云安全參考模型解決的是分類的關(guān)系，對于第一次接觸云計算的組織和個人來說，需要注意以下的幾點問題以避免潛在的陷阱和困惑：

1. 云服務(wù)是如何部署的”與“云服務(wù)是在哪里提供的”這樣的概念頻繁混用所帶來的困惑。例如，公共或私有可能被描述成外部或內(nèi)部云，這種互換不是所有情況下都是準(zhǔn)確的。

2. 云服務(wù)的使用方式經(jīng)常被描述成與組織的管理或安全邊界位置有關(guān)(通常定義在某個防火墻上)。雖然了解云計算中安全邊界在哪里很重要，但是，“界限清晰的邊界”的這一概念是一個時代性錯誤。

3. 在企業(yè)中正在上演的對信任邊界的重組(re-perimeterizati•n)及侵蝕，被云計算放大并加速。無處不在的連接、各種形式的信息交換、無法解決云服務(wù)動態(tài)特性的傳統(tǒng)靜態(tài)安全控制，這些都要求針對云計算的新思維。針對企業(yè)網(wǎng)絡(luò)的邊界重整，Jerich• F•rum開發(fā)了相當(dāng)多的材料，包括很多案例分析。

云的部署和消費模式不能僅僅在“內(nèi)部”還是“外部”上討論，因為它們只是與資產(chǎn)、資源和信息的物理位置有關(guān)，而是還要討論由誰消費、誰負(fù)責(zé)監(jiān)管、安全和政策標(biāo)準(zhǔn)的合規(guī)等。

這里不是在建議某個資產(chǎn)、資源和信息是在“場內(nèi)”(•n-premise)還是“場外”(•ffpremise)對組織的安全和風(fēng)險狀態(tài)沒有影響，它們的的確確有影響。但是，這里更想強調(diào)的是風(fēng)險還與這些有關(guān)：

· 所要管理的資產(chǎn)、資源和信息類型

· 誰管理?如何管理?

· 選擇了哪些控制?如何集成?

· 合規(guī)性問題

例如，Amaz•n AWS EC2里部署的LAMP套件應(yīng)該分類為公共的、場外的、第三方管理的IaaS解決方案，即使其中的實例、應(yīng)用、數(shù)據(jù)是由消費者或某個第三方負(fù)責(zé)管理。部署在Eucalyptus的某個常規(guī)應(yīng)用，為若干個業(yè)務(wù)單元服務(wù)，由某個公司控制、管理并擁有，可以分類為私有的、場內(nèi)的、自管理的SaaS解決方案。兩個例子都使用了云的彈性架構(gòu)和自服務(wù)能力。

下面的表格總結(jié)了這些要點：

另外一個將云服務(wù)模型、部署模型、資源物理位置、管理和所有者屬性等圖形化展示的方法是Jericho Forum (www.jerichoforum.org)的云立方體模型(Cloud Cube Model)，如下圖所示：

Jericho 云立方體模型

云立方體模型很形象地闡述了市場上現(xiàn)有云產(chǎn)品的各種排列組合，提出了用以區(qū)分云從一種形態(tài)(formation)轉(zhuǎn)換到另外一種形態(tài)的四種準(zhǔn)則/維度，以及各種組成的供應(yīng)配置方式以便理解云計算影響安全路線的方式。

云立方體模型還凸顯了在理解云模型并將云模型映射到控制框架和標(biāo)準(zhǔn)上去時的挑戰(zhàn)，這些控制框架和標(biāo)準(zhǔn)，像ISO/IEC27002，提供了“一系列指南和通用原則，用以在組織內(nèi)部啟動、部署、維護(hù)和提升信息安全管理”。

在ISO/IEC 27002 的6.2節(jié)，“外方”(External Parties)控制目標(biāo)有:“… 組織的信息和信息處理設(shè)施的安全不應(yīng)該因為引入外方產(chǎn)品或服務(wù)而降低 …”。因此，三種云服務(wù)模型的安全防護(hù)在方法和責(zé)任上有所不同，這意味著云服務(wù)的消費者面臨很有挑戰(zhàn)性的工作。除非云提供商愿意透露自己的安全控制以及為消費者部署的程度，同時消費者也知曉自己需要哪些控制以保持信息安全，否則，肯定會有可能出現(xiàn)大量的誤導(dǎo)下的決策并損失慘重。

這很關(guān)鍵。第一是針對云架構(gòu)模型對云服務(wù)分類。接下來是映射其安全架構(gòu)，以及業(yè)務(wù)、監(jiān)管和其它合規(guī)要求;與其相對的是一個差距分析練習(xí)。輸出的結(jié)果決定了某個云服務(wù)的一般“安全”狀態(tài)，以及它如何和某個資產(chǎn)的保障保護(hù)要求關(guān)聯(lián)到一起。

下圖給出了一個很好的例子說明，如何通過對云服務(wù)組件和安全控制策略集的映射來確定哪些安全控制是存在或缺失的，這些安全控制分別由客戶，云服務(wù)提供商或第三方提供。這也可以與合規(guī)框架或者強制要求(如PCI DSS)來進(jìn)行比較，同樣如下圖所示。

云模型、安全控制和合規(guī)模型的映射

完成差距分析后，按照監(jiān)管方和合規(guī)方面的要求，決定需要做哪些以填入風(fēng)險評估框架就容易多了。相應(yīng)地，這也可以幫助決定如何對待這些安全“差距”或最終的風(fēng)險 – 接受、轉(zhuǎn)移、或降低。

需要意識到的重要一點是，使用云計算作為一種運行模型并不會自然地提供或妨礙達(dá)成合規(guī)性。對于任何要求的合規(guī)是服務(wù)、所使用的部署模型、以及對范圍內(nèi)的資源的設(shè)計、部署、管理等的直接結(jié)果。

下面是幾個對控制框架非常好的全面總結(jié)，它們提供了上面提及的通用控制框架的精彩闡述，包括開放安全架構(gòu)小組(Open Security Architecture Group)的安全架構(gòu)模式文檔，還有最近剛剛更新的NIST 800-53 revision 3 - Recommended Security Controls for Federal Information Systems and Organizations.