揭秘云安全五大盲区.docxVIP

PAGE 1 PAGE 1 揭秘云安全五大盲区 建立备份据点是达成灾难复原的主要方法之一，云计算的时代也一样。企业或许不需要一个热于待命的失败点，但却应当规划并测试如何在需要的时候快速将运营切换至第二家供应商。虽然像Amazon“可用性区间”这类的作法可降低上述风险，但并不能完全消退单一故障点的可能性。  盲区3私人“云”同样也适用实体数据中心的安全方案  其思维规律是，数据中心原本的边疆防备就已成效良好，而私人“云”也受到同样的保护，所以应当没问题。只惋惜，状况通常并非如此。私人”云”有其新的挑战，这些挑战是传统静态数据中心所没有的。虚拟化与云计算加大了攻击面，共享储存就是一个例子。  另外还有一些新的状况，例如系统管理员不小心用vMotion将某个服务器从安全区域移到DMZ。此外，VLAN组态设定错误也可能导致信息未妥当隔离。还有，同一个vShield区域内的VM之间不受监控的信息流量呢?在一个混合式”云”环境中，当一个应用程序移到”云”，其虚拟机器四周却没有安全防护将会如何?仰赖IaaS厂商所供应的基本防火墙规则，甚至连IDS/IPS也没有，可能会让某些企业感到担心。  盲区4“云”服务供应商会负起安全的责任  虽然SaaS或PaaS服务供应商通常会在服务条款中供应安全保障，在IaaS领域却不然。虽然IaaS厂商会采取一些安全措施，并且在文宣中强调其安全措施，但IaaS环境的安全性终究是企业与IaaS厂商应当共同负担的责任，而且，最终的责任通常还是落在企业本身。IaaS供应商的服务条款中有关安全的章节应当会强调这一点。  不仅如此，虽然供应商会负起安全的责任，但万一发生信息外泄事件，企业本身照旧须担当最终的责任。究竟，那是您的信息。  盲区5我的“云”服务厂商有SAS70TypeII程序，因此我的信息安全无虞  SAS70TypeII内核的确是不错的安全基础，也是确保厂商在检查期间安全控管措施正常运作的一项工具，但这并不等于安全性。而且可能给人一种安全感的假象。内核所看的是过去的状况，虽然过去的绩效对将来具指标性(至少在数据中心安全方面)，但绝非将来的保证。一旦公司发生大规模或不预期的人事变动，就可能让原本扎实完整的安全措施一夕之间瓦解。此外，SAS70也无法防止心生不满的员工对公司或客户挟怨报复。  SAS70TypeII内核无法检查内核范围以外的项目。在内核检查表上的项目您或许严格控管，但漏洞却可能在检查范围之外。再者，任何流程的内核都无法涵盖执行流程的人。厂商的用人原则为何?SAS70TypeII内核并不一定涵盖用人原则。凡人都可能犯错，当然也绝非完美。  SAS70审查并没有一套标准作法。这类内核是内核者与受内核对象彼此共同设计出来，目的在于测试特定业务流程的控管措施。而控管措施可能无法包山包海，所以，在原先预定之外的项目，即使对业务服务很重要也不在测试范围内。因此，在将关键业务流程交给任何服务供应商之前，您应当对SAS70内核有所存疑。而且，抱负的内核不应当只专注于信息安全，而是应当延伸至服务永续性、厂商管理、备份复原、人事制度等其他领域。  不论公共“云”或私人“云”在降低成本、提升企业敏捷度方面都能供应优异的企业价值。不过，建议您在选择之前还是应当先认清其中的安全挑战。