下载掌阅APP，畅读海量书库
立即打开
从用户的角度来看，在云计算环境下，用户对于应用运行和数据存储的物理环境缺乏必要的管理和控制权限，安全性建立在对云提供者的信任基础之上，而没有监控和审核的信任往往又是最不安全的。因此，用户必须充分意识到云计算这种服务模式固有的安全风险，特别是在相关的法律法规还不健全，第三方监督还没有有效建立的情况下，必须考虑与云服务提供者达成详细的有约束力的契约。
使用云计算的各类用户一般都会很注重数据安全性，但不同用户在选择云计算服务时对安全的要求和考虑点又有所不同。个人用户关注个人隐私，担心隐私可能泄露的方式，以便更好地保护隐私；企业用户则更关注敏感数据安全和业务连续运营，因而更关心数据控制权问题，以及如何选择服务提供商、如何界定与服务提供商的安全责任、如何确保服务的连续性等。
对个人用户而言，使用云计算服务，主要关注的是隐私保护问题。云计算需要为用户提供安全可靠的数据存储和网络服务，但在这种新的模式下，用户的数据不是存储在本地计算机上，而是存储在远程服务器中，这增加了数据保密性的隐忧。
云计算是以现有的分布式网络为基础，网络上的每一台计算机都可以被认为是一个节点。当计算机联网以后，就成为互联网的一部分，如果没有有效的安全保护，云中的每一台计算机都可以通过一定的手段访问到其他节点。比如一些商业性的公司利用cookie窥探用户上网的活动、浏览过的网页；利用僵尸程序实现对别的电脑的控制；掌握用户在云中使用了哪些服务等。可以说用户的任何操作都会在自己的电脑上留下痕迹，并可以通过一定的途径获得。在云计算模式下数据异地集中存储，对客户来说，信任问题可以说是实现云计算的关键问题，但如果云计算运营厂商数据中心的数据安全没有得到有公信力的第三方在制度上的保证，则很难消除用户把数据放进运营商的数据中心的安全疑虑。
对于云计算提供的IaaS、PaaS、SaaS这三种服务，用户使用时，可以像直接调用本地资源一样方便，而网络传输的过程是必不可少的，如果由于技术原因导致服务中断，几乎所有的数据都存放在云中，用户也只能是束手无策。云计算故障事件已经多次发生，如亚马逊S3服务的中断、Google Apps服务的中断、Gmail服务中断等。
网络传输过程中面临的隐私问题还包括数据包被非法窃取，非法攻击，非法修改、破坏等。可见，网络传输的稳定和安全是云计算普及要关注的重要问题。
据报道，谷歌曾向部分在线文档和电子表格服务用户发送通知称，曾在未经用户许可的情况下，误将用户的部分文档进行共享。虽然受此安全事件影响的用户文档比例不足0.05%，但却为云计算的安全问题敲响了警钟。云计算的隐私安全问题大部分在服务器端。云计算模式下数据集中存储，物理资源共享带来了新的数据安全和隐私风险，很难再依靠机器或网络的物理边界防护得到安全保障，因而增加了服务器端数据和用户管理的难度。
服务器端安全风险，主要源于以下几个方面。
（1）人员管理。指所有可以登录云计算平台的各类人员的管理，包括云服务提供商、运维人员、客户等。首先，对于众多云服务提供商来说，如何保证客户的数据不被其他云服务提供商非法窃取与利用是一项重大问题。其次，运维人员要负责数据的存储和备份，并根据不同数据的安全级别，对数据进行分类管理。在这一过程中，运维人员需要登录客户的系统，并对数据进行分析，如何保证这些特权用户不危及用户数据安全，是云服务提供商需重视的问题。最后，云计算客户位于世界各地，并且同一时间在线用户的数量、注册用户的数量不断变化，对用户认证、权限控制、访问审计、攻击防护等进行控制，保证用户的登录权限并正确访问自己的资源，也是云计算需要解决的一大问题。
（2）存储安全。云计算的存储安全主要涉及数据隔离、数据的存储位置、数据恢复、数据的长期生存性等问题。一旦将数据存储在云中，对数据的控制权就转移到了云服务提供商手中，某些不法分子可能利用非法手段从云服务提供商获取客户的隐私资料，这比从客户或其他途径获得数据会相对容易。其次，客户不能确定数据在云中的存储位置，难以评估其安全性。此外，客户端还存在数据无法访问的风险，如果云计算设施出现故障，数据是否还存在，能否保证数据的长期生存性，这些对客户来说都是模糊的。
（3）云服务提供商的监管和审计。云计算环境下，所有数据的存储和操作都要涉及“云端”的资源，安全由云服务提供商负责。但云计算为客户提供的服务难以达到完全的透明，客户对云内部的处理过程、数据的存储位置等信息并不了解，如果发生意外，客户并不清楚数据将面临什么样的情况。
对于企业用户而言，应用云计算的最大障碍在于人们对其安全性的担忧。首先，商业公司提供的云计算服务是不是安全可信，用户是不是能将包括商业机密等关键信息数据放心地托管出去。其次，云计算赖以生存运行的各种网络环境是否安全。一旦网络出现堵塞或遭到攻击而瘫痪，所有的服务都可能完全中断，从而引发大规模安全事件。第三，云计算这种技术本身及相关的软硬件设备是否安全。2009年3月，提供云计算服务的谷歌公司的在线办公软件Google Docs爆出安全漏洞，用户存储的部分文档被共享，但是文件的所有者却毫不知情。这些问题对当前各国的信息安全管理在理念和机制上都提出了新的要求。
当转向基于云计算的计算服务时，企业必须把许多问题的控制权交给云计算服务提供商。这可能会对安全带来负面影响。
传统模式中，应用程序安装在自己的计算机上，数据存储在本地，用户对数据具有完全的控制权，但是采用云计算后，企业将对物理设备、数据存储失去控制权，甚至不知道数据存储于何处、程序运行在哪台机器。云计算服务提供商具有比用户优先的访问权，服务提供商管理员是否会窃取商业秘密，成为了企业用户最为关注的安全问题。
企业不仅失去了对物理设备的控制权，对主机系统、应用程序的管理也将受限。传统上，企业用户可以通过端口扫描、安全漏洞扫描和入侵检测等技术手段对系统进行安全评估。然而，云计算系统多租户的特性，使用户的操作可能对其他用户造成影响，因而需要遵循双方签署的服务协议。
云计算服务基于网络提供，当企业把运营系统迁移到云计算系统后，一旦与云计算平台的网络连接中断或者云计算平台出现故障，造成服务中断，将影响到企业的正常运营。
目前云计算服务还没有统一的标准，各服务提供商之间的系统接口互操作难度较大。从传统的IT系统迁移到云计算系统，以及云计算系统之间的迁移，需要遵循各服务提供商的标准。如果在服务过程中，需要更换云服务提供商，应用和数据的迁移将存在一定的风险。
特别地，当云服务提供商退出服务时，存放在云计算系统的企业数据能否顺利取回，也是企业面临的较大的风险。
维护业务的持续性是一个企业必须具备的操作预案，以确保一些关键的业务功能对客户、提供商、监管机构和其他必须能够访问这些功能的实体是可用的。这些活动包括许多常规操作，如项目管理、系统备份、控制更改。灵活性是系统必须具备的一个特征，它使系统本身能够适应自然或人为事件所造成的灾难性故障后果。
在非云计算环境下，保证业务的连续性是公司或者组织的职责。公司或者组织理应制定计划，执行业务连续性。因为公司或组织拥有完备的IT基础设施，有能力和资源开发有效的业务连续性计划。在使用云的情况下，企业维护业务持续性的责任必须授权下放给云服务提供商。公司或组织失去了制定和执行业务连续性计划的控制权。因此，万一出现灾难，在大的灾难发生时没有足够能力保证业务连续性的公司或组织可能会遇到危险。
非云计算环境下，企业自行承担系统安全责任；云计算服务中，系统的安全责任由云服务提供商和企业共同承担，因此在服务界面上可能存在分工不清、责任不明的风险。
在美国上市的企业须遵循萨班斯法案，该法案对IT内控具有严格要求，这类企业在使用云计算服务时，对于服务提供商的选择也必须符合相关规定。
萨班斯法案是美国政府出台的一部涉及会计职业监管、公司治理、证券市场监管等方面改革的重要法律，为公众公司的外部审计创建了一个新的监督体制，并把对财务报告的内部控制作为关注的具体内容。所有在美国上市的公司，包括在美国注册的上市公司和在外国注册而于美国上市的公司，都必须遵守该法案。
法案明确规定了管理层应承担设立和维持一个应有的内部控制结构的职责。要求上市公司必须在年报中提供内部控制报告和内部控制评价报告；上市公司的管理层和注册会计师都需要对企业的内部控制系统作出评价。为了达到条款的要求，上市公司要保证在对交易进行财务记录的每一个环节都有相应的内部控制制度（例如产品销售的条件、记录付款的时间和人员等）。此外，还要指出内部控制的缺陷所在。
在很多公司内部，财务报告流程是由IT系统驱动，无论是ERP还是其他系统，都与财务交易中的开始、批准、记录、处理和报告等活动紧密集成。可以说，IT是保证财务报告内部控制的有效性的基础，为了遵循萨班斯法案，也要对IT内部控制的有效性予以评估。
对于这类将IT系统移植到云计算平台的企业，为了满足法案的内控要求，在使用云计算服务的时候必须确保他们的服务提供商符合萨班斯法案的要求。