云計算安全的共識、共鳴和挑戰
不言而喻，云計算仍是一個迅速變化的領域，要么保持在最前沿，要么落后。2010年10月18號，工信部和發改委共同發文將云計算和虛擬化寫入“十二五”的戰略規劃，確定在北京、上海、深圳、杭州和無錫五個城市先行開展云計算服務創新發展試點示范工作。遠看，我們需要抓住云計算所帶來的機遇，持續并快速的改變思維，優化流程、找尋方法、變革技術；近看，遷移到云計算的過程，為我們提供了新的契機，來重新審視和謀劃現有的基礎設施、應用等與業務的關聯性。不論是遠謀還是近思，云計算與任何新概念和技術一樣，它會帶來新的機遇，也將創造新的風險，不可預期的安全風險甚至會超過企業當前的安全需求。在你思考選擇是否選擇云計算的時候，安全的位置和憂慮到底是怎樣的？本文將通過我們的所見所聞，與你共同探討云計算安全的問題，以期所思所想與大家共鳴。
共識：云計算是安全機遇
不論是廣義的云計算安全，還是狹義的云安全。目前普遍的共識是云計算是安全技術創新和發展的機遇，在云計算還未像今天如此火爆的時候，狹義云安全的定義就已經風生水起，成為安全廠商展現自身安全技術系統、架構領先性的舞臺。借助云的概念，安全廠商自身技術和架構的可信、規模、積累、對服務模式的思考等，就成為了他們經常掛在嘴邊的關鍵詞。產業也在經歷了云計算是安全的災難，還是安全機遇彷徨之后，意見逐漸趨同。雖然安全目前依然是擺在企業跨入云計算環境的首要擔憂之一，但云計算給安全所帶來的機遇，已經是產業和廠商的共識。
共鳴：信心和耐心為云計算卸下包袱
不論是選擇云服務，構建私有云，還是將現有基礎設施遷移到云。首先需要對這一新興技術概念抱有信心，從2010到2011年的很多報告顯示，由于安全問題，眾多的企業對云計算持謹慎態度，但對云對安全的態度正在發生變化。2010年Harris調查顯示，超過81%的用戶擔心云服務的安全性問題，普遍認為云計算缺少安全性。而到了2011年，眾多的調查報告顯示，企業開始對云計算選擇的比例呈上升勢頭，賽門鐵克《云端現狀調查》報告顯示，88%的受訪者有信心邁進云計算而不會影響信息安全，雖然只有很少比例（15%-18%）認為已經做好過渡到云的準備，雖然說多做少，但根據這份調查報告顯示，譬如企業選擇郵件安全、IM安全等安全云服務的比例要多于其他云服務，從對安全的擔憂到現在的安全性預期的評估，安全造成企業對云計算呈謹慎態度的局面正在改觀。
還有眾多的云計算調查報告的數據，也顯示出企業對云計算的鐘情。雖然安全的擔心仍然存在，但云服務的效能、可用性、評估預期、IT部門對系統的控制權是否會導致崗位流失等更多的隱憂正在浮現，安全從云計算誕生就背上的包袱和陰霾正在被驅散。
同時云計算不可能一蹴而就，所以企業和整個產業都要有耐心走好這個過程，從整個行業進展情況來看，可能很多企業都要花多則6-7年，少則3-5年來過渡，而目標也不是簡單的將數據中心搬到公有云或變成私有云。同樣之于安全，云計算的技術架構，平臺，終端計算，每個層次都不能忽視安全，每個層面都有安全，包括管理也需要安全，安全不是支離破碎，不是某一個環節把安全考慮好了就一勞永逸。所以需要從各個層面看現有架構走到安全體系的階段，包括傳統組件，基礎架構，技術應用，開發等，當新的應用方式出現的時候，都是對安全的巨大挑戰，如果不能很好的處理將帶來不可預期的后果。比如新老應用，與云與現有安全架構的兼容性問題？數據在云端和本地的風險和合規問題是完全不同的？遷移策略是怎樣的，遷移過程中，安全策略如何掌控動態變化？虛擬化打破了物理的硬性綁定，流動的數據和應用，安全如何考慮？
共鳴：安全責任歸屬發生的改變
根據CSA云安全聯盟發布的《云計算關鍵領域安全指南》對云計算安全的定義，云計算中安全控制的主要部分與其他IT環境中的安全控制并沒有太大的區別，但是根據企業采用的云服務模型、運行模式以及提供云服務的技術，與傳統IT解決方案相比云計算可能面臨不同的風險。
如上文所述，企業對云計算安全的謹慎態度，已經隨著云的逐步深入，轉嫁到其他方面的擔憂，比如云的效能，可用性等。。云計算的重要吸引力之一就在在于經濟上的可擴展性、標準化提供的成本效率，為了支撐這種成本效率，云提供商提供的服務和解決方案必須足夠靈活，以服務最大可能的用戶數、最大化企業的市場，而安全集成到這些服務方案中將使得方案變得僵化。雖然安全只是使得云服務僵化的原因之一，但與數據和信息的所面臨的風險相比，安全的集成必不可少。所以明確的可糾責性，清楚企業安全現狀的成熟度，就是有效安全控制的級別等就顯得格外重要了。
CSA聯盟給出的安全責任根據云服務模式劃分為：在SaaS環境中，安全控制及其范圍在服務合同中進行協商，服務等級、隱私和符合性等也都在合同中指出。在IaaS中，低層基礎設施和抽象層的安全保護屬于提供商職責，其它職責則屬于客戶。PaaS則居于兩者之間，提供商為平臺自身提供安全保護，平臺上應用的安全性及如何安全地開發這些應用則為客戶的職責。
共鳴：私有云與公有云誰更安全
首先要清楚公有云和私有云的定義，公有云由云服務供應商提供，其云基礎設施、平臺或應用為公眾或企業提供服務。私有云的基礎設施、平臺和應用只為企業運行和服務，由企業自身負責管理。當然企業也可以在自建私有云的同時，一些業務也可以選擇公有云服務提供支撐，這就是混合云的概念了。
簡而言之，私有云是在企業內部署的，有明確的邊界，我們是否就可以認為私有云就更加安全呢？正如CSA對云計算安全定義的那樣，其實云計算安全控制的主要部分與傳統IT環境的安全控制沒有什么區別。更寫實的理解，公有云供應商來維護其云環境的安全，只是其為公眾提供云服務，私有云是企業維護自身云的安全，為自己提供云服務而已。他們共同面對的安全問題都來自云計算的特性，即虛擬化所提供的動態性，意味著即便是私有云，如果云環境的一個虛擬機存在安全威脅，那么虛擬機間的通信就會存在安全威脅，那么企業傳統安全架構和防護措施可能就會被輕易越過，那么企業私有云安全邊界是需要動態的變化，還是像傳統安全邊界一樣面臨挑戰？
同時，企業正在不斷提升其安全系統的級別，即高級安全系統的構建。那么這樣的系統需要可信，基于信譽，智能感知，背景感知，自動化管理，對安全策略的動態部署等等。簡言之，完全打破人工對安全的更新、維護、管理，盡量節約人工成本。那么問題就出現了，滿足云的安全自動化的能力與目前企業的人工安全實踐并不匹配，企業是該牽強的附和云的自動化要求，強上安全自動化，還是等待技術進一步完善，在安全與云基礎設施完全匹配前，平衡更多的條件和因素？據筆者了解，在未來發布的新版本《云計算關鍵領域安全指南》中，將有專門的主題，討論企業私有云安全的內容。
再看公有云，在《云計算關鍵領域安全指南》V2.1中。所涉及的云計算安全的內容范疇大多數與公有云的安全有關，正如前文所提到的不同云服務模式的職責分配。企業可能會問既然選擇了公有云服務，為什么還要對云環境承擔責任，甚至依然倔強的認為私有云比公有云在安全方面更具優越性。坦率的說，如果企業決定選擇公有云的服務，那么首先要充分信任云供應商的安全防護技術和能力，并與供應商明確各自控制范圍的安全范疇，并盡最大可能將企業本身需要維護的安全內容做到完善；而不是當面對公有云的時候，模糊職責范圍，不去履行企業自身應盡的責任。
總結一下，私有云即使在企業控制范圍內，如果使用不善，依然面臨安全威脅的挑戰，公有云如果與供應商一起，通過合理的職責劃分和合作，也能達到更好的安全性。
在《云計算關鍵領域安全指南》V2.1中，指出了12個關鍵領域的云計算安全控制范圍，分為治理和運行。治理部分包括：治理和企業風險管理，法律和電子證據的發現，合規和審計，信息生命周期管理，可移植性和互操作性。運行部分包括：傳統安全、業務連續性和災難恢復，數據中心運行，事件響應、通告和補救，應用安全，加密和密鑰管理，身份和訪問管理，虛擬化。并給出了詳細的治理和運行建議。
挑戰：云計算安全與傳統安全的異同和挑戰
為什么我們說云計算安全與傳統安全區別不大？現在就來看看他們的異同。相同點：第一目標是相同的，保護信息、數據的安全和完整；第二保護對象相同，保護計算、網絡、存儲資源的安全性；第三采用的技術類似，比如傳統的加解密技術、安全檢測技術等。不同點：比如云計算服務模式導致的安全問題，虛擬化帶來的技術和管理問題等。
那么云計算安全會面臨哪些安全威脅挑戰？主要來源于技術、管理和法律風險三個方面。挑戰包括：
1.數據集中，聚集的用戶、應用和數據資源更方便黑客發動集中的攻擊，事故一旦產生影響范圍廣，后果嚴重。
2.傳統基于物理安全邊界的防護機制在云計算的環境難以得到有效的應用。
3.基于云的業務模式，給數據安全的保護提出了更高的要求。
4.云計算的系統非常大，發生故障的時候，如果快速的定位問題的所在，挑戰也很大。
5.云計算的開放性對接口安全提出新的要求。
6.管理方面，挑戰在于管理權方面，云計算數據的管理權和所有權是分離的，比如公有云服務方面，是否給供應商提供一些高權限的管理；還有就是在企業和服務提供商之間需要在安全方面達成一致；還有就是在協同和管理上的一些問題。比如發生攻擊時的聯動，對運營管理的模式提出了一些要求；還有監管方面的挑戰等。
7.在法律風險方面主要是地域性的問題。云計算應用引發了地域性弱，信息流動性大的特點，在信息安全監管、隱私保護等方面可能存在法律風險。
總結
虛擬化和安全是伴隨云計算概念誕生相關性最緊密的兩項技術，而二者也是緊密聯系的，虛擬化給安全重新思考和構建的天然條件，反之安全技術對虛擬化動態的保障可加速其部署和企業接受的步伐，他們都將大大促動云計算的高速發展。如果說云計算的熱潮中，哪項技術是最冷靜的，首推安全。正是因為產業，用戶近乎苛刻的擔憂，讓云計算安全的發展很務實，也很踏實。不管企業和用戶對云計算的接納程度，是急需云的效果，還是安全確實讓企業放心了，現實情況是云計算安全的成熟度還有很大的距離，套用一句成語“云計算尚未成功，安全仍需努力。”
【編輯推薦】
