勿恃安全威胁不来 恃自身有万全准备
- DIGITIMS企划
-
综观DIGITIMES所执行的「2013企业混合云应用调查」结果，大致可以体会到，相较于海外各个研究机构的乐观预期，台湾企业普遍还不具备「混合云即将大其行道」的认知，现今对此项云端部署模式的接受度，其实还停留在不算太高的位阶。
究其主因，最大的症结，乃在于多数企业仍未充分信赖混合云，尤其面对「安全性」这个检视指标，普遍反应出不小的疑虑，甚至散发出「混合云与公有云的安全性差不了多少」的意味。究竟，这些对混合云安全性投以不信任票的受访者，只是因为暂时性的不明就理，才导致反应过度？抑或真的看出一些悬而未决的问题？有赖我们加以厘清。
事实上，有人说得很好，「More Powerful」就等于「More Problem」，任何的技术应用，只要牵涉到联网，都难免徒留有心人士乘虚而入的破口，例如2012年举世譁然的伊朗核电厂惨遭黑客入侵事件，就是很明显的例子；由此推论，就算看似更加安枕无忧的私有云，都不能全然杜绝安全威胁的疑虑，更何况相对「门户洞开」的混合云，谁敢打包票绝无网安风险？所以，此时多数受访者所展现之投鼠忌器态度，也实在是有几分道理。
混合云的安全问题
究竟，理当比公有云安全许多的混合云，还存在哪些安全疑虑？根据来自海外的相关专题报导，确实可归类出几个问题，第一项问题，在于缺乏可靠的数据备援；不可否认，云端服务供应商个个心知肚明，自知应当竭尽所能营造一个高可用的应用环境，藉以确保用户随时随地若需要使用其应用资源，都能得偿所愿，惟尽管这些业者确实已经尽了全力，但仍难避免一些难以逆料的状况，就连具有高知名度的供应商，都曾因细故捅出大篓子，造成许多客户网站当机数日。
随着这些令人遗憾的事故，不禁让我们意识到，要想造就一个健全的云端应用环境，肯定需要建立跨越多重数据中心的备援体系，这是减缓单一数据中心失效冲击的必然途径，而有意迈向混合云的企业，显然必须严加检视其供应商的备援状态。
或许有人会问，即使导入混合云，也不会将具有机敏性质的运算任务，摆在相对不安全的公有云来执行，但他们忽略了两件事，首先，怎能确保投放到公有云的运算任务，全都是无涉重要数据的项目？其次，部署混合云的另一目的，也在于为In-house环境提供备援机制，万一真的哪天被迫需要在公有云启动企业营运，在那段时期，岂不像是沦为刀俎的鱼肉？
第二项问题，则是法令规章的遵循。为了确保合规，导入混合云的企业，不能只是证明自家的私有云已经滴水不漏，而必须一并证明其所委以信息处理重任的公有云，也是符合法规的，证明的方式，无非就在于两朵云之间的协调性，其间任何的数据移转，都是受到严格保护的。
然而更麻烦的是，即使你已经过验证无误，公私两朵云之间的数据交换过程，确实受到高规格的保护，但这些数据一旦到了公有云供应商的机房，又怎能确保他们内部没有专门盗卖个资的宵小之徒，会趁机取走客户的宝贵数据，让你的合规表现因而破功？因此，企业必须想法设法营造一个环境，意即确保流传到公有云机房的数据，都是经过加密的，至少提高歹徒恣意窃据数据的门槛。
第三道难题是安全管理，主要是因为，企业现行采用的安全控制机能，不论是身份验证、存取管理等项目，都不能只在私有云一方有效，而应确保两边都适用相同的管理准则，如此一来，即需要就相关安全协议进行大整合。
如何整合？不外是两种方式，其一启用使用身份认证管理服务，再藉由这个单一的服务机制，运转所有的云端应用服务，另一则是在公私两朵云之间执行复制，藉以确保数据的同步安全，然不可否认，不管方式为何，都涉及颇高的整合难度，亟待用户拟妥完善的执行规划，按部就班来付诸实践。
第四项问题出在风险管理之上。此乃由于，一经采用混合云，难免会使用到令企业备感陌生的应用程序界面(API)，同时也会导致网络设定趋向复杂化，凡此种种，即有可能浮现企业IT管理人员的知识与能力「缺口」，无法有效驾驭。
细数历来的网安事件，某种程度上，就像是黑客与用户端管理者之间的斗法，谁的技艺愈高、愈不会犯错，谁就能顺利击败对手；两军对战，任何环节都不容疏漏，岂容IT管理人员留下鞭长莫及的罩门？要解决这个问题，别无他法，必须重回上一篇文章的论述，只选择采用标准API、且遵循服务导向架构(SOA)开发原则的外部服务，降低IT管理者不熟悉的机率，藉以维持风险管理能量之不坠。
最后一道难题，便是无从检验服务供应商的承诺与保证。因为截至目前为止，台湾尚无一套足以完整涵盖云端产业的法令规范，藉以评断服务供应商建构的环境，是否真正符合诸如安全标准、不同云之间标准化通讯界面…等等条件，如此一来，企业就只选择相信或不相信服务供应商所做的承诺与保证，除非等到不好的事情真的发生，才能证明供应商能否履行承诺，但事已至此，未免太迟。
善用外部教战守则 以求趋吉避凶
究竟现今有无完善的教战守则，可以协助企业彻头彻尾地检验供应商？答案是有的。譬如云端安全联盟(Cloud Security Alliance Taiwan Chapter；CSA)，早在2011年期间，便推出「CSA安全信任与保证注册项目(Security Trust and Assurance Registry；STAR)」，用户可以透过免费注册的程序，从而造访多家云端服务商所提供的安全控制文件，以及对于各自商品信息的详尽描述；藉由此一专案计划的实施，企业用户就有迹可循，不致于完全陷入瞎子摸象的状态，能够透过相关档案的披露，深入理解其正在使用、或今后考虑使用的云端服务供应商，到底存在哪些安全风险。
除此之外，国际电脑稽核协会(Information Systems Audit and Control Association；ISACA)所制定的COBIT(Control Objectives for Information and Related Technology)治理规范，亦是值得参考的依据。据了解，从2012年四月所发布的COBIT 5开始，即已纳入云端运算常见之IT控制目标，任何有意导入混合云的企业，都可视之为参考指南，据此制定混合云安全策略，甚至可选择付费取得COBIT 5的辅助工具－COBIT 5 Enablers或COBIT 5 Implementation，协助企业推动混合云安全的实务执行。
与此同时，ISACA也对企业用户提出呼吁，不管企业想要制定何等的安全策略，首要之务，即是确保这些安全策略必须具备「可携性」，换句话说，企业千万不要让安全策略沦于量身订做，意即凡事只考量到现有的云端服务供应商。毕竟世事难料，在未来的某一天，企业可能基于服务执行效率、计价合理性…等种种因素，决定转换跑道至其他的服务供应商，假使每逢这样的迁移动作，都需要重新思考并制定不一样的混合云安全策略，显然值得商榷，因为在转换策略的空窗期，难免承受较大的安全风险。
