技巧：外包雲計算安全的幾點建議

很多企業，要麼已經配置了雲計算，要麼即將配置雲計算。 雲計算是提高靈活性、減少成本的最新技術。 通過提供捆綁、可升級的軟體、基礎設施、資料存儲及通信解決方案，外包雲計算供應商使公司節約了資金、避免了高成本IT承諾、獲得了基於所需的有效系統規模，並且可迅速配置最新服務。

一、漫步雲端前需要考慮的問題

然而，沒有免費的午餐，外包雲計算無法解決法律風險(伴隨協力廠商對資料存儲和傳輸位置的知曉而產生)這一關鍵問題。 本文討論的即是這一問題。 在企業決定採用外包雲計算解決方案時，必須考慮到以下幾點。

首先，當然需要定義我們在討論的是什麼，因為對於「雲計算」，有很多定義。 最近，一位知名CIO將其定義為：由某一組織控制虛擬伺服器，終端使用者可通過網路訪問的計算應用技術。 我們將「雲計算」定義為：商務軟體的服務提供，通過網路來應用軟體和虛擬伺服器上存儲的資料。 外包雲計算提供了一種商業化的企業技術：基礎設施即服務，軟體即服務，及平臺即服務，所有這些服務提供都是線上的，並且在Web 2.0的框架之下。 當協力廠商控制「雲」的任何部分，相關的資料安全、隱私和從規問題就產生了。 從某方面來看，從確定的資料線被通信方案(捆綁了來自n家公司的資料)所取代，這一問題就產生了。 協力廠商試圖充分提高虛擬化技術的效率，並將傳統上企業自身擁有的功能(基礎設施、系統平臺和軟體)商業化，與此同時，法律風險產生了。

協力廠商解決方案的好處是商務軟體很好地建立了起來。 從利用多使用者需求的協力廠商軟體解決方案供應商，到外包基礎設施供應商(投資單一使用者無法實現的更快更新的技術解決方案)，協力廠商可實現規模效益，同時將所提供功能的成本降低。 然而，有收益必然有風險，以下是需要重點關注的風險問題。

1、資料的存儲和轉移

傳統的外包協定中，使用者可與供應商商議資料存儲地點的控制情況(包括備份流程在哪裡進行)。 這樣，使用者和供應商均可瞭解，針對相關資料的傳輸法規，應提供哪種管理辦法。 然而，對外包雲計算的成本效益很高，因為供應商可將資料轉移到世界任何地方，也可將一個企業的資料發送到不同的地點，這取決於容量、應用情況和頻寬。 自由度的提高將導致處理流程不遵從全球眾多與資料存儲和轉移相關的法規。

歷史上，外包計畫中，使用者和供應商之間通常談論的風險是：使用者要求供應商採用特定流程，以實現的資料轉移流程合規。 沒有這些要求，供應商就不對使用者資料的存儲和轉移負法律責任。 隨著時間的發展，供應商意識到自己應該對使用者的要求做出回應，並且為了保證規模經濟的持續增長，他們必須將這些需求整合進解決方案。 最終，我們相信外包雲計算供應商會將資料轉移的從規元件內置於其商業化技術服務，從規的成本會由於使用者規模的擴大而被平衡，同時，外包供應商在制定服務價格時將計入這一成本。

比如，早期的雲供應商允許客戶通過「可用區域」控制某些特定技術的資料存儲地點。 因為每個國家的資料轉移法規不同，因此雲供應商可將資料存儲在某一事先確定的地區(比如，歐洲經濟區);遵從此地的資料轉出法規。 採用這一方法，資料可不斷地從這一供應商的歐洲伺服器中進行轉移，而不會出現從規問題，因為資料被存儲在特定的經許可的區域。

2、資料安全

資料安全和資料保護通常是外包計畫中主要關注的問題。 外包協定計畫精確設定了供應商必須採用的安全管理技術。 這些安全管理計畫的開展是由敏感性資料(個人資料或財政資料)保護規則推動的。 如何採用外包雲計算解決方案對其進行控制?思科公司的CEO說雲計算兼職如同一場資料安全的噩夢，並且無法用傳統方式對其進行控制。 對於大多數公司，對包含敏感性資料或秘密資料的應用軟體實施外包雲計算，資料安全和資料保護是最大障礙。

有了ASP、電信傳輸、Service Bureau協定，雲計算協定將逐漸成為單向的，且協商起來較為困難。 比如，一份線上的雲供應商合同是無法協商的，並且相當偏向供應商：供應商對資料安全不負任何責任;使用者對資料的安全、保護和備份負全責;對所有未授權訪問、使用、毀壞、刪除和損失的任何資料，供應商也不負任何責任。

因此，與雲供應商簽訂外包合同需要更認真仔細，少包含術語和條件。 使用者應關注外包雲計算解決方案是否保證了資料合規，最終，使用者將依賴供應商提供的解決方案文本，並認為已確保合規(無論是直接——比如採用銀行或醫療軟體;還是間接，比如詮釋特定的資料存儲地點)。 結果是，供應商沒實現使用者資料處理過程的合規即為服務失敗，可被認為是未能遵循服務說明，需要依照合同進行賠償。

跟任何外包計畫一樣，回顧供應商的解決方案以決定對於資料訪問的控制，這是一個關鍵步驟。 這一供應商解決方案是否實現了對企業資料存取權限的限制，是否實現了對訪問者的監控(這樣你可知道誰在何時訪問了哪些資料)?哪些規範需要加密?資料歸檔的頻率?是否所有的應用軟體和軟體進行了最新的安全升級? 安全水準協定是否包括這一條款：安全系統的維持情況是一個性能參數。

3、更換供應商

採用外包雲計算服務必須考慮到的另一個風險是:在外包服務終止前確保業務連續性(business continuity)。 大多數外包協定都商定了退出計畫及轉移服務，這包括：將某一格式的資料(可被另一供應商或企業內部解決方案利用)進行轉移。 特定的雲服務協定不包含這些問題的處理條款。 比如，線上雲供應商協定允許供應商在任意時間中止協定，且沒有保持資料的責任。 至多，協定承諾不會在三十天內有意清除資料。 你必須與供應商就終止服務的問題進行協商，內容包括：將資料轉移到另一供應商或企業內部，同時你應該確保資料定期轉移到備份供應商那裡，以保證在災難事件發生時業務的連續性。

4、其他風險

外包雲計算解決方案的風險有很多與其他外包解決方案相同，但是這些風險很難通過協定進行轉嫁。 比如，外包意味著將服務水準的測量和報告工作轉給供應商，依靠供應商的基礎設施來發送關鍵性能資訊。 在雲解決方案中，定制空間更小。 相似的，除非進行精確的外包條款協商，一旦出現問題或合作關係解除，大多數供應商給使用者的賠償數額不足。 而相對傳統的外包協定，雲合作協定所提供的談判空間很小。 但是雲外包的價格卻很有誘惑力。

二、建議

因為企業對資料的控制負有責任，因此必須確保企業的雲供應商從規。 以下是在實施外包雲計算時，一些有用的資料保護措施：

確定是否外包雲計算適合你的應用軟體。 如果包含有敏感性資料，則不適宜外包。

在將資料發到雲系統之前進行加密。 業內專家認為這是減少潛在風險的好方法。

控制資料訪問。 確保供應商限制了資料的訪問者，並確保了訪問者被監控。

銘記e-discovery責任和迅速獲取供應商電子記錄的需求。

遵從所有必須遵從的規則。 因為你的企業必須承擔所有不遵從資料保護法規而引發的問題。 必須明確企業資料的存放地點，雲供應商必須給你提供這一資訊，這樣就可以自檢是否存在從規風險。 如果供應商未告知你資料的存放地點，那麼不該發送任何敏感性資料。

可能的情況下，控制資料的存放地點。 這是確保供應商(更深層次說，對於使用者同樣如此)遵從資料安全法規的最好辦法。 限制雲供應商對資料集存放地點的決定權。

通過合約條款來要求供應商更新其保護系統，以實現與業內最佳實施策略相一致。

制訂適宜的災害復原和業務連續性計畫。 要求供應商對你的企業資料進行存檔，這樣在系統崩潰時仍可訪問資料。

由非雲供應商的另一方對定期你企業的資料進行備份和/或存儲。

利用技術和從規審計來確保資料安全及系統的完整性。

在協約終止時，資料傳回或供應商備份的流程清晰。

靈活地控制與外包雲計算供應商之間關係，利用服務水準來保證供應商從規。

(責任編輯：蒙遺善)