認(rèn)證是評(píng)估云提供商的安詳性的一個(gè)很好的起點(diǎn)，但假如用戶想相識(shí)個(gè)中有多大的風(fēng)險(xiǎn)，就不能只是簡樸的照本宣科，主機(jī)托管 深圳電信托管，必需舉辦更深一步的相識(shí)。

云安詳評(píng)估和認(rèn)證旨在輔佐企業(yè)相識(shí)提供商采納了哪些步調(diào)來掩護(hù)機(jī)要信息。不外，固然安詳認(rèn)證可以給于用戶必然水平的信心，但只靠它們來擔(dān)保信息安詳往往是不足的。

數(shù)據(jù)安詳仍然是公有云的一大死穴。“緊隨價(jià)值之后，供給商提供什么水平的安詳性是所有企業(yè)在檢討公有云處事時(shí)首先要問的問題之一，”Dan Blum，一家總部設(shè)在華盛頓特區(qū)的咨詢公司，Security Architects LLC的打點(diǎn)合資人及首席參謀說道。

組織常常會(huì)對(duì)付將敏感信息從本身的數(shù)據(jù)中心移到第三方提供商時(shí)感想不安。為了和緩這種感受，企業(yè)會(huì)先確認(rèn)供給商已經(jīng)完成了某種水平的云安詳評(píng)估，或持有某些認(rèn)證。這些云安詳認(rèn)證凡是由兩部門構(gòu)成。首先，由一個(gè)特設(shè)專家小組開拓一個(gè)框架，概述應(yīng)該執(zhí)行哪些查抄來確掩護(hù)數(shù)據(jù)的安詳。然后，由第三方認(rèn)真開拓詳細(xì)的流程，以確保這些查抄事情落到實(shí)處。

IT安詳認(rèn)證基準(zhǔn)

IT安詳性是很巨大的，因此，這些年來，來自很多差異的組織開拓的框架便應(yīng)運(yùn)而生。當(dāng)企業(yè)想評(píng)估云提供商的安詳性時(shí)，往往會(huì)從審核業(yè)務(wù)尺度16的報(bào)表開始，據(jù)Pete Lindstrom，總部設(shè)在馬薩諸塞州Framingham的闡明公司，IDC的安詳研究副總裁暗示。

美國注冊(cè)管帳師研究所擬定了該類型，它界說了處事提供商應(yīng)該如何陳設(shè)安詳節(jié)制。該類型發(fā)生三份報(bào)表：處事組織節(jié)制（SOC）1偏重于財(cái)政陳訴；SOC 2報(bào)表則評(píng)估安詳性，可用性，進(jìn)程完整性，廠商內(nèi)部系統(tǒng)的保密性和隱私性；而SOC3報(bào)表所描寫的信息與SOC2溝通，可是旨在面向一般受眾，而不是特定方。

國際尺度化組織（ISO）和國際電工委員會(huì)（IEC）兩大組織配合相助，擬定了第二個(gè)尺度。ISO 27001類型偏重于信息安詳打點(diǎn)體系而ISO 27002描寫了系統(tǒng)節(jié)制。

云安詳評(píng)估和認(rèn)證

前面所提的尺度沒有針對(duì)云和傳統(tǒng)當(dāng)?shù)叵到y(tǒng)的安詳性舉辦區(qū)別看待，可是，邇來專為云所設(shè)計(jì)的安詳評(píng)估和認(rèn)證開始崛起。譬喻，國度尺度和技能研究所出格出書物-500的類型歸納綜合了云計(jì)較在美國聯(lián)邦當(dāng)局中的浸染。該文件涉及了云運(yùn)營、打點(diǎn)和安詳問題。

垂直尺度初具局限

除了程度的尺度之外，在評(píng)估云處事提供商時(shí)，還可以相識(shí)以下行業(yè)認(rèn)證：

康健保險(xiǎn)可移植性和責(zé)任法案是用來掩護(hù)小我私家醫(yī)療信息，主要是在美國。

PCI-DSS保障消費(fèi)者信用卡付款信息。

FedRAMP監(jiān)控當(dāng)局?jǐn)?shù)據(jù)并提供了尺度的要領(lǐng)來舉辦安詳評(píng)估，授權(quán)和云處事的不中斷監(jiān)測。

信息保障框架是由歐洲網(wǎng)絡(luò)信息和安詳局開拓的，目標(biāo)是封鎖網(wǎng)絡(luò)和信息安詳裂痕。

創(chuàng)立于2008年12月，云安詳同盟（CSA）是為回收云計(jì)較的企業(yè)提供指導(dǎo)的同盟。該組織的云節(jié)制矩陣包羅了能輔佐將來云用戶評(píng)估云提供商整體安詳風(fēng)險(xiǎn)的原則。該組織的安詳，信任和擔(dān)保注冊(cè)（STAR）的評(píng)估和認(rèn)證進(jìn)程提供三個(gè)品級(jí)的云安詳認(rèn)證：1級(jí)是由供給商舉辦自我評(píng)估；2級(jí)是由第三方所做的供給商評(píng)估；而3級(jí)則是基于一連不絕的安詳檢測，而不只僅是一次性的查抄。

買產(chǎn)業(yè)心

云供給商所持有的各類尺度和認(rèn)證經(jīng)常附帶一些特別條件。首先，他們無法提供一些企業(yè)所想要的牢不行破的擔(dān)保；而認(rèn)證只提供了提供商在安詳查抄方面的高條理概述。

第二，這些類型自己只在高條理起浸染。譬喻，某認(rèn)證大概要求企業(yè)陳設(shè)強(qiáng)大的身份認(rèn)證系統(tǒng)，但卻不強(qiáng)制該組織利用生物識(shí)別技能。

第三，這些尺度常常有重疊的部門。譬喻CSA STAR 1級(jí)認(rèn)證的一部門，是基于SOC2的要求，而CSA的2級(jí)認(rèn)證則利用了部門ISO/IEC 27001的尺度。

最后，認(rèn)證的進(jìn)程是費(fèi)時(shí)和昂貴的。因此，舊的認(rèn)證便在云處事提供商之間獲得越來越遍及的采用。“很多大型云處事提供商都通過了風(fēng)行的認(rèn)證，”Lindstrom說道。

部門認(rèn)證接管度低

新的云安詳認(rèn)證的數(shù)量還很少；只有約莫20家云供給商已經(jīng)果真聲明，他們完成了CSA STAR的自我評(píng)估，30家第三方廠商可以提供2級(jí)認(rèn)證，按照J(rèn)im Reavis，CSA的連系首創(chuàng)人兼CEO暗示。

小型，利基市場或初創(chuàng)云提供商大概缺乏認(rèn)證。“客戶必需確定他們對(duì)付所提供處事的需求勝過任何潛在的安詳風(fēng)險(xiǎn)，”Blum說道。

請(qǐng)記著，云安詳評(píng)估和認(rèn)證并不是一個(gè)供給商安詳態(tài)勢的完整浮現(xiàn)。Blum暗示，想要充實(shí)相識(shí)你的供給商如何實(shí)現(xiàn)其安詳流程，以及這些流程是否足夠，企業(yè)需要仔細(xì)閱讀各類陳訴。這些陳訴凡是不會(huì)在一個(gè)云提供商的網(wǎng)站上宣布，所以用戶必需做一些作業(yè)才氣找到這些信息。