1. 傳統等保大行其道

什么是等保？等保的作用是什么？其實勿需多言，等保及其相關的政策和標準自頒發之日起就已經在各行業有條不紊的推進?？梢哉f，政府、金融、教育、國有大中型企業等相關信息安全部門負責人都是耳熟能詳。從國家到地方，各層級各縱向行業領域都有相應的機構負責等級保護相關的工作，包括安全咨詢、測試評估、方案改造設計、后期服務運維等等，這其中有咨詢機構、設備生產商、系統集成商、測試評估機構等等，形成了一個完整的生態圈。一切走在有條不紊的運轉，直到云計算虛擬化技術的出現的那一天。

2. 遭遇云計算

云計算虛擬化的出現，顛覆了整個IT業界。IT資產運維管理的方式發生了翻天覆地的變化，以政府行業為代表的各個行業先鋒開始試水云計算和虛擬化，以響應國家“加強信息共享，厲行節約”的號召，就在大家為了這個嶄新的技術歡心雀躍時，信息安全問題卻逐漸凸顯。讓我們來看看主要面臨的問題：

我們的業務是選擇上公有云還是私有云？什么樣的業務適合上公有云？什么樣的業務適合上私有云？哪種云能保障我的業務安全？云計算虛擬化技術使得計算、存儲、網絡等各類資源池化，上層業務調度各類資源以滿足各種應用或租戶在云環境下交付各類業務。但也同時導致安全邊界變得模糊。池化的資源如何劃分邊界？資源池內的業務流如何監管？資源共享了，但是否合規？對于專有云（如政務云），原來大家的業務部署在本地，各家自掃門前雪，各過各的等保，現在都集中在一起，由一個云平臺統一調度管理，誰來負責等保，誰是主體？原來為了信息安全，對于非互聯網業務，直接物理隔離即可，現在統一資源池了，如何隔離？什么樣的業務適合上云？上了云的業務如何與沒有上云的業務實現業務交互？

3. 云計算安全的困局

云計算實際上是一個新興的技術領域，在這個領域內，各領域的代表機構和廠商百家爭鳴、百花齊放，而且都在以自身領域為依托向不同的領域滲透。這表現在，做公有云的廠商開始向私有云的市場滲透，如阿里、騰訊等；做虛擬化軟件的廠商向網絡領域擴展，做網絡的廠商向虛擬化和云平臺領域延展，如VMWare、H3C等企業；原來僅僅服務企業內部的機構開始向混合云轉變，如運營商及一些行業領域內的領軍企業。而且各廠商提供的云計算虛擬化的技術也不盡相同，且各種技術還在不斷演進，因此，如何在這樣的環境下，還能保證我們搭建的云是安全的，實際上是個讓人撓頭的問題。

讓我們來回歸技術，分析一下云計算環境下的安全防護到底包含哪些方面。其實云計算環境從整體上來說可以算是一個大型的業務系統，這個業務系統包含了運營服務的云的平臺，和在其上租賃資源的租戶（或業務）。那么安全問題就可以分成兩層來闡述：

1) 云基礎設施的安全防護

包括構建云計算環境所需的云操作系統（云業務及云基礎設施管理）、虛擬化層（Hypervisor）、基礎設施（網絡、計算、存儲）的安全防護。云基礎設施一旦被攻破將威脅到云平臺所承載的所有應用安全，此部分是云平臺的提供者在構建云平臺時所必須關注的安全風險，因此需要云服務商部署對應的安全防護措施以確?；A平臺的安全性。對于云平臺的使用者來說，云基礎設施的安全防護能力是選擇云平臺時所需要重點評估的內容。

2) 云租戶（應用）的安全防護

針對云計算環境中部署的租戶或應用進行針對性的安全防護，不同的應用所需的安全服務不同，可根據租戶或應用需求靈活定制對應的安全服務。

那么，這樣看來，結合云平臺和租戶的安全，我們可以把問題聚焦在以下幾個方面：

云計算環境下的等級保護如何做？是否有相關的標準來告訴我們什么樣的云才是安全的？老的等級保護的標準是否適用于云計算環境？如何界定云服務方和租戶的責權？如何保障租戶的個性化網絡安全需求？在云計算環境下遇到的新的安全問題如何解決？

這幾個問題，是我們在考慮云計算方案和云安全技術時通常面臨的難題，誰來為我解憂？當然這個時候還是要求助政府。

4. 云計算環境下的等級保護

針對各行業面臨的云計算安全的各種困擾，原等保標準的主要起草單位“公安部信息安全等級保護評估中心”開始牽頭制定云計算安全相關的等保標準，這就是《信息安全技術 信息系統安全等級保護 第二分冊 云計算安全技術要求》（下文簡稱“云計算安全技術要求”）。此標準是由公安部發布的國家級安全標準文件，是在國內參照執行度最高的安全標準。

同時需要說明的是，《信息安全技術 信息系統安全等級保護基本要求》目前規劃了五個分冊，第一分冊是“通用安全要求”，第二個分冊是“云計算安全技術要求”，其余分冊的內容分別包含移動互聯技術、物聯網系統、工業控制系統等領域的的內容，第一分冊是其他分冊的基礎，其他四個分冊都是針對不同領域，對第一分冊的更新和補充。

“云計算安全技術要求”分冊針對云計算信息系統的特點，提出了云計算信息系統安全等級保護的安全要求，其中包括技術要求和管理要求，適用于指導分等級的云計算信息系統的安全建設和監督管理。

也就是說，萬變不離其宗，云計算安全等保實際上是對原有等保標準在云計算方向上的補充。

5. 如何做到云安全的等保合規

隨著云計算這幾年的快速發展，IT建設逐步向云上遷移，在這個IT業務遷移的過程中，安全性始終是用戶無法回避的問題，有了標準的指導，如何選擇適合的建設方案是個考驗眼力和技術水平的工作。正如前文所述，各廠商基于各種創新技術在云計算領域百花齊放，誰的好誰的差？

我們說，只要是符合等保標準，并且掌握長期技術演進優勢的方案，就是適合的方案。