一種基于二級(jí)模糊綜合評(píng)價(jià)的云服務(wù)安全評(píng)估方法

摘要：針對(duì)現(xiàn)有云服務(wù)安全評(píng)估方法指標(biāo)體系覆蓋面較窄，且云服務(wù)安全評(píng)估當(dāng)中涉及很多難以量化的指標(biāo)的問題，本文提出一種基于二級(jí)模糊綜合評(píng)價(jià)的云服務(wù)安全評(píng)估辦法。首先依據(jù)國家標(biāo)準(zhǔn)和云服務(wù)安全能力要求，建立一個(gè)較為全面的云服務(wù)安全評(píng)估指標(biāo)體系和證據(jù)交付件列表，然后結(jié)合德爾菲法和層次分析法分別得到第一級(jí)和第二級(jí)安全評(píng)估指標(biāo)權(quán)重，再使用二級(jí)模糊綜合評(píng)價(jià)法對(duì)云服務(wù)安全進(jìn)行評(píng)估并得到云服務(wù)商的安全能力評(píng)分。

關(guān)鍵詞：云計(jì)算;安全評(píng)估;二級(jí)模糊綜合評(píng)價(jià)法

1.前言

云計(jì)算是一種通過網(wǎng)絡(luò)向用戶按需提供計(jì)算、存儲(chǔ)資源的新型服務(wù)模式，也是一種新型的商業(yè)計(jì)算模式。云用戶在使用云服務(wù)時(shí)，不需要考慮基礎(chǔ)設(shè)施的維護(hù)和更新，以及業(yè)務(wù)是如何交付的，只需要根據(jù)自身需求選擇合適的云服務(wù)，這種高效率、高利用率的服務(wù)模式吸引了越來越多的云用戶。然而，隨著云計(jì)算以及互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，帶來了許多的安全問題，當(dāng)前云服務(wù)安全評(píng)估問題逐漸引起了人們的關(guān)注。

晏裕生等人[1]依據(jù)《信息安全等級(jí)保護(hù)》[2]和國家相關(guān)標(biāo)準(zhǔn)通過德爾菲法設(shè)計(jì)相應(yīng)的云服務(wù)安全評(píng)估指標(biāo)體系，專注從服務(wù)技術(shù)和人員管理等安全問題進(jìn)行安全評(píng)估，最后考慮到云服務(wù)安全評(píng)估的多因素性和模糊性，運(yùn)用模糊綜合評(píng)價(jià)法得到最終的評(píng)估結(jié)果，但是僅從服務(wù)技術(shù)和人員管理層面對(duì)云服務(wù)安全能力進(jìn)行評(píng)估，得到的安全能力評(píng)分較為片面。Li等人[3]依據(jù)云控制矩陣（Cloud Control Matrix，CCM）中定義的安全指標(biāo)類，根據(jù)用戶自身業(yè)務(wù)安全需求結(jié)合層次分析法對(duì)安全指標(biāo)類中的各個(gè)指標(biāo)進(jìn)行權(quán)重賦值，之后再通過理想逼近解排序法（Technique for Ordering Preference by Similarity to Ideal Solution，TOPSIS）計(jì)算每個(gè)云服務(wù)到最優(yōu)、最劣方案的距離，從而獲得各個(gè)云服務(wù)的安全能力得分情況。

在當(dāng)前云服務(wù)安全評(píng)估研究當(dāng)中指標(biāo)大多以可量化指標(biāo)為主，但是云服務(wù)安全評(píng)估涉及到很多難以量化的指標(biāo)，例如一些安全措施、應(yīng)急響應(yīng)策略以及云服務(wù)基礎(chǔ)設(shè)施和物理架構(gòu)等等。所以導(dǎo)致云服務(wù)安全評(píng)估不全面，指標(biāo)體系覆蓋面較窄。

2.云服務(wù)安全評(píng)估模型

云服務(wù)安全評(píng)估模型如圖1所示，云服務(wù)安全評(píng)估模型主要由兩個(gè)角色組成，分別是：云服務(wù)商、評(píng)估方。

1）云服務(wù)商。云服務(wù)商即評(píng)估對(duì)象，根據(jù)評(píng)估方依據(jù)云服務(wù)安全評(píng)估指標(biāo)體系提供的交付件列表，按照自身真實(shí)情況搜集相關(guān)信息填寫交付件并上傳證據(jù)材料，開始進(jìn)行云服務(wù)安全評(píng)估并等待云服務(wù)安全評(píng)估反饋結(jié)果。在得到云服務(wù)安全評(píng)估反饋結(jié)果之后及時(shí)對(duì)云服務(wù)業(yè)務(wù)進(jìn)行安全整改，防止云用戶和云服務(wù)商因安全問題產(chǎn)生不必要的損失。

2）評(píng)估方。評(píng)估方即云審查方，根據(jù)云服務(wù)商提供的證據(jù)交付件組建行業(yè)專家小組對(duì)云服務(wù)商業(yè)務(wù)進(jìn)行安全評(píng)估。同時(shí)可以委托第三方機(jī)構(gòu)和專家小組通過采用業(yè)務(wù)管理負(fù)責(zé)人訪談、技術(shù)測(cè)試以及實(shí)地檢查三種方式相結(jié)合的方法對(duì)云服務(wù)商提供的交付件中各種云服務(wù)屬性、配置以及相關(guān)安全措施進(jìn)行測(cè)試和度量，評(píng)估方在得到專家小組評(píng)估結(jié)果后及時(shí)反饋給云服務(wù)商。

2.1 云服務(wù)安全指標(biāo)體系

云服務(wù)安全評(píng)估指標(biāo)體系是對(duì)云服務(wù)進(jìn)行安全評(píng)估的基礎(chǔ)。本小節(jié)依照《云服務(wù)安全能力要求》[4]，制定了科學(xué)合理的云服務(wù)安全評(píng)估指標(biāo)體系如圖2所示。

2.2綜合評(píng)估

云服務(wù)安全綜合評(píng)估是專家小組對(duì)云服務(wù)安全能力進(jìn)行綜合評(píng)估的過程。綜合評(píng)估由權(quán)重賦值和安全能力評(píng)估組成。

1）權(quán)重賦值。評(píng)估專家小組依據(jù)云服務(wù)安全評(píng)估指標(biāo)體系，根據(jù)德爾菲法確定所有相關(guān)安全指標(biāo)的初始權(quán)重，然后使用層次分析法確定出相關(guān)安全指標(biāo)的權(quán)重終值。

2）安全能力評(píng)估。在得到各個(gè)安全指標(biāo)最終權(quán)重以后，專家小組對(duì)各個(gè)安全指標(biāo)進(jìn)行評(píng)價(jià)，建立模糊評(píng)價(jià)集，生成專家模糊評(píng)價(jià)矩陣，最后使用二級(jí)模糊綜合評(píng)價(jià)法得到云服務(wù)安全能力評(píng)估結(jié)果。

2.2.1 權(quán)重賦值

由于在云服務(wù)安全評(píng)估當(dāng)中，大多數(shù)的安全指標(biāo)都無法通過測(cè)試獲取或者難以量化，其中一些指標(biāo)也只是針對(duì)安全問題的處理和預(yù)防措施。所以本文通過將德爾菲方法和層次分析法相結(jié)合設(shè)計(jì)了針對(duì)云服務(wù)安全評(píng)估的權(quán)重賦值方法，首先通過德爾菲方法獲得初始權(quán)重，再使用層次分析法對(duì)初始權(quán)重進(jìn)行處理得到最終權(quán)重。

2.2.2 安全能力評(píng)估

云服務(wù)安全評(píng)估當(dāng)中所涉及的每個(gè)安全控制類包含了多個(gè)安全指標(biāo)，而每個(gè)安全指標(biāo)又含有多個(gè)安全措施交付項(xiàng)。因此云服務(wù)安全評(píng)估工作是在依據(jù)安全措施交付項(xiàng)內(nèi)容對(duì)單個(gè)安全指標(biāo)進(jìn)行評(píng)估的基礎(chǔ)上，不斷向上迭代，達(dá)到最終確定云服務(wù)安全能力得分的目的，整個(gè)過程是一個(gè)綜合評(píng)估的過程。

在云服務(wù)安全評(píng)估當(dāng)中，云服務(wù)商的安全能力由安全控制類層決定，而安全控制類層的十個(gè)指標(biāo)的安全性又由安全指標(biāo)層的指標(biāo)決定，所以云服務(wù)安全評(píng)估是以一個(gè)由下層往上層逐級(jí)評(píng)估的過程。所以為了保證安全評(píng)估的科學(xué)合理性和指標(biāo)細(xì)化，將安全控制類層和安全指標(biāo)層分別設(shè)為了第一級(jí)和第二級(jí)評(píng)估指標(biāo)。由于云服務(wù)安全評(píng)估當(dāng)中涉及許多無法量化的指標(biāo)，所以本文采用二級(jí)模糊綜合評(píng)價(jià)法依據(jù)安全措施交付層內(nèi)容對(duì)安全指標(biāo)層開始向上迭代評(píng)估，最終得到云服務(wù)安全能力評(píng)估結(jié)果。

2.3 評(píng)估結(jié)果反饋

為了使進(jìn)行評(píng)估的云服務(wù)商能夠快速了解自身安全能力強(qiáng)度并作出良性整改。在評(píng)估方完成云服務(wù)安全評(píng)估，得到云服務(wù)商安全能力整體得分以后，需要遵循及時(shí)、準(zhǔn)確的原則將評(píng)估結(jié)果反饋給云服務(wù)商。反饋機(jī)制主要有：

1）通過電話以及郵件相結(jié)合的形式通知。評(píng)估方在完成云服務(wù)安全評(píng)估工作以后，應(yīng)當(dāng)首先及時(shí)通過電話告知云服務(wù)商評(píng)估負(fù)責(zé)人關(guān)于此次安全評(píng)估工作的結(jié)果及需要進(jìn)行整改的大體方向，之后在評(píng)估方形成詳細(xì)評(píng)估工作報(bào)告以后通過郵件的形式發(fā)送給云服務(wù)商。

2）通過云服務(wù)安全評(píng)估系統(tǒng)通知。完成評(píng)估工作以后，評(píng)估方在云服務(wù)安全評(píng)估系統(tǒng)對(duì)云服務(wù)商發(fā)布評(píng)估結(jié)果和詳細(xì)評(píng)估報(bào)告，便于云服務(wù)商及時(shí)查看。

通過以上兩種方法，可以保證云服務(wù)商能夠準(zhǔn)確、及時(shí)的得到評(píng)估結(jié)果并進(jìn)行相關(guān)安全措施整改，避免對(duì)業(yè)務(wù)和云用戶造成損失。

3.結(jié)語

針對(duì)現(xiàn)有的云服務(wù)安全評(píng)估中指標(biāo)體系覆蓋面較窄且云服務(wù)安全評(píng)估當(dāng)中涉及很多難以量化的指標(biāo)的問題，本文提出一種基于二級(jí)模糊綜合評(píng)價(jià)的云服務(wù)安全評(píng)估辦法，從一定程度上達(dá)到了對(duì)云服務(wù)進(jìn)行整體安全評(píng)估的目的。

參考文獻(xiàn)：

[1]晏裕生.基于等級(jí)保護(hù)的云計(jì)算 IaaS 安全評(píng)估研究[D].北京交通大學(xué)，2016.

[2] 中國信息安全等級(jí)保護(hù)網(wǎng).關(guān)于開展全國重要信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知[EB/OL].[2017-7-24].http：//www.mps.gov.cn/n2254098/n2254129/n2254134/c3758949/content.html.

[3]Li X，Jin X，Wang Q，et al. SCCAF：A Secure and Compliant Continuous Assessment Framework in Cloud-Based IoT Context[J].Wireless Communications and Mobile Computing，2018，2018（1）：1-18.

[4]Zuo Xiaodong，Chen Xingshu，Zhang Jianjun，et al.GB/T 31168-2014 Information Security Technology-Security Capability of Cloud Computing Services[S]. Beijing：China Standardization Committee，2014.[左曉棟，陳興蜀，張建軍，等.GB/T 31168-2014 信息安全技術(shù) 云計(jì)算服務(wù)安全能力要求[S]. 北京：中國標(biāo)準(zhǔn)化委員會(huì)，2014.]

作者簡介：李富誠（1995.08—），男，四川省成都人，成都市雙流區(qū)四川大學(xué)網(wǎng)絡(luò)空間安全專業(yè) 碩士研究生。