9、云计算安全指南：服务、合规与部署模式解析

云计算安全指南：服务、合规与部署模式解析

1. 现有安全指南概述

在云计算安全领域，有不少组织提供了相关的安全指南。例如，FedRAMP网站为寻求合规的组织提供了安全指导，其适用范围广泛，不仅局限于政府领域，与NCSC云安全原则类似，具有广泛的适用性。

另外，Open Group也在云安全方面有所贡献。其云计算工作组发布的《云与SOA安全原则》白皮书，按照TOGAF 9推荐的格式，提出了一系列安全原则，用于指导云环境中面向服务架构的安全开发，这些原则也适用于其他云部署形式。后来推出的云计算生态系统模型，为开发包含云服务的企业架构的架构师提供了指导。

2. 通用安全服务

2.1 托管服务

在相关参考模型（SRM）中，托管服务包括以下几个方面：
- 物理安全 ：消费者应确保云服务提供商（CSP）采用的物理安全机制能满足自身需求，不仅要关注外部周边安全，还要确保数据中心内部有足够的安全机制，如内部访问控制、安全监控（CCTV、被动红外入侵检测系统等）以及访客访问管理程序。由于消费者通常无法自行进行物理审计，可依赖独立评估的保证机制，如SOC2 Type II报告、ISO 27001认证或CSA STAR条目。此外，数据中心的选址也需从多个角度考虑安全性，包括环境威胁（地震、火山爆发、洪水、恶劣天气等）、政治稳定性、政府干预风险、交通（飞行路径）以及资源可用性等。
- 环境安全 ：消费者应确保CSP实施的环境控制措施能为IT设备提供适宜的环境，如冷却、弹性冗余电源供应和湿度控制。对于有特定碳减排或其他“绿色”目标的组织，还可能关注数据中心的效率评