面向首席信息安全官的“云策略”指南

客户世界 | 2015年7月13日 | 文库 | 评论已关闭 | 1002

||2010-03-04

“云计算”既可能是一个被炒作过头的、注定让人费解的术语，也可能是未来信息技术最美妙的前景，这完全取决于您谈话的对象。尽管当前对于“云”这个概念确实存在着太多的炒作，我们仍然坚信时间会证明这些宣传的价值。那些被委以制订IT策略或保护本机构的信息资产这类重任的人员，有责任对云计算采取谨慎使用的态度。不过这个云技术和其商业模式的春秋时代，也为您开启了一扇至关重要的机会之门，供您制订从“可信云”中获取最大利益的策略。

要理解为什么云计算是一个既意义重大，又混乱不堪的趋势，我们必须对云计算的定义有一个最基本的了解。从最高层的意义上讲，云计算代表了从以基本建设费用购买软硬件进行过渡计算，到按照需求以营业预算来“租用”工具式服务这一不可阻挡的转变。云计算的内涵在于，多余的计算资源能够进行动态分配，因此企业可以通过只购买那些需要的计算服务来杜绝浪费。这种动态作用提供了全新概念的业务灵活性，因为随着时间的推移，企业将能够把“即时生产”的概念应用于计算工作。事实上这还算不上一套理论，但一些只能在传统计算方面进行有限投入的中小型企业已经积极采用了云计算，并且对于较大的企业形成了竞争压力，迫使他们同样采取云计算方法。

国家标准与技术研究院（NIST）制订了一套广泛采用的术语用于描述云计算的各方面内容。 NIST针对“云”定义了三大交付模式，称为S-P-I model模式：软件即服务（SaaS），即将整个商业应用作为一项服务来提供；平台即服务（PaaS），允许在云中进行快速应用开发；架构即服务（IaaS），即将简单操作系统（OS）和储存功能作为一项服务来提供。NIST进一步定义了云计算的四大配置：公共云，即面向广泛客户群的互联网接入服务；私有云，针对单个机构进行配置；社区云，针对供应链这类有限数量的，彼此相关的组织设计；混合云，以上三种配置模式的任意组合。

为了将云计算作为一种低成本工具来提供，云服务供应商必须掌握一些管理方面的问题以形成规模经济。诸如虚拟化这类技术可以用来获取一切可能的CPU周期和空余磁盘空间。此外还设计了一些新的管理工具来实现客户供应和资源分配的自动化。为了创建高效的规模经济，将不可避免地导致许多客户的数据和其他资产在共享的硬件平台上相互混杂，而这些数据和资产只是用一些新的，往往未经验证的逻辑控制方法进行区分。另一个主要的，可能也是最为深远的影响是，实现这种经济效益的新技术架构本身就是一种新的应用开发平台。在计算中很少出现重大的平台转换。软件在云中得到革新，而新的软件则革新了商业运作方式。

尽管很难反驳这种云计算的趋势，我们仍有理由对移植云计算的时机选择提出质疑，尤其是针对一些非常敏感的信息和关键任务过程。这往往意味着某个机构在风险管理实践的指导下，按照一套独特的标准在一段时期内作出一系列的决策。然而还有一种情况是，外部因素促使一个机构作出这类决策。比如某个生意伙伴要求云计算。毫无疑问的是，某些时候一些软件公司会促使或者强烈建议他们的客户支持云服务这一更为经济的平台。新的创新应用将只存在于云中。基于以上原因，首席信息安全官们应当努力了解这些问题以及这些问题同他们工作之间的联系。首席信息安全官们不仅能够制订确保云应用的策略，更重要的是，他们能够真正地影响到云计算产业的走向和云服务供应商所提供的各种功能。仅仅坐等云技术的成熟是远远不够的。同我们交流过的许多首席信息安全官都在花时间让云服务供应商熟悉他们的企业级要求，如服务水平协议（SLAs），法规遵守问题，特定地区的监管问题等。云服务供应商们现在就把企业功能集成到服务中，比到企业完成转变以后再去修改这些服务要容易的多。

以下信息资源能够协助您确定云计算策略。欧洲网络及信息安全局（ENISA）制定了“云计算风险评估”规范，耶律哥论坛有“云立方计算模式”，而云安全联盟（CSA）发布了“云计算重点关注区域安全指导”，涵盖13个关注的领域。几乎所有的案例中都包括以下关键问题：

·法规遵守：云服务供应商保证使客户遵守各种规定和标准，如PCI/DSS、HIPAA、违约情况通报方面的法规以及欧盟数据保密法令等等。

·数据管制：确保客户数据有适当的技术防护措施，得到合法的保护，并能够按照客户要求供客户使用或返还给客户。

·可移植性及互用性：确保客户对包括私有云在内的任何云的投入均能移植到其他云并能与其他云实现最大程度的互用，以保护客户的投入并确保关键服务的可用性。

·身份和接入管理：允许客户在SaaS服务供应商中的成熟的IAM框架与其他云服务之间作出平衡，以便在遵守法规的同时保持广泛的系统和应用控制功能。

针对各个云服务供应商的独立认证是显示企业遵守各种安全要求的必然结果。各种机构永远都有必要针对云服务供应商规定适当的行为准则并进行严格的供应商管理。不过要以适当频率的、极其仔细的审计措施来完全消减所有风险并不现实，供应商也没有能力接待所有客户审计员。适当的认证能够从某种程度上保证云服务供应商方面能够有一个合理的安全基线，同时反映客户必须证明其遵守的各种规定。从云服务供应商的角度来看，在数量较少，但较为严格的认证上进行投资，比响应大量的审计要求要划算一些。如果某个机构确实需要进行审计，则专门对经过认证的供应商进行审计会更加高效和简洁，因为这往往能够缩小审计的范围。许多首席信息安全官都越来越关注一些设立上述认证的标准机构，他们认为这些机构目前过度为以供应商为中心。

今天，首席信息安全官们不但有机会去调整那些适用于云服务供应商的标准和认证，还确保这些标准和认证的特点能够满足他们各自工作的要求。事实上云服务供应商也希望去了解商业和法规遵守方面的需求。无论是构建私有云、尝试使用公共云、甚至是将公共云用于生产应用，首席信息安全官们都不会再有如此好的机会传达他们的需求并将安全嵌入到云服务中了。