调查发现 云服务面临重大安全信任问题

对于刚刚起步的云服务行业，信任问题是一个重大问题。虽然对于大多数企业而言，将昂贵的数据存储外包给托管服务供应商的好处显而易见，但挥之不去的安全问题让很多企业都不愿意转移到云服务。

在数据库安全供应商GreenSQL举办的两次云安全研讨会上，对387名与会者的调查发现，80%的受访者对于将数据迁移到云端时可能出现的安全问题、合规问题以及失去控制权的问题感到非常焦虑。

缺乏信任的云计算

GreenSQL调查主要集中在一个主要问题：“当你将数据库转移到云端时，你主要担心什么安全问题？”三分之一的受访者表示，他们根本不相信目前云数据存储服务提供的安全水平，他们的理由是，转移到云端意味着要完全信任服务供应商能够在庞大网络平台保持分割，而这个平台可以由多个客户端同时访问。

“如果你的企业系统将由另一家你不知道的公司来使用，并且，你不知道他们使用你的硬件的目的，你还会将安全放在第二位吗？”GreenSQL首席技术官David Maman感慨道，“痛苦的事实是，作为云客户，大多数时候你需要与其他人共享硬件和网络，这意味着安全必须摆在第一位。”

该调查发现，22%的受访者对数据库放在云环境中后失去对其敏感数据的直接控制感到不安，这也说明了云存储供应商所面临的挑战。

Maman表示：“你的企业的核心是你存储的信息：客户数据和企业的财务信息。大部分时候，这些信息被存储在数据库内。如果说，这些信息是你的企业的真正货币，那么，数据库就是存储这些货币的保险箱。因此，你必须确保云服务供应商使用了所有可能的安全保护措施。”

Maman同时指出，虽然云服务供应商在管理和监控你的数据，但保护云中的数据库的安全性并不是仅仅是云服务供应商的责任。企业必须采取积极的态度，通过监控来保护敏感数据，并通过对访问控制制定有效的政策和程序来确保数据的安全性。

“当你安装自己的数据库应用或者使用数据库即服务（例如微软SQL Azure），你必须控制你的信息，这意味着启用数据库防火墙，”Maman表示，“你必须执行职责分离，数据库活动监控，同时，你还必须掩饰敏感信息。”

困扰云服务行业的另一个问题是数据备份机制，以及存储在云中的信息究竟如何避免滥用或丢失的问题。企业真的能够确保数据备份被存储在单独的磁带或者专门为其指定的其他媒介设备吗？

“让我来帮你回答这个问题，并不是这样，”Maman表示，“你的备份信息将与成千上万的其他客户的数据一起存储在供应商负担得起的备份媒介上。当然，你永远也不会知道谁能够访问这些信息，以及何时。”

供应商必须慢慢建立信任

惠普软件高级安全策略师兼著名云安全专家Rafal Los表示，云数据存储供应商可以通过持续的保障措施来增加客户对其服务的信任，例如主动安全监测，定期发布安全状态报告以及遵守可行的法规。

Los表示：“客户不是要一份过时的合规报告，显示你即时打补丁，或者数月之久的渗透测试结果，他们想知道你的环境现在是健康和安全的。系统安全与系统健康紧密联系，这两者必须与分析平台整合，例如与惠普OpsAnalytics平台—提供实时性能遥测分析和全面的日志分析，让用户能够确定是否有现实世界无法检测的攻击，或者说找出‘未知攻击’。”

安全保障意味着不只是合规性数据，它还意味着了解整个系统状态。为了增加客户的信任，供应商不能只是声称他们是安全的，他们必须证明他们了解他们的动态环境，以及他们可以迅速对偏离正常工作模式的状态作出响应，以保护期客户的数据及其服务的完整性。

客户必须核查云服务供应商

Los建议正在考虑转移到云环境的企业核查其选择的供应商的所有能力，并确定他们的供应商是否能为他们提供实时或者近实时的安全保障和合规性状态。Los表示：“客户将数据库转移到云中的一个关键因素是，他们不仅需要具有安全意识，而且需要知道经过测试的安全性也可能失效，或者说也将失效，因为不存在绝对的安全保障。”

他建议客户避免只是寻找提供“安全”服务的供应商，而应该寻找能够展示可以有效可靠地检测问题、迅速响应问题以及恢复服务的供应商，毕竟这是企业的业务功能的关键要素。Los说：“通过系统性能遥测及时发现异常情况，全面实时日志分析和高级安全组件，你的供应商在发生故障或进行测试时，能更快地发现、响应和恢复你的服务。作为一个客户，不要只是寻找提供‘安全’的供应商，要寻找知道如何发现、响应和恢复关键服务的供应商。”