5、云环境下的安全审计标准

　　许多企业的信息安全团队平时经常监测安全漏洞邮件列表、给系统打补丁、改写代码以解决缺陷。在云中，尽管云服务用户并不控制实际的打补丁和漏洞监测工作，但我们仍有责任管理自己的风险。所以我们要评估哪些资产需要保护、如何防护这些资产，包括在云基础架构上添加安全措施。云服务客户必须要求保证自己可监测谁在访问自己的数据。比如要求提供详细的审计跟踪记录，应当采用数据加密，或者只把所处理数据不是特别敏感的应用程序交给云服务提供商。

　　6、云环境下的网络取证问题

　　目前法律界已经开始意识到信息安全管理服务是电子信息是否能被接受作为证据的关键因素。当然这是传统IT架构的问题，对其特别关注的原因是法律界对于云没有相关的经验。

　　如何针对云计算环境的网络取证呢？在电子证据发现方面，用户和云提供商必须对对方的角色和责任有共同的认识，包括诉讼保留、发现搜索、专家证词提供方等。建议云提供商提供真实可靠的数据，以保证他们的信息安全系统可以响应客户的要求，比如类似元数据和日志文件的主要信息。云服务提供商保存的数据需要接受与在数据所有者处保存时同样级别的监管。提前计划好相关意料内和意料外关系终止后的合同协商事宜，并有序地恢复或处置资产的安全。云服务用户的责任包括合同前尽职调查、合同期限的谈判、合同执行后的监测、合同终止、以及数据保管变更等。

　　7、对云端安全产品及解决方案要求

　　云端安全产品与非云端安全产品(即当前未应用于云端的主流安全产品)在功能、性能、架构上存在的差异比较大：

　　第一、云端安全产品应防护效果比较综合，我们知道现在的安全产品种类有很多，如：Firewall、VPN、IPS、IDS、AVG(防病毒网关)、Anti-Spam(反垃圾邮件)、上网行为管理等等，他们有一个共同特点就是防护功能比较单一。发展到云端安全产品时，其防护功能比较综合，如：对一个恶意网站访问的阻断，背后可能就阻断了病毒、木马、钓鱼、肉鸡、不健康信息等的威胁；

　　第二、云端安全产品缩短了防护时间。一般来说，从一个病毒出现到被识别、分析、加入病毒特征码库到最终传送给用户计算机，通常要花费24小时到72小时的时间，云计算要求防护时间差缩短到秒级；

　　第三、云端安全产品具备低负荷的特点，其通过云端威胁比对预防威胁，有效减轻网关端的负荷，同时减少病毒代码对带宽、服务器和终端的资源占用，空出更多的网关资源做虚拟化。

　　随着云时代的到来，网络边界逐渐淡化，传统安全防护网关面临最大的挑战是部署在那里。大家知道云计算就是轻量化客户端，将计算任务交付云端处理，因此我们的安全策略将向两极制定。

　　目前已出现了像云火墙、基于信誉服务的云安全3.0、云安全计划、木马云查杀、主动云防御等云安全解决方案。

　　8、云环境下获得安全的云服务

　　像普通应用一样，云应用本质上也是由各种应用程序和协议组成的应用系统，只是在服务模式和运营模式上存在差异性。云应用的主要安全隐患体现在不安全的应用程序接口和没有正确运用上。那么如何才能获得安全的云服务？第一，由于许多云计算部署中缺少对基础设施的物理控制，因此与传统的企业拥有基础设施相比，服务水平协议(SLA)、合同需求及提供商文档化在风险管理中会扮演更重要的角色；第二，如果提供商不能演示证明其云服务的全面有效的风险管理流程，用户应详细评估该供应商，以及是否可以使用用户自身的能力来补偿潜在的风险管理差距。

　　云计算安全是一个新兴的领域，通过上述这些重点领域安全的讨论分析，可能会降低云计算安全威胁程度。但是，随着云计算技术的快速发展和更广泛的应用，将会有更多的安全风险。因此云计算安全之路还有很长，但不管怎么说遵循已有的最佳安全实践还是可以加强云计算安全。

　　(作者单位为新疆医科大学)