3.2 应用安全
由于云环境的灵活性、开放性以及公众可用性等特性，给应用安全带来了很多挑战。提供商在云主机上部署的Web应用程序应当充分考虑来自互联网的威胁。
（1）终端用户安全
对于使用云服务的用户，应该保证自己计算机的安全。在用户的终端上部署安全软件，包括反恶意软件、防病毒、个人防火墙以及IPS类型的软件。目前，浏览器已经普遍成为云服务应用的客户端，但不幸的是所有的互联网浏览器毫无例外地存在软件漏洞，这些软件漏洞加大了终端用户被攻击的风险，从而影响云计算应用的安全。因此云用户应该采取必要措施保护浏览器免受攻击，在云环境中实现端到端的安全。云用户应使用自动更新功能，定期完成浏览器打补丁和更新工作。
随着虚拟化技术的广泛应用，许多用户现在喜欢在桌面或笔记本电脑上使用虚拟机来区分工作（公事与私事）。有人使用VMware Player来运行多重系统（比如使用Linux作为基本系统），通常这些虚拟机甚至都没有达到补丁级别。这些系统被暴露在网络上更容易被黑客利用成为流氓虚拟机。对于企业客户，应该从制度上规定连接云计算应用的PC机禁止安装虚拟机，并且对PC机进行定期检查。
（2）SaaS应用安全
SaaS应用提供给用户的能力是使用服务商运行在云基础设施之上的应用，用户使用各种客户端设备通过浏览器来访问应用。用户并不管理或控制底层的云基础设施，如网络、服务器、操作系统、存储甚至其中单个的应用能力，除非是某些有限用户的特殊应用配置项。SaaS模式决定了提供商管理和维护整套应用，因此SaaS提供商应最大限度地确保提供给客户的应用程序和组件的安全，客户通常只需负责操作层的安全功能,包括用户和访问管理，所以选择SaaS提供商特别需要慎重，目前对于提供商评估通常的做法是根据保密协议，要求提供商提供有关安全实践的信息。该信息应包括设计、架构、开发、黑盒与白盒应用程序安全测试和发布管理。有些客户甚至请第三方安全厂商进行渗透测试（黑盒安全测试），以获得更为详实的安全信息，不过渗透测试通常费用很高而且也不是所有提供商都同意这种测试。
还有一点需要特别注意的是，SaaS提供商提供的身份验证和访问控制功能，通常情况下这是客户管理信息风险惟一的安全控制措施。大多数服务包括谷歌都会提供基于Web的管理用户界面。最终用户可以分派读取和写入权限给其他用户。然而这个特权管理功能可能不先进，细粒度访问可能会有弱点，也可能不符合组织的访问控制标准。
用户应该尽量了解云特定访问控制机制，并采取必要步骤，保护在云中的数据；应实施最小化特权访问管理，以消除威胁云应用安全的内部因素。
所有有安全需求的云应用都需要用户登录，有许多安全机制可提高访问安全性，比如说通行证或智能卡，而最为常用的方法是可重用的用户名和密码。如果使用强度最小的密码（如需要的长度和字符集过短）和不做密码管理（过期，历史）很容导致密码失效，而这恰恰是攻击者获得信息的首选方法，从而容易被猜到密码。因此云服务提供商应能够提供高强度密码；定期修改密码，时间长度必须基于数据的敏感程度；不能使用旧密码等可选功能。
在目前的SaaS应用中，提供商将客户数据（结构化和非结构化数据）混合存储是普遍的做法，通过惟一的客户标识符，在应用中的逻辑执行层可以实现客户数据逻辑上的隔离，但是当云服务提供商的应用升级时，可能会造成这种隔离在应用层执行过程中变得脆弱。因此，客户应了解SaaS提供商使用的虚拟数据存储架构和预防机制，以保证多租户在一个虚拟环境所需要的隔离。SaaS提供商应在整个软件生命开发周期加强在软件安全性上的措施。
（3）PaaS应用安全
PaaS云提供给用户的能力是在云基础设施之上部署用户创建或采购的应用，这些应用使用服务商支持的编程语言或工具开发，用户并不管理或控制底层的云基础设施，包括网络、服务器、操作系统或存储等，但是可以控制部署的应用以及应用主机的某个环境配置。PaaS应用安全包含两个层次：PaaS平台自身的安全；客户部署在PaaS平台上应用的安全。
