***信息官（CIO）和***信息安全官（CISO）们承受着压力，要从头规划他们的信息安全战略以习惯新的商业形式：虚拟云核算环境。在该环境中，资源被同享且可搬运。

这些技能主管正在设置新战略，并出资新技能以考虑公共和私有云的弹性、自服务供应和同享数据的基础设施。跟着用户开发了用于防火墙之外（甚至在防火墙内）的第三方服务，以实同享环境中的协作，用于身份办理的新的战略和体系正在规划中。此外，需求确认数据安全和隐私监测的新鸿沟，紧记搬迁到一个虚拟云环境将怎么影响合规性。

马萨诸塞州沃尔瑟姆的Raytheon公司的公共范畴并没有冒险运用云。为完成本钱节省，这家国防设备制造商正在开发同享的、私有的“云类型服务”，假如它和它的合作同伴能够就美国空军、陆军和水兵喜爱的新的程序和产品进行测验、构建和协作，那么该服务能够完成。

Raytheon公司的副CISO兼IT服务总监Michael Daly说：“[在虚拟云核算环境中的]安全问题和操控更杂乱。不仅仅是办理简略的改动操控，还需求阅历许多信赖和祈求：‘嘿，防火墙操控跟着[数据或服务]搬迁了吗？当生成和删去这些虚拟机时，担任加密的[安全]密钥得到维护了吗？’”

当谈到同享环境的安全时，，和许多其它的IT主管相同，在这一点上Daly的问题比答案多：跟着项意图发动和封闭，公司怎么知道谁需求拜访哪些信息？用户是否有权拜访它？在私有云上参与开发的各方怎么就撤销用户装备达到共同？这种状况逾越了云模型。他说，在事务形式转向事务同享资源，以在协作环境中开发产品和服务方面，云说到底是一个副产品或一种手法。

内部和外部身份办理

企业用户绕过IT部分登录以拜访虚拟云核算服务。因而，问题变成，谁有权拨入和拨出云服务？

纽约人寿出资办理公司坐落马萨诸塞州的纽约人寿退休方案服务（RPS）部分的IT团队现已挑选了阻挠拜访第三方虚拟云核算服务，并在从自己的网络搬运信息的危险方面教育用户。

纽约人寿RPS的办理董事兼***信息官Neal Ramasamy说：“我知道，[对用户来说]，移动到云服务十分简略，但随之带来了很大的危险。我和恳求者一同坐下来，以了解为什么他们要拜访第三方云。考虑咱们的公司战略，我的方针是不要有四家不同的[云供货商]，而是挑选一家。”

当Raytheon公司的IT部分符号第三方的云服务恳求时，Daly和他的团队解说为什么把文档上传到Google Apps不是好主意。他们然后向事务用户展现其他的安全选项，如公司同意的EMC公司的Documentum体系。

Daly说：“咱们要恪守ITAR [兵器交易法令中的世界交通]和其他法规，因而咱们能够看到正上传文档和、信息和其他的东西到Google的人的方位，而且咱们需求向人们展现正确的做法。”

Raytheon正搬运到私有云，为此建立了联邦身份办理体系。这意味着，Raytheon公司将验证它自己的职工，但参与开发项意图公司将担任它们自己的身份验证。

这听起来简略，但现实并非如此。Daly说：“咱们有必要在咱们之间达到法令协议，而且让咱们的[云]开发同伴说：‘好吧，假如咱们要查看身份，你将以相同的方法查看身份’，由于并不总是如此。”

遏止危险是在私有云背面的主意，但即便在一个私有云社区，企业也需求处理用户的阻隔、权限区分、登录和撤销装备。Daly说：“你真的需求知道你终究的鸿沟，以最小化危险。咱们并不需求地球上的每个人都有时机参与咱们方案的云服务，因而物理安全和更多传统的IT安全防火墙规矩是十分重要的。”

但是，这些预防措施也并不没有合规。Gartner公司的研讨副总裁Chris Wolf说：“厂商谈跟从用户[通过联邦身份]的跟从我（follow-me）数据，选用加密技能将数据涣散到不同的当地，但CIO们需求考虑的是在云中的跟从我的规则。有时敏感数据不能跨过鸿沟。”

坐落马萨诸塞州萨德伯里的SystemExperts公司的副总裁Richard E. Mackey说，企业开端考虑布置环绕云服务的安全性实践之前，它应该问“外包应用程序用作什么？”和“谁将要运用它？”他说：“当有人称之为云核算时，许多变量决议你的安全性是彻底不同的，这取决于您要布置在哪一种形式上：私有云、软件即服务（Software as a Service）、基础设施即服务（Infrastructure as a Service）仍是渠道即服务（Platform as a Service）。

受惠于云供给商的安全实践

挑选一家云供给商类似于与其成婚，由于客户运用供给商确认的体系和安全方针。

企业怎么监控用户对虚拟云核算服务的拜访，取决于云供给商为其供给的接口。Mackey说：“一个恳求回来并击中你的网络之前，[云供给商]怎么保证用户是真实的用户？另一种状况是，一些服务答应您运用您的谷歌或Facebook帐户登录。这样不直接通过[活动目录]，除非你这样规划它。”

纽约人寿RPS的Ramasamy能够考虑为像电子邮件和Web服务这样的非要害服务寻觅云供货商，他说，但他想知道云供给商是否将为公司建立一个私有云，在私有云中，没有其他人能够进入该环境。假如环境被同享，资源怎么被同享，且谁或许接近相邻的资源集？供给商通过了什么安全审计，遵从世界安全托付授权的哪一部分？

Raytheon公司的Daly说，合同商洽期间的灵活性志愿将成为他的公司挑选云供货商的一个决议性的要素。他说：“我不期望有必要告知[事务部分]，他们不能外包的东西，由于假如咱们这样做，咱们将失掉维护，所以我要保证假如咱们需求，咱们能够[与供给商一同]改动咱们的暗码杂乱性，或把咱们暗码改到356位。当你转向云安全时，灵活性将是合同办理的一个巨大的元素。”

还有一点要阐明的：假如一个企业要其数据安全保管于他人，它需求有一种方法能够丈量该环境安全功能。Daly说：“假如供货商不让你这样做，你或许不期望与他们达到协议。”

【修改引荐】

1. 从监控为意图到防走漏 信息安全这十年
2. 51websec的网络信息安全网站悄然上线
3. 揭秘身份办理安全在“云”中怎么开展
4. 云安全面对应战 企业对云服务无有用监控
5. 中网发布域名云服务 助力要点网站域名更安全更智能