云计算给等级保护带来新的挑战

   云计算给等级保护带来新的挑战

    对于传统意义的数据大集中，现有的等级保护政策及标准已有了比较明确的保障思路和方法，并在实践中有了比较成熟的案例，但对于云来说，“虚拟化”和“分散处理”两种技术是云计算两项关键技术，也是云区别于以上业务的明显特点，给云平台按照等级保护思路开展安全保障带来了新的问题。对于云计算带来的新挑战，笔者认为主要有以下几点：

    1业务可控性

    等级保护工作的主要目的是提高国家重要信息系统、网络的信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，强调可控，不同地区、单位或个人的系统安全建设需要符合所在国家和地区的法规，目前国家层面、行业层面要求IT部门应对单位关键信息实现自主可控。

    但在云计算环境下，依赖虚拟化技术提供服务，数据可能会在数据中心和物理主机之间移动，以确保负载均衡，用户可能根本无法知道其数据存储位置，甚至更不用说哪个国家或地区了。因此从实现可控目标，定位数据的精确位置对于公共云的应用来说是一个值得考虑的问题。而且所有数据放在公共云上，并且使用共享资源，就很难证明遵从了法规的要求，云平台的安全等级建设是否符合所服务业务和数据的安全等级要求也是要考虑的问题。

    2核心技术的自主可控

    面对云计算，虽然在我国建设了不少公有、私有云计算平台，并不能保证我们就能够控制云平台中的信息资源，也不能保证我们就是唯一的控制者。由于很多技术仍然控制在国外企业手中，大规模的云计算平台可能成为国外*控制中国的平台，一些从国外购买获得而不加以认真研究改良的所谓自主产品，更在很大程度麻痹了国人，这种自主知识产权的本质就是买下了推广他人产品的权利，更为重要的是，互联网是云发挥作用的基础，基于互联网的云计算本身就是巨大安全隐患。

    如何在云计算核心技术并不在我们掌控的条件下实现核心安全技术自主可控是需要重点考虑的问题。

    3虚拟化技术安全问题及测评

    在云平台的安全保障中，仅仅采用传统的网络安全技术是不够的，虚拟化所带来新的安全问题应该得到重视，而且传统的安全防护手段基本安装在系统的内容环境中，易于检查，而且，目前也有了完善的检查技术。但对在系统之外的云计算应用进行检查的难度非常大，如何对虚拟化的安全防护和保障技术进行测评是等级保护中面临的又一问题。