CIO年会共话信息安全：云计算很安全

　　2011年IT业界最热的词是“云计算”，云计算应用最大的担忧是安全问题。由比特网与IT专家网主办的以“漫步云端 智享应用”为主题的第四届中国CIO年会于2011年12月15日举办，在下午的信息安全分论坛上，来自用户、厂商及第三方的专家共同探讨了信息安全，尤其是云安全的话题。

　　尽管安全是用户选择云应用的最大的担忧，但实际上云计算却比我们想像的更加安全。因为云计算使合作各方能够做自身最擅长的工作。如云服务提供商可以在云计算的安全上面做更大的安全投资，来确保物理服务器、托管服务器及虚拟服务器的安全。此外，云服务供应商的安全标准与所有主要的物理安全准则兼容，有最新的防火墙和补丁，并具有适当的灾难恢复策略和冗余环境。这种安全水准要超过一家私人公司内部的数据中心，尤其是无力花大把资金投资到安全体系的中小型企业。

　　此外，云服务供应商能够进行适当的职责分离体系，防止数据泄漏和被盗，即使是云服务提供商的根用户都甚至无法穿透你的数据。

　　另外云服务供应商还具有强大的身份管理和登陆解决方案，能够实现有效的管理认证和授权制度。

　　中国人口与发展研究中心信息总监冯方回对云计算环境的信息安全问题展现出乐观态度。他认为，当采取有效的预防措施(你应该已经对内部数据中心采取了预防措施)，云是个很好的方式来管理你的基础设施需求。只要确认选一个值得信赖的服务商并认真阅读服务等级协议(SLA)即可。

　　当然毕竟应用数据是在云中，而非用户的内网系统中，用户又在云外，那么用户仍需要采取必要的安全措施，以确保存储在云中的数据安全：一、安全的数据传输。为敏感数据，尤其是登录名和数据库链接设置SSL连接。二、使用远程登录密码。使用公钥/私钥、双因素认证、或其他强认证技术。不允许远程根登录(root login)到你的服务器，因为黑客、木马常用的工具暴力机器人猎犬会持续不断地对云服务提供商的远程root登录地址空间进行闻嗅。三、对发送到云的敏感数据进行加密。SSL将关注传输过程中数据的完整性，但对存储在云服务器中数据也要进行加密。四、经常审查日志。使用日志分析软件，同时进行人工审核。自动化技术与人工审核政策相结合是一个很好的分层实例。

　　虚拟化是私有云最为关键的技术。虚拟化打破了原来传统环境中通过网络边界构筑的安全防护，云环境中更是彻底打破了传统的网络边界。原来通过网络设备控制彼此流量的方法已经不能够完全保障安全了。因为虚拟机之间之间的通信流量并不受防火墙的管控，此外，一些虚拟机的管理员拥有与网络管理员一样的权限，可以去修改网络上的配置，因为在虚拟管理层里面可以配置自己的虚拟网络。在保护安全的同时，还不能使虚拟机密度下降(虚拟机密度直接影响着运行成本)。

　　赛门铁克首席信息安全技术顾问林育民认为在虚拟化环境中，对虚拟机的保护必须采用一种纵深防御策略来保护安全。他认为从物理环境走向私有云环境，需要考虑基础架构的管理(包括物理环境和虚拟环境)、基础架构的保护以及云环境中的用户身份认证及授权这三个层面的问题。 赛门铁克的私有云安全解决方案能够解决这方面的问题：一是找出私有云环境下哪些虚拟机是非法的或者有漏洞的;二是保证整个虚拟环境与物理环境的安全程度是一致的;三是监控虚拟机上面的运作。据悉，目前亚马逊EC2平台上选用的就是赛门铁克的SEP方案作为安全保护措施。

　　从各方专家的讨论来看，云计算的安全问题并非难以逾越，目前已有很多技术能够解决相关的安全问题。在本次论坛上，除了云安全的讨论之外，还有关于电子认证(网银安全)、系统安全、打印机的信息安全等热门话题的讨论。精彩观点如下：

　　中国电子认证服务产业联盟秘书长，赛迪信息安全研究所的所长刘权在本次会上解读了电子认证服务业十二五发展规划，介绍了电子认证方面的工作及政策目标。据刘权介绍，电子认证服务业主要需要解决三个环节的问题：一个是签名人的真实性，二是签过的电子合同是否可靠，三是数据信息在传输过程的完整性。其中包括签名人身份认证，可靠性认证，涉及到传递、接收、保存、提取、鉴定各个环节，涵盖电子认证专用设备提供，再加上产品研发，专业队伍建设等各个方面，电子认证是一种综合性的高技术服务。

　　中华女子学院计算机系数据库安全专家刘志斌认为保护计算机系统安全性可以有以下几个需要重点来考虑的内容：一，应用系统七分技术三分管理，需要检查缺省口令、程序后门、潜入口令等潜在威胁是否存在;二，应该在管理上界定清楚管理员的权限职责，对数据库管理员的操作日志，要定期检查;三，备份和恢复是永恒的话题;四、及时打补丁;五、注意对系统进行健康体检。

　　荣新IT培训中心CIO张琦认为面对信息安全问题，需要主动出击，形成多层防护体系。根据网络分层模型，服务器应用层主要面临的安全问题是无法访问和中木马，解决方案相应的便是加固并进行代码检测;网关层会面临进出自由的问题，对应的解决方案是制定相关策略并落实;网络层会出现流量异常的问题，能够主动发现和预警;终端层会面临病毒感染的问题，需要进行经常的健康体检。通过层层联动实现统一管理。

　　设计图纸、关键技术信息都是企业最为核心的数据资产，文件打印便是数据泄漏的重要途径之一。由于目前的打印设备越来越趋于网络化，并且设备没有访问控制任何人都能够使用，一旦发生文件泄密也无法进行追踪。理光全球服务中国区解决方案负责人朱晓明介绍了理光输出信息安全管理系统。据介绍，理光输出信息安全管理系统的架构主要有三个部分：一是用户验证，使用机器必须刷卡，同时这个环节可以设定不同的用户权限，并且其中也体现了智能安全打印的功能，因为对于敏感信息打印出来后不希望别人看到，发去打印的文件只有当刷卡之后才能获取就会避免信息被别人看到;二是刷完卡后，该用户在机器上的任何操作都能够被捕获和记录;三是审计，对于大量审计信息的存储，通过设定一些条件进行查询。

　　本次信息安全论坛的讨论让大家对于最新的安全问题及安全解决方案有了更多的认识，同时也扫除了对云计算等技术发展的安全顾虑，有助于进一步推进技术往前迈进。