CIO：别让云计算收益蒙住风险管控双眼

　　当很多企业正苦恼于是否向公有云投出信任一票时，有些企业却已经开始从中受益匪浅。积极转向公有云的企业并非不重视云安全的问题，只不过，他们已经感受到云计算的收益大过于相应的风险。

　　这些企业IT领导者和那些踯躇不前者的不同之处在于，他们对于自己IT团队和所在企业的优势和弱点有清醒的认识。在某些情况下，公有云方案可以提供更高的安全性，并且有助于灾难恢复的实现。

　　美国高尔夫协会(USGA)就是一个典型的例子。尽管USGA是一个全国性的组织，但是总部却不是在繁忙的都市。实际上，USGA的总部位于新泽西州名为Far Hills的一个小镇—— 在其IT高级总监Jessica Carroll的嘴里，那就是一个偏荒之地。从IT的角度看，这种地理位置对于灾难恢复来说是灾难性的。但是，Carroll对云方案供应商的安全性非常满意。

　　“我考察了他们(IBM)的环境，那是一个高度安全的地方。他们处理客户数据的流程规范令人印象深刻。”Carroll说：“这些都是我亲眼所见，正因为IBM所采取的措施和业界声誉，我做出决定是非常容易的。”

　　Carroll向公有云的迁移并非是她第一次体验云计算的安全和隐私性。在2006年USGA就采用了微软的Live Meeting。通过订阅费的形式，USGA可以实现按使用付费。“我不需要为保证隐私而费心，不需要构建灾难恢复方案，也不需要担心服务失效的问题。”Carroll说：“这种付费方式对我们非常适用，无须任何基础架构方面的投入。而我对数据安全也非常放心，它们在正确的地方受到妥善的保管。”

　　云安全风险的差异性

　　在企业安全决策方面，Gartner公司分析师Jay Heiser提出了警告：不能盲目跟风，在迈向云计算的道路上必须头脑清醒。

　　“任何客户都不能毫不顾忌安全性方面的问题。”Heiser在一封邮件中说到：“这里面的问题很严重——基本上，没有办法能确定某个特定的外部服务商能够提供足够的安全性保证。”

　　“对于服务供应商的保证，我觉得不仅不准确，甚至有点负面——比如当他们拍着客户肩膀说，‘不要白费力气了，你是无法保护自己的，把东西都放到没有我这来吧，我会替你管好一切的。’时”Heiser描述到。

　　云计算的顾虑

　　Larry Bolick是Aquent LLC(位于马萨诸塞波士顿)的CIO，他在云计算协作方案方面具有成功的经验，包括Google的Gmail和电话会议。但是，尽管对合同进行了严格地审查，安全性依然是Bolick的关注焦点。

　　“当谈到云计算时，这理所当然是首先会想到的问题，因此，没人能忽视云的安全性。”Bolick说。

　　然而，牢记历史也是非常重要的。在不到15年前，托管其实就是当时的公有云形式。但是在资源共享这个卓越创意的背后，其安全性以今天的标准来说是令人难以接受的，比如公司的名字和IP地址在服务器上公开可见。类似的教训不甚枚举，而安全性也在不断演进。

　　过去Google云存在的问题已经不再是前进道路上的障碍，相反应该将其视之为安全性方面的有益尝试。Bolick认为对于安全问题关注并非出自于恐惧，他坚信云安全其实是联系企业和厂商的纽带。真正的挑战在于变更管理以及企业和厂商在安全实践方面的沟通协调。

　　“这并非全是厂商的问题，客户也有一定的责任。”Bolick表示：“我们在云环境里所做的主要是在传输时保证数据的保密和完整准确，在自己的环境里，我们已经在确保基础架构安全性方面费尽力气。当然，尽管很多工作会落在客户一端，但是让厂商充分意识到我们面临的安全挑战是非常必要的。”

　　无论CIO的工作如何细致谨慎，仍然无法保证万无一失。在特定的时刻，你不得不寄信任于你的厂商和自己做出的决定。Bolick用坐飞机的例子来进行类比：虽然你不认识飞行员或者机师，但是他们都有FAA(美国联邦航空管理局)的认证，你必须且只能给予充分的信任。

　　“很担心吗?没必要的，这只是一个瑕疵而已。如果因为疏忽而导致了安全和隐私方面的事故，云服务供应商就会感受到全面的连锁反应。”Bolick说：“因此服务供应商将不得不尽力做到最好。从事安全性保障的工作人员尽管默默无闻，但是正因为他们的努力才使得一切都不脱离正轨。世上没有100%的保证，你需要理智一点，毕竟有时候少许的风险并不是坏事。”(原文出处：http://www.searchcio.com.cn/showcontent_55383.htm?lg=t)