Gartner：企业应建立高水平云计算安全基线

Gartner研究副总裁Jay Heiser表示，实现高水平云计算安全仍然需要经历长期而艰难的努力。他表示，在云计算安全得到改善之前，拥有敏感数据的企业和政府组织可能会从云服务中撤离。

Heiser表示：“与小企业相比，金融机构对云计算更加保守。”另外，他认为，使用基础设施即服务要比软件即服务更容易建立安全基线，因为有更多灵活性，更少依赖于服务供应商。但总体而言，云服务供应商对于其业务连续性和灾难恢复做法并不是很明确，这使他们很难赢得客户的信任。

Gartner的客户对于云计算合同的不完整性普遍感到失望，他们并没有在合同中看到他们期望的与安全相关的条例。

界定云计算和客户之间的技术和法律义务很困难，不仅美国联邦政府在其FedRAMP计划(寻找为政府提供服务的云服务供应商)提到了这个问题，云安全联盟(CSA)也在关注这个问题，他们建立了几个工作组来定义行业标准。

虽然很多组织都在努力改善云计算安全，并且所有这些云计算安全努力也是值得的，但这些标准都需要一年到五年时间才能成熟。

在此期间，企业和政府明确其需求，并尽可能地评估潜在的云服务及其安全选项。首先应该检查进入其云服务的数据的机密性。

目前云计算领域最成熟且可用的安全控制都涉及身份和访问管理机制以及基于服务器的加密，但云服务客户应该询问供应商，加密密钥是如何管理和存储的，并确定这种风险是否可接受。取证调查目前还不可行，并且，从整体安全控制来看，可能需要5到10年才能看到针对云计算的“强大的技术”。

云计算的经济吸引力很强大，有时候经济利益似乎大约潜在风险。Gartner建议客户考虑将低敏感度数据放到云服务中，而对于“中等”敏感度的数据，企业必须进行风险评估。对于高敏感度数据，则不应该考虑放到云服务中。

云服务供应商很少提供针对攻击的任何赔偿。并且，考虑到云供应商可能会离开云计算领域，客户需要确保该供应商可以归还数据或者有一个备份应急计划。Heiser指出，当两年前Mumboe SaaS关闭时，他们给客户两个星期时间来取回数据。这给客户敲响了警钟，即云服务可能会突然“消失”，客户应该对这种情况做好准备。

即使是一些家喻户晓的云服务供应商(亚马逊、谷歌和微软等)，也可能出现数据消失的情况，至少在一段时间内消失，或者永久消失。Heiser称：“恢复并不是简单的过程，将服务损失和可用性放在你的列表首位。”此外，他还指出，实时服务升级可能导致广泛的数据损坏。

IT管理人员习惯地认为，对于应用程序、服务、服务器、存储和网络，他们对自己能做什么拥有控制权，但他们需要充分认识到，根据云计算的性质来看，这种习惯的灵活性在云计算中并不存在。