云服务商提供的云计算基础设施及其上的服务软件的集合。
云服务商提供的云计算平台及客户在云计算平台之上部署的软件及相关组件的集合。
云计算具有以下主要特征：
a) 按需自助服务。在不需或较少云服务商的人员参与情况下，客户能根据需要获得所需计算资源，如自助确定资源占用时间和数量。
b) 泛在接入。客户通过标准接入机制，利用计算机、移动**、平板等各种终端通过网络随时随地使用服务。
c) 资源池化。云服务商将资源（如：计算资源、存储资源、网路资源）能供给多个客户使用，这些物理的、虚拟的资源根据客户的需求进行动态分配或重新分配。
d) 快速伸缩性。客户可以根据需要快速、灵活、方便地获取和释放计算资源。对于客户来讲，这种资源是“无限”的，能在任何时候获得所需资源量。
e) 服务可计量。云计算按照多种计量方式（如按次付费或充值使用等）自动控制或量化资源，计量的对象可以是存储空间、计算能力、网路带宽或账户等。
根据云服务商提供的资源类型不同，云计算的服务模式主要可分为三类：
a) 软件即服务（saas）：在saas模式下，云服务商向客户提供的是运行在云基础设施之上的应用软件。客户不需要购买、开发软件，可利用不同设备上的客户端（如web浏览器）或程序接口通过网络访问和使用云服务商提供的应用软件，如电子邮件系统、协同办公系统等。
客户通常不能管理或控制支撑应用软件运行的低层资源，如网络、服务器、操作系统、存储等，但可对应用软件进行有限的配置管理。
b) 平台即服务(paas):在paas模式下，云服务商向客户提供的是运行在云计算基础设施之上的软件开发和运行平台，如：标准语言与工具、数据访问、通用接口等。
客户可利用该平台开发和部署自己的软件。客户通常不能管理或控制支撑平台运行所需的低层资源，如网络、服务器、 操作系统、存储等，但可对应用的运行环境进行配置，控制自己部署的应用。
c) 基础设施即服务(iaas):在iaas模式下，云服务商向客户提供虚拟计算机、存储、网络等计算资源，提供访问云计算基础设施的服务接口。客户可在这些资源上部署或运行操作系统、中间件、数据库和应用软件等。
客户通常不能管理或控制云计算基础设施，但能控制自己部署的操作系统、存储和应用，也能部分控制使用的网络组件，如主机防火墙。
根据使用云计算平台的客户范围的不同，将云计算分成私有云、公有云、社区云和混合云等四种部署模式：
a) 私有云：云计算平台仅提供给某个特定的客户使用。私有云的云计算基础设施可由云服务商拥有、管理和运营，这种私有云称为场外私有云（或外包私有云）；也可由客户自己建设、管理和运营，这种私有云称为场内私有云（或自有私有云）。
b) 公有云：云计算平台的客户范围没有限制。公有云的云计算基础设施由云服务商拥有、管理和运营。
c) 社区云：云计算平台限定为特定的客户群体使用，群体中的客户具有共同的属性(如职能、安全需求、策略等）。社区云的云计算基础设施可由云服务商拥有、管理和运营，这种社区云称为场外社区云；也可以由群体中的部分客户自己建设、管理和运营，这种社区云称为场内社区云。
d) 混合云：上述两种或两种以上部署模式的组合称为混合云。
4.4云计算的优势。
在云计算模式下，客户不需要投入大量资金去建设、运维和管理自己专有的数据中心等基础设施，只需要为动态占用的资源付费，即按需购买服务。客户采用云计算服务可获得如下益处：
a) 减少开销和能耗。采用云计算服务可以将硬件和基础设施建设资金投入转变为按需支付服务费用，客户只对使用的资源付费，无需承担建设和维护基础设施的费用，避免了自建数据中心的资金投入。云服务商使用虚拟化、动态迁移和工作负载整合等技术提升运行资源的利用效率，通过关闭空闲资源组件等降低能耗；多租户共享机制、资源的集中共享可以满足多个客户不同时间段对资源的峰值要求，避免按峰值需求设计容量和性能而造成的资源浪费。
资源利用效率的提高有效降低云计算服务的运营成本，减少能耗，实现绿色it。
b) 增加业务的灵活性。客户采用云计算服务不需要建设专门的信息系统，缩短业务系统建设周期，使客户能专注于业务的功能和创新，提升业务响应速度和服务质量，实现业务系统的快速部署。
c) 提高业务系统的可用性。云计算的资源池化和快速伸缩性特征，使部署在云计算平台上的客户业务系统可动态扩展，满足业务需求资源的迅速扩充与释放，能避免因需求突增而导致客户业务系统的异常或中断。云计算的备份和多副本机制可提高业务系统的健壮性，避免数据丢失和业务中断。
d) 提升专业性。云服务商具有专业技术团队，能够及时更新或采用先进技术和设备，可以提供更加专业的技术、管理和人员支撑，使客户能获得更加专业和先进的技术服务。
云计算作为一种新兴的计算资源利用方式，还在不断发展之中，传统信息系统的安全问题在云计算环境中大多依然存在，与此同时还出现了一些新的信息安全问题和风险。
本章通过描述云计算带来的信息安全风险，提出了客户采用云计算服务应遵守的基本要求，从规划准备、选择云服务商及部署、运行监管、退出服务等四个阶段简要描述了客户采购和使用云计算服务的生命周期安全管理。
传统模式下，客户的数据和业务系统都位于客户的数据中心，在客户的直接管理和控制下。在云计算环境里，客户将自己的数据和业务系统迁移到云计算平台上，失去了对这些数据和业务的直接控制能力。客户数据以及在后续运行过程中生成、获取的数据都处于云服务商的直接控制下，云服务商具有访问、利用或操控客户数据的能力。
将数据和业务系统迁移到云计算平台后，安全性主要依赖于云服务商及其所采取的安全措施。云服务商通常把云计算平台的安全措施及其状态视为知识产权和商业秘密，客户在缺乏必要的知情权的情况下，难以了解和掌握云服务商安全措施的实施情况和运行状态，难以对这些安全措施进行有效监督和管理，不能有效监管云服务商的内部人员对客户数据的非授权访问和使用，增加了客户数据和业务的风险。
传统模式下，按照谁主管谁负责、谁运行谁负责的原则，信息安全责任相对清楚。在云计算模式下，云计算平台的管理和运行主体与数据安全的责任主体不同，相互之间的责任如何界定，缺乏明确的规定。不同的服务模式和部署模式、云计算环境的复杂性也增加了界定云服务商与客户之间责任的难度。
云服务商可能还会采购、使用其他云服务商的服务，如提供saas服务的云服务商可能将其服务建立在其他云服务商的paas或iaas之上，这种情况导致了责任更加难以界定。
在云计算环境里，数据的实际存储位置往往不受客户控制，客户的数据可能存储在境外数据中心， 改变了数据和业务的司法管辖关系。
注：一些国家的**可能依据本国法律要求云服务商提供可以访问这些数据中心的途径，甚至要求云服务商提供位于他国数据中心的数据。
客户将数据存放在云计算平台上，没有云服务商的配合很难独自将数据安全迁出。在服务终止或发生纠纷时，云服务商还可能以删除或不归还客户数据为要挟，损害客户对数据的所有权和支配权。云服务商通过对客户的资源消耗、通讯流量、缴费等数据的收集统计，可以获取客户的大量相关信息，对这些信息的归属往往没有明确规定，容易引起纠纷。
云计算平台采用虚拟化等技术实现多客户共享计算资源，虚拟机之间的隔离和防护容易受到攻击，跨虚拟机的非授权数据访问风险突出。云服务商可能会使用其他云服务商的服务，使用第三方的功能、性能组件，使云计算平台结构复杂且动态变化。随着复杂性的增加，云计算平台实施有效的数据保护措施更加困难，客户数据被未授权访问、篡改、泄露和丢失的风险增大。
存储客户数据的存储介质由云服务商拥有，客户不能直接管理和控制存储介质。当客户退出云计算服务时，云服务商应该完全删除客户的数据，包括备份数据和运行过程中产生的客户相关数据。目前，还缺乏有效的机制、标准或工具来验证云服务商是否实施了完全删除操作，客户退出云计算服务后其数据仍然可能完整保存或残留在云计算平台上。
由于缺乏统一的标准和接口，不同云计算平台上的客户数据和业务难以相互迁移，同样也难以从云计算平台迁移回客户的数据中心。另外云服务商出于自身利益考虑，往往不愿意为客户的数据和业务提供可迁移能力。这种对特定云服务商的潜在依赖可能导致客户的业务随云服务商的干扰或停止服务而停止运转，也可能导致数据和业务迁移到其他云服务商的代价过高。
由于云计算服务市场还未成熟，供客户选择的候选云服务商有限，也可能导致客户对云服务商的过度依赖。
云计算服务安全管理的主要角色及责任如下：
a) 云服务商。为确保客户数据和业务系统安全，云服务商应先通过安全审查，才能向客户提供云计算服务；积极配合客户的运行监管工作，对所提供的云计算服务进行运行监视，确保持续满足客户安全需求；合同关系结束时应满足客户数据和业务的迁移需求，确保数据安全。
b) 客户。从已通过安全审查的云服务商中选择适合的云服务商。客户需承担部署或迁移到云计算平台上的数据和业务的最终安全责任；客户应开展云计算服务的运行监管活动，根据相关规定开展信息安全检査。
c) 第三方评估机构。对云服务商及其提供的云计算服务开展独立的安全评估。
采用云计算服务期间，客户和云服务商应遵守以下要求：
a) 安全管理责任不变。信息安全管理责任不应随服务外包而转移，无论客户数据和业务是位于内部信息系统还是云服务商的云计算平台上，客户都是信息安全的最终责任人。
b) 资源的所有权不变。客户提供给云服务商的数据、设备等资源，以及云计算平台上客户业务系统运行过程中收集、产生、存储的数据和文档等都应属客户所有，客户对这些资源的访问、利用、支配等权限不受限制。
c) 司法管辖关系不变。客户数据和业务的司法管辖权不应因采用云计算服务而改变。除非中国法律法规有明确规定，云服务商不得依据其他国家的法律和司法要求将客户数据及相关信息提供给他国**及组织。
信息安全技术云计算服务安全指南
本标准描述了云计算可能面临的主要安全风险，提出了 部门采用云计算服务的安全管理基本要求及云计算服务的生命周期各阶段的安全管理和技术要求。本标准为 部门采用云计算服务，特别是采用社会化的云计算服务提供全生命周期的安全指导，适用于 部门采购和使用云计算服务，也可供重点行业和其他企事业单位参考。下列文件对...
“创意云”安全认证指南
创意云 安全认证指南。一 账号安全1 什么是安全码？安全码用于涉及资金流确认。如 提现 付款等，为保障您的交易安全所设置的密码。2 如何修改安全码？登录后进入个人中心 个人设置 安全设置 更改安全码。进入修改页面，按照指示输入旧安全码和新安全码即可。用户的初始安全码与用户密码相同 3 如何修改登录密...
信息技术安全服务协议
根据中华人民共和国信息产业部，公安部等部委关于加强在公共信息服务中传播信息管理的有关规定及国家有关部门的相关精神，为了加强信息和网络安全管理，上海点诺信息技术 idc用户必须遵守以下规定。一 为了保证信息安全上海点诺信息技术 idc用户须遵守国家公共信息服务的有关规定 不得利用国际联网制作，复制和传...