本文是云安全技术应用指南系列中的第七篇，我们将讨论云中数据的安全问题。如果当您决定使用公共云计算时，可能还需要在云中存储数据。云的多用户固有属性以及云数据物理位置的问题是企业必须去面对的安全风险。

　　本文讨论了确保您云数据安全的实际方法。在云中存储数据可以说是积累公共云资源的最重要环节，但这一问题往往会被忽视。目前有两个措施可以确保云计算的安全：

• 在真实环境中保护数据
• 满足合规性需求

　　当谈及公共云中数据安全时，你主要需要面对两个问题：

• 数据的保护： 处理机密性、完整性和可用性（CIA）的标准。要为诸如“数据到底面临着哪些风险？制定的控制策略是否能够有效地降低风险？等重要问题找到答案。
• 数据的位置： 处理数据物理位置，并回答诸如“我是否知道数据在何处？这是否违反我的合规性需求？”等问题。

　　数据保存位置往往更加重要，我们往往会忽略这一因素，但当发生数据遗失时会造成很大的影响。美国爱国者法案与加拿大某些个人信息隐私法律之间的冲突就是一个例子。美国政府认为如果有一个令人信服的理由，他们就能够在其管辖范围内查看数据。加拿大法律认为某些加拿大公民的数据是受到保护的，不得公开。如果您需要处理加拿大数据（即被保护的数据），那么您最好确保这些数据不在美国的系统上。注意哪些供应商需要通过合同确认的。

　　从何处开始：数据分类

　　如果你未花时间对数据进行了解，就会面临许多问题。因此，确保数据安全必需从数据分类开始。这里有一些措施可遵循：

• 区分云中要处理或要保存的数据。
• 根据CIA标准的数据丢失敏感性，对信息进行分类。这包括识别数据的监管需求。
• 定义规则，用于确定必须被保存、传输、存档、运输和销毁的特殊信息类别。许多处理需求都来自于合同或法规要求。

　　关于物理位置的思考

　　如前所述，如果对数据的物理位置有限制，您就需要找到一个能够处理它们的供应商。Amazon网络服务限制了区域，而许多其他的云供应商的架构也很类似。但是，您需要确保服务水平协议能够满足本地的需求。

　　在云中保护数据

　　在云中，您的数据可位于以下任一位置：

• 虚拟机的本地存储（即处理引擎）。需要将数据与虚拟机的位置绑定。
• 持久性数据存储（即Amazon EBS或S3、Azure SQL等）。数据独立于虚拟机存在。
• 在线路上运输

　　您将还需要使用以下的方法之一，以满足您的数据保护需求：

• 文件系统和共享访问控制列表：这将在产品中使用访问控制机制，以确保对数据进行适当的限制。这可在所有情况下使用，但它并不能防止供应商IT人员的恶意攻击。
• 使用公钥密钥混合的加密解决方案：这可用于防止供应商IT人员的恶意攻击。
• 传输级加密：在传递或传输任何敏感信息的时候对数据机型加密，这都是理所当然的。

　　结束语

　　我强坚持认为每个用户都必须将他们的数据分类。如果要做到这一点，你需要先考虑一些问题：

• 我的数据是否保存在合适的位置？
• 是否有任何物理位置的限制，这些限制因素能够得到满足？

　　我是否能防止IT人员的恶意攻击？

　　其余的方法就是基本的安全措施，就如同在非云环境中所使用的措施一样。在云中确保数据安全并没有什么令人费解的地方，只要正确执行相关的措施即可。