編輯推薦
《雲計算安全與隱私》：國家計算機網路入侵防範中心首席科學家許榕生作?推薦
《雲計算安全與隱私》：三大信息安全界知名專家聯袂打造，詳細分析雲計算的安全與隱私
《雲計算安全與隱私》：為IT人員和信息安全人員有效計畫和實施雲計算服務提供絕佳指導
內容簡介
《雲計算安全與隱私》可以使你明白當把數據交付給雲計算時你所面臨的風險，以及為了保障虛擬基礎設施和網路應用程式的安全可以採取的行動。本書是由信息安全界知名專家所著，作者在書中給出許多中肯的忠告和建議。本書的讀者對象包括：IT職員、信息安全和隱私方面的從業人士、業務經理、服務提供商，以及投資機構等。閱讀本書你會了解直到現在還嚴重匱乏的雲計算安全方面的詳盡信息。
《雲計算安全與隱私》主要內容包括：
■ 評價雲計算在數據安全和存儲方面的現狀。
■ 了解雲計算服務在身份和訪問管理方面的實踐。
■ 發現相關的安全管理框架及標準。
■ 理解雲計算中的隱私與傳統計算模式中的隱私之間的異同。
■ 了解雲計算中審計與合規的框架及標準。
■ 考察雲計算安全與眾不同的部分——安全即服務。
作者簡介
Tim Mather，EMC公司安全部門RSA機構的前副總裁兼首席安全戰略官，Symantec公司的前首席信息安全官。
Subra Kumaraswamy，信息系統安全認證專家（CISSP），在Sun Microsystem公司掌管安全訪問管理項目。
Shahed Latif，來自KPMG公司的諮詢業務部門，負責西部地區的信息保護和業務恢復能力的事務。
目錄
前言 1
第1章 引言 7
小心空隙 7
雲計算的演變 8
小結 11
第2章 什麼是雲計算 13
雲計算的定義 13
雲計算的SPI框架 17
傳統軟體模式 22
雲計算部署模式 28
採用雲計算的主要驅動因素 31
雲計算對用戶的影響 32
雲計算的管理 34
企業採用雲計算的障礙 34
小結 38
第3章 基礎設施安全 39
基礎設施安全：網路層面 39
確保數據的保密性和完整性 40
基礎設施安全：主機層面 47
基礎設施安全：套用層面 52
小結 61
第4章 數據安全與存儲 63
數據安全 63
降低數據安全的風險 67
提供商數據及其安全 68
小結 73
第5章 身份及訪問管理 75
信任邊界以及身份及訪問管理 75
為什麼要用IAM 76
IAM的挑戰 78
IAM的定義 78
IAM體系架構和實踐 79
為雲計算做好準備 81
雲計算服務的IAM相關標準和協定 83
雲計算中的IAM實踐 93
雲計算授權管理 99
雲計算服務提供商的IAM實踐 100
指導 104
小結 107
第6章 雲計算的安全管理 109
安全管理標準 112
雲計算的安全管理 113
可用性管理 115
SaaS的可用性管理 117
PaaS的可用性管理 119
IaaS的可用性管理 122
訪問控制 123
安全漏洞、補丁及配置的管理 129
小結 139
第7章 隱私 143
什麼是隱私 144
什麼是數據生命周期 144
雲計算中主要的隱私顧慮是什麼 146
誰為隱私保護負責 148
隱私風險管理與合規在雲計算中的變化 149
法律和監管的內涵 152
美國的法律法規 153
國際的法律法規 159
小結 161
第8章 審計與合規 163
內部政策合規 163
管理、風險與合規（GRC） 166
雲計算的解釋性控制目標 170
增加的針對CSP的控制目標 174
附加的密鑰管理控制目標 175
CSP用戶的控制考慮 177
監管/外部合規 178
其他要求 187
雲安全聯盟188
審核雲計算的合規性 190
小結 197
第9章 雲計算服務提供商舉例 199
Amazon Web Services（IaaS） 199
Google（SaaS，PaaS） 201
Microsoft Azure Services Platform（PaaS） 202
Proofpoint（SaaS，IaaS） 203
RightScale（IaaS） 205
Sun開放式雲計算平台（Sun Open Cloud Platform） 207
Workday（SaaS） 209
小結 210
第10章 安全即（雲計算）服務 213
起源 214
當今的產品 215
身份管理即服務 218
小結 219
第11章 雲計算對於企業IT角色的影響 221
為什麼雲計算受到業務部門的歡迎 221
使用CSP的潛在威脅 224
解釋雲計算引起IT行業潛在變化的案例 226
使用雲計算要考慮的管理因素 230
小結 231
第12章 結論以及雲計算的未來 233
分析師的預測 234
雲計算安全 239
對CSP客戶的方案指導 249
雲計算安全的未來 252
小結 257
附錄A SAS 70報告內容示例 259
附錄B SysTrust報告內容示例 265
附錄C 雲計算的開放安全架構 269
術語表 283
媒體評論
《雲計算安全與隱私》是一本有重大影響的著作，它指導信息技術專業人員對可信“按需計算”的追求。雲計算很有可能是未來二十年占主導地位的計算平台，管理雲計算安全的人員需要閱讀本書。
——Jim Reavis，雲安全聯盟創始人之一兼執行董事
隨著對雲計算需求的增長，安全和隱私將變得愈加重要。《雲計算安全與隱私》探討了套用雲計算需要考慮的風險、趨勢以及解決方案，是任何嘗試接觸和套用雲計算的人員的必讀物。
——Izak Mutlu，公司信息安全副總裁
對許多公司而言，採用雲計算平台很顯然是一種戰略方向。雲計算聚合了廉價計算、普適遷移以及虛擬化技術，為企業套用以及IT基礎設施創建了更靈活、更經濟有效的平台。
雲計算引領著安全控制領域廣泛的、創造性的套用發展，也在安全程式和治理方面提出了最佳實踐要求。《雲計算安全與隱私》為努力打造安全雲計算的人員提供了指導，是雲計算之旅的很好的起點。
——Jerry Archer，CISO，Intuit
《雲計算安全與隱私》廣泛涵蓋了該領域的術語和定義，從而為IT人員和信息安全?業人員提供幫助。本書為IT人員和信息安全人員有效計畫和實施雲計算服務提供了基礎。對於了解雲計算的安全和隱私而言，這是一本必讀之書。
——David Hahn，富國銀行高級副總裁兼集團信息安全官
在理解雲計算以及說明技術相關的安全問題方面已有不少的嘗試。《雲計算安全與隱私》是最早詳細探討雲計算定義並提供當今解決雲計算面臨的主要風險問題的著作之一。
——David Thompson，賽門鐵克服務集團總裁
分散式的信息使用和管理在今天已經成為現實。雲計算為簡化信息使用提供了更經濟有效的保證，但與此同時也?強化了已知的風險並引入了尚未發現或處理的新風險。《雲計算安全與隱私》適合那些對雲計算的風險與回報感興趣的人，以及那些切實計畫並努力尋求在雲計算這一巨大變革中獲得領先地位的人。
——Michelle Dennedy，Sun Microsystems 雲計算首席管理官
部分章節
推薦序
20世紀80年代，針對理論物理學中格點規範的繁重計算，有人提出將各地的計算機主機聯網進行協同計算，我記得那時的網路是指早期的DECnet。隨著Internet的迅速發展，21世紀初由高能物理等領域的科學計算需求促使了格線技術的誕生，就像WWW網站實現了全球的信息資源共享一樣，格線技術可以實現全球範圍的計算機CPU、存儲能力與?據等資源的共享，從而使得“CPU與存儲資源可以像自來水與電力一樣使用”的構想變成了現實。格線的出現是劃時代的，在今天的科研所，如中國科學院高能物理研究所，格線計算已經運行了將近十年之久。
格線計算有著強大的生命力，自然讓人想到其在商業與社會的各個領域中的套用，但是安全問題導致這種商業套用遲遲未能實現，直到這幾年，它才通過“雲計算”的形式得以面世。雲計算概念的出現立即引起了商業推動的熱潮，它所提供的服務可能是強有力的，但安全問題依然是其套用的最大障礙。可以說網路的雙刃劍從來沒有像今天這樣鋒利。
雲計算的時代，網際網路的安全防範在某些方面被改善，但在某些方面卻被弱化。例如用戶端的安全維護可能得以簡化，但集中的“雲”端卻承受著更大的安全威脅。雲計算服務能否實現對信息安全事件的應急處理依然是許多專家沒能說清楚的。
在眾說紛紛之際，《雲計算安全與隱私》英文版（Cloud Security and Privacy: An Enterprise Perspective on Risks and Compliance）是國外最早詳細分析雲計算存在的各種安全因素的通俗普及的著作，中文版整體翻譯質量高，術語準確語言流暢，完整地展現了英文版的全貌。
本書從介紹雲計算的架?入手，仔細探討了用戶關心的安全問題，以及雲計算提供商自身的安全隱患，並告誡我們應該對於雲計算服務保持清晰的頭腦。
我國正在雄心勃勃地推動信息化與雲計算的發展，它的終極目標應該與增強國民經濟、科研教育和國家安全緊密結合。有志者事竟成，但如果我們對雲計算自身的安全保障仍然是滯後的，甚至對可能的網路安全威脅估計不足，那么我們雲計算的基礎設施所承載的風險將是災難性的，其結果只能是事倍功半。
