云安全规范篇1
关键词：银行数据；云计算；数据安全；策略；
中图分类号：TN01文献标识码：A文章编号：1674-3520（2014）-04-00281-01
目前，银行业的竞争愈加激烈，各大银行不断提高自己的业务水平、服务质量，增强自身的信息服务系统。计算机与网络系统在银行业务中的运用，提高了银行的工作效率，但计算机网络的安全也面临着挑战，如体统故障、计算机犯罪、安全事故等，这就需要银行利用有效的办法来解决安全问题，保障银行业务的安全开展，银行的稳定运营。云计算技术的的应用为解决安全问题提供了一个合理的办法，但我国的云计算技术还处于发展阶段，自身存在数据丢失等问题。因此，银行数据安全系统中云计算的应用需要利用有效的途径解决自身的问题，增强银行数据的安全性。
一、云计算的概念
云计算是指通过Internet服务的方式，将虚拟化的资源以动态的、易扩展的方式提供给外部客户。云计算具有规模大、虚拟化、通用性、易扩展性、高可靠性、灵活性、数据与应用共享、高度自治性和简单的终端、“按需提高服务”等特点。由于银行设计的数据多、业务广，网络银行的业务的运营等都需要数据的虚拟处理、数据的共享。在银行数据处理中，银行金融信息的交换、中间业务的交换都需要云计算的支持，大数据的处理。对于大数据的处理，数据的共享、数据的全面是大数据的特点，云计算的支持是银行数据处理的基础。
二、云计算在银行应用中的数据安全问题
（一）银行数据资源的可用性和安全性。为了避免数据信息的泄漏，云计算采用了各种适当的措施以确保服务质量。但银行数据信息的泄漏仍未能避免。从近几年的数据统计可知，云计算运用的失误在各种多发网络故障中所占的比例很大，例如亚马逊的S3服务中断、微软云计算平台停服22小时、GoogleApps服务中断等，这些事件增加人们对于云计算技术安全的怀疑。如果银行数据资源的安全性得不到保证，现象了安全问题，人们的资金资源、金融体系将出现重大的损失。
（二）银行服务的规范性与风险承担。研究亚马逊公司的云服务合同，我们将发现合同存在一些规定的不合理性，在第某条款中有如下的规定：对于任何形式未经授权的访问、破坏、删除任何应用程序或内容不负有责任。在这样的合同中，服务提供商对于任何数据泄密事件及被破坏行为不承诺法律责任。由此可知，目前杜宇云计算的安全标准并没有规范的架构，云计算的合理性与安全性得不到保证，云计算服务的供应商易把风险转嫁给用户。
（三）用户的信任问题。云计算在我国网络系统的运用是一个新的技术概念，在银行系统中的普及应用将是一个漫长的过程。在我国银行的发展过程中，银行有法律的支持和保障，因此用户对银行的服务是放心的。但云计算的供应商，它的数据信息的安全没有具有公信力的第三方的保证，运营制度也不健全，用户对其缺乏一定的信任，这就阻碍了用户把数据放到其运营商的数据中心。
三、银行数据安全系统中云计算的运用策略
（一）制定完善的法律法规。云计算在银行数据安全系统的应用过程中，银行应开展对应用云计算相关标准和协定的分析研究，统一行业规范。银行数据的信息安全和保密关系到用户的资金安全和个人财产隐私，云计算企业的管理制度、企业信誉等都有可能影响云计算数据资源的安全性，这将对真个这个资金产业链造成影响。因此，在银行数据安全系统中的云计算的应用中，应设置相关的管理制度与章程，明确责任义务，提供管理、责任追究保障。
（二）确保银行数据信息资源的安全存储。为了确保银行数据信息的安全可靠，银行和云计算服务商都应采取可行的技术手段来防止数据丢失、泄漏。云计算服务商可采用先进的虚拟化的海量存储技术进行银行数据资源的存储、管理。此存储技术运用数据副本作为容错的方式，对虚拟盘创建副本，提高数据的可用性和访问性。这样方式的利用有助于银行数据资源的及时备份和长期保存。
（三）确保银行数据资源的完整性和保密性。在云计算环境中，必须加快数据信息安全设施建设的步伐，增强核心内容公钥基础设施的应用，以此来确保云计算中数据资源在传输中不被非法窃取。银行数据资源的规模大，对金融体系的分析，对财务管理的研究等都需要对银行数据信息的统计分析，大数据的应用需要数据资源的完整性，但在数据处理、通信交换的过程中数据的保密性受到威胁，在云计算的背景下，公钥基础设施的应用，对数据的加密等保证数据资源的完整性和安全性具有重要的意义。
（四）控制数据信息的用户访问。银行数据安全系统中云计算环境具有动态性、异构性和跨组织性等特点。用户对于银行系统中对云环境的运用就具有低门槛性，这样降低了数据信息的安全性。因此，银行可用选择的登录的形式对登录者的身份进行统一的认证，对用户进行授权，使其可以在身份安全的情况下访问数据资源。同时银行数据安全系统可利用PMI权限控制技术，对于不同层级的用户设置不同的资源访问级别，保障用户访问资源和其他数据资源的安全性。
四、结束语
银行数据安全系统中云计算的运用对于传统银行业务的处理带来了革新，对我国银行业务的发展、银行数据的安全等具有深远的意义。随着商业银行的快速发展和激烈竞争，银行的业务和银行网点也在逐渐增加，这使银行的数据资源安全受到挑战。云计算对我国银行业的发展提供了渠道，扩大的数据共享范围，但在数据的安全上仍存在一些需要完善的地方。银行和云计算技术人员应通过制度的完善、数据的完整、资源存储的安全等来保障银行数据信息的安全，实现银行的健康稳定发展。
参考文献：
【1】谷勤.云计算下银行数据安全策略的探讨[J].华南金融电脑，2010，（10）：65-66
云安全规范篇2
CrowdResearch调查了35，000多个信息安全社群的网络安全专业人士。尽管工作负载继续迅速转移到云服务，安全问题仍然非常严重。1/3的企业将增加云安全预算。目前，云环境比以往更需要安全培训、专业人士和创新的安全工具。
报告亮点：
云计算已经成为应用、服务和基础设施交付主流，对云安全的担忧仍然居高不下。受访者最担心的云安全问题是防范数据丢失(57%)、数据隐私威胁(49%)和保密违规(47%)。
迁移到云带来新的安全挑战，需要新的技能。为了解决这些问题，53%的企业希望培训目前的IT雇员，其次是与托管服务提供商合作(30%)、利用软件解决方案(27%)和聘用专业人员(26%)。
随着越来越多的工作转移到云端，企业已经意识到传统的安全工具不是针对云计算的(78%)，无法解决云安全挑战。因此需要专门为云计算设计的安全管理和控制解决方案，以防范数据泄露。
可视化云计算基础设施是受访者最头疼的安全管理任务(37%)。其次是合规(36%)和制定一致的安全政策(33%)。
云安全规范篇3
关键词：银行业经验云计算云服务安全问题解决
云计算目前是被广泛讨论的热点，IT巨头们纷纷宣布将拿出自己的云计算产品，专家们也纷纷表示，未来的互联网属于云计算。但2011年8月11日报道，谷歌公司承认把公司在欧洲数据中心的信息交给了美国情报机构。在此之前，微软已承认将欧洲的云端资料交给美国情报机构。不论是谷歌、微软、亚马逊、苹果或其他任何美国的云端服务供应商，虽然在他国营运或建数据中心，但都无法保护他们的资料不受到美国的检查。这给高速发展的云计算服务业务蒙上一层阴影，云计算的安全问题再次被提到更重要的位置，这关系到云计算未来的发展。
1.云计算面临的安全问题
要想发展好云计算服务，首先需要解决数据安全问题。因为加入云服务后，用户资料的数据存储、数据计算、网络传输等全部与云数据中心有关，不在自己监管范围之内，风险必然增大。
将其存在的风险总结为7大项。
1.1云服务商的诚信度（内因）。用户数据有着一定的机密性，但当把数据交给云计算服务商后，服务商则拥有了该数据的访问权限。那么如何阻止服务商为了某些利益泄露用户数据？
1.2黑客的窃取信息或非法操作数据（外因）。由于数据中心提供的服务面向互联网上所有网民，允许各种用户进行操作。若有某些漏洞，致使非法用户得到数据，将会使“云用户”的个人隐私、商业机密等敏感数据有可能泄漏。
1.3云数据的存储地问题。由于“云计算”的特点就决定了当客户使用云计算服务时，他们并不一定清楚自己数据在哪些地方有存储和备份。云数据存储是没有国界的，但是数据存储的设备却放在了具体的所在地，那么如何保证存储的数据不会因为设备所在地及国家的不同而导致数据丢失，如何避免在发生事故时不知晓当地的法律法规而导致法律纠纷？
1.4云数据存储的安全性。在云计算服务平台中，大量云用户数据处于共享环境中，即使采取数据加密，也不能保证万无一失。在出现问题时，如何保存操作记录以便审查？云服务商如何在发生重大事故时为云用户进行及时的数据恢复？
1.5连续服务的风险。云计算服务对网络的依赖程度非常强，如果网络发生故障，用户则无法使用云服务商提供的服务，对其业务的连续性产生较大的影响。
1.6终身服务的风险。如果用户选定了某家云计算服务商，就会很多重要数据交给云计算服务商，自己不会及时备份。如果云计算服务商破产或被他人收购，用户的相关服务很可能被中断，对用户将产生重要影响。
1.7行政法规地干预。如美国情报机构根据“爱国者法案”多次要求谷歌和微软提供欧洲资料中心的信息（也有可能提供其他地区数据中心的资料），而没有通知被调查用户。在这种情况下，如何能够保证数据安全？如何避免数据受损或被非法使用？
2.解决安全问题的几点建议
云计算遇到的许多问题，在银行业都遇到类似的问题。我们用银行业思维方式来考虑解决的方法。
2.1云服务商的诚信度问题。在银行业也存在类似问题，银行会不会将储户的存款金额告知别人，将储户的密码告知别人，将储户的往来客户信息告知别人，将储户账户上的钱取走？经验告诉我们不可能。在银行系统内部有一系列流程和规章制度防止出现“内鬼”，外部有银监会等机构检查制度落实情况，在银行从业人员中有句顺口溜“三天一小查，五天一大查”，可见检查是制度落实的关键。所以，云计算蓬勃发展的当前，急需建立类似银监局这样的民间或官方国际组织机构（以下我将该机构暂称为“云监会”），负责规范云计算企业业务：出台云计算行业安全标准、云计算行业安全操作规则、云计算内部控制和检查制度，检查云计算安全制度的落实情况；协同相关国家出台相关法律制度保证云计算行业的健康发展。
2.2黑客的窃取信息或非法操作数据。在银行业中银监会下设反洗钱中心专门追查可疑资金的动向，如果没有该中心，仅凭一两个银行营业网点的信息量根本没法确定哪些账户有问题。在目前为什么黑客如此猖獗，其中很重要的原因是追查不力，很多网民专业技术水平不够，仅凭公安部的网监部门很难获取到足够的信息来处理黑客事件。
2.2.1云计算发展后，可以通过提高云用户的入门门槛，做到云服务实名制，便于追查有关线索。
2.2.2“云监会”成立后，强制要求云企业将所有入侵记录和危险操作记录必须上报给“云监会”，然后由“云监会”汇总各云企业信息来确认哪些行为是黑客所为，又可能出现什么样的新病毒，将相关信息通知云企业做好防范。协同相关法律机构和网络提供商追查黑客和病毒的制作和传播者。
2.2.3“云监会”从技术层面指导云企业防范黑客入侵。分别从硬件――基础设施即服务IaaS（它提供基本的计算和储存能力）、系统软件――平台即服务PaaS（即云操作系统为用户提供开发环境）、应用软件――软件即服务SaaS（具备某些功能的应用软件功能作为服务，通过互联网传递给用户使用）三个层面分别制定出云计算安全防范措施，强制执行，达不到安全要求的停业整顿甚至吊销营业执照。
a）在IaaS层必须提供硬件防火墙服务抵挡来自外部的黑客攻击，存储用户数据必须以加密形式保存，云用户代码必须运行在受保护和隔离的内存中，计算结束后内存能够彻底数据清洁，保证不被泄露。
b）在PaaS层中由于云计算采用了虚拟化技术，在安装虚拟服务器时，必须为每台虚拟服务器分配一个独立的硬盘分区，以便将各虚拟服务器从逻辑上隔离。虚拟服务器必须安装防火墙、杀毒软件、IPS（IDS），以及日志记录和恢复软件，以便将它们相互隔离，并与其他安全防范措施一起构成多层次防范体系。
c）SaaS层与用户的需求紧密结合，可提供的云计算防范措施较多，要求云企业有选择的提供几项捆绑服务。典型的云安全服务有：DDOS攻击防护的云服务、Botnet检测与监控的云服务、安全事件监控与预警的云服务、内容安全的云服务、垃圾邮件过滤及防治的云服务、网页过滤与杀毒应用的云服务，等等。
2.3数据存储的存储地问题。这类似存钱时有委托存款，可以将钱投向指定企业，承担相应风险一样。云企业在哪些地方有数据存储中心，各地对哪些数据存储有特殊法律规定，让用户自主选择数据的存储地和备份地；在需要变更或新增加数据存储中心时告诉用户，并做好相应记录，在发生纠纷时可查找问题出处追究相应责任。
2.4确保数据存储的安全性。
2.4.1在银行业每个用户有一本存折，记录每次存取记录或刷卡记录，在存钱时可不用密码，取钱时要密码，三次错误输入密码后冻结账户，用户必须凭个人身份证到银行解冻。云企业必须为每个用户每项服务建立一个独立的审记日志，详细记载每次读写的时间、人员身份和查看修改内容等信息，用户登录后都能查看审记日志。
2.4.2使用多重身份认证的办法来确保数据存储安全。对云用户进行多级精细化的身份认证，普通用户身份只有数据访问权，数据用户身份可以有数据处理权，系统用户身份在数据用户身份被冻结后进行解冻与审计日志查询等。分别可采用欧洲隐私和身份管理、IE7Windows的CardSpace、OpenID三种身份和访问安全解决方案或与传统认证技术中的安全口令S/K、令牌口令、数字签名、单点登录认证、资源认证等相结合。
2.5连续服务的风险。这类似存钱时有一两个银行网点中断服务，需到其他网点办理业务一样。云企业成立时，应在多地建立数据中心，避免停电、火灾或地震等外在因素引起某一数据中心数据暂时性或永久性不好用。云企业接收用户数据时至少有一处数据备份。在灾害来临时能正常“营业”。
2.6终身服务的风险。这类似银行破产或被收购时，必须由银监会出面处理债权和债务关系后才好破产或收购。云企业在破产或被他人收购前必须向云监会提出申请，由云监会协调和处理好云用户的数据后方可进入破产或收购程序。
2.7行政法规地干预。这类似银行经常会收到协助查询书或协助冻结、划款书等法院文书。由云监会协同相关国家出台相关法律制度，规范强制数据调查，明确协查程序。政府或公安机关的强制数据调查时，必须开具相应法律文书，由云企业归档备查，在取证程序结束后通知用户，并提供相应法律文书给用户查看。
3.结语
云计算是当前发展迅速的新兴产业，具有广阔的发展前景，但同时其所面临前所未有的安全挑战，需要各方面的研究者共同探索解决之道。同时，云计算安全并不仅仅是技术问题，它还涉及标准化、监管模式、法律法规等诸多方面。因此，我在此用银行业的观点来提供解决云计算安全的一些方法，希望能起到抛砖引玉的作用。
参考文献：
［1］高云.浅析云计算的安全策略.科技创新导报，2009：28.
［2］沈昌祥.云计算安全.信息安全与通信保密，2010.12.
［3］陈龙，肖敏.云计算安全――挑战与策略.数字通信，2010.6.
云安全规范篇4
关键词：云计算；安全防范；建议
中图分类号：TP393.08
云计算运行中普遍存在着四大类问题，即云计算的可靠性问题、系统性能和系统扩展问题、系统安全问题以及成本问题。本文基于云计算安全防范内容对如何解决云计算安全防范提出了个人看法。
1云计算及其特征
云计算指的是通过互联网实现服务的变化、应用以及交付的一种新型的模式，其应用过程中主要通过虚拟化的资源配置实现互联网相关功能的扩展，它的应用也是自上世纪80年代人类发明大型计算机以来的又一次大的变革。目前，云计算已经被广泛的看作是继互联网和PC机变革以后的第三次IT行业改革浪潮，同时也是我国实现IT产业伟大战略复兴计划的重要内容。云计算的应用将会在很大程度上改变人们的生活和生产方式，其发展和应用已经收到世界范围的广泛关注。云计算技术的实质是计算机与新型的网络技术相互融合的产物，其中涉及到的主要技术包括并行处理、分布式处理、网络大容量存储以及虚拟技术等，因此可以说云计算技术是一项技术融合的产物。在维基百科中，云计算的定义是以Internet为基础同时能够虚拟资源动态伸缩的新型计算模式。美国科学标准研究院对于云计算的定义是基于用量付费模式，可以提供实用、快捷的网络访问，并且可以快速获得资源池内部的相关数据资源，同时具有管理操作简单、与服务器上交互较少等优点。
云计算主要具备以下几个方面的特点：伸缩性资源配置；自助式网络服务；快捷网络访问机制；基于用量计费；虚拟化资源。通常情况下，将云计算技术的优势归结为规模大、可靠性高、扩展性强、适用度高以及成本低廉等。
图1
2云计算的安全防护及其目标
云计算的迅猛发展既使企业享受到云计算带来的种种益处：节省成本开支、增强计算能力、灵活的业务应用扩展等，但同时高整合、高竞争、高淘汰的新商业环境，也让企业的生存和发展高度依赖于两个核心要素，即“云”自身的可用性（Availability）和企业核心数据的安全。
可用性是指软件系统在一段给定时间内正常工作的时间占总时间的比重，通常用百分比来衡量。可用性方面最终解决方案是能够预测问题，并通过提前准备副本、提前解决故障、通知用户等手段来避免这些故障的发生，或者减少故障发生带来的损失。云计算数据的处理和存储都在云平台上进行，计算资源的拥有者与使用者相分离已成为云计算模式的固有特点，由此而产生的用户对自己数据的安全存储和隐私性的担忧是不可避免的。
具体来说，云计算的安全防护是指用户数据甚至包括涉及隐私的内容在远程计算、存储、通信过程中都有被故意或非故意泄露的可能，亦存在由断电或宕机等故障引发的数据丢失问题，甚至对于不可靠的云基础设施和服务提供商，还可能通过对用户行为的分析推测，获知用户的隐私信息。这些问题将直接引发用户与云提供者间的矛盾和摩擦，降低用户对云计算环境的信任度，并影响云计算应用的进一步推广。所以云计算的安全防护的主要目标之一是保护用户数据和信息安全。当向云计算过渡时，传统的数据安全方法将遭到云模式架构的挑战。弹性、多租户、新的物理和逻辑架构，以及抽象的控制需要新的数据安全策略。
3云计算安全防范构思
3.1传统数据中心安全部署
传统数据中心安全部署的一般核心思路是：分区规划、分层部署。分区规划是在网络中存在不同价值和易受攻击程度不同的应用或业务单元，按照这些应用或业务单元的情况制定不同的安全策略和信任模型，将网络划分为不同区域，以满足以下需求。分层部署是指在分区基础上，按照全面的安全防护部署要求，在每个区域的边界处，根据实际情况进行相应的安全需求部署，一般的安全部署包括，防DDoS攻击、流量分析与控制，异构多重防火墙、VPN、入侵防御以及负载均衡等需求。
3.2云计算的安全防护具体内容
云计算的安全防护是与传统数据中心安全部署有所区别的：一是数据与信息安全防护：安全隔离、权限控制、数据加密、信息传输加密、数据备份和恢复、剩余信息保护等。其次，身份管理与安全审计。采用统一的云服务身份管理模式和认证技术，通过分权分域的控制机制实现跨域的身份认证、授权和访问控制。三是用户账号管理。即为实现云计算系统的集中访问控制、集中授权、集中审计提供可靠的原始数据。
3.3云计算安全防范思路
云计算安全防范的重点信息平台与数据资产两个核心要素提供安全防护。这需要我们至少做好四个方面的工作：一是主动积极应对。在迈入云计算环境时需要采取一种积极主动的态度。循序渐进、有条不紊的方式部署和推进云计算。做好培训和准备工作，把握好对安全性、可用性和成本等重要问题的控制。二是有效设置信息和应用层。并非所有的信息和应用都是在同一层面上创建的。进行分析并将信息和应用放置在各个层次，这样才能确定哪些能优先进入云环境。三是适时评估风险并主动应对。确保关键信息只能被授权用户访问，确保云服务提供商能满足企业合规性的要求。对云计算的运营运作能力进行评估，如容灾能力、高可用性和灾难恢复能力。四是有效应用智能技术。即利用应用智能在端口和传统防火墙的地址拦截来智能地检测、分类和控制应用程序带宽。基于云计算的应用程序流量的增长已经远远超过了传统防火墙的安全功能。通过对应用程序的检测、分类和控制，可以阻止、限制或者优化任何特定应用程序。
4结束语
云技术在受到企业用户青睐的同时，也成为黑客和各种恶意组织为获取自身利益而攻击的目标。另外，组成云计算环境的各种系统和应用依然要面对各种病毒、木马和其他恶意软件的威胁。云计算安全防护的基本思路应是：利用传统的IT安全技术解决大部分安全问题；引入新的安全技术解决云计算所特有的安全问题。
参考文献：
[1]陈婷婷.云计算安全防范策略探讨[J].中国电子商务，2013（08）.
[2]李彦宾.云计算数据中心网络安全防护部署[J].网络与信息，2012（06）.
[3]中国电信网络安全实验室.云计算安全：技术与应用[M].北京：电子工业出版社，2012（02）.
云安全规范篇5
有研究者形象化地描述大数据”是未来的新石油。不同的定义基本都是根据大数据的特征归纳阐述给出。比较具有代表性的是4V定义，认为大数据具有4个特点：规模性（volume）、多样性（variety）、高速性（velocity）和价值性（value）。即数据规模巨大，从TB级跃升到PB级；数据类型多样，包含结构化、半结构化和非结构化的多种数据类型；高效的数据处理能力及蕴含着极高的价值。
2大数据时代图书馆信息安全面临的威胁
大数据时代，数据资源将逐渐成为图书馆最重要的资产之一，决策行为将在数据分析的基础上做出。作为以数据分析利用和信息服务为己任的图书馆，它的信息安全将面临着大数据带来的挑战。
2.1存储安全问题
图书馆关注的数据已不仅限于书目信息、读者信息、电子期刊等业务数据，还延伸到微信、微博、移动网络等读者活动中产生的很难估量的社会化数据。如此庞大的数据集对图书馆的存储、软硬件设施是个考验。如何防止这些数据丢失、损毁、被非法盗取及利用是图书馆安全存储面临的一项挑战。另外，大数据环境下的图书馆为了降低成本，通常会将数据存储在云端，云的开放性，海量用户共存性等都带来了潜在的威胁。
2.2网络安全问题
图书馆是以网络为基础来传递信息和数字资源，为读者提供服务。在网络上，大数据成为更易被攻击的显著目标。图书馆的大数据”不仅包含了海量数据资源，还包含了读者行为、敏感数据等，这些海量的信息资源将吸引更多的攻击者，也使大数据成为更有吸引力的目标。另外，黑客利用大数据发起的僵尸网络攻击，能够同时控制百万台机器，这是传统单点攻击做不到的。利用大数据，黑客能够发动APT攻击，APT的攻击代码隐藏在大数据中，很难被检测到。
2.3隐私泄露问题
社交网络、微博、移动网络等这些信息服务新形式的快速发展，互联网每时每刻都在产生海量的数据。读者的个人数据可能被任意搜索、获取，这将极大地威胁隐私安全。一方面，图书馆的海量数据信息资源、读者信息、读者行为、科研信息等数据高度集中，即使不被盗取滥用，也增加了数据泄露的风险。另一方面，对于某些重要数据、敏感数据以及隐私数据的挖掘分析，其使用权没有明确界定，这都将会涉及隐私泄露。
2.4知识产权问题
大数据时代，图书馆虽然会把越来越多的数据资源交给云”提供商代为托管，但是图书馆应完全拥有这些被托管数据资源的知识产权。然而现实中，云”提供商利用大数据技术对图书馆的数据资源进行挖掘、发现、分析进而整合成新的数据产品加以利用，本该由图书馆所唯一拥有的数据，一旦被云”提供商开发成产品，知识产权的界定就成为图书馆要面临的新难题。
3大数据时代图书馆信息安全应对策略
大数据资源将成为图书馆的核心资产。图书馆在利用数据处理、数据挖掘、数据分析等技术获取大数据蕴藏的高价值，创新服务模式，提高服务质量的同时，应重点考虑如何确保数据资源存储安全，如何降低网络安全威胁，如何防止隐私泄露等。大数据时代的图书馆应首先从技术层面保障存储安全，提高网络安全防范技术；其次，建立数据监管体系，对读者和图书馆的重要数据、敏感数据、隐私数据进行监管；最后，加强图书馆信息安全制度和相关政策法规建设。
3.1保障存储安全
图书馆的数据资源在无限增长，规模日益庞大，保障这些数据资源的安全存储显得尤为重要，同时对硬件设施也是巨大考验。现有的存储系统无法充分有效地存储、管理、分析大数据，限制了数据的增长。大数据时代的图书馆为了降低运维成本，缓解硬件设施压力，应考虑将数据和信息存储在云端，利用云存储实现数据的存储、管理以及分析。云存储，即基于云计算的存储系统，其可扩展性、灵活性、运算高效性能够解决大数据存储和管理存在的问题。但是，云存储具有数据规模海量、管理高度集中、系统规模巨大、平台开放复杂等特点，这些都将对信息安全带来威胁。因此，保障云安全是大数据时代图书馆信息安全的基础。图书馆作为云存储服务用户，最关心的就是存储在云端的数据是否完整安全，是否有人非法访问，以及当合法访问这些数据时是否能获得有效且正确的数据。因此，应重点研究运用身份认证、加密存储、数据灾备这3种技术手段来保障云安全。
（1）身份认证。
加强图书馆云存储上数据的管理，实行身份认证，确保管理员、读者用户、云存储服务提供商等经过认证获得访问权限后，才可管理、分析、访问云”上的数据资源。云存储具有跨平台、异构、分布式等特点，为了提高管理员、用户的访问效率，应建立有效的单点登录统一身份认证系统，支持各图书馆云存储之间共享认证服务和用户身份信息，减少重复验证带来的运行开销。
（2）加密存储。
对文件和数据进行加密保存，确保图书馆云存储上的数据资源在存储和传输过程中，不被意外或非意外损毁、丢失、处理及非法利用。加密存储主要包含两部分工作：一是密钥的管理和产生，二是应用密钥对数据进行加密存储和解密读取。云存储系统为每位注册用户生成一个解密密钥，系统将数据加密存储在数据中心，用户读取加密数据后，利用自己的解密密钥恢复数据，得到原始数据。这一过程对存储性能和网络传输效率会有一定影响，因此图书馆一方面要加快对加密存储技术的研究；另一方面可以考虑先只对重要数据、敏感数据、个人信息数据进行加密存储。
（3）数据灾备。
云计算技术对于数据灾备具有天生的优势。将虚拟化技术、分布式技术和云计算技术结合可实现多点备份、数据自动冗余存储、云节点无单点故障数据级灾备。图书馆可以利用云存储在不同的地方建设两个及以上的图书馆云存储数据中心，构成一个跨地域的统一存储平台，各业务部门和每个用户都可以共享共用这些数据。保证只要有一个数据中心完整，所有数据就不会丢失且能够提供持续服务。
3.2提高网络安全防护技术
随着图书馆数据资源总量的增加和新型社交网络下读者原创数据爆炸性增长，网络在线数据呈现急剧增长的趋势，导致黑客的攻击欲望比以往更为强烈，其手段和工具也更为复杂、更加专业。大数据对图书馆网络安全策略提出更高的要求，从技术层面来说，图书馆网络安全策略包括漏洞扫描、入侵检测、访问控制和网络安全审计4种技术手段，任何一个单一的防范手段都无法保障图书馆网络的安全性。
（1）漏洞扫描。
漏洞扫描包括检测路由器、交换机、防火墙、各应用服务器OS、应用系统以及工作人员用机的安全补丁、系统漏洞、病毒感染等问题。漏洞扫描系统应及时发现系统漏洞、木马、病毒、蠕虫、后门程序、网络攻击、ARP等，并提供修复、查杀、拦截、防御的有效工具，同时能够对图书馆整个网络系统进行风险评估，以便采取相应措施及时消除系统中的安全隐患。与以往的漏洞扫描不同的是，大数据时代，对于海量数据的扫描，将会花费很长的时间，因此需要研究解决如何提高网络海量数据检测扫描的精确度和速度。
（2）入侵检测。
随着图书馆信息资源和数据资源共建共享步伐的加快，图书馆私有云和行业云的建设加快，网络应用范围在不断扩大，来自校园网内部和外部的黑客攻击、非法访问等安全问题与日俱增，因此对恶意入侵的检测与防范刻不容缓。大数据对信息安全是把双刃剑，应利用大数据的分析技术，通过分析来源信息，能够自动确定网络异常。进一步研究更有效的检测手段，完成APT高端检测，做到多点、长时、多类型的检测。
（3）访问控制。
接入图书馆网络的用户，在使用海量数据资源之前，必须进行身份认证和权限划分，用户通过认证获得授权之后，才可以根据自己的权限访问相应的数据资源和应用系统，获取相关的数据分析结果等。采用单点、统一认证方式，并结合PMI权限控制技术，加大认证加密技术研究，有效控制不同用户分不同级别访问管理数据、访问数据、获取数据以及应用大数据分析结果。
（4）网络安全审计。
相比入侵检测系统，网络安全审计没有实时性要求，因此可以对海量的服务器运行日志、数据库操作记录、系统活动等历史数据进行分析，并且可以利用大数据进行更加精细和复杂的分析，发现更多的黑客攻击种类，其误报率也将低于传统的入侵检测。
3.3建立数据安全监管机制
大数据关键技术的快速发展，为图书馆大数据的存储与分析奠定了基础，大数据将成为图书馆的重要资产。但是，海量数据和数据分析结果一旦泄露，相对于以往，对读者个人甚至整个图书馆界将会造成巨大的经济损失，还可能导致声誉受损，严重的还要承担相关法律责任。大数据安全不仅是技术问题，更是管理问题。因此，大数据时代，图书馆除了要从技术上实现存储安全、云安全、网络安全等方式来抵御外来的信息安全威胁，更需要加强在数据安全监管、数据资源共享机制、数据隐私保护、敏感数据审计等方面的制度建设，从管理上防止图书馆核心数据、隐私数据和敏感数据的泄露。力图建立贯穿于数据生命周期的数据监管机制。在技术层面，运用先进的信息技术手段开展数据监管工作，如利用现有隐理、数据预处理等技术保障数据在使用和传输中能够拒绝服务攻击、数据传输机密性及DNS安全等。在管理层面，提高图书馆工作人员的信息安全意识，加强各业务部门内部管理，明确重要数据库的范围，创新有效科学的数据监管手段与方法，制定终端设备尤其是移动终端的安全使用规程，制定并完善重要数据、敏感数据、隐私数据的安全操作和管理制度，规范大数据的使用方法和流程。
3.4加强图书馆信息安全制度建设
依据信息安全管理国际标准ISO27000，明确大数据时代图书馆的实际安全需求和安全目标，量化各类数据资源的安全指标，建立全方位、立体、深度的信息安全防御体系。以信息安全防御体系为基础，建立信息安全责任人负责制的组织机构；制定日常安全运维制度，包括存储、业务系统以及各应用系统的安全运行监控制度、数据监管制度、移动终端检测制度、网络安全制度等；制定应急响应制度，包括数据灾备制度、数据恢复制度、故障系统恢复制度等。对于存储在云端的数据，建立数据共享制度和机密保护制度。根据保密级别、共享级别、开放级别等明确访问权限等级划分，制定数据的访问、检索、下载、分析等方面的规定；建立身份认证和权限控制机制，控制非法授权访问数据；制定数据云存储的安全规定，加密关键数据；制定数据所有权条款，防止云”提供商第三方泄密。建立相应的法律政策保护数据利用时涉及的知识产权，保障数据资源的合理合法使用，维护图书馆利益，保护知识产权。
4结语
云安全规范篇6
关键词：云计算；安全防御
0引言
云计算概念一经推出，就迅速被接受和应用。它以提供高性能的计算资源服务和大规模廉价的共享资源服务，使得计算机信息获取技术和服务模式发生了革命性的变革，给整个计算机行业发展带来了巨大的推动效应。全球最具权威的从事信息技术研究和咨询高德纳（Gartner）公司认为“云计算是一项颠覆性力量，对大多数的行业都具有广泛的长远影响”“很快将会看到大型企业供应商提供的全方位的服务范围来构建云环境，和传递云服务。”在其研究的2010年度至2013年度排名前十的战略技术趋势中，云计算评为十大战略技术之首或前列。然而，无疑云计算目前仍处于早期发展阶段，其有许多技术仍不成熟且仍存在许多问题，特别是安全问题。高德纳（Gamter）公司曾经做过一个关于云计算风险的评估调查，调查结果显示：大多数人认为云计算服务提供商拥有的权利太大，导致大多数用户对数据的安全存储和传输方面存在很大的担忧。据报道，欧洲推迟接受云计算的主要因素是担心存在美国服务器资料是否安全。云计算安全保障是建立在对方信任的基础上，用户放在云计算数据中心的数据信息对云计算服务提供商毫无秘密可言。因此，云计算存在失、泄密的潜在风险，必须采取相应对策。
1云计算概述
中国电子学会云计算专家委员会在2010年的《云计算白皮书（概要）》中指出，云计算是一种基于互联网的、大众参与的计算模式，其计算资源（包括计算能力、存储能力、交互能力等）是动态、可伸缩的、被虚拟化的，且以服务的方式提供。所谓“云”是源自计算机流程图中常以云状图案表示互联网的形象类比。
最简单的云计算技术在网络服务中已经随处可见，例如搜寻引擎、网络信箱等，使用者只要输入简单指令即能得到大量信息。未来如手机、GPS等行动装置都可以透过云计算技术，发展出更多的应用服务。未来的云计算不仅仅只做资料搜寻、分析的功能，如分析DNA结构、基因图谱定序、解析癌症细胞等，都可以通过这项技术轻易达成。云计算应用最具典型案例是《纽约时报》应用亚马逊提供的弹性计算云EC2服务，仅花不到300美元，在24小时之内，就将《纽约时报》1851年至1920年之间发表的1100万篇文章和图像转换为PDF文档。有人认为，未来30年将是云计算时代。越来越多的信息系统和信息终端将依托云计算平台而存在，越来越多的软件研发和运行将依托云计算来支撑。在远程的数据中心，成千上万台电脑和服务器连接成一片电脑云，向各种不同类型的客户提供在线软件服务、硬件租借、数据存储、计算分析等不同类型的服务。到时用户只需使用电脑、笔记本、手机等终端设备，通过网络接入数据中心，按自己的需求即可享受云计算强大的计算和存储服务。
2云计算安全问题
尽管云计算有着多种多样的好处，但事实上许多人还是抱着观望和谨慎的态度看待云计算，主要原因还是对云计算安全性的质疑。云计算是以互联网技术为基础，它也不可能避免网络安全的威胁；云计算服务模式使用户数据由自行严格控制转变为云提供商管理与控制，用户失去了对云数据的物理控制，加重了用户对云计算数据信息的私密性和安全性的担心；云计算数据中心呈多租户（multi-tenancy）特点，数据、服务和计算高度聚集，云计算的数据中心自然成为黑客攻击、入侵和窃取数据信息的主要对象。近年来，基于云计算模型建设的数据中心重大安全事件时有发生，包括：Sidekick服务中断，AmazonEC2遭到阻断服务攻击，以及Google电子邮件服务中断等令人瞩目的云计算灾难事件，小规模的安全事件更是频频出现。虽然，云计算的使用日趋深入，但人们对云计算安全风险的质疑和担忧并未随之解除。究其原因，主要有以下三方面因素：一是云计算服务提供商对用户数据信息安全保障的信度有待于提高。开放的互联网使得云计算数据中心面临着无穷的隐患，它需要云计算服务提供商不断地、积极地改善其安全策略，从技术和管理层面形成综合的、有效的用户数据信息保证系统；二是云计算相关法律、法规和标准制定滞后于云计算发展的需要。一系列能够强制云计算服务各方采取安全措施的法规文件急需制定颁布，政府及相关组织对云计算的监管有待于落实到位；三是用户对云计算安全认识存有误区。云计算安全并非是随着数据的转移，完全交由计算服务商负责，事实上云计算安全防范离不开用户参与，用户发挥自身能力以补偿潜在云计算风险管理是云计算安全保障的重要环节。
3云计算安全防范策略
3.1云计算的特点决定云计算服务商必须为用户提供可靠的、可信的数据信息安全策略
用户最关心的是其存储在云计算中心的数据及隐私安全性问题，比如在云计算的环境下有可能存在数据信息资源在存储和传输过程中被非法下载或恶意篡改的情况，针对用户对云计算数据安全质疑，需要云计算服务提供商制定解决方案并向客户作出安全承诺。云计算服务提供商达到上述目标，既要从技术层面上加强研发，建立健全云计算数据中心信息安全防御体系。云计算提供商应推进虚拟化技术运用，利用逻辑隔离手段来保证数据安全；充分利用云计算强大的资源共享能力和运算能力，对安全风险进行快速反应和处置，快速定位解析安全威胁，形成智能化安全风险快速反应机制。也要从管理角度采用分权分级控制和流程化管理的方法，防止用户放在云计算中心的数据信息被“偷窥”。要制定有效的访问控制策略，在普通用户、管理用户和云计算服务商进行合理的权限划分与管理。
3.2云计算的安全离不开国家相应的法规制定和监督
政府相关部门要及时推出相应的法规和标准，形成云计算安全领域的规范与标准。以约束云计算的服务提供商的行为和技术，强制要求他们采取必要的服务措施，保证服务的安全性。建立健全对云计算企业监督检查制度，检查包括厂商对客户承诺的不合理性、厂商信守承诺的程度、厂商在对待客户的数据的审计和监管力度。
3.3云计算用户要从自身的角度制定云计算安全防范策略
首先在选择和使用云计算服务时要注意在云计算服务提供商的安全性和自己数据的安全性上做个平衡，太重要的数据不要放到云计算中心，或放到相对安全的“私有云”，或数据加密后放到云端保存，加强用户自主控制数据安全性，不完全被动依赖服务提供商的安全保障措施；其次要增强安全防范意识，存储在云里的数据，要经常备份，以免在云计算服务遭受攻击、数据丢失的情况下，数据得不到恢复；再是要保管好自己的账户和保证自己计算机的安全，制定严格的用户终端使用安全规定，采取必要措施保护端到端的安全，防止账户或服务的劫持。
4结语
云计算改变了服务方式，但并没有颠覆传统的安全模式。在云计算时代，安全设备和安全措施的部署位置有所不同，安全防御的策略也要相应调整，解决云计算安全问题，需要诸多云计算服务提供商、用户和政府相关组织联合起来，共同构筑一个完整的云计算防御体系，保证云计算健康有序的发展。
参考文献：
[1]吴德本，姚健，邓志武.云计算综述[J].计算机应用，2012，（3）：29-31.