遷移到云上需要在合同方面與供應(yīng)商仔細商談。以前，一般是由網(wǎng)絡(luò)團隊來完全控制云環(huán)境；然而，遷移到云上要求組織機構(gòu)放棄一些控制權(quán)，并且轉(zhuǎn)交給云提供商。這種轉(zhuǎn)變要求網(wǎng)絡(luò)人員的思維方式向前發(fā)展，不要只停留在數(shù)據(jù)包處理上，這樣才能真正把握云計算。企業(yè)必須考慮各種潛在的威脅，然后才能遷移到云模型上。在這個方面，云提供商應(yīng)該在合同上寫明會提供你所要求的安全級別。下面是10個應(yīng)該注意的云安全問題：

企業(yè)必須考慮各種潛在的威脅，然后才能遷移到云模型上。在這個方面，云提供商應(yīng)該在合同上寫明會提供你所要求的安全級別。下面是10個應(yīng)該注意的云安全問題：

誰有訪問權(quán)限？

訪問控制確實是一個問題。云身份認證是如何管理的？內(nèi)部人員攻擊是一種持續(xù)威脅。任何獲得云平臺訪問權(quán)限的人都有可能成為潛在的問題。舉一個例子：有一名員工可能離職或被辭退，結(jié)果他或她是唯一有訪問密碼的人。或者說，或許這一名員工是唯一一位負責(zé)給云提供商支付費用的人。你必須知道誰有訪問權(quán)限，他或她是如何交接工作的，以及訪問權(quán)限是如何中止的？

你有哪些法規(guī)要求？

美國、加拿大或歐盟國家的企業(yè)都必須遵守各種法規(guī)要求，其中包括ISO/IEC27002、EU-U.S.Privacy Shield Framework（歐美隱私保護框架）、ITInfrastructure Library（IT基礎(chǔ)架構(gòu)庫）和COBIT.你需要確定一個雙方均認可的框架，如ISO27001.此外，你還必須保證云提供商能夠滿足這些規(guī)定的要求，并且愿意接受認證、鑒定和審查。

你是否有審計權(quán)限？

這個問題并不是小問題，相反是其中一個最重要的云安全問題。云提供商可能同意在書面上遵守一個審計標(biāo)準(zhǔn)，如SSAE16.但是，對于審計人員和評估人員而言，想要評估云計算是否符合法規(guī)要求，已經(jīng)被證明是一件越來越難完成和驗證的工作。在IT要面對的諸多法規(guī)中，幾乎沒有專門針對云計算的。審計人員和評估人員可能還不熟悉云計算，也不熟悉某個特定的云服務(wù)。

云提供商給員工提供了哪一些培訓(xùn)？

這確實是一個非常值得注意的問題，因為人們在安全面前總是弱勢群體。了解云提供商給員工提供了哪些培訓(xùn)，是一項要認真審查的重要項目。大多數(shù)攻擊都同時包含技術(shù)因素和社會因素。提供商應(yīng)該采用措施處理各種來源的社會工程攻擊，包括電子郵件、惡意鏈接、電話及其他方式，它們都應(yīng)該在出現(xiàn)在培訓(xùn)和認知項目中。

提供商使用了哪一種數(shù)據(jù)分類系統(tǒng)？

這個方面要關(guān)心的問題包括用于分類數(shù)據(jù)的標(biāo)準(zhǔn)，以及提供商是否支持這些標(biāo)準(zhǔn)。令牌技術(shù)現(xiàn)在越來越多地替代加密手段，它有助于保證企業(yè)符合各種法規(guī)要求，如Health Insurance Portability and Accountability Act（醫(yī)療保障可移植性和可審計性法案）、Payment Card Industry Data Security Standard（支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)）、Gramm-Leach-Bliley Act（美國金融服務(wù)法案）和歐洲數(shù)據(jù)保持法規(guī)等。

是否使用了加密手段？

加密手段也應(yīng)該在考慮范圍內(nèi)。原始數(shù)據(jù)是否允許離開企業(yè)，或者它們應(yīng)該留在內(nèi)部，才能符合法規(guī)要求？數(shù)據(jù)在靜止和/或移動過程中，是否會使用加密措施？此外，你還應(yīng)該了解其中所使用的加密類型。例如，DES和AES就有一些重要差別。另外，要保證自己知道是誰在維護密鑰，然后再簽合約。加密手段一定要出現(xiàn)在云安全問題清單中。

你的數(shù)據(jù)與其他人的數(shù)據(jù)是如何分隔的？

數(shù)據(jù)位于一臺共享服務(wù)器還是一個專用系統(tǒng)中？如果使用一個專用服務(wù)器，則意味著服務(wù)器上只有你的信息。如果在一臺共享服務(wù)器上，則磁盤空間、處理能力、帶寬等資源都是有限的，因為還有其他人一起共享這個設(shè)備。你需要確定自己是需要私有云還是公有云，以及誰在托管服務(wù)器。如果是共享服務(wù)器，那么數(shù)據(jù)就有可能和其他數(shù)據(jù)混在一起。

提供商的長期可用性體現(xiàn)有什么保障？

云提供商開展這個業(yè)務(wù)有多長時間了？它過往的業(yè)務(wù)表現(xiàn)如何？如果它在這個業(yè)務(wù)上出現(xiàn)問題，你的數(shù)據(jù)會面臨什么問題？你的數(shù)據(jù)是否會以原始格式交回給你？

如果出現(xiàn)安全漏洞會有什么應(yīng)對措施？

如果發(fā)生了安全事故，你可以從云提供商獲得哪些支持？雖然許多提供商都宣稱自己的服務(wù)是萬無一失的，但是基于云的服務(wù)是極其容易受到黑客攻擊的。側(cè)向通道、會話劫持、跨站腳本和分布式拒絕服務(wù)等攻擊都是云數(shù)據(jù)經(jīng)常遇到的攻擊方式。

災(zāi)難恢復(fù)和業(yè)務(wù)持續(xù)計劃是什么？

雖然你可能不知道服務(wù)的物理位置，但是它們最終都位于某一個物理位置。所有物理位置都會面臨火災(zāi)、風(fēng)暴、自然災(zāi)害和斷電等威脅。如果出現(xiàn)這些意外事件，云提供商將有什么的響應(yīng)措施，他們將如何保證自己承諾的不間斷服務(wù)？

根據(jù)思科的預(yù)測，未來三年有80%以上的數(shù)據(jù)中心流量將來自云服務(wù)。這意味著，即使你現(xiàn)在還沒有做好云遷移，那么到2020年前你也會這樣做的。所以，要用這一段時間保證自己采用正確的遷移方法。要提前定義合同要求，然后不能只是復(fù)制原來用于本地環(huán)境的安全策略。相反，要從遷移的角度去改進它。