陆月明，张志辉

（北京邮电大学信息与通信工程学院，北京 100876）

面向云服务信息安全评估的度量模型研究

陆月明，张志辉

（北京邮电大学信息与通信工程学院，北京 100876）

针对云服务信息安全缺乏度量准则和度量不准的问题，介绍了国内外相关度量标准的研究现状。针对可信云的信息安全度量需求，总结了基于可信根的度量模型的优缺点，指出未来的方向是一个兼顾可拓展性、实时性、隐私保护好、易移植且开销更小的云服务信息安全度量模型。

可信云服务；信息安全评估；度量模型；评估标准

1 引言

针对IT领域计算资源集约化、规模化和专业化的需求，云计算（cloud computing）［1］的计算模式应运而生。云服务服务一方面不断提高生产效率，但同时也暴露出各种不容小觑的信息安全问题，这已经成为阻碍其发展的关键因素。要解决云服务信息安全问题，首先提出其信息安全检测、度量、评估等模型或方法，形成良性反馈机制，促进和提高云服务信息安全质量。然而，云服务信息安全评估面临诸多难题，由于没有完备的评估标准和指标，面临信息安全评估不了和评估不准的问题。

2 现有信息安全评估标准及面临的挑战

现有信息安全评估标准主要被信息产品或服务的用户、开发者、第三方评估者、管理员等使用，涉及的信息产品和服务门类广，部分还对特定产品给出信息安全评估标准。最常用的是信息技术安全性评估准则（CC， common criteria），简称“通用准则”。

通用准则是确定适用于一切IT安全产品和系统的评估准则，具有普适性和通用性。……