2017年6月14日，由中国电子学会主办、至顶网等协办的第九届中国云计算大会在北京国家会议中心拉开大幕，中国工程院院士倪光南出席本次大会，并做了《云安全思考》的主题演讲。

 

倪光南：云安全思考
 

　　倪光南谈到关于云安全的几点思考：一、云计算技术基因本身意味着覆盖范围很大，它对安全有很强烈的需求；二、云计算业务功能很复杂，要求监督护航；三、云安全是多维度、多层面、体系化的，要具备完备的体系；四、在技术选择上，要博采众家之长；五、从云安全规范上，借鉴等保思路；六、用好大数据促进云安全；七、持续支持云领域中小企业发展。

 

　　以下是倪光南演讲实录：（内容根据现场速记整理，未经发言嘉宾确认，仅供参考）

 

　　倪光南：女士们、先生们，下午好。有机会来参加第九次中国云计算大会，就云安全的问题提些粗浅的看法，作为大家的参考。

 

　　首先讲云安全，在信息领域应该很好的学习和贯穿习主席有关的网络安全重要观点，特别是强调了没有网络安全就没国家安全，此外强调了网络安全和信息之间的关系，一体之两翼、驱动之双轮。网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。这个观点非常重要，我觉得在网络信息中过去没有这样的提法，现在的问题是如何落实的问题。因为还有些观念需要大家明确，发展是硬道理，现在我们说安全也是硬道理，有人说落后要挨打，那么不安全也要挨打。从这个情况来看，我们需要有一些制度来保障，网络信息安全，网络安全的观点能够落实，比如我们已经行使多年的等保制度。

 

　　中国的信息安全等级保护制度是非常行之有效的，而且这个制度也是国际上都公认的，是非常有效的措施，但是我们现在应该把它贯彻，当前云计算、云服务以后，我们知道往往关键信息是由云计算构成，对于云计算我们要比较高等级的保护，这些都是需要我们在今后等保发展中和云计算要很好地结合起来。

 

　　我提出一个名词，多维度测评。我们看到目前这些重要的法规，像《国家安全法》、《网络安全法》、《网络产品和服务安全审查办法》等等，里面对于网络安全的要求家扩为“安全可控”、“安全可信、“安全性”和“可控性”，这些高度概括的概念，我们要看它是不同的层面上，或者不同维度的。比如说安全性、可控性，实际上不太一样，它不是一个同等维度的，安全性是属于技术的安全，可控性有技术的也有非技术的。

 

　　过去我们对于产品服务的测评往往都是比较注重应能、功能、性价比，但是现在如果按照我刚才讲的，我们对于网络安全的观点来看，把安全发展作为一个整体的同步推进的时候，显然光常规的测评是不够的，所以有的商家提出要多维度测评。比如我们要增加关于可控性方面的维度，是不是自主可控的，这是和技术有关系，但是不完全有关系的，还牵扯到其他的因素。同样我们也知道等保制度包含很多管理制度，本身就是多维度的，因此我们建议在云计算方面要有很好的测评体系，来保证有很好的评估手段。

 

　　举个例子，多对对读自主可控的测评有知识产权、技术能力、发展、供应的安全性、资质等来比较。当然你说云安全用这种自主可控，我们就要用到不同的指标，我们有四个基本要求，敏感信息不出境的问题，管理方式变化、信息归属的问题、标准的问题等等，有可能增加这方面的评估。这些评估可能在从事一项云服务、云计算的项目立项的时候就应该做，而不是光做性价比方面的评估，这种测评应该在今后注意，在立项、评审、验收等等都应该考虑用多维度的测评，对安全性方面予以重视。

 

　　下面我简单给大家介绍一下国内外云计算和云安全的概括。大家都很清楚云市场发展很快，中国市场分为私有云、公有云来看都有很大的增长，我们可以看到发展趋势还是以每年很高的增长继续发展。

 

　　我们国家也发布了一些规定，我这里举了201年5月网信办发布的《关于加强党政部门云计算服务网络安全管理的意见》，安全管理责任不变，数据归属关系不变，安全管理标准不变，敏感信息不出境，这些问题就是作为基本要求提出来。同样我们也在不断的发展一这方面有关的机制，像云计算服务网络安全审查的问题，一些阳关的规定，这里举了两个云计算服务安全指南，以及云计算服务安全能力的要求，这个都是近期的工作。

 

　　已经实施的云计算服务网络安全审查第一批通过的名单，这是2015年的时候开始，有制定的四家第三方机构进行审查，我们觉得这个可以推进整个云计算领域安全方面的工作，作为一种样本，作为一种典型来推进，下面我们简单看一下国外的情况，国外这边举的是英国的例子，英国为了推进云服务，建立了这个平台，这个采购平台对云服务进行安全信用、交付、价格等多方面的评估，目前来看它已经可以采购的产品将近20000个。

 

　　G-Cloud目前的工作还是可以的，英国的规模不是那么大，但是中央政府的采购达到12亿英镑，2012年到2016年，通过G-Cloud采购的规模将近15亿英镑，对于数据中心的数目有很好的控制，还是应该尽可能采用采购云服务的形式，充分发挥云服务的性价比优势。

 

　　我们看到以私有云为主，我们可以看到几个部分的问题，就是SaaS、IaaS、Paas的比例，私有云采购占比77%。

 

　　在美国有一个联邦的认证FedRAMP，我们看到从2012年开始到现在五年左右，授权的云服务商达到了82家，主要的服务政府机构有一百多家，包括国防部、国土安全局等等。

 

　　FedRAMP的认证，光是美国国防部、国防信息系统局共使用70件产品，这个规模应该也是在不断的发展。

 

　　我们看到日本的相应机构分成金牌、银牌两种，这里举到金牌有NTT、微软。

 

　　我们大概回顾一下国内外在云服务安全方面的做法，我们刚才看到国内正在建立第三方的云安全认证机构以及推进一些规范的建设。从国外来看，应该比我们领先，就是在第三方安全，规范和认证方面比我们领先。对于提供商来讲，国外比较注意避免垄断，保持公平竞争。对云应用的采用方面，目前一般还是采取混合云的办法，我们总结一下就是国内目前的推动云安全的监督和认证规范，重点在这方面。国外是以混合云的模式，强调公平竞争和第三方监督。

 

　　下面我们就国内外的情况，以及这几年产业界情况谈一些思考。

 

　　第一方面，云计算技术基因本身覆盖范围很大，它对安全有很强烈的需求。

 

　　第二方面，云计算业务功能很复杂，要求监督护航。

 

　　第三方面，云安全是多维度、多层面、体系化的，所以在云安全方面考虑的问题要立体化。

 

　　第四方面，在技术选择上，要博采众家之长。

 

　　第五方面，从云安全规范上，借鉴等保思路。

 

　　第六方面，大数据和云安全的关系，一方面大数据对云安全带来很大的挑战，如果大数据产生问题将会对用户和提供商来讲带来很严重的损失，另外大数据是智慧，也可以给云安全提供很好的指导。

 

　　第七方面，在产业领域上，持续支持云领域中小企业发展。

 

　　第一点，云计算技术基因。从技术层面来看，云计算必然需要安全的保障，因为云计算的规模、开放性、复杂性，意味着它的安全性就面临着比过去小规模的计算机模式，一般过去从单机到简单网络来讲，它更高，因此有更严谨的要求，面临更多的风险。第二点，我们觉得云计算的动态以及统一服务的优势，在技术上的变革，同时也对我们的安全提出了新的问题。第三点，云计算代表着新技术，但与之相对的规范和法规相对滞后，同样也给信息安全带来了隐患。

 

　　第二点，云计算业务功能，要求监管护航。因为业务功能非常多，客观上需要监管护航。我们细分一下，云本身的信任问题，关于云本身的安全问题，云会成为行恶的工具吗？非技术性问题。比如说云计算服务不可信所带来的风险，就是用户是不是信任他，服务商的权利很大，在数据交换过程中也会存在安全风险，管理工具可能有很大的权限，本身就有风险。我们从技术范围来讲，认为它业务功能的强大就带来了监管问题。

 

　　第三点，我们面临的挑战是非常多的，有技术、非技术层面，这里面讲了运营，稳定运行，漏洞、风险预警、威胁感知、五主动防御、数据安全、异常流程、安全监控、态势感知等等，这些多维度、多层次、跨领域、多学科交叉的问题，就使得我们对云计算的安全保护，不能相信，不能依靠单一的手段，而需要建立一个完备的体系。我们要形成一个可感知、可预防的智能云安全体系。

 

　　第四点，技术，云技术应该博采众家之长。我们首先看到云计算的问题，我们看到阿里云、微软云、AWS都会出问题，比如AWZS停机最长时间是36个小时。我们感觉这三家全世界顶级的提供云服务的供应商，他的各方面能力我们都没有怀钰，但是这些说明什么问题呢？没有一个系统是没有漏洞的，没有哪一家云服务商能给予100%的无故障的服务。所以要充分发挥国家的优势，根据实际情况发挥各个各个厂商的长处，不管是公有云、私有云等等，我们要把优势都发挥出来。未来一定是多厂商混合方式提供云服务，对于第三方的监管、安全把控也很必要。

 

　　第五点，正因为云计算的安全，我们建议可以借鉴等保的思维。从第一级、第二级一直到第五级，不同的等级给予不同的技术和管理的要求，这样比较容易实施，也是比较适合具体情况。比如一些不重要的我们用等级低的，这有更好的操作性。我们推荐用第三方机构来帮助云安全的落地，保护云端用户的切身利益。

 

　　第六点，作为大数据的应用，运行在云端的数据是云安全中最为核心，最为重要的保护对象。有效地保护数据的安全是很大的挑战，从另一方面，我们用大数据的技术进行分析，很好地利用大数据的智慧，可以更好地发现安全的一些问题，比如说最大可能的安全漏洞、风险在哪些地方，用大数据来帮助我们解决云计算这个复杂的问题，我们划了三个等级，从IaaS、PaaS到SaaS，比如在数据中心，在IaaS层面上我们面临很底层的问题，物理安全、网络安全、数据中心建设、系统安全，比较偏硬件。在PaaS层面上我们要解决数据与计算的可用性、数据安全、灾难恢复等。在SaaS层面更多片向于数据应用，当然还有身份认证。从IaaS到SaaS对于安全有不同的需求。

 

　　第七点，无论任何时候，中小企业是创新最活跃的，我们应该注意到在云安全领域，我们强调要支持中小企业的发展，我们希望有关方面给予支持，使中小企业有机会在云服务发展过程当中更活跃，对于相关的政府部门、领导部门应该重视这一点。

 

　　把刚才讲的归结起来就这几点，供大家参考。

 

　　第一，云安全是整体的而不是割裂的。云安全是牵一发而动全身的。

 

　　第二，云安全不是静止的，是动态的，要建立安全态势的预警机制。

 

　　第三，云安全是多角度、多层次、立体化的，混合模式应对其复杂性。

 

　　第四，云安全不是封闭的，而是开放的，加强学习、吸收先进的技术。

 

　　第五，云安全不是绝对的，要看到各家优势，才能把优势发挥极致。

 

　　第六，云安全不是孤立的，要聚众解决问题，充分调动第三方的力量。

 

　　第七，云安全核心确保数据安全，但也要利用大数据智慧，促进安全。

 

　　第八，云安全领域持续关注中小企业发展，在资金技术上要予以支持。

 

　　谢谢大家！

 

　　推荐专题：

　　政务信息系统整合共享 政务大数据迎新机遇

　　聚焦网络安全法 政采为网络安全筑防火墙

　　“魔窟”勒索病毒肆虐 软件自主品牌采购提速