加強雲計算安全--保護組織時要考慮的安全因素

簡介： 雲計算帶來了對安全問題的擔憂。 在 Unisys Corporation 最近的一次線上調查中，312 位回復者中有 51% 的人認為安全性和資料私密性仍然是阻礙他們接受雲計算的最主要因素。 在 2009 年 6 月的另一次 Unisys 網路調查中，72% 的回復者表示，在把工作負載轉移到雲時安全性是他們最關心的問題。 這些擔心有道理嗎？ 還是杞人憂天？ 我們來看看。

關於雲的考慮因素

在採用任何新技術時，必須判斷它僅僅是時髦，還是確實能夠滿足自己的業務需要。 與自己擁有計算資源相比，雲計算在硬體和軟體許可證兩方面都可能大大節省資金。 但是，僅僅是省錢不一定意味著它滿足您的業務需求。 具體來說，您必須研究這種技術和供應商，確保它們可以滿足組織的安全性原則需求、法律需求（比如在訴訟期間披露資訊等問題）以及與組織相關的所有法律法規的要求。

雲計算是否滿足您的業務需求在很大程度上取決於在雲中存儲、操作或共用的資料的類型。

如果您正在考慮使用雲來管理敏感資訊，包括個人識別資訊 (PII)、HIPAA 或 Payment Card Industry (PCI) 資料或者高度機密或對於組織有價值的任何資料，就要研究與此類資料相關的安全性原則。 例如，如果要存儲信用卡號，安全性原則會反映 PCI 需求，持卡人資料在通過公共網路傳輸時或靜止存儲（比如存儲在檔或試算表中）時必須加密。 如果打算向雲發送 PCI 或需要加密的任何其他資料，就要詢問供應商是否可以滿足加密需求。 另外，不要忘了加密金鑰管理需求。 還要確保可以在這些物件上設置存取控制，而且在預設情況下設置為拒絕訪問。

應該詢問供應商的安全實踐。 我會問下面這些問題：

大多陣列織的安全性原則要求在職員被解雇或離職時進行某些處理。 在組織內部，這些操作在職員離開的同時執行。 您應該詢問雲供應商，他們是否可以快速地識別並關閉這些前職員的帳戶，確保立即取消他們的訪問權。

應該詢問的另一個問題是供應商執行哪種日誌記錄。 許多法律法規常常要求執行某一級別的日誌記錄（審計）。 組織的安全性原則可能要求記錄管理員操作、授權失敗、健康狀態資料讀取、失敗的登錄嘗試等等。

要考慮的另一個方面是，如果雲供應商受到有目的的攻擊，您組織的資訊就可能落入駭客之手。 糟糕的配置會讓駭客能夠輕鬆訪問組織的網路，這是某些入侵攻擊得以成功的原因。 但是，由於資料價值或數量上的原因，一些入侵被發現了。 （想想信用卡處理機構 Heartland Payment Systems 受到的攻擊，這是歷史上最大的資料洩露事件之一。 ）儘管通過選擇適當的安全設置可以相當輕鬆地避免一部分攻擊（只需使用比較安全的設置，駭客很可能就會轉向別的目標），但是防禦有目的的攻擊就像是一場與駭客的戰爭。 因為雲供應商存儲大量資料，他們可能會成為有目的攻擊的目標。 如果存儲在雲中的資訊被竊，您的組織會有多大損失？ 可能沒有損失，只是會很煩人。 但是，根據資料類型的不同，也可能損失很大（比如說洩露商業機密），或者顯示需要實施入侵通知計畫。

供應商還可能成為拒絕服務攻擊的目標。 考慮一下，如果存儲在雲中的服務或資料不可用，對您的組織會有多大影響。

如果您的組織在訴訟中處於不利地位，在資訊披露過程中可能需要提交一些電子資料。 這通常稱為電子披露（e-discovery），資料可能包括電子郵件、資料庫、文檔和即時聊天記錄。 在使用雲提供電子郵件服務之前，應該檢查供應商的資料保留原則。 它應該與組織的策略一致，保留資料的時間既不應該太短，也不應該太長。 還需要瞭解獲取資料所需的過程，包括要支付的額外費用。

要研究的另一個方面是資料私密性。 美國的一些州對於資料私密性有特殊的要求。 如果組織在歐洲開展業務，還要考慮資料存儲方式是否會違反 EU Data Protection Standards。 請記住，在把資料發送到雲時，存儲資料的伺服器可能位於任何地方。 跨國界傳輸資料可能會違反私密性法律。

最後，應該確保虛擬機器 (VM) 技術和配置的安全性。 如果要把 PII 或 PCI 資料發送到雲，就必須確保沒有得到授權的人無法訪問資料。 如果不願意與別人共用伺服器，應該考慮要求組織在雲中有自己的伺服器。 在這種情況下，組織中的使用者仍然可以使用雲，如果 VM 被攻破了，至少可以確定是組織內部人員幹的。

一些組織不把資料放在公共的雲中，而是創建私有的雲。 這讓他們可以享有雲的一些好處，同時保持對上述安全問題的控制能力。

這些安全性和遵從性問題促成了Cloud Security Alliance(www.cloudsecurityalliance.org)的建立，這個聯盟的目標是定義和推廣用於保護雲計算的最佳實踐。 還有另一個組織 Open Cloud Manifesto (HTTP://opencloudmanifesto.org)，IBM 是它的支援者，這個組織的目標也是確保雲的安全性以滿足組織的需要。

雲在安全性方面的優點

雲計算從安全性角度來看也並不是完全沒有優點。 許多小型公司無力負擔安全特性，但是雲供應商可以。 例如，大多數中小型組織不具有實現安全運營中心 (SOC) 所需的資源。 SOC 可以彙聚組織中各個地方的事件和資訊，執行即時分析，對外部威脅發出警報和/或執行防禦措施。 雲供應商可能有 SOC，這有助於防禦和回應安全攻擊。 通常還有專職的安全專家監督他們的運營。 由於有這些專用的資源，他們能夠更及時地應對最新的威脅，應用最新的安全補丁。

不要害怕雲

我並不是在說雲計算不安全，不應該使用它。 根本不是這樣的。 我曾經使用 Google 試算表保存一個專案的任務清單，此專案有英國的業務夥伴。 這種做法比我們使用過的任何方法都高效得多。 但是，這個試算表不包含任何機密資料。 如果存儲它的伺服器被攻破了或不可用，並不會違反組織的安全性原則或任何法律法規。

我希望您考慮組織管理的資料的類型，更新安全性原則中的資料分類部分，為數據是否可以發送到雲制定規則。 然後，在組織中進行相應的教育。 與許多很酷的新技術一樣，職員們可能很喜歡享有雲計算的好處，而不知道把某些資料發送到雲是不合適的，不知道只允許發送某些類型的資料。

一定要考慮和採取適當的措施來保護組織的資料，但是不必害怕雲。