运维管理云安全的挑战

过去几年，云计算的兴起一直都是科技领域的热门话题。而随着全球经济陷入衰退，公司控制成本的需求与日俱增，是否将业务流程通过“云”进行外包成了管理者们愈发关注的话题。这种趋势下，“无论是作为实时联网工具，还是作为应付经济衰退的措施，云计算的运用都在增长”，Strategy Analytics最新的一份报告指出。而根据埃森哲的预计，2013年，中国的云计算市场将达到1174亿元人民币，正处于快速扩张之中。
众所周知，“云”从字面意思来看，意味着云一般宽广、舒适的存储空间，可以实现计算能力、服务和应用的共享。对企业而言，外包意味着一家公司能以远低于自行管理时的成本实现业务流程的“最优化”——如果能把电子邮件的管理外包出去，公司有什么理由在有限的办公室内配备许多嗡嗡作响的电子邮件服务器，并配备一批技术维护团队呢？
在埃森哲大中华区信息技术服务董事总经理丁宝洛(Paul Dean)看来，中小企业是云计算服务最合适的用户群。采用这项服务后，中小企业无需再自行预置系统，而是可以从市场上购买现成的关键业务流程服务。“这样一来，企业的采购、财务及CRM等领域都可以纳入云计算的系统，而不会在资产负债表中体现公司购买了多少硬件。”这一点在经济萧条时期尤其重要。
即便降低了成本，外包真的是一个好主意吗？尽管云计算服务正在迅猛增长，但谷歌、微软、亚马逊和IBM等巨头都知道，它的前行并非畅通无阻。毕竟，决定是否外包一项业务流程，还需要考虑技术外的诸多因素。
首先，企业实施的云计算是现有系统和跨平台运用的集成，“现有系统能否结合云上的应用进行正常运转是一大挑战。”丁宝洛指出。将现有系统迁移到云计算上，其迁移成本、实施周期以及技术的成熟度，都是必须解决的问题。许多CIO还担心，花费大量预算和精力部署的云计算只是昙花一现，很快又会被其他新技术替代。
在此基础上，公司还必须对内部的数据处理能力进行预测和管理，从而决定在基础设施方面投资多少。尽管“云”是处理大数据的最有效方法，但如果在公司内部部署了全部处理能力，业务低谷期时就可能导致处理能力过剩，使公司付出高昂代价。此外，如果公司外包的业务流程环节较多，并分别采用不同的供应商，那么保持系统的一致也会变为挑战。
相比之下，更为关键的仍然是“云安全”的问题。一家IT供应商或许能为你提供非常合适的云应用，公司和机构也能从云处理能力中获益，但你愿意把最珍贵的资源——客户数据交到外部的供应商手中吗？公司的数

据是否会和其他公司的数据混在一起？另外，如果这家IT供应商关门大吉了，公司的数据会受到怎样的影响？
换言之，服务商是否诚信可靠，直接关系到客户的机密资料是否会被丢失或泄露。然而，云计算服务商和用户之间的信息并不对称，一方面，正是出于解放和优化自身IT资源的初衷，企业将IT计算和服务外包给云服务提供商，所以自身几乎没有足够的资源去洞察IT服务商的“云”细节。另一方面，IT服务商出于自身商业机密的考虑，也无法将“云”中的关键信息全面呈现给用户。于是很多情况下，采用云计算的公司出于安全考虑都必须保留对数据的控制权。
“从传统的IT领域进入云计算领域，等于进入了一个全新的世界，这里面牵扯到各种数据和多个供应商。放在云里的数据如何得到保护，很自然地会成为问题。”丁宝洛称，“它不仅是技术问题，还涉及到政策、系统、监管、信任等诸多方面。”尽管人们越来越熟悉云计算，也更愿意通过云服务开展他们的业务，但对于云安全仍然存在着许多模糊。就中国市场而言，尽管政府对云计算投入了大量的资金和政策支持，但目前尚未有关于云计算运营的相关法律法规出台。对企业来说，一旦数据出了问题，又无法对最终的责任进行追究，那么将造成无法想象的损失。
“这就是为什么我们建议企业在云计算环境下设置首席安全架构师一职。”丁宝洛称。过去的危机补救方式往往是事后的，而现在要转向主动性的管理。首席安全架构师应该全面统筹与“云安全”相关的方方面面，“不仅要跟踪解决方案本身，而要从信任、监管、政策等角度综合评估风险。”只有这样，公司才不会在未来可能的大规模IT事故前，被动地采取应对措施。