如何搭建基於雲的企業資訊保安框架

傳統的資訊保安建設方法大都從單個系統出發，很少考慮整個組織的全域性資訊保安。但應對雲計算和網際網路環境下的資訊保安實際工作應該從一個組織或企業的整體出發，整體考慮所有系統，引入基於雲的安全體系設計方法，合理搭建企業資訊保安的框架。 　　企業資訊保安是以建立企業資訊化空間可信環境與秩序作為發展目標的，不僅要保障資料與系統安全，還要對基於參與者主題的“行為與內容”進行資源管理、認證及監控。因此，企業資訊保安的重要任務是透過把企業內外部相互孤立的資訊保安資源集中、整合起來，在一個安全框架內構成專門的管理、監管、認證和控制功能或職能，行成一個資訊保安體系。 　　企業資訊保安框架要考慮企業的多樣性。企業型別的多樣性決定了他們資訊保安建設的重點和關注點也有所不同。企業根據生產方式不同至少可以分為三大型別：製造型企業、流通型企業、服務型企業。以製造型企業為例，企業資訊化以生產製造業務為核心，資訊保安的主要關注點是生產流程的可靠性與設計生產的一致性。因此，用一套框架或系統服務於所有行業、不同規模的企業是不科學也是不現實的。但是我們可以提出基本的核心要素及結構供不同企業參考。 　　企業資訊保安管理體系框架的基本要素分為：安全管理、安全運維、安全技術建設。 　　安全管理體系採用“設計、實施、檢查、改進”過程模式監理企業的資訊保安管理體系。這四個步驟成為一個閉環，透過環的不斷運轉使資訊保安管理體系得到持續改進，使資訊保安績效螺旋上升。對應這四個步驟，企業資訊保安管理檢視可以包括以下流程：合規管理、資訊保安管理、資訊保安策略管理、風險評估管理。 　　安全運維體系在企業資訊保安框架中是資訊保安的系統功能檢視，是企業資訊保安目標的系統化分解、系統化執行的核心檢視。在安全策略的指導下，安全組織利用安全技術來達成安全保護目標的過程。企業安全運維主要包括安全監控、事件響應、事件審計、外包服務等流程。 　　技術體系更多是解決安全風險點的問題，也就是我們常說的就事論事：有病毒就殺病毒、有漏洞就補漏洞等。但是，資訊分散在一系列工作流程的各個環節中，因此需要對各項日常執行工作流程進行安全控制，也就是從資訊的生命週期進行流程控制，即在資訊的建立、使用、儲存、傳遞、更改、銷燬等各個階段進行安全控制。 　　安全技術主要包括物理安全、基礎架構安全、身份安全、資料安全和應用安全的技術機制和技術管理等流程。採用哪些安全技術，市場上有哪些工具可以使用，是企業資訊保安管理者關心的問題。一般來說，可以按照從上到下資訊所流經的裝置來部署工具，即從資料安全、終端安全、應用安全、主機安全、網路安全、物理安全六個方面來選擇不同的安全工具。由於資訊保安工具繁多，要按照“適度防禦”的原則，綜合採用各種安全工具進行組合，形成企業“適用的”安全技術防線。最後，需要一到兩種提供綜合管理的工具來幫助把所有的安全監控工具進行統一管控。

by 雷萬雲《資訊保安保衛戰》一書

雲計算的安全威脅凸顯

雲計算正在引領一場I T產業變革的新浪潮；其根本目的是為了降低人、企業、組織的計算成本。如今採用模組化設計理念的雲箱的正式商用，讓雲計算真正落了地。但云計算照樣存在安全威脅，不可等閒。

一是拒絕服務攻擊。

雲計算以寬頻網路和W e b方式提供服務，其可用性方面會受到挑戰，針對雲計算的拒絕服務攻擊， 需要雲計算服務提供商認真調查、採取相應的專門保護措施； 雲計算快速彈性的特徵，要求服務提供商自身必須具備非常強大的網路和伺服器資源，按需服務的特徵，又對業務開通和服務變更等環節提出了靈活性的要求。這兩個特徵結合在一起， 使得雲計算服務很容易成為濫用、惡意使用服務的溫床。

二是不安全的介面和API（應用程式程式設計介面）。

“開放” 是雲計算時代一個重要的業務變革方向；雲計算服務商需要提供大量的網路介面和A P I來整合上下游、尋找業務夥伴，甚至直接提供業務。但開發過程中的安全測試、執行過程中的滲透測試以及測試功能被開放出來後，會帶來新的安全威脅。

三是惡意的內部員工。

Verizon Business最新的資料洩漏調查報告顯示，48%的資料洩漏是由於惡意的內部人士所為。雲計算服務作為某種程度上的外包業務，工作上有許可權、有能力接觸並處理使用者資料的範圍進一步擴大，其中包括使用者自己的內部人士、供應商員工、雲計算服務商的管理維護人員、雲計算服務商的供應商員工等。這種訪問範圍的擴大，增加了惡意的“內部員工”濫用資料和服務的可能性。

四是共享技術產生的問題。

資源的虛擬化和共享是雲計算的根本，但這種共享是有代價的，最為典型的代價就是使得安全性降低，從2007年開始，主流的虛擬層軟體屢有漏洞被發現。

五是資料洩漏。

資料洩漏是雲計算、尤其是公共“雲”最被人們擔心的問題。因此，企業或組織的管理層和I T決策者， 需要仔細評估雲計算提供商對資料的保護能力。金鑰管理也是一個挑戰，因為金鑰的丟失會導致資料毀壞，金鑰的國度分享又會削弱加密的效果。由於同宿主機上其他客戶的法律取證要求，也會導致不必要的資料外洩和損失。

六是賬號和服務劫持。

在“雲”環境中，如果攻擊者能夠獲得你的賬號資訊，他們就可以竊聽你的活動和交易，操縱處理的資料，傳送虛假的資訊，將你的客戶引到假冒的站點，並且被“劫持”的服務和賬號可能被利用，以便發起新的攻擊。

七是未知的風險場景。

由於雲計算服務商和使用者之間存在很大的資訊不對稱性。使用者選擇將自己的I T計算和服務外包給雲服務提供商，就是為了解放和最佳化自己的資源，沒有必要也沒有足夠的資源去全面洞察“雲”中的所有細節；雲服務提供商出於商業機密和安全考慮，並不情願分享所有的關鍵資訊（即使是和安全直接相關的）。於是，雲計算的使用者必然需要處理大量的未知安全風險。實際上，這些未知安全風險，即那些未知漏洞是雲中真正的危險，而軟體版本、安全實踐、程式碼更新、漏洞情況、入侵企圖、安全設計等，都是可以幫助評估自身所面臨的安全風險的重要因素。

在雲計算的發展過程中，有一個不容忽視又無法迴避的問題：安全性。全球最大的網路安全廠商賽門鐵克表示，保障雲計算和移動裝置的安全，已經成為安全領域的重點。目前來看，安全問題是擺在雲計算發展道路上的一個最大障礙。雲計算安全是涉及技術、法律和監管諸多方面的綜合問題。就技術角度而言，現有的針對叢集式、封閉式，由獨立伺服器構成的IT 系統的安全措施和技術，如防火牆、IDS和IPS等已經比較完善， 針對使用者終端的防毒、木馬查殺等技術也能夠防範大多數的安全威脅，但面向分散式雲平臺、虛擬化環境以及瘦終端環境的安全技術還不完善。從法律層面看，雲計算導致了物理裝置與資料所有權的分離，使用者的資料將存放在自己所有權的雲平臺之上，這帶來了隱私保護、使用者隔離、服務商權利與義務、資料屬地化管理等問題，這需要從法律角度去解決。從國家資訊保安的角度來看，雲計算彙集了巨大的資訊處理能力，也彙集了海量的、涉及各行各業的資訊，對這些處理能力和資訊的濫用將導致巨大的資訊保安隱患。其基本的解決思路之一是對雲計算提供者進行嚴格的監管，明確行業准入門檻和資訊的安全監管要求，同時對何種資料和業務可以使用公用的雲計算伺服器也應該提出明確的監管要求。雲計算的發展有安全和標準化兩個大障礙，需要政府部門、技術界和使用者的共同努力。

對於使用者來說，雲計算的安全問題主要是指雲端資料的儲存和使用安全。由於雲計算的強大資料運算及同步排程能力， 使用者可以不需要像以前那樣為電腦配備超大的硬碟儲存空間， 而是將資料放在“雲端”，需要使用的時候再去雲端讀取。這確實是帶來了極大的便利，但人們會擔心，儲存在雲端的資料是否安全？是否被濫用？是否會丟失？是否被洩露？這就要求雲計算服務提供商必須將安全作為首先要解決的問題，以安全性作為基礎，雲計算才能得到快速、健康的發展。應該說，任何基於網際網路的應用都存在安全問題。在網路時代，沒有絕對的安全可言，但從雲計算的整體技術架構來看，其安全性與其他網路系統是相同的：除了中央資料伺服器外，使用者資料儲存在哪片“雲”裡，沒有人知道，並非那麼輕易就被盜取。就拿網銀系統來說，幾乎所有人都對網銀系統存在著一定程度的擔憂，但是由於它的方便性，還是有越來越多的人願意透過網際網路來進行消費、轉賬等活動。同樣，雲計算作為一種新技術， 在發展之初遇到安全問題並不奇怪，只要產業鏈的相關參與方都能加強自律，並且從技術和法律手段上，制定和採取相應的措施，最大限度地保護使用者的資訊保安，使用者也會接受雲計算帶給的方便。