集團(tuán)Computerworld網(wǎng)站近日撰文稱，安全專家表示，選擇的可能熟悉多重租賃(multi-tenancy，多個公司將其數(shù)據(jù)和業(yè)務(wù)流程托管存放在服務(wù)商的同一組上)和等概念，但這并不表示他們完全了解云計算的安全情況。聯(lián)盟(CSA)執(zhí)行董事Jim Reavis認(rèn)為，云計算其實(shí)就是將各種技術(shù)集中在一起創(chuàng)造出一種具有獨(dú)特管理制度的應(yīng)用程序。
這是計算機(jī)時代的新篇章，雖然這一切聽起來很熟悉，但只要深入了解就會發(fā)現(xiàn)不同之處。
企業(yè)運(yùn)用云計算的速度通常都讓安全專家感到驚訝，安全專家Reavis認(rèn)為，企業(yè)應(yīng)該采取更加務(wù)實(shí)的做法，例如采用風(fēng)險評估來了解真正的風(fēng)險以及如何降低風(fēng)險，然后再決定是否應(yīng)該部署云計算技術(shù)。
云安全聯(lián)盟與公司共同列出了云計算的七宗罪，主要是基于對29家企業(yè)、技術(shù)供應(yīng)商和咨詢公司的調(diào)查結(jié)果而得出的結(jié)論。
1. 數(shù)據(jù)丟失/泄漏：
云計算中對數(shù)據(jù)的安全控制力度并不是十分理想，API訪問權(quán)限控制以及密鑰生成、和管理方面的不足都可能造成數(shù)據(jù)泄漏，并且還可能缺乏必要的數(shù)據(jù)銷毀政策。
2. 共享技術(shù)漏洞：
在云計算中，簡單的錯誤配置都可能造成嚴(yán)重影響，因?yàn)樵朴嬎悱h(huán)境中的很多虛擬服務(wù)器共享著相同的配置，因此必須為網(wǎng)絡(luò)和執(zhí)行服務(wù)水平協(xié)議(SLA)以確保及時安裝修復(fù)程序以及實(shí)施最佳做法。
3. 內(nèi)奸：
云計算服務(wù)供應(yīng)商對工作人員的背景調(diào)查力度可能與企業(yè)數(shù)據(jù)訪問權(quán)限的控制力度有所不同，很多供應(yīng)商在這方面做得還不錯，但并不夠，企業(yè)需要對供應(yīng)商進(jìn)行評估并提出如何篩選員工的。
4. 帳戶、服務(wù)和通信劫持：
很多數(shù)據(jù)、應(yīng)用程序和資源都集中在云計算中，而云計算的身份驗(yàn)證機(jī)制如果很薄弱的話，者就可以輕松獲取用戶帳號并登陸客戶的虛擬機(jī)，因此建議主動監(jiān)控這種威脅，并采用雙因素身份驗(yàn)證機(jī)制。
5.不安全的應(yīng)用程序接口：
在開發(fā)應(yīng)用程序方面，企業(yè)必須將云計算看作是新的平臺，而不是外包。在應(yīng)用程序的生命周期中，必須部署嚴(yán)格的審核過程，開發(fā)者可以運(yùn)用某些準(zhǔn)則來處理身份驗(yàn)證、訪問權(quán)限控制和加密。
6. 沒有正確運(yùn)用云計算：
在運(yùn)用技術(shù)方面，可能比技術(shù)人員進(jìn)步更快，黑客通常能夠迅速部署新的攻擊技術(shù)在云計算中自由穿行。
7.未知的風(fēng)險：
透明度問題一直困擾著云服務(wù)供應(yīng)商，帳戶用戶僅使用前端界面，他們不知道他們的供應(yīng)商使用的是哪種平臺或者修復(fù)水平。
云服務(wù)供應(yīng)商惠普公司的首席技術(shù)官Archie Reed認(rèn)為，上述的云計算七宗罪雖然并不全面，但是都是非常重要的，它們能夠指引大家如何正確運(yùn)用云計算。
七宗罪說明了云安全狀況變化非?？?，安全技術(shù)人員必須了解影響他們工作的種種因素，包括政府法律和行業(yè)標(biāo)準(zhǔn)等，并且他們應(yīng)該清楚這些因素是否被正確運(yùn)用到風(fēng)險評估方法中，評估方法是否定期修改。
毫無疑問的是，云計算確實(shí)給我們帶來新的契機(jī)，但是這種新技術(shù)也意味著供應(yīng)商的解決方案和技術(shù)也不斷在發(fā)展。
雖然企業(yè)可以信任云計算，但是并不能將所有責(zé)任都交付給云計算，企業(yè)必須對云計算中的數(shù)據(jù)或者程序進(jìn)行必要的管理。