對于大多數(shù)企業(yè)組織來說，云實(shí)施已成為一種大勢所趨。雖然目前企業(yè)界都在大規(guī)模地使用公共云，但是私有云部署仍是眾多大型企業(yè)的主要選擇。雖然一些統(tǒng)計數(shù)據(jù)表明私有云的使用已呈下降趨勢，但是經(jīng)過過去幾年的積累，私有云的存量還是不容小覷;對于一些大型企業(yè)(例如世界500強(qiáng)企業(yè))來說，維護(hù)幾十個獨(dú)立的私有云環(huán)境還不是非常困難的。

但是，這樣也就帶來了許多潛在的安全問題。也就是說，當(dāng)環(huán)境范圍重疊時，有可能出現(xiàn)低效資源使用或非最優(yōu)化的情況;當(dāng)多個環(huán)境略有不同時，則有安全性和維護(hù)方面的問題;或者在某些情況下，與安全策略有著明顯的不符;它會帶來架構(gòu)和性能方面的問題，并且還會帶來與合規(guī)性相關(guān)的額外整合工作量。

因此，對于企業(yè)組織來說，控制好“私有云擴(kuò)張”是非常重要的。實(shí)現(xiàn)資源的最佳利用——防止在享受成果的同時出現(xiàn)負(fù)面影響——意味著在充分理解私有云環(huán)境的基礎(chǔ)上制定一個云整合的戰(zhàn)略決策。在一些情況下，整合是有意義的。而在另一些情況下，企業(yè)組織可能需要維護(hù)一個以上的環(huán)境，但是他們需要從戰(zhàn)略上重新分配在哪里進(jìn)行托管。其決策應(yīng)當(dāng)是精確且又遠(yuǎn)見的，因為事關(guān)重大。

是什么造成了私有云蔓延?

總有一些人老是摸不著頭腦，不知道一個企業(yè)為什么把實(shí)現(xiàn)多個私有云環(huán)境放在第一位，以及如何做到這一點(diǎn)，畢竟私有云不一般都是最昂貴的云模式嗎?為什么一家組織會需要一個以上的私有云環(huán)境呢?在現(xiàn)實(shí)世界中，有很多原因會造成這一情況的出現(xiàn)。首先，可考慮并購活動;當(dāng)組織A收購了組織B時，他們可能都已有著一個私有云。既然，兩家組織要在IT層面上實(shí)現(xiàn)集成可能需要花費(fèi)幾年的時間，那么這些私有云環(huán)境將在這段時間內(nèi)保持并行運(yùn)行——甚至實(shí)際運(yùn)行時間可能還超過這段時間。

另一種情況則是，多個松散組合的業(yè)務(wù)部門(例如，當(dāng)這些業(yè)務(wù)部們都維護(hù)著獨(dú)立的IT支持團(tuán)隊時)都開發(fā)了(或從一家服務(wù)供應(yīng)商處租借了)他們自己的私有云，且互不知曉或使用目的不同。當(dāng)不同地理區(qū)域的業(yè)務(wù)由不同技術(shù)團(tuán)隊進(jìn)行技術(shù)支持時，或者當(dāng)IT業(yè)務(wù)是由每一個業(yè)務(wù)部門內(nèi)部進(jìn)行處理時，這種情況也會發(fā)生。

最后，組織可能會從戰(zhàn)略角度出發(fā)，考慮實(shí)施若干個私有云。請記住，私有云只是意味著一個單租戶的云環(huán)境;一個私有云環(huán)境中可以駐留一個云服務(wù)供應(yīng)商(CSP)。當(dāng)然，很多都是在組織內(nèi)部的，但是事實(shí)也并非都是如此。所以，一家組織可能會有一個或多個的內(nèi)部部署私有云環(huán)境,以及一個或多個私有云托管在外部CSP或主機(jī)代管。

減量和重用?

無論私有云蔓延情況如何出現(xiàn)，對于安全團(tuán)隊來說，理解有如此多的私有云對于組織的安全狀態(tài)是利是弊將是非常重要的。

我們討論了上述的一些挑戰(zhàn)，但說明了一點(diǎn)，即考慮到一家企業(yè)對于不同的應(yīng)用有著多個合規(guī)性要求，私有云也可以是一件好事。例如，有一家醫(yī)院維護(hù)著一個內(nèi)部私有云用于臨床環(huán)境，一個外部的私有云用于支付和結(jié)算系統(tǒng)，前者的臨床環(huán)境使用的內(nèi)部資源需滿足HIPAA標(biāo)準(zhǔn)，因為醫(yī)院有可能在這方面擁有深厚的專業(yè)知識所以使用私有云是有意義的。另一方面，PCI可能并不是其核心業(yè)務(wù)。在這種情況下，選擇一家具有資質(zhì)(例如，它在經(jīng)批準(zhǔn)的服務(wù)供應(yīng)商列表上)的外部CSP可能具有相當(dāng)高的安全性和一致性價值，而整個醫(yī)院則可通過這兩個私有云環(huán)境而得到更好的服務(wù)。

知道何時、如何以及是否整合私有云是一項棘手的工作。很多企業(yè)都陷入了匆忙上馬整合工作，卻之后只是發(fā)現(xiàn)為什么他們不能或者不應(yīng)當(dāng)實(shí)施私有云整合的有力理由。為了避免落入這樣的陷阱，企業(yè)組織需要相當(dāng)一些信息作為輸入以便于做出這一戰(zhàn)略決策。他們需要知道：

· 那個現(xiàn)有的環(huán)境

· 環(huán)境中有些什么

· 這一應(yīng)用有些什么安全性方面的要求

· 目前，在該環(huán)境中已經(jīng)有哪些控制/流程就位了

用戶如何開始整合私有云環(huán)境?

對于很多工作來說，跨出謹(jǐn)慎的第一步就是發(fā)現(xiàn)。首先，從弄清楚現(xiàn)在組織中私有云環(huán)境的實(shí)際情況開始。如果你的組織屬于大型企業(yè)，那么實(shí)際情況可能比你所想象的要復(fù)雜得多;你可能需要花費(fèi)一點(diǎn)跑腿的功夫以確保對它們足夠了解。通過使用一個已在你組織中運(yùn)行成熟的方法來收集這一信息將是一個不錯的選擇，例如一個針對業(yè)務(wù)連續(xù)性規(guī)劃的業(yè)務(wù)影響評估(BIA)。由于IBA接觸的基本上都是大部分的業(yè)務(wù)，所以你可以使用它來同時了解私有云領(lǐng)域的實(shí)際情況。

接下來，你將需要針對每一個環(huán)境列舉與安全性相關(guān)的注意事項。詢問一些問題，具體包括：監(jiān)管環(huán)境是什么?環(huán)境中包括了哪些內(nèi)容?在環(huán)境中要處理什么類型的數(shù)據(jù)?

此外，對于每一個環(huán)境，可能還需要做一些具體的調(diào)研工作;回答上述這些問題需要你非常了解每一個環(huán)境。除非你的組織非常擅于保持可靠的庫存(但大部分企業(yè)組織都不是)，否則你將需要在每一個環(huán)境中做好摸底工作以便于獲得一個可靠的列表。

最后，針對安全性做好安全、支持以及業(yè)務(wù)等需求與每個環(huán)境所提供的安全、支持以及業(yè)務(wù)等“功能”的一一映射。這意味著你將需要充分了解每一個環(huán)境，知道它們是什么。一些服務(wù)供應(yīng)商可能會告訴你(或者證明給你看)這一信息是由某個需求驅(qū)動的，但是你也有可能需要做一些審核工作以便于得到答案。

數(shù)據(jù)的三個來源(當(dāng)組合時)應(yīng)當(dāng)為你的組織提供必需的原始信息以便于讓組織的決策層做出戰(zhàn)略決策，決定是否實(shí)施私有云整合，如果確定要實(shí)施整合工作，它們應(yīng)幫助你制定影響整合工作的規(guī)劃。云整合本身就是一項長期性的工作，你應(yīng)當(dāng)做好規(guī)劃，以便于你的組織能夠真正地實(shí)現(xiàn)資源使用最大化。如果你的組織正在考慮應(yīng)用程序私有云化，這個信息也將有助于他們做出最符合企業(yè)業(yè)務(wù)需求的決定。