专家解读｜​云计算服务主要安全风险及应对措施初探

近年来，云计算技术得到了迅速发展和广泛应用，受到政府、金融、教育等各行业单位的青睐，出现了政务云、教育云、金融云、医疗云等行业云服务型态。云计算服务具有高性价比、高灵活性、动态可扩展、专业安全服务保障等特点，有效助力了提升管理效率、节约成本、增强综合安全防护能力。与此同时，云计算服务也面临诸多挑战，如云计算技术基础平台安全性、云上数据的安全管理、云计算服务安全专业人才匮乏等安全风险问题，导致云平台数据安全事件层出不穷。对此，我国对云计算服务的网络安全问题高度重视，相继发布了一系列相关政策。

2014年12月，中央网信办发布《关于加强党政部门云计算服务网络安全管理的意见》，明确了党政部门在采购使用云计算服务过程中，安全管理责任不变、数据归属关系不变、安全管理标准不变和敏感信息不出境的基本要求，提出了统一组织党政部门云计算服务网络安全审查、加强云计算服务过程的持续指导和监督、强化保密审查和安全意识培养等基本举措。

2019年7月，为提高党政机关、关键信息基础设施运营者采购使用云计算服务的安全可控水平，国家互联网信息办公室、国家发展和改革委员会、工业和信息化部和财政部联合发布《云计算服务安全评估办法》。2021年8月，国务院发布《法制政府建设实施纲要（2021-2025年）》提出，要及时跟进研究数字经济、互联网金融、人工智能、大数据、云计算等相关法律法规。

云计算服务中的主要安全风险

云计算技术作为快速迭代的新兴技术，云平台在设计、应用、测试和部署时对安全性考虑仍显不足，在资源高度集中的运行环境下，云平台容易成为黑客的攻击目标，与传统企业的网络环境相比，云平台所面临的攻击威胁更大，产生的影响更大。

一、基础平台风险

云计算基础平台相比传统IT基础设施系统结构更加复杂，设备规模大、应用类型多，这给云计算基础平台安全管理带来了更大的挑战。从历年的安全检查和安全演练情况来看：部分云计算基础平台核心软硬件设备中仍然存在大量操作系统漏洞、配置错误、策略失效等高、中风险安全漏洞；各类云管理平台、业务运营支撑系统中也经常暴露出信息泄露、越权访问、跨站脚本等安全漏洞；云平台远程运维模式和身份认证机制在工程实现中暴露出严重风险隐患；共享物理基础设施的不同租户之间因分离存储、内存、路由等机制失败而导致的虚机跳跃攻击、侧信道攻击等案例时有发生；通过网络钓鱼窃取用户凭据后进行云计算服务跟踪和本地攻击，最终导致大量数据泄露的案例日益增多；云计算服务密钥管理机制不完善，密码技术的合规性、正确性和有效性得不到保障，一直是云计算服务基础平台的安全隐忧。

二、数据安全风险

数据安全是云计算服务安全的最终目标之一，与此同时，数据安全风险也是用户选择云计算服务商时首要考虑的因素，然而从目前情况来看，当前云计算服务中存在的数据安全风险隐患依然很多：数据传输和共享过程中，数据未采取加密机制或加密机制存在缺陷，第三方调用采用明文方式进行传输，数据在同一台物理服务器上不同VM之间通过服务器内部虚拟网络进行通信时的数据安全防护机制考虑不周，这些都可能被攻击者利用从而导致数据信息泄露；云计算基础设施中依然存在大量重要、敏感数据未使用加密技术进行保护，给黑客等不法分子带来可乘之机，导致信息泄露或篡改等行为发生；云服务数据在迁移过程中，遗留数据得不到彻底清除，传输数据得不到有效保护，备份数据得不到合理处置，往往引发数据泄露风险；对开发、测试、生产环境开放接口管理不严格，而导致数据迁移项目中的数据泄露案例时有发生；云计算服务中过度收集用户个人信息，违规使用个人信息，违反个人信息保护法等问题还频频出现。

三、供应链安全风险

目前，国内云计算服务平台所采用的云管平台软件、服务器、网络安全设备、网络交换设备和各类应用软件虽已广泛采用国内厂商供货，但上述设备中使用的CPU、内存、硬盘、关键芯片方面主要供应商仍主要来自美国、韩国等境外企业，“芯片断供事件”给我们敲响了警钟，这些隐藏在二级、三级供应链中的安全风险在今后一段时间内依然是云计算服务商需要持续关注的现实风险。此外，数字供应链发展是未来趋势，供应链安全成为网络安全体系面临的重要挑战。

四、专业人才匮乏风险

据最新发布的《网络信息安全产业人才发展报告》显示，2021年国内网络安全专业人才累计缺口超140万人，而云计算服务安全专业人才缺口更显突出，在历年网络安全攻防演练活动中，由于云计算服务安全管理人员意识不强、技能不足而导致的云平台受到社会工程钓鱼攻击情况时有发生，云平台技术人员由于操作失误、配置不当而引发的网络安全事故也屡屡发生，这些都给云平台安全稳定运行带来了很大的风险隐患。

五、其它风险

当前，考虑到云计算服务应用场景固有的潜在风险，国家各部门陆续出台了多项监管政策和合规要求，云计算服务供应商要做好兼顾合规与风险管控是极具挑战的事情。另外，种类复杂多样的云上应用尚缺乏整体统一的安全规划和策略，快速应对云计算新技术演进面临的风险能力仍存不足。云计算服务中数据泄露和滥用、数据违规共享等安全管理问题也值得关注。

云计算服务安全风险应对措施

通过对云计算服务中的安全风险分析，可采取以下措施对云计算服务安全风险进行防范和持续改进。

一、加强云计算服务中技术和管理安全标准体系研究

据研究表明，云计算平台中的安全问题绝大部分是传统IT系统存在的问题（如各类系统安全漏洞），而剩下的安全问题主要来自新技术架构应用带来的安全技术风险，传统IT技术机制在云计算服务应用场景中产生的技术风险，以及新的服务模式带来的安全管理隐患，这些都需要结合云计算服务特点研究制定有针对性的技术和管理标准来降低隐患。目前，围绕云计算平台之间的元数据和数据交换，不同云平台之间的应用迁移，云运营服务的监控、审计、计费和通告机制，云计算服务中密码支撑体系建设应用，云平台的业务连续性要求以及服务水平协议等，都需要开展研究并逐步形成标准体系以保障云计算服务安全。

二、保障云计算服务供应链安全

随着云技术和其他新兴科技的发展，供应链生态安全日益受到关注，整个供应链生态环境的每个环节都需要通力合作，在设计研发、采购、运行维护、日常监督阶段均应关注供应链安全问题，一是要求信息系统、组件或服务的开发商在系统生命周期的早期阶段说明系统中的功能、端口、协议和服务；二是要求信息系统、组件或服务的提供商对供应链产品开展安全性评价工作；三是要求信息系统、组件或服务的开发商即使在交付信息系统、组件或服务后，也应跟踪漏洞情况，在发布漏洞补丁前便应通知云计算服务商；四是定期对供应链上的服务商进行评审和论证，要求供应链的供应商遵守信息安全、保密、访问控制、隐私、审计、人事策略和服务级别要求和标准。

三、加速培养云计算服务安全专业人才

相对于传统网络安全问题，云计算服务中的网络安全问题更加复杂，一旦发生网络安全事件，其造成的影响和破坏性也会更大。我们需要集中精力在信息安全领域培养更多合格的专业人员，满足日益增长的云计算安全专业人员的迫切需求，同时提升现有从业人员安全技能，尤其是云计算安全评估方面的技能。一方面高等院校在网络空间安全人才培养中可通过开设云计算安全技术相关课程，提升学生在云计算安全技术方面的素养，为今后的就业打下良好的基础；一方面可通过社会职业技能教育方式，开展云计算服务安全技能集训、考核和认证，不断完善云计算服务安全技术人员培训认证体系，培养更多、更优质的云计算服务安全专业人才。

四、进一步夯实云计算服务网络安全评估工作

实践经验表明，云计算服务安全评估是网络安全工作中的重要抓手，是提升云计算服务安全防护能力的关键一环，通过持续安全评估可及时发现、排除安全隐患，提升云计算服务的可控性和安全性。云计算服务网络安全评估是依据国家云计算服务安全评估办法和相关标准规范，对云计算服务从系统开发与供应链安全、系统与通信保护、访问控制、配置管理、维护、应急响应与灾备、审计、风险评估与持续监控、安全组织与人员、物理与环境安全等方面进行综合评估。云计算服务安全评估涵盖了《网络安全法》中等级保护要求，可满足物理环境、通信网络、区域边界、计算环境、管理中心、管理制度、管理机构、管理人员、建设管理和运维管理等十个方面的等保测评要求。云计算服务安全评估还涵盖了商用密码测评要求，满足《密码法》中密码算法、密码技术、密码产品等方面有相应要求。

网络安全已经成为国家战略，相关责任和义务已通过法律形式进行明确，网络安全工作没有终点，云计算服务中的安全工作更显复杂。随着云计算技术的快速发展和广泛应用，云计算服务必将会面临更多的安全风险挑战，云计算服务安全工作需要在国家、行业的监管引领下，云服务商、安全解决方案提供商、供应链企业、第三方评估机构和人员培训认证机构等共同参与，持续提升安全防护能力。（信息产业信息安全测评中心 锁延锋）