摘要：首席信息官（CIO）和首席信息安全官（CISO）们承受着压力，要重新设计他们的信息安全策略以适应新的商业模式：虚拟云计算环境。在该环境中，资源被共享且可转移。

第1页:虚拟云计算敲响新安全时代 第2页:虚拟云计算敲响新安全时代

　　遏制风险是在私有云背后的想法，但即使在一个私有云社区，企业也需要处理用户的隔离、权限划分、登录和取消配置。Daly说："你真的需要知道你最终的边界，以最小化风险。我们并不需要地球上的每个人都有机会参加我们计划的云服务，因此物理安全和更多传统的IT安全防火墙规则是非常重要的。"

　　然而，这些预防措施也并不没有合规。Gartner公司的研究副总裁Chris Wolf说："厂商谈跟随用户[通过联邦身份]的跟随我（follow-me）数据，采用加密技术将数据分散到不同的地方，但CIO们需要思考的是在云中的跟随我的规定。有时敏感数据不能跨越边界。"

　　位于马萨诸塞州萨德伯里的SystemExperts公司的副总裁Richard E. Mackey说，企业开始考虑部署围绕云服务的安全性实践之前，它应该问"外包应用程序用作什么？"和"谁将要使用它？"他说："当有人称之为云计算时，许多变量决定你的安全性是完全不同的，这取决于您要部署在哪一种模式上：私有云、软件即服务（Software as a Service）、基础设施即服务（Infrastructure as a Service）还是平台即服务（Platform as a Service）。

　　受惠于云提供商的安全实践

　　选择一家云提供商类似于与其结婚，因为客户使用提供商确定的系统和安全政策。

　　企业如何监控用户对虚拟云计算服务的访问，取决于云提供商为其提供的接口。Mackey说："一个请求回来并击中你的网络之前，[云提供商]如何确保用户是真正的用户？另一种情况是，一些服务允许您使用您的谷歌或Facebook帐户登录。这样不直接经过[活动目录],除非你这样设计它。"

　　纽约人寿RPS的Ramasamy可以考虑为像电子邮件和Web服务这样的非关键服务寻找云供应商，他说，但他想知道云提供商是否将为公司搭建一个私有云，在私有云中，没有其他人能够进入该环境。如果环境被共享，资源如何被共享，且谁可能靠近相邻的资源集？提供商通过了什么安全审计，遵循国际安全委托授权的哪一部分？

　　Raytheon公司的Daly说，合同谈判期间的灵活性意愿将成为他的公司选择云供应商的一个决定性的因素。他说："我不希望必须告诉[业务部门],他们不能外包的东西，因为如果我们这样做，我们将失去保护，所以我要确保如果我们需要，我们可以[与提供商一起]改变我们的密码复杂性，或把我们密码改到356位。当你转向云安全时，灵活性将是合同管理的一个巨大的元素。"

　　还有一点要说明的：如果一个企业要其数据安全托管于别人，它需要有一种方式可以测量该环境安全性能。Daly说："如果供应商不让你这样做，你可能不希望与他们达成协定。"

　　责任编辑：Lily