干草网 – 解读苹果

云安全联盟正在敦促建立合适的云服务标准和检查表，以确保云服务的安全和质量。截至目前，云安全联盟已经不止一次地发布报告，建议和督促企业采取措施，以更好地保护云服务。

云安全联盟新的报告中对云计算的定义和国际标准与技术协会（NIST）的定义一致，其它的还按需自我服务、宽带网络接入、资源共享、快速配置和可扩展性、计量使用等。

NIST还将云服务分成了三类：软件服务（SaaS），即应用程序由服务供应商提供；平台服务，即服务商提供工具和编程语言，客户来开发和部署自己的应用；基础设施服务，即服务商提供带网络的硬件平台供客户使用。

“在云计算V2.1版本的指导意见中安全是需要注重的关键领域。”在早期的一些草案审议议题简缩版本就提及了云安全的重要性，这些安全议题分布在13个领域的76页文件中，每个议题还包括了更加具体的建议。

文件建议云服务商采用ISO/IEC 27001信息安全标准来构建信息安全管理系统。客户应该认真核实供应商的资质认证，同时还要看他们制定的计划是否按照认证标准和要求来做的。至少，供应商应该向客户展示他们的做法是参照ISO 27002国际标准来制定的。

报告指出，客户需要清楚地认识到，在他们所购买的云服务类型中，他们需要为数据的安全和应用程序的管理承担怎样的责任，服务商又承担怎样的责任。

例如，亚马逊的EC2基础设施作为一个服务实体的地址，提供的是环境和虚拟化的安全，而不是虚拟的情况下操作系统、应用程序和数据本身的安全。通过 Salesforce.com的客户关系管理软件（CRM）提供的云服务，服务商就必须负责一切的安全，包括应用程序和数据。

企业一定要充分了解供应商的安全措施，否则就要冒着危及他们数据安全的风险。“除非云提供商乐意向客户披露他们的安全控制，以及它们所实施的范围和程度，消费者才会知道哪些控制对于保持其信息安全是必须的，否则就会导致客户做出错误的决定，并存在很大的风险。”报告说。

报告指出，一般来说，云服务的潜在用户需要针对数据的重要性以及业务安全做风险评估，并让供应商提供相关的证明。“对于任何涉及安全的方面，企业应采取以规避风险为主的方式转移到云计算环境，并选择安全的方式。”报告说。

为此，报告建议采取以下步骤：

1、仔细考虑和确定什么样的数据或功能运行在云环境中；

2、评估该数据或功能对企业的重要性；

3、确定采取哪种云：公有云，私有云，社区，混合云；

4、评估现有的控制措施对风险的减少程度；

5、画出进出“云”的数据流图，以确定风险的暴露点。

尽管公共云提供商提供规模经济和更成熟的云计算产品，在可预测的未来，私有云服务将大行其道。直到2012年，相对在公共云提供商上的投资，IT企业在私有云计算上的投资更多。

Gartner将公共云计算定义为一种计算模式，在这种模式里，具可扩展性和弹性的IT能力作为一种服务，通过互联网交付给外部多个客户。同样定义为一种计算模式的私有云计算，则是把这种服务能力，通过互联网交付给特定的或者一个客户。

Gartner资深分析师 Tom Bittman 先生说：“云计算的方向是指现有的IT架构和流程可以轻易被云替代。然而，未来企业将是组合型的IT架构。大型企业将继续让IT部门管理和部署内部IT资源，其中的一些就是‘私有云’。IT部门也将担负起IT服务采购的责任，确定何时利用外部提供商，何时进行内部部署，以及何时利用两者实现特定的服务。”

私有云服务将是未来公共云服务的基石，随着时间的推移，私有云和公共云的资源将被混合或者交错利用。对于许多大型企业来说，随着公共云服务产品逐渐成熟，在许多年，也许几十年内都和私有云服务并存。

Gartner分析师指出，私有云计算方面的适当投资将方便企业未来逐步使用公共云服务。对于在某个时候注定使用云服务来说，企业应在等待外部云服务产品趋向成熟的同时，评估开发私有云服务的投资回报率。

Tom Bittman 接着说：“私有云计算中的许多投资可为企业部署公共云计算做准备。这些投资不仅仅是技术上的变化，也是流程、文化和业务接口上的变化。决定这些改变宜早不宜迟，这将帮助企业更好地实施云采购的决策，同时也很可能使企业顺利地过渡到公共云计算上。”

企业还必须认识到，有些IT服务是注定要采取云计算模式的，而其它一些IT服务注定要与业务进行较多的整合与密切互动。一旦确定某个特定服务需要通过云计算进行，那么就需要做出决定，是等待比较成熟的云服务出现或尽早发展私有云服务，并判断哪种更对业务发展有帮助。

Tom Bittman 先生又说：“每个云服务都将有不同的未来发展路线图—一些云服务应与业务更紧密地整合、定制化和多样化为重点。而另外一些应侧重在独立、简单接口、标准化和非定制化上，因此也是潜在的云服务候选者。”

为了进行选择，Tom Bittman 先生表示，大型企业将需要建立动态的外包服务采购团队以便决定日常的外包采购计划，这些团队将利用云计算的服务以满足企业业务的需求， 因此需要有相关云计算服务方面的业务和技术专长。

小型企业不太可能具备必要的技能来有效提供云服务，相反他们将使用外包服务负责业务中不同服务级别的需求。服务外包提供商可能有特定行业的技能，相比于小型企业掌握的技能，他们掌握更高的云服务的技能来使其价值货币化，并利用快速变化的市场继续寻找最佳的服务提供模式，以保持尽可能低的成本。

当首席信息官和负责基础设施及运营的IT领袖在思考企业云服务的未来时， Tom Bittman 先生建议其重点考虑三点行动计划。这三点行动计划是：

现在：

·进行云试验，发现企业中哪些地方已经运用了类似云计算的服务
·领导企业跨组织的云服务计划

未来90天：

·运用虚拟化技术推动IT现代化
·进行产品整合
·研究制定服务及私有云服务策略
·确认因云计算而衍生出的企业业务新的发展机会

未来12个月：

·开发整体云计算战略
·建立企业动态的服务外包计划