云計算有許多重要的安全問題急需2009年解決，包括把服務委托給第三方后的隱私保護、防范木馬的攻擊等。
我們經歷過大型機時代、分布式計算時代，然而，這些計算模式都沒有像今天的云計算這樣如此快速地走紅，受到了這么多人的關注。應該說，2008 年是云計算風行于世的一年，從中國到澳大利亞的多個亞洲國家都表現出了濃厚的興趣，波及多個行業的多個領域及各種規模的企業（從中小企業到超大規模）。
事實上，云計算的基本思路十分簡單: 由服務提供商的數據中心負責存儲過去一直保存在最終用戶個人計算機上或企業自己數據中心的信息，用戶通過互聯網遠程訪問這些應用程序和數據。基于云計算本身的特點，再加上最近由于信貸危機的爆發和全球經濟持續衰退，眾多企業不得不壓縮包括IT預算在內的各種預算，使得云計算的優勢顯得更為突出: 云計算通過外包所有支持服務大幅度降低總擁有成本 (TCO)。由于設備采購成本都由服務提供商來承擔，因而可以降低與支持應用程序和數據存儲所需的IT設備的采購成本，包括服務器和PC 的成本。此外，由于減少了數據中心的空間占用，因而可以減少租金、電力和冷卻需求。另外還有一些隱形好處，比如從總體上簡化應用支持環境以及提供更好的伸縮性，允許企業根據經濟形勢的變化決定服務的擴張或收縮。
云計算的風險
降低總擁有成本對于企業來說很有吸引力，但是，轉至云環境意味著要依靠第三方來提供服務，而且這種服務現在可能來自不同的地區，并且可能位于其他國家。委托第三方提供服務的風險可能很大，而且對一些企業來說這個步子可能邁得太遠了，很有可能風險比業務好處更大。同時，這種類型的服務也意味著使用者高度依賴廣域網設施，而廣域網成本的增加可能會減少部分成本節省，結果可能證明訪問一個集中式龐然大物的成本更高。因此，盡管云計算存在富有說服力的成功案例，但也伴隨著風險，與現有的標準臺式 PC 或自有數據中心模式相比，它可能不夠可靠。
那么，這對安全會有什么影響呢？我們首先從對保密性的潛在影響說起。用戶在多大程度上“擁有”這些數據？服務提供商有什么義務？把數據轉移到提供商的數據中心會提高安全性嗎？當然，安全是可以做到的。管理完善的數據中心不僅能夠確保數據的隱私性，而且還能確保數據不會受到毀壞; 進行適當檢查和核查、撰寫完善的合同與服務級別協議 (SLA) 可以確保保密性、完整性和可用性義務得到明確的定義和執行，但是這不能消除對第三方的依賴性。而且，即使已經有規范而且完善的合同，我們仍可能看到許多失敗案例，而一旦失敗很可能意味著該企業必須重新啟用和補充各種關鍵應用基礎設施，以維持 Web門戶等系統的運行。
而且，在采用云計算的過程中還可能出現新的威脅。比如，對正在努力降低成本的企業，需要安全遠程訪問的家庭工作者可能會增加。因為不管是從總體擁有成本上考慮，還是企業在采用云服務后所能帶來的靈活性來看，這都是值得一試的。但是，隨著管理層將注意力轉移到落實“云”的好處上，在保證必要的安全性方面關注程度很有可能降低。這將出現重大風險，比如給黑客留下一些機會——他們通過尋找云環境內的安全漏洞，來獲取對用戶社區和終端設備的未授權訪問。而且，由于數據和應用程序已經實現了集中，他們的回報相當豐厚。黑客可以將這種權限用于其他惡意活動，例如身份盜竊以及破壞同一環境中存儲的其他數據等。
急需解決的云安全問題
為了應對這些威脅，政府政策需要如何改變？到目前為止，不少政府已經注意到云計算，但是在允許其數據由第三方控制，特別是控制權的丟失意味著數據可能被轉移到其他國家方面，政府卻退縮了，過去的事實已經證明政府機構對此極其敏感。
在目前的計算環境中，防范駐留在用戶PC上的病毒軟件發起的惡意攻擊是一個重大難題，當前的趨勢是業余黑客繼續演變為違法黑客。而云計算環境對違法黑客極具吸引力，因為云本身就是隱藏這類惡意軟件的更好場所！因此，我們可以肯定，2009 年木馬活動將會大幅增加，這些活動不只針對政府和國防承包商等大目標，而且也針對那些防守力薄弱的金融服務企業。部署云計算設備的企業將需要更詳細地了解這些類型的攻擊，特別是如何通過具有“零天”檢測功能的24（小時）×7（天）響應來檢測和拒絕這些攻擊。
受到感染的家庭用戶 PC 仍是要面對的一個問題，特別是在對等 (P2P) 模式下運行的更復雜的僵尸網絡。這些工具被偷偷地安裝在企業的 IT 基礎設施中，被黑客們遙控發起分布式拒絕服務攻擊。2009 年，我們有可能會看到更好的保護，希望可以擊敗這些攻擊。
此外，企業對協作和交換信息以幫助擊敗這些復雜木馬攻擊的需求強勁，與在金融服務業全面解決許多問題之前人們拒絕采用網上銀行相似，云計算需要一種協作方法來確保其安全性。
從法律的角度看，誰來負責物理和邏輯安全呢？如果有一個影響安全違規的嚴重業務，誰來負責？誰來買單？數據泄露是目前的一個重要問題，而且隨著 IT 系統越來越多地轉入云中，這種情況只會增加。歷史上，在解決這個問題方面，西方政府比亞洲政府表現得明顯更為主動。預計在2009年會有更多加強隱私保護的立法。
因此，云計算有許多重要的安全問題，比如在沒有真正明確保密性、完整性和可用性責任的情況下把服務委托給第三方，2009年需要解決這個問題。
此外，一旦 IT 管理者認識到 TCO并不像宣傳的那樣，而且在某些情況下可能根本就不對，他們就可能回到以前，也就是回到分布式計算機環境，在那里他們可以保留靈活性和管理安全性。而且，服務器的虛擬化勢在必行，這將帶來更廉價地改進IT系統，對最終用戶來說這些系統將具有更多的功能和更高的可靠性。
那么到2009年年底，云計算的位置在哪里？當然，它會降低那些簡單的 Web 應用的成本; 一些公司將會從服務銷售中賺取收入，但是政府及相關機構和行業將不會大規模轉移到云計算上。因為這意味著失去控制，特別是在數據存儲和處理的地點方面，兩者都是政府目前面臨的重要課題，比如英國稅務局的數據丟失、許多中國香港政府代理機構的信息安全違規等，這是最近兩個推動政府機構行為的例子。有針對性的木馬攻擊2009年有可能會繼續猖獗。我們希望，云計算并不意味著惡意攻擊更難以在我們的 IT 系統上檢測出來。
（本文作者系英國電信（BT）澳大利亞區業務連續性、安全性和監管事業部負責人）
