讓企業資料在公共雲環境保持安全

考慮到IT外包服務的成熟，企業為了實現更大的成本節約和資源利用率，會很自然的選擇公共雲計算服務。 而事實並非如此。 其中對公共雲服務的安全性質疑一直是企業不敢採納公共雲服務的主要原因。 對大多數企業來說，資料安全的風險會讓它們非常恐懼。

本文中將大致介紹一下為何企業為了更好的效益應該採用公共雲服務，採用公共雲服務所面臨的關鍵安全問題和挑戰是什麼，以及在整體的安全評估框架中該做些什麼，才能解決公共雲服務所面臨的安全挑戰。

首先，目前並沒有確鑿的資料支援部分人認為「公共雲服務相比企業內部資料中心的安全機制更弱」這一觀點。 事實上，針對Google, Sony & RSA 等大公司的網路攻擊和資料丟失案例已經顯示出，再嚴密的企業內部安全防範機制也能借由狡猾的社交陷而突破或繞過。 尤其是從古至今資訊安全防範機制中的一個薄弱環節一直沒有被修復，即「人的因素」。

雖然這些安全性漏洞並不能直接與公共雲聯繫起來，但大部分企業都趨向于將智慧財產權等重要資料放在企業內部自行保管。 那麼公共雲到底能不能妥善的保管企業的智慧財產權呢?考慮到公共雲的擴充性，靈活性以及按需性能，答案是肯定的。

聯邦政府機構，比如美國、新加坡以及亞洲和歐洲的很多政府機構都是公共雲服務的早期使用者，他們也促進了公共雲服務供應商在雲安全服務上的快速成熟。 在很多實例以及特定的安全類型中，比如針對惡意軟體、病毒，以及分散式阻斷服務攻擊的保護方面，公共雲安全技術已經證明其能比企業內部的安全防禦方案更有效的對資料提供保護。 Sony抵禦 LOIC DDoS攻擊就是個很好的例子。

總之，終端使用者對於互聯網服務的永無盡頭的需求已經開始讓公共雲服務擴展到了媒體娛樂領域，如音樂、電影、社交媒體以及電子商務等。

企業也沒有時間繼續觀望下去了。 如果不採用已經被很多企業成功採用的公共雲服務，所面臨的企業競爭力下降的風險可能會更嚴重。 如果企業還需要更令人信服的證據，那麼可以問問Oracle的 Larry Ellison ，他曾經用「毫無意義」、「瘋狂」、「白癡」等詞彙形容雲計算，而現在他也決定加入雲計算大家庭了。 這個證據有說服力吧?

不過，並不是所有類型的企業資料或服務都適合在公共雲環境下管理，但是從一般的風險評估框架來看，公共雲的資料安全風險可以被控制在一個能夠被大部分企業接受的程度。

知曉你的雲計算方案風險

每個企業的特點都是不一樣的，其所面臨的安全風險也是根據企業所處的行業以及運營環境而有所不同。 而企業的風險因素必須被記錄並處於管理之下。 公共雲服務也有其自身特有的安全風險，這種風險與傳統的IT外包所面臨風險不同，而是與公共雲所採用的技術有自然的聯繫。 下面列出了有關公共雲計算的風險以及企業應該做的準備工作。

有關公共雲計算的關鍵性安全風險/問題包括以下方面：

· 不了解所使用的雲計算服務– 由於公共雲服務的使用成本門檻很低，導致企業領導認為公共雲服務比企業的IT部門更具性價比，於是將企業給客戶提供的新產品和服務全部通過公共雲服務實現。 IT服務的採購必須在嚴格的控制下進行，避免企業資料通過不受監控的公共雲服務管道流失。

· 資訊安全管理 – 在資料的生命週期內，最基本的安全需求是資料的保密性、完整性和可用性。 具體來說，資料在創建、存儲、處理和使用、共用、歸檔以及最終銷毀的整個過程都需要進行安全保護。 而當企業無法直接通過服務供應商的設備對資料進行直接控制時，就會面臨安全挑戰。 因此要選擇帶有資料加密，加密金鑰管理以及高可用性方案的公共雲服務，這是最重要的。

· 知道資料在哪裡- 貫穿資料的生命週期始終，企業必須要從雲服務供應商那裡獲得確切的保證，確保企業的資料保存在所規定的地理範圍內。 這可以通過合同，服務水準協定以及相應的程式法律和規章制度進行規范和約定。

· 電子證據 – 採用公共雲服務意味著企業必須與其它企業共用相同的硬體設備，比如硬碟。 這就意味這要承擔一定的資料洩露風險。 因為一旦某個企業由於法律問題遭到調查，政府和法律機構可以根據相應的法律(比如美國的愛國者法案)對硬碟中存儲的資料進行提取和分析，而且不需要得到資料主人的批准。 企業的一些敏感資訊，比如個人的身份資訊等不應該存放在公共雲服務環境，以避免此類情況的出現。

· 廠商綁定 – 有時候從一個雲服務供應商向另一個雲服務供應商遷移的難度要比第一次採用雲服務更難。 很多雲服務供應商處於利益考慮，都傾向于阻止使用者放棄自己的服務轉投別家。

有關選擇公共雲服務時所面臨的風險和挑戰，網上還有很多論述，讀者可以通過 Cloud Security Alliance (CSA), European Network and Information Security Agency (ENIS A), National Institute of Standards and Technology (NIST)等網站參考。 相信能夠説明很多企業瞭解到雲計算的風險問題。

在預見到以上的風險後，企業可以自己制定一個風險評估框架，用來評估公共雲服務供應商，並從中選擇適合企業自身情況的供應商。

採用公共雲電腦服務時的資料安全建議

在採用公共雲服務時，為了將安全風險儘量降低，企業可以進行以下動作：

建立一個雲服務專案的部署工作表，所記錄的內容包括：

· 採用雲服務的決策制定過程

· 雲服務涉及的企業業務以及成本的考量

· 確定可靠的資料存放範圍並通過資料流程圖和工序流程表深刻理解端到端的業務流程。

· 對雲服務使用的認識 – 你的服務採購團隊和架構人員必須具備足夠的雲服務知識和技能來選擇雲服務並提供相應的支援工作。

· 一個雲服務註冊器，記錄企業使用公共雲服務的消費狀況。

為雲計算建立或購買一個風險評估框架。 這個框架應該包括：

· 定義雲服務使用時的資訊安全性原則

· 對企業資料進行分類，判斷哪些資料適合存儲在雲計算環境，哪些資料會面臨較大的風險。

· 評估一旦資料的保密性、完整性和可用性受損後，對企業業務衝擊情況。

· 將公共雲服務安全風險內容建檔保存

· 列出降低雲服務安全風險的控制方案(可以採用風險--方案的方式制定每個潛在風險的詳細應對策略)

· 升級資訊安全合約，解決採用雲服務後帶來的安全和操作上的問題。 服務等級協定未達標的補償方式，資訊系統審計和調查取證的權力等，都必須寫入與雲服務供應商簽訂的合約中。

· 對雲服務產品進行滲透測試，對雲服務供應商的安全控制能力進行審查，選擇最能符合企業安全需求的雲服務供應商。 考慮使用SAS 70 type II 報告或類似的 IS審計報告來審查服務供應商的安全控制能力。

建立公共雲服務退出策略

企業必須建立一套雲服務退出策略，以便在企業必須將所有資料和應用遷移回企業內部或改換雲服務商時，避免被雲服務供應商綁定而無法退出。

總結

在公共雲環境下，資料安全是需要雲服務供應商和資料所有人共同承擔的責任。 但同時資料擁有者必須獨自對資料隱私和保護承擔全部責任。 如果他們對資料的隱私保護不能達到監管要求，將可能會承擔巨額罰金。 因此很多企業已經提前投資採用了資訊安全風險管理和控制工具。 這些工具可以平衡基於雲架構的安全風險，説明企業實現最大的投資回報。 所以，在採用公共雲服務時更常見的情況是，需要鑒別和理解某個特定雲服務的安全風險，並針對這類風險開發出所需的安全控制方案，從而將該類風險降到最低水準，不對企業採用雲服務造成影響。

所以企業有足夠的理由選擇雲計算服務，但同時企業也有足夠的理由將自己防禦的更嚴密，以便在新技術環境下發展的更快更安全。