一种面向云计算服务安全的评估方法研究

杨瑞

（四川大学网络空间安全学院，成都610065）

0 引言

云计算作为一种新的资源供应模式，通过网络为用户实现弹性资源供应。用户不需要在购买基础设施和系统部署上投入时间和金钱，降低了用户的IT使用成本，将云用户从建设IT基础设施的任务中解放出来，使他们能够更加专注创新和为其服务创造业务价值，有效提升生产效率和服务能力。云计算凭借自身的技术优势和商业优势获得了众多用户的青睐，在市场上获得了巨大的成功，云计算采用率不断上升。

然而随着云计算的不断发展和成熟，云计算安全事故频发，云计算安全问题引起了人们的广泛关注，产业界和学术界针对云计算安全评估展开研究。CSA提出的CCM矩阵[1]是专门帮助云服务商提供更好的云服务，并帮助云用户评估云服务商的整体风险的安全控制框架。我国在2014年发布的GB/T 31167-2014《信息安全技术云计算服务安全指南》[2]针对云计算面临的安全风险提出了使用云计算服务时应具备的信息安全管理能力和技术要求。由左晓栋等人起草的《信息安全技术云计算服务安全能力要求》[3]针对云服务商为政府等部门云服务的场景提出了云服务商应具备的十项安全能力要求。以上研究以文本描述的方式阐述了对云计算安全能能力的要求，为云计算安全评估提供了一定的理论指导。

在云计算安全水平评估方面，Ahmed等人[4]和Luna等人[5]都提出使用云安全联盟（Cloud Security Alliance，CSA）提出的一致性评估问卷……