第一篇：基于云計算的電子政務云安全風險評估實施方法初探大全

王鳴 上海交通大學信息安全工程學院

【摘要】 云計算在電子政務中的運用，對于加強電子政務建設、強化政府的服務職能起到了重要的作用，但其安全問題也隨之顯現。本文針對云計算模式下傳統電子政務風險評估存在的不足提出改進方法，同時以P2DR2 模型為基礎給出應對措施。【關鍵詞】 電子政務云 云計算 云安全

一、引言

當前，電子政務發展正處于轉變發展方式、深化業務應用和突出成效的關鍵時期。在這轉變過程中，云計算作為一種新的計算模式和服務模式，正在對電子政務建設發展產生重大影響。與傳統電子政務相比，云計算技術的運用使得電子政務具備了“高效化、集約化、節約化”三大特點，所帶來的規模效益，能有效降低電子政務建設及維護成本。同時，專業化外包服務及標準化的系統部署規范，不僅能夠實現信息資源的有效整合，又能規范政府各部門的辦公流程并通過電子政務進行管理與實現，為業務系統功能的擴展提供了良好基礎。但是一個新生事物的誕生總會伴隨諸多問題，近年來日益頻發的云計算安全事件讓我們深刻認識到云計算安全的重要性和緊迫性，這無疑給國家、政府的信息安全帶來前所未有的挑戰。

二、相關研究

文獻[1] 指出信息安全風險評估是信息安全保障的基礎性工作和重要環節，應貫穿于網絡和信息系統建設運行的全過程。它是從風險管理角度，運用科學的方法和手段，系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。

目前傳統電子政務的風險評估都參照文獻[2] 開展。然而，云計算引入電子政務建設后，傳統風險評估流程及方法存在一定缺陷，如下：

（1）傳統電子政務通常由各使用單位在本單位內部自行建設和運行維護，并在特定條件下按照統一標準規范通過專用網絡通道實現不同單位之間的互聯互通。各單位在單位內部的電子政務網中運行、處理、存儲本單位的信息數據，并對外共享受限信息，同時按照相應的權限訪問其他單位的相關數據。在這種情況下，資產的所有權、控制權都屬于用戶自身，其界限非常明確清晰。但是，在云計算環境中本單位的信息數據可以在單位外部存儲，信息數據與應用程序可以在不同地點運行，信息數據的所有權和控制權發生分離。同時，圍繞信息數據的相關物理資源、基礎軟件、應用軟件的所有權也可能發生變更。因此，傳統的資產分類方法就顯得較為籠統和簡單，忽略了資產所有權、控制權對其價值的影響，無法適應云部署模式要求。

（2）云計算的引入使得電子政務具備了高效化、集約化、節約化等特點，第三方云服務商的出現將推動電子政務建設、運行維護走向市場化和專業化。但與此同時云服務商所提供的服務設施安全防護措施、管理程度、合同履行情況、服務能力等都將成為影響風險的因素之一。

（3）傳統的威脅識別通常先從威脅來源的角度出發進行的劃分，例如自然因素，人為因素。再根據其表現形式進行分類，例如環境因素的表現形式可分為地震、潮濕、軟硬件自身缺陷導致的故障等。這種分類方法適用于傳統電子政務在資產所有權、控制權比較單

一、界限非常明確的情況中。在云計算模式下威脅的動機、目標及攻擊手段所帶來的結果和影響往往模糊不定，涉及范圍較廣。例如，黑客以損害云服務商名譽為目標對基礎設施發動攻擊，但結果有可能造成最終用戶的信息數據丟失。因此傳統威脅分類方法就顯得過于簡單，其邏輯性較差，層次結構不清晰。

（4）傳統的安全風險應對措施通常按照層次進行劃分，分為技術要求和管理要求，技術要求又分為物理層安全要求、網絡層安全要求、主機層安全要求和數據安全要求，各層次之間關聯度較低。在云計算環境中采用這種分析方法得到的結論往往會成為單臺硬件設備的漏洞掃描和安全加固或某一制度的修改，無法從整體出發或從用戶及第三方云服務商關心的問題出發，具有極大的片面性。

三、基于云計算的電子政務風險分析方法

本文將在文獻[2] 的基礎上，針對云計算模式下傳統電子政務風險評估存在的不足提出改進方法。重點圍繞政務云風險評估要素關系、政務云風險評估流程、系統特性評估、云服務商評估、政務云風險要素評估和風險應對措施。3.1 政務云風險評估要素關系模型

在云計算環境下，用戶可以根據需求隨時隨地租用第三方服務商提供的各項資源（存儲空間、周期、計算能力、內存、帶寬等），并對使用量進行調節。然而用戶對所租用的資源只有使用權，并無實際控制權，故第三方服務商對所提供資源的安全防護措施、服務能力、人員背景、管理程度、合同履行情況等都將成為影響風險評估的因素之一。其次，隨著云計算在電子政務中的不斷發展，必然會出現與現行法律法規等不相適應的情況，需要依據新情況來修改或頒布相應的新法律法規。但是修訂工作所涵蓋的內容錯綜復雜，會牽涉到各種利益沖突，難度較大、時間較長，必然成為影響電子政務云安全風險的因素之一。第三，電子政務云建設過程中缺乏統一的整體規劃，也缺乏與之相適應的組織結構、技術標準、管理標準、第三方服務標準等，用戶需要確定哪種云部署模式，哪些數據可以遷移到云平臺，哪些數據不能遷移，這些都成為影響電子政務云安全風險的因素之一

綜合考慮各種相關的安全影響因素，本文提出一種改進的風險要素關系模型，通過擴充評估要素集合，特別突出第三方服務商、安全措施和脆弱性之間的動態因果關系，得到比文獻[2] 中更加系統的安全要素相互作用圖，更適合作為電子政務云信息安全風險評估的模型基礎，具體信息安全風險要素關系圖如圖1 所示。圖片：1876.jpg 700)this.width=700;” style=“max-width:700px;” title=“點擊查看原圖” onclick=“if(this.parentNode.tagName!=?A?)window.open(?60/82_1565_ec0300edfdb08b2.jpg?);” /> 3.2 政務云安全風險評估流程

根據上述電子政務云風險評估各要素之間的關系，本文在文獻[2] 的基礎上設計基于云計算的電子政務云風險評估流程，如圖2 所示。整個流程在原有基礎上增加了兩個重要環節，即系統特性評估分析階段和云服務商調查分析階段。通過系統特性評估分析，明確電子政務系統承載的業務職能、使用范圍、信息分類及重要程度，進而確定采用的云計算部署模式和服務模式。通過對云服務商調查分析，詳細了解云服務商的技術能力、服務能力、管理能力、人員背景情況及合同履行情況等，一方面為后續風險要素評估打下基礎，同時能夠指導用戶完成云服務商的選擇。3.3 系統特性評估分析

云計算所特有的資源池化及透明化；資源彈性及高靈活性；計量付費及低成本；多種網絡訪問模式等性質給電子政務建設帶來了規模效益，它不僅減少傳統電子政務建設及維護成本，同時對電子政務系統功能的變更和服務能力的提高提供了良好的可擴展性。但是從安全角度看，并不是所有政府部門和相關業務應用都適合部署到云計算環境中，是否采用云計算模式，采用哪種云計算部署及服務方式，應該綜合平衡采用云計算服務后獲得的效益及可能面臨的信息安全風險。只有當安全風險在用戶可以承受、容忍的范圍內，或安全風險引起的信息安全事件有適當的控制或補救措施時方可采用云計算服務。

1、電子政務云分類 文獻[4]中指出電子政務網由政務內網和政務外網組成。電子政務引入云計算后，根據其功能、使用對象可分為政務私有云、政務內網社區云和政務外網公共云，如表1 所示。圖片：1877.jpg 700)this.width=700;” style=“max-width:700px;” title=“點擊查看原圖” onclick=“if(this.parentNode.tagName!=?A?)window.open(?61/82_1565_df2bd12f0c14ffd.jpg?);” />

2、電子政務業務分類

確定政務信息后，需要對信息所依托的業博聞新聞務系統進行分析。表2 電子政務業務分類表 圖片：1878.jpg 700)this.width=700;” style=“max-width:700px;” title=“點擊查看原圖” onclick=“if(this.parentNode.tagName!=?A?)window.open(?62/82_1565_567fe3fbf9bc6f3.jpg?);” />

3、云部署模式及服務模式選擇

在上述電子政務信息分類及業務分類的基礎上，綜合安全、建設運維成本等情況確定政務云部署模式及服務模式。圖片：1879.jpg 700)this.width=700;” style=“max-width:700px;” title=“點擊查看原圖” onclick=“if(this.parentNode.tagName!=?A?)window.open(?63/82_1565_bfe922f39a30c48.jpg?);” /> 3.4 云服務商調查分析

確定云部署模式和服務模式后需要選擇確定云服務商，并對云服務商進行調研，了解云服務商的相關情況，為后續風險要素評估奠定基礎。對云服務商的調查分析通常可以由第三方權威機構進行，由權威機構向用戶出具相關調研報告或由用戶自行調查。對云服務商的調查分析一般包括：

1、云服務商背景調查

（1）調查云服務商的經營范圍。（2）調查云服務商的注冊資金及股權構成。原則上不應選擇有外資背景的企業作為云服務商。（3）調查云服務商的運營狀況及財務狀況，確保服務商有良好的企業運營能力和資金實力做好后期的維護保障工作。（4）調查云服務商的資質情況。（5）調查云服務商的服務群體。（6）調查云服務商的補償能力與責任。

2、云服務商服務能力調查

（1）調查云服務商提供的服務模式，即IaaS 服務、PaaS服務、SaaS 服務。以及每種服務所依托的各種軟硬件設備、開發接口等的名稱、型號、功能、性能、容量等指標。（2）調查云服務商提供的云平臺所依托的網絡架構，包括：網絡接入方式、數據傳輸路徑等。（3）調查云服務商提供的部署模式。（4）調查云服務商的定制開發能力。（5）調查云平臺的可擴展性、可用性、可移植性、互操作性等指標。（6）調查云平臺資源占用、帶寬租用、遷移退出、監管、培訓等費用的計費方式和標準。

3、云服務商安全能力調查

根據信息敏感程度、業務分類以及所選擇的云部署模式和服務模式，對下述八個方面的安全能力進行選擇調查。

（1）物理環境安全。調查云服務商的機房選址、環境規劃、環境訪問控制、通信線路防護、供電、防火、防水、溫濕度控制、防盜、防靜電、放電磁干擾等是否符合相關標準的要求。

（2）訪問控制能力。調查云服務商對保護用戶數據及隱私所采取的相關措施，包括：用戶標識及鑒別措施、設備標識及鑒別措施、標識符管理、賬號管理措施、信息流控制措施、服務關閉及數據遷移措施、遠程訪問控制措施、存儲加密措施、虛擬機訪問及隔離措施等。（3）配置管理能力。調查云服務商所提供云平臺的配置管理能力。包括基線配置和詳細配置清單、變更控制措施等。

（4）系統與通信保護能力。調查云服務商提供的系統與通信保護能力。包括：邊界保護措施、傳輸保密性和完整性措施、可信路徑、密碼保護和管理措施、惡意代碼防護措施、內存防護措施、系統虛擬化防護措施、網絡虛擬化防護措施、移動設備物理連接防護措施等。（5）系統開發及供應鏈安全能力。對云服務商開發能力及相關設備供應進行調查。包括：開發過程/ 標準/ 工具情況、外包服務情況、相關設備采購情況、開發商安全體系架構、開發商配置管理措施、開發商安全測試與評估措施、組件真實性檢查措施、系統/ 組件/ 服務防篡改措施等。

（6）監控審計能力。調查云服務商的監控審計能力。包括：信息系統監測措施、垃圾信息監測措施、脆弱性掃描措施、審計記錄措施等。

（7）應急響應及災備能力。調查云服務商的應急響應和災難恢復能力。包括：事件處理計劃、事件處理流程、安全報警機制、安全事件報告、事件響應機制、災備措施、應急響應計劃、支撐用戶的業務連續性計劃、應急演練及培訓等。

（8）運行維護能力。調查云服務商的運行維護能力。包括：維護所使用的工具、技術、機制以及對維護人員進行的有效控制措施。

（9）云服務退出機制。調查云服務商提供的服務退出保障機制。包括：數據完整性校驗機制、數據安全刪除機制等。

3、云服務商安全管理能力調查

調查云服務商對建設、運維的組織管理能力和人員管理能力。包括：建設/ 運維組織架構、安全規章制度、人員篩選機制、人員離職管理、人員調動管理、人員培訓機制、人員獎懲機制、第三方人員安全管理機制等。

4、云服務商人員背景調查評估根據信息的重要敏感程度，確定是否需要對訪問敏感數據的云服務商工作人員進行背景調查。在需要背景調查時應委托相關職能部門進行。3.5 政務云風險要素評估 3.5.1 資產評估

目前，大多數風險評估中都采用了文獻[3] 給出的資產分類方法，這種分類方法具有易理解、無二異性、可重現性等特點，但顯得較為籠統和簡單，不能適應多個不同的云部署模式要求。本文按照云計算服務模型SPI，對資產分類進行細化，從粗到細按層次對資產進行分類，分別為資產類、一級子類、二級子類和三級子類，如下：

1、資產類：分為IaaP平臺、PaaS平臺、SaaS平臺、終端接入設備、信息/ 數據、人員、服務能力、無形資產。

2、一級子類：根據資產屬性的不同對資產進行分類，IaaP平臺的一級子類劃分為基礎環境設施、主機設備、網絡設備、安全設備（硬件）、虛擬主機。PaaS平臺的一級子類劃分為操作系統、數據庫、中間件、API 接口、開發環境/ 工具、安全系統軟件。SaaS平臺的一級子類劃分為應用系統軟件。終端接入設備的一級子類劃分為有線終端、無線終端、外設。信息/ 數據的以及子類劃分為文檔、軟件相關數據。人員是一類特殊的資產，我們將人員的一級子類劃分為用戶單位內部人員、云服務商、承包方人員、第三方監督機構人員；服務能力的一級子類劃分為用戶自身服務和韻服務商服務。無形資產的一級子類分為用戶無形資產和云服務商無形資產。

3、二級子類：根據資產的表現形式或功能，按系統對一級子類進行劃分，例如：基礎環境設施可分為供電設施、供水設施、防雷系統、消防系統、安防系統、防電磁干擾系統、空調系統、內部裝修、布線系統等。

4、三級子類：將二級子類劃分為具體設備及型號ibowen.net。通過上述分類將有助于更好掌握各層級資產的特點、歸屬以及在信息安全方面的差別。同時在分類時應區分資產歸屬（即用戶資產、云服務商資產），這將有助于后續已有安全措施的確定及風險計算。資產分類完成后應根據資產的重要程度對資產的3 個安全屬性進行賦值，最終確定資產價值。具體賦值及量化計算過程本文不再列出，可以參考文獻[2]。3.5.2 威脅評估

傳統威脅分類方法通常從威脅來源的角度進行劃分，再根據其表現形式進行分類。雖然簡單易懂，但層次結構不清晰，無法進行擴展。由于電子政務的特殊地位及重要性，往往成為黑客攻擊的首要目標，其攻擊的動機、方法、途徑、攻擊事件發生階段各不相同，因此我們需要將威脅的不同屬性結合在一起，尋求更有效的分類方法。本文結合電子政務特點，從威脅作用發生過程角度出發對分類屬性進行細化，如下圖3 所示。圖片：1880.jpg 700)this.width=700;” style=“max-width:700px;” title=“點擊查看原圖” onclick=“if(this.parentNode.tagName!=?A?)window.open(?64/82_1565_e7f08925e5c4346.jpg?);” />

首先根據用戶選擇的云部署模式，以業務應用為主線，畫出云服務的數據流圖，并以此為基礎按照威脅源、動機、目標、行為、結果、影響進行分類。其中：

1、威脅源是指安全事件的發起者，本文將威脅的來源劃分為自然環境、系統自身缺陷、惡意人員和非惡意人員。

2、威脅動機是指威脅利用脆弱點發起攻擊的出發點。本文結合電子政務特點將動機劃分為政治利益、經濟利益、蓄意破壞、無意、好奇及不可抗力。

3、威脅目標是安全事件的作用對象。本文按照資產分類將目標分為IaaS、PaaS、SaaS、接入終端、信息/數據、人員、服務、無形資產。

4、威脅行為是指威脅源發起威脅的方法。包括：掃描探測、攔截、竊取、篡改、重放、假冒、否認、破壞/ 攻擊、賄賂。

5、威脅結果是指安全事件導致的破壞或影響。包括：信息泄密、信息破壞、服務中斷。

6、威脅影響是指威脅后果屬性。在電子政務系統中，威脅后果將引起財產損失、行政效率損失、政府公共信譽損失以及危害公共安全。威脅分類完成后應根據威脅出現的頻率對資產進行賦值，具體賦值及量化計算過程本文不再列出，可以參考文獻[2]。3.5.3 脆弱性評估

云脆弱性是云資產本身存在的脆弱點。云脆弱性識別應以資產為核心，針對云服務模式從技術、管理、運維、服務等多個層面進行識別。（表4）圖片：1881.jpg 700)this.width=700;” style=“max-width:700px;” title=“點擊查看原圖” onclick=“if(this.parentNode.tagName!=?A?)window.open(?65/82_1565_c53f855c552ce7a.jpg?);” /> 脆弱性識別完成后應根據對資產的損害程度、技術實現的難易程度、弱點的流行程度，對脆弱性的嚴重程度進行賦值，具體賦值及量化計算過程本文不再列出，可以參考文獻[2]。3.6 風險計算及分析

由于信息系統的功能、用途、使用對象及其特點各不相同，風險計算方法的不同會直接影響評估的各個環節和結果。根據電子政務云特點及風險評估工作要求，電子政務云風險計算應在定性的基礎上引入適當的定量分析，例如相乘法等。相關風險計算方法的研究文獻很多，具體計算方法本文不再列出，可參考相關文獻。

四、電子政務云總體安全防護策略

傳統安全防護框架主要從技術、管理、建設與運維這幾個方面采取相應的安全措施。云計算引入了第三方云服務商，因此對云服務商的安全管理也至關重要。同時從技術層面來講，根據傳統信息系統體系架構，安全防護主要從物理層面、網絡層面、主機層面、應用層面、數據層面考慮采取相應的靜態技術手段。在云計算環境下，虛擬技術的引入、服務模式的創新，使得基于云計算的信息系統體系框架發生了很大變化，我們需要結合這種變化，以P2DR2 模型為基礎，圍繞云環境的架構從基礎架構、平臺、軟件、接入網絡、終端這五個緯度考慮安全防護問題。同時要結合云計算大規模、開放性、按需服務等動態特點，部署全網動態的安全防護體系。圖片：1882.jpg 700)this.width=700;” style=“max-width:700px;” title=“點擊查看原圖” onclick=“if(this.parentNode.tagName!=?A?)window.open(?66/82_1565_b1c6334e8c0888f.jpg?);” /> 圖片：1883.jpg 700)this.width=700;” style=“max-width:700px;” title=“點擊查看原圖” onclick=“if(this.parentNode.tagName!=?A?)window.open(?67/82_1565_afe615b10c23ef7.jpg?);” />

五、結束語

本文在文獻[2] 的基礎上，針對云計算模式下傳統電子政務風險評估存在的不足提出改進方法。重點圍繞政務云風險評估要素關系、政務云風險評估流程、系統特性評估、云服務商評估、政務云風險要素評估，并以P2DR2 模型為基礎，圍繞云環境的架構從基礎架構、平臺、軟件、接入網絡、終端這五個緯度給出初步的風險對應措施。關于云計算安全問題的解決，需要從政策、法律、技術等多個方面綜合考慮，相信隨著云計算的深入發展，各種安全理論會不斷成熟，將不斷推進電子政務云的可持續發展。參 考 文 獻

[1] 國家網絡與信息安全協調小組.《關于開展信息安全風險評估工作的意見》（國信辦〔2006〕5 號）.2006.1.[2] 中華人民共和國國家質量監督檢驗檢疫總局, 中國國家標準化管理委員會.信息安全技術 信息安全風險評估規范.GB/T 20984-2007.2007.11.[3] ISO/IEC, Information technology-Security techniques-Guidelines for the management of IT security Part1:Conceptsand models for IT Security, ISO/IEC TR 13335-1:1996.[4] 原國務院信息化工作辦公室,《國家電子政務總體框架》（國信〔2006〕2 號）,2006.

第二篇：云計算安全

云計算安全

前些天去聽了下“中國計算機大會”的安全專場，在杭州的“第一世界大酒店”。

我前一天晚上記錯了，告訴老婆說，我明天要去“世界第一大酒店”開會，牛B的不行，到了才知道，原來是“第一世界大酒店”。

這次大會是我們公司的主場，主會場是討論云計算、物聯網。安全有個分會場，來了許多專家，估計是出于主辦方的要求，言必出“云安全”、“云計算安全”，云來云去的，搞的我也云里霧里了。

說來慚愧，我在公司的主要工作之一就是搞云計算安全，但是搞來搞去，我發現什么都沒有改變。

要說起云計算，至今業界都沒有一個非常標準的定義。每個企業都有自己定義的云計算。主要有兩類，一個是跑在Map/Reduce框架下的計算平臺，以此為代表的有hadoop，還有一些海量存儲的，比如google的bigtable等。另一類就是虛擬機平臺，以此為代表是Amazon、VMware。

云計算的另一個特征應該就是有“數據中心”，用土話來說就是要有一個超大規模的機房，規模沒上去，也不叫云計算。所以用個三到四臺服務器搭了hadoop，這個也不能叫云計算。

至今為止，很多人都搞不明白虛擬機類的云計算平臺比起那些賣虛擬空間的有啥區別，說句老實話，我也沒搞清楚。即便是后臺調度有些區別，我認為也是有限的，不具有突破性。可能最大的區別在于，“云”的價格會便宜點，不過這不是我們這些安全工程師所關心的。

嘗試著講明白了什么是“云”，那現在就來戳穿一下所謂的“云計算安全”。先講講所謂的“云安全”，現在很多安全廠商，都跟風把自己的產品叫云安全。什么是云安全？就是建個機房，然后有桌面產品的就把產品上抓到的木馬樣本發回中心機房，有IDC流量監控的就把數據抓了發回中心機房，這個就叫做“云安全”。

我靠，這玩意不是若干年前就有的嗎？很多軟件雖然沒說，但早就這么做了。原來這就是“云安全”，一個我們用了很多年的東西，現在終于可以光明正大的說出來了！更可怕的時候，在沒有所謂云安全的時候，我們的隱私還是自己的，有了云安全，個人電腦里的數據、文件會自動發給廠商，你不擔心嗎？

所以“云安全”這個東西，和“云計算安全”完全是兩碼事，跟云計算也不搭邊。當然，你要硬說你建了數據中心，也用了hadoop，所以你的云安全是真的，那我也無話可說了。

“云計算安全”這個概念，在我看來，和以前有一個概念很像。什么呢？“電子商務”。我大學是學這個專業的，我讀了個在職研究生，也是讀這個方向。但我至今沒搞明白學了什么，至今無法講清楚電子商務的概念。記得當初畢業的時候，我們專業的所有人都很迷茫，不知道這個專業能干嗎，沒人知道。

當沒有人能夠講清楚一個大家都在用的概念時，那么，肯定是有問題的。這并不是一個只有愛因斯坦才懂相對論的時代，這是一個賣冰棍的大媽都知道云計算的時代！

什么是電子商務？在中國，是淘寶，是阿里巴巴，在美國，是ebay，是amazon。

今天的所有概念，都在隨著實踐的改變而改變。所以今天沒有人能講清楚什么是“云計算安全”，是很正常的一件事情。我們看一張MAP：

什么是云計算安全？這就是云計算安全。從這張圖上的第一個直觀印象就是，所有的安全方法、安全產品，都沒有改變。我們以前是怎么做安全的，在云計算時代，還是怎么做。

我們要做代碼review，要做防火墻，要做WAF，要做XXX，這些都沒有變。

既然你什么都沒變，那你在折騰個什么勁？因為今天“云計算”被炒的太火了，很少有人能說清楚什么叫云計算，更沒有人可以說清楚什么叫“云計算安全”。但是你不這么說，好像就會落伍了，就會被鄙視了。陋習！

從字面上看，給云計算做安全，就叫云計算安全。從某種意義上來說，“云計算安全”是另外一種屠龍術，掛羊頭賣狗肉。如果有人要開個班，培訓“云計算安全”，那一定是騙人的。因為我今天見到的任何所謂“云計算安全”，無論國內的還是國外的，都不具有突破性，不需要專門開辟一個領域，叫做“云計算安全”，我們也不需要任何的神壇。

但是云是需要安全的，云需要什么樣的安全？我們不妨叫做：“云計算的安全”。從宏觀層面來說，和傳統安全沒什么變化，還是網絡策略，代碼實現安全，數據保護等等。

真要說云時代安全的特征，我認為有兩個，一個是在云中需要執行用戶代碼的時候，比較注重虛擬機技術以及各類sandbox技術，另一個就是用戶數據的保護。不過這些技術，都沒有突破傳統安全技術的范疇。局部有創新，總體沒改變。

會有些變化的領域，應該是“基于云計算的服務安全”，上層應用會帶來各種各樣的多變性。比如賣虛擬空間啊，比如云的終端放在手機上啊，再比如一些基于云的SAAS服務啊，都會帶來非常獨特的功能，所以基于云服務的安全怎么做，才是真正需要創新和定制化的地方。

我已經厭煩了整天云來云去的，這個安全產業出于對利益的追逐，太浮躁了。

第三篇：電子政務云計算平臺價值小結

XX區電子政務云計算平臺價值小結

一、實施情況

根據XX區科技和信息化局信息化建設發展趨勢和業務特點，在利用原有IT資產的前提下進行系統的資源有效整合，按照全局統一基礎架構平臺的指導思想，利用現有及新購服務器、存儲設備搭建了服務于XX區各行政機構、各街道辦事處、各處級單位云計算平臺。

通過云計算平臺將服務器物理資源抽象成邏輯資源，實現服務器整合，把所有業務系統遷移到云計算平臺中，從而提高資源的利用率，簡化系統管理，讓IT對業務的變化更具適應力。目前，機關內部信息網、電子政務數據中心、趨勢網絡版殺毒服務器、社區服務管理信息平臺、征地幫扶信息系統、政務地理信息系統綜合應用平臺、OA系統等應用系統已遷移到云平臺中運行，目前運行在云上和物理服務器上的應用已經實現無縫融合。

目前，XX區云計算平臺可以提供50個云桌面系統，通過網絡提供給給各街道辦事處、各處級單位對外辦公窗口實現無主機辦公，從而實現辦公桌面統一管理、提高辦公桌面可用性、可靠性，同時提高資源利用率和降低能耗，極大減少消耗成本。

二、價值體現

2.1提高服務器利用率

還沒有部署XX區電子政務云平臺之前，每個應用系統都位于自己的特定物理服務器上，導致XX區中心機房出現兩種情況：

1、服務器數量無序劇增，難以進行管理；

2、大多數服務器在 CPU 和存儲資源方面的利用率都不足三分之一，并且無法與其他設備共享服務器利用率極低。

通過部署XX區電子政務云平臺之后，云平臺提供的多個虛擬機能夠整合到一個物理服務器中，可顯著減少要管理的物理機數量，大幅提高處理資源和存儲資源的利用率，并在降低能源成本的同時減少占用的中心機房空間。所有這些因素綜合起來可降低成本，輕松快速地實現投資回報。

2.2提高IT環境 可靠性

為全區提供服務的社區系統、GIS系統等都屬于穩定性要求很高的應用。可靠性顯得非常重要。通過部署XX區電子政務云平臺，可顯著提高應用支撐環境的可靠性。因為應用都運行在云平臺提供的虛擬機里，虛擬機沒有和底層服務器綁定，所以能夠在不干擾用戶的情況下移動虛擬機。因此，服務器維護和升級操作都不需要中斷應用程序使用。

而且，在新的應用程序啟用之前，可使用虛擬機輕松對其進行測試，從而提高 IT 環境的穩定性和可預測性。管理員可以利用云平臺的空閑資源運行測試虛擬機，而無需占用專門的硬件資源。這可大大增強部署應用程序的信心。

此外，云平臺可實現對 IT 資源的按需訪問。過去，執行重新部署需要數天時間，而啟用新的應用程序則需要數周；現在，IT 方面只需投入少量精力即可快速滿足用戶需求。這樣可以大幅提高業務環境的靈活性，信息化辦公室將可以隨著XX區業務系統需求的增長或改變迅速作出響應。

2.3提高IT環境管理效率

通過云平臺提供虛擬機支撐應用系統的可持續運行，可大幅簡化 IT 管理工作，因為不必再逐一配置和管理服務器。虛擬化可利用高級工具實現工作負載平衡、容量規劃、虛擬機實時遷移和自動化部署，從而提高管理效率。

2.4 高可用性、業務連續性

對任何單位來說，支撐某重要應用系統的服務器故障停機都是代價高昂的，需要為XX區各行政機構、各街道辦事處、各處級單位提供信息化服務的應用系統服務器尤為巨大。借助云平臺，可以有效提高應用系統連續性，云平臺里一個節點發生故障時，運行在其上的虛擬機將自動遷移到健康的物理主機上，從而不影響應用系統的正常服務。2.5彈性調度資源應對性能變化

在沒有部署云平臺前，應用系統的資源配給往往采用經驗作為參考值，采用最高負載要求對服務器進行選型、部署。這樣子除了對服務器資源造成浪費外，還可能出現服務器過載，導致業務系統無法使用的風險。例如，社區系統，平臺使用的人數都基本一樣，但到了人口普查等特效時間段，可能服務器會無法支撐過多的訪問而導致無法使用。

通過云平臺資源彈性調度的功能，可以有效應對應用系統的這種變化，云平臺可以隨著應用系統的負載情況提供剛好夠用的資源，關閉那些不需要服務器或降低服務器的能耗，在應用服務器（云平臺提供的虛擬機）過載的時候，云平臺可以自動啟動更多的虛擬機為此應用提供負載均衡服務。

第四篇：電子政務發展借力云計算

電子政務發展借力云計算

隨著互聯網、計算機技術和物聯網技術的發展和應用，信息化作為一種生產力促使社會和經濟的各個方面發生深刻變革，其中，政務信息化不僅成為帶動政府管理體制改革的一種重要手段，更成為政府和民眾間架起溝通的橋梁，建立起暢通的社情民意通道。

在國家發改委發布的《關于加強和完善國家電子政務工程建設管理的意見》中特別指出要“推進新技術在電子政務項目中的應用。鼓勵在電子政務項目中采用物聯網、云計算、大數據、下一代互聯網、綠色節能、模擬仿真等新技術，推動新技術在電子政務項目建設中的廣泛應用”，并且強調要保障電子政務項目安全可控。這表明云計算等新興技術在電子政務中的應用已是大勢所趨。

2013年2月工信部推進司發布了《基于云計算的電子政務公共平臺頂層設計指南》，提出了利用云計算計算開展電子政務公共平臺頂層設計。在《指南》發布前，工信部在2012年已經開始在福建、陜西、海南三省開展了該項工作的試點工作。

據了解，《設計指南》主要包括需求設計、系統架構設計、基礎設施服務設計、支撐軟件服務設計、應用功能服務設計等十方面具體內容。其中包括，堅持設施共建和資源共享，在《國家電子政務“十二五”規劃》指導下，統籌利用已有電子政務基礎設施和信息資源，統一設計建設電子政務公共平臺，實現基礎設施和資源共享運用;統一管理，保障安全。統一管理電子政務公共平臺規劃、標準、制度和技術體系，采用安全可控的軟硬件產品，綜合運用信息安全技術，建立安全可靠的信息安全保障體系，全面提高安全保障能力;統一服務，注重成效。順應新技術發展趨勢，探索運行管理服務新模式，加強電子政務公共平臺服務提供機構和服務隊伍建設，建立統一的服務體系，全面提升服務能力，切實發揮電子政務公共平臺的成效。

我國政務信息化中有許多不完善之處，例如重“電子”輕“政務”、資源利用率不高、重復建設等問題，電子政務“十二五”規劃要求鼓勵向云計算模式遷移，以效果為導向，推行“云計算服務優先”模式，制定電子政務公共平臺建設和應用行動計劃，明確相關部門的職責和分工，共同推動電子政務公共平臺運行和服務。在滿足安全需求、遵從法律法規和業務準備的基礎上，推動政務部門業務應用系統向云計算服務模式的電子政務公共平臺遷移，重點推進新建、升級改造的業務信息系統在電子政務公共平臺上部署運行，提高基礎資源利用率和應用服務成效。

第五篇：云計算電子政務--國家標準目錄

工業和信息化部

2013年第三季度通信行業國家標準

制修訂項目計劃

(征求意見稿)

工業和信息化部科技司

二○一三年八月

2013年第三季度通信行業國家標準制修訂項目計劃匯總表

申報司局 行業 合計 性質 制修訂 標準類別 采用國際和國外先進標準數

強制 推薦 指導 制定 修訂 節能與綜合利用 工程建設 安全生產 產品類 標準樣品合計 合計 18 0 18 0 18 0 0 0 0 18 0 0

信息化推進司 18 通信 18 0 18 0 18 0 0 0 0 18 0 0

2013年第二季度通信行業國家標準制修訂項目計劃表

通信行業

序號 申報號 項目名稱 性質 制修訂 代替標準 采標情況 完成年限 申報司局 技術委員會或技術歸口單位 主要起草單位

1基于云計算的電子政務公共平臺 總體 服務建設實施規范

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 2基于云計算的電子政務公共平臺 總體 建設和管理技術指南

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 3基于云計算的電子政務公共平臺 總體 名詞術語

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 4基于云計算的電子政務公共平臺 技術 功能和性能評測技術要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 5基于云計算的電子政務公共平臺 技術 數據接口技術要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 6基于云計算的電子政務公共平臺 技術 操作系統技術要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 7基于云計算的電子政務公共平臺 技術 互通技術要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 8基于云計算的電子政務公共平臺 技術 系統架構

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 9基于云計算的電子政務公共平臺 服務 服務基本要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 10基于云計算的電子政務公共平臺 服務 數據管理要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 11基于云計算的電子政務公共平臺 服務 應用服務分類與編碼

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 12基于云計算的電子政務公共平臺 服務 業務遷移要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 13基于云計算的電子政務公共平臺 安全 信息安全要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院

14基于云計算的電子政務公共平臺 安全 應用安全要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 15基于云計算的電子政務公共平臺 安全 安全技術要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 16基于云計算的電子政務公共平臺 安全 服務安全要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 17基于云計算的電子政務公共平臺 管理 運行和管理要求

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院 18基于云計算的電子政務公共平臺 管理 績效評價指標

推薦 制定 2014 信息化推進司 全國通信標準化技術委員會 工業和信息化部電信研究院