括人员和过程层面的、职责分离和变更的管理等。云计算模型之间的关系和依赖性对理解云计算的安全非常关键,安全控制参考模型如图6.22所示。

从图6.22可以看出,基础设施即服务(IaaS)是所有云服务的基础,平台即服务(PaaS)一般建立在IaaS之上,而软件即服务(SaaS)一般又建立在PaaS之上。

图6.22　云计算安全控制参考模型图(www.xing528.com)

IaaS涵盖了从机房设备到硬件平台等所有的基础设施资源层面。PaaS位于IaaS之上,增加了一个层面用以与应用开发、中间件能力以及数据库、消息和队列等功能集成。PaaS允许开发者在平台之上开发应用,开发的编程语言和工具由PaaS支持提供。SaaS位于底层的IaaS和PaaS之上,能够提供独立的运行环境,用以交付用户体验,包括内容、展现、应用和管理能力。

云安全架构的一个关键特点是云服务提供商所在的等级越低,云服务用户自己所要承担的安全能力和管理职责就越多。对云计算安全领域中的数据安全、应用安全和虚拟化安全等问题的应对策略和技术进行的对比见表6.33。

表6.33　云计算安全问题应对策略和技术对比