- 相關推薦
云計算時代的安全風險以及解決方法
雖然云計算能夠給企業(yè)帶來諸多好處，不過其存在的問題也是非常顯著的，安全性就是其面臨的最大挑戰(zhàn)之一(或者這根本就是最大的挑戰(zhàn))。在云端存儲數據基本可以等同于將大量的錢放在云上，這無疑會給技術高超的黑客們提供了一個施展才華的好機會。
把重要的數據存儲在第三方服務提供商的云端上會帶來許多問題。例如：服務提供商的員工或者管-理-員是否可信，會不會偷-窺或者更改客戶的數據?其他使用該云服務的用戶會不會通過黑客技術訪問自己的數據?競爭對手會不會通過各種途徑而獲取一些保密的關鍵信息——我們的客戶是誰，我們的訂單情況，定價以及成本信息等?對于企業(yè)業(yè)務來說，這些威脅都是致命的。
事實上，已有案例表明，云安全的確是個巨大挑戰(zhàn)。2017年3月，google docs系統(tǒng)出現了錯誤，導致他人可以訪問用戶的私密文件。受該事件影響，美國電子隱私信息中心(epic)向聯(lián)邦貿易委員會強烈建議，要求google在拿出切實可行的安全保護方案前終止提供該項服務，該組織認為，google對于安全威脅防范不足，這項服務帶有欺詐性。
類似的案例引起了許多組織對于云安全服務的關注。例如，2017年4月，云安全聯(lián)盟發(fā)布了長達83頁的白-皮-書。另外，咨詢公司gartner也發(fā)布了針對性報告，列出了云計算的7大安全隱患，即：優(yōu)先訪問權風險、管理權限風險、數據處所風險、數據隔離風險、數據恢復風險、調查支持風險以及長期發(fā)展風險。
不過，幸運的是，在傳統(tǒng)企業(yè)環(huán)境中，已經有許多專門用來保障計算機、網絡以及存儲安全的工具，這些工具在云計算中也能繼續(xù)發(fā)揮作用。當然，為了更好地使用這些工具，我們首先要弄清楚云計算和傳統(tǒng)數據中心的異同。
相同之處例如：數據的訪問都是通過網絡進行;都需要安全軟件防止攻擊。從這個層面上講，如果將現有企業(yè)的安全解決方案應用到云上，就可以滿足用戶的部分安全需求。
二者同時存在差異，比如在云計算場景中，多個用戶是共享存儲設備，單一的云服務提供商會同時支持多個用戶的數據存儲或者應用，這會讓安全防御面臨許多新的問題。鑒于此，我們對云安全要重新審視。
云需求存在差異
不同的云計算用戶對于云計算的需求以及安全方面的要求也是不同的。對于其中的一個極端——低端用戶，如新成立的小公司，可以無所顧忌地使用云計算，因為服務提供商所提供的服務以及安全保障一般會超出其需求。而對于另一個極端——高端用戶，如大型企業(yè)則要采用一個混合的模式�？紤]到法律以及風險管理等問題，他們將會把比較敏感的數據以及應用放在本地，采用內部云或者私有云。而對于中型規(guī)模的企業(yè)，則會根據自身的不同需求選擇云計算，例如在線協(xié)作、合作伙伴整合、社交網絡等。
風險以及規(guī)避策略
具體說來，如下：
1. 服務提供商安全保障不足
在云環(huán)境中，所有的安全保障都依賴于云服務提供商，他們控制了存儲數據、運行應用的硬件設施以及管理程序，其風險防范能力是最為首要的。
規(guī)避策略：
人是最大的威脅，由此對于云服務提供商員工的監(jiān)控、培訓以及管理是最基本的措施;除此之外，保證云的物理設施以及網絡的安全也非常關鍵。
2. 來自其他云用戶的攻擊
由于云服務是多家共享的，如果用戶之間的隔離措施失效，一個用戶完全有可能侵入另一個用戶的數據，或者干擾其他用戶應用的運行。而且，極有可能出現的一種情況是，兩家共用一臺服務器的用戶是競爭對手，這就存在很大的安全隱患;甚至還有一種情況是，其中的一家是專門從事黑客活動的。
規(guī)避策略：
最常用的技術是虛擬化(最好通過hypervisor)以及網絡隔離(例如防火墻、vlans以及加密技術)。
3. 可用性以及可靠性
由于云服務必須通過互聯(lián)網訪問，所以互聯(lián)網的可靠性以及可用性就顯得尤為重要。
規(guī)避策略：
最好的保證云服務可靠性以及可用性的方法是和服務提供商緊密聯(lián)系，對其正常運轉時間(uptime)進行監(jiān)控。目前，多數云服務提供商的正常運轉時間還是不錯的，但并不完美。每個主流的云服務提供商都曾出現過停止運轉時間(downtime)，例如salesforce、amazon、google等。可以考慮和服務提供商簽訂服務水平協(xié)議(service level agreements，slas)，一旦出現停機可以索取相應賠償。另外，在考慮云服務可用性的同時不要忘記保證網絡的可用性，如果網絡不可以正常連接，即便云服務能夠正常運轉又如何?
4. 法律以及監(jiān)管問題
《云計算時代的安全風險以及解決方法》全文內容當前網頁未完全顯示，剩余內容請訪問下一頁查看。
云計算的虛擬性以及國際性特點會催生出許多法律以及監(jiān)管層面的問題。首先，將數據存儲到云上或許會突破本地政府的監(jiān)管范圍，而這是監(jiān)管部門所不允許的;即便允許，當出現沖突時，應該遵從哪一方制定的規(guī)則還是個問題。另外，如果出現了安全問題，誰應該為此負責?
規(guī)避策略：
法律以及監(jiān)管問題無疑需要律師等專家的介入，不過這不意味著技術手段就不會有所幫助。舉個例子，許多有關數據破壞的法規(guī)包括安全規(guī)避條款，規(guī)定如果丟失了加密數據是無需報告的。從這個角度而言，在云計算場景中使用自我加密硬盤(sed)是一種沒腦子的行為。
5. 邊界安全模型被打破
許多組織使用邊界安全模型來保證企業(yè)網絡的安全。而當數據存儲外包以及辦公日漸移動化，這種模型就會有越來越多的局限性。云計算則為該模型敲響了喪鐘，因為云是存在于邊界之外不受企業(yè)控制的。
規(guī)避策略：
首先應該在思想層面上推翻固有的對于安全的防范思路，威脅不再只來自于數據中心外部。
6. 整合服務提供商以及用戶安全系統(tǒng)
企業(yè)已經花了數年的時間改善其安全構架，例如自動防御、對突發(fā)事件進行勘察以及作出迅速反應等，云服務提供商需要將這些系統(tǒng)進行整合。
規(guī)避策略：
雖然云計算是一種全新的事物，不過它也只不過是我們一直熟悉的企業(yè)計算的一種延伸。所以，它應該和當前存在的安全系統(tǒng)進行整合。用戶要要求服務提供商將云服務和自身的系統(tǒng)——諸如企業(yè)目錄系統(tǒng)以及監(jiān)管系統(tǒng)等——進行整合，而不要聽信他們的言論所謂云服務是全新的東西，而將原先的系統(tǒng)大換血。有的服務提供商能夠很好的滿足客戶需求，而有的則無能為力，所以企業(yè)應該用自己火眼金睛去識別。倘若這個問題解決不好，你或許會發(fā)現，你將使用一個完全不兼容的系統(tǒng)，而這會是使用云計算的噩夢。
有條件信任
擁有很好的安全保障機制的云計算服務提供商會將自己同競爭對手區(qū)隔開來，證明自己的優(yōu)勢。為此，他們必須提供一種讓用戶獨立核實其服務安全性的方法。用戶不應該僅僅憑服務提供商的宣傳或者介紹就相信他們。
用戶還應該切實了解：
*服務提供商硬件設施的完備性;
*云服務管-理-員及其他客戶的身份;
*服務提供商采用的具體的網絡安全保護措施是什么。
云計算已經是大勢所趨，而安全也需繼續(xù)前行。向前看，云技術和云安全會齊頭并進。企業(yè)加深自己對于云安全的認識，為邁向全新的云時代做好充分準備!
云計算在醫(yī)療衛(wèi)生上的風險及解決方法2017-03-22 22:04 | #2樓
隨著人類進入21世紀，互聯(lián)網迎來了云計算時代，全國各巨頭紛紛布局。世界著名網絡公司如google，微軟，雅虎，亞馬遜，ibm有或正在建設這樣的“云”。然而，讓世界各個信息巨頭爭先恐后開始研發(fā)所謂的云”，到底是什么？
“云”是一些可以自我維護和管理的虛擬計算資源，通常為一些大型服務器集群，包括計算服務器、存儲服務器、寬帶資源等等。云計算將所有的計算資源集中起來，并由軟件實現自動管理，無需人為參與。這使得應用提供者無需為繁瑣的細節(jié)而煩惱，能夠更加專注于自己的業(yè)務，有利于創(chuàng)新和降低成本。簡單的說，云計算意味著計算能力也可以作為一種商品進行流通，就像煤氣，水電一樣，去用方便，費用低廉。形象的講，云計算就仿佛銀行的自動取款機，我們出門再也不用隨身攜帶大量現鈔，可以根據需要隨時取用。
當奧巴馬露過一項雄心勃勃的計劃，要讓每一個美國兒童通過互聯(lián)網查詢到各醫(yī)院的最新資料。與云計算在美國成熟的發(fā)展相比，國內還僅僅停留在對概念的認知階段，遠遠未能達到打造一條完整產業(yè)鏈的地步。但中國政府卻在這次浪潮中給了云計算這樣一個展示自己實力的機會。中國政府卻開始著手應用云計算展示中國醫(yī)療衛(wèi)生實力的一個機會。現在中國政府在不遺余力地推進以電子病例為先導的智能醫(yī)療系統(tǒng)，幫助醫(yī)療行業(yè)對海量數據進行管理、整合和處理。
然而，世間萬物都是對立統(tǒng)一的，當我們構想著云計算為醫(yī)院帶來的福音的同時，它也存在著很多風險。
1、優(yōu)先訪問權風險
一般來說，醫(yī)院的數據及患者信息都有其機密性。但醫(yī)院把數據交給云計算服務商后，具有數據優(yōu)先訪問權的并不是相應醫(yī)院，而是云計算服務商。如此一來，就不能排除患者信息和醫(yī)院數據被泄露出去的可能性。
2、管理權限風險
雖然醫(yī)院把數據交給云計算服務商托管，但數據安全及整合等事宜，最終仍將由醫(yī)院自身負責。傳統(tǒng)服務提供商一般會由外部機構來進行審計或進行安全認證。但如果云計算服務商拒絕這樣做，則意味著醫(yī)院無法對被托管數據加以有效利用。
3、數據處所風險
當醫(yī)院使用云計算服務時，他們并不清楚自己數據被放置在哪臺服務器上，甚至根本不了解這臺服務器放置在哪個國家。 ”
4.數據恢復風險
即使醫(yī)院了解自己數據被放置到哪臺服務器上，也得要求服務商作出承諾，必須對所托管數據進行備份，以防止出現重大事故時，企業(yè)用戶的數據無法得到恢復。
6、調查支持風險
通常情況下，如果醫(yī)院試圖展開違法活動調查，云計算服務商肯定不會配合，這當然合情合理。但如果醫(yī)院只是想通過合法方式收集一些數據，云計算服務商也未必愿意提供，原因是云計算平臺涉及到多家用戶的數據，在一些數據查詢過程中，可能會牽涉到云計算服務商的數據中心。如此一來，當自己需要向其他醫(yī)院提供患者信息及數據時，則無法求助于云計算服務商。
7、長期發(fā)展風險
如果醫(yī)院選定了某家云計算服務商，最理想的狀態(tài)是：這家服務商能夠一直平穩(wěn)發(fā)展，而不會出現破產或被大型公司收購現象。其理由很簡單：如果云計算服務商破產或被他人收購，企業(yè)客戶既有服務將被中斷或變得不穩(wěn)定。
針對其存在的諸多風險，我們需要采取相應措施將風險降到最低。首先，在選擇使用云計算服務之前，應要求服務商提供其it管-理-員及其他員工的相關信息，從而把數據泄露的風險降至最低。其次，出于數據安全考慮，醫(yī)院在選擇使用云計算服務之前，應事先向云計算服務商了解，這些服務商是否從屬于服務器放置地所在國的司法管轄；在這些國家展開調查時，云計算服務商是否有權拒絕提交所所托管數據。再次，醫(yī)院不但需了解服務商是否具有數據恢復的能力，而且還必須知道服務商能在多 長時間內完成數據恢復。 最后，醫(yī)院在選擇云計算服務商之前，必須應當把長期發(fā)展風險因素考慮在內。
基于以上幾點，醫(yī)院需在選擇云計算服務商是進行周密的考核及測試，這樣，云計算能夠安全，健康的應用于醫(yī)療衛(wèi)生事業(yè)，為人類造福。
【云計算時代的安全風險以及解決方法】相關文章：
主板常見故障以及解決方法09-22
孩子不喜歡看書的原因以及解決方法03-05
農村小額貸款風險成因及解決方法09-22
電工維修過程中常見故障以及解決方法04-19
企業(yè)安全風險制度01-24
安全風險應急預案06-28
安全風險告知制度01-03
銀行安全風險管理總結01-20