云计算安全的出路在“共享职责”

cloud-security-responsibility

最近,关注云计算的人们可能会注意到一个新的名词:“共享职责”,它源自英文:Shared Responsibility。

为什么会出现这个新词呢?它到底是什么意思,又能给云计算产业带来什么变化呢?我们邀请到昆明亭长朗然科技有限公司云计算安全研究员Charles Liu来和我们谈一谈这个话题。

国内云计算的投入很大笔,可是落地情况并不容乐观,甚至有业界专家预测云计算产业要落光伏产业的后路,成为预期无限好、现实折人腰的又一个典范。对此亭长朗然公司Charles说:人们的担心不是多余的,云计算目前主要的障碍是落地问题,与其说是应用的缺乏,不如说是安全的顾虑。

让我们分析一下市场与供给,大型的客户如互联网公司宁可自建基于云计算基础架构的数据中心,也不会轻易使用他人的。中小型客户的数据量还不是足够大、计算能力的需求也还不够强烈,所以并不会急于向云计算迁移。而想从个人和家庭用户那儿赚取足够多的钱来支撑庞大的云计算投入和日常的运营开支尚不容易,终端能轻易搞定的,为什么要用云呢?

其实更严重的问题是云计算的投入多数是就是数据中心建设,冗余电力、中央制冷、多台服务器、多条线路、海量存储等基础硬件的建设,这和客户所期望的云计算价值明显有差距,差距主要体观在应用软件方面的不足,可这并不是致命伤。

影响云计算大规模应用的关键问题在安全,要让云计算发挥作用,传统的IT组织需要变革,安全问题是首要考虑的。数据游离出传统的安全边界,谁来负责?这就引起我们今天探讨的“共享职责”一词。

“共享职责”到底是什么意思呢?亭长朗然公司Charles打了个有趣的比方,如同使用“一国两制”的概念来解决香港澳门问题一样,“共享职责”是解决云计算安全的一种大胆创新尝试,但并不是折衷或退让。在“共享职责”条件下,云计算用户和服务商需共同担负必要的信息安全职责,因为唯有将双方的权利和职责放到台面,明确相关的产权归属以及服务中止等问题,云计算合约方能继续谈下去。

我们要拿一些企业应用来看,如技术层面讲,多数非关键的应用可以很快迁移到云端,但现实却恰恰相反,很多企业信息化越来越完善,能运行在“云”端的商业流程和在线应用却在回归企业内网。这种状况让看好云计算产业的人士大跌眼镜,非核心的数据尚且如此,核心业务流程如何能轻易使用公有云计算服务呢?

有专家提及规模效应,除了互联网门户和电商等有较大规模的用户,谁家云计算能跨过地域强制人家使用啊?官员搞云计算建设只是想出政绩或从中捞钱,可能对后期运营和赚钱并不感兴趣,即使发力也只在特定的区域或行业范围内部,规模市场不还是得看门户和电商的努力成果?

让我们预测一下,当云计算产业步光伏产业的后路之时,门户和电商可以出手,以极低价格获得大批计算能力,减个便宜然后低价销售,进而让云计算的价格优势显然出来。云计算过度投资的好处就如同当年互联网线路铺设一样,既然铺好了,有人巨亏,倒闭了,有人捡了便宜,最终对消费者是个利好。不过,即使能便宜到每年50万销售传统上每年500万数据中心的能力,也不见得客户会去买,问题在安全职责上面,我们需要“共享职责”创新理念,在IT服务框架之下建立双方的信息安全及隐私保护合约,方能有效打消用户对云计算安全方面的顾虑。

云计算产业的出路在安全问题的解决,而安全问题将落实到合约及职责层面,“共享职责”是一种创新的选择,相关的沟通和培训是起点。昆明亭长朗然科技有限公司提供信息安全意识培训方面的专业服务,可以帮助云计算服务商及客户有效解决安全方面的顾虑。此外,昆明亭长朗然科技有限公司创作了大量的信息安全意识课件模块,欢迎有兴趣的朋友们联系我们,洽谈安全意识培训方面的业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:[email protected]
  • QQ:1767022898

使用国外信息服务的安全隐患探讨

一直以来,美国在IT领域内的创新引领全球,其它国家只有紧紧跟随的份儿,在网络信息安全领域亦是如此。不过,通常出于“国家安全”战略需要,不少国家都对美国IT公司的深度扩张表示忧虑。

海湾战争时期,美军通过安装后门芯片的打印机感染和破坏了伊拉克的电脑系统,伊朗核武器受到的Stuxnet蠕虫攻击更是受到了美国或以色列等国政府的资助。

不少IT系统设备天生存在安全漏洞,恶意攻击者和国外厂商可以轻松利用这些安全漏洞远程发送摇控指令,窃取机密信息数据、进行安全渗透攻击或实施破坏活动。

而“云计算”时代,美国可以仗着其创新科学技术和领先管理水平,提供极具价格竞争力的云计算服务。但是云计算有个最敏感的问题便是信息数据的远程存储和托管,相信这个信任问题在美国国家内部也有顾虑,但美国毕竟是信用体系相对发达的地区。

尽管国内已经在“云计算”领域进行了大量的投资,但不可否认的是市场反映很冷淡,多数投资已经或即将继续“打水漂”。国家各相关部委早已经观察到国内本土“云计算”竞争力的不足,加之担心关系着“国家安全”的关键领域成为美国云计算的用户,便开始出来相关信息安全法规制度,限制或禁止这些领域使用未经国家相关机构认证授权的云计算服务。

不过,即使不谈托管在美国云计算上的信息服务,金融、电信、能源、交通等关键领域仍然使用着跨国公司及其国内代理商提供的大量信息咨询、系统集成和运营保障服务,跨国公司仍然很容易窃取到我国大量敏感信息数据。使用Google和Salesforce的服务更会让大量数据被存储到海外,进一步被跨国公司分析和利用。但是不使用Google便无法获取解决很多关键问题的信息,不使用Salesforce便会失去获得海外顾客的最佳网络渠道。

如果说种种对外资进入敏感领域的限制是一种国家保护主义的行为,我们相信也是政府出于无奈,又要扶持国内可信的企业获得足够的全球竞争力,又不能放开苛刻而低效的管制来提供崇尚创新与竞争的商业环境体系。

话说过来,即使这些真的对“国家安全”影响很大,我们也不可切断与国外的互联网络连接,更不能因此而拒绝使用国外的领先服务,否则无疑是类似关闭国门的愚蠢决策。信任是双方的,我们不信任他人,他人自然也不会轻易信任我们。人家通过各种渠道收集我们的信息和进行分析,是为了通过提供更好的服务来赚更多钱,只要是合法的渠道,这无可厚非,我们不能怪人家,只能从内部开始加强安全保密防范。此外,我们如果想拥有足够竞争力,也应该向外资学习,如果断了外资和我们接触和互动的渠道,我们如何学习领先的信息数据搜集和分析技术呢?如何了解海外顾客的潜在需要,如何改进产品和服务,进而获得更多国际市场呢?

再让我们看一看美国如何帮助政府机构以商业企业保护机密数据信息,首先颁布了严格的《经济间谍法》,将窃取或未经授权获得机密敏感信息数据定为犯罪,这是法律保障体系层面。其次,美国政府强化对职员进行安全意识教育,并力争将相关安全保密理念灌输给每位国民,这是在获得民众方面的广泛支持。

我国也制定了不少保密条例和信息安全法规,但是这些多数不被大众所知,只为少数精英阶层所了解。显然在不为大众所知的法规在被执行时会碰到困难,“有法不依”的关键原因在于普法教育不够。所以,无论是从国家层面,还是从公司、家庭和个人层面,我们都应该加强信息安全意识的教育和学习。

美国仍然把持着世界的经济秩序,我们不应该仅仅将中美敌对起来,而是要参与到世界秩序建设中来。只有敢于使用美国所提供的优质信息服务,才能有机会在国际秩序下争取和维护我们的权利,才能成为真正受到世界尊敬的大国。而信息安全,可能成为采用国外优质IT服务的政治顾虑,更可能会由于把握不好安全与政绩的平衡,而错过的发展和晋升的良机。

我们大可不必拒绝使用国外先进的科学技术和信息服务,而是需要加强机密信息的保密工作。要想在享受全球最优质服务体验的同时,又能保护到国家敏感数据信息的安全,则应该从安全意识教育抓起。

managed-security-services-and-awareness