前言

从2006年第一次提出云计算的概念开始，十几年来，云计算的发展一直备受关注，被看成信息技术变革和商业模式变革的核心。从美国的亚马逊到我国的阿里云，几乎所有的国际主流IT企业都在参与云计算的建设，提供了类型繁多、性价比高的IT服务模式。同时，多国政府和组织，如美国、欧盟、日本、中国，都制定了云计算发展战略规划，以引领或适应技术变革的趋势。

在云计算稳步发展的同时，云计算安全问题日益突显。如何保障云计算安全已成为政府、产业界、科研领域关注的重点及讨论的焦点。作为网络安全专业的教材，本书系统、完整地讲解云计算安全体系，从云计算基本概念入手，全面分析云计算面临的安全风险，并从基础设施安全、数据安全、应用安全、安全管理四个维度介绍风险应对策略及核心技术，然后从云计算安全标准、云计算风险管理与合规及云计算安全实践三个方面进行了全面细致的阐述。本书共分10章，各章的具体安排如下：

第1章是云计算概论，描述云计算的发展历程，定义什么是云计算及云计算的特征，介绍云计算的服务类型和部署方式，分析云计算所具有的优势；此外还阐述云计算产业的发展，使读者对云计算有一个初步的认识。

第2章分析云计算所面临的安全风险，从技术、管理、法律法规、行业应用四个方面对云计算所面临的风险进行全面的剖析，使读者能够清晰地认识到云计算在安全性上所面临的各种挑战。

第3章从宏观的角度论述云计算安全体系，包括云计算安全的定义与特征、云计算安全的发展与政策、云计算安全参考模型、云计算安全责任共担模型、云计算安全生态和云计算安全建设六个方面的内容。本章从云计算安全产业生态模型、云计算安全技术体系、云计算安全产品体系、云计算安全管理体系、云计算安全运维体系五个方面阐述云计算安全生态，并结合云计算安全生态模型提出云计算安全建设参考架构，介绍云计算中心安全建设的核心思想。

第4章主要内容为云计算基础设施安全，从物理安全、服务器虚拟化安全、网络虚拟化安全、容器安全、云管理平台安全五个方面进行全面的介绍。虚拟化技术是云计算的核心，如何保障虚拟资源安全成为保障云计算安全的关键，本章从虚拟化技术入手，分析服务器虚拟化、网络虚拟化及容器面临的安全隐患与安全攻击，并介绍保护虚拟服务器、虚拟网络及容器安全的有效方法及工具。最后，从云管理平台的定义入手，介绍云计算管理平台存在的安全隐患及保障措施。

第5章主要内容为云存储与数据安全，用户将数据托管到云中后，用户对数据失去了控制权，用户的数据面临着机密性、完整性和可用性的威胁，如何保障云中数据的安全性将在本章做详细描述。同时，在云计算中数据共享与隐私保护、数据库安全保障相关技术也在本章进行系统的阐述。

第6章描述了云中各种应用程序面临的威胁以及预防攻击的有效措施。云应用是驱动云计算发展的关键因素，而云应用安全建设是云应用真正“落地”的重要保障，本章首先分析云应用面临的安全问题，然后从4A安全机制、应用软件开发安全、应用安全防护与检测、应用安全迁移四个方面来论述应对云应用安全风险的策略及技术手段。

第7章从管理的角度阐述云计算安全的防护方法。首先，从信息安全管理入手，介绍信息安全管理标准及信息安全管理方法和模型；然后，介绍云计算安全管理理论知识，包括云计算安全管理框架、云计算安全管理模型、云计算安全管理能力评估模型、云计算安全管理流程；最后，针对云计算业务安全重点领域进行分析，包括全局安全策略管理、安全监控与告警、业务连续性管理、事件响应管理、人员管理五方面的内容。

第8章主要从云计算安全标准的角度阐述了云计算安全问题的解决思路，全面介绍了国内外云计算安全标准研究进展、云计算安全标准体系、云计算平台安全构建标准及云计算安全测评标准，着重解读等级保护2.0标准，使读者能够对云计算安全标准化工作有较为全面的了解和深刻的认识。

第9章主要是对云计算风险管理与合规进行阐述，包括云计算风险管理、云计算信息安全相关法律与取证、云计算安全合规、云服务提供商选择标准四个方面的内容。云计算风险管理主要介绍云计算安全风险管理理论知识及风险评估的方法及流程；云计算信息安全相关法律与取证主要介绍云计算在法律与取证方面面临的风险与挑战、云计算信息安全相关法律、云计算安全法律工具、云计算电子取证四个方面的内容；云计算安全合规主要介绍国内外云计算安全合规认证及云计算安全合规评估的方法及流程；云计算服务提供商选择主要介绍用户在选择云服务提供商时应参考的标准及注意事项。

第10章描述目前国内外云计算安全领域的安全实践与发展。本章首先介绍国内外云计算安全最佳实践案例，描述各大云服务提供商云安全理念及云安全解决方案；然后以政务云为例介绍政务云平台的安全解决方案，为其他行业云安全建设提供参考；最后从安全即服务的角度分析云计算给安全服务带来的优势和挑战，介绍云计算安全服务的发展现状及典型案例。

本书作为中国科学院大学信息安全、计算机及其他信息学科高年级本科生或硕士研究生的教材，知识体系清晰，内容循序渐进，注重知识与技术的系统性，使学生在全面学习云计算安全体系的同时，掌握云计算安全关键技术，了解云计算安全发展动态。本书也可以用作信息安全职业培训的教材，还可作为广大计算机用户、系统管理员、计算机安全技术人员，以及对云计算安全感兴趣的企业管理人员的技术参考书。

本书从构思、写作、修改到出版，不仅凝结了作者的辛勤汗水，还得到了业界和科研领域许多同仁的无私帮助，在此向他们致以衷心的感谢。

本书的出版得到了电子工业出版社的大力支持，并得到中国科学院大学教材出版中心的资助，以及国家重点研发计划（2017YFC0820700）、北京市科委大数据平台安全评估与防护关键系统研发（Z191100007119003）、重点研发计划地质信息应用平台技术（2016ZX05047003）专项项目的支持和资助，在此一并表示感谢。

与本书配套的还有《云存储安全实践》，即将由电子工业出版社出版，书中提供了关于云安全存储相关的实践内容，并可作为“云计算安全”课程的配套教材，指导读者开发安全的云存储系统，使读者在充分掌握云安全理论知识的同时增强动手实践能力。

本书代表作者及研究团队对于云计算安全的观点，由于水平有限，难免出现错误和考虑不周之处，恳请读者批评指正，使本书得以改进和完善。

作者

2020年3月