云安全：Gartner Conference上心得

我参加了 12 月份在美国拉斯维加斯举行的 Gartner Data Center Conference，希望透过这项活的观察深入了解企业 IT 专业人员对于虚拟化与云计算的看法。 虽然我个人并不喜欢拉斯维加斯，但我还是逛了一下弹珠台迷必到的旅游胜地：Pinball Hall of Fame （弹珠台名人堂）。从信息安全的角度来看，Gartner 分析师和与会人员对于云计算的态度给了我几点启示。

虚拟化正当道

VMware 的课程人数爆满，大多数关于虚拟化与储存交换网路的课程也是人潮汹涌。有关虚拟化安全的课程，倒提到了一个重点，那就是：负责应用程序与储存的 IT 人员与负责信息安全的 IT 人员彼此之间缺乏联系。虚拟化的列车目前正全速向前迈进，但信息安全团队却在后面苦苦追赶，努力研究虚拟化可能带来的安全问题。旧的边界安全模型正受到严重挑战，因为透过 VMotion 的技术，应用程序在 VMware 环境当中可以自由移动 （小心别让一些敏感的应用程序意外掉入 DMZ 区域）。对信息安全的影响：您最好小心架构您的虚拟化资料中心，并且考虑采用 VLAN 以及分散式虚拟交换器 （Distributed Virtual Switch）。

私人云计算是企业的短期因应之道：CEO们的要求是：”利用云端来降低成本”，而CIO们的回应则是：”是的，我们已经在做了，那就是所谓的私人云端”。在 Gartner 这次的活动当中，厂商与 Gartner 分析师的重点大都围绕在私人云计算。对于所谓的私人云端，不论行销人员或是正在利用云计算概念的企业 IT 人员，每一个人似乎都自己的一套定义。某些正统派云端人士或许对这样的情况感到不安，但企业 IT 与厂商正纷纷透过”私人云端”的概念来赶搭云计算的列车。我在 Gartner Data Center Conference 大会上看到的整体趋势是积极虚拟化的资料中心，不过，如果您跟人家说：”我们已经拥有自己的私人云端”，那会让您的企业听起来似乎更先进一点。

储存公共云端

SaaS/PaaS/IaaS 最酷的应用程序，是 General Electric 公司的 Matthew Merchant （CTO） 在其名为”Cloud Storage @ GE”（GE 的云端储存） 的演讲所提到的。GE 内部开发了一个透过公共云端储存 （例如 Amazon AWS） 进行备份的应用程序。公共云端让他们减少了 40% 至 60% 的备份成本，听起来似乎很酷。对信息安全的影响：记得将资料加密以便能够符合法规遵循要求。

企业韧性与灾难复原的公共云端：Gartner 的 John Morency 开了一门课叫做”Building Resiliency via Colocation and the Cloud”（透过比邻与云端建立韧性），讨论有关使用公共云端做为”热备份”（warm spare） 或”冷备份”（cold spare） 灾难复原 （DR） 的备援移转据点。Morency 有一段发人深省的话：”到了 2014 年，有 15% 的大型企业将合并使用私人基础架构与公共云端服务来提升复原能力与企业永续性。”DR 是非常适合公共云计算的一项应用，拥有降低成本、提高弹性的效益。对信息安全的影响：企业应该考虑采用像 趋势科技 Deep Security 7.0这样的解决方案来保护云端服务器 （抱歉，此处不免老王卖瓜一番）。

测试与开发云端：过去我曾经听过 Gartner 分析师说，云端是一个测试和开发应用程序很好的平台，但是这些测试和开发环境所使用的却是真实且必须保护的资料。当我与趋势科技的信息安全客户讨论到云端时，他们一惯的答案都是：”我们没有在用”。但是若问到是否有某些应用程序开发人员会直接上 Amazon EC2 时，这些信息安全人员就会勉为其难地点头。对信息安全的影响：位于云端的测试与开发环境，如果使用到真实的资料，或许应该采取一些保护措施。

云端内的信息：Cameron Haight 和 Milind Govekar 的演讲”Cloud Computing Management – Making Sure Mountains Aren’t Hiding in the Mist”（云计算管理：确保云雾当中没有隐藏的高山） 当中有一段话让我深有同感：”云计算并非 IT 的丧钟；是实上，这是一个让 IT 服务供应角色重新振作的机会，只要适当地更新流程、工具与组织结构即可。”这一点在信息安全领域尤其如此，因为除了企业本身以外，没有人会小心看管企业的重要资产。