云计算时代的企业电子文件安全管理

沈昊

摘 要：云计算有着广泛的应用领域和良好的应用前景，也为信息安全管理带来了机遇与挑战。本文介绍了云计算的基本概念，分析云计算在电子文件安全管理领域出现的新特点，并提出了相应的策略。

关键词：云计算；电子文件管理；风险管理

1 云计算概述

云计算（Cloud Computing）是分布式处理（Distributed Computing）、并行处理（Parallel Computing）和网格计算（Grid Computing）的发展，或者说是这些计算机科学概念的实现。

云计算不仅带来了是技术上的革新，更改变了传统的管理理念和服务模式。在云计算时代，人们对资源的管理与利用将会更加集成化，虚拟化，并且不再受时间、地域、物理条件的限制。在全球化背景下，人们可以方便地对云端的资源进行统一的管理调度，还可以利用云端强大的数据处理能力进行信息的深入开发。

2 企业信息安全管理应用云计算技术的必要性分析

从企业层面来说，目前的信息安全管理出现了许多新问题，比如呈几何级数增长的信息需要大型的存储设备和处理器进行存储和管理、人们对企业信息的共享需求日益增多、企业信息安全管理流程日益繁杂等等，这些都需要云计算技术加以解决。从外围环境来说，如笔者开头提到的，云计算的发展普及是大势所趋，而且云计算技术主要涉及的就是信息的存储、管理、开发等环节，企业作为社会发展的主要力量，在今后的发展中不可能离开信息与云计算，尤其是信息安全管理环节。

信息安全要掌握主动性原则，越早采取措施越好。因为如果越晚发现存在的风险，那么需要弥补的时间就越长，花费的成本就越多，对企业的造成的损失也越大。而且企业信息安全的基础数据、标准往往是在初期设定好的，如果后期出现问题需要更改，将会耗费巨大的工作量。

基于上述分析，尽管云计算才刚刚到来，但是企业已经有必要将强对云计算的了解和研究，并逐步开始涉及基于云计算的信息安全管理。

3 云计算环境下信息安全管理的新特点

云计算对信息安全管理的影响主要体现在技术和管理模式这两个方面。云计算的特点之一便是高安全性。“云”使用了数据多副本容错、计算节点同构可互换等措施来保障服务的高可靠性，使用云计算比使用本地计算机可靠。同时，有专业的团队负责云端数据的安全维护，保证云端服务器的正常运行和信息安全。云计算的构成有天然的优势，包括云计算的云端集中管理，超大规模服务器的同时运作，还有近期提出的“共有云”、“私有云“等等都从各个方面分散了信息安全的风险。

但与之相对应的，目前的云端往往存储着多个用户的数据，而且存储的数据的规模和设计范围都极为广泛，这样也就造成了风险的集中，一旦出现问题，损失也会加大。

在传统环境下，企业的信息安全管理多是相对封闭的，因为按照一些人的理解就是“越封闭，越安全”。封闭只能是先对的，完全封闭更是不可能的。企业的运作管理需要时刻保持与外界的交流，其中很大一部分就是信息的交流；而且在信息的价值越来越被人们重视的今天，企业对自身信息资源的开发与利用越来越多的展开，在这种背景下谈封闭无异于明清时期的“闭关锁国”。云计算技术是以网络为基础的，也就是说是一个相对开放的平台。根据目前的发展来看，在控制好权限，做好软硬件维护的前提下，云计算环境下（亦或网络环境下）的信息安全管理的安全性是完全可以保障的。

4 云时代的信息安全风险管理

云计算环境下，由于云端与用户端的功能、作用、管理工作环节的不同，云端与用户端的风险来源也会有明显的不同。

云端的风险主要来自实体的、技术性的，操作性的，用户端的风险则主要来自内部人员和组织管理的漏洞。

本文结合传统的信息安全评估方法，参照《信息安全管理》（人民邮电出版社），云计算特点，从资产的识别与估价，威胁的识别与评估，脆弱性评估、现有安全控制确认的角度给出基于云计算的测评分析方法。

（1）、资产的识别与估价。在云计算环境下，云服务商拥有大多数的实体资产，而企业用则输出自己的信息资产。因而在对资产进行评估的时候也是双向的，尤其是信息资产，企业和云服务商可能对其价值会有不同的理解。但是双方又比较能够达成一致，因为对信息资产的不同估价涉及到之后对不同价值信息的不同强度的保管。企业和云服务商会在信息安全和保管成本之间找到平衡。

（2）、威胁的识别与评估。威胁识别与评估的主要任务是识别产生威胁的原因、确认威胁的目标以及评估威胁发生的可能性。云计算环境由以往的封闭环境转变为开放的网络环境，所面临的威胁更为复杂。就目前云计算的发展情况来看，云计算的威胁主要来自人员威胁和系统威胁。谷歌公司、亚马逊公司和微软公司的云计算服务都曾因为代码编写失误、软件故障、硬件故障等造成中断，给用户造成了损失。

（3）脆弱性评估。脆弱性评估一般分为技术脆弱性、操作脆弱性和管理脆弱性。云计算的脆弱性主要表现在技术脆弱性方面。云服务商的平台都是统一的，就如电脑的操作系统一样。如果其中某一个小小的文件或者某一句代码出现问题，都可能对整个系统以及上面运行的服务造成极大地影响，可以说是牵一发而动全身。

（4）现有安全控制确认。在风险评估过程中，应当识别已有的安全控制措施，分析安全控制措施效力，有效地安全措施继续保持，而对于那些不适当的控制应当核查是否被取消，或者用更合适的控制代替。

5 結语

云计算是继计算机、网络出现后的又一次信息领域的革新，虽然目前在安全、标准等方面有待完善，但是云计算的发展前景不可估量。云计算环境下，云服务商在企业信息安全管理中扮演着重要的决策。从国家战略考虑，我们应该在新一轮的竞争中占领制高点，积极参与信息安全领域的云计算标准、技术的建设，培养国内领头的云服务企业，将我国的信息安全管理推向新的阶段。

参考文献

[1] http：//do.chinabyte.com/64/12859064.shtml

[2] http：//news.hexun.com/2014-02-24/162443075.html

[3] 蔡盈芳.基于云计算的信息安全系统安全风险评估模型[J]中国管理信息化，2010（12）

[4] 张红旗，王新昌，杨英杰.信息安全管理[M]北京：人民邮电出版社，2007