云計算以其廉價(jià)、快速、彈性、共享等特性受到越來(lái)越多企業(yè)的青睞，但來(lái)自于許多專(zhuān)業(yè)調研機構的報告都顯示用戶(hù)采用云計算的最大顧慮是云計算的安全問(wèn)題。眾多企業(yè)都認為云計算的“資源共享”會(huì )涉及很大的安全問(wèn)題。
中國醫藥集團信息化專(zhuān)家組組長(cháng)、信息部主任雷萬(wàn)云博士曾經(jīng)在一篇文章中指出，任何信息化建設都存在著(zhù)安全問(wèn)題，安全問(wèn)題在云計算產(chǎn)生之前就存在，沒(méi)有必要單獨把這個(gè)問(wèn)題擴大化。并給出了建議：“對于企業(yè)私有云，在傳統的信息安全管理技術(shù)基礎上，再利用一些新發(fā)展的云安全技術(shù)是完全可以的，因為整個(gè)運作是在企業(yè)的防火墻以?xún)鹊摹６鴮性疲w安全情況則需要逐步完善。各方逐步完善、規范SLA服務(wù)等級協(xié)議來(lái)確保用戶(hù)的利益得到保障。”
談及IT系統安全，通常會(huì )想到諸多設備。但對于企業(yè)來(lái)說(shuō)實(shí)質(zhì)上的需求是“業(yè)務(wù)安全”，不是設備，也不是軟件或其他什么服務(wù)。企業(yè)真正需求的應該是能理解業(yè)務(wù)，并將安全與業(yè)務(wù)相融合的業(yè)務(wù)安全管理運維。而如身份認證、安裝補丁、漏洞掃描、系統評估，配置核查等，乃至對相關(guān)安全事件的響應等等均是其中的實(shí)現方式。而目前這些實(shí)現方式卻占用了企業(yè)大部分精力，使企業(yè)沒(méi)有精力去規劃業(yè)務(wù)和安全策略的融合。
移動(dòng)化、云計算這些技術(shù)趨勢使企業(yè)的IT系統越來(lái)越復雜。業(yè)務(wù)創(chuàng )新性和精細化等需求也直接影響著(zhù)作為支撐業(yè)務(wù)的IT系統發(fā)展，因此面對的安全問(wèn)題也越來(lái)越多。
與傳統IT環(huán)境安全比較，云計算特有的安全問(wèn)題主要有三個(gè)方面。
第一是虛擬化環(huán)境下的技術(shù)及管理問(wèn)題。傳統的基于物理安全邊界的防護機制難以有效保護基于共享虛擬化環(huán)境下的用戶(hù)應用及信息安全。另外就是，云計算的系統如此之大，而且主要是通過(guò)虛擬機進(jìn)行計算，一旦出現故障，如何快速定位問(wèn)題所在也是一個(gè)重大挑戰。
第二是云計算這種全新的服務(wù)模式將資源的所有權、管理權及使用權進(jìn)行了分離，因此用戶(hù)失去了對物理資源的直接控制，會(huì )面臨與云服務(wù)商協(xié)作的一些安全問(wèn)題(主要是信任問(wèn)題)，如用戶(hù)是否會(huì )面臨云服務(wù)退出障礙，不完整和不安全的數據刪除會(huì )對用戶(hù)造成損害，此外，如何界定用戶(hù)與服務(wù)提供商的不同責任也是很大一個(gè)問(wèn)題。
第三，云計算平臺導致的安全問(wèn)題。云計算平臺聚集了大量用戶(hù)應用和數據資源，更容易吸引黑客攻擊，而故障一旦發(fā)生，其影響范圍更多，后果更加嚴重。此外，其開(kāi)放性對接口的安全也提出了一些要求。另外，云計算平臺上集成了多個(gè)租戶(hù)，多租戶(hù)之間的信息資源如何進(jìn)行安全隔離、服務(wù)專(zhuān)業(yè)化引發(fā)的多層轉包引發(fā)的安全問(wèn)題等。
在安全防護體系上，需要構建包括底層架構安全(通過(guò)完善、規范服務(wù)器虛擬化安全、網(wǎng)絡(luò )虛擬化安全、存儲安全、高可用性要求以及虛擬化安全管理相關(guān)配置要求，構建邏輯安全邊界，保障虛擬環(huán)境安全。)、基礎設施安全(完善對底層資源的調度和分配機制，防止用戶(hù)對底層資源的過(guò)度占用;引入沙箱隔離技術(shù)，實(shí)現不同應用程序間的相互隔離)、運營(yíng)管理安全(通過(guò)動(dòng)態(tài)的安全環(huán)境來(lái)提高他的安全性)、信息安全層面(通過(guò)數據的隔離，加密傳輸，加密存儲這些技術(shù)手段為用戶(hù)提供端到端的保護)。
既要面對日益增多的安全問(wèn)題，又要去理解業(yè)務(wù)以制訂更好的融合管理策略，企業(yè)IT部門(mén)該如何應對？目前有許多廠(chǎng)商提出以SaaS的形式去解決安全問(wèn)題。把很多復雜性工作交給服務(wù)供應商去解決，以使企業(yè)的IT安全管理人員有更多的精力去理解業(yè)務(wù)。
SaaS云安全模式為中小企業(yè)安全防護提供了一種新選擇，SaaS云安全服務(wù)是通過(guò)云服務(wù)方式把安全保護的能力提供給企業(yè)。對用戶(hù)企業(yè)而言，這種類(lèi)似租賃的模式省下了很多軟硬件購買(mǎi)成本，并能實(shí)現即時(shí)按需的保護。并且解決了很多中小企業(yè)因為專(zhuān)業(yè)人員和資金的缺乏而無(wú)法實(shí)現有效的安全防護。
尋求專(zhuān)業(yè)的云安全服務(wù)商，設計出符合企業(yè)自身業(yè)務(wù)特性的云計算安全計劃也是很有必要的。云計算不僅意味著(zhù)技術(shù)的變革，也是商業(yè)模式的變更。如何通過(guò)云來(lái)實(shí)現更敏捷的業(yè)務(wù)模式，將是企業(yè)成功的基石。
