云數據安全風險檢測研究

（公安部第三研究所華南技術研究中心 上海 200031）

隨著我國的計算機網絡與互聯網技術的飛速發展，云平臺等新型的服務模式與計算機技術應運而生。而云平臺產生的云數據是信息領域的一項重大的技術革命，隨著信息技術的發展向規模化、集約化、專業化的特點發展，從而存在處置風險成本較低、存儲容量大、計算能力強、便于管理和優化等優點，因而受到各云平臺用戶的熱衷，同時也得到了社會各界的重視。但是，隨著云平臺的不斷普及與應用、以及云平臺用戶不斷增加，云數據面臨的安全威脅不斷增加，云數據安全風險漏洞也隨之暴露。一旦云數據的安全風險未能得到有效的控制，勢必影響云數據的交互和應用，從而導致云平臺用戶遭受到巨大的經濟損失，甚至對我國的國家安全造成一定的影響。

1 云數據的安全現狀分析

隨著云計算服務模式的誕生，社會用戶開始將自己的數據存儲在云端的服務器，從而產生眾多復雜的云數據。目前市面上云平臺結構復雜，云平臺用戶種類多樣，網絡程序交互開放，數據的流向難以摸索，云數據的全生命周期涉及多個平臺設備以及人員，云數據的安全防護貫穿了云數據的全生命周期。在數據管理責任、數據存儲方式以及數據的維護等方面，云平臺的數據安全與傳統數據中心的數據安全有重大的區別，云數據安全難以采用傳統的安全檢測和防護措施。對客戶而言，客戶通過依賴云計算對數據的處理從而實現了對自有數據的控制權，云數據相當于一種盒子數據，數據的存儲位置是透明不可見，客戶難以開展對自家數據的安全風險檢測和防護工作。綜上來看，云數據的安全風險涉及面廣，關系復雜，需要進行深入分析探討。

2 云數據的安全風險分析

2.1 數據采集風險

云平臺在進行數據采集時，需要告知被采集人數據采集范圍、數量和頻度，在征得被收集人的同意后方可進行，而且對采集后的數據進行分級分類，明確數據的密級和共享原則。但是往往部分云平臺為了工作方便，直接無視客戶的意愿強行采集數據，并且對用戶部分重要信息與其他普通數據進行共同存放，如個人敏感數據。如果云平臺在數據采集過程中沒有做好相關的告知工作和數據分級分類，容易導致數據被濫用等風險，數據一旦被不法分子利用，甚至出現電信詐騙等危害社會安全的事件。

2.2 數據傳輸風險

在數據的云計算過程中，用戶們的數據都是通過網絡來進行傳輸的。數據通過網絡傳輸將會經過多種多樣的電子設備、通訊設備以及相關的基礎設施。如果數據在傳輸的過程中遭到外界干擾或者是被黑客采用中間人攻擊等攻擊行為時，那么就會出現數據的可用性、完整性和保密性遭到破壞的情況，進而產生數據泄露、數據網絡不可達、數據篡改等安全事件，直接影響到用戶的數據安全。

2.3 數據的存儲風險

云計算中通過將資源進行儲存，實現了資源的共享。在資源的儲存過程中也存在以下幾個風險：其一，由于云平臺儲存的設備存在老化的情況，不排除因磁盤機械損壞而導致客戶的數據丟失；其二，在部分云平臺上進行數據加密之后，數據管理系統難以實現基本的數據運算檢索操作。因此部分用戶為了使用方便未對數據進行加密存儲，那么這容易導致黑客入侵對數據進行竊取，從而帶來資源泄露的情況；其三，部分云數據的管理商為降低工作成本，將不同的用戶共有數據進行集合處理，卻未對其重新進行數據標記，這容易出現數據的原有標簽沖突或破壞的情況以及出現數據混雜的情況：其四，云數據管理商在進行數據儲存的過程中，為了有效節省儲存的空間，未對數據進行必要的容錯或者異地備份，如果云平臺發生意外情況，可能導致數據無法恢復，從而影響到數據的存儲安全。

2.4 數據在使用過程中的風險

在云數據使用數據的過程中，由于云供應商或云平臺用戶有意或者無意對數據進行了一系列不正確的操作，如越權共享數據、未對既定的發布對象進行數據發布等，容易出現數據泄露等風險。而發生數據使用的安全風險主要有以下方面的原因：其一，云平臺供應商的管理員在內部安全培訓中缺乏數據安全的相關培訓，在設置云數據的管理權限時，未能按照安全要求識別不能共享的機密數據，亦未能精準識別有關人員的職責，從而導致云平臺供應商管理員直接泄露用戶重要信息；其二，由于云平臺用戶使用數據途徑簡單，只需要通過互聯網終端設備即可訪問云端服務器，且云平臺用戶的安全意識較為薄弱，未接受過專業化的數據使用安全知識，因此，容易出現因自身操作不當而導致的數據信息外泄的情況。其三，平臺系統在使用數據交換時，往往采用數據接口等技術工具。如果這些數據接口未做好安全防護措施，缺少身份鑒別、訪問控制、授權策略、簽名、時間戳等安全手段，可能會被黑客利用直接導出數據，從而導致數據泄露問題。

2.5 數據的銷毀風險

用戶在對數據完成了儲存或者使用之后，需要將原始的數據從云端服務器進行銷毀，如果云數據的管理操作人員采用的是邏輯刪除的方式，則容易出現客戶的數據殘留等未徹底銷毀數據的情況，一旦被黑客利用一系列的操作進行數據恢復，則造成了客戶隱私數據被泄露的情況。

2.6 數據的合規風險

在對云數據開展數據全生命周期的維護時，由于云平臺供應商相關法律意識較為薄弱，未能及時識別與數據有關的安全法律法規，如《中華人民共和國網絡安全法》，容易出現數據跨境、數據落地不合規等違法違規的情況。

2.7 數據的審計風險。

在對云數據進行治理過程中，云平臺供應商往往缺少國內第三方有關部門機關對存在的風險進行審計。由于云平臺缺少內審內控的管理制度，亦缺乏內部的有效監管，導致云數據治理過程中潛在的安全風險未能及時識別，一旦相關風險被黑客利用，容易產生一系列的數據安全問題。

3 云數據安全風險檢測的方法

3.1 等級保護

云平臺供應商依照《中華人民共和國網絡安全法》的要求落實好云平臺的等級保護測評工作，及時發現云平臺風險。

3.2 定期巡檢

云平臺供應商內部對數據管理系統進行定期巡檢，檢測數據管理系統的漏洞。

3.3 安全考核

云平臺供應商和云平臺用戶定期對涉及數據的相關人員進行安全考核，發現安全意識不足的人員。

3.4 安全審計

協助上級部門以及國家機關定期對云平臺數據依照國家法律法規以及國家對數據分級分類要求進行數據安全審計，以發現數據違規問題。

4 云數據安全風險的建議

4.1 云平臺供應商要加強云數據的技術研究

如果云平臺供應商對云數據風險檢測技術落后，容易導致數據的安全風險隱患難以被發現。建議云平臺供應商要不斷加強對云數據技術的研發與應用，特別是云數據的權限控制、隱私保護、海量數據分布等方面，加強相關數據的隔離、銷毀與追回的技術研究，學習國內外先進的研發技術，盡可能地改變我國目前云數據核心技術對國外技術過于依賴的情況，確保云計算數據可以得到安全可靠的落實與保障。

4.2 加強云平臺的數據維護人員的安全防范意識

為了更好促進云數據安全風險的防范工作，相關的數據維護人員必須要全面增強自身的網絡安全防范意識，加強自身的學習，通過網課、線下培訓、沙龍等方式來了解云數據的最新技術，實時關注信息的安全動態問題。例如云數據信息儲存的過程中，要部署數據的加密防護、入侵檢測等措施，對客戶的重要信息要進行雙重認證、數字簽名、對重要數據進行安全備份等措施。

4.3 云平臺數據管理員在工作的過程中堅持自己的職業道德規范

日常工作時，要接收安全培訓，堅持自己的職業道德，拒絕誘惑，遵守法律法規要求，杜絕出現泄露內部機密和用戶敏感信息的情況。

4.4 云平臺用戶要養成良好的上網習慣

云平臺用戶在接觸數據的過程中，要養成良好的上網習慣，即在上網時，相關的終端設備要配備殺毒的軟件，定期對殺毒軟件進行檢查、更換、升級，防止出現惡意用戶非法訪問的情況。同時對于一些來歷不明的郵件、網站以及鏈接，不要隨便點開或者訪問。在選用工作設備的過程中，要響應國家號召，積極購買國產設備，拒絕使用具有后門的國外產品，有效維護我國的云數據的安全問題。

4.5 云平臺用戶要合理地選擇供應商

市場上云平臺供應商的服務質量參差不齊，云平臺用戶要合理地選擇供應商，最大程度確保云數據服務的質量與安全，為數據的安全防護提供相關的措施。

5 結束語

綜上所述，隨著我國經濟社會的不斷發展，云數據是我國目前信息技術的核心，對人們的生產生活產生了越來越大的影響，人們必須要正確認識到云數據目前存在的一系列缺點和不足，采取有效的措施，全面提高云數據的安全防護能力，提高人員的安全意識與職業道德修養，推動云數據專業技術研究，使我國的云數據風險問題得到更好的解決，有效推動我國云數據技術向著更好更穩定的方向發展。