云泄露责任难究，“硬核”评估有办法

　　“云”中潜藏着安全隐患

　　从国家“十三五”规划、国务院促进云计算产业的意见、工信部云计算发展的行动计划到地方政府纷纷出台“政务上云”“企业上云”的政策和计划，云计算服务呈现快速发展的态势和良好的市场前景。根据中国信息通信研究院最新发布的《云计算发展白皮书(2019年)》，2018年，我国云计算整体市场规模达962.8亿元，增速39.2%，国内大部分政务服务系统及关键信息基础设施平台已经或正在逐步上“云”。

　　“云计算服务平台即云平台，可以把计算、网络、存储等进行虚拟化，云上用户能够如用水用电一样按需获取上述资源。”360公司云安全产品专家张利民告诉记者，党政部门采购云计算服务，有利于提高资源利用率和为民服务效率与水平，但云平台中也潜藏着诸多安全隐患。

　　“云计算使网络边界模糊化、虚拟化，给网络安全带来了巨大的挑战，传统网络可以通过交换机、IDS等设备进行日常监测、审计，而云主机间的通讯流量对于传统的安全防护产品来说是不可见的。”张利民说，如2017年的“永恒之蓝”事件暴露了政企用户在安全管理和运维工作中存在的诸多问题，特别是在网络安全的运营监测和态势感知、威胁预警和分析处置方面，国家和有关政企用户缺乏有效的技术手段和足够的能力。

　　“云计算作为信息产业的颠覆性产业，数据的安全是首要问题。云服务平台上往往承载大量数据，这些数据在传输和存储过程中有丢失、篡改、泄露等风险。”复旦大学大数据试验场研究院、上海市数据科学重点实验室副研究员张帆说，同时，云服务平台往往涉及云平台建设和设备提供方、云服务提供方、租户、监管方、测评方等多协同单位参与建设与运营管理，这就造成了云服务平台各方安全责任边界不像传统模式下那么清晰。

　　北京邮电大学信息安全中心副主任辛阳举例，一个云安全服务商可能同时为多个租户提供服务，这些租户之间虚拟资源相互隔离，但物理上可能在相同的设备上，攻击者可能会突破虚拟资源的权限，完成虚拟机逃逸，并获得控制物理机的权限，进而攻击或窃取其他租户的数据。

　　为此，《评估办法》指出，本次开展云计算服务安全评估，是为了提高党政机关、关键信息基础设施运营者采购使用云计算服务的安全可控水平，降低采购使用云计算服务带来的网络安全风险，增强党政机关、关键信息基础设施运营者将业务及数据向云服务平台迁移的信心。

　　“《评估办法》的出台细化了对于云计算服务平台的安全要求，使我国企业和政府部门业务能够安全上云，有助于筑起我国网络和信息安全的重要防线。”张帆说。

　　对云服务商提出更高要求

　　“未来云计算的发展，除了提供多用户架构良好设计的同时，还必须要有确实可信的云计算运营商。”张帆说。

　　为此，《评估办法》指出，本次重点评估内容包含云平台管理运营者(以下简称云服务商)的征信、经营状况等基本情况；云服务商人员背景及稳定性，特别是能够访问客户数据、能够收集相关元数据的人员；云平台技术、产品和服务供应链安全情况；云服务商安全管理能力及云平台安全防护情况；客户迁移数据的可行性和便捷性等。

　　“相较于以往的安全审查，这次评估针对性更强，目标重点面向党政机关和关键信息基础设施运营者所采购的云计算服务。”辛阳说，这次出台的《评估办法》也更为全面，不止关注云安全技术评估，还包括云平台管理经营状态、服务人员资质、安全管理能力、服务商业务连续性等全方位的测试评估。