物流信息化是现代物流的基本特征，是现代物流的核心评价标准，其关键就是建立物流公共信息平台。物流公共信息平台是为物流企业、政府以及其它相关部门提供物流信息服务的公共信息服务平台，它是以获取物流规模化、效率化为目的，以先进的信息技术为支撑，以信息共享为手段而建立的信息平台。云计算是IT界的新概念和热点，近年来，云计算在物流领域的应用研究逐步受到重视。基于云计算的物流公共信息平台(物流公共信息云平台)本质上是一个信息系统，该系统具有公共性、公众性、开放性和可扩展性等特征。物流公共信息云平台的构建与使用，将有效地提高大数据时代物流信息的管理效率，降低物流运作成本，促进物流产业的发展。与此同时，物流公共信息云平台在实现用户信息资产安全与隐私保护等方面面临着极大的冲击与挑战，物流信息云平台安全性问题日趋备受重视。本文在分析物流信息云平台的安全风险与安全需求基础上，探讨基于云计算的物流公共信息平台安全体系和安全管理问题。

    1、基于云计算的物流公共信息平台结构与功能

    物流信息云平台是一种服务物流发展，为物流企业间信息交换、政府与企业间信息共享、企业与客户间信息交流的公共信息平台。物流信息云平台以数据(物流信息)为中心，通过虚拟化和整合技术来调配分布在网络上的服务器集群、信息存储与数据传输能力，并客制化地为用户提供高效、可靠、安全、便捷、灵活的各种物流业务应用服务。基于云计算的物流公共信息平台体系包括基础设施即服务IaaS、平台即服务PaaS、软件即服务SaaS三个层面的结构，用户通过互联网络，基于客户端(浏览器、移动终端、TV等)可以随时随地获取所需的服务。物流公共信息云平台的IaaS层通过虚拟化技术提供平台服务器、存储设备、网络设备等硬件资源支持;PaaS层提供各种平台应用程序与功能，如企业建站平台、资源部署平台、数据挖掘平台、短信平台等;SaaS层提供各种软件应用服务，主要是各种业务系统，如仓储管理系统、运输管理系统、物流决策支持系统、物流专家系统、报关报检系统等。物流公共信息云平台无需用户关注复杂的软硬件配置、扩展、升级以及日常维护，对于云平台的使用者来说，服务器、网络设施、存储设备、系统软件、中间件等都是高度透明的。云平台同时对外提供了通用的、集成的、便捷的用户接口，不同类型和需求的用户可以通过互联网或移动终端随时随地地获取物流云服务。

    2、基于云计算的物流公共信息平台安全风险

     物流公共信息云平台对物流信息资源进行集中管理，平台系统更容易成为黑客的重点攻击目标。由于云平台的大规模性、开放性与复杂性，云平台的系统风险大大增加，云平台安全面临着比以往更为严峻的考验。研究机构Gartner在2008年发布的《云计算安全风险评估报告》中指出，一个组织在考虑使用基于云计算的服务时必须要了解相关的安全风险。根据Gartner的研究成果，物流公共信息云平台的安全风险可以归纳为以下六个方面：

    1)特权用户的接入。物流企业的物流单证、财务数据、技术文件和人事档案等往往是企业的敏感信息，在企业外部的“云端”处理敏感信息可能会带来风险，因为这将绕过公司的信息部门和审计部门对这些信息“物理、逻辑和人工的控制”.物流信息云平台需要对接入的云用户进行审查，从而避免非法用户对信息的接触。

   2)数据位置。在使用物流公共信息云平台提供的IT服务时，用户并不清楚自己的数据储存在哪里，也不知道数据的物理存储细节。用户应当询问云计算服务提供商是否将数据存储在专门管辖的位置，以及他们是否遵循约定的隐私协议。

    3)数据隔离。物流公共信息云平台用户的数据都处于共享环境之中，此时加密能够起一定作用，但是仍然不够。物流公共信息云平台需将用户数据彼此隔离，并提供由专家设计并测试的加密服务。如果加密系统出现问‘题，那么所有数据都将不能再使用。

     4)数据恢复。任何没有经过备份的数据和应用程序都可能出现问题。物流公共信息云平台应考虑到在灾难(如环境危害或自然灾害)发生时，用户数据和服务将会面临什么样的情况。在云计算环境下，物流公共信息云平台几乎扮演了众多企业的“大脑”角色，应具有数据的灾难及时恢复能力。

    5)调查支持和可审计性。在云计算环境下，来自不同企业的数据可能会存放在一起，并且有可能会在多台主机或数据中心之间转移。当有不恰当的或是非法的行为发生时，物流公共信息云平台应具有IT审计职能。

    6)长期生存性。理想情况下，物流公共信息云平台将健壮地持续运营。但是物流云用户仍需要确认，在平台崩溃或非短期的中断运营情况下，自己的数据会不会受到影响，用户能否拿回自己的数据，以及拿回的数据能否被导入到替代的物流系统中。

    3、基于云计算的物流公共信息平台安全需求

    基于风险的存在及对风险的认识我们可以导出安全需求，一般来讲，信息安全需求或内容包括信息的机密性(Confidentiality)、完整性(Integrity)和可用性(Availability)。物流公共信息云平台的安全需求表现为应对安全风险的一系列的机制，主要包括平台自身的信息安全和云平台的信任安全两个方面。

    物流公共信息云平台自身的信息安全是指物流信息云平台及信息资源免受未经授权的访问、使用、泄漏、破坏、修改以及销毁等，可划分为四个层面：设备安全、数据安全、内容安全和行为安全|.其中，设备安全要求云平台的物理设备可靠、可用和稳定;数据安全要求物流数据具有可用性、完整性和秘密性;内容安全要求物流信息内容健康、符合法律和道德规范的要求;行为安全要求基于云平台的操作在完整性、可控性和秘密性方面得到保障。

    物流公共信息云平台运行的核心模式是提供服务，服务提供的前提是用户和服务提供方之间建立有效的信任。如同储户和银行之间对于财务信息、病人和医生之问对于隐私信息的信任管理一样，物流公共信息云平台必须解决信任管理问题。物流公共信息云平台的信任安全管理目标是使企业“放心”地将“隐私”信息存储在“云端”的平台之上，即保障“云用户”获得的“云服务”是可靠的、安全的，甚至是私密的。这表现在“云用户”不用担心数据被恶意窃听、篡改、泄漏和滥用，也不用担心“云端”信息被非法访问，并且其基于云平台的各种行为如服务部署、业务交易是公平的、公正的和受保护的。

    4、基于云计算的物流公共信息平台安全体系

    与传统的IDC(InternetDataCenter,互联网数据中心)服务不同，云服务的一个显着特点就是虚拟化，其技术实现本质上是计算、存储、服务器、应用软件等IT软硬件资源的虚拟化。物流公共信息云平台安全性要求平台系统提供从物理基础设施到应用程序与数据，再到人员及身份等的一系列的安全机制。物流公共信息云平台的安全体系由一系列云安全服务构成，是实现其安全需求的技术手段与管理机制。根据所属层次的不同，物流公共信息云平台的安全服务体系可分为云平台安全基础设施服务、云平台安全基础服务和云平台安全应用服务三类。

    4.1物流公共信息云平台安全基础设施服务

    物流公共信息云平台安全基础设施服务是整个云平台安全的基石，提供基于外部和内部的安全性管理。一方面，云平台安全基础设施服务在抵御外部攻击方面提供全方位的安全保障，例如，在基础设施方面提供机房建筑安全、防火防盗安全、电力供应安全;在基础设备方面提供服务器安全、通讯线路安全、网络设备安全;在平台云存储方面提供日志管理、数据备份、灾难恢复等;在平台云传输方面提供网络可达性、拒绝服务攻击、数据传输机密性等;在平台应用系统方面提供系统用户身份管理、虚拟机安全、补丁管理等;在平台数据库方面提供DBS安全、数据的隐私性与访问控制、数据备份与清洁等。另一方面，云平台安全基础设施服务在内部安全性方面，实施面向用户承诺的信任管理，提供完善的服务契约协商与执行机制，加强公共信息平台运营的内部管理与控制，并引入可信的第三方来监管。物流公共信息云平台的信任安全从本质上说是属于社会安全问题范畴，因此信任机制的建立、运行、评价和持续改进是一个复杂的社会管理过程，在这个过程中，除了需要应用云安全技术手段，还需要辅以社会公共管理手段，如完善法律法规体系，建立诚信的社会风气等。

    4.2物流公共信息云平台安全基础服务

    物流公共信息云平台安全基础服务是为各类物流云应用提供共性的信息安全服务，为满足物流云用户安全性需求提供必要的支持。典型的物流云平台安全基础服务包括：1)信息保护。物流公共信息云平台具有高度的公众性与开放性，云平台集中了海量的信息资源，而且很多是企业的机密和敏感信息，物流信息云平台需要建立起一套严格高效的信息保护机制，其应用的安全保护技术主要包括数字签名技术、加密技术、数字证书技术等。2)云审计服务。使用物流公共信息云平台的用户涉及数量众多的企业、银行、政府机关和社会团体，作为平台服务的使用者，它们往往缺乏威胁识别、安全防护与举证能力，当有不恰当的或是非法的行为发生时，由第三方实施的审计就显得尤为重要。云审计与跟踪服务为保障用户权益提供审计和鉴证功能。3)身份和访问管理。身份和访问安全主要是解决信息使用，即授权适当的人员，在适当的时间以有效、合规的方式访问适当资源这一问题。安全的身份和访问管理对任何环境都是不可或缺的，但在云计算环境中变得更加复杂与必要，它需要完成身份的供应、注销以及身份认证过程，同时还需做好平台系统的访问控制。

   4.3物流公共信息云平台安全应用服务

    物流公共信息云平台的功能与企业的应用是紧密联系的，云平台向用户提供客制化的应用系统服务。物流公共信息云平台安全应用服务旨在满足用户个性应用系统的安全需求，如云网页过滤与杀毒应用、内容审查服务、关键词过滤服务、安全事件监控与预警云服务、云垃圾邮件过滤及防治等。云平台安全应用服务在企业门户安全、电子邮箱安全、短信平台安全、即时通信安全和电子支付安全等方面提供灵活、高效的安全保障。

    5、基于云计算的物流公共信息平台安全管理

    5.1基于云计算的物流公共信息平台安全责任划分

    物流公共信息云平台是物流信息交换和汇集的中心，其参与的主体包括政府、第三方物流企业、制造企业、流通企业和金融机构等，在运营过程中，各方在保证信息安全方面都有责任，而恰当划分云平台和用户的安全责任是实施云平台安全管理的前提。一般来说，物流公共信息云平台应保证从底层到上层，即“基础设施层：资源虚拟化层一中间件与平台层一应用程序与软件层”的安全性。而对于物流云用户来说，用户(企业、银行、政府、团体)应负责在所获得的虚拟化资源基础上进行计算和数据处理的安全性，负责自己的应用程序或软件系统在运行过程中的安全性，负责自己账号、密码以及数据传输的安全性。

    5.2基于云计算的物流公共信息平台安全评估

    在提出恰当的安全控制措施前，应针对物流信息云平台系统进行安全和风险评估。根据国家标准《信息安全技术信息安全风险评估规范》中关于信息安全风险评估的定义，基于云计算的物流公共信息平台安全评估是指根据信息安全的技术和管理标准，结合物流行业应用需要，对云平台系统在传输、处理和存储信息过程中的信息机密性、完整性和可行性等与安全相关的属性进行评价的过程。对物流公共信息云平台进行安全风险评估的目的是确切掌握平台系统的安全程度、分析安全威胁来自何方、安全风险有多大，从而在安全风险的预防、减少、转移、补偿和分散等之间做出科学的决策，提出有针对性地抵御威胁的防护对策和整改措施，为防范和化解信息安全风险，将风险控制在可接受的水平，最大限度地保障信息安全提供科学依据。

    5.3基于云计算的物流公共信息平台安全控制

    物流公共信息云平台的安全控制本质上是一项管理工作，不仅要依靠技术手段，而且需要依赖管理手段。在安全控制技术方面，可以采用的有可信访问控制技术、虚拟安全技术、云资源访问控制技术和数据隐私保护技术等。可信访问控制技术主要是指利用密码学方法实现平台的访问控制;虚拟安全技术包括虚拟机问信息流控制、虚拟机监控与隔离、虚拟网络接入控制等;云资源访问控制技术主要解决云计算环境下平台共享资源的访问控制问题;数据隐私保护技术帮助用户控制自己的敏感信息在物流云端的存储和使用。在安全控制管理方面，一是建立企业内控和风险管理机制，加强企业风险识别与控制管理;二是规范与完善基于物流公共信息云平台商业活动的法律法规;三是在物流公共信息云平台的云服务合同中需明确平台和用户在合同履约和审计过程中的责任;四是在物流公共信息云平台的整个生命周期中加强云平台数据管理;五是在发生云数据迁移时，物流云平台能够提供相应的迁移方法和流程。

    物流的发展依赖物流信息化，物流信息化的核心在于构建物流公共信息平台，随着物流产业的振兴和云计算理论与技术应用日趋成熟，基于云计算的物流公共信息平台将具有广阔的发展前景。但与此同时，物流云平台也面临着更加复杂的安全挑战，建立并不断完善物流公共信息云平台安全体系，是保证物流有效服务经济发展的前提。物流公共信息云平台的安全性不仅是技术问题，而且是管理问题，是社会问题，需要学术界、产业界以及全社会的共同努力与关注。