調查發現 雲服務面臨重大安全信任問題

對於剛剛起步的雲服務行業，信任問題是一個重大問題。 雖然對於大多數企業而言，將昂貴的資料存儲外包給託管服務供應商的好處顯而易見，但揮之不去的安全問題讓很多企業都不願意轉移到雲服務。

在資料庫安全供應商GreenSQL舉辦的兩次雲安全研討會上，對387名出席者的調查發現，80%的受訪者對於將資料移轉到雲端時可能出現的安全問題、合規問題以及失去控制權的問題感到非常焦慮。

缺乏信任的雲計算

GreenSQL調查主要集中在一個主要問題：「當你將資料庫轉移到雲端時，你主要擔心什麼安全問題？ 」三分之一的受訪者表示，他們根本不相信目前雲資料存儲服務提供的安全水準，他們的理由是，轉移到雲端意味著要完全信任服務供應商能夠在龐大網路平臺保持分割，而這個平臺可以由多個用戶端同時訪問。

「如果你的企業系統將由另一家你不知道的公司來使用，並且，你不知道他們使用你的硬體的目的，你還會將安全放在第二位嗎？ 」GreenSQL首席技術官David Maman感慨道，「痛苦的事實是，作為雲客戶，大多數時候你需要與其他人共用硬體和網路，這意味著安全必須擺在第一位。 」

該調查發現，22%的受訪者對資料庫放在雲環境中後失去對其敏感性資料的直接控制感到不安，這也說明了雲存儲供應商所面臨的挑戰。

Maman表示：「你的企業的核心是你存儲的資訊：客戶資料和企業的財務資訊。 大部分時候，這些資訊被存儲在資料庫內。 如果說，這些資訊是你的企業的真正貨幣，那麼，資料庫就是存儲這些貨幣的保險箱。 因此，你必須確保雲服務供應商使用了所有可能的安全保護措施。 」

Maman同時指出，雖然雲服務供應商在管理和監控你的資料，但保護雲中的資料庫的安全性並不是僅僅是雲服務供應商的責任。 企業必須採取積極的態度，通過監控來保護敏感性資料，並通過對存取控制制定有效的政策和程式來確保資料的安全性。

「當你安裝自己的資料庫應用或者使用資料庫即服務（例如微軟SQL Azure），你必須控制你的資訊，這意味著啟用資料庫防火牆，」Maman表示，「你必須執行職責分離，資料庫活動監控，同時，你還必須掩飾敏感資訊。 」

困擾雲服務行業的另一個問題是資料備份機制，以及存儲在雲中的資訊究竟如何避免濫用或丟失的問題。 企業真的能夠確保資料備份被存儲在單獨的磁帶或者專門為其指定的其他媒介設備嗎？

「讓我來幫你回答這個問題，並不是這樣，」Maman表示，「你的備份資訊將與成千上萬的其他客戶的資料一起存儲在供應商負擔得起的備份媒介上。 當然，你永遠也不會知道誰能夠訪問這些資訊，以及何時。 」

供應商必須慢慢建立信任

惠普軟體高級安全性原則師兼著名雲安全專家Rafal Los表示，雲資料存儲供應商可以通過持續的保障措施來增加客戶對其服務的信任，例如主動安全監測，定期發佈安全狀態報表以及遵守可行的法規。

Los表示：「客戶不是要一份過時的合規報告，顯示你即時打補丁，或者數月之久的滲透測試結果，他們想知道你的環境現在是健康和安全的。 系統安全與系統健康緊密聯繫，這兩者必須與分析平臺整合，例如與惠普OpsAnalytics平臺—提供即時性能遙測分析和全面的日誌分析，讓使用者能夠確定是否有現實世界無法檢測的攻擊，或者說找出‘未知攻擊’。 」

安全保障意味著不只是合規性資料，它還意味著瞭解整個系統狀態。 為了增加客戶的信任，供應商不能只是聲稱他們是安全的，他們必須證明他們瞭解他們的動態環境，以及他們可以迅速對偏離正常工作模式的狀態作出回應，以保護期客戶的資料及其服務的完整性。

客戶必須核查雲服務供應商

Los建議正在考慮轉移到雲環境的企業核查其選擇的供應商的所有能力，並確定他們的供應商是否能為他們提供即時或者近即時的安全保障和合規性狀態。 Los表示：「客戶將資料庫轉移到雲中的一個關鍵因素是，他們不僅需要具有安全意識，而且需要知道經過測試的安全性也可能失效，或者說也將失效，因為不存在絕對的安全保障。 」

他建議客戶避免只是尋找提供「安全」服務的供應商，而應該尋找能夠展示可以有效可靠地檢測問題、迅速回應問題以及恢復服務的供應商，畢竟這是企業的業務功能的關鍵要素。 Los說：「通過系統性能遙測及時發現異常情況，全面即時日誌分析和高級安全性群組件，你的供應商在發生故障或進行測試時，能更快地發現、回應和恢復你的服務。 作為一個客戶，不要只是尋找提供‘安全’的供應商，要尋找知道如何發現、回應和恢復關鍵服務的供應商。 」

(責任編輯：施柏鵬)