参加2014 年8月“第七届移动互联网国际研讨会”–关于“云计算环境下的等级保护建设思路”的演讲笔录。大会也做了速录，有些内容口头表达的意思有限， 关于会议介绍的一些思考观点重新用文字梳理了下。有些部分也补充了最近的一点思考点。
一、从市场驱动力再看信息安全
就某种程度而言，2014年可以说是真正的信息安全元年。政策性合规驱动、需求驱动是信息安全市场的两个重要的驱动点。
1.1 从政策层面看国家成立了网络安全与信息化领导小组，同时也出台了相关的政策要求对信息安全产品、云计算服务等加强安全审查，通过政策、法律、规范的合规要求加强对信息安全的把控。自主可控更是是信息安全领域国家的基本意志体现。
1.2 从需求层面看，
随着愈演愈烈各种的信息泄密事件、大热的APT攻击等，大量的企业对信息安全的认识已经从“被动的防御”变成“主动的核心竞争力的塑造”，尤其是新型的互
联网金融、电商业务、云计算业务等都前瞻性的把安全当做市场竞争的重要砝码并寻求各种资源不断提升安全性，2014年信息安全人才也成为市场的最紧俏资源
之一，各种安全培训业务更是大放异彩。
二、从产业链的角度看云计算业务模式
云计算是大趋势，从产业链角度我们这么来看云计算的业务模式。
2.1 产业链的优化：
云计算缩短了产业链，用户想建设一个业务系统，不用再像以前一样需要找集成商、硬件设备厂商、软件厂商、服务厂商等，而可以通过云计算服务便利的满足需
求。云计算挖掘了剩余资源的价值，提升的整个产业链的生产力，生态链的各个参与方都获取了比以往更优的价值或便利，达到了共赢。“共赢模式”而非传统产业
的“零和模式”，这种业务很可怕，在我们这个时代一定会蓬勃发展，简单说参与方都获益。
2.2 产业链话语权的转移：
互联网时代有个很热的词叫“用户体验”，当下也有个说法叫“软件定义一切”，这些说法的本意都是用户的需求得到最充分的满足，或者叫“量需而产，用户自己
来设计最终生产的产品”，在云计算服务模式中，用户通过虚拟化的方式更便利的来根据需求组合自己的所取，不在是厂商制造了什么产品我就被动的买。我们买车
有这样的体会有些功能比如点烟器我是不需要的，但是生产了标配了我不用我也要买单。
三、用户选择云计算都考虑哪些因素？
我们了解了很多的云计算用户或潜在的云计算用户，用户的一项业务在往云计算中心迁移时考虑的前三位的要素一般是（不同用户可能顺序略有不同，但一般考虑的前三个因素）：
3.1、首先是安全：云用户的业务数据都在云端会不会被其他人看到，数据会不会被篡改，云用户的业务中断了影响收益怎么办，云计算服务商声称的各种安全措施是否有、能否真正起作用等，云用户不知道服务提供商提供的云服务是否真的达到许诺的标准。
3.2、技术：云计算服务采用何种技术实现，是商业化软件还是开源的？商业化的虚拟软件会不会在业务扩容上不便利、会不会被厂商绑定？如果采用开源的后期的技术维护能否跟上。云计算服务商的技术能否有效满足业务的发展需求很关键。
3.3、第三才是成本：更低的总体成本也是云计算的优势，这个用户也会考虑。
综
上所述，用户在选择云计算的时候首先会考虑安全性，对普通用户来说，云计算服务的合规性是安全上很重要的参考依据。云计算服务的安全合规目前主要有等级保
护、27001、CSA云计算联盟的相关认证。等级保护是一项基本政策，比如用户的一个等级保护三级的业务，采用云计算模式时，一定要求云计算服务必须达
到三级的要求。
四、云计算环境下等级保护的责任划分：
对一个通常的云计算环境里，可以抽象出五个基本层次，由高至低分别是应用层、平台架构层、虚拟化层、硬件层和物理设施层。在SaaS模式中，云用户仅需要
承担自身数据安全、客户端安全等的相关责任；云服务商承担其他安全责任。在PaaS中，软件平台层的安全责任由云用户和云服务商分担。云用户负责自己实现
和部署的应用及其运行环境的安全，其他安全由云服务商负责。在IaaS中，云服务商需要承担设施层、硬件层、资源抽象和控制层等的相关责任，云用户则需要
承担操作系统部署及管理，以及PaaS、SaaS中客户应承担的相关责任。
五、等级保护要求下云计算安全的特点
云计算时代下如何完善现有等级保护标准，提供适用于云计算的等级保护安全基线要求，指导云计算安全的建设、测评、监督检查等工作是实现云计算安全的核心要素之一。
云计算我们认为安全上有两个最重要的点，一个是虚拟化的安全，另一个是用户数据的安全，这也是我们考虑等保的时候两个关键的技术点。
六、云计算的等级保护建设
6.1 终端侧：
主要考虑用户终端的安全。采用桌面云的方式是解决云计算环境下终端安全问题的很好的办法。终端的处理能力（包括CPU和硬盘）集中到云计算资源中心，个人
终端变成瘦客户端，终端本地不保存数据，保障信息安全性，并且不提供计算能力；通过桌面云平台，给每个终端提供虚拟化的“计算机”或推送应用的界面，每个
终端所使用的资源都是共享的，计算资源动态伸缩，实现对资源的“按需分配”的
管理。
6.2 传输（管道）：主要考虑用户侧到云端传输信息加密、用户接入的认证和授权等安全措施。
6.3 云计算中心：针对云计算中心区域边界、计算环境、虚拟化环境，云计算中心综合采用身份认证、访问控制、入侵检测、恶意代码防范、安全审计、防病毒、数据加密等多种技术和措施，实现业务应用的可用性、完整性和保密性保护。
云数据安全建设，依据客户实际需求和相关安全合规标准，进行数据创建、传输、存储、使用、共享和销毁在内的全生命周期的云环境下的数据安全设计，以及数据安全体系建设。保障用户数据在云环境下的安全使用，保护云环境中的数据的机密性、可用性、完整性。