最新版云计算重要领域云安全指南CEO的来信我对这个社区的云安全最佳实践的最新贡献感到非常激动，这一实践始于2009年4月发布的云安全联盟最初的指导文件。
我们希望您能仔细研究这里列出的问题和建议，与您自己的经验相比较，并向我们提供您的反馈。
非常感谢所有参与这项研究的人。
最近，我有机会与帮助建立云安全联盟的一位行业专家共度一天。
他表示，CSA已经完成了最初的任务，即为了证明云计算可以安全，并提供必要的工具来实现这一目标。
CSA不仅帮助云计算成为信息技术的可靠安全选择，而且今天的云计算已经成为IT的默认选择，并且正在以非常深远的方式重塑现代商业世界。
云计算的巨大成功和CSA在引领受信任的云生态系统方面的作用，给我们的新使命带来了更大的挑战和紧迫感。
云现在已经成为各种计算形式的后端，包括无处不在的物联网。
云计算是信息安全行业的基础。
集装箱(容器)化和DevOps等等在组织内的IT新常态，已经与云计算密不可分，加速了我们的变革。
在云安全联盟中，我们致力于为您提供在高速发展的IT环境中您所需的必要的安全知识，让您保持在新时代质量保证和信任趋势的前沿。
总之，我们欢迎你们加入我们的社区。
目录D1: 云计算概念和体系架构 (8)D2:治理与企业风险管理 (30)D3:法律问题，合同和电子举证 (40)D4:合规和审计管理 (55)D5:信息治理 (62)D6:管理平面和业务连续性 (69)D7:基础设施安全 (80)D8:虚拟化和容器 (96)D9:事件响应 (107)D10:应用安全 (114)D11:数据安全和加密 (125)D12:身份、授权和访问管理 (137)D13:安全即服务 (148)D14:相关技术 (154)D1: 云计算概念和体系架构1.1简介本域为云计算安全指南的其它所有部分介绍一个概念性的框架。
它描述和定义了云计算，设置了我们的基本术语，并详细描述了文档其余部分中使用的总体逻辑和架构框架。
看待云计算有很多不同的方式:它可以是一项技术、一系列的技术、一种运作模式、一种商业模式，这儿仅仅举了几个例子。
从本质上来说，这是一场颠覆性的变革。
它发展地非常非常快，而且没有放缓的迹象。
虽然我们在本指南的第一个版本中包含的参考模型依旧比较准确，但是它们显然已经不再那么完整了。
即使这样更新后也不可能解释未来几年的每一个可能的变化。
云计算为敏捷、弹性和经济带来了巨大的潜在收益。
组织可以运转地更快(因为他们不需要购买和拨备硬件，所有的都是软件定义的)，减少停机时间(由于固有的弹性和其他云特性)，并且节省资金(由于资本支出减少，需求和能力匹配)。
自云服务提供商有重大的经济激励措施来保护消费者以来，我们也看到了安全收益。
然而，这些收益是在您理解并采用原生云模型，并调整您的架构和控制，以适应云平台的特性和功能的基础上才会出现。
其实，使用现有的应用或资产，并在不进行任何更改的情况下将其移动到云服务提供商，往往会降低敏捷性、弹性，甚至是安全性，同时还增加了成本。
该领域的目的是建立基础，以使文档的其余部分及其建议都基于此。
其意图是为信息安全专家提供一种通用语言和对云计算的理解，并开始强调云计算和传统计算之间的区别，以及帮助引导信息安全专家采用原生云方法，从而带来更好的安全性(以及其他收益)，而不是产生更多的风险。
这个领域包括了4部分：?定义云计算?云逻辑模型?云概念、架构和参考模型?云安全性和合规管理范围、职责和模型云安全联盟并没有着手创建一个全新的分类法或参考模型。
我们的目标是对现有的模型进行提取和协调——最值得注意的是NIST的特种文献800-145, ISO/IEC 17788 andISO/IEC 17789——关注与信息安全专家最相关的是什么。
1.2概览1.1.1定义云计算云计算是一种新的运作模式和一组用于管理计算资源共享池的技术。
云计算是一种颠覆性的技术，它可以增强协作、提高敏捷性、可扩展性以及可用性，还可以通过优化资源分配、提高计算效率来降低成本。
云计算模式构想了一个全新的世界，组件可以迅速调配、置备、部署和回收，还可以迅速地扩充或缩减，以提供按需的、类似于效用计算的分配和消费模式。
NIST将云计算定义为:云计算是一个模式，它是一种无处不在的、便捷的、按需的，基于网络访问的，共享使用的，可配置的计算资源(如:网络、服务器、存储、应用和服务) 可以通过最少的管理工作或与服务提供商的互动来快速置备并发布。
ISO / IEC的定义非常相似:通过自服务置备和按需管理，实现网络可访问、可扩展的、弹性的共享物理或虚拟资源池的范式。
描述云的一种(稍微)简单的方法是，它需要一组资源，比如处理器和内存，并将它们放到一个大的池中(在这种情况下，使用虚拟化)。
消费者需要从池中获得需要的东西，比如8 CPUs和16 GB的内存，而云将这些资源分配给客户端，然后客户端连接到网络并在网络上使用这些资源。
当客户端完成时，他们可以将资源放回池中供其他人使用。
云可以由几乎任何计算资源组成，从计算（如处理器和内存）到网络、存储以及更高级别资源（如数据库和应用程序）。
例如，在数百个其他组织共享的服务中订阅500名员工的客户关系管理应用，与在云主机中启动100台远程服务器是一样的。
定义:云用户是请求和使用资源的人或组织，云提供商是分发它的人或组织。
我们有时还会使用术语“客户”和“消费者”来指代云用户，用服务或简单的云来描述云提供商。
NIST 500-292使用“cloud actor”这个术语，并增加了云代理、运营商和审计人员的角色。
ISO/IEC 17788使用术语云服务用户、云服务合作伙伴和云服务提供商。
创建云的关键技术是抽象和调配。
我们从底层的物理基础设施中抽象出资源来创建我们的池，并使用调配(和自动化)来协调从池分割和分发各种资源到用户。
正如您将看到的，这两种技术创造了我们用来定义“cloud”的所有基本特征。
这就是云计算和传统的虚拟化之间的区别;虚拟化技术将资源抽象化，但是它通常缺乏将它们组合在一起并按需分发给用户的调配，而是依赖于手动流程。
云是多租户的。
多个不同的消费者共享同一个资源池,但彼此相互隔离和孤立。
隔离允许云提供商将资源分配到不同的组,孤立确保他们不能看到或修改对方的资产。
多租户不仅应用在不同的组织; 它还用于在单个业务或组织中分配不同单元之间的资源。
1.1.2定义模型云安全联盟(CSA)使用NIST model for cloud computing作为定义云计算的标准。
CSA还支持更深入的ISO/IEC model，并作为参考模型。
在这个领域中，我们将引用两者。
NIST 出版物是被普遍接受的，所以，我们选择与NIST Working Definition of Cloud Computing （NIST 800-145）保持一致，这样我们能够集中精力到用例上，而不是细微的语法定义差别上，同时能保证一致性并获得广泛的共识。
值得注意的是，本指南的目的是使其具有广泛的易用性、适用于全球范围内的组织。
虽然NIST 是美国政府机构，选择此参考模型不应该被解释为是对其它观点或地域的排斥。
在NIST 对云计算的定义中，包括了五个基本特征、三个云服务模型、以及四个云部署模型。
下图对它们进行了形象的汇总，后面会有详细描述。
1.1.2.1基本特征以下特性使云成为了云。
如果具备以下特征，我们就把它看作是云计算。
如果它缺少其中任何一个，它很可能不是一个云。
正如上面所讨论的，资源池是最基本的特性。
云提供商对资源进行抽象，并将其聚集到一个池中，其中的一部分可以分配给不同的用户(通常是基于策略)。
用户自己可以按需自动配置资源，他们自己管理自己的资源，而无需与服务提供商的服务人员互动。
广泛的网络访问意味着所有的资源都可以通过网络获得，而不需要直接的实体接取；网络并不是服务的必须部分。
快速弹性允许用户从池中按需使用资源(置备和释放)，通常完全自动。
这使他们更紧密地匹配资源消耗需求(例如, 需求增加时添加虚拟服务器,然后当需求终止时释放它们)。
提供可测量的服务，以确保用户只使用他们所分配的东西，如果有必要的话，还可以对他们收取费用。
这就是“效用计算”这个术语的由来，因为计算资源现在可以像水和电一样消耗，客户只需要支付他们所使用的东西。
ISO/IEC 17788 列出了六个关键特性，其中前五个特性与NIST的特征相同。
唯一的补充是多租户，这与资源池是不同的。
1.1.2.2服务模型NIST定义了三个服务模型，它们描述了云服务的不同基础类别:服务即软件(SaaS)是由服务商管理和托管的完整应用软件。
用户可以通过web浏览器、移动应用或轻量级客户端应用来访问它。
平台即服务(PaaS)抽象并提供开发或应用平台,如数据库、应用平台(如运行Python、PHP 或其它代码的地方),文件存储和协作,甚至专有的应用处理（例如机器学习、大数据处理或直接API访问完整的SaaS应用的特性)。
关键的区别在于，使用PaaS，您不需要管理底层的服务器、网络或其他基础设施。
基础设施即服务(IaaS)提供了基础性的计算资源，如计算、网络或存储。
模型。
我们有时称它们为“SPI”ISO/IEC使用了一个更加复杂的定义，它使用了一个与SPI模型(软件、基础设施和平台功能类型)密切相关的云功能类型。
然后，它扩展到更细粒度的云服务类别，比如计算即服务、存储即服务，甚至还包括IaaS/PaaS/SaaS。
这些类别具有一定的渗透性:一些云服务跨越了这些模型，而另一些则不完全属于单一的服务模式。
实际上，没有理由尝试把所有的东西都分配到这三大类中，甚至是ISO/IEC模型中更细粒度的类别。
这仅仅是一个有用的描述工具，而不是一个严格的框架。
这两种方法都是同样有效的，但是由于NIST的模型更加简洁，并且目前使用得更广泛，所以它是CSA研究中主要使用的定义。
1.1.2.3部署模型NIST和ISO/IEC都使用相同的4个云部署模型。
下面描述这些技术是如何部署和使用的，它们适用于整个服务模型的范围:公共云。
云基础设施提供服务给一般公众或某个大型行业团体。
并由销售云计算服务的组织所有。
私有云。
云基础设施专为一个单一的组织运作。
它可以由该组织或某个第三方管理并可以位于组织内部或外部。
社区云。
云基础设施由若干个组织共享，支持某个特定有共同关注点的社区。
(例如使命、安全要求、政策或合规性考虑等)。
它可以由该组织或某个第三方管理并可以位于组织内部或外部。
混合云。
云基础设施由两个或多个云（私有、社区、或公共）组成，以独立实体存在，但是通过标准的或专有的技术绑定在一起，这些技术促进了数据和应用的可移植性（例如：云间的负载平衡）。
混合通常用于描述非云化数据中心与云服务提供商的互联。