雲安全：四個客戶的解決方案

有人認為，雲安全是整個行業中最棘手的問題，而且它們在近期內不會被解決，但是也有人認為雲安全並不是什麼大問題，因為與客戶相比雲服務提供者擁有更嚴格的安全措施。

在許多關於這一話題的調查中，安全問題總是一個重要顧慮，它們也因此成為了許多IT商店的頭等大事。 目前已經有了一些安全標準創新方案，這些標準可能最終會説明消除一些問題，但是目前距離這些標準的出臺還有很長的一段路要走。

現在有一件事情以明確，即在沒有親自進行充分調查之前不要做任何假設。 市場研究公司Gartner 的分析師Jay Heiser一直致力於研究企業和法規所面臨的潛在風險。 Heiser 稱：「服務提供者可能正在為保護資料做大量工作，或是正在創建安全性更好的應用框架，這固然不錯，但是最大的問題在於你如何確定他們正在做這些工作。 如供應商無法(通過測試和資料驗證)證明他們產品的安全性像他們所宣傳的那樣。 如此一來，你將無法做出是否選擇他們的決定。 」

印第安那大學摩利爾法學院網路安全應用研究中心主任Fred Cate稱，在涉及雲安全時，公司所面臨的最大一個難題是，誰應當在法律方面承擔負責。

Cate 稱：「雲服務提供者認為公司應當為此承擔責任，而公司則認為雲服務提供者應當承擔責任。 為了解決這一問題，一些公司選擇了微軟等值得信賴的服務提供者。 」不過，他指出，這一做法導致客戶的可選擇性大幅降低，同時這一做法也不能確保資料的安全性，因為你僅僅為你的雲基礎設施選擇了一個知名的服務提供者而已。

幸運的是，一些新技術正在説明確保雲的安全，至少對於員工來說將智慧財產權或敏感性資料公佈在公有雲上將變得更加困難。

美國聯合航空公司：在飛機上部署雲計算

美國聯合航空公司開始著手進行一項激進的試驗。 美聯航今年將為機組成員提供10000部蘋果iPad。 這些iPad將替代存放手冊、航圖和其它用於飛行準備的非敏感資訊的飛行包。 機組成員可訪問Jeppesen等託管服務提供者，以獲得線上飛行手冊服務 。 美聯航還將iPad作為更新公司新聞和員工資訊的通訊工具。

John Van Hoogstraten為美聯航負責IT安全與風險管理的常務董事。 他稱，公司傾向于逐漸開展與雲相關的部署，但是由於iPad等行動裝置具有許多優勢，因此他們無法再推遲相關的部署事宜，這些優勢包括可以更好的管理飛行手冊，降低燃料成本，因為機組成員不必再攜帶沉重的飛行包。

他稱，公司目前正在使用賽門鐵克的產品進行身份管理和病毒防護，下一步他們將考慮部署名為「賽門鐵克O3 雲身份與存取控制」的單點登錄產品以執行單一認證程式。

美聯航負責IT安全與風險管理的常務董事John Van Hoogstraten稱，他們正在考慮使用單點登錄技術以簡化雲軟體的認證。

Hoogstraten ：「我們需要使用一個安全的認證系統以確保使用iPad的人的身份，尤其是在飛行員飛往那些缺乏安全保障的第三世界國家時。 」他的計畫是使用單點登錄，因為其可以接入美聯航的活動目錄(Active Directory)系統並為機組成員訪問服務提供者提供一個入口。 這意味著飛行員不必多次登錄不同的服務，這樣一來可以節省飛行員們的時間。

單點登錄是最常見的一種處理雲安全問題的新機制。 這意味著在發生問題時只有一個故障點。 O3 將作為一種工具在資料中心運行，這意味著所有的雲訪問都將流經該設備，這有可能會降低連線速度。

Heiser 稱：「單點登錄解決了雲安全的根本問題，即便捷性與安全性的平衡。 當然，認證並不總是最大的問題。 讓我們回顧一個Gmail(密碼)事故吧。 在事故中，人們能夠輕易地獲得訪問權。 許多公司應當意識到密碼存在缺陷。 」

為了解決這一問題，賽門鐵克使用了雙因素認證。 典型的情況是，員工需要安裝在iPad上的標記ID和密碼才獲取訪問雲服務的訪問權。

Cate稱，在處理類似iPad訪問公司系統的新安全問題中，一個穩妥的解決方案是將安全審計作為部署內容的一部分。 安全審計的一個好處是你可以發現一些潛在的風險，例如過度依賴于某一種策略。 「如果你將大量資料存儲在一個地方，那麼你就越容易成為被攻擊的目標，同時你也就越值得駭客花時間攻擊你。 」

他稱，安全評估必須要細緻，除了資料存儲和策略外，還要檢查類似iPad或智慧手機等特定的設備。 這意味著要使用自動化風險管理工具和進行風險評估。 例如，美聯航飛行員將率先使用iPad交流公司中發生的新聞。 如果執行官們決定將向地勤人員部署平板電腦，那麼公司應當對整體風險進行評估。

「每個公司都應當考慮這些問題：如果這麼做的話，將會遇到多少麻煩?這麼做的風險是多大?不要僅關注在法律生產上的麻煩，還要關注對公司聲譽和股東帶來的影響。 」

(責任編輯：蒙遺善)