練就火眼金睛 識破云計算三大安全風(fēng)險
全球服務(wù)公司安永（Ernst & Young）近日表示，公司對云計算的投入應(yīng)用將會面臨三大風(fēng)險，它們分別是：數(shù)據(jù)泄漏、數(shù)據(jù)丟失和未經(jīng)授權(quán)的數(shù)據(jù)訪問。
將數(shù)據(jù)存放至云環(huán)境中的時候，IT技術(shù)人員應(yīng)該時刻警醒這三大安全風(fēng)險。在IDC主持召開的2011商業(yè)云會議上，安永公司高級經(jīng)理Pieter Danhieux如是表示，云服務(wù)提供商通常談?wù)撟疃嗟氖菙U(kuò)展性、可用性和成本、效率以及效益，他們并沒有把云安全視為一種商業(yè)運(yùn)營而加以推動。
根據(jù)Danhieux觀點，數(shù)據(jù)泄漏應(yīng)該是IT管理者和CIO們最需要關(guān)注的問題，因為云計算需要使用虛擬化，而虛擬化又離不開虛擬系統(tǒng)和hypervisor。
“存在這種風(fēng)險的原因之一是，假設(shè)你想刪除一些不相關(guān)的數(shù)據(jù)信息，通過hypervisor輸入命令進(jìn)行刪除操作……只要稍微懂一點IT基礎(chǔ)知識的人都知道，從磁盤上刪除數(shù)據(jù)，事實上這些數(shù)據(jù)并不會真正被刪掉，因為你所刪除的僅僅是磁盤某個位置上的index，而數(shù)據(jù)本身還在那里，”Danhieux說道。
“還可能發(fā)生的是，如果是在同一臺虛擬機(jī)或者物理設(shè)備上操作，你還需要向hypervisor發(fā)起操作請求，而在這一過程中你還可以在系統(tǒng)之外對數(shù)據(jù)進(jìn)行訪問。”
“對于網(wǎng)絡(luò)接口來說也同樣如此，比如當(dāng)你的通信助理工具在世界范圍內(nèi)跨平臺運(yùn)行，它也需要通過hypervisor和網(wǎng)絡(luò)接口來實現(xiàn)數(shù)據(jù)傳輸。此時的問題是，即使權(quán)限在本地系統(tǒng)的hypervisor上沒有獲得正確指派，你也照樣可以通過網(wǎng)絡(luò)接口進(jìn)行網(wǎng)絡(luò)通信，并可以察看到通過網(wǎng)絡(luò)接口的一切信息。”Danhieux還表示，雖然實現(xiàn)這些目的需要一些技術(shù)含量，但是已經(jīng)有人證明這種方式完全可以實現(xiàn)。
第二大安全風(fēng)險當(dāng)屬數(shù)據(jù)丟失。當(dāng)使用云服務(wù)的時候，用戶并不知道信息被存放在何處、或者在什么地方處理數(shù)據(jù)。在這樣的情況下，機(jī)構(gòu)投資者在面臨對云進(jìn)行投資時就會產(chǎn)生很多疑慮。
“當(dāng)你把數(shù)據(jù)存放在云環(huán)境中的時候，你需要知道以下問題：首先，我能將數(shù)據(jù)存放在澳洲以外嗎？”Danhieux說道，“私人數(shù)據(jù)和航班信息數(shù)據(jù)通常不能存放在本土以外的區(qū)域，為此你還需要了解相關(guān)的法律問題”
“另外一個問題就是，如果我丟失了數(shù)據(jù)怎么辦？它會對我的工作業(yè)務(wù)產(chǎn)生什么樣的影響？我可以進(jìn)行備份嗎？在正式步入云殿堂的時候你需要問自己這些問題。”
另外一個安全風(fēng)險就是，未經(jīng)授權(quán)的數(shù)據(jù)訪問。雖然選擇了基于本土的云服務(wù)提供商，但是一旦你將數(shù)據(jù)存放到云環(huán)境中，你也并不知道這些數(shù)據(jù)會被存儲到什么位置。
“當(dāng)你把數(shù)據(jù)移入云中的時候，你并不能看到數(shù)據(jù)傳向俄羅斯、巴西等這些保護(hù)私人信息不太有力的國家的整個過程。”這將是一個巨大的潛在風(fēng)險。“你不要誤以為自己公司的數(shù)據(jù)對他人沒有用處，因為這些信息可能被你的競爭對手捕獲到并加以非法利用，甚至對某些政府來說它們都具有利用價值。”
Danhieux接著補(bǔ)充，“對于企業(yè)來說，當(dāng)應(yīng)用云計算的時候，首先需要問自己存放哪類數(shù)據(jù)到云環(huán)境里面。因為如果某些數(shù)據(jù)是無關(guān)緊要的話，那么你完全可以將它們移入到云環(huán)境中而無需過多擔(dān)心安全問題；而如果想存放諸如交易信息等機(jī)密數(shù)據(jù)的話，你需要徹底調(diào)查了解你所選擇的云服務(wù)提供商能否提供最好的安全保護(hù)。”
“其次，你需要知道這些信息對于企業(yè)和政府的重要性。如果包含跨區(qū)域性的數(shù)據(jù)傳輸，那你還需要明白是否可以設(shè)立某些限制條款。”
最后，Danhieux還表示，“壞人”也會使用云計算，因為這一技術(shù)將可以幫助他們以更便捷的方式獲取賬戶和密碼。
【編輯推薦】
