云计算服务虽然大大减轻了用户的成本，但是在其他方面仍然有不可规避的风险。面对云数据安全市场存在的乱象和在数据安全上的切实需求，加速建设云计算用户数据保护标准架构与信任体系势在必行。

云计算安全问题越来越受重视

众所周知，大数据时代“催生”一批云计算服务企业。云计算服务虽然大大减轻了用户的成本，但是在其他方面仍然有不可规避的风险。随着云计算、大数据的浪潮席卷全球，大量企业应用正持续向云平台迁移，安全风险日益扩大蔓延。

隐私方面，用户的数据是统一存放在云服务提供商那里的，云服务提供商能够看到每家公司的信息，但对于用户而言，如何保证这些数据不被别人恶意利用就成了一个非常大的问题。

其次，网络传输问题。我们都知道云计算服务主要是依托网络的，一旦网络运行不稳定，那么云计算服务将会受到十分巨大的影响，甚至可能导致系统瘫痪，信息外泄。而且，云计算平台由于其用户、信息资源的高度集中，容易成为黑客攻击的目标，由此拒绝服务造成的后果和破坏性将会明显超过传统的企业网应用环境。

除此之外，云计算应用地域弱、信息流动性大，信息服务或用户数据可能分布在不同地区甚至是不同国家，在政府信息安全监管等方面存在法律差异与纠纷；同时由于虚拟化等技术引起的用户间物理界限模糊可能导致的司法取证问题也不容忽视。

确实在这个数据即资产的DT时代，数据的产生量越来越大，托管在云平台上的数据越来越多，全球和数据有关的安全事件层出不穷，如何保护云平台上的用户数据安全已经成为整个行业乃至国家关注的焦点问题。

云计算服务企业需“持证上岗”

面对云数据安全市场存在的乱象和在数据安全上的切实需求，加速建设云计算用户数据保护标准架构与信任体系势在必行。在 7月25日-26日召开的“2017可信云大会”上正式发布《云服务用户数据保护能力参考框架》和《云服务用户数据保护能力评估方法 第1部分：公有云》两项重磅级标准。

会上，工业和信息化部信息通信管理局市场处处长张建华对最新的云服务监管政策进行了解读。作为一项新型信息服务，云服务在不断变化中前进，因此厂商也需要重点关注监管政策的变化。对于“哪些云服务企业要持证经营”的问题，张建华明确表示：公有云经营者一定要持证，私有云则要分两种情况看。

从业内角度来看，云计算包括IaaS、PaaS、SaaS和IaaS。IaaS指的是基础设施及服务，也就是利用数据中心提供相应的资源租用型服务，包括云主机等，在业务模式上属于传统IDC业务范畴。目前提供这类服务的主要有：AWS、阿里云、腾讯云、UCIOUD、畅行云等。而PaaS服务指的是平台型服务，企业在IaaS层的基础上建设自有平台，为客户提供开发、测试环境等服务。SaaS则指的是软件应用及服务。

张建华还在会上表示，云服务企业需要获得增值电信业务经营许可证，经营形态是IDC业务形态。因此管理上更多要求对IaaS和PaaS这两种业务形态进行许可，后面很多管理要求也是针对IaaS和PaaS推出的。这两种业务如果要申请增值电信业务许可证，跨地区的需要到工业和信息化部审批；如果只在省内从事相应业务，可以由当地的通信管理局直接进行审批。统计数据显示，工信部审批量要大于各省的审批量。

具体来说，哪些云服务企业要持证经营？公有云经营者一定要持证，私有云要分两种情况看，有一种情况叫“使用通信技术”，自建自用的，视为利用信息通信技术提供相应的服务而不是经营，不需要持证。另外一种，某一家企业为多个第三方提供私有云服务，这家企业实质上在经营云服务，因此需要持证经营。

可以说，云服务用户数据保护能力标准对于行业安全能力的规范和提升，促进安全生态的形成具有十分重要的意义。一方面为云服务商建立规范完备的用户数据保护体系、保障用户数据安全提供指导，另一方面为第三方行业自律组织评估云服务商用户数据安全保护能力提供依据，同时也为用户选择数据得到良好保护的云计算服务提供参考。