摘要：尽管安全是用户选择云应用的最大的担忧，但实际上云计算却比我们想像的更加安全。因为云计算使合作各方能够做自身最擅长的工作。如云服务提供商可以在云计算的安全上面做更大的安全投资，来确保物理服务器、托管服务器及虚拟服务器的安全。

　　目前，IT业界最热的词是“云计算”，云计算应用最大的担忧是安全问题。由比特网与IT专家网主办的以“漫步云端智享应用”为主题的第四届中国CIO年会于2011年12月15日举办，在下午的信息安全分论坛上，来自用户、厂商及第三方的专家共同探讨了信息安全，尤其是云安全的话题。
　　
　　尽管安全是用户选择云应用的最大的担忧，但实际上云计算却比我们想像的更加安全。因为云计算使合作各方能够做自身最擅长的工作。如云服务提供商可以在云计算的安全上面做更大的安全投资，来确保物理服务器、托管服务器及虚拟服务器的安全。此外，云服务供应商的安全标准与所有主要的物理安全准则兼容，有最新的防火墙和补丁，并具有适当的灾难恢复策略和冗余环境。这种安全水准要超过一家私人公司内部的数据中心，尤其是无力花大把资金投资到安全体系的中小型企业。
　　
　　此外，云服务供应商能够进行适当的职责分离体系，防止数据泄漏和被盗，即使是云服务提供商的根用户都甚至无法穿透你的数据。
　　
　　另外云服务供应商还具有强大的身份管理和登陆解决方案，能够实现有效的管理认证和授权制度。
　　
　　中国人口与发展研究中心信息总监冯方回对云计算环境的信息安全问题展现出乐观态度。他认为，当采取有效的预防措施(你应该已经对内部数据中心采取了预防措施)，云是个很好的方式来管理你的基础设施需求。只要确认选一个值得信赖的服务商并认真阅读服务等级协议(SLA)即可。
　　
　　当然毕竟应用数据是在云中，而非用户的内网系统中，用户又在云外，那么用户仍需要采取必要的安全措施，以确保存储在云中的数据安全：一、安全的数据传输。为敏感数据，尤其是登录名和数据库链接设置SSL连接。二、使用远程登录密码。使用公钥/私钥、双因素认证、或其他强认证技术。不允许远程根登录(rootlogin)到你的服务器，因为黑客、木马常用的工具暴力机器人猎犬会持续不断地对云服务提供商的远程root登录地址空间进行闻嗅。三、对发送到云的敏感数据进行加密。SSL将关注传输过程中数据的完整性，但对存储在云服务器中数据也要进行加密。四、经常审查日志。使用
　　
　　日志分析软件，同时进行人工审核。自动化技术与人工审核政策相结合是一个很好的分层实例。
　　
　　虚拟化是私有云最为关键的技术。虚拟化打破了原来传统环境中通过网络边界构筑的安全防护，云环境中更是彻底打破了传统的网络边界。原来通过网络设备控制彼此流量的方法已经不能够完全保障安全了。因为虚拟机之间之间的通信流量并不受防火墙的管控，此外，一些虚拟机的管理员拥有与网络管理员一样的权限，可以去修改网络上的配置，因为在虚拟管理层里面可以配置自己的虚拟网络。在保护安全的同时，还不能使虚拟机密度下降(虚拟机密度直接影响着运行成本)。
　　
　　赛门铁克首席信息安全技术顾问林育民认为在虚拟化环境中，对虚拟机的保护必须采用一种纵深防御策略来保护安全。他认为从物理环境走向私有云环境，需要考虑基础架构的管理(包括物理环境和虚拟环境)、基础架构的保护以及云环境中的用户身份认证及授权这三个层面的问题。赛门铁克的私有云安全解决方案能够解决这方面的问题：一是找出私有云环境下哪些虚拟机是非法的或者有漏洞的;二是保证整个虚拟环境与物理环境的安全程度是一致的;三是监控虚拟机上面的运作。据悉，目前亚马逊EC2平台上选用的就是赛门铁克的SEP方案作为安全保护措施。