金融、电信、能源等行业信息总监们要特别注意，不要急匆匆上马云计算、大数据和虚拟化项目。昆明亭长朗然科技有限公司信息安全顾问董志军称：尽管此前多个行业监管机关都发文要求谨慎使用信息外包服务，特别是关键的核心数据一定要留在国内，但是仍然有“顶风作案”的海外中资拓荒公司成了这一政策的受害者。

其实，对于跨国公司来讲，数据中心应该离用户最近，如果某些国家或地区的基础设施不错，那将主要用于服务当地的数据放在国内显然是不够经济的事情。网络压力，故障排差，用户支持等等都是问题。这么来说，就没有好的招了吗？弹性云计算让这一切变得轻松，特别是提供全球范围内的云服务，可以让我们省下建设数据中心的高昂成本，也可以减少项目风险——云计算，用多少付多少，国际形势再风云变幻，咱说撤就撤。

但是云计算尚未能解决关键的网络空间管辖问题，这已经不仅仅是商业安全的范围，更上升至国家安全。这个海外投资项目没有得到很好的主权安全治理认可，即使云计算相关的信息安全风险都得到了有效的控管，比如设置了磁盘级数据加密、多重的身份验证、虚拟专用网络连接等等，但是仍然免不了接受巨额罚单。

违规操作显然是一种商业风险，有高合规要求的行业被严格监管，别以为出了国门就可以不受法律约束。恰恰相反的是要受到双重法律约束——来自母国的和当地了，但是这些烦杂的信息安全要求都被信息架构人员们和IT专业人员们知晓并遵守么？

这个海外投资项目最早是想以一家本地公司的名头来弄这些IT系统，可是本地IT人力资源不够充足。于是项目经理召集IT架构人员开会讨论，一开始准备派驻中资IT人员前去帮忙搭建，培训好两三个本地运维人员后撤离。后来发现当地的进口政策很僵死，海外的IT设备运进去需要大半年，这让项目经理急得不行。幸好有云计算大鳄入驻了该国，于是使用云计算就成了顺理成章的事儿了。项目建设顺利，当初出点子和做决策的IT管理人员和团队都受到了表彰。

可是有一天，对云计算的远程访问被切断了，这事儿正好撞上一项国际政治关系大事儿，于是公司IT高管中枪了。

还好，经过与云计算公司的磋商，数据得以迁移到中国，但是这却给集团信息安全总监一个深刻的教训。信息安全方面的合规应该加强，特别是要将相关的安全政策、标准和要求传达给IT部门所有人员。这不是搭建平台方面的技术问题，但却比技术更为重要！

为了帮助各类型的组织机构快速培训职员们必要的信息安全合规意识，昆明亭长朗然科技有限公司推出了大量的信息安全合规课程，内容包括相关法律规定的解读，公司层面的要求，以及简单的安全意识测试等等，欢迎在线体验。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898

云计算的安全问题是一个热门话题，它应该包括用来保护云计算相关的基础架构、应用程序和数据安全的一系列控制措施，包含技术以及流程，市面上也有不少基于云计算的安全软件或安全服务，尽管业界通常认为这不是来保护云计算的安全，也会使用云安全概念。

和云计算相关的安全问题要么在最终用户方，要么在云计算服务提供方。云计算服务的提供者必须确保基础架构的安全，这些包括数据中心的物理安全、虚拟硬件平台的安全，如果提供应用程序服务，还需要保障应用程序的安全，在运行于这些云系统服务之上的客户的数据安全保护方面，当然也会有，并且应该有一定的安全措施。

在云计算服务的客户方，要确保运云提供商已经实施了适当的安全控制措施，以便能更好保障应用程序和数据的安全，由于虚拟化的原因，客户方不需要接触到公有云的数据中心和各类硬件设备，所以他们会担心云厂商的硬件和操作系统的安全问题，此外还会担心虚拟化软件系统的安全、以及云服务商的安全能力问题。

总体来说，云计算安全会落到几个要点：1.合约，2.隐私及安全，3.法律遵循。

在合约层面，云计算最终用户会和服务商探讨双方的权利和职责、产权归属以及服务中止等问题。需要明确发生安全问题时双方各需承担的责任，不再续约合同的时候如何交还或迁移客户的数据及应用程序等等，国内多数客户对IT服务的概念接受度还不够，相关法律不够健全，法务人员也缺乏这方面的经验，所以在合约层面想达成一致相对较难。

在隐私及安全层面，最终用户必须有自己可控的帐户管理系统来访问云计算及相关的信息资源，当然云服务商要确保经过身份验证的授权用户可以访问到云系统服务，包括应用程序和数据，在应用程序的安全方面，如果云服务厂商只提供计算平台即服务，则用户自己需负责应用程序的安全，如果云计算厂商提供了软件即服务，那必须保证基于云计算的软件系统的安全，举例讲，提供基于云计算的存储或数据库服务的，需保障数据存储软硬件平台的安全。云计算厂商要提供用户管理和针对数据安全的保护，不仅需要非常庞大的应用系统开发和运维力量，更需要及早将安全控管功能嵌入到云服务平台和应用系统之中。

在法规遵循方面，国内针对云计算安全的法规尚未成型，但会参考服务外包相关的规定，通常涉密行业受到严格监管，如果要外包或使用云计算，相关的云计算服务也需受到同样的监管要求，而且这些用户还需得到监管机构的审批，这些规定无疑会成为公有云计算在国内重点行业普及的障碍。另外，法规对审计方面的要求也非常高，但是目前对云计算相关的安全审计标准、指导和措施都不够成熟，另外云计算在建设初期往往只会关注功能的实现上，而忽略日志和记录的维护，这也需要引起重视。

简单总结一下，大型企业级用户使用公有云计算的路子还很长，一方面是安全问题难以解决，另一方面，即便是使用私有云，大量数据和应用的迁移也会耗费多年的时间。而国内多地政府主导的公有云计算目前多侧重于计算能力和平台即服务上，往往是政绩项目，在应用和安全方面明显乏力；由互联网大腕投资的云计算也多侧重于网站建设及电子商务相关领域，显然满足不了大型组织的复杂企业应用要求，最终注定公有云计算服务只能停留在较低层面的计算平台、空间租用或简单的大众化应用，也只能吸引来自非涉密行业、个人、家庭及中小企业买家的关注。

要解决上述云计算普及的最大障碍，关键是加强云计算服务商和潜在大客户的安全意识教育，让卖家了解如何提供安全的云计算服务，如何做好服务，让买家了解如何挑选安全的云计算，如何管理外包服务，只有双方都清楚了这些，才能可能进行下一步的沟通，才有合作的可能。

不能渴求立法和监管机构在产业尚未成型时便做出可操作性的规范或指南，向云计算的变革过程必定要经历一段动荡期，能获得大量客户并保留住这些客户的云计算厂家，一定是那些能证明自己的安全能力可以保护客户的应用程序和数据安全的，而要达到这一点，唯有从全体员工的信息安全意识教育抓起。