云計算有許多重要的安全問題急需2009年解決，包括把服務委托給第三方后的隱私保護、防范木馬的攻擊等。
我們經(jīng)歷過大型機時代、分布式計算時代，然而，這些計算模式都沒有像今天的云計算這樣如此快速地走紅，受到了這么多人的關注。應該說，2008 年是云計算風行于世的一年，從中國到澳大利亞的多個亞洲國家都表現(xiàn)出了濃厚的興趣，波及多個行業(yè)的多個領域及各種規(guī)模的企業(yè)（從中小企業(yè)到超大規(guī)模）。
事實上，云計算的基本思路十分簡單: 由服務提供商的數(shù)據(jù)中心負責存儲過去一直保存在最終用戶個人計算機上或企業(yè)自己數(shù)據(jù)中心的信息，用戶通過互聯(lián)網(wǎng)遠程訪問這些應用程序和數(shù)據(jù)。基于云計算本身的特點，再加上最近由于信貸危機的爆發(fā)和全球經(jīng)濟持續(xù)衰退，眾多企業(yè)不得不壓縮包括IT預算在內(nèi)的各種預算，使得云計算的優(yōu)勢顯得更為突出: 云計算通過外包所有支持服務大幅度降低總擁有成本 (TCO)。由于設備采購成本都由服務提供商來承擔，因而可以降低與支持應用程序和數(shù)據(jù)存儲所需的IT設備的采購成本，包括服務器和PC 的成本。此外，由于減少了數(shù)據(jù)中心的空間占用，因而可以減少租金、電力和冷卻需求。另外還有一些隱形好處，比如從總體上簡化應用支持環(huán)境以及提供更好的伸縮性，允許企業(yè)根據(jù)經(jīng)濟形勢的變化決定服務的擴張或收縮。
云計算的風險
降低總擁有成本對于企業(yè)來說很有吸引力，但是，轉至云環(huán)境意味著要依靠第三方來提供服務，而且這種服務現(xiàn)在可能來自不同的地區(qū)，并且可能位于其他國家。委托第三方提供服務的風險可能很大，而且對一些企業(yè)來說這個步子可能邁得太遠了，很有可能風險比業(yè)務好處更大。同時，這種類型的服務也意味著使用者高度依賴廣域網(wǎng)設施，而廣域網(wǎng)成本的增加可能會減少部分成本節(jié)省，結果可能證明訪問一個集中式龐然大物的成本更高。因此，盡管云計算存在富有說服力的成功案例，但也伴隨著風險，與現(xiàn)有的標準臺式 PC 或自有數(shù)據(jù)中心模式相比，它可能不夠可靠。
那么，這對安全會有什么影響呢？我們首先從對保密性的潛在影響說起。用戶在多大程度上“擁有”這些數(shù)據(jù)？服務提供商有什么義務？把數(shù)據(jù)轉移到提供商的數(shù)據(jù)中心會提高安全性嗎？當然，安全是可以做到的。管理完善的數(shù)據(jù)中心不僅能夠確保數(shù)據(jù)的隱私性，而且還能確保數(shù)據(jù)不會受到毀壞; 進行適當檢查和核查、撰寫完善的合同與服務級別協(xié)議 (SLA) 可以確保保密性、完整性和可用性義務得到明確的定義和執(zhí)行，但是這不能消除對第三方的依賴性。而且，即使已經(jīng)有規(guī)范而且完善的合同，我們?nèi)钥赡芸吹皆S多失敗案例，而一旦失敗很可能意味著該企業(yè)必須重新啟用和補充各種關鍵應用基礎設施，以維持 Web門戶等系統(tǒng)的運行。
而且，在采用云計算的過程中還可能出現(xiàn)新的威脅。比如，對正在努力降低成本的企業(yè)，需要安全遠程訪問的家庭工作者可能會增加。因為不管是從總體擁有成本上考慮，還是企業(yè)在采用云服務后所能帶來的靈活性來看，這都是值得一試的。但是，隨著管理層將注意力轉移到落實“云”的好處上，在保證必要的安全性方面關注程度很有可能降低。這將出現(xiàn)重大風險，比如給黑客留下一些機會——他們通過尋找云環(huán)境內(nèi)的安全漏洞，來獲取對用戶社區(qū)和終端設備的未授權訪問。而且，由于數(shù)據(jù)和應用程序已經(jīng)實現(xiàn)了集中，他們的回報相當豐厚。黑客可以將這種權限用于其他惡意活動，例如身份盜竊以及破壞同一環(huán)境中存儲的其他數(shù)據(jù)等。
急需解決的云安全問題
為了應對這些威脅，政府政策需要如何改變？到目前為止，不少政府已經(jīng)注意到云計算，但是在允許其數(shù)據(jù)由第三方控制，特別是控制權的丟失意味著數(shù)據(jù)可能被轉移到其他國家方面，政府卻退縮了，過去的事實已經(jīng)證明政府機構對此極其敏感。
在目前的計算環(huán)境中，防范駐留在用戶PC上的病毒軟件發(fā)起的惡意攻擊是一個重大難題，當前的趨勢是業(yè)余黑客繼續(xù)演變?yōu)檫`法黑客。而云計算環(huán)境對違法黑客極具吸引力，因為云本身就是隱藏這類惡意軟件的更好場所！因此，我們可以肯定，2009 年木馬活動將會大幅增加，這些活動不只針對政府和國防承包商等大目標，而且也針對那些防守力薄弱的金融服務企業(yè)。部署云計算設備的企業(yè)將需要更詳細地了解這些類型的攻擊，特別是如何通過具有“零天”檢測功能的24（小時）×7（天）響應來檢測和拒絕這些攻擊。
受到感染的家庭用戶 PC 仍是要面對的一個問題，特別是在對等 (P2P) 模式下運行的更復雜的僵尸網(wǎng)絡。這些工具被偷偷地安裝在企業(yè)的 IT 基礎設施中，被黑客們遙控發(fā)起分布式拒絕服務攻擊。2009 年，我們有可能會看到更好的保護，希望可以擊敗這些攻擊。
此外，企業(yè)對協(xié)作和交換信息以幫助擊敗這些復雜木馬攻擊的需求強勁，與在金融服務業(yè)全面解決許多問題之前人們拒絕采用網(wǎng)上銀行相似，云計算需要一種協(xié)作方法來確保其安全性。
從法律的角度看，誰來負責物理和邏輯安全呢？如果有一個影響安全違規(guī)的嚴重業(yè)務，誰來負責？誰來買單？數(shù)據(jù)泄露是目前的一個重要問題，而且隨著 IT 系統(tǒng)越來越多地轉入云中，這種情況只會增加。歷史上，在解決這個問題方面，西方政府比亞洲政府表現(xiàn)得明顯更為主動。預計在2009年會有更多加強隱私保護的立法。
因此，云計算有許多重要的安全問題，比如在沒有真正明確保密性、完整性和可用性責任的情況下把服務委托給第三方，2009年需要解決這個問題。
此外，一旦 IT 管理者認識到 TCO并不像宣傳的那樣，而且在某些情況下可能根本就不對，他們就可能回到以前，也就是回到分布式計算機環(huán)境，在那里他們可以保留靈活性和管理安全性。而且，服務器的虛擬化勢在必行，這將帶來更廉價地改進IT系統(tǒng)，對最終用戶來說這些系統(tǒng)將具有更多的功能和更高的可靠性。
那么到2009年年底，云計算的位置在哪里？當然，它會降低那些簡單的 Web 應用的成本; 一些公司將會從服務銷售中賺取收入，但是政府及相關機構和行業(yè)將不會大規(guī)模轉移到云計算上。因為這意味著失去控制，特別是在數(shù)據(jù)存儲和處理的地點方面，兩者都是政府目前面臨的重要課題，比如英國稅務局的數(shù)據(jù)丟失、許多中國香港政府代理機構的信息安全違規(guī)等，這是最近兩個推動政府機構行為的例子。有針對性的木馬攻擊2009年有可能會繼續(xù)猖獗。我們希望，云計算并不意味著惡意攻擊更難以在我們的 IT 系統(tǒng)上檢測出來。
（本文作者系英國電信（BT）澳大利亞區(qū)業(yè)務連續(xù)性、安全性和監(jiān)管事業(yè)部負責人）
