一種基于二級模糊綜合評價的云服務(wù)安全評估方法

摘要：針對現(xiàn)有云服務(wù)安全評估方法指標(biāo)體系覆蓋面較窄，且云服務(wù)安全評估當(dāng)中涉及很多難以量化的指標(biāo)的問題，本文提出一種基于二級模糊綜合評價的云服務(wù)安全評估辦法。首先依據(jù)國家標(biāo)準(zhǔn)和云服務(wù)安全能力要求，建立一個較為全面的云服務(wù)安全評估指標(biāo)體系和證據(jù)交付件列表，然后結(jié)合德爾菲法和層次分析法分別得到第一級和第二級安全評估指標(biāo)權(quán)重，再使用二級模糊綜合評價法對云服務(wù)安全進行評估并得到云服務(wù)商的安全能力評分。

關(guān)鍵詞：云計算;安全評估;二級模糊綜合評價法

1.前言

云計算是一種通過網(wǎng)絡(luò)向用戶按需提供計算、存儲資源的新型服務(wù)模式，也是一種新型的商業(yè)計算模式。云用戶在使用云服務(wù)時，不需要考慮基礎(chǔ)設(shè)施的維護和更新，以及業(yè)務(wù)是如何交付的，只需要根據(jù)自身需求選擇合適的云服務(wù)，這種高效率、高利用率的服務(wù)模式吸引了越來越多的云用戶。然而，隨著云計算以及互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，帶來了許多的安全問題，當(dāng)前云服務(wù)安全評估問題逐漸引起了人們的關(guān)注。

晏裕生等人[1]依據(jù)《信息安全等級保護》[2]和國家相關(guān)標(biāo)準(zhǔn)通過德爾菲法設(shè)計相應(yīng)的云服務(wù)安全評估指標(biāo)體系，專注從服務(wù)技術(shù)和人員管理等安全問題進行安全評估，最后考慮到云服務(wù)安全評估的多因素性和模糊性，運用模糊綜合評價法得到最終的評估結(jié)果，但是僅從服務(wù)技術(shù)和人員管理層面對云服務(wù)安全能力進行評估，得到的安全能力評分較為片面。Li等人[3]依據(jù)云控制矩陣（Cloud Control Matrix，CCM）中定義的安全指標(biāo)類，根據(jù)用戶自身業(yè)務(wù)安全需求結(jié)合層次分析法對安全指標(biāo)類中的各個指標(biāo)進行權(quán)重賦值，之后再通過理想逼近解排序法（Technique for Ordering Preference by Similarity to Ideal Solution，TOPSIS）計算每個云服務(wù)到最優(yōu)、最劣方案的距離，從而獲得各個云服務(wù)的安全能力得分情況。

在當(dāng)前云服務(wù)安全評估研究當(dāng)中指標(biāo)大多以可量化指標(biāo)為主，但是云服務(wù)安全評估涉及到很多難以量化的指標(biāo)，例如一些安全措施、應(yīng)急響應(yīng)策略以及云服務(wù)基礎(chǔ)設(shè)施和物理架構(gòu)等等。所以導(dǎo)致云服務(wù)安全評估不全面，指標(biāo)體系覆蓋面較窄。

2.云服務(wù)安全評估模型

云服務(wù)安全評估模型如圖1所示，云服務(wù)安全評估模型主要由兩個角色組成，分別是：云服務(wù)商、評估方。

1）云服務(wù)商。云服務(wù)商即評估對象，根據(jù)評估方依據(jù)云服務(wù)安全評估指標(biāo)體系提供的交付件列表，按照自身真實情況搜集相關(guān)信息填寫交付件并上傳證據(jù)材料，開始進行云服務(wù)安全評估并等待云服務(wù)安全評估反饋結(jié)果。在得到云服務(wù)安全評估反饋結(jié)果之后及時對云服務(wù)業(yè)務(wù)進行安全整改，防止云用戶和云服務(wù)商因安全問題產(chǎn)生不必要的損失。

2）評估方。評估方即云審查方，根據(jù)云服務(wù)商提供的證據(jù)交付件組建行業(yè)專家小組對云服務(wù)商業(yè)務(wù)進行安全評估。同時可以委托第三方機構(gòu)和專家小組通過采用業(yè)務(wù)管理負(fù)責(zé)人訪談、技術(shù)測試以及實地檢查三種方式相結(jié)合的方法對云服務(wù)商提供的交付件中各種云服務(wù)屬性、配置以及相關(guān)安全措施進行測試和度量，評估方在得到專家小組評估結(jié)果后及時反饋給云服務(wù)商。

2.1 云服務(wù)安全指標(biāo)體系

云服務(wù)安全評估指標(biāo)體系是對云服務(wù)進行安全評估的基礎(chǔ)。本小節(jié)依照《云服務(wù)安全能力要求》[4]，制定了科學(xué)合理的云服務(wù)安全評估指標(biāo)體系如圖2所示。

2.2綜合評估

云服務(wù)安全綜合評估是專家小組對云服務(wù)安全能力進行綜合評估的過程。綜合評估由權(quán)重賦值和安全能力評估組成。

1）權(quán)重賦值。評估專家小組依據(jù)云服務(wù)安全評估指標(biāo)體系，根據(jù)德爾菲法確定所有相關(guān)安全指標(biāo)的初始權(quán)重，然后使用層次分析法確定出相關(guān)安全指標(biāo)的權(quán)重終值。

2）安全能力評估。在得到各個安全指標(biāo)最終權(quán)重以后，專家小組對各個安全指標(biāo)進行評價，建立模糊評價集，生成專家模糊評價矩陣，最后使用二級模糊綜合評價法得到云服務(wù)安全能力評估結(jié)果。

2.2.1 權(quán)重賦值

由于在云服務(wù)安全評估當(dāng)中，大多數(shù)的安全指標(biāo)都無法通過測試獲取或者難以量化，其中一些指標(biāo)也只是針對安全問題的處理和預(yù)防措施。所以本文通過將德爾菲方法和層次分析法相結(jié)合設(shè)計了針對云服務(wù)安全評估的權(quán)重賦值方法，首先通過德爾菲方法獲得初始權(quán)重，再使用層次分析法對初始權(quán)重進行處理得到最終權(quán)重。

2.2.2 安全能力評估

云服務(wù)安全評估當(dāng)中所涉及的每個安全控制類包含了多個安全指標(biāo)，而每個安全指標(biāo)又含有多個安全措施交付項。因此云服務(wù)安全評估工作是在依據(jù)安全措施交付項內(nèi)容對單個安全指標(biāo)進行評估的基礎(chǔ)上，不斷向上迭代，達(dá)到最終確定云服務(wù)安全能力得分的目的，整個過程是一個綜合評估的過程。

在云服務(wù)安全評估當(dāng)中，云服務(wù)商的安全能力由安全控制類層決定，而安全控制類層的十個指標(biāo)的安全性又由安全指標(biāo)層的指標(biāo)決定，所以云服務(wù)安全評估是以一個由下層往上層逐級評估的過程。所以為了保證安全評估的科學(xué)合理性和指標(biāo)細(xì)化，將安全控制類層和安全指標(biāo)層分別設(shè)為了第一級和第二級評估指標(biāo)。由于云服務(wù)安全評估當(dāng)中涉及許多無法量化的指標(biāo)，所以本文采用二級模糊綜合評價法依據(jù)安全措施交付層內(nèi)容對安全指標(biāo)層開始向上迭代評估，最終得到云服務(wù)安全能力評估結(jié)果。

2.3 評估結(jié)果反饋

為了使進行評估的云服務(wù)商能夠快速了解自身安全能力強度并作出良性整改。在評估方完成云服務(wù)安全評估，得到云服務(wù)商安全能力整體得分以后，需要遵循及時、準(zhǔn)確的原則將評估結(jié)果反饋給云服務(wù)商。反饋機制主要有：

1）通過電話以及郵件相結(jié)合的形式通知。評估方在完成云服務(wù)安全評估工作以后，應(yīng)當(dāng)首先及時通過電話告知云服務(wù)商評估負(fù)責(zé)人關(guān)于此次安全評估工作的結(jié)果及需要進行整改的大體方向，之后在評估方形成詳細(xì)評估工作報告以后通過郵件的形式發(fā)送給云服務(wù)商。

2）通過云服務(wù)安全評估系統(tǒng)通知。完成評估工作以后，評估方在云服務(wù)安全評估系統(tǒng)對云服務(wù)商發(fā)布評估結(jié)果和詳細(xì)評估報告，便于云服務(wù)商及時查看。

通過以上兩種方法，可以保證云服務(wù)商能夠準(zhǔn)確、及時的得到評估結(jié)果并進行相關(guān)安全措施整改，避免對業(yè)務(wù)和云用戶造成損失。

3.結(jié)語

針對現(xiàn)有的云服務(wù)安全評估中指標(biāo)體系覆蓋面較窄且云服務(wù)安全評估當(dāng)中涉及很多難以量化的指標(biāo)的問題，本文提出一種基于二級模糊綜合評價的云服務(wù)安全評估辦法，從一定程度上達(dá)到了對云服務(wù)進行整體安全評估的目的。

參考文獻(xiàn)：

[1]晏裕生.基于等級保護的云計算 IaaS 安全評估研究[D].北京交通大學(xué)，2016.

[2] 中國信息安全等級保護網(wǎng).關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知[EB/OL].[2017-7-24].http：//www.mps.gov.cn/n2254098/n2254129/n2254134/c3758949/content.html.

[3]Li X，Jin X，Wang Q，et al. SCCAF：A Secure and Compliant Continuous Assessment Framework in Cloud-Based IoT Context[J].Wireless Communications and Mobile Computing，2018，2018（1）：1-18.

[4]Zuo Xiaodong，Chen Xingshu，Zhang Jianjun，et al.GB/T 31168-2014 Information Security Technology-Security Capability of Cloud Computing Services[S]. Beijing：China Standardization Committee，2014.[左曉棟，陳興蜀，張建軍，等.GB/T 31168-2014 信息安全技術(shù) 云計算服務(wù)安全能力要求[S]. 北京：中國標(biāo)準(zhǔn)化委員會，2014.]

作者簡介：李富誠（1995.08—），男，四川省成都人，成都市雙流區(qū)四川大學(xué)網(wǎng)絡(luò)空間安全專業(yè) 碩士研究生。