云計算是網(wǎng)格計算、分布式計算、和并行計算的進一步發(fā)展，目前已成為各行業(yè)關(guān)注的焦點。它是一種基于互聯(lián)網(wǎng)的超級計算模式，建立了一種按需訪問可配置的資源(如網(wǎng)絡、服務器、存儲、應用程序和服務)的機制，具有強大的計算和存儲能力。

　　隨著云計算的普及，安全問題逐步上升，成為制約其發(fā)展的重要因素。2011年4月，亞馬遜云計算中心崩潰，造成亞馬遜云服務中斷連續(xù)四天，應答服務、新聞服務和位置跟蹤等服務都受到影響。同月，索尼云計算服務器遭受一系列的黑客攻擊，丟失了七千七百萬個帳戶的信息。帳戶信息包括姓名、出生日期、電子郵件地址和登錄信息。

　　因此，要讓企業(yè)大規(guī)模應用云計算技術(shù)與平臺，將自己的數(shù)據(jù)放心地交付于云服務提供商管理，就必須全面分析并著手解決云計算所面臨的各種安全風險。

　　1、云計算面臨的主要安全風險

　　2008年，美國的信息技術(shù)研究詢公司Gartner發(fā)布了《云計算風險評估》報告，主要從供應商全能力角度分析了云計算面臨的風險，列出了云計算技術(shù)存在的主要安全風險，如表1所示。

表1 Gartner列出的云計算七大風險

　　2009年云安全聯(lián)盟CSA發(fā)布《云計算關(guān)鍵領域安全指南》，主要從攻擊者角度歸納了云計算環(huán)境可能面臨的主要威脅，提出12個關(guān)鍵安全關(guān)注域，之后發(fā)布了一份云計算安全風險簡明報告，將安全指南濃縮為7個最常見、危害程度最大的威脅，如表2所示。

表2 CSA列出的云計算七大風險

　　2、主要安全風險防范的分析

　　2.1服務器與數(shù)據(jù)庫安全

　　采用云計算的服務或應用，首先服務器和前端的數(shù)據(jù)庫必須可信，之后，企業(yè)才能利用云計算所提供的相應的服務。采用云計算服務的企業(yè)可以將數(shù)據(jù)儲存在互聯(lián)網(wǎng)服務供應商(ISP)所提供的存儲介質(zhì)上，從而大幅降低成本。因此在服務器端保證信息交換、數(shù)據(jù)處理的機密性，完整性和身份驗證非常重要的。

　　2.2網(wǎng)絡安全

　　考慮到云計算的應用，可能的網(wǎng)絡連接方式包括有線和無線。

　　對于大型企業(yè)，云計算服務提供商最好構(gòu)建采用專線或者租用線路模型。因此需要在網(wǎng)絡上使用加密系統(tǒng)和認證機制，從而維護信息安全。此外，采用云計算的企業(yè)的安全威脅不止來自外部，也可能出現(xiàn)在企業(yè)內(nèi)部。因此為保證信息安全和服務質(zhì)量的，企業(yè)和云運算服務提供商必須達成服務級別協(xié)議(SLA)。服務級別協(xié)議中必須對服務質(zhì)量和安全性有明確和準確的定義。

　　對于中小企業(yè)，云計算服務商往往采用虛擬專用網(wǎng)絡(VPN)向他們提高服務。對于那些沒有保密信息的傳輸，通過互聯(lián)網(wǎng)會是最好的選擇，但是這種服務是不安全的。

　　隨著無線通信應用的發(fā)展，移動云計算也成為當前的一個發(fā)展方向。移動云計算是指通過移動互聯(lián)網(wǎng)絡以按需、易擴展的方式獲得所需的基礎設施、平臺、軟件(或應用)等IT資源或(信息)服務的交付與使用模式。無線網(wǎng)絡具有如低成本，低功耗，高擴展，和更多的靈活性等優(yōu)勢。然而，信息在傳送過程中容易被截獲、欺騙、篡改。因此，信息安全風險更為突出。

　　2.3用戶認證

　　管理用戶帳戶和相應的授權(quán)訪問權(quán)限非常重要。很多企業(yè)采用單點登錄(single sign on，SSO)，或者給每位員工不同的帳戶以訪問不同系統(tǒng)。這是一種不合適的方法。此外，管理授權(quán)的訪問權(quán)限也是一個關(guān)鍵。

　　通過集中的身份和訪問管理，云計算的用戶能夠以一種標準的方法保護影響信息安全的操作和信息，從而滿足安全需要，增加效率和避免風險。

　　云計算的用戶認證與授權(quán)措施需要具備如下的能力：

　　1)身份管理。在用戶身份生命周期中，有效地管理用戶身份和訪問資源的權(quán)限，具體包括：

　　用戶身份生命周期管理，包括用戶自注冊、自管理和自動化的用戶身份標識部署服務。

　　用戶身份控制，包括訪問和權(quán)限控制、單點登錄和審計。

　　2)訪問授權(quán)。在用戶身份生命周期內(nèi)提供隨時的訪問。用戶身份生命周期可能跨越多種環(huán)境和安全域，可以通過集中的身份、訪問、認證和審查，監(jiān)測、管理并降低身份識別和訪問的風險。

　　2.4云端的數(shù)據(jù)安全

　　無論是底層的IaaS，還是中間層的PaaS或者最高層的SaaS，云存儲都是云應用實現(xiàn)的關(guān)鍵。云端的數(shù)據(jù)安全必須達到如下要求：

　　1)存儲和系統(tǒng)保護：服務提供商必須提供存儲系統(tǒng)保護避免發(fā)生數(shù)據(jù)損壞和系統(tǒng)故障的可能。

　　2)數(shù)據(jù)保護：存儲的數(shù)據(jù)必須不允許未經(jīng)授權(quán)的用戶或入侵者訪問，員工的訪問也必須符合授權(quán)和認證的要求。此外，服務提供者必須保證數(shù)據(jù)的完整性。

　　3、結(jié)語

　　云計算具有廣闊的發(fā)展前景，越來越多的企業(yè)正在采用云計算模式。但同時其所面臨的安全風險也是前所未有的。雖然云計算應用中的安全問題現(xiàn)在還有很多亟待解決，但各種解決方案的推出，將大大減少這些威脅，云計算的發(fā)展必將進一步影響世界。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標題：企業(yè)云計算應用中的安全風險防范

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/10839714301.html