對于大多數企業組織來說，云實施已成為一種大勢所趨。雖然目前企業界都在大規模地使用公共云，但是私有云部署仍是眾多大型企業的主要選擇。雖然一些統計數據表明私有云的使用已呈下降趨勢，但是經過過去幾年的積累，私有云的存量還是不容小覷;對于一些大型企業(例如世界500強企業)來說，維護幾十個獨立的私有云環境還不是非常困難的。

[[142427]]

但是，這樣也就帶來了許多潛在的安全問題。也就是說，當環境范圍重疊時，有可能出現低效資源使用或非***化的情況;當多個環境略有不同時，則有安全性和維護方面的問題;或者在某些情況下，與安全策略有著明顯的不符;它會帶來架構和性能方面的問題，并且還會帶來與合規性相關的額外整合工作量。

因此，對于企業組織來說，控制好“私有云擴張”是非常重要的。實現資源的***利用——防止在享受成果的同時出現負面影響——意味著在充分理解私有云環境的基礎上制定一個云整合的戰略決策。在一些情況下，整合是有意義的。而在另一些情況下，企業組織可能需要維護一個以上的環境，但是他們需要從戰略上重新分配在哪里進行托管。其決策應當是精確且又遠見的，因為事關重大。

是什么造成了私有云蔓延?

總有一些人老是摸不著頭腦，不知道一個企業為什么把實現多個私有云環境放在***位，以及如何做到這一點，畢竟私有云不一般都是最昂貴的云模式嗎?為什么一家組織會需要一個以上的私有云環境呢?在現實世界中，有很多原因會造成這一情況的出現。首先，可考慮并購活動;當組織A收購了組織B時，他們可能都已有著一個私有云。既然，兩家組織要在IT層面上實現集成可能需要花費幾年的時間，那么這些私有云環境將在這段時間內保持并行運行——甚至實際運行時間可能還超過這段時間。

另一種情況則是，多個松散組合的業務部門(例如，當這些業務部們都維護著獨立的IT支持團隊時)都開發了(或從一家服務供應商處租借了)他們自己的私有云，且互不知曉或使用目的不同。當不同地理區域的業務由不同技術團隊進行技術支持時，或者當IT業務是由每一個業務部門內部進行處理時，這種情況也會發生。

***，組織可能會從戰略角度出發，考慮實施若干個私有云。請記住，私有云只是意味著一個單租戶的云環境;一個私有云環境中可以駐留一個云服務供應商(CSP)。當然，很多都是在組織內部的，但是事實也并非都是如此。所以，一家組織可能會有一個或多個的內部部署私有云環境,以及一個或多個私有云托管在外部CSP或主機代管。

減量和重用?

無論私有云蔓延情況如何出現，對于安全團隊來說，理解有如此多的私有云對于組織的安全狀態是利是弊將是非常重要的。

我們討論了上述的一些挑戰，但說明了一點，即考慮到一家企業對于不同的應用有著多個合規性要求，私有云也可以是一件好事。例如，有一家醫院維護著一個內部私有云用于臨床環境，一個外部的私有云用于支付和結算系統，前者的臨床環境使用的內部資源需滿足HIPAA標準，因為醫院有可能在這方面擁有深厚的專業知識所以使用私有云是有意義的。另一方面，PCI可能并不是其核心業務。在這種情況下，選擇一家具有資質(例如，它在經批準的服務供應商列表上)的外部CSP可能具有相當高的安全性和一致性價值，而整個醫院則可通過這兩個私有云環境而得到更好的服務。

知道何時、如何以及是否整合私有云是一項棘手的工作。很多企業都陷入了匆忙上馬整合工作，卻之后只是發現為什么他們不能或者不應當實施私有云整合的有力理由。為了避免落入這樣的陷阱，企業組織需要相當一些信息作為輸入以便于做出這一戰略決策。他們需要知道：

• 那個現有的環境

• 環境中有些什么

• 這一應用有些什么安全性方面的要求

• 目前，在該環境中已經有哪些控制/流程就位了

用戶如何開始整合私有云環境?

對于很多工作來說，跨出謹慎的***步就是發現。首先，從弄清楚現在組織中私有云環境的實際情況開始。如果你的組織屬于大型企業，那么實際情況可能比你所想象的要復雜得多;你可能需要花費一點跑腿的功夫以確保對它們足夠了解。通過使用一個已在你組織中運行成熟的方法來收集這一信息將是一個不錯的選擇，例如一個針對業務連續性規劃的業務影響評估(BIA)。由于IBA接觸的基本上都是大部分的業務，所以你可以使用它來同時了解私有云領域的實際情況。

接下來，你將需要針對每一個環境列舉與安全性相關的注意事項。詢問一些問題，具體包括：監管環境是什么?環境中包括了哪些內容?在環境中要處理什么類型的數據?

此外，對于每一個環境，可能還需要做一些具體的調研工作;回答上述這些問題需要你非常了解每一個環境。除非你的組織非常擅于保持可靠的庫存(但大部分企業組織都不是)，否則你將需要在每一個環境中做好摸底工作以便于獲得一個可靠的列表。

***，針對安全性做好安全、支持以及業務等需求與每個環境所提供的安全、支持以及業務等“功能”的一一映射。這意味著你將需要充分了解每一個環境，知道它們是什么。一些服務供應商可能會告訴你(或者證明給你看)這一信息是由某個需求驅動的，但是你也有可能需要做一些審核工作以便于得到答案。

數據的三個來源(當組合時)應當為你的組織提供必需的原始信息以便于讓組織的決策層做出戰略決策，決定是否實施私有云整合，如果確定要實施整合工作，它們應幫助你制定影響整合工作的規劃。云整合本身就是一項長期性的工作，你應當做好規劃，以便于你的組織能夠真正地實現資源使用***化。如果你的組織正在考慮應用程序私有云化，這個信息也將有助于他們做出***企業業務需求的決定。