云计算中心风险评估方法与工具及其产业化V0.43.doc

北京市海淀区科技项目建 议 书填写大纲北京市海淀区科学技术委员会二一一年五月填写大纲说明为方便海淀区广大科技型企业和相关单位申请海淀区科技项目，确保申报工作保质、保量，按计划进行，北京市海淀区科学技术委员会特制定北京市海淀区科技项目建议书填写大纲，对海淀区科技项目申报所需准备的材料及填写要点进行说明。海淀区科技项目采取网上申报的方式，各企业和相关单位可据填写大纲提前准备编写好项目材料的word版，作好准备工作。海淀区科委可申报的项目分为：重大科技研发项目、基本计划项目、专项计划项目海淀区科技项目申报网址为：各企业和相关单位也可根据当年项目申报指南要求直接登录系统进行填写申报。关于网上系统如何使用，可参考相关系统使用说明：注：以下文字中，蓝色斜体字为对填报事项的说明。注：申报的项目材料中不得包含企业名称或企业品牌名称第一部分 项目基本情况1、项目名称 云计算中心风险评估方法与工具的研发及产业化2、技术领域信息（信息安全技术）3、项目联系人 陈伟 项目联系人电子信箱 chenwei 项目联系人电话 010-51626887 项目联系人传真 010-51626887 项目联系人手机 13801175900 4、协作单位 （无） 5、项目总投资 申请资金项目总投资：385万申请资金：100万 6、项目开始时间2011年7月1日项目结束时间2013年6月30日 7、项目摘要在国内大规模的云计算产业布局过程中，信息安全已经成为制约云计算产业发展的重要因素，传统的信息安全风险评估方法已经不适于当前云计算中心的风险评估。本项目目标是研发适用于国内云计算中心的风险评估方法与软件工具并使之产业化，以填补国内空白，以促进国内云计算中心的建设沿着健康可持续的道路发展。 8、年进度指标（一） 2011年7月到2012月6月，主要工作是云计算中心风险方法及软件工具的研发，本期目标是销售软件工具20套，服务及产品销售额达800万元；（二） 2012年7月到2013月6月，主要工作是云计算中心风险咨询服务与产品的产业化，本期目标是销售软件工具25套，服务及产品销售额达1000万元。 9、技术指标摘要² 云计算中心风险评估软件安装光盘与使用手册各1套² 形成政府机构云计算安全风险管理策略组件库1套；² 形成银行业云计算安全风险管理策略组件库1套；² 形成电信行业云计算安全风险管理策略组件库1套；² 形成能源行业云计算安全风险管理策略组件库1套；² 形成平台开放性接口API库1套；² 申请软件著作权和产品专利各1项。 10、主要经济指标: 结题时本项目累计收入1800(万元)结题时本项目累计利润527.85(万元)结题时本项目累计纳税（含所有税种总和）246.15(万元)本项目新增就业人数15（人）11、 其他经济指标据上海证券报报道，在工信部和国家发改委的推动下，云计算在中国的市场规模有望在未来3年内突破1万亿人民币。按照最保守的情况来估计，云计算安全市场将达到整个云计算市场的5%，将也就是会达到500亿的云计算安全市场规模；云安全评估服务与软件工具按占云计算安全市场的5%估算，将是25亿的市场规模。第二部分 单位基本情况1、公司基本情况公司成立于2007年初，总部位于北京，在上海、深圳、新疆等地设有分公司和办事处，在清华大学创业园设有软件研发中心。公司是业内处于领先地位，致力于 IT 风险管理、IT内部控制、信息系统审计、IT 治理、信息安全管理、IT服务管理等领域的专业服务机构。公司的业务集中在IT风险管理咨询、服务、培训及产品四个方面。其中信息安全咨询与培训业务在国内处于领先水平，已经成功实施国内众多高端行业信息安全、IT风险管理的咨询项目；公司的信息安全方面的认证培训市场占有率为全国第一；公司开发的IT风险管理软件及安全意识教育产品填补了国内空白。公司在 IT 风险管理领域积累了非常丰富的经验，并且形成了一套相对科学完整的方法论和工具体系。公司拥有国内第一批IT风险管理专家，他们曾经任职于国内外著名咨询公司资深专业咨询顾问，具备国际化的知识背景与中国本地信息化实践经验，能够满足企业对于IT风险进行管理和控制需求，为客户提供持续高水准的专业服务。 公司秉持不断地开拓创新精神，致力于吸收国际上最先进的IT风险管理理念，基于成熟的方法论和稳健务实的专家顾问团队，将国际标准和最佳实践,如COBIT、TOFAF、CMMI、ITIL、ISMS、BCM、ISO27001、ISO20000、BS25999等引入企业，结合国内行业特点，帮助组织建立符合业务需要的IT管理及运营体系，提升企业的风险管理意识，提高IT管理水平，建立风险管控机制，并保持独立、中立和客观的立场，为客户提供量身定做并且遵循国际标准的IT风险管理和控制系列解决方案。2、相关经济数据：公司成立时间2007年1月29日注册资本500万法定代表人企业负责人联系人姓名李华李华陈伟最高学历本科本科研究生专业机械工程机械工程工业管理工程身份证号321028197608180016321028197608180016370502196806203212职称无无无办公电话010-51626887010-51626887010-51626887移动电话139100088491391000884913801175900Emaillihualihuachenwei股东构成股东名称（或姓名）投资者经济形态法人代码（或身份证号）是否上市公司境外公司或外籍所占股份投资方式李华自然人321028197608180016否否27%货币无形资产陈伟自然人370502196806203212否否26%货币无形资产刘敬国自然人23010319750819511X否否26%货币无形资产魏彩霞自然人132337198105250708否否14%货币无形资产古树生自然人否否7%货币无形资产开户银行北京银行航天支行信用等级账号0109037280120109116339上年研究开发经费投入上年度纳税总额上年度创汇0万美元（折合）企业类型研发型企业员工总数87人已有成果数8已转让成果数0企业性质有限责任公司企业等级类型05有限责任公司企业特性第三部分 项目的目的、意义和必要性1、项目目的当前，云计算被公认为是继个人计算和互联网变革之后的第三次革命，相关研究机构预测，到2012年，全球财富100强将有80%使用云计算服务，到2015年，使用云计算企业的比例将提高到95%。谷歌、亚玛逊、微软、IBM等重点企业，已经在云计算领域均投入大量人力、财力。从以上数据可以看到，云计算未来发展市场巨大。我国云计算产业市场规模在2010年已经达到了170亿，未来几年增长率将保持爆炸式增长，增长率达90%左右。预计未来5年，云计算和相关服务市场将保持高速增长态势。然而，当前制约云计算发展主要有云计算标准制定、云计算服务推广和云计算安全保障等方面的问题。其中，云计算安全保障问题是关系到云服务能否得到用户认可、云计算产业健康发展的关键要素。云计算的安全问题不完全等同于传统的信息安全问题，云计算安全除了要考虑传统的基础设施使用的可靠性与敏感信息访问的安全性问题外，还需要考虑虚拟资源管理、用户隐私保护、数据信息主权、数据位置控制、云中业务内控等全新的安全问题。本项目的目的：一是通过研究提供规范化、流程化、指标化的方法，简化云计算的安全评估过程，为云计算服务的快速推广奠定安全基础；二是通过扎实的方法研究与软件开发工作，在即将蓬勃兴起的云计算安全评估市场上填补空白，获取先机，通过软件工具的落地使研究方法产品化；三是把政府与企业的云计算中心的安全评估与体系建设作为研发重点，使之产业化，实现社会效益与经济效益的同步发展。2、项目意义本项目的实施将为云计算安全提供一个完整的评估框架与实施方法，云计算安全并不仅仅是目前国内反病毒业界中非常热门的 “云查杀”这类反病毒技术，云查杀”反病毒技术只是将云端的计算和商用模式应用到反病毒领域。本项目以IT风险管理理论为指导，基于多年信息安全技术体系和管理体系的建设经验，接合国内外当前云计算的实践，深入研究云计算中心安全问题，建立云计算环境下信息安全风险评估模型，为政府与企业即将大批建立的云计算中心提供完整、科学、可行的一整套风险评估方法，通过软件产品的方式固化安全评估流程，提供实施云计算安全评估所需的知识库，满足政府及企业在建立云计算机中心过程中进一步完善信息安全保障体系的要求。本项目的实施，将使云计算安全从以用户应用端安全控制为主导的“云查杀”式的外延性安全模式，走向关注云计算中心本身健康状态的内生性安全模式；从以防火墙、入侵检测、防病毒为主导的单一技术导向模式，走向关注治理合规、综合管控、态势感知、人员安全、持续改进的体系化模式；从人工式、分离式的安全评估模式，走向规范化、工具化的综合性的自动化评估模式。本项目的实施，将极大地促进云计算的安全评估实施工作，促进云计算中心安全保障体系的建立，大力推进当前国内安全产业的升级和发展；同时，也将对云计算中心防范内部人员风险、减少信息资产损失，加强内部信息安全管理方面起到极其重要的作用。2、项目必要性我国“十二五”规划纲要及国务院关于加快培育和发展战略性新兴产业的决定，均把云计算作为新一代信息技术产业的重要部分。2010年10月18日，工信部确定北京、上海、深圳、杭州、无锡等5个城市先行开展云计算服务创新发展试点示范工作。最近3年，国内已有至少20个城市宣布推出云计算，已经有多个云计算中心在建设中。据不完全统计，目前除北京的“祥云工程”、上海的“云海计划”、 广州的“天云计划”外，深圳提出了打造“华南云计算中心”的概念，而重庆、天津、山东等地也有相关的云计算布局。在如此大规模云计算产业布局过程中，如果不形成一套科学有效的云计算安全的理论与方法，还是延续过去先发展后治理的老路，将对云服务的大规模推广应用和云计算产业的健康发展造成极大的风险。Gartner认为云计算的方法最初就没有考虑安全性的设计，对安全的忽略将对云计算的发展造成严重阻碍。根据CSDN之前的一项对国内云计算应用的调查显示，认为“未经授权的进入与窃取信息风险”及“云计算架构的安全缺陷”分别占到被调查者的50.8%和63.1%而最近发生的多起云计算安全事故正好印证了CSDN的调查结论。索尼用户数据被窃。2011年4月17日，索尼旗下Playstation网站遭遇黑客入侵，黑客侵入索尼公司位于美国圣迭戈市的数据服务器，窃取了用户登录的个人信息，受影响用户多达7700万人，涉及57个国家和地区。 亚马逊云服务中断。全球最大的网络零售商，一直标榜云计算服务是企业用户外包数据中心业务的廉价、安全途径的亚马逊公司，爆出了史前最大的宕机事件。2011年4月21日凌晨，亚马逊公司在北弗吉尼亚州的云计算中心宕机，致亚马逊云服务中断持续了近4天，对租用其云服务的厂商造成较大影响。此外，2011年4月25日，VMware全新云计算服务Cloud Foundry因存储柜的电供应导致停机；2011年5月9日到13日的一周中，微软Exchange在线服务停用，谷歌的免费博客托管平台无法登陆，Twitter发生重大中断，安全事故使得云计算用户在不同程度上受到了影响。如此频繁密集的云计算信息安全事件，为我国当前“热火朝天”的云计算建设敲响了警钟。我们应当把云计算安全与云计算基础设施建设、云计算应用开发、云服务应用推广放到同等重要的地位来看待。当前，云计算安全的理论与方法的研究、安全保障体系的建设刻不容缓！ 第四部分 项目所属领域国内外研究开发现状和发展趋势1、国内外研发现状l 云安全联盟2009年成立的云安全联盟(Cloud Security Alliance) 是专门针对云计算安全方面的标准组织。对对云安全界较早地开展了对云计算安全的研究，已经发布了云计算关键领域的安全指南白皮书成为云计算安全领域的重要指导文件。l NISTNIST(National Institute of Standards and Technology，美国国家标准技术研究院)由美国联邦政府支持，进行了大量的信息安全标准化工作。它集合了众多云计算方面的核心厂商，共同提出了目前为止被广泛接受的SP800-145 云计算定义和SP800-144公共云计算安全与隐私保护指南，对业界有着重要指导意义。l Gartner发布云计算安全风险评估白皮书2008年7月，著名研究机构Gartner近日发布一份名为云计算安全风险评估的白皮书，列出了云计算技术存在的7大风险，包括：特权用户的接入、可审查性、数据位置、数据隔离、数据恢复、调查支持、长期生存性。l 美国联邦政府2011年11月美国政府CIO委员会发布了关于政府机构采用云计算的政府文件，文件阐述了美国政府对于云计算服务的基本立场和政策，分析了为什么需要考虑评估云计算、采用云计算带来了什么挑战、接下来政府、各机构、私营企业、业界等需要采用哪些行动等。文件要求政府、各机构谨慎评估云计算相关的安全风险，并与自己的安全需求进行比对分析，文件还建议由一个政府授权机构对云计算服务商进行统一的风险评估和授权认定，从而加速云计算的评估和采用，降低风险评估的费用。l 欧洲网络及信息安全局欧洲网络及信息安全局(ENISA)发布了云计算风险评估报告，此报告基于三个用例场景，为云计算的风险评估提供了一种可参考的方法。报告中列出了云计算用户需要重点保护的23类信息资产，描述了这些资产的53类的脆弱性，分析了云计算用户可能面临的35种风险。此报告对组织开展云计算的风险评估有一定的指导意义。l 国内外云计算产品与服务厂商IBM、HP、EMC、Cisco、Microsoft、Oracle、Google、Amazon、浪潮、联想等云计算基础设备厂商及服务厂商都从自身体产品及服务的角色提出了云安全的概念、技术白皮书及安全控制最佳实践等。例如Google的云计算安全白皮书、 IBM的云计算安全战略路线图、Microsoft的云计算的安全考虑等。国内外几乎所有的反病毒厂商，趋势、赛门铁克、瑞星、360、金山等公司等，都推出了各自的 “云安全”产品。这些厂商提出的“云安全”是将用户和反病毒技术平台通过互联网紧密相连，组成一个庞大的恶意软件监测和查杀网络，每个用户都为“云安全”计划贡献一份力量，同时分享其他所有用户的安全成果。从以上各专业机构研究成果来看，目前各机构还只是从概念模型及框架建议的角度提出了云计算安全风险评估的方法，其合理性和适用性还有待于实践的检验、其可操作性还有待于细化，目前还缺少可以进行对云计算进行安全评估的软件工具。2、技术领域发展趋势由于云计算是近十年来刚刚兴起的新生事物，从国内外云计算发展的现状来看，各专业厂商和研究机构一般是站在自身的角度，对云计算安全提出了各自的概念与方法。在技术领域，各类反病毒厂商的产品都只是利用云计算技术来保护系统主机和用户终端，以免受恶意代码的侵袭，而并不涉及对云计算中心的整体的风险评估。在综合风险管控领域，各专业研究机构，例如：云计算联盟、NIST、Gartner等，则相应对云计算安全提出了更全面的概念定义与方法模型，对云计算的服务提供者及使用者从基础设施、运行环境、数据合规、安全防护等方面提供了较全面的风险评估与控制概念与方法。这些概念与方法一般都包含了以下内容：l 安全防护：通过成熟的安全防护技术与产品，确保云计算中心的网络系统、主机系统、应用系统能抵御各种恶意代码的攻击。l 可靠接入：确保云计算用户与云计算中心的接入采用了可靠的安全通道，保证接入通道的可用性与安全性。 l 身份认证：云服务供应商要为客户提供可信的身份认证与权限管理机制，确保云应用与数据始终是在有效授权的条件下使用。l 数据控制：云服务供应商要确保采取适当的技术防护措施，确保客户数据得到有效的隔离与保护，并能提供高质量的数据服务。l 可移植性：云服务供应商要确保提供给客户的任何云的应用与数据均能无缝移植到其他云中，并能与其他云实现最大程度的互用。l 法规遵守：云服务供应商要确保使客户遵守各种法规要求，例如个人隐私保护和行业敏感数据保护等方面的规范。 云计算中心安全风险评估不仅要考虑技术安全防范措施，更要综合考虑云计算中心架构、部署、运行、管理等方面的安全风险。 另一方面，目前国际上流行的趋势是信息安全风险评估过程的工具化，目前有个别国外厂家在做相关研究与开发工作。国外的Callio Secura17799、RealISMS，国内的科飞Info-Riskmanager等风险评估软件基本是利用ISO3335的风险评估方法进行简单的信息资产风险评估，整体功能较弱，方法单一；IBM公司推出了Workplace for Business Controls & Reporting解决方案，CA、Oracle等虽然提出了较全面的IT风险管理的概念，与无法引入动态的信息安全标准，缺乏与外部技术系统的接口，并不适用于云计算的风险评估。但这些厂商的实践也为我们指出了安全风险评估工具化的方向。第五部分 申报单位现有基础、特色和优势项目前期预研综述1、申报单位现有基础、特色、优势基础与特色。公司是专业的IT风险管理咨询公司，是目前国内该领域最大的、服务内容最全面的服务提供商，成功实施国内众多高端行业信息安全与IT风险管理项目，在信息安全风险评估与体系保障体系方面积累的丰富的经验，形成了有自身特色的IT风险管理方法论。研发优势。公司拥有国内最大的信息安全与IT风险管理顾问团队，咨询顾问及研发人员已有40多人，具有信息安全相关专业硕士、博士等学位，并持有CISA、CISSP、CISP、ISO27001LA、ISO20000LA等专业资质。核心骨干人员在信息安全与IT风险管理领域有10年以上的专业经验，并著有多种专著。实践优势。公司近年来在政府机关（例如海关、认监委、广州亚运会、国家博物馆等）及企业（例如银行、证券、保险、电信、能源企业）积累了69个信息安全风险评估与安全保障体系建设的案例，总结了大量标准与实践经验，进行了系列理论创新与技术创新，创造性提出了适合国内企业实际情况的风险评估与信息安全体系建设理论与方法，并在实践中得到了验证与用户的认可。知识优势。公司创新性地提出了IT风险管理框架，融合等级保护、风险评估、服务流程等国内外相关标准和最佳实践，整理近千条控制措施，形成全面的IT风险管理的理论与实践知识库体系，为组织实施风险评估与建立安全保障体系奠定了知识基础。软件优势。公司为充分利用与推广咨询顾问所在信息安全风险评估与体系建设方面所积累的经验，一直在进行信息安全风险评估与体系建设管理软件工具的研发，目前自主开发了基于J2EE技术的软件开发平台ReachFrame，在此平台基础上开发了不同行业的多个版本的IT风险管理软件。2、前期预研综述公司重视风险评估与体系建经设的方法与工具的研发，从2007年开始，公司就投入了大量的人力物力，实施了多个政府及企业的安全咨询项目，积累了丰富的信息安全现场实施经验，提炼了完备的信息安全风险管理知识库，在此基础上研发了 “IT风险管理软件工具”，并在平台之上实现了IT风险管理系列产品。该平台已成功试用于深圳证券交易所、中国海关、国家审计署、中广核集团等单位，产品基本满足了用户信息安全风险评估与体系建设需求，产品具有很高技术性和很强实用性。近年来，公司也积极参与云计算安全领域的标准制定与推动工作，并开始进行云计算安全的评估工作。下面从几个方面阐述项目前期所做工作：1、风险评估服务公司首先推出了信息安全风险评估服务。技术、管理等方面深入分析，帮助组织完成其信息系统风险管理过程中的鉴定、分析、评价和处理等任务，有利于组织对信息系统实施安全控制。典型案例：l 新疆移动安全风险评估服务项目2010年5月，对新疆移动云计算中心实施了安全风险评估，全面评估新疆移动云计算中心网络系统、主机系统、数据库中间件系统、应用系统的安全风险，并实施全面安全加固工作。l 东亚银行电子银行评估服务项目2009年10月，按照银监会要求与香港金管局要求，对东亚银行电子银行系统实施全面评估，并向监管机构提交评估报告l 国信证券信息安全风险评估项目2008年7月，对国信证券对整体信息安全进行风险评估，通过资料收集、人员访谈、技术检查、渗透测试等方面评估分析国信证券的信息安全风险现状，为国信证券的信息安全的完善提出了整改建议。2、信息安全管理体系咨询在风险评估服务基础上，公司推出了信息安全管理体系咨询解决方案，取得了一系列领先的信息安全咨询案例，为“IT风险管理平台”的研发积累了丰富的行业客户需求与经验知识库。典型案例l 中广核集团信息安全管理项目；2009年8月，公司咨询人员为中广核集团提供了安全管理体系建设规划咨询，包括现状调研，风险评估，安全规划，安全体系设计，安全策略体系规划等。通过本项目的实施，推动了中广核集团的信息安全体系的建设，提高信息安全防护能力与安全体系管理水平，提高了员工安全意识。中广核集团在2009年的信息化测评中，其信息安全的测评得分为全国第一，其信息安全体系被国资委树立为央企标杆，为其他央企提供了适用的安全体系建设实施经验。l 深圳证券交易所信息安全管理项目；2007年6月开始，公司为深圳证券交易所实施了二期信息安全管理咨询项目，全面建立了深交所信息安全管理体系，并深入了进行风险评估、安全规划、安全设计、安全实施工作。深交所ISMS的实施为证券行业探索出了一套建立信息安全管理体系的方法，得到的主管部门的好评。此项目是国信办组织的全国首批ISMS试点项目之一，被国信办评选为优秀项目第一名，同时荣获了2007年计算机世界和电子学会颁发的 “新技术应用奖”。 l 太平保险信息安全管理项目2008年4月，公司咨询人员为太平保险提供了安全管理体系建设规划咨询，包括现状调研，风险评估，安全规划，安全体系设计，安全策略体系规划、安全体系实施等。通过本项目的实施，全面、准确地了解太平保险的信息安全现状，估、分析太平的信息安全风险，并结合国际国内的最佳实践，制定太平保险信息安全体系建设规划并编写有关技术建议方案和制度策略，为安全体系建设提供保障和指导。3、IT风险管理软件工具研发公司在前期风险评估及体系建设的基础上，详细提炼了IT风险管理的实现步骤及相关知识库，并将内容设计与固化在IT风险管理软件系统中。用户可以借助软件工具，完成组织的IT风险评估与体系建设工作。公司目前已经完成了该平台框架的详细设计和开发，推出了第一版“IT风险管理系统”，并正在着手开发各种行业相关的组件和知识库产品。同时，软件开发核心团队总结了多年来软件开发经验，自主研发了基于J2EE的软件开发平台ReachFrame，将B/S架构下管理软件的常用公共功能组件化，形成了一个超过200个公共基类和超过3000个函数的大型组件库，大大提高了软件开发速度。4、积极参与云计算安全标准的建设工作近年来，公司开始涉足云计算安全领域，公司是国际云安全联盟中国区分会的发起人之一，下图为公司总经理李华（后排右二）在云安全联盟成立大会上作为发起人之一与国际云安全联盟主席Dave Cullinane及其他理事的合影。参与了云计算关键领域安全指南V2.1中文版的编写工作，并在深圳证券交易所的信息安全项目中开始进行云计算的安全评估工作，为云计算风险评估方法的提炼与完善奠定了基础。5、前期资金与人力投入情况自2007年10月起，在多年安全咨询服务实践经验的基础之上，结合公司实施的多个行业IT风险管理项目需求，投入了核心安全咨询和安全研发人员15名，对IT风险管理的咨询方案与知识库进行了整理，对软件工具架构进行了概要设计和详细设计，并经过半年左右的时间，初步完成了ITRM“IT风险管理平台”的设计和编码。前期项目投入已经超过100万元，已经完成了初步的平台开发。目前，IT风险管理方法论与IT风险管理系统得到了初步的应用，并得到客户的基本认可。该平台已成功应用于深圳证券交易所、中国广东核电集团、中国电信北京研究院、中国海关、审计署等单位，产品基本满足了用户信息安全风险评估与体系建设需求，产品具有较高的技术性和实用性。 第六部分 总体目标、考核指标主要研究开发内容1、总体目标 本项目有以下三个总体目标：1）风险评估方法的研发。以IT风险管理理论为指导，基于多年信息安全技术体系和管理体系的建设经验，接合国内外当前云计算实践，深入研究云计算中心的信息安全问题，建立云计算环境下信息安全风险评估模型，为政府与企业即将大批建立的云计算中心提供完整、科学、可行的一整套风险评估方法。2）风险评估软件工具的研发。通过软件开发，以软件管理工具的方式固化安全风险评估方法与流程，并提供实施云计算安全评估所需的知识库，形成有自主知识产权的云计算安全评估与体系建设管理软件，协助政府及企业方便有效地进行云计算中心信息安全风险评估与建立安全体系。3）风险评估方法与工具的产业化。通过整合安全评估方法与工具，形各行业云计算中心的信息安全风险评估与保障体系建设的专用方案，在即将蓬勃兴起的云计算安全评估市场上填补空白，获取先机，使之产业化。 2、 考核指标 1）经济指标：l 2013年6月结题时，本项目累计收入1800万元，累计利润527.85万元，累计纳税（含所有税种总和）246.15万元，新增就业人数15人。l 五年计算期内（2011年2015年），销售收入累计达到8900万元，累计利润总额达3054万元，累计净利润2595.9万元，累计纳税1240.10万元。2）社会指标：l 项目二年期内，为国内云计算中心的提供45套风险评估服务包（包括咨询、培训、软件工具等），为政府与企业的云计算提供科学实用的评估方法与实施工具。l 形成政府、银行、电信及能源企业相关风险评估知识库各一套，以指导政府与企业有效实施云计算的风险评估。l 为社会培养云计算信息安全管理人员500人。技术指标：l 云计算中心风险评估方法论报告1套l 云计算中心安全体系管理方法论报告1套；l 云计算中心安全审计方法论报告1套；l 云安全风险评估软件安装光盘与使用手册各1套l 软件工具包括风险评估、体系管理、安全审计和知识库管理4个模块；l 形成政府机构、银行业、电信企业、能源企业的云计算安全风险管理知识库共4套；l 平台开放性接口API库1套；l 单台服务器并发连接数>500、响应时间2s；l 申请软件著作权5项和产品专利1项。3、研发内容、要解决的主要问题、解决方案、工作任务 （一）研发内容及要解决的问题 本次项目的研发主要有三个方面的内容，一是云计算中心风险评估模型与实施方法、二是云计算中心风险管理软件工具、三是云计算中心风险管理咨询方法与工具的产业化应用。要解决的主要问题如下：l 建立云计算安全模型；l 建立云计算威胁模型；l 建立云计算控制矩阵；l 建立云计算风险管理组合方法；l 建立云计算中心基础设施风险评估方法；l 建立云计算中心虚拟资源风险评估方法；l 建立云计算中心运营管理风险评估方法；l 建立云计算中心用户信息风险评估方法；l 云计算中心风险评估软件的总体架构设计；l 云计算中心风险评估软件的接口与数据设计；l 云计算中心风险评估软件的详细设计；l 云计算中心风险评估软件的编码实现；l 云计算中心风险评估软件的测试与部署；l 提供各行业适用的云计算安全知识模板库；l 提供云计算中心适用的各种标准体系策略库模板；l 提供云计算中心的安全审计模板；l 提供自动生成预定义或定制报告，多种统计分析报表、图例；l 提供事后数据处理工具以进一步分析用户数据；l 形成多个领域化的行业应用产品及解决方案。（二）项目解决方案和工作任务 1）云计算中心风险评估方法（1）云计算中心风险评估方案云计算平台是一个强大的“云”网络，连接了大量并发的网络计算和服务，可利用虚拟化技术扩展每一个服务器的能力，将各自的资源通过云计算平台结合起来，提供超级计算和存储能力。用户可通过云用户端从列表中选择所需的服务，其请求通过管理系统调度相应的资源，并通过部署工具分发请求、配置Web应用。通用的云计算体系结构如下图所示： 为充分分析云计算中心的信息安全和风险管理现状，需要对云计算中心的物理设施、虚拟资源、运行管理及应用安全等信息安全风险进行综合评估。根据公司的IT风险管理方法论，我们认为信息安全存在管理、操作和技术三类风险，这三类风险的评估需要通过如下图所示的六个阶段来完成：以下对云计算中心风险评估模型简述如下：l 通过“评估对象识别”，明确云计算中心评估的对象，云计算中心安全风险评估对象一般定义为物理设施安全、虚拟资源安全、运行管理安全、用户应用安全。四个方面。l 通过“安全现状调查”，进行资料收集、现场访谈、问卷调查、技术调研工作，以了解当前云计算中心的安全现状，以下一步的风险评估做好准备工作。l 通过“基线风险评估”，对云计算中心的IT现状与相应规范标准进行差距分析，以概要性了解云计算中心存在的风险评估。l 通过“详细风险评估”，进行信息资产、IT流程及重要应用系统的风险评估，以详细了解云计算中心各类重要的基础设施、应用系统及管理流程方面的风险。l 通过“安全风险组合”，对安全现状调查、基线风险评估、详细风险评估阶段发现的风险进行组合与归纳，形成管理、技术与操作三类风险。l 通过“风险评估报告”，对各个阶段的调查与评估进行总结，对云计算中心的安全风险进行详细分析与统计展示，并提出初步的整改建议。（2）云计算中心的风险评估方法研发任务、评估对象识别本项目的研究内容定位在云计算中心的风险评估与管控体系建立，因此，需要从云计算中心架构中提炼出最重要的组成部分来进行评估。一般来说云计算一般有四层结构，分别是：业务层、管理层、虚拟层、和物理层，如下图所示：§ 业务层统一规定了在云计算的Laas、Paas、Saas服务，以及云服务的各种规范、云计算服务的各种标准等。业务端还提供了用户端与云端交互操作的接入接口，可以完成用户或服务注册，对服务的定制和使用。§ 管理层在云计算技术中，管理层位于服务和服务器集群之间，提供管理和服务即云计算体系结构中的管理系统。对标识、认证、授权、目录、安全性等服务进行标准化和操作，为应用提供统一的标准化程序接口和协议，隐藏底层硬件、操作系统和网络的异构性，统一管理网络资源。其用户管理包括用户身份验证、用户许可、用户定制管理；资源管理包括负载均衡、资源监控、故障检测等；安全管理包括身份验证、访问授权、安全审计、综合防护等；映像管理包括映像创建、部署、管理等。§ 虚拟层指一些可以实现一定操作具有一定功能，但其本身是虚拟而不是真实的资源，如计算池，存储池和网络池、数据库资源等，通过软件技术来实现相关的虚拟化功能包括虚拟环境、虚拟系统、虚拟平台。§ 物理层主要指能支持计算机正常运行的一些硬件设备及技术，可以是价格低廉的PC，也可以是价格昂贵的服务器及磁盘阵列等设备，可以通过现有网络技术和并行技术、分布式技术将分散的计算机组成一个能提供超强功能的集群用于计算和存储等云计算操作。 因此，云计算中心的风险评估对象定义为：物理设施安全、虚拟资源安全、运行管理安全、用户应用安全4个方面。此阶段项目任务：定义4个方面的风险评估对象的内容范围、业务功能、管理流程、安全要求等方面的内容。、安全现状调查通过信息安全现状调查，对云计算中心信息安全管理与控制现状有一个全面的了解，为后续的风险评估和体系建设奠定基础。信息安全现状调研主要包括采用资料收集、现场访谈、问卷调查和技术调研等方式，对云计算中心当前的信息安全管理相关的组织结构、业务特征、制度规范、IT基础设施、日常管理、运行操作等内容进行调查。调查时可以选择一些有代表性的系统、设备和人员进行。 § 资料收集收集评估对象相关信息资料，包括业务特征、组织架构、风险管理、IT规划、IT制度文件、IT基础设施资料、IT应用系统资料、IT运维程序、安全控制记录等。特别是对信息安全相关的政策、策略、程序、记录及报告的收集与检查，以获得大量的系统信息安全现状信息，同时对相关的信息安全文档进行评审，以判断其在安全管理方面的充分性与完备性。§ 现场访谈访谈目的和范围，为求从不同的层面发现存在的信息安全问题，访谈覆盖了云计算中心管理层、各个业务部门的领导、员工及典型用户，了解不同层次人员的安全意识、技能及行为。§ 问卷调查为了对信息安全运维现状有更清楚的了解，设计安全运维管理专项调查问卷对信息安全现状进行深入的调查。调查问卷覆盖的域可以包括：安全治理、安全防护、安全运行、数据保护等方面的内容。现以云计算中心的安全运行为例，设计的问卷包括以下内容：应用程序运维、终端设备管理、机房及物理环境、网络系统管理、服务器和存储系统、数据库管理、资产管理、安全管理。问卷示例：统计分析示例：§ 技术调研 工具扫描利用网络扫描工具，检查云计算中心网络设备、应用服务器，主机系统和防火墙等系统的弱点，从而识别能被入侵者用来非法进入网络的漏洞。生成网络扫描评估报告，提交检测到的漏洞信息，包括位置和详细描述。这样就允许管理员侦测和管理安全风险信息。 人工检查将从保密性，完整性，有效性三个方面对系统进行人工安全检查，内容包括：是否使用服务最小化原则，是否开启了不必要的服务和端口；防火墙配置策略是否正确；入侵监测设备配置策略是否正确；各种设备配置中是否存在不安全因素；是否存在不必要的账户；权限分配是否正确；是否有完善的日志审计策略；是否有完善的备份/