故弄玄虛 摸清云服務商的那點兒貓膩
雖然頗有吸引力的云計算聽上去可以作為一種很不錯的外包選擇，但是對企業和政府部門來說，它同時也代表著一種對安全和法律問題的普遍擔憂。云服務商常常會圍繞數據中心及其運營過程刻意營造一種神秘氣氛，還大言不慚地聲稱這樣做可以提高安全性，哪怕讓所有人陷入黑暗中都無所謂。
數據中心的位置引發的安全擔憂
商業和工業分析家們極其討厭這種“不許問，不告知“的云計算模式，在這個圈子中，盛行的是保密協議(NDA)，任何問題都得不到回答，甚至連云服務商數據中心的位置和運營也好像是國家安全機密似地密不外泄。而公有云提供商們卻爭辯說，此種對于保密的偏好是云服務模式所必須的。他們還常常舉出SAS-70 審計準則作為擋箭牌，以安撫客戶們的憂慮。
“企業存儲在谷歌云中的數據是安全的，”谷歌產品營銷總監Adam Swidler在近期召開的一次Gartner安全會議上如是說。他還強調說，谷歌的多租戶分布式模式必須“跨多個硬盤拼接數據”，所以在這“上百個Linux堆棧”中，就必須“對各個硬盤上所有文件的所有碎片進行快速更新”，他稱此過程為“文件的無邊界化”。
Swidler承認，有關數據存放的位置確實得有一定的密級，因為“我們認為暴露數據文件的存放位置可能會引發安全風險。”但是，“谷歌正在盡其可能地進行一些開放性嘗試。”
數據中心的位置問題在云服務合同中是一個重要問題，牽扯到立法和司法兩方面的問題。舉例來說，在某些數據隱私法律，如歐盟的一些法律中，數據的位置就是不允許公開的。但是客戶們往往要關心他們的數據到底存放在了哪個物理位置上，而谷歌“則認為，關心數據在物理上究竟存放在何處的概念多少已經有些過時了，”Swidler說。
然而，并非所有人都對此表示贊同。
很多客戶就是想知道云服務商的數據中心究竟在哪兒，必能寶下屬的OnDemand的部門經理Kurt Jackson說。該部門主要提供SaaS應用，如用于市政、企業和政府客戶的地圖服務。
云服務商Terremark很樂意讓用戶對其數據中心進行現場參觀，因為數據中心的物理安全和網絡安全對于用戶是否決定采用Terremark 的服務甚為重要，Jackson說。“如果數據中心在邁阿密，企業就知道自己的數據是在邁阿密，”他說。“但是有些服務商則沒有這么透明。”
關于云計算究竟應該透明還是神秘的爭論正在引發一場文化沖突，沖突的一方是傳統的數據處理外包模式，另一方則是新起的云計算使用模式及其觀念模式。
Gartner分析師John Pescatore認為，不太可能簡單地弄清楚，谷歌“在上百萬個地點處理數據”的技術究竟是更安全還是更不安全，因為沒有可對其進行評估的手段。 Pescatore在Gartner的安全會議上做演講說，任何公有云服務商的SAS-70證書對于一些客戶來說可能會認為是合適的，但是別的客戶則不會這么看。“從安全等級上看，SAS-70是相當無意義的，但是它能讓審計人員相當輕松。”
#p#
“不透明即安全”是一種誤導
云計算還在挑戰著傳統的審計和安全概念，有必要形成一種新的審計手段。
“如果你的服務商不能為你提供有關安全流程的信息，以及為達安全目的而必須采取的措施和計劃，那么你就不能信任這家服務商，”美國《Network World》專欄作家Andreas Antonopoulos說。
“不透明即安全“的陳舊理念是企圖對所有事情保持沉默和神秘感，以為如此便能***地保障安全，這顯然是一種誤導。“這種理念是行不通的。因為總會有人知道你的秘密，”Antonopoulos說。如果有人企圖用“不透明即安全”來說服你的企業上鉤，那你***“盡快離他遠遠的”。
法律專家們注意到了洛杉磯市和谷歌簽訂的云服務合同，該市將會在IT服務公司CSC的幫助下遷移到谷歌的e-mail和協作服務上去。
信息法律集團的***律師David Navetta最近完成了對洛杉磯市與谷歌和CSC簽訂的各項合同，這些合同規定了每一方在可能的數據泄漏和危險賠償方面的責任。
他注意到，谷歌在合同中把CSC定義為一家“子承包商”，“因此，在破壞保密協議或丟失城市數據方面，CSC有責任為谷歌的行為或失誤買單。”但是他認為，“數據丟失”這一術語應在合同中規定得更為清晰才行。
Navetta稱，一般在談到評估和批準云服務合同的工作時，總會遇上這樣的情形，云服務商聲稱時間緊迫，因而堅持說他們已沒有時間討論合同細節，不希望再做任何改動。
“服務商的常用措辭一般是：‘我們不可能為了一個客戶更改一遍合同。’”Navetta說。他說服務商一般都不希望“讓客戶看到蓋子下面的東西”，會利用所謂保密性“來達成交易，讓你失去控制權。”所以毫不奇怪，很多大企業和政府部門期待能從云服務商那里獲得這方面更多的讓步。
然而并非所有的組織都會對與云服務商簽訂的合同感到不快。
美國麥瑞特醫療設備公司的Web系統經理Lincoln Cannon說，公司已經采取了一系列步驟進入了云計算，主要利用了谷歌Apps和Telania的eLeap銷售培訓應用，并利用亞馬遜的開發工具開發了新的企業網站。
這些云服務商將法律合同文本的未定稿交予公司法律部門，由該部門進行確認和修改，然后在往返幾個來回，知道各方均滿意為止，Cannon說。 “公司的法律團隊對于谷歌Apps還是相當滿意的，”他說。而對云計算的***擔憂則主要來自公司的CIO，因為根據薩班斯-奧克斯利法案，他必須承擔數據保護的責任。
然而，也并非所有的云服務商都會對保密工作這么神神叨叨的。
云基礎設施服務商ReliaCloud在明尼阿波利斯的圣保羅有兩個數據中心，有大約100家云客戶在使用其新版的基于VMware環境、由Cloud.com設計的管理平臺，其CIO Jason Baker稱。
但是，這家主機托管服務商5000多個客戶中的大部分仍然在使用更為傳統的方法，也就是該服務商必須為每個客戶準備專用的機柜和服務器，Baker說。對于這些客戶來說，云計算的概念還是非常新奇的，理解起來還有相當的困難。但Baker認為，基于共享租戶虛擬機的云服務本身就具備了一些高可用性的安全屬性，這些屬性是專用服務器無法實現的。
“云服務更為可靠，”他說。“假如你的應用是在某個物理服務器上運行的，那么客戶就有可能會遇到宕機的情況。但是在云中，我們有一個虛擬機池，假如某個物理節點崩潰，我們就會自動啟動云中的另一個節點，避免了宕機的風險。”除此之外，他說，未來利用某些API還可允許客戶的應用在需要增加計算能力的時候獲得所需的計算能力，從而完成運算。
和某些云服務商不同，Baker會真心誠意地告訴你他們所使用的安全措施，例如部署了思科的ASA防火墻等。
對于用戶們來說，問題在于，公有云服務商走向公開化到底還有多遠，惠普的***安全戰略師Chris Whitener說，“用戶們必須堅持要求云服務商公開化。”
【編輯推薦】
