企業(yè)在使用云計算的過程中，面臨很大的一個安全方面的問題就是需要應(yīng)對各級主管部門的合規(guī)要求，本文將對企業(yè)云計算的合規(guī)要求和應(yīng)對方法進行詳細介紹。

企業(yè)云計算的合規(guī)總體需求

企業(yè)將其業(yè)務(wù)從傳統(tǒng)數(shù)據(jù)中心遷移至云計算數(shù)據(jù)中心的選擇將使其面臨新的安全挑戰(zhàn)，其中最重要的挑戰(zhàn)之一即遵從眾多監(jiān)管條例對交付、度量和通信的合規(guī)約束。云計算服務(wù)用戶和供應(yīng)商需要理解和掌握當(dāng)前合規(guī)和審核標(biāo)準(zhǔn)、過程和實踐的區(qū)別和意義。云計算分布式和虛擬化的特性需要基于具體化的信息和過程實體進行重大的框架調(diào)整。

集中化和統(tǒng)一化的管理平臺使云計算本身具備提升透明度和保障能力的潛力。此外，云服務(wù)供應(yīng)商提供的外包方案降低了合規(guī)對規(guī)模的依賴程度。原本在云計算時代之前成本高昂的企業(yè)合規(guī)，將由于云服務(wù)供應(yīng)商能夠第一時間提供合規(guī)解決方案，使得企業(yè)(盈利性和非盈利性)能夠獲得市場準(zhǔn)入開展業(yè)務(wù)。政府和其他原本抵觸IT運維外包的組織考慮到安全性和合規(guī)性，將更積極采用云計算模型，其部分合規(guī)性需求將通過合約義務(wù)而滿足。

此外對于云服務(wù)供應(yīng)商和用戶來說，其監(jiān)管和審核機構(gòu)也正在逐漸適應(yīng)云計算這一新領(lǐng)域。僅有少量法律法規(guī)是面向虛擬化環(huán)境或者云部署模型的安全性證明而編寫。云計算用戶在向?qū)徍藱C構(gòu)證明組織合規(guī)時將存在挑戰(zhàn)。理解云計算與監(jiān)管環(huán)境的相關(guān)性將是任何“云”戰(zhàn)略的關(guān)鍵因素。云計算用戶務(wù)必考慮并且理解以下幾點：

針對特定的云服務(wù)或者服務(wù)提供商的監(jiān)管含義，對適用跨境或者多管轄權(quán)的事例給予特別關(guān)注;

云服務(wù)提供商和用戶的合規(guī)責(zé)任分配，包括間接提供商(如你所采用云服務(wù)提供商的云服務(wù)提供商);

云服務(wù)提供商的合規(guī)呈現(xiàn)能力，包括及時的文檔生成，證據(jù)產(chǎn)生以及過程合規(guī);

用戶、服務(wù)提供商以及審核機構(gòu)(用戶和服務(wù)提供商雙方)的關(guān)系，以確保按照需要的訪問權(quán)(適當(dāng)限制)并與治理要求相對應(yīng)。

云計算合規(guī)應(yīng)對建議

具體來說，企業(yè)在合規(guī)方面，應(yīng)注重如下幾個方面工作：

公司治理：一個組織在股東，董事會和管理層之間達成控制平衡，能提供管理的一致性，方針、指南和控制項的結(jié)合應(yīng)用，并支持有效地決策;

企業(yè)風(fēng)險管理：組織采用方法和過程(框架)來確保作出平衡的決策，該決策基于對組織目標(biāo)(風(fēng)險和機遇)相關(guān)的特定事件和場景的識別，可能性和影響級別評估，響應(yīng)策略的采取，進展監(jiān)控，從而保護和創(chuàng)造股東價值;

合規(guī)性和審核保證：通過評估合規(guī)狀態(tài)來對企業(yè)義務(wù)(企業(yè)社會責(zé)任、道德標(biāo)準(zhǔn)，適用法律，法律法規(guī)，合約，戰(zhàn)略和方針)的感知和遵循，評估風(fēng)險和不合規(guī)成本以及達成合規(guī)的開銷，從而對必要糾正措施進行排序、儲備和發(fā)起。

云使用的信息技術(shù)受到日益增多的方針和法律法規(guī)約束。所有的股東期望組織主動遵守多重的監(jiān)管準(zhǔn)則與要求。IT治理對于滿足相關(guān)要求是有必要的，同時，所有組織也需要采取戰(zhàn)略來實現(xiàn)相關(guān)要求。 治理包括在外部環(huán)境約束下能夠順利達成組織目標(biāo)的流程和方針。治理對合規(guī)活動提出要求，以確保運營完全滿足上述流程和方針。從這層意義上說，合規(guī)的重點與外部要求相匹配(法律法規(guī)，工業(yè)標(biāo)準(zhǔn))，而治理則是與內(nèi)部要求相匹配(董事會決定、企業(yè)方針) 合規(guī)可定義為對企業(yè)義務(wù)(企業(yè)社會責(zé)任、適用法律，道德指南)的感知和遵循，包括對適當(dāng)和必要的糾正性措施的評估和排序。在某些高度監(jiān)管的環(huán)境下，透明度可以對內(nèi)部特定策略進行補充，成為組織效率的優(yōu)勢而非制約。法律法規(guī)通常對信息技術(shù)和其治理來說意義重大，特別在監(jiān)控、管理、防護和發(fā)布等方面。IT治理是企業(yè)總體治理、企業(yè)風(fēng)險管理、合規(guī)和審核/保障的支撐要素。

“云”成為治理和合規(guī)的輔助技術(shù)，通過管理平臺尤其是內(nèi)部管理云實現(xiàn)集中化控制和透明度。透過云服務(wù)的影響，一定規(guī)模以下的組織可以與規(guī)模更大，資源優(yōu)勢更明顯的企業(yè)達成同等級別的合規(guī)。安全和保障服務(wù)成為第三方參與合規(guī)評估和通信的一種方法。

任何合規(guī)方法都將需要包括IT部門在內(nèi)的整個組織參與。外部供應(yīng)商所承擔(dān)的角色需要仔細思考，承擔(dān)將其直接或者間接納入治理的責(zé)任，并在用戶組織內(nèi)清晰地實現(xiàn)分配。

此外，以下標(biāo)準(zhǔn)分別代表了ISO/IEC 和ITU-T發(fā)布的云安全標(biāo)準(zhǔn)：

ISO/IEC 27017：云計算安全和隱私管理系統(tǒng)安全控制

ISO/IEC27036-x：眾多標(biāo)準(zhǔn)涉及供應(yīng)商關(guān)系管理信息安全，后續(xù)計劃將作為云供應(yīng)鏈的一部分納入

ITU-T X.ccsec：通信領(lǐng)域云計算安全指引

ITU-T X.srfcts：基于云的通信服務(wù)環(huán)境安全要求和框架(X.srfcts)

ITU-T X.sfcse：軟件即服務(wù)(SaaS)應(yīng)用環(huán)境安全功能要求