大多數(shù)問題的發(fā)生都是由于企業(yè)是在理想情況下對云計算安全性進行評估的。很少有企業(yè)會考慮在云計算中運行一個全新的應用程序，他們往往會希望把一個現(xiàn)成的成熟應用程序遷往云計算。這就意味著，他們并不會對應用程序的安全性進行完整的評估，而是把云計算安全性與他們目前的數(shù)據(jù)中心托管安全性進行類比。

從這個角度來看，云計算數(shù)據(jù)安全性評估就是指確定可接受的風險。如同其他所有類比的風險管理一樣，安全性風險管理是一個在風險與成本之間進行權衡的過程。對你在現(xiàn)有的數(shù)據(jù)中心中運行的現(xiàn)有應用程序進行風險評估并擔憂應用程序在云計算中運行的風險是非常重要的，這是因為應用程序在云計算中運行所帶來的風險往往會高于你所能接受的程度。此舉可確保與云計算安全性相關的成本支出不會導致云計算項目因財務原因而流產(chǎn)，其實在現(xiàn)實生活中，這種情況發(fā)生的概率是比較高。

從傳統(tǒng)意義上進行分類，應用程序的安全性可分為三個層次：網(wǎng)絡攔截、應用程序訪問和物理數(shù)據(jù)安全。下面，我們將逐一進行介紹，并重點關注其中云計算與目前程序的差異。

網(wǎng)絡攔截

網(wǎng)絡攔截是未授權方通過監(jiān)控網(wǎng)絡流量查看機密數(shù)據(jù)而存在的風險。當通過Wi-Fi、3G或4G等無線方式訪問應用程序時，網(wǎng)絡攔截的風險是最高的，但是在大多數(shù)情況下，把應用程序遷往云計算并不會改變使用無線技術的用例。例如，如果一家企業(yè)希望用戶能夠更多地通過公共Wi-Fi熱點訪問基于云計算應用程序，那么就可以使用SSL加密技術以保護數(shù)據(jù)信息流。對于通過瀏覽器進行訪問的應用程序，就可提供一個安全的https URL，但是請注意，對于使用客戶端軟件的應用程序，可能必須對應用程序進行二次開發(fā)以確保實現(xiàn)基于SSL加密技術的會話。

密鑰管理是確保云計算中應用程序安全性的最大問題。最常見的做法就是把應用程序的安全密鑰存儲在應用程序鏡像中。如果是在云計算應用程序中完成這一工作的，那么密鑰就成為了云計算供應商所保留的機器鏡像的一部分，從而也就存在被具有機器鏡像存儲設備訪問權的惡意人士竊取的可能性。使用公共密鑰存儲服務或技術可確保云計算中的密鑰、應用程序代碼以及數(shù)據(jù)永遠不會被竊。

應用程序訪問

云計算中的訪問安全性通常也是一個廣受關注的重要問題，但事實上它完全不是一個日益嚴重的風險。如果你是使用互聯(lián)網(wǎng)訪問你的應用程序，那么通過互聯(lián)網(wǎng)訪問云計算中同樣的應用程序就不會存在更多的風險，當然其前提條件是你能夠如上所述正確地管理SSL和加密密鑰。如果你打算使用虛擬專用網(wǎng)絡訪問來代替互聯(lián)網(wǎng)訪問，尤其是創(chuàng)建一個互聯(lián)網(wǎng)VPN，那么就會出現(xiàn)新的挑戰(zhàn)。

互聯(lián)網(wǎng)VPN通常會使用IPsec加密系統(tǒng)，這是一種不同于SSL的安全技術，它會創(chuàng)建一個用戶群，這個用戶群中用戶的數(shù)據(jù)流量都是通過他們與網(wǎng)絡之間的軟硬件進行加密和解密處理的。當企業(yè)在他們自己的內(nèi)部VPN上使用Ipsec技術時，對于云計算是不存在任何額外安全性風險的;但是，云計算供應商們通常是不會支持在他們的云計算數(shù)據(jù)中心[注]中增加安全設施的，因此就可能需要一個軟件以支持至每一個云計算應用程序的IPsec VPN連接。一般而言，這可能是每個應用程序機器鏡像的一部分，是一種中間件。請與你目前的IPsec供應商確認，以確保你有一個云計算兼容的IPsec功能可以使用。

物理數(shù)據(jù)安全

數(shù)據(jù)資產(chǎn)的物理安全是絕大多數(shù)用戶所共同關心的最大問題，同時這也是規(guī)劃者最難以解決的一個問題。如果機密信息被存儲在云計算中，那么驗證你的云計算供應商的安全性資質(zhì)就是非常重要的了。雖然已經(jīng)出現(xiàn)了大批的云計算安全合規(guī)性框架，如云計算安全聯(lián)盟(CSA)的開放認證框架(OCF);但問題是，這些框架都還未完全開發(fā)完成。如果你計劃把機密信息存儲在云計算中，那么你就需要確認你的云計算供應商提供何種框架以及這一框架是否能夠滿足你的實際需求。絕大多數(shù)的云計算項目規(guī)劃者所面臨的最大問題就是確定云計算供應商的框架是否支持你的合規(guī)性要求和政府法規(guī)，這項審查工作應由你的內(nèi)部審計或法務辦公室完成，如有必要可與政府監(jiān)管部門合作進行。

在云計算項目中，也許可以通過杜絕存儲機密數(shù)據(jù)而減少數(shù)據(jù)物理安全性問題的產(chǎn)生。如果應用程序使用結構化數(shù)據(jù)訪問方法(DBMS/RDBMS 查詢處理)而不是塊級別的訪問讀寫操作，那么就可以在把應用程序遷往云計算的同時把數(shù)據(jù)儲存模塊保留在企業(yè)內(nèi)部。

獨立審計是云計算項目規(guī)劃者在研究云計算安全選項時另一個需要考慮的問題。嚴格遵循合規(guī)性需求的公司可能還需要擁有一個經(jīng)第三方認證的云計算戰(zhàn)略。如果你有一家合規(guī)審計公司為你的內(nèi)部IT提供了到位的審計服務，那么這家公司很可能是你進行云計算合規(guī)性和安全性審計的最佳選擇。如果你不這么做，那么列出一份他們推薦的云計算供應商和安全合規(guī)性審計公司的名單。先按照這些公司的表現(xiàn)選出前三名，然后聯(lián)系這三家公司進行項目競標。