云時(shí)代所面臨的云安全問(wèn)題

云應(yīng)用時(shí)代的到來(lái)

經(jīng)政府主導(dǎo)和運(yùn)營(yíng)商1年左右的基礎(chǔ)架構(gòu)建設(shè)，云服務(wù)距離我們已經(jīng)很近了。從搜索引擎上檢索SaaS OA或SaaS ERP，立刻可以獲得到大量服務(wù)供應(yīng)商信息，一般都提供諸如OA、CRM、HR、DRP等標(biāo)準(zhǔn)應(yīng)用模板，每月收取很少的費(fèi)用，從幾百到幾千元不等，有些甚至免費(fèi)的服務(wù)。打開(kāi)這些服務(wù)供應(yīng)商的主頁(yè)可以看到不少用戶(hù)案例，其中以中小型企業(yè)、教育分支機(jī)構(gòu)等居多。

安全是一切的前提

“使用IT就像打開(kāi)龍頭使用自來(lái)水一樣方便，又何必自己去建造水廠(chǎng)！”這句話(huà)是不少云服務(wù)供應(yīng)商向用戶(hù)介紹其服務(wù)時(shí)的開(kāi)場(chǎng)白。不過(guò)，如果有位用戶(hù)剛經(jīng)歷了在炎熱的夏天突然被告知要斷水，又或者是水廠(chǎng)供應(yīng)的水質(zhì)出現(xiàn)了問(wèn)題，那他對(duì)這句話(huà)可能就不會(huì)這么認(rèn)同了。

服務(wù)水平協(xié)議和安全性同樣是妨礙用戶(hù)應(yīng)用云服務(wù)的最主要原因。在IDC的報(bào)告中顯示有2/3的用戶(hù)將安全問(wèn)題作為選擇SaaS時(shí)的首要考慮因素。對(duì)于最有可能應(yīng)用到云服務(wù)的中小企業(yè)而言，服務(wù)水平可能尚在其次，畢竟服務(wù)的中斷可以通過(guò)手動(dòng)或其它方式來(lái)彌補(bǔ)。但安全性方面的威脅是無(wú)論如何不能被接受的，畢竟諸如客戶(hù)資料，財(cái)務(wù)信息，抑或研發(fā)源代碼等核心資料的泄漏會(huì)給企業(yè)造成無(wú)法估量的損失。

潛在的安全風(fēng)險(xiǎn)和對(duì)策

客戶(hù)端安全：在傳統(tǒng)的客戶(hù)端風(fēng)險(xiǎn)威脅防護(hù)中，所有的威脅檢測(cè)在客戶(hù)端內(nèi)部完成。防護(hù)不當(dāng)?shù)目蛻?hù)端受到的安全風(fēng)險(xiǎn)較大；而防護(hù)較好的客戶(hù)端受到的安全風(fēng)險(xiǎn)較小。但在云環(huán)境中，客戶(hù)端安全存在著明顯的木桶效應(yīng)，企業(yè)的整體客戶(hù)端安全水平受限于安全防護(hù)度最低的那一臺(tái)主機(jī)，并且由于客戶(hù)端之間互為獨(dú)立阻隔了威脅檢測(cè)結(jié)果的共享，可能造成已經(jīng)檢測(cè)出的威脅仍會(huì)對(duì)企業(yè)造成影響的情況發(fā)生。其實(shí)云服務(wù)供應(yīng)商在這一領(lǐng)域可以為企業(yè)提供更多的統(tǒng)一威脅策略管理，由企業(yè)客戶(hù)端將所有可疑風(fēng)險(xiǎn)傳遞到云端處理。

傳輸鏈路安全：現(xiàn)在大多數(shù)云服務(wù)通過(guò)VPN進(jìn)行訪(fǎng)問(wèn)，以確保企業(yè)數(shù)據(jù)在傳輸過(guò)程中的安全，以及數(shù)據(jù)的受控存取。但嚴(yán)格的身份認(rèn)證或更高級(jí)別的數(shù)據(jù)傳輸加密方式，如加密機(jī)，還少有應(yīng)用。電子證書(shū)安全認(rèn)證、動(dòng)態(tài)口令等身份識(shí)別機(jī)制一方面可以防止非法入侵訪(fǎng)問(wèn)，對(duì)云服務(wù)提供商而言，還能夠?qū)��?shí)現(xiàn)用戶(hù)操作的不可抵賴(lài)性，為可能存在的司法風(fēng)險(xiǎn)提供電子證據(jù)。

云端安全：數(shù)據(jù)存儲(chǔ)和容災(zāi)對(duì)于企業(yè)而言是至關(guān)重要的一個(gè)環(huán)節(jié)。在云環(huán)境下，服務(wù)供應(yīng)商在高度整合的磁盤(pán)空間中劃分出一塊塊邏輯空間給到不同用戶(hù)。但用戶(hù)并不清楚自己的數(shù)據(jù)存在于何處，在哪些設(shè)備上，是否有嚴(yán)格的數(shù)據(jù)隔離措施，同時(shí)還存在第三方機(jī)構(gòu)的數(shù)據(jù)審計(jì)和合規(guī)規(guī)范方面的問(wèn)題。更重要的是，企業(yè)如何確保云服務(wù)商不會(huì)竊取自己的賴(lài)以為繼的數(shù)據(jù)。目前的云服務(wù)供應(yīng)商大多通過(guò)引薦同類(lèi)客戶(hù)、自身各種資質(zhì)來(lái)證明所提供的服務(wù)的安全可靠，但仍缺乏技術(shù)層面的數(shù)據(jù)分權(quán)掌控機(jī)制，將數(shù)據(jù)的訪(fǎng)問(wèn)授權(quán)通過(guò)多方共同控制。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]