RSA首席技术官:可信云计算三要素 安全是种云服务

上周，借出席云计算大会之机，EMC信息安全事业部RSA首席技术官Bret Hartman访问中国，接受了CNET的访问，就云服务、云安全、可信云计算方面的最新技术趋势及进展等话题进行了沟通与交流，并在企业选择何种云服务方面，给出了自己的建议，同时Bret Hartman还指出了如何信任云服务商的三大要素，并强调安全在整个云环境中正在作为一种服务被提供出来。

选择什么云

在云计算、云服务日渐普及的今天，企业如何选择适合自己的云，是私有云好还是公有云好？Bret Hartman介绍，在RSA内部，对于先建设公有云还是私有云，也有很多争论。一年前我们关注的重点是如何确保私有云，也就是数据中心的安全性。在过去几年，我们看到一个趋势，有越来越多的人在讨论使用公有云，有很多机构开始讨论使用公有云的服务。

Bret Hartman表示，选择哪一种云，取决于企业本身和不同的国家地区，以及不同的市场。在中国市场，企业会更多地选择建设私有云。对于一些小企业来说，对于自己的技术架构投资非常少，这些企业更加容易迁移到公有云。对于比较大的组织来说，有很多旧的系统，这些系统很难迁移到公有云的环境中。对于大型企业来说，首先考虑的是建立自己的私有云，以确保企业运作的效率。经过一段时间后，大企业会考虑将其中一部分业务转移到公有云。这就是混合云的概念。

Bret Hartman认为，在一个阶段肯定会存在混合模式，有些业务需要在数据中心的私有云里面运作，但有些业务必须要迁移到公有云中。有很多企业很可能会采用这样一种方法，就是初期将一些应用放在私有云中，但逐渐地会将这些应用迁移到公有云中。因此，不同企业在采用私有云和公有云的步伐是不一样的，有些公司可能向公有云迁移的过程速度很快，但有些公司拥有一些旧系统，向公有云迁移的速度会比较慢。

对于私有云是数据中心升级的说法，Bret Hartman表示认同，这是对私有云非常好的总结。私有云是一种具体的运行数据中心的方式。在私有云的运行模式中，实际上是公司内部IT部门向组织内部其他部门提供的服务。在这种环境中，公司IT部门像云服务提供商一样发挥作用，就像公有云环境中的云服务提供商一样。

云信任因素

Bret Hartman指出，企业要将现有应用迁移到第三方云服务提供商提供的云环境中，对云服务的信任是需要首先考虑的问题。如何能够信任云服务提供商，企业要考虑三个因素。

可视性是其中之一。企业应实实在在看到其数据在云服务提供商提供的云服务环境中得到实际保护，还要有实实在在的证据表明他们的数据得到了很好的保护。

另一个要考虑的因素是控制性。对于这些企业来说，在云环境中要有控制措施。企业能够保证谁有权限访问数据，有能力制定相应的访问策略。

Bret Hartman强调，对于今天的云服务来说，尤其是用于商业和小型应用的云服务环境中，云服务环境提供的可视性和控制措施是非常薄弱的，在云环境里面，可视性做得非常差，你根本不知道你的数据在哪里，也没有控制措施来控制谁可以访问你的数据。

在云可信方面还有一个要考虑的因素是法律的遵从。要有相应的证据表明云服务提供商提供的服务是安全的，而且是合规的。对于很多企业来说，在迁移到云环境之前，要满足企业的规则和合规性。在迁移到云环境之后，企业要像以前一样满足政策监管规定和企业内部的合规性。

因此，在云服务的可信性方面，有三个因素要考虑。如果云服务提供商可以确保可视化、控制措施和法律遵从，企业就可以信任云服务提供商提供的云环境。

云安全技术

那么，都有哪些云安全技术来确保云服务商所提供云服务的安全？Bret Hartman概括，对于云安全领域中的可用技术可分为三种主要类型，一是对身份的保护，二是基础架构的保护，三是保护信息。

就身份安全来说，需要的是强认证机制，这种强认证机制要考虑一般的ID和密码保护，这样才能有充分的信心，确保得到授权的用户访问某一系统。在云环境中，就身份安全来说面临着一个挑战，在云环境里面没有关于凭证的定义，需要联合凭证，从一个云服务转移到另一个云服务的时候，利用一个凭证，将这个凭证运用到另外一个云服务环境中。

另一技术是保护基础架构的安全技术。基础架构包括一些硬件和网络设施、操作系统、应用环境。要确保基础架构的安全有非常大的挑战，例如在虚拟机从一个云环境进入另一个云环境的时候，如何保证虚拟机不受攻击。还有一点非常重要，就是需要非常强的可信链条，可信链条包括硬件上要安全，还有因特网、操作系统，整个虚拟化，所有的链条里面都要打造非常强的可信性。

还有一个关于云服务安全的技术是保护信息安全。信息安全要保护数据，确保用户访问云环境的时候，一方面确保数据的保密性，谁能够阅读这些数据，另一方面要保证云环境中的数据完整性，这些数据在访问的时候，不应该被任何人随意篡改。在这个领域中的技术主要包括分布式的密钥管理技术、密钥加密技术、数据丢失保护技术，确保整个数据在云环境中传输的时候，内容不会丢失。

Bret Hartman指出，在企业的云环境中，有很多云安全技术都已经投入使用。这些技术要嵌入到现有的云服务平台中去，嵌入很重要。这也是为什么RSA与VCE联盟（VMWare、Cisco思科、EMC）之间进行如此紧密的合作，硬件和软件两个平台加入在一起，对云服务提供商来说是非常重要的。

可信云计算

Bret Hartman出席今年中国云计算大会演讲的主题围绕可信云计算展开，在可信云计算概念出现之前，大家谈的都是可信计算，多了一个云字，二者之间有何联系与区别？Bret Hartman解释，可信计算只涉及一个平台或者一个服务器的可信性，包括应用、硬件、操作系统，也就是说一个机器或者一个设备的可信性、安全性。

对于可信云计算来说，可信计算的概念是不够的，可信概念只涉及一个平台、一个服务器，而可信云计算涉及多个服务器、多个系统。可信云计算所面临的挑战是在一个环境中存在多个分布式的系统，如何确保多个系统的安全性。

Bret Hartman表示，这也是为什么我们特别关注混合云的概念。混合云将私有云和公共云的可信加总在一起。可视性、控制性和法规遵从是三个非常重要的云信任因素，混合云的概念恰好可以反映这三方面的因素。之前的可信计算只是确保一个平台、一个服务器的安全，但在新的可信云计算概念中，要同时确保多个系统的安全。

Bret Hartman介绍，对于RSA云可信权威来说，它的交付模式发生了变化，在提供安全的时候，是将其作为一种云服务提供的，而这个安全也可以进一步确保其他云服务商向用户提供云服务时的安全。这种云可信权威改变了安全世界的运作模式，过去的安全主要是提供硬件和软件，意味着软件和硬件的安全，而今天的安全在整个云环境中作为一种服务被提供出来，现在RSA的战略重点已转移到云服务部署上来。

两关键技术

Bret Hartman强调，要实现可信云计算，需要一些关键技术。其中，云的认证很关键。在访问内部云服务的时候，要证明访问人是谁、是否有权限进行访问。

现在有一种趋势，每一个云服务提供商对自己提供的云服务认证都会有自己的要求，都需要提交很多的密码和ID，但有众多的云服务提供商，多个密码和ID的方式是不可接受的，需要单一通路。

在企业访问云服务的时候，需要某种途径将企业凭证映射到云环境中来。这是RSA的云可信联盟所要做的事情。在企业登录外部云的同时使用微软目录认证，不需要再提交密码。这种内部和外部认证的使用是透明，而且是无缝的过程。

另一个关键技术是关于法律遵从的。要了解混合云环境中的法律遵从，就要搜集本地和远程的事件，确保混合云环境是否合规。从不同的来源，比如信息安全和事件管理工具中搜集不同事件，这些事件可以是现场的事件或者是云的事件，将这些事件进行加总分析。

可以将现场和云里面的事件进行综合，再将综合的分析输入到平台中。企业通过仪表盘可以看到混合云环境的法规遵从性，包括数据中心和云环境的法规遵从性。这也是云可信联盟今年要宣布的一个产品，证实混合云环境中的法律遵从性。

RSA的优势

Bret Hartman认为，在云安全方面，RSA有强大的优势。RSA与VMWare、思科有着紧密的合作伙伴关系，奠定了提供云服务的坚实基础，这种合作伙伴关系使得RSA的技术可以嵌入到VCE联盟的技术中去，这是任何一个技术厂商没有办法做到的。

此外，RSA在身份认证、信息安全、法律遵从方面的技术，RSA在过去用了很长时间进行积累，在这三个技术之间实现了非常完美的匹配。